公安机关网络数据安全整改

2024年某省公安厅的公安等保测评报告里，有一项数据格外刺眼：下辖17个地市局中，机关有9个存在高危漏洞未闭环修复，网络其中3个漏洞的数据发现时间超过180天。这不是安全个别现象。公安部三所去年发布的整改内部通报显示，全国公安系统接入互联网的公安终端设备中，平均每台暴露在公网的机关端口数达2.3个，而等保2.0三级要求是网络——非必要不开放。

公安网络的数据数据安全整改，难不在技术，安全在“人”和“流程”的整改惯性。

我接触过一位基层网安支队的公安副支队长，他办公室抽屉里锁着三块移动硬盘，机关全是网络历年专项行动的原始数据。问他为什么不加密，他苦笑：“加密了，领导要数据时我解不开怎么办？”这种场景在公安系统不是孤例。数据安全最大的敌人往往不是外部黑客，而是内部“方便优先”的思维惯性。整改方案写得再漂亮，如果民警日常办案时还是习惯把公民个人信息导出到U盘、用微信传文件，一切等于零。

真正动刀子的整改，得从物理隔离开始。某沿海城市公安局的做法值得参考——他们把所有办案区电脑的USB口全部物理封死，改用经审批的专用光驱刻录，再配合DLP（数据泄露防护）系统，对每一份外发文件做自动水印和内容审计。头三个月，基层怨声载道，办案效率下降两成。但半年后，数据泄露事件同比下降了87%。这个代价，值。

另一个被忽视的薄弱环节是第三方运维人员。公安系统的网络设备、数据库大多由外包公司维护，这些人的账号权限往往比普通民警还大。去年某省就发生过一起事故：外包运维人员为了远程调试方便，私自搭建了SSH隧道，绕过防火墙直连核心数据库，导致公民身份证信息被拖库。虽然最后没造成实际泄露，但涉事公司被拉黑，相关责任人被追究刑责。

整改不能光堵漏洞，还得给数据“上锁分级”。公安部2023年发布的《公安数据安全分级分类指南》把数据分为四级，但落地情况参差不齐。做得好的地方，比如浙江，把公民的住宿记录、出行轨迹这类敏感数据单独建库，访问时需双人复核、动态口令，且操作日志保留五年。做得差的地方，数据还是“一锅烩”，谁有权限谁就能看。

技术手段再强，也架不住管理上的懒政。我见过某市局把网络安全整改当成“一次性运动”——等保测评前突击补漏洞、装设备，测评一过，又恢复原样。等保测评成了“过关考试”，而不是持续运营。这种心态不改，整改报告写得再厚，也只是纸面合规。

说到底，公安网络数据安全的底线是“行为可追溯、权限最小化、风险可接受”。这不是靠一套软件或一次检查能解决的，需要把安全责任拆解到每一个警种、每一个岗位。比如刑侦民警提取电子证据时，必须走专门的取证通道，不能插自己的笔记本；交警处理违章时，只能看到必要字段，而非全量公民信息。

我注意到一个积极信号——公安部今年开始推行“数据安全官”制度，要求地市级以上公安机关必须配备专职人员，且直接对单位主要负责人汇报。这个岗位不是挂个名，得懂业务、懂技术、懂法律，能顶住领导“赶紧给我调数据”的压力。有朋友说，这活儿吃力不讨好，但总得有人干。

整改的最终检验标准，不是通过了几次测评，而是当内部人员想违规操作时，系统能不能拦住他，纪检部门能不能查到痕迹。技术永远是辅助，真正管用的，是让每个民警都明白：手里的数据，比枪还敏感。