第二十一条是什么
网络安全法第二十一条是等级保护制度的法律源头，规定网络运营者应当按照网络安全等级保护制度的要求履行安全保护义务。它把义务拆成四件事：制度和责任人、技术防范措施、日志留存不少于六个月、数据分类备份加密。条文本身很短，但它把等保从推荐性标准变成了法定义务，违反可依第五十九条责令改正、警告直至罚款。
基本信息
| 出处 | 中华人民共和国网络安全法第二十一条 |
|---|---|
| 义务主体 | 网络运营者（网络的所有者、管理者，以及网络服务提供者） |
| 罚则 | 第五十九条：责令改正、警告；拒不改正或导致危害后果的处罚款 |
| 配套 | 等保 2.0 系列标准负责把义务落成可核查条款 |
| 日志期限 | 不少于六个月 |
四项法定义务
- 制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任
- 采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施
- 采取监测、记录网络运行状态与网络安全事件的技术措施，并按规定留存相关网络日志不少于六个月
- 采取数据分类、重要数据备份和加密等措施
义务与落地对照
| 义务 | 落地证据 | 常见缺口 |
|---|---|---|
| 制度与负责人 | 安全制度汇编、任命文件、岗位职责 | 只发文不执行，无培训与考核记录 |
| 技术防范 | 边界防护、入侵检测、恶意代码防范的配置与日志 | 设备买了没策略，形同虚设 |
| 日志留存六个月 | 采集范围清单、留存周期设置、检索导出演示 | 只留 Web 访问日志，本机数天即被轮转 |
| 数据分类与备份加密 | 数据分类分级清单、备份策略与恢复记录、加密方案 | 备份与生产同盘存放，无恢复验证 |
六个月留存自检四步
六个月留存自检四步
# 1 看本机日志轮转是否覆盖六个月（按写入量估算容量）
grep -E 'rotate|maxsize|daily' /etc/logrotate.d/*
# 2 确认已转发到集中日志平台
grep -r '@' /etc/rsyslog.d/ /etc/rsyslog.conf
# 3 抽查更早的日志仍可检索（示例：30 天前）
journalctl --since '-30 days' --until '-29 days' | head
# 4 验证导出可用：能按账号、源 IP、事件类型检索并导出「相关网络日志」按监管口径通常包含网络运行状态与安全事件两类，实践覆盖主机、网络与安全设备、应用、数据库、身份认证系统的日志，而不是只看 Web 访问日志。
日志同时受个人信息最小必要与删除权约束：留存六个月是下限而非上限，制度里要写明保留依据、到期处置方式与检索权限管理。
落地责任分工
- 网络安全负责人：对制度执行、事件处置与对外报送总负责，需有正式任命文件与履职记录
- 运维团队：负责技术措施配置、日志采集转发、备份任务与恢复演练
- 安全团队：负责监测告警处置、漏洞修复跟踪与合规材料归档
- 法务与合规：负责制度评审、合同安全条款与监管沟通口径
第二十一条与等保的关系：法律提出义务，GB/T 22239-2019 把义务拆成可核查的要求项，测评报告则作为履行义务的证据材料。