"

数据安全 在等保里，从 散装配件 变成了独立成域——你过不过，这块单独算。

公安部发了一份新标准，编号 GA/T 2380-2026 ，报批稿阶段，全名叫《信息安全技术 网络安全等级保护数据安全基本要求》。名字长，但意思很简单： 数据安全在等保里，从散装配件变成了独立成域。

这意味着什么？意味着以后做等保测评，数据安全不再是“顺便看看”，而是 单独一块考核 。你过不过，这块单独算。

📌 本文看点

等保2.0（ GB/T 22239-2019 ）里数据安全的要求是散装的。身份鉴别里有一条关于数据工具的，访问控制里有一条关于数据导入导出的，审计里有一条关于数据传输的，东一条西一条，像超市里 散装的花生米 ，你得一颗一颗挑。

现在这个新标准，把数据安全 独立成域 了。有自己的体系结构：

安全物理环境、安全通信网络、安全区域边界、安全计算环境、 安全数据处理 （全新域，等保2.0里没有的）、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。

其中“安全数据处理”是 从零到一的 ，不是增量升级。里面四个子项： 数据溯源、数据识别、数据标记、数据脱敏 ，原来等保里统统没有。这四项后面单独说。

起草单位名单里有你认识的名字：公安部第三研究所、阿里巴巴、蚂蚁集团、美创科技、奇安信、天融信，等等，还有一个你可能不太熟悉的， 安徽问天量子 。量子加密也进来了。

这个标准最狠的设计： 同一个等保等级里，按数据级别分档。

三级系统，分成“一般数据处理系统”和“重要数据处理系统”。四级系统，再加一档“核心数据处理系统”。

举个例子。同样是三级系统：

一般数据处理系统，身份鉴别用口令就行，访问控制粒度到用户级或进程级就行，水印只要能追溯就行。

重要数据处理系统，身份鉴别必须 口令+密码技术组合 ，访问控制要对查询、修改、删除、导出、共享、交换、备份、恢复全做控制，水印还必须 健壮性和安全性 ，不能被篡改或去除。

同一个等保等级， 数据级别不同，要求差了一大截。

这个标准直接引用了 GB/T 43697-2024 《数据安全技术 数据分类分级规则》，一般数据、重要数据、核心数据的定义全来自这个标准。所以没做数据分类分级的企业，第一步就卡住了：你不知道自己的数据属于哪个级别，你就不知道自己的系统是“一般数据处理系统”还是“重要数据处理系统”，你就不知道该满足哪套要求。

“安全数据处理”这个新域下面，四个子项全是等保2.0里没有的：

1. 数据溯源

三级系统要求： 水印技术实现展示环节可追溯 ，数据标记和数据血缘分析实现导入/收集数据的源头溯源，水印+签名技术实现导出/共享环节可追溯，水印要具备隐藏性。重要数据处理系统，水印还要具备健壮性和安全性。

数据血缘是个新概念，标准里的定义是“数据在产生、处理到消亡的流转过程中建构的一种类似于人类社会血缘的关系”。说白了就是 数据从哪来、经过什么加工、变成了什么，全要有记录。

2. 数据识别

三级系统要求： 宜 在网络边界处识别出流出数据中的结构化重要数据和敏感数据（推荐性要求，不是强制）， 应 在数据存储中识别出结构化重要数据和敏感数据（强制性要求）。四级系统还要识别非结构化数据，还要用自动化工具。

3. 数据标记

三级系统要求：对结构化数据的元数据、数据类别级别、数据源等进行标记， 标记不能被非授权修改。 重要数据处理系统，还要对重要数据做标记。四级系统，非结构化数据也要标记。

4. 数据脱敏

三级系统要求：根据法律法规和数据使用目的，采用相应的脱敏技术、规则和策略。静态脱敏和动态脱敏，开发测试、数据分析、数据应用、数据交换都要覆盖。 静态脱敏后的数据要与原始数据分开存储 ，放在不同的数据库里。

三级系统是最常见的等保级别，所以这部分重点说。

硬杠一：门禁指纹和人脸数据要加密

三级系统的物理环境新增了要求：电子门禁系统的鉴别数据和 指纹信息、人脸信息、声纹信息、虹膜信息、指静脉信息 等生物特征信息，要 用密码技术保护保密性。

硬杠二：境内流量不能被路由到境外

三级重要数据系统：“应采取必要的技术或管理措施，保证境内用户访问境内网络的， 其流量不会被路由至境外。 "

硬杠三：一次审批只针对一次数据输出

三级重要数据系统的审批规则：“ 一次授权与审批应仅针对一次数据输出 ，数据若需输出给其他接收方应发起新的授权与审批流程。“

硬杠四：个人信息几个新细节

三级系统新增了几条很具体的要求：

个人信息保存期限不能超过主体授权时间。法律另有规定的除外。账户注销后必须删除或匿名化个人信息。法律另有规定的除外。 可用于恢复识别个人的信息与去标识化后的个人信息分开存储。个人生物识别信息与个人身份信息分开存储。

硬杠五：存储空间释放前要擦干净

三级重要数据系统：“存有重要数据和敏感数据的存储空间被释放或重新分配前 得到完全清除。 "

硬杠六：数据接口全生命周期管理

三级系统要求制定数据接口的全生命周期管理制度：申请→审批→开放→变更→注销， 全部要管控和定期审计。 还要制定安全控制策略，包括身份鉴别、访问控制、授权策略、安全协议、接口名称、接口参数。

硬杠七：安全事件上报有硬门槛

三级重要数据系统安全事件处置：“发生重要数据或者 十万人以上 个人信息泄露、毁损、丢失等数据安全事件时，应按规定上报。涉嫌犯罪的，按规定向公安机关报案。“

硬杠八：数据销毁分级差异

三级一般数据系统：重复清除+覆盖就行。三级重要数据系统：重复清除+覆盖+ 消磁+粉碎 组合。

四级系统在三级的基础上又叠加了一档：核心数据处理系统。简要提几个关键差异：

如果你的系统是三级或四级，对照这几条自查：

一条一条对着查。 哪条没做，哪条就是等保测评的扣分点。

一句话总结：等保里数据安全从“顺便看看”变成“单独一块”，而且你的数据级别越高，这块的考核越严。数据分类分级是前提，没做分类分级，后面全白搭。