上海企业数据安全被罚的三个入口：非核心系统、批量导出、忘了下线的测试环境

结论先行：公安部网安局 10 月 31 日公布的三起处罚案例，没有一起是"被攻破"的。三家单位的问题都落在同一个位置——本该管住的口子一直开着。

10 月底，公安部网安局在"护网—2026"专项工作中公布 3 起不履行数据安全保护义务、网络安全保护义务的案例，涉事单位分别在福建漳州、龙岩、泉州，均依据《数据安全法》《网络安全法》被行政处罚并责令改正。这三起案例对上海企业同样成立：它们指向的不是高深攻击，而是三类最日常的系统——边缘的小系统、能跨权限操作的业务系统、测试完忘了关的临时系统。

三起案例，被罚的都不是核心系统

第一起是漳州某医疗机构的信息管理系统。系统内部权限管理混乱，工作人员可以跨权限操作；部分人员为图方便，导出 1800 余条工作数据，存放在未部署有效安全防护措施的互联网电脑上。

第二起是龙岩某公司的来访登记系统。这家公司认为"非核心业务系统"就等于"没有安全风险"，既未采取技术措施，也未落实管理义务，访客姓名、来访事由、联系方式长期处于不设防状态。

第三起是泉州某公司的话务系统。该公司为联网业务测试开通了测试服务器，未按要求采取技术手段保障其安全，测试结束后也没有及时下线，系统被攻击者入侵并利用外呼功能实施不法行为。

三起案例的共同点很清楚：罚单不是开给"没买设备"的单位，而是开给"没管住访问、没管住数据流向、没管住系统生命周期"的单位。义务的判定标准是制度、权限、日志、终端、应急这套动作有没有落地，不是边界上有没有防火墙。

图1：三起处罚案例的入口位置，以及按"外网可达＋无需授权"两条筛选的处置顺序

四个最容易被放过的口子

一、"非核心系统"被默认为"无风险系统"

来访登记、门禁、访客预约、招聘投递这类系统，承担的都是真实个人信息，却往往由行政部门自行采购、自行维护，不在 IT 资产台账里，也不在等级保护定级范围内。不出事无人过问，出事一样适用《数据安全法》。

对应做法：把"是否存个人信息"作为纳管标准，而不是"是否叫核心系统"。凡是收集姓名、手机号、身份证、住址、健康信息的系统，一律进台账、定责任人、纳入统一补丁与巡检。

二、权限没有边界，跨权限操作成为常态

漳州案例里"工作人员可跨权限操作"是直接被点出的问题。跨权限能操作的直接后果，是任何一个人的账号都能看到全部数据；一旦账号被借用、被撞库、被离职人员留存，泄露面就等于全库。

对应做法：按岗位而非按部门授权，取消默认超级权限；对导出、批量查询单独设权并留审批记录；人员转岗、离职的账号回收写进流程，而不是等人提醒。

三、导出没有管控，数据落在不受管的终端上

1800 余条数据能被导出到一台没有防护的互联网电脑，说明两件事同时成立：导出行为没有审批，终端没有管控。数据安全事件里，这条路径的出现频率远高于外部入侵——因为它不需要攻破任何系统。

对应做法：敏感数据导出前审批、导出时脱敏加密、导出后留痕可追溯；对存放数据的终端统一装终端安全与磁盘加密，禁止长期存放业务数据于个人或公共电脑。

四、临时系统开通容易，下线没有人负责

泉州案例的根子是流程问题：测试服务器有开通动作，没有关闭动作，也没有到期回收的责任人。这类系统通常还留着测试用的弱口令和临时开放端口，一旦被攻破，攻击者用的是企业自己的合法功能。

对应做法：临时系统开通即登记到期时间，到期自动阻断或关停；测试环境与生产网络分域，禁止直连内网核心；对外测试结束后 24 小时内复核开放端口与账号。

把三本账补齐，比再上一台设备更有效

数据安全落到执行层，其实就是三本账：谁能进（权限账）、数据去了哪（导出账）、系统还在不在用（生命周期账）。三本账都能查、能对、能留痕，检查时就不需要临时解释。

落地顺序建议四步：先列账（系统与数据清点，含行政自采系统）→ 再收权（清理超级账号与跨权限）→ 然后管导出（审批、脱敏、终端防护）→ 最后立下线制度（临时系统有效期与回收责任）。顺序不宜颠倒：账没列清就收权容易误伤业务，导出没管住就做制度文件照样外流。

威丽能承接的部分

上海威丽信息科技有限公司是上海本地化企业 IT 运维与系统集成服务商，在上述动作中可承接：IT 资产与系统台账梳理、账号权限梳理与最小化改造、终端安全与磁盘加密部署、数据导出行为审计、临时系统与测试环境的网络分域及到期关停、等保测评支撑与日志集中留存。服务以 10 分钟极速响应 / 2 小时现场服务 为标准，覆盖上海全域。

三个常见误区

• "系统小，所以风险小"：处罚看的是有没有履行义务，不看系统大小。来访登记系统一样承载个人信息。
• "买了安全设备就算尽责"：技术措施只是其中一项，权限、日志、培训、应急缺一项都可能被认定为未落实。
• "内网就安全"：三起案例里两起的问题都发生在内网终端与内部账号上，边界设备没有拦得住。

常见问题

问：我们规模不大，也需要做这些吗？

答：需要。义务与规模无关，与是否处理个人信息有关；小规模单位更容易出现一人多权、导出无审批的情况。

问：只做等保测评够不够？

答：等保覆盖网络与系统安全，数据安全的权限、导出、终端这几项要单独落到日常运维里，测评通过不等于日常管住。

问：自查从哪里开始最省力？

答：从"最近三个月谁导出过数据、导到了哪里"这一个问题开始，通常一周内就能暴露大部分问题。

结语

三起案例给出的信号很明确：数据安全的检查重心，已经从"边界有没有防住"转到"内部有没有管住"。对上海企业而言，最划算的动作不是增加设备，而是把权限、导出、系统生命周期这三件事变成可查的日常记录。

上海威丽信息科技有限公司 · 深耕上海本地企业 IT 服务近 20 年 · 累计服务 2500+ 家企业 · 服务热线 400-880-7581 · 技术热线 021-51697581-605/610 · 官网 https://www.vilitech.com

数据来源

• 公安部网安局 2026 年 10 月 31 日公布 3 起不履行数据安全保护义务、网络安全保护义务案，法治网转载：https://www.legaldaily.com.cn/index/content/2026-10/31/content_9482104.html
• 中国新闻网同日报道：https://m.chinanews.com/wap/detail/cht/zw/10723765.shtml