授权与合规声明本文全部操作对象均为自建隔离靶场本机容器或隔离虚拟机涉及安全测试的环节必须以取得合法授权为前提。未经授权的渗透测试违反《中华人民共和国网络安全法》与《刑法》相关条款须承担相应法律责任。本文只讲环境配置、版本对照与靶场隔离不含任何攻击步骤、利用载荷与绕过手法请勿将文中环境指向任何非自有系统。一、我这点数据要不要做安全评估1.1 一个被反复问到的场景一个自己写的小工具站跑在笔记本上短链接服务顺手记下用户提交的备注存在本地一个 sqlite 文件里。另一个是毕设系统挂在实验室那台能出网的机器上库里有几十个测试账号的号码。两种情况的作者几乎都会问同一句话我这点数据要不要做安全评估心里通常已有答案——数据量小不值当在自己电脑上不算「运营」我不是公司。1.2 三个答案都在答错题「数据量小」答的是重要程度。可第二十一条的判准不是条数而是「一旦遭到篡改、破坏、泄露或者非法获取、非法利用对国家安全、公共利益或者个人、组织合法权益造成的危害程度」。「在自己电脑上」答的是部署位置。可第三条那七个动作里「存储」本身就是一环。「不是公司」答的是主体类型。可法条限定主体时写的是「组织、个人」「重要数据的处理者」「关键信息基础设施的运营者」没有一处用「企业」划界。三个答案的毛病相同把「我觉得重不重要」当成了判断依据。这部法的门槛在层级不在金额——先定位自己再谈义务。本章可以带走的一句先定位自己落在哪一层数据条数和部署位置都不是分层依据。二、先把词对准第三条只定义了三样东西2.1 三条定义逐字读本法所称数据是指任何以电子或者其他方式对信息的记录。数据处理包括数据的收集、存储、使用、加工、传输、提供、公开等。数据安全是指通过采取必要措施确保数据处于有效保护和合法利用的状态以及具备保障持续安全状态的能力。第一句的落点在「记录」上不在「电子」上纸质台账也算数据。第二句列动作七个词加一个「等」字并列不是流程先后只做其中一个也算。数据放进公网可访问目录命中的是「公开」库导成 csv 发给同学命中的是「提供」。「我只是搭个站」这句话站不住。2.2 本法没有「数据处理者」的定义条款这是最想让人记住的否定性事实。第三条只有三个定义数据、数据处理、数据安全。没有第四条定义「数据处理者」55 条里也没有「本法所称数据处理者是指……」这样的句子。这五个字只在一处完整出现即第三十一条的「其他数据处理者」其余都带限定语「重要数据的处理者」第 27 条第 2 款、第 30 条。这个分布决定义务的分配方式法条不靠统一定义界定「你是谁」而靠两个变量——你在做什么开展数据处理活动、你处理的是什么是否重要数据。前者决定进不进门后者决定上第几层。据此有三条纪律不能写「第三条定义了数据处理者」一查就露不能把「重要数据的处理者」当默认身份也不能因为不是那一层就认为全法与己无关。2.3 法条里的身份词身份词逐字出现条号义务性质组织、个人第 32、45、51 条最宽的一层不要求先取得某个身份重要数据的处理者第 27 条第 2 款、第 30 条加重层两条义务落在此身份上其他数据处理者第 31 条相对 CIIO 的兜底身份关键信息基础设施的运营者第 31 条出境场景适用《网络安全法》从事数据交易中介服务的机构第 33、47 条交易环节的特定义务国家机关第 38 至 41 条、第 49 条政务数据专章另有处分责任受托方第 40 条受委托处理政务数据时的义务本章可以带走的一句第三条只定义了数据、数据处理、数据安全三样义务靠「行为 数据级别」分配。三、谁来定「重要数据」第二十一条的三款3.1 三款逐字国家建立数据分类分级保护制度根据数据在经济社会发展中的重要程度以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用对国家安全、公共利益或者个人、组织合法权益造成的危害程度对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录加强对重要数据的保护。关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据实行更加严格的管理制度。各地区、各部门应当按照数据分类分级保护制度确定本地区、本部门以及相关行业、领域的重要数据具体目录对列入目录的数据进行重点保护。三款依次做三件事立制度并指定目录制定者描述国家核心数据的范围由各地区、各部门确定具体目录。3.2 三层以及每层的判据层级法条位置判据本文能否给出判据一般数据无单列定义落在重要数据目录之外只能靠排除确认重要数据第 21 条第 1、3 款是否列入具体目录不能须查目录国家核心数据第 21 条第 2 款关系国家安全、国民经济命脉、重要民生、重大公共利益等只有描述性范围第三列是重点。一般数据没有定义也没有目录边界靠「不在目录里」反推国家核心数据是一串定语加「等」字既不能逐字对照后宣布「我是」也不能反证「我不是」。