很多人第一次做合规台账时，会卡在同一个地方：这份制度到底该挂在网络安全法下面，还是数据安全法下面。写错了不致命，但一被问「你依据哪条」，就答不上来。这篇不背法条，只帮你把几部法律的管辖对象、触发场景和落地动作分开，给一张能对着填的对照表，再附一份自查顺序。
很多人第一次做合规台账时会卡在同一个地方：手上这份制度到底该挂在网络安全法下面，还是数据安全法下面。写错了不致命，但一被问「你依据哪条」就答不上来。这篇不背法条，只帮你把几部法律的管辖对象、触发场景和落地动作分开，给一张能对着填的对照表，再附一份自查顺序。
先把心态放平：三部法不是三选一，而是三条并行的线，一件事可能同时踩到两条甚至三条。入门阶段的目标不是背条文，而是看到一件事能立刻判断「先按哪条走」。具体条号和门槛这些会变的东西，到站内 /safety 分区的当期整理里核对，别拿旧笔记当标准。
先分清三部法各自盯着什么
理解路径就一句：把「系统、数据、人」这三样东西分开想。网络安全法盯着系统跑不跑得稳，数据安全法盯着数据从采集到销毁这条命怎么管，个人信息保护法盯着落到具体人身上的那部分信息怎么处理。三者对象不同，所以一件事可以同时触发两条，但对应的动作不一样。
| 法律 | 主要管的对象 | 典型触发场景 | 落地动作方向 |
|---|---|---|---|
| 网络安全法 | 网络与联网系统、运营者 | 系统被攻击、服务中断、网络日志缺失 | 等保、日志留存、应急预案、演练 |
| 数据安全法 | 数据活动全流程 | 数据被篡改、重要数据出境、数据交易 | 分类分级、目录、风险评估、出境判断 |
| 个人信息保护法 | 自然人相关的信息处理 | 超范围收集、未告知、用户要求删除 | 告知同意、最小必要、权利响应、委托协议 |
判断口诀可以用：出事故先问是系统瘫了、数据被动了、还是某个人的信息被用了。三条线可以同时成立，但要分别对应不同的制度和证据。如果你只写一份「安全管理制度」把所有事都塞进去，被追问依据哪条时照样答不上来。
- 网络安全法的判断抓手：是否影响网络正常运行、是否涉及联网系统或关键信息基础设施；
- 数据安全法的判断抓手：是否属于数据处理活动、有没有分级或出境的动作；
- 个人信息保护法的判断抓手：数据能不能识别到具体自然人、有没有处理目的和授权；
- 一个场景同时命中多条的，按最严的那条定动作和留存要求，别只挑省事的。
信息安全、网络安全、隐私保护这几个词怎么叠
这几个词日常混着说没问题，写制度时混着用就会出事。最稳的记法是层层收窄：信息安全最宽，网络安全是它里面跟联网系统相关的那一层，隐私保护关注可识别到个人的部分。三者是包含关系，不是并列关系。
- 信息安全
- 凡是涉及信息的保密性、完整性、可用性都算，包括纸质、口头、线下的信息
- 网络安全
- 信息安全里跟网络传输和联网系统相关的那一层，偏技术设施和运行
- 隐私保护
- 关注可识别到个人的那部分，与个人信息保护法重合度最高，但范围更宽
- 等保
- 对联网系统按级别做安全建设与测评的一套动作，属于网络安全法那一条线
最常见的误区就是把「上了加密、买了防火墙」当成合规完成。技术措施只是运行安全那一层的部分答案，数据有没有分级、用户有没有被告知、能不能响应删除请求，是另外两条线的事。写台账时把技术项和流程项分开放，思路会清楚很多。
四个容易混的边界场景
看概念不如看场景。下面四种情况在实际工作中出现频率最高，每种的判断先后不一样。判断时先问「最先动的是哪样东西」，再顺着上面的三层往下找。
