「护网—2026」通报三起处罚案：被罚的都栽在“小系统”上

2026 年 11 月 4 日，公安部网安局公布了三起案子，标题很直白：对不履行数据安全保护义务或网络安全保护义务违法行为，依法作出行政处罚。三起案子分别在福建漳州、龙岩、泉州，都是「护网—2026」专项工作中查出来的。

很多人看到这类通报的第一反应是"又被黑了"。但这三起案子里，没有一起是系统被攻破才被罚的。真正被认定违法的事实，都是些听起来很小的事：权限没管、一个来访登记系统没人管、一台测试服务器用完没关。

把这三点串起来看，指向的是同一个判断——在监管眼里，等保合规不分系统大小，也没有"边缘"这一说。

一、三起案子，一张表看完

对比项	案例一（漳州）	案例二（龙岩）	案例三（泉州）
主体	某医疗机构	某公司	某公司
涉事系统	医疗机构信息管理系统	自建来访登记系统	话务系统及其测试服务器
违法事实	内部权限管理混乱，工作人员可跨权限操作；部分人员导出 1800 余条工作数据，存于未部署有效安全防护措施的互联网电脑	系统存有访客姓名、来访事由等个人信息，但认为"非核心业务系统即无安全风险"，既未采取技术措施，也未落实管理义务	联网业务测试期间未采取技术手段保障测试服务器安全；测试完成后未及时关闭下线，系统遭攻击入侵，被利用外呼功能实施不法行为
处罚依据	《数据安全法》	《数据安全法》	《网络安全法》
处理结果	行政处罚，责令改正	行政处罚，责令改正	行政处罚，责令限期改正；网络攻击入侵另案处理

三个案子的处罚依据分了两条线，这一点很值得注意：前两起走《数据安全法》，第三起走《网络安全法》。为什么分线，后面第五节会讲。

二、案例一：那 1800 条数据不是被偷走的，是被拷走的

漳州这家医疗机构的问题，说出来几乎每家医院、每个有业务系统的单位都能对上号：内部权限管理混乱，工作人员可以跨权限操作；部分工作人员为了"方便工作"，把 1800 余条工作数据导出，存在一台没有部署有效安全防护措施的互联网电脑上。

注意这里没有黑客、没有勒索软件、没有 0day。数据是自己人拷出去的，落点在个人办公电脑。但监管的定性一点没含糊——医疗工作数据涉及患者病历、诊断记录、检验检查、用药记录、护理记录，属于敏感个人信息，一旦泄露或非法使用，容易导致患者人格尊严受侵害，或者人身、财产受危害。

监管给出的四条整改要求，其实正好对应等保里的几个控制项，只是换了种说法：

• "严格权限管控，落实最小授权"——按岗位、职责设定访问权限，禁止跨权限操作和默认超级权限；非本人负责的患者数据导出要审批、留记录；定期复核权限，人员转岗离职及时回收账号。这就是等保里的访问控制与账户生命周期管理。
• "规范数据流转，加强终端防护"——敏感数据导出必须确有必要并加密、脱敏；严禁病历数据长期存放在没防护的互联网电脑；医护电脑统一装终端安全、磁盘加密和防泄漏工具。对应数据保密性与终端安全管理。
• "强化风险监测，完善应急机制"——登录、查询、导出全程日志，建立异常行为告警和数据库审计；定期漏扫和安全评估；数据安全事件应急预案。对应安全审计与入侵防范。
• "健全管理制度，压实人员责任"——全流程制度、科室负责人责任、新员工与年度培训、与运维厂商签保密协议并抽查、违规导出存储严肃问责。对应安全管理制度与人员安全管理。

换句话说，这四条里没有一条是"买台新设备"能解决的。能不能导出、导出给谁、导出后落在哪台机器上、有没有记录——这是流程和配置问题，属于典型的"应用层和管理层合规"，也是最容易被测评和检查同时盯上的地方。

三、案例二：最扎心的是那句"非核心业务系统即无安全风险"

龙岩这家公司的系统是来访登记——存访客姓名、来访事由、联系方式。这类系统在绝大多数单位的资产清单里排不上号：不定级、不测评、不上心。

监管的原话很重：这类"边缘系统"往往因不属于核心业务系统而缺乏基本安全防护，沦为数据安全链条中最薄弱的一环，极易被攻击者利用，导致个人信息泄露；对"边缘系统"的疏忽，可能演变为数据安全的"溃堤之蚁"。

