176 號令配套迎檢工作底稿：網安自查表 + 制度模板 + 整改回復范本

2/2企業網絡空間安全合規自查與迎檢工作手冊

目錄第一部分政策法規解讀與合規認知 4第一章監管新規核心要點解讀 4第二章網絡安全管理組織架構 9第三章網絡安全等級保護管理制度 13第四章數據安全管理制度 16第五章個人信息保護制度 20第六章應急響應與事件處置制度 23第七章安全培訓與考核制度 25第三部分網安檢查對照自查表（12大項60+檢查點） 27第八章組織與人員管理檢查項 27第九章安全管理制度檢查項 28第十章網絡安全等級保護檢查項 29第十一章數據安全保護檢查項 30第十二章個人信息保護檢查項 31第十三章技術防護措施檢查項 32第十四章日志留存與審計檢查項 33第十五章應急響應與演練檢查項 34第十六章違法信息處置檢查項 35第十七章備案與變更檢查項 36第十八章技術支持與協助檢查項 37第十九章重大活動安保檢查項 37第四部分網絡安全日志留存規范與模板 39第二十章日志留存法律要求與標準 39第二十一章日志分類與內容規范 40第二十二章日志存儲與備份方案 42第二十三章常用日志模板 43第五部分安全技術防護配置清單 46第二十四章邊界安全防護配置 46第二十五章入侵檢測與防御配置 48第二十六章日志審計系統配置 49第二十七章數據安全防護配置 50第二十八章身份認證與訪問控制 51第六部分公安檢查接待與問題整改實務 54第二十九章檢查前準備工作 54第三十章現場檢查接待規范 56第三十一章問題整改與回復實務 58第三十二章約談與處罰應對指引 61第七部分典型案例匯編與風險警示 64第三十三章網絡安全類處罰案例 64第三十四章數據安全類處罰案例 66第三十五章個人信息保護類處罰案例 67第三十六章高頻違規風險點自查清單 69附錄 73附錄一：相關法律法規條文匯編 73附錄二：制度模板索引 78附錄三：臺賬與記錄表單模板 82附錄四：整改報告與回復函模板 84

第一部分政策法規解讀與合規認知第一章監管新規核心要點解讀1.1立法背景與施行時間法規條文：《公安機關網絡空間安全監督檢查辦法》（公安部令第176號）已經2026年7月1日第2次公安部部務會議審議通過，于2026年8月6日發布，自2026年10月1日起施行。該辦法同時廢止2018年發布的《公安機關互聯網安全監督檢查規定》（公安部令第151號）。《公安機關網絡空間安全監督檢查辦法》共23條，主要規定六方面內容：一是明確監督檢查對象，包括網絡運營者、數據處理者、個人信息處理者等；二是明確監督檢查方式，包括線上巡查、線下核查，日常檢查、專項檢查等；三是明確監督檢查內容，包括被檢查對象是否履行法定的網絡空間安全義務，以及重大活動安保期間的重點檢查內容等；四是明確監督檢查機制，要求在國家網絡安全、數據安全等機制統籌協調下，加強部門協調、聯合檢查，減少企業負擔；五是明確檢查結果運用，公安機關按檢查情況采取督促整改、發送公安提示函以及處罰等措施；六是明確相關法律責任，明確了公安機關及工作人員玩忽職守、濫用職權、泄露國家秘密等法律責任。監管范圍重大變化：與2018年《公安機關互聯網安全監督檢查規定》（公安部令第151號）相比，新《辦法》實現了監管范圍從“互聯網安全”擴展至“網絡空間安全”的重大升級，涵蓋網絡安全、數據安全、信息安全三大領域。《辦法》第二條明確，網絡空間安全包括網絡安全、數據安全和信息安全。這一變化并非簡單的修訂和補充，而是對公安機關網絡空間安全監督檢查制度的一次系統性重構：監管對象從互聯網服務提供者擴展至網絡運營者、數據處理者、個人信息處理者等網絡空間的所有參與者；檢查內容從網絡安全擴展至網絡安全、數據安全、信息安全，并首次明確將算法安全、個人信息保護等納入檢查范圍；檢查方式從現場檢查、遠程檢測進一步發展為網絡信息巡查、漏洞掃描、漏洞探測和滲透性測試；同時建立年度檢查、多部門協同、公安提示函、風險通報和負責人約談等機制。參考案例：案例一：“護網—2025”專項行動執法成果2025年，公安部部署各地公安機關深入推進“護網—2025”專項工作，聚焦人民群眾反映強烈的網絡和數據安全問題，持續加大監管和集中整治力度。2025年9月18日，公安部網安局公布6起不履行網絡安全、數據安全、個人信息保護義務的行政執法典型案例。全國公安機關累計查處未履行網絡安全保護義務案件超萬起，新規進一步細化執法標準。案例二：貴州某政務服務系統被網絡攻擊案2025年5月，貴州某單位政務服務系統遭網絡攻擊，被涉詐犯罪嫌疑人利用，造成群眾財產損失400余萬元。公安機關查明該系統運營者、承建方、運維方等未落實網絡安全主體責任，未采取防范計算機病毒和網絡攻擊、網絡侵入等危害網絡安全行為的技術措施，未采取監測、記錄網絡運行狀態、網絡安全事件的技術措施，未按規定留存網絡日志，未及時處置系統漏洞等安全風險，造成嚴重后果。當地政府部門依法對該單位直接負責的主管人員和其他直接責任人給予處分，當地公安機關依法對系統承建方、運維方等予以行政處罰并責令限期改正。合規啟示：

新《辦法》施行后，公安機關網絡空間安全監督檢查正在從相對偶發的網絡安全執法活動，逐步轉變為企業網絡、數據、個人信息安全治理體系中的一項常態化監管要求。企業有必要在《辦法》正式實施前，對自身網絡安全、數據安全、個人信息保護、算法安全和漏洞治理體系進行一次系統性梳理。2026年四季度將迎來新規施行后的首輪集中執法檢查。1.2適用對象與覆蓋范圍法規條文：《公安機關網絡空間安全監督檢查辦法》第二條規定：“本辦法適用于公安機關依法對網絡運營者、數據處理者、個人信息處理者等履行法律法規規定的網絡安全、數據安全、信息安全義務情況開展的監督檢查。”《辦法》第六條進一步明確，公安機關根據維護網絡空間安全需要，對下列對象依法開展監督檢查：（一）提供互聯網接入、數據中心、內容分發、域名服務、信息服務等的互聯網服務提供者；（二）公共上網服務提供者；（三）網絡運營者及其建設者、維護者；（四）關鍵信息基礎設施運營者及其建設者、維護者；（五）網絡產品、服務的提供者；（六）數據處理者；（七）個人信息處理者；（八）其他依法可以監督檢查的對象。覆蓋范圍解讀：《辦法》第六條列舉的監管對象已經覆蓋網絡運營、網絡產品和服務、數據處理、個人信息處理等多個領域。尤其值得注意的是，新增明確列舉了網絡運營者及其建設者、維護者，關鍵信息基礎設施運營者及其建設者、維護者，網絡產品、服務提供者，數據處理者，個人信息處理者。這意味著，企業凡是參與網絡空間活動的，都將成為公安機關監督檢查的對象。對于傳統制造、零售、消費品、醫藥、汽車、金融以及其他非互聯網企業而言，如果其運營網絡、處理數據、處理個人信息或者使用相關網絡產品和服務，同樣可能進入公安機關網絡空間安全監督檢查的范圍。企業亟需完成的重要認知轉換是：過去判斷的標準是“我是不是互聯網服務提供者”，而現在需要厘清的是“我是不是網絡空間安全相關主體”。覆蓋主體具體包括：網站運營者：各類企業官網、電商網站、內容網站等；移動應用程序（APP）

：各類手機應用軟件的開發者與運營者；小程序：微信小程序、支付寶小程序等平臺應用；SaaS平臺：軟件即服務平臺的運營者；電商企業：開展在線交易的所有電子商務經營者；提供公共WiFi的經營場所：酒店、商場、咖啡館等公共場所；數據處理服務商：從事數據采集、存儲、加工、分析等服務的企業；所有涉網主體：凡涉及網絡運營、數據處理、個人信息處理的各類組織。參考案例：案例一：新疆昌吉某能源公司被行政處罰2026年1月14日，吉木薩爾縣某能源有限公司未履行網絡安全保護義務，未按規定留存網絡日志，系統存在重大安全漏洞。吉木薩爾縣公安局依據《中華人民共和國網絡安全法》，對該企業給予行政警告處罰，并責令其限期整改。公安機關對昌吉某能源公司開展檢查時發現，該公司運維的某系統操作日志無法調取，網絡邊界未部署防火墻，日志審計設備長期閑置，系統處于“裸奔”狀態，違反了《網絡安全法》關于日志留存不少于6個月的強制性要求。合規啟示：

