文章总结： 本文回顾2014至2026年中国网络安全发展关键节点，涵盖网安周启动、网络安全法、等保2.0、密码法、数据安全法、供应链安全及AI安全入法等里程碑，指出安全工作从技术防护扩展至合规、数据治理、供应链与AI风险管控，建议企业建立持续运营体系并强化AI资产与权限管理。
综合评分： 92
文章分类： 政策法规,安全建设,数据泄露,安全运营,AI安全
又是一年网络安全周：回头看中国网络安全这些年的重要节点
原创
木火纪
木火纪
木火纪
2026年9月16日 17:30
浙江
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
这几天是2026年国家网络安全宣传周。9月14日至20日，今年的网安周在全国范围开展，主题是“网络安全为人民，网络安全靠人民——智能时代 网安护航”。开幕式上还发布了《人工智能安全治理框架3.0》等一批成果。
对于安全行业的人来说，每年的网安周可能已经习以为常。但如果把时间往前推十几年，会发现国内对网络安全的关注程度已经发生了很大的变化。这种变化不只体现在宣传活动越来越多，而是直接反映在法律、标准、企业安全投入以及安全从业者的工作内容上。
2014：网络安全开始走出技术圈
2014年11月，首届国家网络安全宣传周举办，这也是我国第一次开展全国范围的网络安全主题宣传活动。当时的内容已经涉及金融、电信、电子政务、电子商务，同时大量面向普通公众普及网络钓鱼、电信诈骗、账号安全等问题。
站在今天看，这类宣传并不新鲜。但在当时，网络安全在大众层面的认知远没有现在这么高。
早些年的安全工作更偏技术部门内部事务。企业遇到的典型问题往往是服务器被入侵、网站被挂马、弱口令、病毒、Web漏洞。很多公司的安全工作也集中在防火墙、杀毒软件、漏洞扫描以及一年几次渗透测试上。
安全人员在公司的角色通常比较靠后：业务上线以后测试一下，出了问题再处理一下。安全意识培训、员工钓鱼演练、数据泄露防范等今天常见的工作，在很多公司并没有形成固定机制。
网络安全周本身没有直接改变企业的安全架构，但它代表了一个很明显的变化：网络安全开始从技术人员关心的问题，逐步进入公众、企业管理层和社会治理层面。
2016—2017：安全开始成为明确的企业责任
2016年12月，《国家网络空间安全战略》发布，网络安全被进一步纳入国家战略体系，其中涉及网络空间主权、关键信息基础设施、网络安全技术、人才以及网络安全产业等多个方向。
更直接影响行业的是随后实施的《网络安全法》。该法自2017年6月1日起施行，对网络运行安全、等级保护、关键信息基础设施、个人信息保护、监测预警和应急处置等内容作出了系统规定。
从安全从业者角度看，这一阶段的重要变化不是突然多出了一部法律，而是企业安全工作的逻辑开始改变。
过去很多安全建设取决于企业本身愿不愿意投入。预算充足、管理层重视，就多做一些；业务压力大，很多安全问题就可能先放一放。
随着网络安全法律体系逐步建立，越来越多安全要求开始具有明确的责任边界。安全部门需要回答的问题也随之增加：系统有没有定级、有没有安全责任人、日志是否留存、事件有没有应急机制、个人信息怎么保护、出了安全事件如何处置。
对于甲方安全人员来说，工作内容开始从单纯的漏洞和攻防，扩展到制度、流程、审计、合规和应急响应。
这也是后来国内很多企业安全团队逐渐完整起来的重要背景。
2019：等保2.0把安全建设进一步标准化
2019年，《信息安全技术 网络安全等级保护基本要求》GB/T 22239-2019发布，并于当年12月1日正式实施，也就是行业通常所说的“等保2.0”。
相比早期的信息系统等级保护体系，等保2.0面对的技术环境已经发生变化，安全保护对象不再局限于传统的信息系统，云计算、移动互联网、物联网、工业控制等场景陆续进入等级保护标准体系。
等保对一线安全工作的影响非常明显。
不少公司第一次比较系统地开始梳理自己的服务器、数据库、网络设备、业务系统和安全设备。以前可能只有运维人员知道“公司到底有多少台服务器”，做等保之后，资产梳理、网络拓扑、安全区域划分、账号权限、日志审计、备份恢复、漏洞整改逐渐变成一套固定工作。
