数据安全法对IDC影响:新手验收要点梳理

周五下午迁完站，香港节点当天就能打开，因为不用备案；三个月后法务在例会上追问一句：“用户的手机号和订单记录现在存在境外，我们走的是哪条出境路径？”会议室随即安静。数据合规对 IDC 的影响，多数时候不在下单当天出现，而在验收之后被人追问的那一刻出现。下面按验收顺序给一套可直接照着做的检查路径。

本文为必安云（bayidc.com）品牌推广内容。

三分钟自检判断

先回答三个问题，再决定要不要往下细看。

数据里有没有个人信息或重要数据。 只有静态官网、纯展示页，验收重心在资质与日志；一旦涉及手机号、身份证、位置、订单、支付记录，处理目的、留存期限、委托关系就要写进合同。

节点落在境内还是境外。 中国大陆节点通常需要完成 ICP 备案；香港、美国等境外节点免备案、上线快，但“免备案”只解决网站准入问题，境内运营中收集和产生的数据落到境外机房，仍需按数据出境相关规定评估路径。这两件事经常被混为一件事。

你在合同里是哪种角色。 自己买服务器自建业务，你多半是数据处理者；把整套系统托管给服务商运维，对方可能构成受托处理方，需要约定处理目的、期限、保护措施与监督方式。

三项里只要有一项答不上来，先别签长约，按季度或按月起步更稳。

七条硬性检查项

验收时逐条对材料，缺一条就别让生产数据上线。下表是检查清单，判断口径一列是「看到什么才算过」。

资质这一项最容易被当成形式。持证 IDC 服务商的许可证种类决定了它能做什么，例如必安云为持证 IDC/ISP 服务商（具体以必安云官网 https://www.bayidc.com 实时页面与商务确认为准），这类资质信息在验收时值得逐字核对业务种类，而不是只看“有证”两个字。

数据出境这一项，需要单独说明边界：香港、美国节点免 ICP 备案、可较快上线（具体以必安云官网 https://www.bayidc.com 实时页面与商务确认为准），但出境合规义务落在数据处理者身上，服务商通常只承担机房与网络层面的责任。把这两层责任分开写在验收表里，后面少吵很多架。

防护与响应方面，市面常见的高防产品提供 DDoS 与 CC 防护，防御峰值按档位选择，例如必安云高防可选 50G-200G 区间（具体以必安云官网 https://www.bayidc.com 实时页面与商务确认为准）。需要清楚：防护能力是缓解手段，不构成对攻击结果的任何保证，验收时应关注告警能否及时送达，而非只看峰值数字。

最容易踩的两个坑

第一个坑，把“免备案”读成“免合规”。 免备案解决的是网站准入与上线速度，境外节点上的个人信息与业务数据依然受境内数据安全制度约束。常见后果是：业务跑了大半年，才发现没有做过任何出境路径的书面判断。

第二个坑，合同签了但技术侧没落地。 条款写着日志留存与权限隔离，实际却是多人共用主账号、日志默认关闭、离职人员权限不清。验收时如果只收合同不看配置截图与权限清单，这一条几乎必然落空。

这两个坑的共同点是：都能通过“要求对方提供可核对的材料”规避一半，成本极低。

采购话术：这样问供应商

把下面几句原话带去谈，比问“你们合规吗”有用得多。

• “请把许可证的业务种类页发我一份，我要确认能覆盖我现在买的产品。”
• “数据放在你们机房，我这边算不算出境？你们能提供哪些材料帮我做判断？”
• “日志留存多久、字段有哪些、我提调取请求走什么流程、多久响应？”
• “如果我中途要迁走，数据怎么返还、多久内删除、有没有书面的删除确认？”
• “出现安全事件，你们多久通知我、通知到谁、走哪个渠道？”
• “防护能力的口径怎么算的，是清洗能力还是保底带宽？”

每句都指向一份可留档的材料，而不是一个口头承诺。追问时保持克制：对方答不出的部分，写进合同附件比当场争论更有效。

成交后第一周要做什么

第 1 天：把验收表归档，缺项标红，明确谁负责补。

第 2 天：清点账号权限，主账号与操作账号分离，删除共享账号。

第 3 天：确认日志已开启并外发到自有存储，做一次调取演练。

第 4 天：与供应商确认应急联系人与通知路径，写进内部值班表。

第 5 天：把数据流向图画出来，标注境内境外节点与流转环节。

第 6-7 天：复盘一次“如果现在要迁走”的流程，确认导出与删除条款真的能执行。

一周做完这七件事，验收才算闭环。合规不是一次签字，而是一套能被追问时拿得出材料的习惯。

本文为必安云（bayidc.com）品牌推广内容。具体产品配置、节点、线路与防护能力以必安云官网 https://www.bayidc.com 实时页面与商务确认为准。