能源公司作為傳統線下企業，同樣屬于監管范圍。并非只有互聯網公司才需要履行網絡空間安全義務，所有運營網絡、處理數據的企業都應當落實相關法律法規要求。案例二：江蘇某短信平臺未采取技術防護措施被網絡攻擊案2025年5月，江蘇蘇州吳江某公司建設的短信群發系統被攻擊冒用，并發送詐騙短信27000余條。公安機關查明因相關短信群發平臺未進行等保備案測評，未采取技術防護措施，導致被犯罪嫌疑人攻擊控制，短信服務被冒用濫發。當地公安機關已依法對該系統建設運維方予以行政處罰并責令限期改正。1.3監督檢查方式與程序法規條文：《公安機關網絡空間安全監督檢查辦法》第四條規定：“公安機關通過網絡信息巡查、信息審核能力測試、漏洞掃描等不影響被檢查對象正常業務運行和網絡空間安全的方式，對本轄區范圍內被檢查對象的網絡空間安全情況進行線上巡查，以發現風險隱患。開展信息審核能力測試的，應當提前三個工作日告知被檢查對象巡查時間、巡查范圍等事項。設區的市級以上公安機關可以通過漏洞探測、滲透性測試等方式，對本轄區范圍內關鍵信息基礎設施以外的網絡設施、信息系統進行遠程檢測，但應當提前三個工作日告知被檢查對象檢查時間、檢查范圍等事項，不得干擾、破壞被檢查對象網絡設施、信息系統的正常運行，并通報同級網信部門、行業主管部門。對基礎電信網絡開展漏洞探測、滲透性測試等活動的，應當依照《關鍵信息基礎設施安全保護條例》等有關規定進行。對線上巡查、遠程檢測發現的風險隱患，應當進行核查；必要時，通過現場檢查等方式進行線下核查。”監督檢查方式具體包括：線上巡查：通過網絡信息巡查、信息審核能力測試、漏洞掃描等方式進行，不影響被檢查對象正常業務運行；遠程檢測：設區的市級以上公安機關可通過漏洞探測、滲透性測試等方式進行遠程檢測，但應提前三個工作日告知；線下核查：對線上巡查、遠程檢測發現的風險隱患進行核查，必要時通過現場檢查等方式進行線下核查；日常檢查：公安機關根據年度工作計劃開展的常規監督檢查；專項檢查：針對特定領域、特定時期或特定事件開展的專門監督檢查。現場檢查程序：《辦法》第五條規定：“開展網絡空間安全現場檢查，由被檢查對象運營機構所在地縣級以上公安機關實施。被檢查對象為個人的，由其經常居住地公安機關實施。前款所稱運營機構所在地，是指運營者的實際主要運營地，或者管理機構所在地、網絡設施所在地、工商注冊登記地等。公安機關對監督檢查的管轄權存在爭議的，由共同的上級公安機關指定實施監督檢查的公安機關。上級公安機關應當對下級公安機關開展監督檢查的情況進行指導和監督。必要時，可以提級或者組織有關公安機關開展監督檢查。”現場檢查人民警察不得少于二人，并出示人民警察證和監督檢查通知書。檢查措施包括：進入被檢查對象的經營場所、網絡設施所在地、機房等；詢問被檢查對象相關人員；查閱、復制與網絡空間安全相關的資料；查看被檢查對象采取的技術措施及其運行情況；開展漏洞探測與滲透性測試（由地市級以上公安機關組織實施）。聯合檢查機制：《辦法》明確要求建立健全與有關部門的監督檢查協作配合機制，加強跨部門協同配合、信息溝通，合理確定現場檢查的頻次、范圍、方式，避免重復檢查、交叉檢查。公安機關對相關行業開展現場檢查的，應當事先告知網信部門、行業主管部門，盡量聯合開展檢查，減少企業負擔。同時，鼓勵采用線上巡查等方式開展檢查，最大程度降低對企業經營的影響。技術支持：公安機關可委托網絡安全服務機構提供技術支持，并向上一級公安機關備案。對采取漏洞探測、滲透性測試等方式開展遠程檢測的，要求由地市級以上公安機關組織實施。1.4檢查結果運用與法律責任法規條文：《公安機關網絡空間安全監督檢查辦法》規定，公安機關根據檢查情況可采取以下措施：督促整改：對發現的問題督促被檢查對象限期整改；發送公安提示函：針對存在的安全風險隱患發送提示函；約談負責人：省級以上公安機關可對法定代表人或主要負責人進行約談；縣級以上公安機關可對數據處理、個人信息處理相關組織和個人進行約談；行政處罰：依法作出行政處罰；通報：發現重大安全風險隱患的，通報行業主管部門、網信部門。法律責任條文：《中華人民共和國網絡安全法》（2026修正版）第五十九條規定：“網絡運營者不履行本法第二十一條、第二十五條規定的網絡安全保護義務的，由有關主管部門責令改正，給予警告；拒不改正或者導致危害網絡安全等后果的，處一萬元以上十萬元以下罰款，對直接負責的主管人員處五千元以上五萬元以下罰款。”《中華人民共和國數據安全法》第四十五條規定：“開展數據處理活動的組織、個人不履行本法第二十七條、第二十九條、第三十條規定的數據安全保護義務的，由有關主管部門責令改正，給予警告，可以并處五萬元以上五十萬元以下罰款，對直接負責的主管人員和其他直接責任人員可以處一萬元以上十萬元以下罰款；拒不改正或者造成大量數據泄露等嚴重后果的，處五十萬元以上二百萬元以下罰款，并可以責令暫停相關業務、停業整頓、吊銷相關業務許可證或者吊銷營業執照，對直接負責的主管人員和其他直接責任人員處十萬元以上一百萬元以下罰款。”《中華人民共和國個人信息保護法》第六十六條規定：“違反本法規定處理個人信息，或者處理個人信息未履行本法規定的個人信息保護義務的，由履行個人信息保護職責的部門責令改正，給予警告，沒收違法所得，對違法處理個人信息的應用程序，責令暫停或者終止提供服務；拒不改正的，并處一百萬元以下罰款；對直接負責的主管人員和其他直接責任人員處一萬元以上十萬元以下罰款。情節嚴重的，由省級以上部門責令改正，沒收違法所得，并處五千萬元以下或者上一年度營業額百分之五以下罰款，并可以責令暫停相關業務或者停業整頓、通報有關主管部門吊銷相關業務許可或者吊銷營業執照；對直接負責的主管人員和其他直接責任人員處十萬元以上一百萬元以下罰款，并可以決定禁止其在一定期限內擔任相關企業的董事、監事、高級管理人員和個人信息保護負責人。”重點檢查對象：《辦法》第六條規定：“對曾發生網絡安全、數據安全等事件，或者因未履行法定網絡安全、數據安全、信息安全義務被行政處罰且未按照要求整改的，應當重點開展監督檢查。”參考案例：案例：河南商丘某學校數據泄露案2026年8月，河南商丘網警在日常工作中發現，轄區內某學校的網絡服務器開放高危端口，疑似持續遭受網絡攻擊，存在嚴重的數據泄露風險。經查，該校在校園網絡安全管理中存在多項突出問題：防護措施缺失，校園網絡未采取必要安全防護措施；存儲人臉信息及進出軌跡數據的服務器開放高危端口、開啟明文Telnet服務并直接暴露在互聯網，且未按規定留存網絡日志。屬地公安機關依據《中華人民共和國網絡安全法》相關規定，依法對該校作出行政處罰，并責令其限期改正。

