安全合法合规
安全合规的入口不是“查一部法规”，而是先判断自己适用什么，再把义务映射到建设标准、测评认证和事件报告。
我适用什么 · 我要做到什么 · 用什么标准建设 · 怎么证明做到 · 出事怎么报告 · 法规索引
本目录围绕截至 2026 年 9 月可核验的正式规则建立安全合规知识体系。具体案件仍需结合行为发生时间、适用主体、构成要件和裁量规则核定。
安全合规全景
主体 × 业务活动 × 系统属性 × 数据类型 × 地域
↓
适用义务 → 建设标准 → 共用安全控制 → 测评、认证与报告
↑ ↓
└────── 整改、复测与变更 ──┘
每项义务保留自己的适用条件和证据范围，重复控制统一建设；证书、测评结果与报告义务不互相替代。
五步判断：从业务到合规
我适用什么
先判断主体 + 业务活动 + 系统属性 + 数据类型 + 地域，不要从法规名称反推适用性。
| 判断维度 | 典型问题 | 进入的治理体系 |
|---|---|---|
| 主体 | 普通网络运营者、支付机构、银行保险、关基运营者、产品厂商？ | 通用法规 + 行业监管 + 主体专项要求 |
| 业务 | 支付、互联网平台、App、AI、汽车、海外业务？ | 支付金融、平台App与AI、行业专项、海外监管 |
| 系统 | 是否等级保护对象？是否被认定为关基？ | 等保；关基重点保护 |
| 数据 | 是否处理个人信息、敏感个人信息、重要/核心数据？ | 数据与隐私安全 |
| 地域 | 数据是否出境？是否在境外经营？ | 数据跨境 + 当地监管 |
**典型组合：**非银行支付机构的核心支付系统，如果同时属于等级保护对象、被认定为关基、处理重要数据并涉及银行卡数据，可能并行适用支付监管、等保、关基、密评、人民银行数据与事件规则，以及PCI相关要求。完成其中一项不能替代其他适用义务。
我要做到什么
适用法规最终都应落到稳定的安全治理能力，而不是按法规分别建设一套流程。
| 治理域 | 核心能力 |
|---|---|
| 网络与基础设施安全 | 等保、关基、密码、供应链、漏洞、事件应急 |
| 数据与隐私安全 | 数据分类分级、个人信息、重要数据、审计和风险评估 |
| 数据跨境 | 出境识别、路径选择、评估/合同/认证及持续管理 |
| 支付与金融安全 | 支付监管、人民银行数据安全和事件报告、金融行业要求 |
| 平台、App与AI | App、内容、算法、深度合成、生成式AI和未成年人 |
| 海外业务 | 当地隐私、网络安全、支付监管、AML/KYC与事件报告 |
| 行业专项 | 汽车等行业在通用规则之上的专项安全要求 |
| 基础与综合 | 跨多个治理域的上位与综合性依据 |
| 认证测评与资质 | 企业、系统、产品和人员如何证明符合要求 |
| 处罚案例库 | 从境内外处罚案例反推失控事实、法律义务、安全控制与证据 |
用什么标准建设
法律法规回答“必须做什么”，标准进一步回答“做到什么程度”。三套基础制度已经形成清晰的建设—验证关系：
| 体系 | 法律/监管入口 | 建设基线 | 测评/验证 |
|---|---|---|---|
| 等级保护 | 网络安全法及等保制度 | GB/T 22239 | GB/T 28448 |
| 关基 | 关基保护条例 | GB/T 39204 | GA/T 2182 |
| 密码 | 密码法、商密条例、密评办法 | GB/T 39786 | GB/T 43206；关基叠加GM/T 0133 |
企业应维护一份法规义务 → 控制域 → 标准条款 → 技术/管理控制 → 证据映射，重复要求落到同一底层能力。
怎么证明做到
“有制度”不等于“已合规”。证明方式取决于对象和制度性质：
| 对象 | 主要证明方式 | 典型例子 |
|---|---|---|
| 企业/组织 | 管理体系认证、独立鉴证、监管评价 | ISO 27001、SOC 2 |
| 系统/环境 | 测评、评估、合规验证 | 等保测评、密评、关基测评、PCI DSS |
| 产品/方案 | 认证、检测、官方listing | 网络关键设备/网络安全专用产品、商密产品、PCI产品 |
| 人员/机构 | 专业资格和机构能力 | CISP/CISSP、QSA/ISA、密评相关能力 |
完整关系见网络安全认证、测评与资质体系。所有证明都要回答：覆盖什么对象、证明什么、不证明什么、何时失效、重大变化后是否重新评估。
出事怎么报告
事件发生后先建立并行义务矩阵，不要假设“报了一个监管就等于全部完成”。
| 判断 | 需要确认 |
|---|---|
| 主体 | 网络运营者、关基运营者、金融从业机构、个人信息处理者等身份 |
| 事件 | 网络攻击、系统故障、数据泄露/篡改/丢失、个人信息事件等 |
| 等级 | 各规则自己的分级条件，不能混用 |
| 对象 | 网信、公安、行业监管、关基保护工作部门及其他主管机关 |
| 时间 | 首报、续报、总结的起算点和时限 |
| 证据 | 原始发现时间、判级依据、报告版本、渠道、收悉和整改记录 |
支付及人民银行业务领域应特别并行判断国家网络安全事件报告规则和人民银行4号令；涉及个人信息、重要数据时还要叠加对应数据与隐私义务。