网络安全老宋// 合规迎检 · 实战指路

// 合规迎检 · 实战指路

176号令首月执法
迎检4步 + 12项自查清单

176号令已施行首月，公安部刚公布3起不履行义务典型案例。本文把检查范围、4个最易被点名的落地点、4步落地路径，以及一份可直接打印的12项自查清单，一次说清。

176号令数据安全迎检自查

11月1日，公安部网安局公布了3起不履行数据安全、网络安全保护义务的典型案例。一家医疗机构因为忽视系统权限管理和风险监测，让医护工作数据长期处在泄露风险里；一家公司自建的来访登记系统存着访客姓名和来访事由，却既没做加密也没落实安全管理，等于把个人信息敞着门放。这两类「看起来不大」的问题，正是176号令施行首月被点名的实弹。

《公安机关网络空间安全监督检查办法》（公安部令第176号）今年10月1日已经正式施行，替代了2018年的151号令。最大的变化一句话就能说清：检查从「网络系统」扩到了「网络空间安全」——网络安全、数据安全、信息安全三条线一起查，被查对象也从「管网络的单位」扩到了「管数据的单位」。你不需要再纠结「我是不是网络服务商」，只要你在处理个人信息或重要数据，就在这次的范围内。

落到每一家企业身上，其实就两道题。被检查时，谁能说清「谁、在什么时候、用什么凭据、动了哪些数据」；出了事，能不能立刻把那把有问题的「钥匙」收回来。你的系统，现在答得上来吗？

▲ 176号令企业迎检自查：四落地点 + 12项清单总览

176号令不是从零新建一套监管，而是把散落在网络安全法、数据安全法、个人信息保护法里的义务，收拢到同一套检查程序里。过去可能三拨人分三次来问的事，现在一次说清。和老的151号令比，差得最明显的是这几处。

核心就一句：过去检查看的是「制度齐不齐」，现在看的是「义务履没履行、能不能举证」。而每一项能举证的义务，最后都会落到身份鉴别、访问控制、加密、审计这四类技术载体上。

▲ 从151号令到176号令，检查范围从网络系统扩到网络空间安全

光看条文还不够，最近一周的信号更值得盯着。11月1日公安部公布的3起案例，恰恰对应了企业最容易失分的两块：权限管理疏忽、数据长期不设防。同一天，《个人信息保护法》迎来实施五周年，监管对个人信息的收紧是长期方向，不是一阵风。

更现实的时间窗在后面。11月2日到5日世界互联网大会乌镇峰会举办，这类重大活动安保期间，办法明确会把重点检查排得更密。双十一前后电商、物流手里攥着海量个人信息，也是天然的关注焦点。再往外看，下半年工信部已经联合网信办、公安部、市场监管总局启动了全国互联网行业网络安全与数据安全专项整治，非法爬虫、数据倒卖、API接口裸奔是重点。

把这几件事连起来看，结论很清楚：线上巡查随时可能来、不打招呼，靠「临时抱佛脚」应付越来越行不通。首次收到公安提示函，就是整改的窗口期，别等它升级成罚单。

检查最终要落到可核查的技术事实上。下面四块是公开口径和企业复盘里最常被审计、被检查点到的，逐块拆开看。

落地点1：责任台账——被检查时，责任先对上号

办法把检查对象界定为网络运营者、数据处理者、个人信息处理者，多部法律也都要求明确安全负责人和管理机构。检查开场通常先确认一件事：这套系统的安全责任，落到了具体的人和具体的台账上没有。常见误区是安全负责人只在制度里挂名、系统清单和账号台账对不上、外包运维人员无据可查。正解是任命、职责、工作记录都要有，台账要能反查到每套系统的责任人，第三方账号同样纳入管理和审计。

落地点2：身份鉴别与访问控制——口令之外有没有第二重

三级等保的身份鉴别要求采用两种以上组合的鉴别技术，且至少一种要用密码技术实现。检查最常见的追问是：关键系统的登录，除了口令还有没有第二重。十个工程师共用一个数据库账号、应用配置里的账号长期不变、离职人员权限没回收，这些都是明确要避免的情形。共享账户之所以是问题，是因为它让「这次登录是谁」先失去了答案。

