"

教材 告诉你该学什么， 考题 告诉你考什么， 考试规程 告诉你几点进场、怎么答题、多久交卷。

—— GA/T 2395-2026 过程指南

前两篇聊了 “该做什么” （GA/T 2380-2026 基本要求）和 “怎么查你做没做到” （测评要求），一个出题，一个编考题。但你拿到考题之后，考试流程怎么走？从进场到出报告，每一步干什么、谁来干、什么时候干？这份标准就是回答这些问题的。

全名：GA/T 2395-2026《信息安全技术 网络安全等级保护数据安全测评过程指南》。指南不长，但每一条都是 实操层面的硬规矩 。

基本要求是教材，测评要求是考题，过程指南是考试规程。

📌 本文看点

先看起草单位名单： 公安部第三研究所 、公安部网络安全保卫局、深圳市网安计算机安全检测技术有限公司、深信服科技股份有限公司、中国电子科技集团公司第十五研究所、阿里巴巴（北京）软件服务有限公司、中国邮政储蓄银行、杭州君同未来科技有限责任公司。

跟前两份又不一样了。基本要求那拨人 偏技术厂商 （美创、奇安信、天融信），测评要求那拨人 偏评估机构 （云集至、金融科技认证中心、铁科院），这份过程指南里多了几类角色：深信服是安全厂商但更偏测评服务，中电科 15 所是军工体系的信息安全国家队，邮储银行是甲方代表（被测单位视角），君同未来是新面孔。

还有一个人贯穿三份标准： 公安部第三研究所 。基本要求有它，测评要求有它，过程指南也有它。三份标准它全程参与，算是这套标准体系的 “总工” 。

看出门道了吗？基本要求是懂技术的人写的，测评要求是懂检查的人写的，过程指南是懂流程的人写的。出题的、编考题的、制定考试规程的，各干各的专业。

这份标准第 4 章第一段就写了一句很关键的话： “网络安全等级测评是数据安全测评的前提。”

这不是官僚主义的流程要求，是有道理的。数据安全测评的框架分两大块：

a）网络安全等级测评

承载数据的系统/平台按 GB/T 22239 做等级测评， 复用其测评结论 。如果数据流经多个系统，建议复用多个系统的测评结论。

b）数据安全测评

又分两小块。数据安全通用要求里，明确指出 “按照 GB/T 22239 实现的安全要求”可以直接复用 等级测评结果，不用再测一遍；不能复用的部分要单独测，包括数据处理活动要求和通用类的新增要求。

所以数据安全测评不是从零开始的，是 在等保测评的结论上叠加 的。等保测评已经查过的东西，数据安全这边直接拿来用，只查等保没覆盖的新增内容。这设计确实合理，不然企业得被查两遍，重复劳动。

等保测评的调研表是围绕系统填的：系统架构、网络拓扑、设备清单、安全配置。它问的是 “你的系统长什么样” 。

数据安全测评新增了一张数据调查表， 围绕数据填的 。标准里的表 1 给出了示例，每一列都是之前等保调研没问过的维度：

这张表才是数据安全测评的 真正起点 。没有这张表，测评机构连你有什么数据、数据在哪、级别多少、要不要出境都不知道，后面所有的测评工作无从下手。

而且这张表填起来比等保调研难多了。等保调研填的是系统信息，IT 部门自己就能搞定。数据调查表填的是数据信息，IT 部门说不清业务数据的内容和级别，业务部门说不清数据的流转和技术细节， 两边都得配合才能填完 。

标准把数据安全测评的完整流程拆成了四个活动： 测评准备、方案编制、现场测评、报告编制 。附录 A 给出了完整流程图。每个活动都有工作流程、主要任务、主要文档、双方职责四件套。

活动一：测评准备

四步走：明确测评范围和目标 → 组建团队和项目启动 → 数据调研和分析 → 工具和文档准备。

这里面最容易出岔子的是 “数据调研和分析” 这一步。测评机构发一张空的数据调查表给被测单位，被测单位填完交回来，测评机构根据填好的表加上等级测评报告，初步了解数据情况。

项目计划书里还有几个容易忽略的要求：测评要点列表、结果预期、方法技术和工具清单、涉及配合人员、时间计划。不是随便排个日程就行， 每个要点都要有判定准则 ，每个预期都要有交付物和交付形式。

活动二：方案编制（最复杂，8 个任务）

这是最复杂的一个活动，标准里给了 8 个任务，按顺序串起来：

8 个任务 一步都不能跳 。有人想偷懒，直接从第 5 步开始编方案，前面数据对象、处理活动、所属系统都没确定清楚，方案写出来就是空中楼阁。

活动三：现场测评

三步走：现场测评准备 → 现场测评和结果记录 → 结果确认和资料归还。

现场测评阶段，标准强调了一个核心原则： “围绕数据和数据处理活动进行评估” 。不是像等保测评那样站在系统里逐项查，而是 追着数据看每个处理环节 的安全措施有没有到位。测评方法综合采用访谈、文档核查、实地察看、工具测试。