3.3 法条回答不了的那个问题回到第一章那句算不算「重要数据」这个问题的答案第二十一条给不了。这条讲的是立什么制度、谁来定目录、目录覆盖哪些范围没有一句「重要数据是指……」55 条里也没有。所以算不算重要数据法条回答不了只能看目录。这不是解读取舍立法者把外延交给了目录制定权交给了协调机制和各地各部门。有三件可执行的事。查目录走「本地区、本部门、行业领域」三条线不是二手解读归属不同可能落到不同目录三个限定是并列的查不到不等于永远不是判断时写「以查询当日公布的版本为准」。顺带纠一个混同重要数据不等于个人信息。核心数据的判准是国家安全一类公共利益「个人信息」全文只出现 2 次第 38、53 条。本章可以带走的一句第二十一条只解决「谁来定目录」算不算重要数据必须去目录里找答案。四、义务是分层的一条对所有人两条只对一层人4.1 第二十七条两款两个主体范围开展数据处理活动应当依照法律、法规的规定建立健全全流程数据安全管理制度组织开展数据安全教育培训采取相应的技术措施和其他必要措施保障数据安全。利用互联网等信息网络开展数据处理活动应当在网络安全等级保护制度的基础上履行上述数据安全保护义务。重要数据的处理者应当明确数据安全负责人和管理机构落实数据安全保护责任。第一款主语被省略动作是「开展数据处理活动」——没有身份、规模、行业限定要求四件事全流程管理制度、教育培训、技术措施和其他必要措施、保障安全。第二款主语换成了重要数据的处理者动作是明确负责人和管理机构。其中最容易跳过的是「制度」和「培训」它们不产出代码却排在条文最前面——一份仓库 README 里的数据处理说明就在履行这两项。4.2 第三十条风险评估在这里不在第二十七条这是一个最硬的条号错位。重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估并向有关主管部门报送风险评估报告。风险评估报告应当包括处理的重要数据的种类、数量开展数据处理活动的情况面临的数据安全风险及其应对措施等。三个要素主体是重要数据的处理者第一款那个宽主体不出现频率是「定期」法条没给周期动作是评估加报送评估完不报送不算完成。报告三项可以当自查提纲种类和数量、活动情况、风险及应对措施。连种类数量都填不出说明盘点没做。4.3 三层义务对照主体条款义务内容触发条件开展数据处理活动的组织、个人第 27 条第 1 款制度、培训、技术措施上网的须在等保基础上只要在开展数据处理活动任何组织、个人收集环节第 32 条合法、正当方式不得窃取或以其他非法方式获取只要在收集数据重要数据的处理者第 27 条第 2 款明确数据安全负责人和管理机构数据被列入重要数据目录重要数据的处理者第 30 条定期风险评估 报送报告同上关键信息基础设施的运营者第 31 条重要数据出境适用《网络安全法》属于 CIIO 且涉出境从事数据交易中介服务的机构第 33 条说明来源、审核身份、留存记录从事该业务一般主体只落前两行重要数据处理者落四行不能只做评估而跳过第一款的制度和培训。第三十二条的主语是「任何组织、个人」比第二十七条第一款还宽。从别人站点抓数据、抓进自己库当测试集命中的不是「有没有授权做测试」是「数据怎么来的」。本章可以带走的一句第二十七条第一款对所有人第二款和第三十条只对重要数据的处理者风险评估在第三十条。五、出境这条线第三十一条分主体第三十六条管请求5.1 第三十一条两款两条路关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理适用《中华人民共和国网络安全法》的规定其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法由国家网信部门会同国务院有关部门制定。分号把两款切成两条路。前半句给 CIIO重要数据出境适用《网络安全法》这是明示衔接要换一部法读。后半句给「其他数据处理者」办法由国家网信部门会同国务院有关部门制定是授权条款。两款分的是主体身份不是数据级别同一份重要数据CIIO 走网安法非 CIIO 等办法宾语都限定在「在中华人民共和国境内运营中收集和产生的重要数据」。另有一处条文写「出境安全管理」「出境安全管理办法」没有「评估」两个字。5.2 第三十六条另一个问题中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定或者按照平等互惠原则处理外国司法或者执法机构关于提供数据的请求。非经中华人民共和国主管机关批准境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。两个措辞必须逐字记。批准主体原文是「中华人民共和国主管机关」不是网信部门也不是国务院对象是「存储于中华人民共和国境内的数据」。区别在方向三十一条管「我要送出去」按主体分路径三十六条管「别人来要我给不给」按请求方设批准前置。三十六条不是三十一条的前置程序。