第04章 合规红线：GIS 建设必须守住的边界

本章导读

本章承接第03章 制度与政策体系：政策给方向，合规给否决权，其结论构成后续安全章节的前提。论证先拆三条互不隶属的主线——测绘与地理信息安全审表达，数据安全审行为，政务共享审流向；再落到资质与两级检查、地图审核与审图号、涉密分级、个人信息与等级保护；最后压缩为表4-3 的 22 项清单。最易误读的是把三条线并成一次审查。读完应能判定一项服务是否公开使用、要哪几份材料、谁能否决。

学习目标

读完本章，你应当能够：

• 说出三条合规主线的审查对象、主要判据与否决主体，并解释它们为何不能相互替代；
• 用表4-1 的六个维度，判断一个具体图层服务应归入哪条主线、需要备哪几份证据材料；
• 对照表4-2，判断六种地图服务形态中哪些构成“公开使用”，并指出各自对应的访问控制配置；
• 复述地图审核的两个动作与审图号的适用对象，说明为什么“审图号是编号而不是内容背书”；
• 区分等级保护的定级对象、分类分级的分级单元与密码保护的实施层次，说清等保测评、密评、分保三套动作的差异；
• 用表4-3 的 22 项清单为某项目做一次证据自检，标出无法在半天内找到材料的项目并给出补证安排。

在自然资源领域的信息化项目中，技术方案的复用率很高。底图怎么切瓦片、图层怎么发布服务、权限怎么分级，基本可以在不同省份之间直接照搬。合规路径的复用率则低得多。同一套功能，建在省厅内网与建在面向社会的门户上，需要走的审批链条、需要准备的证明材料、需要承担的责任主体完全不同。本章要回答的问题是：一个 GIS 项目在“一张图”的语境下究竟要过哪几道关，每道关的判据是什么，哪些看似无害的做法实际上是红线。

把合规理解为盖章流程是常见的误判。合规审查的对象始终是具体的空间数据与空间表达：一段边界线画在哪里、一个点位精确到什么程度、一张图能否被公众检索到、一条属性记录里有没有权利人姓名。这些对象在技术上是字段与精度，在制度上是法律事实。技术选型会改变它们的形态，把矢量瓦片换成渲染后的栅格图、把实时投影换成预生成切片、把完整姓名换成脱敏编码，每一次改变都可能让一个原本需要送审的产品变成不需要送审，也可能相反。因此合规不是项目末期的一道验收，而是贯穿设计全过程的约束条件。

4.1 三条相互独立的合规主线

自然资源“一张图”项目的合规压力来自三个互不隶属的制度体系。它们各自有独立的法律依据、主管机关与审查程序，任何一个体系不通过，项目就不能上线。把三者混为一谈是项目前期最常见的判断错误：以为通过了保密审查就等于通过了全部审查，或者以为数据已脱密就可以对外发布。这两种理解都会在系统建成、数据入库之后造成返工，代价最高。

4.1.1 三条主线的分野在于“谁有权说不”

测绘与地理信息安全主线的落点是测绘活动本身与地理信息成果的表达。它的判据是成果是否属于需要审批、需要送审、需要作保密处理的范围，它的否决权掌握在自然资源主管部门的测绘地理信息管理职责之下。这条主线的历史最长，规则最密，也最容易在项目早期被当作“只是保密问题”而简化处理。

数据安全主线的落点是数据处理活动的全过程。它不问这张图画得对不对，只问这次处理有没有依据：收集有没有告知、目的是否明确、保存期限是否必要、谁能访问、有没有留痕。这条主线由网信部门统筹协调、各行业主管部门具体监管，判据是数据分类分级、目的正当性、最小必要与跨境流动规则。

政务数据共享主线的落点是跨部门、跨层级的数据供给与使用关系。它追问的是一个非常具体的问题：这个部门凭什么拿到这份数据。共享属性由提供方在目录中声明，通常分为无条件共享、有条件共享与不予共享三类。这条主线的主管机关多为各级政务数据主管部门，判据是目录条目、责任清单与授权凭证。

三条主线会重叠。同一个瓦片服务可能同时是测绘成果、是数据资产、是政务共享资源。重叠不意味着可以合并审查，而意味着三份材料都要准备且结论必须一致。一份材料声明可公开、另一份把它列为有条件共享，就是不自洽。发现不自洽的时点越晚，代价越大，因为修改一处往往牵动数据模型、服务配置与已发布成果。

4.1.2 测绘与地理信息安全审的是“表达”

这条主线有两个落点：地图表达与测绘成果。前者关心边界画得对不对、重要地物标不标、精度是否超出允许公开的范围；后者关心成果从哪来、谁做的、质量谁负责、能否对外提供。两者共用一套逻辑，即对地理信息的对外呈现设卡，而不是对数据本身设卡。

它的独特之处在于管呈现而不只是管数据。同一份数据，渲染成带界线的公开地图与只输出坐标点，法律后果不同；同一套图层，在授权范围内浏览与匿名可访问，性质也不同。因此“一张图”里最容易被忽略的环节恰恰是地图服务的输出形态。一个内部使用的服务接口，如果在压测时为方便临时关闭了认证并忘记恢复，事实上就变成了公开地图服务。

