"

102页 ，专门告诉测评机构 怎么查你做没做到

上一篇聊了GA/T 2380-2026，等保里的数据安全基本要求，告诉你“该做什么”。这份标准还有个同胞兄弟，全名叫 GA/T 2394-2026《信息安全技术 网络安全等级保护数据安全测评要求》， 专门告诉测评机构 怎么查你做没做到 。

一个出题，一个监考。凑齐了。

📌 本文看点

先说个细节。基本要求那份标准的起草单位里，有公安部第三研究所、阿里巴巴、蚂蚁集团、美创科技、奇安信、天融信这些， 安全厂商和互联网大厂居多 。到了测评要求这份，公安部第三研究所还在，但其余 基本换了一拨人 ：公安部网络安全保卫局、北京云集至、交通运输信息安全中心、中国电子第六研究所、中国铁道科学研究院、北京国家金融科技认证中心、华夏银行、杭州世平信息，等等。

看出门道了吗？基本要求是 搞技术的人写的居多 ，因为他们最懂“该做什么”。测评要求是 搞评估的人写的居多 ，因为他们最懂“怎么查你做没做到”。公安部第三研究所两边都参与，算是串场的。

这份标准102页，跟GB/T 22239（等保基本要求）和GB/T 28448（等保测评要求）是 同样的搭档关系 。22239告诉你该做什么，28448告诉你怎么查。现在 数据安全这边也补齐了 ：GA/T 2380-2026告诉你该做什么，这份测评要求告诉你怎么查。

这份标准最有意思的设计，是 搞了两种完全不同的查法 。以前等保测评就是“对一个系统从头查到尾”，现在数据安全这块多了一个维度。

第一种：数据安全专项测评

以数据为核心，跟着数据走 。你有一批重要数据，从收集到存储到使用到加工到传输到提供到公开到销毁，中间流转经过了好几个系统。专项测评就是追着这批数据， 一个系统一个系统查过来 ，看每个环节的数据安全要求有没有落地。

适合什么场景？适合 “一条数据线跨多个系统” 的情况。比如你的客户数据，从APP收集进来，经过CRM系统存储，到数据分析平台加工，再到业务系统使用，再到归档销毁。五个系统，一条数据线，专项测评一个不落地查过来。

第二种：数据安全扩展测评

以系统为核心，站在系统里面看数据 。你有一个系统，里面承载了好几种数据：一般数据、重要数据、个人信息、敏感个人信息。扩展测评就是在一个系统里， 把每种数据的安全要求都查一遍 。

适合什么场景？适合 “一个系统里混合了多种数据” 的情况。比如你的ERP系统，里面有员工信息（个人信息），有财务数据（重要数据），有供应商名录（一般数据），还有客户合同（商业秘密）。扩展测评就是把每种数据对应的安全要求都查一遍。

这个设计确实聪明。因为数据安全和网络安全最大的区别就是：网络安全可以按系统来管，但 数据是流动的，数据安全必须跨系统管 。两种查法对应了两种实际场景。

网络安全可以按系统来管，但数据是流动的，数据安全必须跨系统管

这份标准里所有的检查项，都叫“测评单元”。每个测评单元都有 四件套：查什么、找谁查、怎么查、怎么判 。拿一个三级系统的真实测评单元来拆。

测评单元L3-HRS7-03：关键岗位人员背景审查

查什么 （测评指标）数据安全关键岗位人员录用或上岗前应进行背景审查，审查通过方可录用和任职。

找谁查 （测评对象）涉及核心数据和重要数据的记录表单类文档。

怎么查 （测评实施）核查是否具有数据安全关键岗位人员录用或上岗前进行背景审查的相关文档和记录等，是否记录审查内容和审查结果等。

怎么判 （单元判定）如果测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。

再看一个稍微复杂点的。

测评单元L3-HRS7-07：全员数据安全培训

查什么 应对全员开展数据安全培训，加强数据安全防护意识教育。

找谁查 管理制度类文档和记录表单类文档。

怎么查 核查数据安全防护意识教育培训相关制度文档，是否明确培训周期、培训方式、培训内容和考核方式等；核查是否具有数据安全防护意识教育培训相关记录。

怎么判 如果两项都肯定，则符合。如果有一项否定，则“不符合或部分符合”。

三级四级系统加起来，像这样的测评单元有 上百个 。附录B里有一张巨大的映射表，把每个测评单元跟数据生命周期的8个环节（收集、存储、使用、加工、传输、提供、公开、销毁）对应起来，哪些环节适用哪些测评单元， 一目了然 。