这里有个普遍的误解需要掰开："不是核心业务系统"不等于"不是网络运营者"，更不等于"不用履行等保义务"。《网络安全法》第二十三条的义务主体写的是"网络运营者"，判断标准是是否运营网络、是否处理数据，不是系统重不重要、用户多不多、数据量大小。

那这类系统到底要不要定级备案？实务上的判断路径是：先看它处理什么数据、一旦遭到破坏或数据泄露会损害谁的合法权益。来访登记系统收集的是访客的姓名、事由、联系方式，属于个人信息，且往往对外开放访问——按现行定级思路，这类系统通常至少构成第一级，很多单位实际按第二级管理。一级虽不需要到公安机关备案，但不等于可以不采取防护措施：案例二被罚的正是"既未采取技术措施，也未落实管理义务"。

监管给的四条"务必"，可以直接当清单用：

1. 务必摸清"家底账"——全面梳理本单位所有自建系统，特别是来访登记、考勤打卡、会议室预约这类非核心系统，建立清单、逐一体检。
2. 务必装好"防护盾"——凡涉及数据处理，就按等保制度要求部署防病毒、防火墙、入侵检测等基础措施，杜绝"带病运行"。
3. 务必管好"责任人"——明确每个系统的数据安全负责人，建立全流程制度，定期培训和自查。
4. 务必备好"应急案"——明确应急责任人、处置流程和上报时限；一旦泄露或入侵，先行断网止损、保全证据、留存日志，第一时间报属地公安，杜绝迟报、漏报、瞒报。

四、案例三：测试服务器不关，成了别人的外呼平台

泉州这起案子是三起里后果最"外溢"的一起。公司在话务系统联网业务测试过程中，没有按《网络安全法》要求采取技术手段保障测试服务器的网络安全；测试完成后，也没有及时把话务系统关闭下线。结果系统被攻击入侵，攻击者控制之后，利用它的外呼功能去实施不法行为。

这一下性质就变了。原本只是"自己没防护好"，变成了"自己的设备成了别人违法的工具"。所以通报里专门写了一句：网络攻击入侵将另案处理。

测试环境的管理，几乎是所有单位的通病，常见的三种错法：

• 不纳管——测试服务器不进资产台账、不进等保范围、不在安全基线的覆盖清单里，等于一个没有监控的后门。
• 不打补丁——想着"反正是测试机，跑通就行"，系统版本、中间件、数据库常年不更新。
• 用完不下线——项目结束了机器还开着，端口还通着，账号还是默认口令。

监管的要求是：摒弃"测试环境无风险"的认知，把测试系统纳入统一安全基线，同步更新补丁、关闭非必要服务、加强权限管理；同时建立应急响应预案，一旦遭攻击或发现异常，第一时间向属地公安报案。

顺便说一句，《网络安全法》第二十三条第二项写的是"采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施"，条文里并没有"生产环境例外"这一说。测试环境一样是网络，一样受管。

五、三起案子背后，其实是同一条法条逻辑

为什么前两起走《数据安全法》、第三起走《网络安全法》？看条文就清楚了。

《数据安全法》第二十七条第一款写的是：开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。

最后这半句是全篇最要紧的一句。它把两件事的关系定死了：等保是底座，数据安全是在底座上盖的房子。前两起案子的违法事实都是"处理了敏感个人信息却没做防护"，落在数据安全义务上；第三起是"网络没防住、被入侵并被利用"，落在网络安全义务上。同一个系统出问题，可能同时踩两条线。

罚则对照如下（引用时务必连加重情形一起说，只报上限是误导）：

法律	义务条款	罚则	加重情形
《数据安全法》	第二十七条（全流程制度＋技术措施）、第二十九条（风险监测与事件报告）	第四十五条第一款：责令改正、警告，可并处 5 万—50 万元罚款；直接责任人可处 1 万—10 万元	拒不改正或造成大量数据泄露等严重后果：50 万—200 万元，直接责任人 5 万—20 万元，并可责令暂停相关业务、停业整顿、吊销许可证或营业执照
《网络安全法》（2025 修正，2026-01-01 施行）	第二十三条（等保五项义务，含日志留存不少于六个月）、第二十七条（应急预案与事件报告）	第六十一条第一款：责令改正、警告，可处 1 万—5 万元罚款；拒不改正或导致危害后果：5 万—50 万元，直接责任人 1 万—10 万元	造成大量数据泄露、关基丧失局部功能等严重后果：50 万—200 万元；造成关基丧失主要功能等特别严重后果：200 万—1000 万元，直接责任人 20 万—100 万元