对于安全厂商来说，这一阶段也带动了等保咨询、等级测评、安全整改以及相关安全产品的大量需求。堡垒机、日志审计、数据库审计、Web应用防火墙、漏洞扫描、终端安全等产品，在很多项目中逐渐成为标准配置。
对于安全工程师来说，工作也变得更加体系化。单纯找几个高危漏洞已经不足以说明一个系统的整体安全状况，越来越多项目开始要求从技术、管理、人员、制度和持续运营多个维度评估安全能力。
当然，实践中也存在为了通过测评临时补设备、补文档的问题。但从整个行业发展的角度看，等保至少让大量原本没有系统安全建设能力的组织第一次有了一套可以参照执行的基线。
2020：密码应用从技术问题走向制度化
2020年1月1日，《中华人民共和国密码法》正式施行，这是我国密码领域的综合性、基础性法律。法律对核心密码、普通密码和商用密码等进行了分类管理。
密码技术对于安全人员当然并不陌生。HTTPS、数字证书、VPN、身份认证、数据库加密以及各种安全协议，本来就大量依赖密码技术。
变化主要发生在“怎么用”。
随着相关制度和标准逐步落地，在政务、金融、关键信息基础设施等场景中，密码应用不再只是开发人员选择一个AES还是RSA的问题，而开始涉及密码应用方案、安全性评估、密钥管理、密码产品合规等更完整的体系。
对于安全团队来说，这意味着安全架构评审的范围继续扩大。过去检查系统可能主要看漏洞、权限和网络边界，后来逐渐还要检查敏感数据是否加密、密钥放在哪里、证书如何管理、关键身份认证机制是否符合要求。
安全工作开始越来越少依赖某一个单独的安全产品，而是向整个系统生命周期延伸。
2021：安全工作的边界从“系统”扩展到“数据”
2021年可以看作国内网络安全行业非常关键的一年。
《数据安全法》自9月1日起施行，建立了数据分类分级、重要数据保护等制度；《个人信息保护法》于11月1日起施行，对个人信息处理、敏感个人信息、自动化决策以及个人信息跨境等作出了专门规定。
同年9月，《关键信息基础设施安全保护条例》正式施行，将公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域中的重要网络设施、信息系统纳入专门保护制度。
也是从这一阶段开始，很多安全团队明显感觉到工作对象发生了变化。
以前做资产梳理，主要回答的是：
我们有多少服务器、多少系统、多少公网IP。
后来还必须回答：
我们到底有哪些数据。
用户注册信息存在哪里？身份证号有没有采集？哪些字段属于敏感个人信息？生产数据库谁可以访问？测试环境里有没有真实用户数据？日志里会不会记录身份证、手机号或者Token？数据导出以后去了哪里？第三方供应商能接触哪些数据？
这些问题单靠传统渗透测试无法解决。
因此，越来越多公司的安全团队开始接触数据分类分级、数据库审计、数据脱敏、DLP、API安全、个人信息合规评估以及数据生命周期管理。
这对于安全岗位本身也产生了影响。安全工程师过去很容易按照“网络安全、主机安全、Web安全”来划分工作，到了数据安全阶段，安全开始不得不深入业务流程。
安全人员必须知道数据是怎么产生、怎么调用、怎么共享以及最终怎么删除的。
这也是安全部门与研发、产品、法务、隐私合规团队开始频繁协作的重要阶段。
2021：漏洞也开始有了更明确的管理边界
同年还有一个对安全研究人员影响比较直接的文件——《网络产品安全漏洞管理规定》。
该规定自2021年9月1日起施行，对网络产品漏洞的发现、收集、发布、报告和修补进行了规范，同时明确鼓励漏洞发现者向相关国家漏洞平台报送漏洞信息。
对于漏洞研究领域来说，这个节点同样值得记录。
早期国内漏洞研究生态相对粗放。安全研究员挖到漏洞以后，可能发到论坛、博客、漏洞平台，厂商响应机制也并不统一。有些公司甚至没有专门的漏洞接收邮箱，更谈不上SRC和标准化的漏洞处理流程。
后来越来越多互联网公司建立SRC，漏洞提交、确认、修复、奖励、披露逐渐形成相对固定的流程，厂商自身的PSIRT等机制也不断完善。
对安全研究人员来说，漏洞研究依然是一项技术工作，但漏洞如何报告、什么时候披露、向谁披露已经成为研究过程的一部分。
2022：供应链开始成为安全评估的重要对象
2022年2月15日，修订后的《网络安全审查办法》开始施行。其适用范围包括关键信息基础设施运营者采购网络产品和服务，以及网络平台运营者开展可能影响国家安全的数据处理活动。办法所列举的网络产品和服务包括服务器、存储、大型数据库、应用软件、网络安全设备以及云计算服务等。