5.3 两条线对照两条线的罚则也不同违反第三十一条向境外提供重要数据罚在第四十六条违反第三十六条罚在第四十八条第二款。完整版法条对照资料这份资料把分类分级、义务分层、出境两条线、罚则对应做成一张可打印的对照表每条标了条号与原文位置和本章这套「按主体分线」的读法是一套东西。放在资料包里扫码即可获取本章可以带走的一句第三十一条按主体身份分两条出境路径第三十六条管的是境外机构来要数据。六、罚则按条号读第四十四条不罚钱6.1 第四十四条是约谈第四十四条不是罚则的第一档是另一类动作发现较大安全风险时约谈、要求整改不含罚款。读第六章先把这一条从「罚款表」划掉再往下看第四十五条。6.2 第四十五条的三档开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的由有关主管部门责令改正给予警告可以并处五万元以上五十万元以下罚款对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款拒不改正或者造成大量数据泄露等严重后果的处五十万元以上二百万元以下罚款并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。违反国家核心数据管理制度危害国家主权、安全和发展利益的由有关主管部门处二百万元以上一千万元以下罚款并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照构成犯罪的依法追究刑事责任。三档前提完全不同。第一档一般情形责令改正、警告并处五万元以上五十万元以下个人一万元以上十万元以下。第二档拒不改正或造成大量数据泄露等严重后果五十万元以上二百万元以下个人五万元以上二十万元以下可责令停业、吊销证照。第三档违反国家核心数据管理制度危害国家主权、安全和发展利益二百万元以上一千万元以下同样可责令停业、吊销证照。「一千万元」只属于第三档前提是两个条件同时成立。把它抽出来当成一个通用的「最高」金额等于把最严一档的金额安到所有人头上。6.3 其余三条各对着哪条义务第四十六条对着出境违反本法第三十一条规定向境外提供重要数据的由有关主管部门责令改正给予警告可以并处十万元以上一百万元以下罚款对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款情节严重的处一百万元以上一千万元以下罚款并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。白话向境外提供重要数据一般档十万至一百万严重到一千万。第四十七条不是定额罚是倍数罚原文写「处违法所得一倍以上十倍以下罚款没有违法所得或者违法所得不足十万元的处十万元以上一百万元以下罚款」没有固定上限。第四十八条第一款对第三十五条拒不配合数据调取处「五万元以上五十万元以下罚款」第二款对第三十六条一般情形「十万元以上一百万元以下」严重后果的处「一百万元以上五百万元以下罚款」。两款混引会同时写错条号和罚则。违反的义务条罚则条档次前提单位金额区间第 27、29、30 条第 45 条第 1 款前段一般情形五万元以上五十万元以下第 27、29、30 条第 45 条第 1 款后段拒不改正或造成大量数据泄露等严重后果五十万元以上二百万元以下国家核心数据管理制度第 45 条第 2 款危害国家主权、安全和发展利益二百万元以上一千万元以下第 31 条第 46 条一般情形 / 情节严重十万至一百万 / 一百万至一千万第 33 条第 47 条有违法所得 / 无或不足十万违法所得一至十倍 / 十万至一百万第 35 条第 48 条第 1 款拒不配合数据调取五万元以上五十万元以下第 36 条第 48 条第 2 款一般 / 造成严重后果十万至一百万 / 一百万至五百万两点。上限撞车不代表同一条线45 条第三档和 46 条情节严重档上限虽同为「一千万元」援引条款与适用对象却不同倍数罚也不能换算成定额。读法是反的先确认违反了哪条义务再找档次。跳过义务条看数字等于看一份没有主语的判决。本章可以带走的一句先定义务条、再定罚则条、最后定档次44 条是约谈45 条三档46 条对 31 条48 条二款对 36 条。七、自查顺序五步判断自己在哪一层7.1 五步每步落到一个条号步骤问自己依据结论1我有没有在开展数据处理活动第 3 条七个环节命中一个即「是」2数据有没有落在已公布的重要数据目录里第 21 条第 3 款决定后面三步走向3我是不是关键信息基础设施的运营者第 31 条只影响出境路径4一般层义务做到了哪些第 27 条第 1 款、第 32 条制度、培训、技术措施、收集方式5是否触发加重层义务第 27 条第 2 款、第 30 条仅第 2 步为「是」时适用第一步把七个动作逐一对照项目收集表单、存储落库落文件、使用查询统计、加工清洗合并、传输接口调用、提供导出、公开公网可访问。第二步是分水岭。查本地区、本部门、本行业领域公布的目录结论只有两种在或查不到。