7.8 安全法规与等级保护
本篇定位：安全法规是信息安全**"背记即得分"**的板块（占比约 10–15%，2024 以来持续加码）——9 年直接命中 12+ 题（2018 单63/多92、2022 单79、2023 单79、2024 单73/77、2025 单63/79、2026 单80/多98/多100），2027 预测继续点名（网安法/数安法/个保法、等保、关基年评估）。考点：网安法（等保/日志 6 个月/应急预案/关基年评估）、数安法（分类分级/数据处理定义）、重要 vs 敏感数据、个保法、等保 5 级、数据安全事件分级。核心能力：法规关键数字（6 个月、5 级、四级事件）+ 条文关键词。 数据依据：
01-真题/真题文本/+01-真题/考点汇总/+05-笔记/信息安全-高频考点清单.md；答案以专业判断为准。 阅读提示：法规与 7.9 金融合规实务衔接；等保与 5.9 网络安全基础衔接；数据分类与 4.7 数据仓库衔接。
一、考点定位（本章真题统计）
| 考点 | 真题锚点 | 频次 | 考法 |
|---|---|---|---|
| 网络安全法 | 2018 单63/多92、2024 单73/77、2025 单63、2026 多98 | 4 年 6 题 | 等保制度；日志 ≥6 个月；应急预案；关基年评估 |
| 数据安全法 | 2023 单79、2026 单80 | 2 年 | 分类分级；数据处理含"加工" |
| 重要 vs 敏感数据 | 2025 单79 | 1 年 | 关系国计民生=重要数据 |
| 等保 5 级 | 2022 单79 | 1 年 | GB17859 五级 |
| 数据安全事件分级 | 2026 多100 | 1 年 | 特别重大/重大/较大/一般 |
命题规律：法规题考"关键数字 + 条文原句"——考试原句复现率高（背了就有分）。2027 预测 2–3 题：网安法、数安法、个保法。核心能力：三法关键条文（数字/分类/定义）逐条背。
二、知识框架（先搭骨架）
三部核心法律
├── 《网络安全法》（2017 施行）
│ ├── 国家实行网络安全【等级保护】制度（2018 单63）
│ ├── 网络日志留存不少于【6 个月】（2024 单73、2026 多98）
│ ├── 制定网络安全【应急预案】（2025 单63）
│ ├── 关键信息基础设施（关基）运营者：【每年至少一次】安全检测评估（2024 单77）
│ └── 禁止：诈骗信息/非法获取个人信息/传授犯罪方法/违规网站（2018 多92）
├── 《数据安全法》（2021 施行）
│ ├── 建立数据【分类分级】保护制度（2023 单79）
│ ├── 数据处理 = 收集/存储/使用/【加工】/传输/提供/公开（2026 单80——"加工"易漏）
│ └── 数据安全事件分级：特别重大/重大/较大/一般（2026 多100）
├── 《个人信息保护法》（2021 施行）
│ ├── 处理个人信息前应【告知】并取得同意
│ └── 收集个人信息应遵循正当、必要原则
└── 数据分类（2025 单79）
├── 【重要数据】：关系国家安全、国民经济命脉等
├── 【敏感数据】：个人敏感信息（身份证/健康/金融账户）
└── ⚠️ "关系国家安全、国民经济命脉的数据属敏感数据"是【错误】说法（属重要数据）
等级保护（等保，GB17859）
├── 五级（2022 单79）：
│ 1 自主保护级 → 2 系统审计级 → 3 安全标记级 → 4 结构化保护级 → 5 访问验证保护级
└── 五级=访问验证保护级（最高）
一句话记忆：网安法（等保制度、日志 6 个月、应急预案、关基年评估）；数安法（分类分级、处理含加工、事件四级）；个保法（告知同意、正当必要）；重要数据≠敏感数据；等保五级访问验证最高。
