ARTICLE · 1190124

某公司员工将等保备案测评模板材料和测评脚本上传至境外某平台被罚款6万

发布时间：2026-10-16 02:16:37 最近访问：2026-10-16 02:16:39

银川的一张罚单，看得我后背发凉。

一家信息公司，承接了自治区某单位服务管理系统的等保备案与测评整改。本来是"守门人"的活，结果干活的员工张某，把等保备案测评模板、测评脚本，私自传到了境外某平台。

网络架构、安全防护体系、单位内部人员信息——全暴露了。

属地公安机关依《数据安全法》第二十七条、第四十五条第一款，开出了罚单：公司罚5万，张某个人罚1万。

这不是黑客攻击。这是"自己人"把家底交了出去。

01 一次"内鬼式"的等保泄密

等保测评，干的本来是给系统"体检"的活。

你要把人家的网络拓扑、防护策略、人员名单都摸一遍，才能出具测评报告。换句话说，做等保的人，天然就站在"知道得太多"的位置上。

张某上传的，不是普通文档。是测评模板，是测评脚本。这些东西一旦落到境外，别人照着脚本，就能复刻出那套系统的防御逻辑。

过去我们说，网络安全靠一道道墙。现在看，墙再厚，钥匙被人揣走了，也白搭。

02 罚得重吗？先看法律怎么说的

很多同行第一反应是：公司才5万？个人才1万？太轻了吧。

我倒觉得，这张罚单最值得看的，不是数额，是依据。

《数据安全法》第四十五条第一款写得清楚：不履行数据安全保护义务，公司可罚5万到50万，直接责任人可罚1万到10万。

本案正好落在最低档。

这说明什么？说明行政执法在用"阶梯式"的思路：先责令改正、警告，再罚款。罚得轻，不代表事儿小，而是给了整改空间。

但别忘了第四十五条的"后半句"——要是造成"大量数据泄露"，公司罚50万到200万，责任人罚5万到20万，还能停业整顿、吊销执照。

今天这6万，是警告。下一次，可能就是灭顶之灾。

03 等保测评员，本身就是高价值目标

这件事最扎心的点在于：做安全的人，自己成了漏洞。

我们总以为，数据安全是技术活，上加密、上审计、上DLP就行。可张某用的是最朴素的一招——把文件传到境外平台。

没有高级攻击，没有0day，就是一个"顺手"。

📌 测评人员掌握的是系统的"全景图"：哪台服务器在哪，防火墙怎么配，谁有管理员权限。这些信息，比十台服务器被攻破还值钱。

你能防住外部的黑客，未必防得住内部的"无心之举"。

04 真正的漏洞，是企业没把制度立起来

回到《数据安全法》第二十七条：开展数据处理活动，要建立健全全流程数据安全管理制度，要搞安全教育培训，要采取技术措施。

张某能"私自上传"，本质上暴露了这家公司三件事没做：

● 没有对敏感数据做分级管控，测评材料谁都能传；

● 没有对出境行为做技术拦截，境外平台畅通无阻；

● 没有常态化的安全意识培训，员工根本没这根弦。

技术买得再多，制度跟不上，等于门没锁、还把钥匙挂门口。

✅ 给安全同行和企业老板三条忠告：

第一，等保测评材料必须按"核心机密"管，加密存储、最小权限、全程留痕。

第二，办公网络对境外平台做必要的访问管控，上传行为要可审计、可阻断。

第三，安全培训别只走形式，让员工真明白"随手一传"的代价。

写在最后

做安全这行，最怕的不是黑客有多厉害，而是我们自己把门打开了。

张某被罚1万，公司被罚5万，代价看似不大。但那些泄露到境外的网络架构、防护体系、人员信息，再也收不回来了。

目前很多网络安全公司人员，在写材料过程中，为了节省时间，也会交付文档材料上传至国外的大模型公司。值得警惕！

数据一旦出境，就不再是你的数据。

愿每一个握着"钥匙"的安全人，都能守住底线——你守的不是一份报告，是一堵别人拆不掉、也偷不走的墙。

END

相关学习资料