第1章：等保概念与法规背景

聊合规治理，咱们得先搞清楚两件事：等保到底是什么？数据安全法为什么这么重要？

我个人习惯，讲任何标准之前，先看它的“出身”。你想想看，不知道它从哪来，就不知道它要管什么。

1.1 等级保护制度的起源

等保，全称是“信息安全等级保护”。

这个概念最早源于美国。后来咱们国家在1994年发布了《计算机信息系统安全保护条例》，正式引入了等级保护的思想。

我刚开始入行时，觉得等保就是个“合规枷锁”。直到有一次帮一个金融客户做整改，发现他们核心交易系统居然跟员工OA网在同一个网段里……嗯，那次我真的吓出一身冷汗。

1.2 发展历程：从1.0到2.0

等保的发展，我大致分为三个阶段：

• 萌芽期（1994-2007）： 法规先出来，但标准还没细化。我记得那时候大家基本都在“裸奔”。
• 1.0时代（2007-2017）： 《信息安全等级保护管理办法》（43号文）出台。这时候开始有明确的定级、备案、测评流程。但偏重“边界防护”，说白了就是“修墙”。
• 2.0时代（2017至今）： 《网络安全法》实施，等保2.0正式发布。最大的变化是什么？从“信息安全”变成了“网络安全”。保护对象从信息系统扩展到了网络基础设施、云计算、大数据、物联网、工业控制等。

我在做等保2.0测评时，经常被问：“我系统之前是二级，现在是不是得升三级？” 其实不一定。等保2.0更强调“动态调整”，不能死板。我曾经见过一个内部OA系统，定级高了三级，结果每年测评费用比系统运维费还贵……没必要。

1.3 数据安全法的立法背景

为什么突然要出个《数据安全法》？

说白了，是因为数据太值钱了。而且数据是流动的，之前等保主要管“系统”，管不了数据的“出境”、“交易”、“滥用”。

我记得2020年左右，很多企业被罚，不是因为系统被黑，而是因为违规收集、违规提供数据。等保管不了这个。

数据安全法的核心逻辑就三条：

1. 分类分级： 数据不能一锅煮。核心数据、重要数据、一般数据，措施不一样。
2. 全生命周期安全： 从采集、存储、使用、加工、传输、提供、公开到删除，每一环都要管。
3. 出境安全评估： 重要数据出境，必须过审。这不是开玩笑。

1.4 等保与数据安全法的关系

很多人觉得：我有等保了，是不是就不用管数据安全法了？

不是的。等保是基础设施级的防护，数据安全法是数据资产级的治理。两者互补，不能替代。

维度	等保2.0	数据安全法
保护对象	信息系统、网络设施	数据本身
核心要求	技术+管理，10个安全类	分类分级、风险评估、出境管理
监管机构	公安机关、网信办	网信办、行业主管
违法后果	行政处罚、降级	高额罚款、停业、刑事责任

你想想看，如果一个系统等保三级做得很好，但内部员工把用户数据拖出去卖了，等保是查不出来的。这时候，数据安全法的“数据分类分级”和“日志审计”要求就派上用场了。

1.5 本章知识图谱

这张图画的就是本章的骨架。你看，等保和数据安全法是两条并行的轨道。等保偏技术和管理，数据安全法偏数据治理。但你做合规治理时，必须两条轨道都铺好。

1.6 落地建议

学了理论，怎么用？

• 如果你是甲方： 尽快梳理你的系统清单和数据资产清单。等保定级和数据分类分级可以同步做，节省成本。
• 如果你是乙方： 别只卖等保测评服务。把数据安全法咨询打包进去，客户更买账。
• 如果你想转型： 先考个等保测评师证书，再补数据安全法的合规知识。这两个技能组合，现在市场上很吃香。