三、考点详解
3.1 网络安全法（2018 单63/多92、2024 单73/77、2025 单63、2026 多98，必考）
《网络安全法》关键条文（必背）：
- 国家实行网络安全等级保护制度（2018 单63）——所有网络运营者都要定级保护；
- 网络日志留存不少于 6 个月（2024 单73、2026 多98）——"未发生安全事件可自定留存时间"是错误说法（必须 ≥6 个月）；
- 制定网络安全事件应急预案并定期演练（2025 单63）；
- 关键信息基础设施运营者每年至少进行一次安全检测评估（2024 单77）；
- 禁止：发布诈骗信息、非法获取个人信息、传授犯罪方法、设立违规网站（2018 多92）。
关键信息基础设施（CII）运营者的四项要求（2021 多98，答案 ABCD）：
- 定期对从业人员进行网络安全教育、技术培训和技能考核；
- 对重要系统和数据库进行容灾备份；
- 设置专门安全管理机构和安全管理负责人，并对该负责人和关键岗位人员进行安全背景审查；
- 制定网络安全事件应急预案并定期演练。
⚠️ 坑：第 3 项"设专门机构＋安全背景审查"最常被漏——它是《网络安全法》对关基的明文要求，不是"建议"。四项要当成清单整体背。
口诀：等保+6 个月日志+预案+关基年评。
3.2 数据安全法（2023 单79、2026 单80）
2023 单79（选分类分级）：国家建立数据分类分级保护制度（根据数据重要程度分级保护）。
2026 单80（选加工）：数据处理包括——收集、存储、使用、加工、传输、提供、公开（"加工"是最易漏选的）。
口诀：数据分类分级保护；处理七动作含"加工"。
3.3 重要数据 vs 敏感数据（2025 单79）
2025 单79（选错误项）："关系国家安全、国民经济命脉的数据属敏感数据"是错误说法——这类数据属重要数据（不是敏感数据）。
| 类型 | 定义 | 例子 |
|---|---|---|
| 重要数据 | 关系国家安全、国民经济命脉、重大公共利益 | 核心系统数据、关键基础设施数据 |
| 敏感数据/个人信息 | 可识别特定个人的信息 | 身份证号、金融账户、健康信息 |
口诀：国计民生=重要数据、个人身份=敏感数据。
3.4 个人信息保护法（2027 预测）
《个人信息保护法》关键条文：
- 处理个人信息前应告知并取得同意；
- 收集个人信息应遵循正当、必要原则（不过度收集）；
- 敏感个人信息需单独同意。
2027 预测高概率：个保法告知/同意、最小必要原则。
3.5 等级保护五级（2022 单79）
2022 单79（选 5 级）：GB17859 将计算机信息系统安全保护等级分为 5 级：
| 级别 | 名称 |
|---|---|
| 1 | 用户自主保护级 |
| 2 | 系统审计保护级 |
| 3 | 安全标记保护级 |
| 4 | 结构化保护级 |
| 5 | 访问验证保护级（最高） |
口诀：等保五级=自主、审计、标记、结构化、访问验证。
3.6 数据安全事件分级（2026 多100）
2026 多100（选 BCD）：数据安全事件分为特别重大、重大、较大、一般四级；"极其重大"是错误选项。
口诀：数据安全事件四级=特别重大/重大/较大/一般。
3.7 等级保护的颗粒度（补强）
| 级别 | 定级对象 | 测评频度 | 备注 |
|---|---|---|---|
| 一级 | 一般系统，自主保护 | 自主 | — |
| 二级 | 一般业务系统 | 建议两年一次 | 需备案 |
| 三级 | 涉及较多公民信息/重要业务 | 每年至少一次 | 备案＋测评，金融核心系统多为三级 |
