网信办与公安部通报13起数据安全案例，问题集中在弱口令、未授权访问、测试数据未删除、传输不加密等基础防护缺失，而非高明攻击。监管已从“结果问责”转向“义务问责”：无需等到数据泄露，只要未履行制度、监测、日志留存、报告等义务即可处罚。重庆条例将义务细化为可检查动作，如日志分级留存最长3年。企业应重点证明自身尽责，而非仅依赖防护。