对于企业安全来说，一个越来越现实的问题开始摆到桌面上：公司自己的代码没有漏洞，并不代表整个系统安全。
企业使用的操作系统、开源组件、商业软件、云服务、VPN、安全设备、第三方SDK、CI/CD组件以及外包开发团队，都可能把新的风险带进来。
这几年发生的大量软件供应链安全事件，也进一步推动企业重新审视第三方风险。
安全团队的资产表里因此开始出现越来越多以前不太关注的内容：使用了哪些开源组件、版本是多少、哪些系统依赖第三方服务、供应商能不能访问生产环境、外包人员有什么权限、第三方软件出现高危漏洞以后公司受不受影响。
漏洞响应工作的模式也随之变化。
以前看到一个CVE，安全团队可能只需要判断“我的服务器有没有这个软件”。
现在则经常需要继续向下追踪：
哪些业务 → 使用了哪些组件 → 哪个版本 → 是否间接依赖 → 是否公网暴露 → 有没有可利用路径。
供应链安全最终把安全工作进一步推向了资产治理和工程化。
2025：数据安全开始进入持续运营阶段
2025年1月1日，《网络数据安全管理条例》正式施行。条例以《网络安全法》《数据安全法》《个人信息保护法》等法律为基础，对个人信息、重要数据、网络数据处理活动以及相关安全义务进一步作出了规定。
到了这个阶段，企业面对的数据安全要求已经很难通过一次专项整改解决。
资产会变化，数据库会增加，接口会增加，新业务会采集新的字段，员工会离职，第三方供应商会更换，数据也会不断在不同系统之间流动。
这要求安全团队把很多过去偏项目制的工作转成长期运营：
数据资产发现 → 分类分级 → 权限控制 → 风险监测 → 数据审计 → 泄露检测 → 事件处置。
从技术角度看，这也解释了为什么近几年DSPM、API安全、数据安全平台、云安全以及身份权限治理越来越频繁地进入企业安全建设方案。
安全的对象已经不只是那几台服务器，而是不断变化的数据和业务关系。
2026：AI开始进入网络安全基础法律体系
2026年1月1日，修改后的《网络安全法》正式施行。此次修改新增了人工智能相关内容，提出完善人工智能伦理规范，加强风险监测评估和安全监管，同时提出运用人工智能等新技术提升网络安全保护水平。官方解读将其概括为人工智能正式纳入国家网络安全法律体系。
而在今年的网络安全宣传周上，《人工智能安全治理框架3.0》正式发布。该框架在2024年1.0和2025年2.0的基础上继续更新风险分类以及技术和治理措施。
对于安全从业者来说，这一轮变化已经开始发生。
企业接入大模型以后，会出现一批以前没有的资产和风险：模型API、知识库、RAG、Agent、MCP、Prompt、模型插件、训练及微调数据，以及AI应用能够调用的内部系统权限。
传统Web安全中的越权、SSRF、供应链、数据泄露等问题并没有消失，只是开始和Prompt Injection、模型越狱、RAG数据投毒、Agent权限滥用等新的攻击面组合在一起。
这也意味着，未来企业安全评估中很可能会多出一类固定问题：
公司用了哪些AI？AI能访问哪些数据？AI能调用哪些系统？出了问题以后，权限边界在哪里？
十年前安全团队统计的是服务器和公网IP，后来统计数据资产和API，现在又开始统计模型、Agent和AI工具。
安全边界仍然在继续扩大。
总结
把这些节点连起来，国内网络安全过去十多年的变化并不只是“政策越来越多”。对于一线安全从业者来说，更直观的变化是工作对象一直在扩大：主机和网络 → 业务系统 → 数据和个人信息 → 供应链 → AI与Agent。 企业安全团队承担的职责，也从漏洞发现和事件处置逐渐扩展到制度、合规、架构、数据治理、供应链以及安全运营。
很多企业的安全建设依然存在预算、人员和落地效果上的问题，也不能因为法律和标准越来越完善，就认为现实中的安全问题已经解决。但和十多年前相比，至少网络安全已经很难再被当成IT部门里一个可有可无的小模块。对于在这个行业里工作时间比较长的人来说，这可能才是网络安全周之外，更值得回头看的变化。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：木火纪 木火纪
木火纪《又是一年网络安全周：回头看中国网络安全这些年的重要节点》