第二部分網絡安全管理制度體系建設第二章網絡安全管理組織架構2.1安全管理機構設置法規條文：《中華人民共和國網絡安全法》第二十一條規定，網絡運營者應當確定網絡安全負責人，落實網絡安全保護責任。《公安機關網絡空間安全監督檢查辦法》第七條將“是否依法制定并落實網絡安全、數據安全、信息安全管理制度和操作規程”列為重點檢查內容。組織架構設計：企業應根據自身規模、業務性質和安全風險等級，建立分層級的網絡安全管理組織架構：一、網絡安全領導小組組成：由企業主要負責人（法定代表人/董事長/總經理）擔任組長，分管領導擔任副組長，各相關部門負責人為成員。職責：統籌決策企業網絡安全重大事項，審批網絡安全管理制度和預算，協調解決網絡安全重大問題，定期聽取網絡安全工作匯報。會議制度：至少每季度召開一次領導小組會議，重大安全事件發生時隨時召開。二、安全管理部門設置要求：根據企業規模設置獨立的安全管理部門或在現有部門中設置安全職能。部門職責：負責網絡安全日常管理、制度制定與執行、安全風險評估、安全事件處置、安全培訓組織、等級保護工作推進等。人員配置：配備部門負責人1名、安全管理人員若干名。三、專職/兼職安全員配置標準企業規模安全員配置要求小型企業（50人以下）至少1名兼職安全員中型企業（50-200人）至少1名專職安全員大型企業（200人以上）至少2名以上專職安全員涉及重要數據/個人信息應增設數據安全專員、個人信息保護專員崗位職責說明書模板：（一）網絡安全負責人崗位職責全面負責企業網絡安全管理工作，對法定代表人負責；組織制定并落實網絡安全管理制度和操作規程；組織落實網絡安全等級保護制度，完成定級、備案、測評等工作；組織開展網絡安全教育培訓；組織制定網絡安全事件應急預案并開展演練；組織落實數據安全和個人信息保護義務；定期向法定代表人/領導小組報告網絡安全狀況；配合公安機關等主管部門的監督檢查。（二）系統管理員崗位職責負責信息系統的日常運行維護；執行系統安全配置和加固措施；管理系統賬號和權限分配；監測系統運行狀態，發現異常及時報告；執行系統備份和恢復操作；記錄系統運維操作日志。（三）安全審計員崗位職責獨立開展安全審計工作；審計系統管理員、運維人員的操作行為；定期審查安全日志和審計記錄；發現違規操作及時報告；編制安全審計報告。（四）運維人員崗位職責負責網絡設備和安全設備的日常維護；執行安全策略配置和變更；開展安全巡檢和漏洞修復；記錄運維操作日志；參與安全事件應急處置。權責分離原則：

系統管理員與安全審計員應職責分離，不得由同一人擔任，確保相互監督制約。參考案例：案例：吉林某醫藥公司因未設立安全管理機構被處罰吉林長春公安網安部門在開展網絡安全監督檢查時發現，吉林某醫藥公司在經營過程中存儲大量公民個人信息，但在數據安全上卻“四大皆空”——無制度、無培訓、無技術、無防護。其存儲敏感數據的服務器甚至直接暴露于互聯網。該公司未設立安全管理機構、無專職安全管理人員，被認定為數據安全“四大皆空”予以處罰。公安機關根據《中華人民共和國數據安全法》第二十七條、第四十五條規定，依法追究該公司的法律責任并責令其限期改正。合規啟示：

設立安全管理機構、配備專職安全管理人員是法律強制性要求，不是可選項。企業無論規模大小，只要涉及網絡運營、數據處理，就必須建立相應的安全管理組織。2.2人員安全管理一、安全管理人員任職要求與持證上崗網絡安全管理人員應具備以下條件：基本條件：具有中華人民共和國國籍；無犯罪記錄；具備良好的政治素質和職業道德。專業能力：熟悉網絡安全相關法律法規；具備網絡安全管理知識和技能；了解本企業業務系統和數據處理流程；持有相關專業學歷或認證證書者優先。行業常見合規資質包括：網絡安全等級保護測評師；注冊信息安全專業人員（CISP）；信息安全保障人員認證（CISAW）；其他經國家認可的信息安全相關認證。二、人員入職安全審查流程背景審查：核實身份信息；查詢犯罪記錄；核實學歷和工作經歷；了解是否有網絡安全相關違規記錄。安全承諾：簽署保密協議；簽署網絡安全責任書；明確告知安全管理制度和違規后果。入職培訓：接受網絡安全基礎培訓；了解本企業安全管理制度；明確崗位安全職責。三、人員離崗安全審查流程離崗前審查：完成工作交接；歸還所有權限和賬號；歸還涉密資料和設備；簽署離崗保密承諾書。權限回收：立即注銷系統賬號；回收物理訪問權限；收回門禁卡、鑰匙等。離崗審計：審計離崗前一段時間內的操作記錄；確認無異常數據訪問和導出行為。四、第三方人員訪問管理規范準入管理：第三方人員進入前須提交身份證明；簽署保密協議和安全承諾書；明確訪問范圍和權限；全程陪同或監控。訪問控制：最小權限原則，僅授予必要權限；設置訪問有效期；限制對敏感數據和核心系統的訪問。審計記錄：記錄第三方人員的訪問行為；保留訪問日志不少于六個月；定期審查第三方訪問記錄。法規條文：《網絡安全等級保護基本要求》（GB/T22239-2019）對人員安全管理提出了明確要求，包括人員錄用、人員離崗、安全意識教育和培訓、外部人員訪問管理等。第三章網絡安全等級保護管理制度3.1等級保護定級與備案法規條文：《中華人民共和國網絡安全法》第二十一條規定：“國家實行網絡安全等級保護制度。網絡運營者應當按照網絡安全等級保護制度的要求，履行下列安全保護義務，保障網絡免受干擾、破壞或者未經授權的訪問，防止網絡數據泄露或者被竊取、篡改：（一）制定內部安全管理制度和操作規程，確定網絡安全負責人，落實網絡安全保護責任；（二）采取防范計算機病毒和網絡攻擊、網絡侵入等危害網絡安全行為的技術措施；（三）采取監測、記錄網絡運行狀態、網絡安全事件的技術措施，并按照規定留存相關的網絡日志不少于六個月；（四）采取數據分類、重要數據備份和加密等措施；（五）法律、行政法規規定的其他義務。”《公安機關網絡空間安全監督檢查辦法》第七條將“是否依法履行網絡安全等級保護定級備案、等級測評、建設整改、自查等安全保護義務”列為重點檢查內容。定級流程：等級保護定級遵循‘自主定級、專家評審（三級及以上強制）、主管部門核準（如有）、公安機關備案’的基本流程（二級系統可根據實際組織評審，三級及以上必須評審）：第一步：確定定級對象明確需要定級的信息系統范圍；包括核心業務系統、辦公系統、網站、APP等所有信息系統。第二步：確定安全保護等級根據系統遭受破壞后的危害程度，確定安全保護等級（一級至五級）：等級名稱適用對象危害程度第一級自主保護級一般信息系統損害公民、法人和其他組織的合法權益第二級指導保護級較重要信息系統嚴重損害公民、法人和其他組織的合法權益第三級監督保護級重要信息系統損害社會秩序和公共利益第四級強制保護級非常重要信息系統嚴重損害社會秩序和公共利益第五級專控保護級極端重要信息系統損害國家安全第三步：專家評審組織專家對定級結果進行評審；形成專家評審意見。第四步：主管部門審批有行業主管部門的，報主管部門審批；無行業主管部門的，由本單位自行確定。第五步：公安機關備案向所在地設區的市級以上公安機關備案；提交備案材料。備案材料清單：信息系統安全等級保護備案表；信息系統安全等級保護定級報告；信息系統安全保護等級專家評審意見；主管部門審批意見（如有）；系統拓撲圖及說明；系統安全組織機構和管理制度；系統安全保護設施設計實施方案或改建實施方案；系統使用的信息安全產品清單及認證證明；系統等級測評報告（如已開展）。二級/三級系統差異對照表：對比項二級系統三級系統適用對象較重要信息系統重要信息系統測評周期每兩年至少一次每年至少一次備案要求需備案強制備案監管方式指導保護監督保護技術要求基本要求較高要求，更多控制點制度要求基本管理制度更完善的制度體系應急要求基本應急預案更詳細的應急預案和演練參考案例：案例：安徽某電子商務公司未開展等級保護工作被處罰2025年5月，安徽合肥某電子商務有限公司旗下網站內的旅客購票信息遭泄露。公安機關查明，由于該公司網絡和數據安全保護意識薄弱，未制定網絡安全管理制度和個人信息保護制度，未開展等級保護工作，未按規定要求留存網絡日志數據，未采取技術防護措施，未及時處置系統漏洞風險，導致相關數據被犯罪嫌疑人批量爬取。當地公安機關已依法對該公司予以行政處罰并責令限期改正。合規啟示：

