行业动态

本指南适用于中华人民共和国境内能源行业非涉密数据的分类分级工作。 能源数据处理者开展涉及国家秘密，或汇聚关联后构成国家秘密的能源数据处理，遵照《保守国家秘密法》管理；本指南术语定义与《能源行业数据安全管理办法（试行）》保持统一。

网络关键设备和网络安全专用产品依据国家互联网信息办公室、工业和信息化部、公安部、财政部、国家认证认可监督管理委员会《关于调整网络安全专用产品安全管理有关事项的公告》（2023年第1号）开展安全管理，不列入《实施网络安全标识的产品目录》。

近期，我部委托第三方专业检测机构对市场主流移动应用开展常态化抽查检测，经核查认定，共计 32 款 APP 及配套 SDK 存在违规收集个人信息、过度索取权限、弹窗无关信息、SDK 合规公示缺失、应用频繁自启动 / 关联启动等侵害用户合法权益问题，现予以全网通报（完整问题清单详见附件）。

针对代工厂、外包厂商部署全链路DLP数据防泄漏，严控文件下载、拷贝、外网传输行为；建立常态化第三方安全渗透测试与数据安全风险评估，定期排查内网高危漏洞；完善勒索攻击应急响应预案，区分客户机密、个人信息、企业经营数据分级处置，提前做好泄密溯源、客户告知、监管报备流程。

《网络数据安全风险评估办法》的落地，标志着重要数据安全监管从柔性要求转向标准化、强制化、常态化的年度合规考核。对于政务、金融、制造、医疗、能源等持有重要数据的主体，年度数据年检将成为常态化合规工作。对企业而言，这既是合规要求，也是提升自身数据安全能力的契机。

监管释放核心导向：1.统一金融全行业数据分级标准，解决过去券商、基金、资讯平台数据防护尺度不统一问题，补齐数据传输、文件共享合规短板；2.金融领域跨境数据从严监管常态化，参考携程千万跨境传输罚单案例，无审批、无加密、无审计的数据外发将成为执法重点；

本次处罚依据《中华人民共和国个人信息保护法》相关条款作出。监管通报指出，企业未履行跨境个人信息出境法定前置合规义务，大规模违规向外输送敏感个人信息，严重侵害用户个人信息权益，违反数据跨境传输监管要求，依法处以顶格区间高额罚款。

作为等保 2.0 体系的核心补充标准，GA/T 2380-2026 并非替代原有 GB/T 22239-2019，而是将数据安全从 “安全计算环境” 的附属要求，升级为独立安全控制域，新增 “安全数据处理” 大类，与原 10 大类安全要求并列。

员工常用的公有云盘、个人邮箱已成为数据外泄的高危通道。尤其是高管、核心岗位人员的终端数据外发行为，若缺乏审批、审计与内容管控，极易被攻击者利用。在此提醒金融、证券、企业集团等单位，强化终端外发管控、云传输行为审计以及邮箱安全防护，阻断隐蔽式数据窃取链路。

进入6月，全国江苏、山东、广东等多地卫健委密集组织辖区公立医院、民营医疗机构、医药研发企业开展医疗数据合规落地宣贯培训，紧扣6月1日正式实施的《商业秘密保护规定》及《医疗卫生机构数据安全和个人信息保护管理办法（试行）》双重法规要求推进整改落地。