【护航支点网安知行】8月20日起正式施行！从工作场景读懂《网络数据安全风险评估办法》

发布时间：2026年08月21日10:21 来源：荆楚网（湖北日报网）

技术部为了赶项目进度，临时把核心数据库端口开放到公网，想着上线后再补安全配置；业务部谈妥了合作方，直接把客户数据导给对方对接业务，没顾上核查对方安全能力……这些不少人习以为常的操作，却存在着安全隐患。2026年8月20日起，由国家网信办、工信部、公安部联合发布的《网络数据安全风险评估办法》正式施行。

数字经济时代，数据早已成为核心生产要素。小到一家门店的会员信息，大到政务系统、工业平台的重要数据，一旦泄露、篡改、损毁，不仅会造成经济损失，还可能危害公共利益与国家安全。以往不少单位对数据安全风险评估存在认知误区，要么觉得“这是大厂才要做的事”，要么当成“应付检查的纸面报告”，重事后补救、轻事前排查。

《网络数据安全风险评估办法》正式施行，将《中华人民共和国数据安全法》规定的风险评估义务细化为可落地、可执行的标准化制度，相当于给各类数据处理主体定下了一套规范的“数据安全体检标准”。各级网信部门也将统筹推进新规落地，既严格监督执法，也做好政策指导与科普服务，帮助企业把合规要求融入日常工作。本期《护航支点网安知行》，我们学习法条，用工作中常见的场景为切入口，拆解新规的核心要求、红线边界与正确做法，结合真实案例讲清违规后果，让大家都能看得懂、会落实。

一、场景拆解：评估不止年度任务，业务场景要对标落实

有些单位将风险评估简单理解成一年一度的报告撰写。依据《网络数据安全风险评估办法》，风险评估覆盖业务运行全周期。下面梳理四大高频业务场景，通过“现实常见做法（误区）→新规红线→正确实操指引”的模式，方便各单位对照自身业务开展自查，把合规要求落地到日常岗位工作中。

场景1：日常运营——“我们公司小，没什么重要数据，不用做评估吧？”

现实常见误区：很多中小企业、初创团队觉得“我们不是大厂，没人盯上，没必要花钱做评估”，长期不排查数据安全隐患，密码几年不换、敏感数据明文存储、权限管理混乱。

新规红线：①处理重要数据、核心数据的主体，属于法定强制评估对象，每年至少开展1次全面风险评估；②仅处理普通个人信息的一般主体，虽无强制年度要求，但国家鼓励至少每3年开展1次评估，或每年做简易自查；③重要数据不是只有大厂才有，医疗、教育、物流、电商、政务服务等行业的大量业务数据，都可能属于重要数据范畴，不能自行“降格”认定。

正确实操指引：先做一次数据家底盘点，对照重要数据识别标准判断自身属性；确认属于强制评估主体的，严格落实年度评估；普通数据主体建议每3年开展1次全面评估做基础自查，补齐弱口令、明文存储、权限混乱等基础短板。

场景2：第三方合作——“一直合作的机构靠谱，年年用他家省事又省钱”

现实常见误区：新规规定数据处理者可自行开展评估，也可委托具备能力的第三方机构实施，但有的企业为了省事、压成本，企业长期固定同一家第三方评估机构，甚至默许对方把业务转包给小团队，也不约定保密和数据销毁条款。

新规红线：第三方评估机构有三条刚性禁令：①不得转包评估业务；②同一家机构不得连续3年为同一单位提供年度评估服务；③对评估材料承担永久保密义务，评估结束后必须销毁企业业务原始数据，不得私自留存。

正确实操指引：建立第三方服务商台账，记录合作年限，满2年就启动招标更换，规避“连续3年”禁令；合同里明确写入禁止转包、保密义务、数据销毁条款，约定虚假评估的追责机制；优先选择同时具备行业合规资质、专业技术能力的机构，不单纯以低价为标准。

场景3.jpg.jpg

场景3：评估收尾——“出完报告就完事了，整改慢慢再说”

现实常见误区：有些企业把评估等同于“出一份报告”，查出的漏洞、风险堆在一边没人管，报告交差就万事大吉，隐患依然存在。

新规红线：①评估结束3日内要划分高、中、低风险等级，高风险事项立即处置；②重大风险整改完毕后15日内，要向监管部门报送整改情况；③评估完成后20个工作日内，按要求向主管部门报送风险评估报告，主管部门不明确的，向省级或国家网信部门报送；④全套评估资料（方案、底稿、报告、整改记录）保存期限不少于3年，金融、医疗等重点行业按规定延长。

正确实操指引：建立“评估－分级－整改－复核－报送－归档”全闭环流程；高风险每周督办、中风险月度跟进，整改完成后专人复核验收，杜绝“只评不改”。