等級保護是法律強制性義務，非互聯網企業同樣必須履行。未開展等級保護工作已成為公安機關執法的重點查處事項。3.2等級測評與整改測評周期要求：二級系統：每兩年至少開展一次等級測評；三級系統：每年至少開展一次等級測評；四級系統：每半年至少開展一次等級測評。測評機構選擇規范：資質要求：測評機構應具備國家認可的等級保護測評資質；測評人員應持有相關資質證書。選擇流程：查詢國家網絡安全等級保護工作協調小組辦公室公布的測評機構名單；評估機構的技術能力和行業經驗；簽訂正式測評服務合同；明確測評范圍、標準和交付物。注意事項：不得選擇無資質機構進行測評；測評機構與被測評系統無利益關系；測評過程應客觀、公正。測評問題整改跟蹤機制：一、問題分類與分級問題級別定義整改時限高危可能導致系統被攻破、數據泄露立即整改（7日內）中危存在安全隱患，可能被利用限期整改（30日內）低危合規性瑕疵，風險較低計劃整改（90日內）二、整改跟蹤流程建立整改臺賬：記錄每個問題的描述、級別、整改措施、責任人、時限；定期跟蹤進度：每周/每月跟蹤整改進度；整改驗證：完成整改后進行驗證，確認問題已解決；復測確認：重要問題整改后應進行復測；歸檔保存：保存整改記錄和驗證材料。三、整改報告要求整改報告應包括：問題概述和分級；整改措施和過程；整改完成時間和驗證結果；長效機制建設說明。第四章數據安全管理制度4.1數據全生命周期管理法規條文：《中華人民共和國數據安全法》第二十七條規定：“開展數據處理活動應當依照法律、法規的規定，建立健全全流程數據安全管理制度，組織開展數據安全教育培訓，采取相應的技術措施和其他必要措施，保障數據安全。利用互聯網等信息網絡開展數據處理活動，應當在網絡安全等級保護制度的基礎上，履行上述數據安全保護義務。”《中華人民共和國數據安全法》第二十一條規定：“國家建立數據分類分級保護制度，根據數據在經濟社會發展中的重要程度，以及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，對國家安全、公共利益或者個人、組織合法權益造成的危害程度，對數據實行分類分級保護。”數據分類分級標準與操作指南：一、數據分類按業務屬性和內容將數據分為以下類別：類別說明示例用戶數據用戶個人信息及相關數據姓名、身份證號、聯系方式等業務數據企業運營產生的業務數據交易記錄、訂單信息等財務數據企業財務相關信息財務報表、銀行賬戶等技術數據技術研發相關信息源代碼、技術文檔等管理數據內部管理相關信息人力資源、行政管理等二、數據分級按數據敏感程度和危害后果分為以下級別：級別名稱定義示例L1公開級可對外公開的數據企業公開信息、新聞稿L2內部級僅限內部使用內部通知、一般工作文檔L3敏感級泄露會造成一定損害客戶信息、員工信息L4機密級泄露會造成嚴重損害重要商業機密、大量個人信息L5核心級泄露會造成特別嚴重損害國家秘密、核心知識產權三、操作指南企業應制定數據分類分級操作手冊，明確：各類各級數據的識別標準；分類分級的操作流程；不同級別數據的保護要求；分類分級的變更管理。數據全流程管控要點：（一）數據采集明確采集目的和范圍，遵循最小必要原則；采集個人信息應取得合法授權和同意；記錄數據采集的來源、時間、方式和數量；確保采集渠道合法合規。（二）數據存儲根據數據級別采取相應的加密存儲措施；重要數據應進行備份；存儲介質應符合安全要求；建立數據存儲的訪問控制機制。（三）數據傳輸重要數據傳輸應采用加密通道；傳輸過程中應防止數據泄露和篡改；記錄數據傳輸的日志。（四）數據使用建立數據使用的審批流程；遵循最小必要原則，僅授予必要權限；記錄數據訪問和使用的日志；敏感數據使用應進行脫敏處理。（五）數據銷毀制定數據銷毀的制度和流程；數據銷毀應采取不可恢復的方式；記錄數據銷毀的審批和操作日志；銷毀后確認數據無法恢復。參考案例：案例：吉林長春某醫藥公司數據安全“四大皆空”被處罰吉林長春公安網安部門在開展網絡安全監督檢查時發現，吉林某醫藥公司在經營過程中存儲大量公民個人信息，但在數據安全上卻“四大皆空”——未建立全流程數據安全管理制度、未開展數據安全教育培訓、未采取技術防護措施、存儲敏感數據的服務器直接暴露于互聯網。針對該醫藥公司未履行數據安全保護義務行為，公安機關根據《中華人民共和國數據安全法》第二十七條、第四十五條規定，依法追究該公司的法律責任并責令其限期改正。合規啟示：

全流程數據安全管理制度是《數據安全法》的強制性要求。制度、人員、技術缺一不可，任何一項缺失都可能構成違法。4.2重要數據保護重要數據識別標準：根據《數據安全法》及相關規定，重要數據是指一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，可能危害國家安全、經濟運行、社會穩定、公共健康和安全的數據。主要包括：政治、國土、軍事、經濟、文化、社會、科技、生態等方面的數據；涉及國家秘密的數據；關系國計民生的關鍵基礎設施數據；大量匯聚的個人信息；其他可能影響國家安全、公共利益的數據。數據備份與恢復策略：備份策略數據類型備份頻率備份方式保存期限重要業務數據每日全量+增量永久/按法規要求一般業務數據每周全量不少于3年系統配置數據變更時全量長期保存日志數據每日增量不少于6個月二、恢復策略制定數據恢復預案，明確恢復流程和責任人；定期進行數據恢復演練（至少每年一次）；建立異地備份機制，防止區域性災難；備份數據應與生產數據隔離存儲；定期驗證備份數據的可用性和完整性。數據出境合規管理：法規條文：《中華人民共和國數據安全法》第三十六條規定：“非經中華人民共和國主管機關批準，境內的組織、個人不得向外國司法或者執法機構提供存儲于中華人民共和國境內的數據。”《中華人民共和國個人信息保護法》第三章對個人信息跨境提供作出了詳細規定。數據出境的合規路徑：數據出境安全評估：向境外提供重要數據，或者關鍵信息基礎設施運營者和處理個人信息達到國家網信部門規定數量的個人信息處理者向境外提供個人信息的，應當通過國家網信部門組織的數據出境安全評估；個人信息出境標準合同：通過訂立標準合同的方式向境外提供個人信息；個人信息保護認證：通過專業機構的個人信息保護認證。數據出境合規要點：識別是否涉及重要數據出境；評估數據出境的必要性和合法性；選擇適當的合規路徑（安全評估/標準合同/認證）；取得數據主體的單獨同意（如涉及個人信息）；開展個人信息保護影響評估；簽訂相關協議，明確雙方責任；留存相關記錄和材料。參考案例：案例：迪奧（上海）公司違規跨境傳輸個人信息被處罰2025年5月，多家媒體報道法國時尚消費品牌迪奧發生數據泄露事件，中國大陸地區用戶也陸續收到迪奧官方警示短信。公安網安部門組織對迪奧（上海）公司依法開展行政調查。經查，迪奧（上海）公司存在三項違法事實：一是未通過數據出境安全評估、訂立個人信息出境標準合同或通過個人信息保護認證，違規向法國迪奧總部傳輸用戶個人信息；二是向法國迪奧總部提供用戶個人信息前未取得用戶單獨同意；三是未對收集的個人信息采取加密、去標識化等安全技術措施。屬地公安機關依據《中華人民共和國個人信息保護法》規定，對迪奧（上海）公司依法予以行政處罰。合規啟示：

數據出境必須走法定程序，單獨同意是必備要件。跨國企業向境外總部傳輸數據，必須依法完成安全評估、標準合同或認證程序。第五章個人信息保護制度5.1個人信息處理合規法規條文：《中華人民共和國個人信息保護法》第五條規定：“處理個人信息應當遵循合法、正當、必要和誠信原則，不得通過誤導、欺詐、脅迫等方式處理個人信息。”《中華人民共和國個人信息保護法》第六條規定：“處理個人信息應當具有明確、合理的目的，并應當與處理目的直接相關，采取對個人權益影響最小的方式。收集個人信息，應當限于實現處理目的的最小范圍，不得過度收集個人信息。”《中華人民共和國個人信息保護法》第七條規定：“處理個人信息應當遵循公開、透明原則，公開個人信息處理規則，明示處理的目的、方式、范圍。”《中華人民共和國個人信息保護法》第八條規定：“處理個人信息應當保證個人信息的質量，避免因個人信息不準確、不完整對個人權益造成不利影響。”《中華人民共和國個人信息保護法》第九條規定：“個人信息處理者應當對其個人信息處理活動負責，并采取必要措施保障所處理的個人信息的安全。”《中華人民共和國個人信息保護法》第十條規定：“任何組織、個人不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息，不得從事危害國家安全、公共利益的個人信息處理活動。”《中華人民共和國個人信息保護法》第十一條規定：“國家建立健全個人信息保護制度，預防和懲治侵害個人信息權益的行為，加強個人信息保護宣傳教育，推動形成政府、企業、相關社會組織、公眾共同參與個人信息保護的良好環境。”個人信息收集告知與同意機制：一、告知要求處理個人信息前，應以顯著方式、清晰易懂的語言向個人告知下列事項：個人信息處理者的名稱和聯系方式；個人信息的處理目的、處理方式；處理的個人信息種類、保存期限；個人行使權利的方式和程序；法律、行政法規規定的其他事項。二、同意要求基于個人同意處理個人信息的，該同意應當由個人在充分知情的前提下自愿、明確作出；法律、行政法規規定處理個人信息應當取得個人單獨同意或者書面同意的，從其規定；個人有權撤回其同意，處理者應當提供便捷的撤回方式；處理敏感個人信息應當取得個人的單獨同意。三、告知同意操作要點制定清晰的個人信息保護政策（隱私政策）；在收集個人信息前展示并獲取同意；不得以默認同意、捆綁同意等方式獲取授權；單獨處理敏感個人信息時需單獨彈窗提示并獲取同意；保存同意記錄備查。敏感個人信息特殊保護要求：敏感個人信息包括：生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。處理敏感個人信息應當：具有特定的目的和充分的必要性；取得個人的單獨同意；向個人告知處理敏感個人信息的必要性及對個人權益的影響；事前進行個人信息保護影響評估，并對處理情況進行記錄；采取更嚴格的安全保護措施。參考案例：案例：某人工智能公司處理人臉生物識別信息未開展影響評估被處罰公安網安部門在“護網—2025”專項工作中發現，某主營業務為對外提供人工智能模型訓練基礎數據（算料）的科技有限公司，在處理人臉等生物識別類敏感個人信息前，未按《個人信息保護法》有關規定進行個人信息保護影響評估。屬地公安機關依據《中華人民共和國個人信息保護法》規定，對該公司依法予以行政處罰，并責令整改。合規啟示：

