等保数据安全新规,企业要改什么?

2026年6月1日,公安部四项等保数据安全新规(GA/T 2380、2381、2394、2395-2026)正式实施——这是等保制度首次把数据安全作为独立体系纳入框架,"重系统轻数据"的时代结束了。对深圳企业来说,这不是"又一份文件",是等保测评的新增硬指标:以前过等保看系统防护,现在还要看数据全生命周期管理。这篇文章把新规要点、谁受影响、自查什么、怎么整改讲清楚。华南腾飞14年等保合规服务经验,可提供差距分析与整改方案。

一、新规到底新在哪:三条主线

1. 数据分类分级:从"数据一锅端"到"按敏感度分级管理"——核心数据、重要数据、一般数据分开管

2. 数据全生命周期:采集、存储、使用、加工、传输、提供、公开、销毁——每个环节都有安全要求

3. 和等保2.0合并测评:数据安全要求并入等级测评,不是另考一科,但没过就是整个等保没过

二、哪些行业首当其冲

行业	为什么敏感	受影响程度
金融	客户资金与个人信息	★★★
医疗	病历/健康数据	★★★
政务/公共服务	公民数据	★★★
互联网平台	用户数据/日志	★★★
制造/物流	供应链与业务数据	★★

深圳四大行业(金融、医疗、政务、互联网)首当其冲——这些行业本来就是等保重点,新规等于在原有等保上加了一道数据关。

三、10问自查清单(先自测再整改)

1. 有没有做过数据分类分级?敏感数据能说清在哪吗

2. 数据备份是否定期、可恢复、有演练记录

3. 数据跨境传输有没有评估和备案

4. 数据库访问有审计吗?DBA权限谁在管

5. 个人信息采集有没有最小化+告知同意

6. 数据删除/销毁有流程吗

7. 数据脱敏用在哪,用了没

8. 员工数据操作行为有监控告警吗

9. 供应商/第三方能接触到哪些数据,有协议约束吗

10. 数据安全事件有预案吗,演练过吗

命中"否"超过3条,基本就处于不达标状态,建议尽快做差距分析。

四、整改四阶段

1. 差距分析(2-4周):对照新规逐条打分,输出整改清单——别直接买方案,先知道差在哪

2. 体系建设(1-3个月):分类分级落地、备份与审计补齐、权限与脱敏策略上线、制度文档配套

3. 测评准备(1-2个月):配合测评机构,整改项逐条关闭,准备证据材料

4. 持续运营:数据安全纳入日常(定期复测、事件演练、培训)

五、常见问题

Q:已经在做等保2.0,还要单独准备吗?

A:不用单独立项,但测评内容会加"数据安全"部分——原有等保方案里如果没覆盖数据分类分级和全生命周期,需要补课。建议在下次测评前完成差距分析。

Q:小企业(数据量不大)也要按新规做吗?

A:量级可以简化,但机制要有:分类分级、备份、访问审计、删除流程——这些是基本盘,和数据量大小无关。成本从几千到几万(服务+工具),不做就是测评硬伤。

Q:新规和《数据安全法》《个人信息保护法》什么关系?

A:新规是把法律要求在等保技术标准里的落地细化。法律定原则,等保定标准——过了等保数据安全测评,等于数据合规有了可验证的技术抓手。

Q:整改预算大概多少?

A:差距分析几千到2万;基础整改(分类分级工具+备份+审计)5-20万;涉及敏感数据多、行业标准严的(金融/医疗)20-60万。以差距分析结果为准,别按厂商报价拍板。