落地点3：数据加密与密钥管理——加密有没有真落地

数据安全法和网络数据安全管理条例都要求重要数据和敏感个人信息加密存储。检查不会只看你买没买密码设备，而会看加密策略有没有真生效、密钥由谁在管。国密设备装了却没启用、密钥和应用放在同一台机器、敏感字段明文裸存，都是高频失分点。加密是不是真落地，就看两件事：策略生效的范围，和密钥攥在谁手里。

落地点4：审计留痕——记录能不能追到人

三级要求安全审计覆盖到每个用户，记录重要用户行为和安全事件。检查时往往要求现场调取一段时间的操作记录，看能不能按人、按时间、按数据回溯。日志只保留很短时间、共用账号导致日志分不到人、特权操作没有独立记录，这几条任何一条中招，审计这一关就过不去。

迎检不是临时抱佛脚，而是把三条线在同一套技术底座上立住。身份是真的还是假的、权限是不是最小、数据有没有加密、操作能不能追溯，这四问在三条线上都要回答。与其为三条线各搭一套台账，不如先把底座的这四类对象做扎实。

• 第1阶段·摸家底：梳理系统清单、账号台账、数据资产，约2周，产出系统与凭据台账、数据分级清单。
• 第2阶段·补硬指标：关键系统上组合鉴别、加密策略落地，约3到4周，产出鉴别与加密配置、生效范围说明。
• 第3阶段·收口凭据：共享账户清理、凭据集中托管与轮换，约3到4周，产出凭据纳管清单、轮换记录。
• 第4阶段·通审计：审计覆盖到人、特权操作单独留痕，约2到3周，产出审计报告、操作回溯样例。

从第2阶段起就可以边整改边自查——检查要的是「已经开始动、能拿出证据」，不是「等我全改完再说」。这套路径的关键是顺序：先摸家底，再补硬指标，最后通审计。顺序颠倒会返工，先上设备再理台账，往往发现设备对着的系统本身没纳管；先做审计再定权限，日志里记的是一堆分不清人的账号。

▲ 迎检整改4步落地路径：摸家底→补硬指标→收口凭据→通审计

下面这份清单直接对照上面四个落地点，逐条对号。每一项都给了达标判定和举证材料，建议先打出一份，本周内过一遍。

第1类·责任与台账（3项）

• [ ] 1. 安全负责人与管理机构已明确（达标：有正式任命与职责文件｜举证：任命文件、岗位职责）
• [ ] 2. 系统清单与账号台账一一对应（达标：每套系统可反查到责任人｜举证：系统台账、账号归属表）
• [ ] 3. 第三方与外包账号纳入管理（达标：外部账号有审批与期限｜举证：外包账号清单、审批记录）

第2类·身份鉴别与访问控制（3项）

• [ ] 4. 关键系统采用组合鉴别（达标：两种以上鉴别技术、含密码技术｜举证：鉴别方式说明、配置截图）
• [ ] 5. 无共享账户、账号定期清理（达标：任一账号可查到使用人｜举证：账号抽查记录、清理台账）
• [ ] 6. 权限最小化、离职即回收（达标：权限与岗位匹配、回收有记录｜举证：权限矩阵、回收凭证）

第3类·加密与密钥（3项）

• [ ] 7. 重要数据与敏感个人信息加密存储（达标：关键字段与库已加密｜举证：加密策略、生效范围）
• [ ] 8. 密钥与数据分离、可管可控（达标：密钥集中管理、必要时不出硬件｜举证：密钥管理台账、硬件清单）
• [ ] 9. 凭据采用合规算法并定期轮换（达标：算法合规、有轮换周期与记录｜举证：算法说明、轮换记录）

第4类·审计与应急（3项）

• [ ] 10. 安全审计覆盖到每个用户（达标：可精准回溯到人｜举证：审计日志样例、留存时长说明）
• [ ] 11. 日志防篡改、留存时长达标（达标：满足留存要求且不可随意修改｜举证：留存策略、防篡改机制）
• [ ] 12. 应急预案与演练已开展（达标：有预案且演练过｜举证：预案文本、演练记录）

自查结果对应动作：12项全过保持并备好举证；缺1到3项优先补身份鉴别与加密缺口；缺近三分之一立即启动整改；缺一半以上别等检查，现在就要动。