网络安全、数据安全、信息安全

开会时被问「我们做的是网络安全还是数据安全」，翻半天资料发现三个词互相解释，谁也没说清边界。这篇不堆法规原文，只给一张对照表和一套自查动作：先判断你手上这件事属于哪一类，再决定该看哪份材料、该问谁、该留什么记录。适用于写方案、填自查表、给团队做培训的场景；纯学术研究或已经过了等保测评的团队，可以只看对照表那一节。

开会时被问「我们做的是网络安全还是数据安全」，翻半天资料发现三个词互相解释，谁也没说清边界。这篇不堆法规原文，只给一张对照表和一套自查动作：先判断你手上这件事属于哪一类，再决定该看哪份材料、该问谁、该留什么记录。适用于写方案、填自查表、给团队做培训的场景；纯学术研究或已经过了等保测评的团队，可以只看对照表那一节。

不绕弯子：三个词不是互相替代的关系，而是看问题的三副眼镜。戴错眼镜，不影响你干活，但会影响你写材料、找人、买工具时的判断。下面直接给对照和动作，你照着走一遍，基本能分清自己手头的事该归到哪一类。

三个词为什么总被混着用

混用不是谁不专业，是历史遗留加口径差异造成的。早期只有一个「信息安全」的说法，后来网络和数据两条线各自长出管理办法，覆盖对象不同，同一个动作放不同材料里可能被归到不同类别。日常聊天当同义词无所谓，但写方案、填表格时分类错了，材料容易被退回来补件。

一个实用的判断方法：先看保护对象是「通道」「内容」还是「整体」。通道指的是线路、设备、访问路径；内容指的是数据本身和它的流转过程；整体则是所有信息相关风险的统称。对号入座，比背定义快。

• 历史原因：早期只有「信息安全」一个说法，后来拆出网络与数据两条线
• 监管口径差异：不同管理办法覆盖的对象不同，导致同一个动作会被归到不同类别
• 日常语境里三个词常被当同义词，但写方案、填表格时分类错了会直接导致材料被打回
• 判断方法：先看保护对象是「通道」「内容」还是「整体」，再对号入座

一页对照表：保护对象、失效后果、典型动作

下面这张表建议直接截图存手机。填表或者开会前扫一眼，能省掉很多「这个算哪类」的扯皮。注意表里不写具体数值，凡是涉及天数、大小、阈值这类数字，都到站内页面核对当时的数字，别凭记忆写。

失效后果这一列容易看串：通道断的是可用性，内容泄露的是机密性，数据被篡改则三者都沾边。所以遇到一件事，先问「最怕它出什么问题」，答案指向哪一类，就优先按哪一类的动作去准备证据。

拿场景对号：你手上这件事属于哪一类

光看表还不够，拿真实场景套一遍才记得住。下面几个场景是团队里最常碰到的，你可以直接替换成自己手头的任务。

• 给服务器配防火墙、划分网段、做端口收敛——网络安全
• 给数据库字段做脱敏、定留存期限、控制谁能导出——数据安全
• 定密码策略、做员工保密培训、写安全管理制度——信息安全
• 一个场景常常跨三类，比如「把数据发给第三方」既是数据安全也是网络安全，判断关键是看主要风险和主要责任人
• 如果某件事既有通道问题又有内容问题，按「出事时谁先被问责」来定主类，另一类作为附带措施写进材料

跨类场景不用纠结「到底算哪一类」，写方案时主类写一个，附带措施分条列在下面就行。审核的人看的是你有没有覆盖风险，不是分类是否纯净。

分不清边界会踩的三个坑

分不清不只是面子问题，会实打实消耗时间。写合规材料时归类错，该附的证据没附，来回补件；内部排责任时互相推，网络团队说这是数据的事，数据团队说这是通道的事；采购工具时买错类别，要解决数据脱敏问题却买了流量防护设备。

怎么避免？写材料前先花五分钟把动作和「保护对象」对齐；排任务时按场景分责任人，不按部门；采购前把要解决的问题写成一句话，再对照表格里那一类的典型动作，看工具能不能对上。

自查顺序：从资产出发，而不是从名词出发

很多人的自查顺序是先想「我属于哪一类」，然后去找对应的检查项，这样容易漏东西。更靠谱的做法是从资产出发，先盘你有什么，再看每样东西最怕什么，最后反推该做什么。

1. 列资产把你有的资产写下来：通道、设备、账号、数据集合，各写一行。不要写「服务器」这种笼统的词，写清楚是哪条线路、哪台设备、哪个系统的账号、哪一类数据。
2. 标最怕的事给每条资产标上它最怕什么：被断、被看、被改、被删。四选一或四选多，别写「都有风险」这种废话。
3. 反推防护动作按「最怕什么」去找对应类别的动作，比如怕被看就找数据安全和网络安全的控制项，怕被删就找备份和恢复流程。
4. 写成清单把结论写成清单，每条附上责任人和复查时间。清单用表格，方便交接和二次复核。

三类护不住的情况要提前说清：供应链、人的操作、以及你根本没意识到存在的影子资产。这三样不是分类能解决的，得靠流程和抽查，写材料时如实标注「本项不在本次覆盖范围」，比硬凑结论更稳妥。

做完自查，记录怎么留

自查做完，记录方式决定了下次复查是十分钟还是半天。每条结论留三样：判断依据、执行动作、复查时间点。依据写清楚你是看了哪条制度或哪个页面得出的结论，动作写具体做了什么，复查时间点写清楚什么时候再看一遍。

涉及具体数值的，比如留存天数、日志大小、阈值，不要凭记忆写，到站内页面核对当时的数字。判断类结论标注「什么情况下不适用」，避免下次复查时被自己或别人推翻。留档格式用表格比用长文好，一行一个结论，交接时省口舌。

# 留档表头参考，复制到表格工具里用
资产 | 最怕什么 | 对应类别 | 执行动作 | 判断依据 | 复查时间

什么情况下这套分法不适用

任何分类方法都有不适用的时候，提前说清楚比事后打补丁强。下面三种情况，建议不要硬套三分法，按原有口径走更省事。

• 已经按等保或行业专项标准做过评估的团队，直接沿用原有分类口径，不要另起一套
• 纯内部研发、没有对外数据处理的小团队，重点放在账号和备份上，不必强做三分
• 涉及数据跨境的场景，分类之外还要单独看跨境路径，别用三分法硬套
• 如果公司内部已经有安全管理制度，优先沿用制度里的分类，新分法只作为补充视角

最后提醒一句：三个词分清是为了让你少扯皮、少补件、买对工具，不是为了把工作切成三块各干各的。实际执行时，按场景走、按资产走，比按名词走快得多。