| 四级 | 涉及国家安全/社会秩序 | 每半年至少一次 | 强制 |
| 五级 | 极端重要 | 按国家专门要求 | — |
- "一个中心、三重防护"：安全管理中心＋安全计算环境／安全区域边界／安全通信网络。
- S/A/G 标识：S＝业务信息安全、A＝系统服务安全、G＝通用；定级取 S 与 A 的较高者。
- 测评结论四档：优（≥90）／良（80–90）／中（70–80）／差（<70）。
- 2022 单79：五级防护要求＝自主保护／审计保护／标记保护／结构化保护／访问验证（对应 1–5 级）。
3.8 关键信息基础设施与涉密分级（补强）
关基六项要求（2021 多98）： ① 三同步（安全设施与主体工程同步规划、同步建设、同步使用）； ② 每年至少一次检测评估（自行或委托专业机构）； ③ 设专门安全管理机构、明确负责人、对关键人员做背景审查； ④ 从业人员安全教育培训与考核； ⑤ 重要系统容灾备份； ⑥ 制定应急预案并定期演练。
- 坑：关基保护与等级保护不能互相替代（关基在等保基础上加更严要求）；2018 单63：关基采购网络产品须签安全保密协议。
涉密信息系统分级（2024 单68）：秘密 → 机密 → 绝密三级（密级递增），实行分级保护；与等级保护是两套并行体系（涉密走分级保护、非涉密走等保）。坑：涉密机严禁连互联网、严禁用非涉密介质交叉拷贝。
数据分类分级（2020 单72、2025 单69）：
- 顺序：先分类、后分级；数据资产所有者的首要任务＝确定数据的敏感性等级（2020 单72）。
- 常见三级：一般数据／重要数据／核心数据；"重要数据"（看国家安全影响）与"敏感数据"（看泄露危害）不是一回事（2025 单79）。
- 敏感数据的最佳保护＝分级后差异化管控（2025 单69），不是"一律加密"。
3.9 应急预案与数据生命周期（补强；2018 多96、2022 单76、2026 多87）
应急预案三要素：场景（什么事件）＋流程（谁做什么、分几步）＋通讯录（内部责任人＋外部机构电话）。
- 预案组成（2022 单76）：适用范围、组织与职责、处置流程、资源保障——"演练结果"不属于预案本身（演练是执行环节）。
- 预案层次：总体预案 → 专项预案 → 现场处置方案。
- 适用场景（2018 多96）：自然灾害、网络攻击/病毒、系统故障/宕机、人为误操作/内部违规；"业务创新"不是。
- 演练五步：计划 → 准备 → 实施 → 评估 → 改进；形式分桌面演练/模拟演练/完全演练（强度递增）。
- 信息安全事件四例（2026 多87）：系统被控、钓鱼邮件、网页篡改、机房火灾——都算安全事件（不只"黑客攻击"）。
数据生命周期六环节与保护：采集（最小必要、告知同意）→ 传输（加密/VPN）→ 存储（加密、分区、备份）→ 处理（脱敏、权限、审计）→ 交换共享（审批、水印、脱敏）→ 销毁（覆写/消磁/粉碎）。
- 四种手段别混：脱敏（变形，可用但难还原）、最小化（少收集）、水印（溯源追责）、DLP（监测与阻断外发）。
- 脱敏两型：静态脱敏（生产库→测试库时改，数据落库即变形）、动态脱敏（查询时按权限实时改，生产库数据不动）；手法：掩码、截断、哈希、泛化、随机替换。
四、易错坑汇总（命题人惯用陷阱）
- 日志 ≥6 个月（2024 单73、2026 多98）——"未发生安全事件可自定日志留存时间"错误（法定 ≥6 个月）。
- 数据处理含"加工"（2026 单80）——漏选"加工"是常见错（收集/存储/使用/加工/传输/提供/公开）。
- 重要数据≠敏感数据（2025 单79）——"关系国计民生的数据是敏感数据"错误（是重要数据）。
- 关基年评估（2024 单77）——"关基每三年评估一次"错误（每年至少一次）。