还有四条原则：客观性和公正性、经济性和可重用性、可重复性和可再现性、结果完善性。另外 “恰当选取”和“强度适配” 两条：别查太多无意义的对象浪费时间，也别漏掉重点对象；查的力度要跟数据级别匹配，一般数据查得细没意义，核心数据查得粗是敷衍。

活动四：报告编制（六个任务，三个维度）

这是出结论的阶段，标准给了 6 个任务：

报告编制的底层逻辑变了： 结论不是只看“系统安全了没”，还要看“数据在每个处理环节安全了没” 。三个维度——数据处理活动、通用要求、系统等级测评——每个都要单独出结论。

附录 B 把数据安全测评过程和等级测评过程做了直接对比，这张表最能说明两者的差异。

测评准备：多了一张数据调查表

等保测评有“工作启动、信息收集和分析、工具和表单准备”三步。数据安全测评额外要做： 明确需求和目标、数据信息收集和分析，输出《数据清单》 。

方案编制：从“查系统”变成“先定数据再定指标”

等保测评六步（对象确定、指标确定、内容确定、工具测试方法确定、指导书开发、方案编制）。数据安全测评额外加了五步： 数据对象确定、数据处理活动确定、数据所属系统确定、数据类别级别确定、数据安全测评指标确定 。视角完全变了。

现场测评：系统视角 vs 数据视角

等保测评查系统，数据安全测评查数据。核心差异一句话： “围绕数据和数据处理活动进行评估” 。等保站在系统里看安全，数据安全跟着数据走看安全。

报告编制：三个维度出结论

等保测评七步（单项→单元→整体→保障评估→风险分析→结论→报告）。数据安全测评额外加了三步： 数据处理活动结果判定、通用要求结果判定、承载系统等级测评结果判定 。

等保测评的视角是“系统安全了，数据自然安全”。数据安全测评的视角是“系统安全是前提，但数据有自己的风险，要单独看”。

这份标准有个附录 C，标题叫“数据安全常见威胁”，看着不起眼， 实操价值很大 。它把 6 个数据处理活动 × 多种威胁类型列了一张大表，做风险评估的时候可以直接参照。

收集过程最容易翻车：过度获取

恶意代码注入、敏感数据丢失、数据污染、分类分级或标记错误、 采集数据过度获取 、采集数据难以追溯定责、采集频次未限定、网络钓鱼。

传输过程：内网不等于安全网

数据窃取、旁路攻击、网络监听、数据从高安全区域传输到低安全区域、 重要数据明文传输 、传输两端发起端与接收端不一致、病毒感染、传输数据劫持、撞库攻击等。

“重要数据明文传输”和“数据从高安全区传到低安全区”，这两条是 大多数企业的盲区 。内部系统之间传数据，很多人压根没想过加密，觉得“反正都在内网”。内网不等于安全网，这个观念得改。

存储过程：过多特权账号 + 审计线索不足

数据窃取、数据不可控、存储数据丢失、数据篡改、分类或标记错误、权限滥用、 过多特权账号 、SQL 注入、盗取应用程序访问令牌、撞库攻击、审计线索不足。数据库里一堆管理员账号，谁用谁的不清楚，出了事追不到人。

使用加工：分析结果滥用是隐藏雷

注入攻击、恶意盗取、中间人攻击、使用权限混乱、数据过度获取、信任滥用威胁、 分析结果滥用 、违规操作、敏感元数据未脱敏使用、错误处理敏感数据。

提供公开与删除销毁：交换未脱敏 + 残余数据利用

提供公开过程最常踩的坑： 交换数据未脱敏 ——数据给合作伙伴之前没脱敏，直接把生产数据拷过去，基本要求里“一次审批一次输出”就是针对这个。删除销毁过程的死穴： 残余数据利用和残余介质利用 ——硬盘报废了，格式化一遍就扔？格式化恢复数据的工具网上到处都是。

这张威胁表不是摆设。做数据安全风险评估的时候，你可以直接对着这张表 逐项排查 ：你的收集过程有没有过度获取？传输过程有没有明文传输？存储过程有没有特权账号泛滥？使用加工有没有分析结果没脱敏？提供公开有没有交换数据未脱敏？删除销毁有没有残余数据风险？一项一项对，比从零开始想威胁场景省太多力气了。

三份标准的关系再总结一遍：

GA/T 2380-2026 基本要求 告诉你该做什么，数据安全从散装变成了独立成域，按数据级别分档加码。

测评要求 告诉测评机构怎么查你做没做到，两种查法（专项测评跟着数据走，扩展测评站在系统里看），上百个测评单元，四件套（指标/对象/实施/判定）。

GA/T 2395-2026 过程指南 告诉整个测评流程怎么走，先做等保再叠加数据安全，四个活动一步一步来，数据调查表是起点，8 个方案编制任务不能跳，现场测评围绕数据和数据处理活动，报告出三个维度的结论。

三份标准加在一起，才是一套完整的等保数据安全体系。缺了哪一份，要么不知道该做什么，要么不知道怎么查，要么不知道流程怎么走。