企业官网建设流程全解析

一、背景

在实际参与相关工作的过程中，我接触到的考核内容既包括用户个人信息保护、数据安全风险评估、数据全生命周期管理、数据对外提供等管理要求，也包括日志审计、风险监测、态势感知、API安全、个人信息违规收集检测等技术安全工作。

同时，部分数据安全工作的推进与央巡整改要求相关。相关工作并不是简单完成一次检查，而是围绕制度建设、责任落实、风险治理、技术防护、检查整改等方面持续推进。

因此，可以把整个工作理解为：

整改要求 → 制度建设 → 责任落实 → 风险识别 → 技术防护 → 检查发现 → 整改复核 → 考核验证

二、从央巡整改看数据安全工作的整体要求

央巡整改相关工作中，数据安全建设并不是单一的技术建设，而是从管理、人员、风险、技术、重点场景和监督整改多个方面推进。

整体可以划分为六个方面：

1. 数据安全管理制度建设
2. 数据安全责任和人员管理
3. 数据安全风险治理与运营
4. 数据安全技术防护能力建设
5. API及第三方数据安全治理
6. 问题排查、整改和监督问责

这几个方面实际上覆盖了数据安全工作的主要管理链路。

三、数据安全管理制度建设

制度是数据安全工作的基础。

央巡整改相关工作首先关注数据安全管理制度是否完善，包括：

• 数据安全管理制度；
• 个人信息保护管理制度；
• 商用密码管理制度。

总部根据集团相关要求完善制度，并组织各单位进行宣贯和落实，各单位进一步结合自身实际完善本单位管理办法，明确责任和执行要求。

这里需要注意的是，制度建设并不是最终目的。

实际检查时还需要进一步判断：

制度有没有落到具体业务和系统中。

因此，后续的责任落实、风险评估、日志审计、技术防护以及问题整改，实际上都是制度落地的具体体现。

四、关键岗位和人员责任

数据安全不仅是技术部门的工作，还涉及大量数据处理人员。

相关工作要求根据数据处理关键岗位认定标准，对数据管理人员、数据操作人员等关键岗位进行梳理，形成关键岗位人员清单，并签订数据安全从业承诺书。

同时推进关键岗位轮岗和监督管理。

在人员能力方面，还需要开展：

• 数据安全普法培训；
• 个人信息保护培训；
• 风险警示教育；
• 数据安全技能竞赛；
• 数据安全蓝军建设；
• 数据安全对抗性检测相关工作。

因此，这部分可以理解为：

明确谁负责数据 → 明确谁能够操作数据 → 明确岗位责任 → 提升人员安全能力

五、数据安全风险评估与风险治理

数据安全风险评估是整个数据安全工作的核心环节之一。

相关工作要求组织各单位梳理数据安全风险评估清单和计划，推进风险评估开展，同时对评估报告质量进行抽查，并督促风险整改。

实际工作中，一次风险评估通常不是最终结果，而是风险治理的起点：

评估对象梳理 → 风险识别 → 风险分析 → 风险整改 → 整改复核

因此，考核时除了查看有没有评估报告，还需要关注：

• 评估对象是否完整；
• 评估是否按计划开展；
• 风险是否得到识别；
• 风险是否形成整改措施；
• 整改是否按期完成。

六、日志审计与数据安全运营

数据安全风险不能只依赖一次性检查发现，还需要通过持续运营进行监测。

相关工作包括：

1. 数据安全日志审计

依据数据安全操作日志审计原则，开展数据安全日志审计并形成常态化机制。

实际关注的是：

谁访问了数据、进行了什么操作、什么时候操作、是否存在异常行为。

通过日志审计，可以进一步发现异常访问、违规操作等风险。

2. 数据安全事件应急演练

各单位需要建立数据安全事件应急处置预案并制定演练计划，通过典型数据安全事件开展应急演练。

演练的目的不是单纯完成一次演练记录，而是验证：

发生数据安全事件后，是否知道怎么发现、怎么处置、怎么协同。

3. 数据安全风险信息共享

通过风险报送和共享机制，对数据安全风险进行统一梳理和报送，使风险信息能够在不同单位之间进行协同。

七、重点场景数据安全治理

央巡整改相关工作还特别关注具体业务场景。

例如制卡、短信业务运营和服务等场景，需要落实数据安全管理要求。

相关检查包括：

• 操作日志留存；
• 定期日志审计；
• 风险及异常操作核查；
• 问题清单管理；
• 整改闭环。

这类工作让我认识到，数据安全管理不能只停留在制度层面。

同样的数据安全要求，放到不同业务场景中，需要结合具体的数据流转、操作人员和系统功能进行落实。

八、数据安全技术防护能力

除了管理制度和风险评估，央巡整改相关工作还涉及数据安全技术能力建设。

主要包括：

• 数据访问控制；
• 数据加密；
• 数据脱敏；
• 数据安全风险监测；
• 重要系统风险监测；
• 数据安全态势感知。

其中，重要网络与信息系统需要加强敏感数据安全风险监测能力，对风险进行监测、预警和处置。

同时推进数据安全态势感知能力建设，实现数据安全风险的采集、分析和持续运营。

从技术角度看，这些能力解决的是：

发现数据 → 发现异常 → 分析风险 → 进行处置

九、APP、小程序及个人信息违规收集检测

个人信息保护也是数据安全治理的重要组成部分。