- 等保五级（2022 单79）——"等保三级"错误（GB17859 是五级）；"等保 4 级最高"错误（5 级=访问验证最高）。
- 事件四级（2026 多100）——"极其重大"是错误选项（特别重大/重大/较大/一般）。
- 等保制度（2018 单63）——"国家不强制实行等保"错误（法定制度）。
- 个保法正当必要——"可随意收集个人信息"错误（需告知同意、正当必要）。
五、横向扩展（防漏网：本章边界内、真题尚未考但可能补考的点）
说明：横向扩展覆盖"大纲范围内但 9 年真题未考过"的知识，标注【新增概率】供取舍。
- 个保法关键数字【高】：敏感个人信息（14 岁以下未成年人信息属敏感）、单独同意——2027 高概率。
- 关基条例【中】：关基范围、保护要求（与网安法配套）——名词题。
- 数据出境安全评估【中】：重要数据出境需评估——金融跨境业务场景。
- 等级保护定级流程【低】：定级/备案/建设整改/测评/监督检查——名词题。
- 网络安全审查制度【低】：关键设备采购审查——名词题。
- 数据安全负责人【低】：重要数据处理者应设数据安全负责人——名词题。
- 应急预案四阶段【低】：预防/监测/处置/恢复——名词题。
- 等保 2.0【中】：新一代等保标准（扩展云计算/大数据/物联网）——与 8.2 云计算衔接。
六、真题演练（代表性真题 + 解析）
例 1（2024 单73） 根据《网络安全法》，网络日志留存时间不得少于（口径已核）。 A. 3 个月 B. 6 个月 C. 12 个月 D. 24 个月
答案：B。网络日志留存不少于 6 个月。口诀：日志留半年。
例 2（2026 单80） 根据《数据安全法》，数据处理包括收集、存储、使用、（口径已核）、传输、提供、公开等。 A. 删除 B. 加密 C. 备份 D. 加工
答案：D。数据处理七动作含"加工"（收集/存储/使用/加工/传输/提供/公开）。口诀：处理七动作、加工别漏选。
例 3（2023 单79） 根据《数据安全法》，国家建立（口径已核）保护制度。 A. 数据分类分级 B. 数据统一管理 C. 数据开放共享 D. 数据跨境流动
答案：A。数据分类分级保护制度。口诀：数据分门别类、按级保护。
例 4（2022 单79） 根据 GB17859，计算机信息系统安全保护等级分为（口径已核）级。 A. 3 B. 4 C. 5 D. 6
答案：C。等保五级（自主/审计/标记/结构化/访问验证）。口诀：等保五级、访问验证最高。
例 5（2026 多100） 数据安全事件分为（口径已核）等级。 A. 极其重大 B. 特别重大 C. 重大 D. 较大
答案：BCD。数据安全事件=特别重大/重大/较大/一般（一般题干未列或选项另有）；"极其重大"（A）是错误选项。口诀：事件四级、无"极其"。
例 6（2025 单79） 关系国家安全、国民经济命脉的数据属于（口径已核）。 A. 敏感数据 B. 重要数据 C. 个人数据 D. 一般数据
答案：B。关系国计民生=重要数据（不是敏感数据——敏感=个人身份类）。口诀：国计民生=重要数据。
七、本章小结
- 一条主线：网安法（等保/6 个月日志/预案/关基年评）→ 数安法（分类分级/处理含加工/事件四级）→ 个保法（告知同意/正当必要）→ 重要 vs 敏感数据 → 等保五级。
- 必背数字：日志 6 个月（2024 单73）；关基年评估（2024 单77）；等保 5 级（2022 单79）；事件四级（2026 多100）。
- 必背判定：重要数据≠敏感数据（2025 单79）；处理含加工（2026 单80）；分类分级（2023 单79）。
- 衔接预告：金融合规实务→7.9；等保与 5.9 衔接；数据分类与 4.7 衔接。