• 11月2日，国家网信办集中通报网络安全、数据安全、个人信息保护领域10起执法典型案例。
• 往前两天，10月31日，公安部网安局公布”护网—2026″专项工作中3起不履行数据安全保护义务、网络安全保护义务案。

13起案子摊开看，有一个共同点，值得所有数据处理者停下来想一想：没有一起，是被什么高明的手法攻破的。

十起案例，四起栽在同一个地方

先说网信办这批里最该逐字读的四起。为避免对号入座，案例中的地域和主体信息均予隐去，只保留事实与定性。

某数据产业公司，开发”数字档案管理系统”时使用了存在未授权访问漏洞的ES开源版本，开发测试完成后又没有及时删除测试数据。结果2400余份审计报告、合同、会议纪要被打包窃走——里面还包括网络安全等级保护测评报告、立项及概算批复文件。属地网信办责令改正、警告、罚款，直接负责的主管人员一并被罚。

某医院，体检查询系统存在弱口令，能直接获取就诊病例数据。责令整改后复核，问题比第一次更严重：医院的防火墙、入侵防御、漏洞扫描、日志审计、数据库审计、堡垒机等安全设备，因授权过期全部失效；终端上仍存在700个漏洞，其中73个是可被利用的高危漏洞。医院被警告、罚款，主管人员被罚，情况同时通报给属地卫生健康部门。

某软件公司，一款”盒子”硬件存在未授权访问漏洞，不需要登录，通过网页访问4000端口控制台就能查看车辆状态信息；用户绑定微信公众号后，盒子向公众号传输个人信息、通过公众号查询车辆状态的全过程都没有加密。

某电子公司，门户网站后台管理员弱口令问题从2020年起长期未处置，2026年4月被暴力破解，源文件被植入恶意代码，搜索引擎检索相关内容时出现大量严重违法和不良信息。事发后未启动应急预案、未采取补救措施、未及时报告。

这四起的共同点很清楚：弱口令、未授权访问、遗留测试数据、传输不加密。全是技术基本功，没有一起需要0day。

再看公安那批。

另一家医院，信息管理系统内部权限管理混乱，工作人员可跨权限操作；部分人员为图方便，导出1800余条医护工作数据，存储在未部署有效安全防护措施的互联网电脑上。

某企业自建的来访登记系统存储了访客姓名、来访事由等个人信息，该企业认为”非核心业务系统”就等于”无安全风险”，既没有技术措施，也没有落实管理义务。

另一家企业，话务系统测试服务器在联网业务测试完成后未及时关闭下线，遭网络攻击入侵，攻击者控制系统后利用其外呼功能实施不法行为。

前面四起的标签是”基本功没做”，这三起的标签高度一致：它们是”非核心系统””测试环境””图个方便”。

监管这次把话说得很直白：这些都不是免责理由。

罚单的落点变了

如果只把这批案子理解成”又罚了几家”，就错过了真正的信号。

翻一下处罚依据。《数据安全法》第二十七条要求建立全流程数据安全管理制度、采取技术措施和其他必要措施；第二十九条要求加强风险监测，发现数据安全缺陷、漏洞等风险立即补救，发生事件立即处置并按规定告知用户、向主管部门报告；第四十五条是罚则——责令改正、警告，可并处五万元以上五十万元以下罚款，直接责任人一万至十万；拒不改正或造成大量数据泄露等严重后果的，五十万至两百万，可以责令暂停相关业务、停业整顿、吊销许可证或营业执照，责任人五万至二十万。

《网络安全法》第二十三条把等保义务列成了清单，其中明确要求采取监测、记录网络运行状态和网络安全事件的技术措施，留存相关网络日志不少于六个月；第六十一条对应罚则。

关键在于案由里的“风险”两个字。

那家医院，案由是数据泄露风险；那家做车载硬件的公司，是个人信息泄露风险。这意味着，不需要等到数据真的泄露出去、造成实际损害，只要认定你没有履行义务、数据长期处于不设防状态，处罚就可以成立。

这是一个性质上的变化。过去的监管更接近”结果问责”——出了事，查原因，定责任。现在更接近”义务问责”——你有没有建制度、有没有做监测、有没有留够日志、有没有在上报路径上走通，这些本身就成了被检查的对象。

用一句话概括：罚的不是”被黑”，是”没做”。

把”义务”拆开看

“建立健全全流程数据安全管理制度”这句话，过去容易被当成一句正确的废话。今年9月1日起施行的《重庆市数据安全管理条例》，尝试把它拆成可以逐条对照的动作。

先说清它的位置。这是一部省级地方性法规，共6章45条，适用范围限于重庆市行政区域。对企业来说，真正的合规基线仍然是《数据安全法》《个人信息保护法》《网络数据安全管理条例》这几部全国性法律法规，以及等级保护、数据分类分级等国家标准。重庆这部条例的意义，不在于效力层级更高，而在于它把上位法的原则性要求往”可执行、可检查”的方向推了一步，提供了一个观察地方监管思路的窗口。