處理人臉等敏感個人信息，必須事前開展個人信息保護影響評估并留存評估報告。這是《個人信息保護法》的強制性要求，不可省略。5.2個人信息主體權利保障個人信息主體權利：根據《個人信息保護法》第四章，個人在個人信息處理活動中享有以下權利：知情權：了解個人信息的處理情況；決定權：決定是否同意處理個人信息；查閱權：查閱、復制個人信息；更正權：請求更正不準確的個人信息；刪除權：在特定情形下請求刪除個人信息；撤回同意權：撤回對個人信息處理的同意；注銷權：注銷賬號；投訴舉報權：向有關部門投訴舉報。權利響應流程：一、查詢/更正響應流程受理：通過客服渠道、在線表單、郵件等方式受理用戶請求；身份核驗：核實請求人身份，確保為本人或其授權代理人；處理：在法定期限內（通常為15個工作日內）完成查詢或更正；反饋：將處理結果告知請求人；記錄：保存處理記錄備查。二、刪除/撤回同意響應流程受理：受理用戶的刪除或撤回同意請求；身份核驗：核實請求人身份；評估：評估是否存在法定不予刪除的情形；處理：在法定期限內完成刪除或停止處理；通知：將刪除/撤回同意的結果告知請求人；記錄：保存處理記錄。個人信息泄露通知與補救機制：法規條文：《中華人民共和國個人信息保護法》第五十七條規定：“發生或者可能發生個人信息泄露、篡改、丟失的，個人信息處理者應當立即采取補救措施，并通知履行個人信息保護職責的部門和個人。通知應當包括下列事項：（一）發生或者可能發生個人信息泄露、篡改、丟失的信息種類、原因和可能造成的危害；（二）個人信息處理者采取的補救措施和個人可以采取的減輕危害的措施；（三）個人信息處理者的聯系方式。個人信息處理者采取措施能夠有效避免信息泄露、篡改、丟失造成危害的，個人信息處理者可以不通知個人；但是，履行個人信息保護職責的部門認為可能造成危害的，有權要求個人信息處理者通知個人。”泄露通知流程：立即發現：通過技術監測、用戶舉報等途徑發現泄露；立即處置：立即采取補救措施，阻止進一步泄露；影響評估：評估泄露的范圍、原因和可能造成的危害；報告監管部門：及時向履行個人信息保護職責的部門報告；通知個人：按規定通知受影響的個人；持續跟蹤：跟蹤事件處置進展，直至完成。第六章應急響應與事件處置制度6.1應急預案體系法規條文：《中華人民共和國網絡安全法》第二十五條規定：“網絡運營者應當制定網絡安全事件應急預案，及時處置系統漏洞、計算機病毒、網絡攻擊、網絡侵入等安全風險；在發生危害網絡安全的事件時，立即啟動應急預案，采取相應的補救措施，并按照規定向有關主管部門報告。”《公安機關網絡空間安全監督檢查辦法》第七條將網絡安全漏洞、隱患整改列為重點檢查內容。應急預案編制框架：一、總則編制目的：規范網絡安全事件應急處置，最大限度減少損失；編制依據：《網絡安全法》《數據安全法》《個人信息保護法》等；適用范圍：本企業所有信息系統和網絡設施；工作原則：預防為主、快速響應、分級處置、協同配合。二、組織體系應急領導小組：負責重大決策和指揮；應急工作組：負責具體應急處置；技術支持組：負責技術層面的應急處理；聯絡協調組：負責內外溝通協調。三、事件分級標準級別名稱定義響應要求Ⅰ級特別重大事件危害國家安全、造成特別重大損失立即上報，全面響應Ⅱ級重大事件危害公共利益、造成重大損失快速上報，全力處置Ⅲ級較大事件危害企業運營、造成較大損失內部處置，視情上報Ⅳ級一般事件影響范圍小、損失輕微常規處置，記錄備查四、響應流程事件發現：通過技術監測、用戶報告、第三方通報等途徑發現；初步判斷：判斷事件類型和級別；啟動響應：根據事件級別啟動相應預案；應急處置：采取隔離、修復、恢復等措施；信息報告：按規定向主管部門報告；事件總結：分析原因，完善措施；恢復重建：恢復正常運營，加固防護。五、保障措施技術保障：必要的技術工具和平臺；物資保障：應急物資和設備；人員保障：應急隊伍的培訓和演練；資金保障：應急經費預算。6.2應急演練與持續改進年度演練計劃制定：企業應制定年度應急演練計劃，包括：演練類型頻率參與范圍目的桌面推演每季度一次應急工作組成員檢驗預案和流程專項演練每半年一次相關部門檢驗專項處置能力綜合演練每年一次全公司檢驗整體應急能力實戰演練每年一次安全團隊檢驗實戰應對能力演練記錄與報告模板：演練記錄應包括以下內容：基本信息：演練名稱、時間、地點、參與人員；演練場景：模擬的事件類型和情景；演練過程：各階段的處置動作和時間節點；問題發現：演練中暴露的問題和不足；改進措施：針對問題提出的改進措施；演練總結：整體評價和結論。預案修訂機制：定期修訂：每年至少修訂一次應急預案；事件驅動修訂：發生安全事件后應及時修訂；演練驅動修訂：演練發現問題后及時修訂；法規驅動修訂：相關法律法規變化時及時修訂；業務驅動修訂：業務系統重大變更時及時修訂。參考案例：案例：貴州某政務系統未落實安全責任被處罰2025年5月，貴州某單位政務服務系統遭網絡攻擊，被涉詐犯罪嫌疑人利用，造成群眾財產損失400余萬元。公安機關查明該系統運營者、承建方、運維方等未落實網絡安全主體責任，未采取防范計算機病毒和網絡攻擊、網絡侵入等危害網絡安全行為的技術措施，未采取監測、記錄網絡運行狀態、網絡安全事件的技術措施，未按規定留存網絡日志，未及時處置系統漏洞等安全風險，造成嚴重后果。當地公安機關已依法對系統承建方、運維方等予以行政處罰并責令限期改正。合規啟示：

