这轮数据安全执法，罚的不是”被黑”，是”没做”
内容提要
网信办与公安部通报13起数据安全案例，问题集中在弱口令、未授权访问、测试数据未删除、传输不加密等基础防护缺失，而非高明攻击。监管已从“结果问责”转向“义务问责”：无需等到数据泄露，只要未履行制度、监测、日志留存、报告等义务即可处罚。重庆条例将义务细化为可检查动作，如日志分级留存最长3年。企业应重点证明自身尽责，而非仅依赖防护。
延伸解读
“风险”即可处罚：监管逻辑的实质转变
文章指出，多起案例的案由是“数据泄露风险”而非实际泄露，这意味着处罚不再以造成损害为前提。只要监管认定企业未履行制度、监测、日志留存等义务，使数据长期处于不设防状态，即可依法处罚。这一变化将合规重心从“事后追责”前移到“事前尽责”，企业需要把日常义务履行留下可验证的记录，而不仅是依赖防护设备。
安全设备授权过期，等于没有安全设备
某医院在整改复核时被发现防火墙、入侵防御、日志审计等设备因授权过期全部失效，终端仍有700个漏洞。文章强调，在检查结论中这与未购买设备无异，甚至更糟，因为会制造“我们有”的错觉。这提醒企业，安全能力的有效性有保质期，需要建立授权到期台账和预警机制，否则投入的硬件无法转化为实际防护。
重庆条例的参照价值：把义务翻译成动作
《重庆市数据安全管理条例》作为地方性法规，效力限于重庆，但其意义在于将上位法的原则性要求拆解为可检查的动作，例如日志按场景分级留存，特定情形不少于3年；检查结果互认以减少重复检查；责任压实到业务条线。文章提醒，全国合规基线仍是《数据安全法》等上位法，该条例更适合作为观察监管思路的样本，而非全国统一清单。
举证能力正成为与防护能力并列的合规要求
文章提出，评价安全能力过去看“挡住了多少次攻击”，现在还要看“能不能证明自己尽了义务”。日志留没留、留多久、能否支撑溯源，权限复核有无记录，漏洞是否闭环，事件是否按规定报告，这些在检查现场都需要拿出证据。企业若被判定存在数据泄露风险，能否自证尽责，将直接影响处罚结果，因此日常留痕和文档化管理变得同样关键。
Q&A
网信办和公安部通报的13起数据安全案例，主要问题出在哪里？
问题集中在弱口令、未授权访问、测试数据未删除、传输不加密等基础防护缺失，没有一起是被高明攻击手法攻破的。
监管处罚逻辑从“结果问责”转向“义务问责”是什么意思？
过去是出了数据泄露事件才追责，现在只要认定企业未履行制度建立、风险监测、日志留存、事件报告等义务，即使没有实际泄露，也可以处罚。
《重庆市数据安全管理条例》对日志留存有哪些具体要求？
一般操作日志留存不少于6个月；互联网政务应用不少于1年；涉及重要数据安全事件处置溯源的不少于1年；涉及向他人提供、委托处理、共同处理重要数据和个人信息的，不少于3年。
为什么说安全设备授权过期等于没有安全设备？
某医院防火墙、入侵防御、日志审计等设备因授权过期全部失效，在检查结论中与未购买设备等同，甚至更糟，因为会给人“我们有”的错觉。
企业如何证明自己已经尽到数据安全义务？
需要能拿出证据：日志留存时长和完整性、权限复核记录、漏洞闭环记录、事件报告路径等，举证能力与防护能力同等重要。
文章建议企业自查哪些问题来评估数据安全底子？
包括：非核心系统是否长期无人管、最近权限复核时间、测试数据删除责任人、日志留存时长、安全设备授权到期预警、上报路径是否畅通、供应商数据边界、能否证明自身尽责等八个问题。