提醒一句：《网络安全法》2025 年修正后条文号变了。修正前大家熟悉的"第二十一条（等保制度）／第五十九条（罚则）"，在现行版本中对应第二十三条／第六十一条。做方案、写材料、对客户讲的时候如果还在用旧号，是很扎眼的错误。

六、2026 年 10 月起，检查方式本身也变了

这三起案子公布的时间点不是随机的。《公安机关网络空间安全监督检查办法》（公安部令第 176 号）2026 年 10 月 1 日刚刚施行，同时废止了 2018 年的《公安机关互联网安全监督检查规定》（公安部令第 151 号）。新旧对比，变化集中在四处：

• 范围三线合一——网络安全、数据安全、信息安全一并纳入监督检查，不再只管"上网行为"。
• 方式线上为主——网络信息巡查、信息审核能力测试、漏洞扫描；设区的市级以上公安机关还可以对关基以外的网络设施和信息系统做漏洞探测、渗透性测试（提前三个工作日告知）。
• 频次明确——等保三级以上网络、关基运营者，每年一次日常现场检查，且不重复检查。
• 重点对象点名——曾发生网络安全、数据安全事件，或因未履行安全义务受过行政处罚且未按要求整改的单位，列为重点监督检查对象。

这四条合起来，结论只有一句："没出事"不再等于"没问题"。线上巡查和远程检测可以在不打扰业务的情况下把资产和漏洞摸一遍，等到现场检查时，问题清单早就形成了。

七、一张可以打印出来逐条对的自查清单

1. 资产台账里有没有"影子系统"？来访登记、考勤打卡、会议室预约、投票问卷、招聘投递、门店 WiFi 认证、公众号活动页——这些是否都在清单上，是否都有责任人。
2. 测试、演示、灾备环境纳管了吗？是否有统一的补丁基线、是否关闭非必要端口和服务、项目结束后是否按时下线。
3. 权限是不是按岗位配的？有没有默认超级权限、有没有跨权限操作、转岗离职账号是否及时回收、权限是否定期复核。
4. 数据导出管得住吗？导出是否需审批、是否留痕、是否加密脱敏、是否限制落点终端。
5. 日志存够六个月了吗？登录、查询、导出等关键行为是否有日志，是否集中留存并可追溯（《网络安全法》第二十三条第三项）。
6. 办公终端有没有"裸奔"？是否统一安装终端安全与防泄漏工具、是否启用磁盘加密、是否允许业务数据长期存放本地。
7. 应急预案是纸还是能跑？有没有明确责任人、处置流程、上报时限；发生泄露时是否知道"先断网止损、保全证据、留存日志、报属地公安"。
8. 第三方管住了吗？运维厂商、系统开发商是否签保密协议、是否有账号与操作审计、协议执行情况是否抽查。

这八条里，前六条是技术与管理配置，后两条是制度与外部风险。不需要新增采购就能改掉一大半，真正需要投入的是"有人负责、有人检查、有人改"。

八、三个常见误解，顺手澄清一下

误解一："我们是二级系统，罚不到我们头上。"罚则里没有"按等级"这一说。《网络安全法》第六十一条、《数据安全法》第四十五条看的都是"是否履行义务"，不是系统定了几级。案例二那个来访登记系统，连"核心业务"都算不上。

误解二："系统在内网，外网进不来。"案例一的数据不是从外面进来的，是从里面出去的；案例三的入侵入口是一台本该关掉的测试服务器。边界防护解决不了内部权限和资产失控。

误解三："等保测评过了就等于合规了。"测评是对某一时点状态的符合性判断，是基线，不是免罚金牌。案例一那家医院大概率也有制度文本，问题出在执行——权限实际怎么配、数据实际怎么流、日志实际有没有。

九、写在最后

把三起案子放在一起看，监管想传递的信号很清楚：等保不是一张证，而是一套要持续运行的机制。被罚的三家单位，问题都不在"不知道要做"，而在"以为这件事轮不到自己"。

如果贵单位名下系统数量不少、或者从来没做过完整的资产与定级梳理，建议借这轮检查节奏做一次彻底的摸底：先把系统盘清楚，再判断哪些需要定级备案、哪些需要测评、哪些只要补齐基础防护。顺序搞反了，钱花了也堵不上真正的口子。

另外说明一个边界：本文讨论的是网络安全等级保护与数据安全义务，与商用密码应用安全性评估（密评）是两条并行的线。若系统同时属于密评范围（如涉及重要数据、关基、政务系统等），两件事按各自周期推进即可，不必捆绑；密评报告须由具备资质的测评机构出具。