應急響應不是“有了就行”，而是要切實執行。未及時處置漏洞、未有效應對安全事件，同樣構成違法。第七章安全培訓與考核制度7.1全員安全培訓法規條文：《中華人民共和國數據安全法》第二十七條明確要求“組織開展數據安全教育培訓”。《中華人民共和國網絡安全法》要求網絡運營者落實網絡安全保護責任，包含對人員的培訓要求。年度培訓計劃模板：培訓類型培訓對象頻次培訓內容學時要求全員基礎培訓全體員工每年一次網絡安全基礎知識、法律法規、安全意識不少于2學時專項技能培訓技術人員每半年一次安全技術、漏洞防護、應急響應不少于4學時管理人員培訓中高層管理者每年一次合規要求、責任義務、決策要點不少于2學時新員工入職培訓新入職員工入職時安全制度、操作規范、保密要求不少于1學時專題培訓相關人員不定期新法規、新威脅、新技術根據需要新員工入職安全培訓：新員工入職安全培訓應包含以下內容：法律法規教育：《網絡安全法》《數據安全法》《個人信息保護法》基本要求；企業安全制度：本企業安全管理制度和操作規程；崗位安全職責：本崗位的安全責任和義務；安全操作規范：日常工作中的安全操作要點；保密要求：保密制度和保密協議；應急意識：安全事件的報告和處置流程；考核：培訓結束進行考核，合格后方可上崗。不同崗位差異化培訓內容：崗位類型差異化培訓內容管理人員合規決策、資源保障、責任追究技術人員安全開發、漏洞修復、應急技術運維人員安全配置、日志審計、巡檢維護數據處理人員數據分類、數據保護、合規操作客服/前臺人員個人信息保護、用戶權利響應財務/人事人員敏感信息保護、內部數據安全7.2考核與問責機制安全績效考核指標：考核維度考核指標權重制度執行安全制度遵守情況20%培訓參與培訓出勤率和考核成績15%安全事件安全事件發生及處置情況25%合規檢查內外部檢查發現問題數量20%整改落實安全問題整改及時性20%違規行為處理流程：發現：通過審計、檢查、舉報等途徑發現違規行為；調查：成立調查組，查明事實和責任人；認定：根據安全制度認定違規性質和嚴重程度；處理：一般違規：批評教育、通報批評；較重違規：警告、記過、扣減績效；嚴重違規：降職、辭退、追究法律責任；整改：針對違規暴露的管理漏洞進行整改；通報：在一定范圍內通報處理結果，警示教育。第三部分網安檢查對照自查表（12大項60+檢查點）第八章組織與人員管理檢查項法規依據：《中華人民共和國網絡安全法》第二十一條規定，網絡運營者應當“確定網絡安全負責人，落實網絡安全保護責任”。《中華人民共和國數據安全法》第二十七條規定，開展數據處理活動應當“建立健全全流程數據安全管理制度，組織開展數據安全教育培訓”。《公安機關網絡空間安全監督檢查辦法》第七條將相關制度的制定與落實情況列為重點檢查內容。檢查編號檢查內容法規依據自查結果整改狀態1.1是否明確網絡安全負責人《網絡安全法》第二十一條□是□否□無需整改□待整改1.2是否配備專職/兼職網絡安全管理人員公安部令第176號檢查要求□是□否□無需整改□待整改1.3安全管理人員是否熟悉崗位職責與法規要求《網絡安全等級保護基本要求》□是□否□無需整改□待整改1.4是否定期開展全員網絡安全教育培訓《數據安全法》第二十七條□是□否□無需整改□待整改1.5是否建立人員入職安全審查和離崗管理流程《網絡安全等級保護基本要求》□是□否□無需整改□待整改1.6第三方人員訪問是否納入管理規范《網絡安全等級保護基本要求》□是□否□無需整改□待整改1.7安全管理人員是否持有相關資質證書行業最佳實踐□是□否□無需整改□待整改自查操作指引：1.1項：查閱公司任命文件，確認是否有正式任命網絡安全負責人的文件，明確其職責和權限。1.2項：根據企業規模（參見本手冊第二章2.1節配置標準），確認是否配備了足夠數量的安全管理人員。1.3項：通過現場問詢或書面測試，確認安全管理人員是否了解本崗位職責和《網絡安全法》《數據安全法》《個人信息保護法》基本要求。1.4項：查閱年度培訓計劃、培訓簽到表、培訓課件和考核記錄，確認培訓已實際開展并有完整記錄。1.5項：查閱入職審查流程文件和離崗交接清單，確認有規范的人員安全管理流程。1.6項：查閱第三方人員訪問登記表、保密協議簽署記錄，確認第三方訪問有規范管理。1.7項：收集安全管理人員的資質證書復印件備查。典型案例警示：案例：伊犁某供水公司員工非法導出用戶信息案新疆伊犁某供水公司因員工安全意識薄弱、內部管控缺失，導致工作人員非法導出上萬條用戶繳費信息并進行售賣。企業因管理失職被公安機關依據《數據安全法》第四十五條予以行政處罰。該案暴露出企業在人員安全管理方面的嚴重缺陷——未建立有效的人員安全審查機制、未對員工操作行為進行審計監督、未落實權限管控措施。整改啟示：