其中三个条款值得留意。

• 日志留存分级。一般操作日志留存不少于6个月；互联网政务应用不少于1年；涉及重要数据安全事件处置溯源的不少于1年；涉及向他人提供、委托处理、共同处理重要数据和个人信息的，不少于3年。其中”不少于6个月”本身是《网络安全法》的既有要求，重庆的细化在于按场景分级，并把特定情形拉长到3年。立法者的考虑也写得很直白——以往不少数据泄露事件处置中，企业常以”日志被新数据覆盖、无法追溯”为由规避追责，现在用更长的留存期把这个口子收窄。
• 检查结果互认。第三十四条规定，数据安全风险评估、关键信息基础设施安全保护测评、网络安全等级保护测评、商用密码应用安全性评估之间内容重合的部分，相关结果可以相互采信，不得重复检查、多头检查。这是给企业减负的实事，不过落地效果还要看各主管部门的执行衔接。
• 责任制。“谁管业务、谁管业务数据、谁管数据安全”——把责任压到具体的业务条线上，而不是停留在安全部门。

需要客观看待它的效力边界。地方性法规约束的是本行政区域内的数据处理活动，对其他地区的企业更多是参照意义；涉及多部门协同的条款，实际推进中也存在弹性。真正在全国范围内统一适用、被监管直接引用的，还是上位法和国家标准。

所以更准确的说法是：它不是一份必须照做的清单，而是一份值得参照的样本。对做合规的人来说，价值在于看它如何把”义务”翻译成动作——这套翻译方式，比条款本身更有参考意义。

三个正在发生的认知修正

从这批案子和这部条例的取向上，能看到三个判断在被重新校准。

第一，从”防得住”到”说得清”。

过去评价安全能力，看的是挡住了多少次攻击。现在多了一个维度：能不能证明自己尽了义务。日志留没留、留了多久、能不能撑起一次完整的溯源；权限复核有没有记录；漏洞有没有闭环；事件发生后有没有按规定报告。这些在检查现场，都是要拿出证据的。

举证能力，正在变成和防护能力同等重要的东西。

第二，从”守边界”到”管流动”。

那2400份文件，是从一个开发测试环境漏出去的。那起车载硬件的案子里，数据是在硬件、公众号、后台之间传输时裸奔的。没有一起是从”大门”被攻破的。

数据在哪里，边界就该在哪里。而它现在住在开发环境里、测试数据里、外包商的服务器里、员工的终端里，以及各种”图方便”的导出路径里。

第三，从”建起来”到”跑起来”。

那家医院的案子值得单独说。它第一次把一件事摆到了合规层面：安全设备授权过期，等于没有安全设备。

防火墙在机架上，入侵防御在机架上，日志审计在机架上，但授权全部失效——在检查结论里，这和没买是一样的。甚至更糟，因为它还会给人一种”我们有”的错觉。

这条对甲乙双方都是提醒。对甲方，安全能力的有效性是有保质期的，需要有人盯到期、有人管续期、有人在失效之前发出预警。对乙方，交付一套设备从来不是终点，让这套能力持续在线，才是。

八个可以自己先答的问题

不用等检查。下面这几条，能答上来五条以上，说明底子是好的。

一，我们有哪些系统，被默认为”非核心”，因而长期没人管？

二，最近一次权限复核是什么时候？有没有跨权限操作的记录？

三，测试环境有没有生命周期？测试数据用完，谁负责删？

四，日志能留多久？如果明天要溯源一个三个月前的事件，拿得出来吗？

五，所有安全设备的授权到期日，谁在盯？有没有统一台账和到期预警？

六，有没有一条”发现即上报”的路径？走过吗？走得通吗？

七，供应商和外包方的数据边界在哪里？他们出事，我们多久能知道？

八，如果现在被判定”存在数据泄露风险”，我们能拿出什么，证明自己尽责了？

第八条最难，也最要紧。

13起案子，加上一部地方条例，说的是同一件事：数据安全的监管，正在从”你被攻破了吗”，转向”你在做事吗”。

前者取决于对手，后者取决于自己。而后者，才是可以提前准备的。

绿盟科技帮您把数据安全这件事想清楚、落下去。

*信源：国家互联网信息办公室2026年11月2日执法典型案例通报；公安部网安局”护网—2026″典型案例（2026年10月31日）；《重庆市数据安全管理条例》（2026年9月1日施行）；《中华人民共和国数据安全法》《中华人民共和国网络安全法》相关条款。案例细节以官方通报为准。