查不到按「未列入」处理记下查询日期。第三步只在涉出境时才有意义第四步所有人都有份第五步只在第二步答「在」时启动。顺序不能调否则会出现「不在目录里却照重要数据做评估」的浪费。7.2 与《个人信息保护法》的衔接不是点名指引很多解读会写「数据安全法规定涉及个人信息适用《个人信息保护法》」。这句话找不到支撑。开展涉及国家秘密的数据处理活动适用《中华人民共和国保守国家秘密法》等法律、行政法规的规定。在统计、档案工作中开展数据处理活动开展涉及个人信息的数据处理活动还应当遵守有关法律、行政法规的规定。第二款就是个人信息场景的衔接条款表述是「还应当遵守有关法律、行政法规的规定」——开放式指引不是指名指引。全文检索「个人信息保护法」这五个字出现0 次「个人信息」出现 2 次在第 38、53 条。明示点名的其他法律只有两部《中华人民共和国网络安全法》、《中华人民共和国保守国家秘密法》。所以写法只有一种涉及个人信息的数据处理活动除本法外「还应当遵守有关法律、行政法规的规定」。它是义务叠加不是义务转移。7.3 版本口径以及三句不要写的话截至 2026-10-27现行文本为 2021 年 6 月 10 日第十三届全国人民代表大会常务委员会第二十九次会议通过、2021 年 9 月 1 日施行的 7 章 55 条版本未经修正。三条独立证据。第一全国人大《现行有效法律目录303 件》截至 2026 年 8 月 28 日第 64 项逐字为「中华人民共和国数据安全法2021 年通过」括号内没有「修正」同目录第 51 项写的是「中华人民共和国网络安全法2016 年通过2025 年修正」。第二主席令第六十一号2025 年 10 月 28 日公布的《决定》只改《网络安全法》一部。第三目录截止日到核验日之间没有常委会会议下一次在 2026 年 11 月 2 日至 6 日。三句不要写。不要给版本加修正年份现行文本就是 2021 年版。不要把金额概括成一个通用的「最高」值一千万元只出现在 45 条第二款和 46 条情节严重档。不要把风险评估挂在第二十七条评估在 30 条。另原文是「从事数据交易中介服务的机构」照抄。完整版自查清单这份资料把上面五步做成可勾选清单每步标了对应条号、要留的凭证、以及查不到目录时该写什么和本章这套顺序是一套。放在资料包里扫码即可获取本章可以带走的一句五步里第二步决定后面三步的走向个人信息衔接靠第五十三条第二款的「还应当遵守有关法律、行政法规的规定」。附表 A本文引用事实与官方出处对照表序号事实出处本文位置12021-06-10 通过2021-09-01 施行7 章 55 条中国人大网《数据安全法》题注、第五十五条7.32截至 2026-10-27 未经修正现行有效法律目录第 64 项主席令第六十一号委员长会议报道7.33无「数据处理者」定义条款该词仅在第三十一条出现一次全文检索第 31 条2.2、5.14第二十七条第二款、第三十条主体均为「重要数据的处理者」第 27、30 条逐字2.3、4.15第二十一条三款分述制度、核心数据、具体目录未给重要数据定义第二十一条逐字3.1–3.36第三十条为定期评估与报送报告含三项内容第三十条逐字4.27第三十一条按主体分两条路径对象限于境内运营中收集和产生的重要数据第三十一条逐字5.18第三十六条批准主体为「中华人民共和国主管机关」第三十六条逐字5.29第四十四条为约谈不含罚款第四十四条只述性质未引原文6.110第四十五条三档金额援引第 27、29、30 条第四十五条逐字6.211第四十六条援引第三十一条第四十七条为倍数罚援引第三十三条第 46、47 条逐字6.312第四十八条第一款对第三十五条第二款对第三十六条第四十八条逐字6.313全文 0 次「个人信息保护法」「个人信息」2 次第 38、53 条全文检索7.214第五十三条第二款为「还应当遵守有关法律、行政法规的规定」第五十三条逐字7.2附表 B术语速查表术语一句话解释数据处理七个环节并列命中一个即算重要数据本法未给定义外延由各地区、各部门、各行业领域的具体目录确定国家核心数据关系国家安全、国民经济命脉、重要民生、重大公共利益等数据重要数据的处理者第 27 条第 2 款、第 30 条的义务主体不是可以自认的身份其他数据处理者第 31 条中相对 CIIO 的兜底身份全文唯一出现「数据处理者」之处约谈第四十四条规定的手段不含罚款写在最后这篇用到的资料写这篇文章时我把 55 条逐条对了一遍「数据处理者」「个人信息保护法」各出现几次都是数出来的不是凭印象顺手也整理了几份配套的东西数据合规自查清单五步判断自己落在哪一层每步标对应条号、要留的凭证、查不到目录时该写什么Web 安全学习路线图从基础打牢到安全管理四个阶段各学什么常用靶场清单每个靶场练什么、适合哪个阶段资料是我自己整理的放在下面这个码上扫码即可获取添加时备注「靶场」优先通过。拿到之后建议先看自查清单那一份把第二步「查目录」先做完再回头看第四、五步会顺很多。