人員安全管理不是“紙面制度”，必須落實到位。權限管控、操作審計、離崗審查缺一不可。第九章安全管理制度檢查項法規依據：《中華人民共和國網絡安全法》第二十一條要求網絡運營者“制定內部安全管理制度和操作規程”。《中華人民共和國數據安全法》第二十七條要求“建立健全全流程數據安全管理制度”。《中華人民共和國個人信息保護法》第五十一條要求個人信息處理者“制定內部管理制度和操作規程”。《公安機關網絡空間安全監督檢查辦法》第七條將“是否依法制定并落實網絡安全、數據安全、信息安全管理制度和操作規程”列為重點檢查內容。檢查編號檢查內容法規依據自查結果整改狀態2.1是否制定網絡安全管理總制度《網絡安全法》第二十一條□是□否□無需整改□待整改2.2是否建立數據安全管理制度《數據安全法》第二十七條□是□否□無需整改□待整改2.3是否建立個人信息保護制度《個人信息保護法》第五十一條□是□否□無需整改□待整改2.4是否制定網絡安全事件應急預案《網絡安全法》第二十五條□是□否□無需整改□待整改2.5是否建立用戶信息保護與日志留存制度公安部令第176號檢查要求□是□否□無需整改□待整改2.6各項制度是否經過審批并正式發布《網絡安全等級保護基本要求》□是□否□無需整改□待整改2.7制度是否根據法規變化及時修訂公安部令第176號檢查要求□是□否□無需整改□待整改自查操作指引：2.1-2.5項：逐項查閱對應制度文件，確認文件齊全、內容完整、符合法規要求。制度文件應有版本號、發布日期、審批人簽字等要素。2.6項：確認制度文件有正式的審批發布流程記錄，如會議紀要、簽發單等。2.7項：確認制度文件最后修訂日期是否在相關法規頒布之后（如《公安機關網絡空間安全監督檢查辦法》2026年8月發布后，相關制度應相應更新）。第十章網絡安全等級保護檢查項法規條文：《中華人民共和國網絡安全法》第二十一條規定：“國家實行網絡安全等級保護制度。網絡運營者應當按照網絡安全等級保護制度的要求，履行下列安全保護義務……”《公安機關網絡空間安全監督檢查辦法》第七條將“是否依法履行網絡安全等級保護定級備案、等級測評、建設整改、自查等安全保護義務”列為重點檢查內容。檢查編號檢查內容法規依據自查結果整改狀態3.1是否已完成網絡安全等級保護定級《網絡安全法》第二十一條□是□否□無需整改□待整改3.2是否已在公安機關辦理等級保護備案《信息安全等級保護備案實施細則》□是□否□無需整改□待整改3.3是否按周期開展等級保護測評（二級每兩年一次，三級每年一次）《網絡安全等級保護條例》□是□否□無需整改□待整改3.4測評發現問題是否完成整改公安部令第176號檢查要求□是□否□無需整改□待整改3.5新上線系統是否及時開展定級備案《網絡安全法》第二十一條□是□否□無需整改□待整改3.6系統發生重大變更后是否重新定級或備案《信息安全等級保護備案實施細則》□是□否□無需整改□待整改自查操作指引：3.1項：查閱定級報告，確認所有信息系統均已確定安全保護等級（一級至五級）。3.2項：查閱公安機關出具的備案證明，確認備案已完成且有正式回執。3.3項：查閱最近一次等級測評報告，確認測評時間在有效期內（二級系統兩年內、三級系統一年內）。三級系統要求每年測評一次，二級系統每兩年測評一次。3.4項：對照測評報告中的不符合項清單，逐項確認整改完成情況，保存整改驗證材料。3.5項：確認新上線的業務系統是否已納入等保工作范圍。3.6項：確認系統發生網絡架構、業務功能、數據規模等重大變更后，是否重新開展了定級或備案工作。第十一章數據安全保護檢查項法規條文：《中華人民共和國數據安全法》第二十一條規定：“國家建立數據分類分級保護制度，根據數據在經濟社會發展中的重要程度，以及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，對國家安全、公共利益或者個人、組織合法權益造成的危害程度，對數據實行分類分級保護。”第二十七條規定：“開展數據處理活動應當依照法律、法規的規定，建立健全全流程數據安全管理制度，組織開展數據安全教育培訓，采取相應的技術措施和其他必要措施，保障數據安全。”第三十六條規定了數據出境的批準要求。檢查編號檢查內容法規依據自查結果整改狀態4.1是否開展數據分類分級工作《數據安全法》第二十一條□是□否□無需整改□待整改4.2重要數據是否采取加密等保護措施《數據安全法》第二十七條□是□否□無需整改□待整改4.3是否建立數據備份與恢復機制《網絡安全法》第二十一條□是□否□無需整改□待整改4.4數據出境是否履行合規程序《數據安全法》第三十六條□是□否□不涉及□無需整改□待整改4.5是否建立全流程數據安全管理制度《數據安全法》第二十七條□是□否□無需整改□待整改4.6是否定期開展數據安全風險評估《數據安全法》第二十九條□是□否□無需整改□待整改4.7數據處理活動是否留有完整記錄《數據安全法》第二十七條□是□否□無需整改□待整改自查操作指引：4.1項：查閱數據分類分級制度文件和已完成的分類分級清單，確認所有業務數據已按類別和級別進行標識。4.2項：確認重要數據（L4級及以上）是否采取了加密存儲、訪問控制、審計日志等保護措施。4.3項：查閱備份策略文檔和最近的備份恢復演練記錄，確認備份機制有效運行。4.4項：如涉及數據出境，確認是否已完成數據出境安全評估、訂立標準合同或通過個人信息保護認證。4.5項：查閱全流程數據安全管理制度文件，確認覆蓋數據采集、存儲、傳輸、使用、銷毀全生命周期。4.6項：查閱最近一次數據安全風險評估報告，確認已按要求開展評估。第十二章個人信息保護檢查項法規條文：《中華人民共和國個人信息保護法》第十四條規定，處理個人信息應當取得個人同意，該同意應當由個人在充分知情的前提下自愿、明確作出。第二十九條規定，處理敏感個人信息應當取得個人的單獨同意。第五十五條規定，處理敏感個人信息等情形應當事前進行個人信息保護影響評估。第五十七條規定，發生或者可能發生個人信息泄露的，應當立即采取補救措施并通知。檢查編號檢查內容法規依據自查結果整改狀態5.1收集個人信息是否明示目的并取得同意《個人信息保護法》第十四條□是□否□無需整改□待整改5.2敏感個人信息處理是否取得單獨同意《個人信息保護法》第二十九條□是□否□不涉及□無需整改□待整改5.3是否制定個人信息泄露應急處置預案《個人信息保護法》第五十七條□是□否□無需整改□待整改5.4是否按規定開展個人信息保護影響評估《個人信息保護法》第五十五條□是□否□無需整改□待整改5.5是否建立個人信息主體權利響應機制《個人信息保護法》第四章□是□否□無需整改□待整改5.6個人信息保護影響評估報告是否保存《個人信息保護法》第五十五條□是□否□無需整改□待整改自查操作指引：5.1項：查閱隱私政策（個人信息保護政策）和用戶同意記錄，確認在收集個人信息前已履行告知義務并獲得同意。5.2項：如涉及收集人臉、指紋、醫療健康、金融賬戶、行蹤軌跡等敏感個人信息，確認已取得用戶的單獨同意（非捆綁同意）。5.3項：查閱個人信息泄露應急處置預案，確認已制定并演練。5.4項：查閱個人信息保護影響評估報告，確認涉及敏感個人信息處理、自動化決策、委托處理、向境外提供等情形時已事前開展評估。5.5項：確認建立了查詢、更正、刪除、撤回同意、注銷賬號等用戶權利響應流程。第十三章技術防護措施檢查項法規條文：《中華人民共和國網絡安全法》第二十一條要求網絡運營者“采取防范計算機病毒和網絡攻擊、網絡侵入等危害網絡安全行為的技術措施”。《中華人民共和國數據安全法》第二十七條要求“采取相應的技術措施和其他必要措施，保障數據安全”。檢查編號檢查內容法規依據自查結果整改狀態6.1是否部署防火墻等邊界防護設備《網絡安全法》第二十一條□是□否□無需整改□待整改6.2是否采取防范計算機病毒和網絡攻擊措施《網絡安全法》第二十一條□是□否□無需整改□待整改6.3重要系統是否采取身份認證與訪問控制《網絡安全等級保護基本要求》□是□否□無需整改□待整改6.4重要數據是否采取加密存儲措施《數據安全法》第二十七條□是□否□無需整改□待整改6.5是否部署入侵檢測/防御系統《網絡安全等級保護基本要求》□是□否□無需整改□待整改6.6系統是否及時安裝安全補丁《網絡安全法》第二十一條□是□否□無需整改□待整改6.7是否定期開展漏洞掃描和安全評估《網絡安全法》第二十一條□是□否□無需整改□待整改自查操作指引：6.1項：確認網絡邊界是否部署了防火墻設備，防火墻策略是否啟用并有效運行。6.2項：確認是否部署了防病毒軟件、入侵檢測等安全措施，病毒庫是否及時更新。6.3項：確認重要系統是否啟用了雙因素認證、強密碼策略、最小權限訪問控制。6.4項：確認重要數據（L4級及以上）在存儲時是否采取了加密措施。6.5項：確認是否部署了入侵檢測系統（IDS）或入侵防御系統（IPS），告警機制是否正常運行。6.6項：查閱補丁管理記錄，確認操作系統和應用軟件的安全補丁已及時安裝。6.7項：查閱近期的漏洞掃描報告，確認已定期開展安全評估并對發現的漏洞進行修復。典型案例警示：案例：新疆昌吉某能源公司技術防護缺失被處罰新疆昌吉某能源公司網絡邊界未部署防火墻，日志審計設備長期閑置，關鍵系統處于無有效安全防護狀態。公安機關檢查發現后，依據《網絡安全法》第五十九條對該公司予以行政處罰并責令限期改正。該公司運維的系統操作日志無法調取，網絡邊界無任何防護設備，系統面臨嚴重安全風險。第十四章日志留存與審計檢查項法規條文：《中華人民共和國網絡安全法》第二十一條第三項規定，網絡運營者應當“采取監測、記錄網絡運行狀態、網絡安全事件的技術措施，并按照規定留存相關的網絡日志不少于六個月”。《互聯網安全保護技術措施規定》第八條要求“記錄并留存用戶登錄和退出時間、主叫號碼、賬號、互聯網地址或域名、系統維護日志的技術措施”。檢查編號檢查內容法規依據自查結果整改狀態7.1是否監測記錄網絡運行狀態和安全事件《網絡安全法》第二十一條□是□否□無需整改□待整改7.2網絡日志留存時長是否不少于六個月《網絡安全法》第二十一條□是□否□無需整改□待整改7.3是否建立日志審計與定期分析機制《網絡安全等級保護基本要求》□是□否□無需整改□待整改7.4用戶上網行為日志是否完整可追溯公安部令第176號檢查要求□是□否□無需整改□待整改7.5日志是否采取防篡改措施《網絡安全法》第二十一條□是□否□無需整改□待整改7.6日志是否集中存儲并定期備份《網絡安全等級保護基本要求》□是□否□無需整改□待整改自查操作指引：7.1項：確認系統是否部署了日志采集和監測工具，能夠實時記錄網絡運行狀態和安全事件。7.2項：檢查日志存儲系統的保留策略，確認所有相關網絡日志的留存時間不少于六個月。7.3項：確認是否有專人定期審查日志，是否有日志分析報告和異常告警處理記錄。7.4項：確認用戶上網行為（登錄時間、賬號、IP地址、訪問記錄等）是否完整記錄并可追溯。7.5項：確認日志是否采取了防止篡改和刪除的技術措施（如日志服務器權限管控、WORM存儲等）。7.6項：確認日志是否集中存儲并定期備份，防止單點故障導致日志丟失。典型案例警示：案例：重慶首例《網絡安全法》行政處罰案某科技公司因未依法留存用戶登錄網絡日志，被公安機關依據《網絡安全法》予以警告并責令整改。該案系《網絡安全法》施行后重慶地區首例因日志留存不達標作出的行政處罰。該公司在公安機關檢查時無法提供最近六個月的用戶登錄日志，違反了《網絡安全法》第二十一條關于日志留存不少于六個月的強制性規定。第十五章應急響應與演練檢查項法規條文：《中華人民共和國網絡安全法》第二十五條規定：“網絡運營者應當制定網絡安全事件應急預案，及時處置系統漏洞、計算機病毒、網絡攻擊、網絡侵入等安全風險；在發生危害網絡安全的事件時，立即啟動應急預案，采取相應的補救措施，并按照規定向有關主管部門報告。”《公安機關網絡空間安全監督檢查辦法》第七條將相關義務列為重點檢查內容。檢查編號檢查內容法規依據自查結果整改狀態8.1是否制定網絡安全事件應急預案《網絡安全法》第二十五條□是□否□無需整改□待整改8.2本年度是否開展應急演練公安部令第176號檢查要求□是□否□無需整改□待整改8.3發生安全事件是否按規定上報《網絡安全法》第二十五條□是□否□無需整改□待整改8.4應急預案是否根據演練和事件及時修訂《網絡安全法》第二十五條□是□否□無需整改□待整改8.5應急隊伍和物資是否到位《網絡安全法》第二十五條□是□否□無需整改□待整改自查操作指引：8.1項：查閱網絡安全事件應急預案文件，確認內容完整（包括組織體系、事件分級、響應流程、保障措施等）。8.2項：查閱本年度應急演練記錄（包括演練方案、簽到表、過程記錄、總結報告），確認演練已實際開展。8.3項：如發生過安全事件，確認是否按規定向公安機關等有關主管部門報告。8.4項：確認應急預案是否根據演練發現的問題、實際事件處置經驗、法規變化等及時修訂。8.5項：確認應急聯系人、應急工具、備用設備等是否到位并保持可用狀態。第十六章違法信息處置檢查項法規條文：《中華人民共和國網絡安全法》第四十七條規定：“網絡運營者應當加強對其用戶發布的信息的管理，發現法律、行政法規禁止發布或者傳輸的信息的，應當立即停止傳輸該信息，采取消除等處置措施，防止信息擴散，保存有關記錄，并向有關主管部門報告。”第六十八條進一步規定了違反該義務的法律責任。檢查編號檢查內容法規依據自查結果整改狀態9.1是否建立違法信息發現與處置機制《網絡安全法》第四十七條□是□否□無需整改□待整改9.2對禁止傳輸的信息是否采取停止傳輸措施《網絡安全法》第六十八條□是□否□無需整改□待整改9.3違法信息處置記錄是否留存公安部令第176號檢查要求□是□否□無需整改□待整改9.4是否建立用戶投訴舉報處理機制《網絡安全法》第四十九條□是□否□無需整改□待整改自查操作指引：9.1項：查閱違法信息發現與處置制度文件，確認有明確的工作流程和責任分工。9.2項：確認平臺在發現違法信息時能夠立即采取停止傳輸、刪除等處置措施。9.3項：查閱違法信息處置臺賬，確認每次處置均有完整記錄（發現時間、信息內容、處置措施、處置時間、報告情況等）。9.4項：確認建立了用戶投訴舉報渠道和處理流程，投訴舉報記錄完整。第十七章備案與變更檢查項法規條文：《計算機信息網絡國際聯網安全保護管理辦法》規定，聯網單位應當辦理備案手續。《公安機關網絡空間安全監督檢查辦法》第七條第一項將“是否依法辦理聯網單位備案手續，并報送接入單位和用戶基本信息及變更情況”列為重點檢查內容。《互聯網信息服務管理辦法》規定了互聯網信息服務的備案要求。《公安機關網絡空間安全監督檢查辦法》（公安部令第176號）第七條第一項“公安機關應當對被檢查對象履行法定網絡安全、數據安全、信息安全義務等情況進行監督檢查”。檢查編號檢查內容法規依據自查結果整改狀態10.1聯網單位是否辦理備案手續《計算機信息網絡國際聯網安全保護管理辦法》□是□否□無需整改□待整改10.2接入單位、用戶信息變更是否及時報備公安部令第176號檢查要求□是□否□無需整改□待整改10.3提供互聯網信息服務是否履行備案手續《互聯網信息服務管理辦法》□是□否□不涉及□無需整改□待整改10.4域名是否完成實名認證《互聯網域名管理辦法》□是□否□無需整改□待整改自查操作指引：10.1項：查閱公安機關出具的聯網單位備案證明，確認已完成備案。10.2項：確認單位名稱、法定代表人、聯系方式、網絡地址等信息發生變更時，是否及時向公安機關報備更新。10.3項：如提供互聯網信息服務（網站、APP等），確認是否已取得ICP備案號。10.4項：確認所使用的域名是否已完成實名認證。第十八章技術支持與協助檢查項法規條文：《中華人民共和國網絡安全法》第二十八條規定：“網絡運營者應當為公安機關、國家安全機關依法維護國家安全和偵查犯罪的活動提供技術支持和協助。”檢查編號檢查內容法規依據自查結果整改狀態11.1是否為公安機關執法提供技術支持接口《網絡安全法》第二十八條□是□否□無需整改□待整改11.2是否配合公安機關依法調取數據《網絡安全法》第二十八條□是□否□無需整改□待整改11.3是否建立了配合執法的內部流程《網絡安全法》第二十八條□是□否□無需整改□待整改自查操作指引：11.1項：確認是否建立了與公安機關對接的技術支持機制和聯系人。11.2項：確認收到公安機關依法調取數據的要求時，有明確的內部審批和響應流程。11.3項：查閱配合執法工作流程文件，確認有規范的響應程序。第十九章重大活動安保檢查項法規條文：《公安機關網絡空間安全監督檢查辦法》規定，重大活動安保期間，公安機關可對重點對象開展專項監督檢查。檢查編號檢查內容法規依據自查結果整改狀態12.1重大活動期間是否落實專項安保措施公安部令第176號檢查要求□是□否□無需整改□待整改12.2重大活動前是否開展安全風險排查公安部令第176號檢查要求□是□否□無需整改□待整改12.3重大活動期間是否執行7×24小時值守公安部令第176號檢查要求□是□否□無需整改□待整改12.4重大活動期間安全事件是否即時上報公安部令第176號檢查要求□是□否□無需整改□待整改自查操作指引：12.1項：查閱重大活動期間的專項安保方案，確認有針對性的安保措施。12.2項：查閱重大活動前的安全風險排查記錄，確認已開展全面排查。12.3項：確認重大活動期間是否安排了7×24小時值班人員，有值班記錄。12.4項：確認重大活動期間發生安全事件時能夠即時向公安機關報告。

