2026年个人信息安全管理指南修订草案：大规模泄露、零信任与防护措施的明确化

个人信息保护法已经要求个人信息处理经营者根据风险采取必要且适当的安全管理措施。委员会指南说明必须采取的措施及其实施方法示例；列举某项技术并不意味着所有企业都必须一律采用。

委员会指出，网络攻击更加复杂，云服务和设备使用扩大，入侵后在内部网络横向扩散的风险增加。2026年的审议因此强调超越单纯边界防御，纳入零信任理念、限制横向移动，并明确区分法定义务与实施示例。

鉴于处理大量个人数据的企业发生未经授权访问和大规模泄露事件，委员会提出尽可能提前原先考虑在2027年4月左右实施的日程。这只是政策意向，并非已经确定的施行日期。

Sources: [1] [2] [3] [4]

2026年9月16日，个人信息保护委员会讨论了修订安全管理措施示例的方向。10月28日的会议审议了通则指南和个人编号相关指南的草案，以及阐明义务与示例关系的材料。

2026年10月29日开始征求意见，公布的截止日期为11月27日。草案涉及多因素认证、限制特权账户、仅允许获准设备访问、保存日志、动态访问评估和限制入侵损害扩散等。委员会明确指出，这属于实施方法示例的补充，并不设立新的监管义务。

1. 2026-10-29 — 安全管理措施示例修订草案开始征求意见 [1]
2. 2026-11-27 — 公开征求意见截止日期 [1]

Sources: [1] [2] [3] [4]

已经确定的后续安排

• 2026-11-27 — 个人信息保护委员会的意见征集将于2026年11月27日截止。 [1]

通常的程序步骤

The usual procedure for this kind of instrument; not a forecast for this reform.

• 委员会预计将审议收到的意见，再决定最终文字和实施时间；未来也可能随着技术发展继续修订。

尚未确定的事项

• 最终示例及施行日期尚未确定，具体方法是否适当取决于各组织的风险情况。

对于使用云服务或统一身份管理的企业，草案为履行既有安全管理义务提供了更具体的实施参考。法定义务取决于风险，不能把所列控制措施全部表述为对每家企业新设的强制要求。

限制特权账户、核验访问请求和遏制入侵扩散的重点可能影响供应商监督、安全架构和安全管理措施的证明材料。法务及审计团队可将示例作为评估基准，同时与法定义务作出区分。

核查清单

• 梳理特权账户及外部云访问路径，按实际风险评估多因素认证和设备限制。
• 确认日志管理、入侵检测及防止横向扩散在供应商与内部团队之间的责任分工。
• 如有重要实务意见，应核对草案原文并考虑在截止前提交。

Sources: [1] [2] [3] [4]