三级系统是 最常见的等保级别 ，所以重点说三级。

三级系统的测评单元覆盖了所有安全类：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全数据处理、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。一共 11个安全类 。

从附录B那张大表来看， 安全计算环境的测评单元数量最多 ，因为计算环境是 数据安全的主战场 ：身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护，全在这块。每个控制点下面又有好几条具体要求，每条要求对应一个测评单元。

哪些是“容易翻车”的测评单元？

根据基本要求里的新增内容，这几个大概率是 重灾区 ：

数据溯源

测评人员会问你： 水印技术部署了没 ？展示环节能不能追溯？导出共享环节能不能追溯？数据血缘分析做了没？大多数企业连“数据血缘”是什么都没听说过，更别说做了。测评人员核查的时候，要看你的水印技术方案和部署证明，要看数据血缘关系记录。 没有就是不符合。

数据识别

测评人员会问你：网络边界能不能识别流出数据中的结构化重要数据和敏感数据？数据存储中能不能识别出重要数据和敏感数据？这条在基本要求里是“宜”（推荐性），但 存储识别是“应”（强制性） 。大多数企业没有数据识别工具，数据库里哪些是重要数据， 靠人工翻表 ，这在测评中显然过不了。

数据接口全生命周期管理

测评人员会问你：有没有数据接口管理制度？接口从申请到审批到开放到变更到注销，有没有全生命周期的记录？有没有制定安全控制策略？大多数企业 连API接口清单都没有 ，更别说全生命周期管理了。测评人员要看你的接口台账、审批记录、变更记录， 什么都没有就是不符合。

个人信息分开存储

测评人员会查你的数据库结构：可用于恢复识别个人的信息跟去标识化后的个人信息 分开存了没 ？个人生物识别信息跟个人身份信息分开存了没？很多APP把人脸和身份证信息放同一个表里，这条 直接不合格 。

一次审批一次输出

测评人员会翻你的审批记录：重要数据输出给外部的时候，是 一次授权针对一次输出 ，还是一个项目授权一次就反复用？你翻开你的审批记录看看，如果是一个合同批一次然后就一直用， 这条不符合。

这五项是 “以前没有现在必须有” 的，最容易出现“根本没做”的情况。其他那些身份鉴别、访问控制、安全审计之类的，以前等保就要做，大多数企业有基础，顶多是做得不够细致。但数据溯源、数据识别、数据标记、数据脱敏这四项，是基本要求里全新增的，很多企业真的是 零基础 。

所有测评单元都查完了，怎么判定你过没过？这份标准给了 三种结论 ：

符合

等级测评结果和数据安全测评结果中未发现安全问题，所有测评项的单项测评结果中部分符合和不符合项的统计结果全为0，综合得分为100分。

基本符合

等级测评结果和数据安全测评结果中存在安全问题，部分符合和不符合项的统计结果不全为0，但存在的安全问题不会导致被测数据面临高等级安全风险，且综合得分不低于阈值。

不符合

等级测评结果和数据安全测评结果中存在安全问题，部分符合项和不符合项的统计结果不全为0，而且存在的安全问题会导致被测数据面临高等级安全风险，或者综合得分低于阈值。

低风险的不符合项可以“基本符合”过关，高风险的直接判“不符合”。所以你做整改的时候，优先级很清楚： 先解决高风险的问题 ，低风险的能改就改，改不了至少不影响过测评。

测评人员来了之后，主要就是两件事： 访谈和核查 。访谈是问你，核查是翻你的文档和系统。所以你准备的东西也分两类：人和文档。

必须提前准备的文档

必须提前部署的技术能力

哪些临时能补，哪些来不及？

制度文档可以临时写 。数据安全管理制度、数据接口管理制度、数据销毁管理制度，这些文件可以提前一个月突击编写，测评的时候拿出来。

审批记录可以临时补 。之前没做一次审批一次输出的，赶紧把流程跑起来，之前的审批记录能补的补上。

但是 技术能力临时部署来不及 。水印技术、数据识别工具、数据标记系统，这些不是写个文档就行的，需要 采购产品、部署调试、跑通流程 。如果你现在什么都没有，测评前一个月才开始准备，技术能力这块肯定来不及。

数据分类分级也来不及临时做。分类分级需要梳理数据资产、识别数据类别、判定数据级别、编制数据清单，这个过程 至少几个月 。没做分类分级的企业， 连自己哪些系统处理重要数据都不知道 ，更别说按对应要求做测评准备了。