第四部分網絡安全日志留存規范與模板第二十章日志留存法律要求與標準20.1法定留存要求法規條文：《中華人民共和國網絡安全法》第二十一條第三項規定：“采取監測、記錄網絡運行狀態、網絡安全事件的技術措施，并按照規定留存相關的網絡日志不少于六個月。”《互聯網安全保護技術措施規定》（公安部令第82號）第八條規定：“互聯網服務提供者和聯網使用單位應當記錄并留存用戶登錄和退出時間、主叫號碼、賬號、互聯網地址或域名、系統維護日志的技術措施。”《公安機關網絡空間安全監督檢查辦法》第七條將日志留存情況列為重點檢查內容。不同主體日志留存差異化要求：主體類型日志留存要求特殊要求一般網絡運營者網絡日志留存不少于6個月記錄網絡運行狀態和安全事件互聯網服務提供者網絡日志留存不少于6個月額外記錄用戶登錄/退出時間、賬號、IP地址等關鍵信息基礎設施運營者網絡日志留存不少于6個月可能要求更長的留存期限和更詳細的記錄內容數據處理者數據處理活動日志留存記錄數據采集、存儲、使用、傳輸、銷毀等操作個人信息處理者個人信息處理活動日志留存記錄個人信息的訪問、使用、提供等操作20.2日志質量標準一、完整性要求不可中斷：日志記錄應當連續，不得有缺失的時間段。日志采集系統應具備高可用性，確保在系統故障時日志不丟失。不可篡改：日志一旦生成，不應被隨意修改或刪除。應采取技術措施（如日志服務器權限管控、區塊鏈存證、WORM存儲等）防止日志被篡改。全面覆蓋：所有關鍵網絡設備、服務器、應用系統、安全設備均應納入日志采集范圍。二、準確性要求時間同步：所有日志記錄設備應保持時間同步，誤差不超過1秒。建議部署網絡時間協議（NTP）服務器，定期與標準時間源同步。內容準確：日志記錄的內容應真實反映實際發生的操作和事件，不得有虛假記錄。三、可追溯性要求日志關聯：不同設備的日志應能夠進行關聯分析，追蹤完整的攻擊鏈或操作鏈。用戶溯源：能夠通過日志追溯到具體的用戶、終端和操作行為。事件還原：在發生安全事件時，能夠通過日志完整還原事件的整個過程。第二十一章日志分類與內容規范21.1網絡設備日志一、防火墻日志防火墻日志應至少記錄以下內容：記錄項說明示例時間戳事件發生的精確時間2026-08-1114:23:45源IP地址訪問來源IP00源端口訪問來源端口54321目的IP地址訪問目標IP目的端口訪問目標端口443協議類型TCP/UDP/ICMP等TCP動作允許/拒絕允許規則ID觸發的防火墻規則編號rule-1001會話ID會話唯一標識20260811142345-001二、交換機/路由器日志應記錄以下內容：配置變更記錄（誰、何時、做了什么配置變更）；端口狀態變化（up/down）；流量異常告警（流量突增、異常流量）；設備重啟和故障記錄；登錄嘗試記錄（成功和失敗）。三、入侵檢測/防御系統日志應記錄以下內容：攻擊告警（攻擊類型、源IP、目的IP、攻擊載荷）；威脅情報匹配記錄；告警等級（高危/中危/低危）；處置動作（告警/阻斷/隔離）；規則更新記錄。21.2系統與應用日志一、操作系統日志應記錄以下內容：用戶登錄和登出記錄（時間、賬號、登錄方式、來源IP）；權限變更記錄（誰、何時、對誰授予/撤銷了什么權限）；服務啟停記錄（服務名稱、操作人、操作時間）；系統錯誤和異常記錄；關鍵文件訪問記錄。二、數據