- 被拖库导致系统不可用先按网络安全法看运行安全与应急处置，再看数据安全法里数据被泄露的处置流程，最后确认是否牵涉个人信息；三步证据分开留档。
- 把用户手机号传给第三方做营销核心是个人信息保护法的问题，重点看有没有告知、有没有单独同意、委托协议签没签；跟网络安全法基本无关。
- 公司自攒的工业参数要出境走数据安全法的出境判断，先确认这批数据算不算重要数据，跟里面有没有个人信息无关；不确定就到 /safety 核对外口径。
- 内部员工越权下载全量客户表三边都沾但优先级清楚：先查账号权限和访问日志，再查数据分级是否到位，最后看个人信息保护法下的责任划分。
这四个场景的共同点是：不要一上来就问「犯不犯法」，而是先问「动作发生在哪条线上」。把动作归好类，后面查制度和补证据就不会乱。
一份能照着走的自查顺序
自查最怕没有顺序，东看一块西看一块，最后清单写了一堆也不知道从哪补。下面这个顺序按「先有对象，再有标签，再有制度」来排，适合小团队一步步走。
- 第一步列资产：把系统、数据库、对外接口、跑批任务各写一行，标注它承载哪一类数据；
- 第二步打标签：每条资产判断属于网络运行问题、数据活动问题还是个人信息问题，可以多选；
- 第三步对制度：每个标签去查有没有对应的书面制度、责任人和记录，缺的记进待办；
- 第四步定频率：运行类按月看监控与演练，数据类按项目节点看评估，个人信息按变更触发看告知；
- 第五步留证据：制度、审批、日志、演练记录分开归档，别指望事后补。
走完这五步，你会得到一张带标签的资产表，而不是一份抄来的制度模板。这张表才是后面应付检查、做内部汇报时真正能用的东西。表里涉及具体门槛和申报条件的地方，到 /safety 核对当期数字，不要用通用口径硬套。
什么情况下这套分法不好用
任何分法都有边界。下面几种情况硬套上面那套标签反而会增加负担，需要单独处理。诀窍是：分法的目的是让动作清楚，如果分完更糊涂，那就说明场景本身不适合拆。
- 业务纯离线本地处理、不联网也不收集个人信息时，网络安全法这层动作很少，重点落在数据管理；
- 公司规模很小、只有一套系统时，硬拆三套制度反而变重，可以先合成一份再按章节标依据；
- 涉及关键信息基础设施或重要数据时，判断门槛和申报路径不一样，需要单独确认；
- 法规与标准会更新，具体条号和门槛以站内 /safety 分区当期整理为准。
另外提醒一句：如果你所在的行业有专门的管理办法或行业标准，上面这套只是通用底座，行业要求通常更细，别用通用口径去覆盖行业要求。拿不准的时候，先把行业主管部门的口径查清楚，再回来看三部法怎么对齐。
下一步把资产表和当前的安全分区整理对着看一遍，能少走不少弯路。→常见问题
我做的只是一个小工具，需要同时管网络安全法和数据安全法吗？
先看你有没有联网传输、有没有存用户数据。只联网传数据不存，网络运行这一层轻；存了用户数据，数据侧和个人信息侧的义务就起来了。两边不是二选一，是按你实际碰到的动作分别触发，别因为「公司小」就默认都不用管。
「网络数据」和「个人信息」是一回事吗？
不是。网络数据范围更大，包含设备日志、配置、业务统计数据这类根本指不到人的内容；个人信息是其中能识别到具体自然人的那一部分。所以一份日志可能属于网络数据但不属于个人信息，判断时要分开看，别拿一套规则套全部。
分清这几部法对日常干活有什么实际用处？
最直接的用处是对外答复时不露怯：客户或审计问「你们依据什么做的」，你能说清这条对应运行安全、那条对应数据管理。其次是自己排优先级时不会漏项，比如只做了加密却没做权限和留存期限，那仍是缺口。
