176号令第七条用十一项内容回答了「进门之后看什么」。这十一项里有四项直接对应等保义务三项是这次新加进来的关注点其余覆盖备案、管理制度、日志留存与技术措施。逐条对一遍比笼统地说「加强安全建设」有用得多。需要先说明一点十一项是「重点检查内容」不是必查清单。不同行业、不同定级结果的单位被问到的侧重会不一样。但对企业来说先按全量过一遍再按自身情况收敛是更稳的做法。一、十一项内容的全貌按原文顺序摆一遍。第一至六项是是否依法办理联网单位备案手续并报送接入单位和用户基本信息及变更情况是否依法制定并落实网络安全、数据安全、信息安全管理制度和操作规程是否依法记录并留存用户注册信息和上网日志信息是否依法履行网络安全等级保护定级备案、等级测评、建设整改、自查等安全保护义务是否依法履行关键信息基础设施安全保护义务是否依法采取防范计算机病毒和网络攻击、网络侵入等技术措施。第七至十一项是是否依法针对网络安全漏洞、隐患采取相应的整改措施消除风险隐患是否依法在公共信息服务中对法律、行政法规禁止发布或者传输的信息采取防范措施是否依法落实算法安全主体责任建立健全算法推荐管理制度和技术措施是否依法履行数据安全、个人信息保护义务是否依法为公安机关维护国家安全、防范调查恐怖活动、侦查犯罪等提供技术支持和协助。图1 176号令第七条的十一项检查内容可以归成四组第七条检查项实质在看什么常见举证材料一联网单位备案与信息报送备案是否有效、变更是否报送备案证明、接入单位与用户信息台账二安全管理制度与操作规程制度是否落地执行制度文本、执行记录、责任分工三用户注册信息与上网日志是否依法记录并留存日志留存记录、留存周期说明四等保四项义务定级备案、测评、整改、自查定级报告、备案证明、测评报告、整改记录五关基安全保护义务关基运营者的法定义务关基认定材料、保护措施记录六防病毒与防攻击技术措施技术措施是否在运行设备策略配置、运行状态、告警日志七漏洞隐患整改是否消除风险隐患扫描与渗透报告、修复验证记录八违法信息防范措施公共信息服务合规审核机制、处置记录九算法安全主体责任制度与技术措施是否健全算法管理制度、推荐机制说明十数据安全与个保义务数据层是否真正受控分类分级清单、加密措施、密评结论、审计记录十一技术支持和协助配合机制是否通畅联络机制、协助记录这张表建议按「我有没有材料」而不是「我做得够不够好」来勾。检查现场首先要解决的是有没有其次才是好不好的问题。二、四项直接落在等保上十一项里第四项是等保的主战场——定级备案、等级测评、建设整改、自查四项义务一次列全。值得注意的是「自查」被写进了法条过去不少单位把拿到测评报告当成终点现在年度自查做没做、有没有留下记录同样会被问到。第五项针对关键信息基础设施运营者第六项看的是防病毒、防攻击、防侵入的技术措施是否真的在用第七项看漏洞与隐患的整改闭环。这四项加在一起恰好覆盖等保测评里技术与管理两条线的核心内容也解释了为什么「做过等保」的单位在迎检时通常不会从零开始。三、三项容易被忽略的新内容第九项是这次新加的关注点算法安全主体责任包含算法推荐管理制度和技术措施。做内容分发、个性化推荐、排序与检索的单位要特别注意这一项对应的监管口径在近两年被反复提及但多数企业的制度文本里还没有它。第十项把数据安全与个人信息保护义务与等保义务并列地位是对等的。第十一项是协助义务——依法为公安机关维护国家安全、防范调查恐怖活动、侦查犯罪等提供技术支持和协助考验的是配合机制是否通畅而不是技术能力高低。另外两项看着传统失分率却不低。第一项联网单位备案与信息报送很多单位做等保备案时顺手办了之后就忘了变更第三项用户注册信息和上网日志留存留存周期不够、格式不统一、需要时导不出来是测评与检查里反复出现的扣分点。四、把十一项落成一张自查清单把上面这些对照成「缺什么、补什么」收敛下来就是六个动作。图2 十一项里最容易失分的六处高频失分点通常缺什么建议动作第二项 管理制度制度有了执行记录没有补执行日志与责任分工确认记录第三项 日志留存留存周期不足、导出不方便固化留存周期验证可按需导出第七项 整改闭环扫描做了修复验证缺位建立隐患台账逐条记录复测结论第九项 算法安全推荐机制缺少制度支撑制定算法管理制度与安全评估记录第十项 数据安全分类分级清单与密评结论缺失先盘家底再补加密与密评第四项 自查年度自查无计划无台账把自查写进年度日程并留痕这六项里前两项属于管理动作中间三项属于技术留痕最后一项是节奏问题。建议按这个顺序推进先把制度和台账补齐再处理日志与整改闭环最后把自查变成年度固定动作。五、数达数安版等保一体机的对照关系数达数安版等保一体机DS-CMP的九项能力与十一项检查内容里可技术化的部分基本能对上。日志审计与堡垒机负责第三项与第七项要看的日志与操作记录数据分类分级、数据库审计、数据库防火墙、数据透明加密对应第十项的数据安全义务下一代防火墙、Web应用防火墙、主机防病毒对应第六项的技术措施。二级数安版内置六项三级数安版九项齐备。要说明的是产品解决的是「技术措施有没有」和「留痕能不能导出」管理制度、算法安全主体责任这类内容仍需企业自己落实。176号令第十四条也明确公安机关不得要求被检查对象购买、使用指定的产品和服务——选型与整改路径仍然是企业自己的事。常见疑问Q十一项内容要全部准备吗A第七条表述为「重点检查以下内容」实际侧重会结合行业特点与定级结果调整。对企业来说按全量自查、按自身情况收敛是更稳妥的顺序。Q算法安全主体责任具体指什么A核心是建立健全算法推荐管理制度和技术措施。涉及内容分发、个性化推荐、排序检索的业务建议把算法管理制度与安全评估记录一并归档。Q监督检查记录企业需要留存吗A第十五条要求监督检查记录由开展检查的人民警察和被检查对象的负责人或者网络安全管理人员签名相关材料立卷存档。企业自己留一份副本便于后续整改对照。结语十一项内容不需要背下来但值得对着自己的系统过一遍哪些项有材料哪些项缺材料哪些项有材料但已经过期。距10月1日不足两周这张清单是能立刻动手的那部分。