公安部176号令数据安全首次单列成项

公安部令第176号《公安机关网络空间安全监督检查办法》已于2026年10月1日施行，2018年发布的151号令同 时废止。这份办法把网安检查变成了一张可逐项核验的清单。

对企业来说，最直接的变化有两条。一是范围从网络扩到三层面。网络安全、数据安全、信息安全进了同一张检查单，数据处理者与个人信息处理者首次单列为检查对象。二是方式从看材料变成看实效。漏洞 、暴露面与防护措施运行情况这三类，会被漏洞扫描和渗透性测试直接检验。

一个直观的对照：办法第七条列出11项重点检查内容，等保定级备案与等级测评只占其中1项。“等保过 了就没事”的判断从此失效，企业必须从单点达标走向全域覆盖。

检查范围扩容：三层面、8类对象、11项清单

151号令规范的是“互 联网安全”。176号令第二条把网络空间安全拆为网络安全、数据安全、信息安全三个层面，一次检查同时核验三类义务。判断标准也随之改变：是否处理数据与个人信息，取代了是否对外提供服务。一家只跑内网的数据分析平台，过去检查不到它的数据处理活动， 现在它因处理个人信息被明确纳入。

检查对象与检查内容同步扩容，两处都指向数据。第六条列出8类检查对象，数据处理者与个人信息处理者这两类首次单列，与网络运营者、关键信息基础设施（简称关基）运营者并列。第七条列出11项重点内容，第十项明确为数据安全与个人信息保护义务。制定依据同步从2部扩到7部， 其中《数据安全法》《个人信息保护法》《网络数据安全管理条例》三部，正 是第十项的直接依据。

检查方式升级：从合规核查到技术验证

检查沿三条路径展开，技术手段贯穿始终。线上巡查通过网络信息巡查、信息审核能力测试、漏洞扫描等方式进行，不得影响被检查对象正常业务，开展信息审核能力测试的须提前三个工作日告知。远程检测通过漏洞探测和渗透性测试实施，仅适用于关键信息基础设施以外的网络与系统，由设区的市级以上公安机关实施，同样须提前三个工作日告知，并通报同级网信部门与行业主管部门。

现场检查同样带技术动作。第十二条列出的五项措施中，最后一项就是漏洞探测、渗透性测试等技术检测。现场检查由运营机构所在地县级以上公安机关实施，人民警察不得少于二人，须出示人民警察证和监督检查通知书。频次上有一条硬规定：等保三级以上网络运营者和关基运营者每年接受一次日常性现场检查，本年度其他主管部门已检查过的，公安机关复用结果，不再重复。

处置与约束：梯度清晰，数据安全门槛最低

176号令一边约束企业，一边划清执法自己的边界。对企业，它给出一条从轻到重的处置梯度。发现风险隐患的，公安机关先督促其消除。尚不构成违法犯罪的，可以按三级权限提示或通告：县级以上发提示函给被检查对象，设区的市级以上发提示函给同级行业主管部门，省级以上向社会发布通告，且通告不指向具体企业。等保三级以上网络、关基、重要数据这三类对象存在重大隐患的，还要通报行业主管部门和网信部门。确有违法的，公安机关依法追究法律责任。

对执法，第十四条划了两条红线：检查不得收取费用，不得要求被检查对象购买、使用指定的产品和服务。约谈分两级，数据安全这一级门槛最低。网络安全与信息安全领域的约谈由省级以上公安机关实施，对象是法定代表人或主要负责人。数据处理、个人信息处理活动存在较大风险或发生安全事件的，县级以上公安机关即可约谈有关组织、个人。被约谈对象应当按要求整改。

一、数据资产盘点。从网络资产清单扩到数据资产清单，把个人信息处理活动、重要数据单独列出。

二、分类分级先落地。第七条第十项要求履行数据安全与个人信息保护义务，分类分级是这项义务的起点，要先于检查完成，留下清单与报告。

三、访问行为可审计。检查不再只看材料。第七条第二项要看的是管理制度和操作规程有没有真的落实，落到实处的标志就是数据访问能不能留痕。数据的访问、导出、共享三类行为，每一步都要能举证。

四、高风险数据盯防。等保三级以上网络、关基、重要数据存在重大隐患的，会触发第十八条的通报机制，企业要提前掌握自己的高风险数据资产在哪。

山石网科：把数据安全做成可核验的日常运营

DSGP 覆盖资产梳理、分类分级、安全审计、风险管理四项能力，与自查四件事一一承接：

资产梳理承接第一条数据资产盘点，梳理出完整的数据资产清单；

分类分级承接第一条的重要数据与个人信息识别，并直接支撑第二条分类分级落地，先于检查输出清单与报告；

安全审计承接第三条，对数据访问、导出等行为全程留痕、逐步可举证；

风险管理承接第四条，对等保三级以上网络、关基和重要数据持续盯防，风险发现及处置闭环。

DSGP 将 AI 能力与安全治理深度融合，利用 Agentic AI 构建垂直智能体：资产梳理、分类分级、风险评估、策略下发、事件响应各司其职；再由协同机制将多个智能体编排为一条完整的“治理流水线”，一句话即可自动识别意图、调取最佳实践工作流，秒级完成策略配置、事件分析处置等复杂任务，实现从数据识别、分类、保护到审计的全流程智能化。

176号令把检查写成可核验的清单，数据安全不再是一次性项目。能持续跑起来的运营体系，比一份测评报告更经得起核验。