等保标准再扩新篇，数据安全系列公安行标解析（三）

GA/T 2395—2026《信息安全技术 网络安全等级保护数据安全测评过程指南》规定了网络安全等级保护数据安全测评的总体框架、测评流程、测评方法，在网络安全等级保护测评体系的基础上，明确数据安全测评与等级测评的衔接关系。适用于指导测评机构开展数据安全测评工作，也为数据安全主管部门以及数据处理者数据安全检查或自查时提供参考。

该标准共设8章及3个附录，在继承GB/T 28449—2018《信息安全技术 网络安全等级保护测评过程指南》等级测评方法的基础上，进一步将测评对象聚焦于数据和数据处理活动，测评方法结合数据流动特点进行适配，构建网络安全等级保护框架下的数据安全测评体系。

在测评衔接方面，标准明确网络安全等级测评是数据安全测评的前提。数据安全测评并非另起炉灶，而是以承载数据的系统/平台的等级测评为基础，充分利用等级测评已有成果，实现等级测评和数据安全测评的有效衔接。

在测评对象方面，标准将测评活动紧密围绕“数据”和“数据处理活动”展开。通过聚焦数据基本情况、数据处理活动、数据流转路径及所涉系统，强化对数据收集、存储、使用、加工、传输、提供、公开、销毁全生命周期的安全测评，确保测评工作精准覆盖数据安全核心要素。

在测评流程方面，标准在继承等级测评“四阶段”框架的基础上，针对数据安全测评的特点进行了适配和细化。与等级测评相比，主要区别体现在：一是测评准备阶段的调研环节，要求摸清数据基本情况、数据处理活动、数据流转路径及所涉系统；二是方案编制阶段聚焦数据对象、数据处理活动、承载系统及数据安全级别等关键要素的确定；三是现场测评阶段围绕数据和数据处理活动实施测评；四是报告编制阶段强化数据安全风险分析结论判定。各阶段环环相扣、层层递进，确保测评工作有章可循、有据可依。

在职责分工方面，标准清晰界定测评机构与被测单位在“四阶段”的职责分工。测评机构负责组建团队、编制方案、实施测评、编制报告等，被测单位负责资料提供、人员配合、结果确认等，确保权责分明；通过明确各方责任，从测评准备到报告交付形成完整工作闭环，为测评机构开展数据安全测评提供了清晰可行的操作路径。

GA/T 2395—2026以“等级测评为前提、数据流动为主线、流程规范为保障、职责闭环为目标”，既明确了“怎么测”，也解答了“如何在网络安全等级测评基础上开展数据安全测评”的关键问题。该标准的发布实施，标志着网络安全等级保护测评体系从“以系统为中心”向“系统与数据并重”的转型升级，为筑牢网络强国数据安全防线提供了坚实的标准支撑。