相关工作要求通过软件供应链安全管理平台，对：

• APP；
• 小程序；
• 网站；

涉及的SDK违规收集和使用个人信息情况进行检测，并开展常态化分析和处置。

这里的检查重点已经从单纯查看隐私政策，进一步延伸到：

实际有没有违规收集和使用个人信息。

因此，个人信息保护检查通常需要结合：

隐私政策 + 权限申请 + 实际数据采集 + SDK行为

进行综合判断。

这也是个人信息保护工作从“制度合规”向“实际行为验证”延伸的一种体现。

十、API资产梳理与API数据安全

API是互联网暴露面中非常重要的一类数据访问入口。

相关工作首先要求对网站、公众号、APP等互联网暴露面的API进行全面梳理，重点关注传输重要数据和敏感数据的API。

形成API资产风险台账，并明确API数据安全责任。

在资产梳理完成后，还需要开展技术检测：

API资产梳理 → 风险台账 → 技术检测 → 风险发现 → 整改

技术检测可以通过本地或远程方式，对API资产及其数据安全情况进行检测，发现潜在风险隐患。

因此，API安全工作不能只理解为“扫描接口”，前提还是要先知道：

有哪些API、谁负责、传输什么数据、哪些API存在安全风险。

十一、“四方”数据安全责任与账号权限

在涉及“四方”人员和单位的场景中，重点关注的是责任和权限。

相关工作要求梳理“四方”单位、人员及权限清单，并签订数据安全责任书或承诺书，明确各方责任边界。

同时开展“四方”人员账号权限清查，重点关注：

• 数据访问权限；
• 高权限账号；
• 闲置账号；
• 账号实际使用情况。

特别是短信系统等重点场景，需要加强“四方”人员账号风险治理。

这部分实际上解决的是两个问题：

谁可以访问数据？

以及：

为什么这个人可以访问这些数据？

十二、用户个人信息保护常态化治理

在网信安考核中，个人信息保护还会进一步体现为常态化管理。

主要关注：

• 定期检查和通报；
• 批量导出审批；
• 个人信息保护提示；
• 批量导出“银行模式”；
• 系统平台操作日志；
• 个人信息保护培训；
• 责任台账；
• 风险治理有效率；
• 风险按期整改率；
• APP专项通报；
• APP定期评估；
• APP问题整改。

其中，批量导出、日志审计和APP整改都是比较典型的检查场景。

例如批量导出不仅要看有没有审批，还需要关注实际操作是否经过授权；日志不仅要看有没有记录，还需要关注涉及个人信息的操作是否可以单独查询以及日志保存时间。

十三、网信安考核中的数据安全风险检查

经过前面的工作后，最终会落实到网信安考核。

考核内容覆盖：

用户个人信息保护

重点检查个人信息保护治理、APP评估、批量导出、日志、培训、责任台账和风险整改。

数据安全风险评估

重点检查评估是否按要求开展，是否覆盖重要数据、核心数据及一定比例的一般数据，是否完成风险研判和整改。

数据安全管理

关注重要数据识别备案、应急保障以及数据安全风险监测处置。

数据全生命周期安全

关注重要数据管理、登记、审批、标记、加密、脱敏、访问控制和容灾备份等措施。

数据对外提供

关注重要数据、核心数据等对外提供前的风险评估、审查及安全管理要求。

风险整改

关注发现的风险是否在规定期限内完成有效整改。

数据安全培训

关注数据安全技术和管理人员培训以及关键岗位警示教育。

十四、从检查到整改形成闭环

把前面的工作串起来，可以看到一个比较完整的数据安全管理闭环：

制度建设 ↓ 责任落实 ↓ 资产和数据识别 ↓ 风险评估 ↓ 技术检测与风险监测 ↓ 发现安全问题 ↓ 形成问题清单 ↓ 明确责任和整改措施 ↓ 按期整改 ↓ 复核验证 ↓ 监督问责 ↓ 网信安考核验证

其中，“整改”并不是最后一步。

对于前期已经发现的问题，还需要开展“回头看”，通过远程或现场检查复核整改情况、安全责任以及工作落实情况。

对于屡查屡犯或者整改不到位的问题，还需要进一步采取通报、督办、约谈、问责等措施。

因此，整个体系最终形成：

发现问题—整改问题—验证整改—防止重复发生

的闭环。

十五、我的理解

通过参与相关工作，我对网信安考核的理解也从最开始的“按照考核表逐项核对”，逐渐转变为从数据安全管理体系的角度看问题。

很多看起来独立的考核项，实际上是相互关联的。

例如：

API安全需要先进行资产梳理，再进行风险检测和整改；

个人信息保护需要从制度、APP检测、权限、实际采集、日志和风险整改多个环节进行管理；

数据安全风险评估不是形成报告就结束，而是需要推动风险整改并进行复核；

日志审计既是技术能力，也是后续风险追溯和检查的重要证据；

央巡整改关注的是问题是否真正解决，而网信安考核则进一步验证相关安全管理要求是否落实。

因此，我理解的网信安考核并不是单纯的“检查和扣分”，而是通过考核指标反向验证企业数据安全管理体系是否真正运行起来。

最终形成的核心闭环可以概括为：

有制度、有责任、有评估、有检测、有监测、有整改、有复核。

这也是参与相关工作的过程中，对数据安全管理从“具体检查项”逐步形成的整体认识。