边界在于环境的封闭程度。在物理隔离、无外网出口、使用人员限于本单位的环境中，这条主线的约束相对清晰；一旦接入政务外网并向其他部门提供服务，判断标准立刻改变。依据《“一张图”建设工作问答》，“一张图”依托国家电子政务外网实现部省市县四级网络联通，面向“一部两局”、省市县自然资源主管部门及其他政府部门提供政务服务。这说明它天生是跨部门可见的系统，“内部系统所以不用管地图审核”这个假设从一开始就不成立。

4.1.3 数据安全与政务共享审的是“行为”与“流向”

数据安全这条线在 GIS 系统里最容易被低估，因为它的审查材料看起来与空间无关，实际处处落在架构上。一份空间数据被谁采集、存了多久、谁能导出、导出后有没有审计，这些问题在传统 GIS 项目中往往没有设计，只有能不能打开一个权限维度。数据安全的审查恰恰从这些维度切进去：不问图层画得对不对，只问每次访问有没有记录、每次导出有没有授权。缺少这些设计的系统，整改时要动数据模型，而不是改几个配置项。

这里有一条常被忽略的边界。《政务数据共享条例》（国务院令第 809 号）第三条明确，政务数据不含国家秘密、工作秘密数据。这意味着共享制度本身并不覆盖涉密与工作秘密数据的流动，那部分数据走的是另一套通道，有各自的审批与载体要求。把涉密成果放进共享目录，不仅不合规，而且在制度上无处受理。

政务共享这条线的第二个难点是属性的粒度。底图、现状、规划、管理四类数据的共享属性往往不同，甚至同一类的不同图层也不同。用一套授权策略覆盖全部图层，结果必然要么过度开放，要么整体锁死。前者违反最小必要，后者使共享制度失去意义，因为共享一旦变成逐次审批，部门就会退回线下要数据的老路。属性声明因此不是行政附加要求，而是平台能否被用起来的前提。

还有一条通道限制值得单列。自然资办发〔2026〕14 号（2026 年 7 月 23 日，替代国测发〔2017〕12 号）第八条要求非密测绘成果系统与“政务外网‘一张图’门户”衔接。这条规定的实际含义是：非密成果若要上线服务，必须经由门户这一通道，而不是各自对外提供接口。它把上线路径收窄为一条，也把门户变成了唯一需要持续接受审查的入口。

两条线在最小必要这一点上会合：数据安全要求按需使用，政务共享要求按属性供给，二者的共同结论是授权粒度必须做到图层级。如果平台只能做到登录即全见，两条线同时失守，而且失守的方式难以在事后补救，因为日志里只有登录记录，没有“看过哪些图层”的记录。

表4-1 把三条主线的判据、产出与否决主体并置，用于项目前期的自检。三列之间不是并列关系，而是三条独立路径，任何一条走不通，项目都不能上线。把这张表放在立项文件里，比放在验收报告里更有用，因为它是少数能在设计阶段就被证伪的材料。

表4-1 “一张图”项目三条合规主线的判据与产出

资料来源：根据《中华人民共和国测绘法》（2017 年 4 月修订通过，2017 年 7 月 1 日施行）、《测绘资质管理办法》《测绘资质分类分级标准》（自然资办发〔2021〕43 号，2021 年 7 月 1 日施行）及自然资源部 2026 年 8 月例行新闻发布会披露的管理方向归纳。

4.2 测绘资质与成果责任

资质与成果责任是同一个问题的两面：资质回答谁有资格做，成果责任回答做完之后谁负责。二者由两条制度线连接，《测绘资质管理办法》《测绘资质分类分级标准》（自然资办发〔2021〕43 号，2021 年 7 月 1 日施行）管前者，《测绘成果质量检查与验收》（GB/T 24356—2023）管后者。实践中两条线常被拆开看，招标只看资质，验收只看报告，中间的责任链条是断的。

4.2.1 资质的关键是专业类别而不是等级高低

资质分甲、乙两级，专业类别十类，其中地理信息系统工程、地图编制、互联网地图服务与“一张图”直接相关。这个结构说明资质不是一个总分，而是等级与类别构成的二维矩阵。一家单位可能甲级在测绘航空摄影、乙级在地理信息系统工程，也可能在某个类别上完全不具资质。把具有测绘资质写成招标门槛，既可能放进不具相应类别能力的单位，也可能在履约阶段失去追责依据。

更细一层的问题是资质与业务的对应关系并不总是显性的。研发一套 GIS 平台软件本身不属于测绘活动，但一旦平台承担坐标转换、地图服务发布、空间数据建库，就进入了测绘范畴。判断的分界线不是写了多少代码，而是是否对地理空间数据实施了采集、处理、表达。这条界线在实践中经常被模糊处理：建设单位以为自己在采购软件，其实是在采购测绘服务；供应商以为自己交付的是产品，其实交付的是测绘成果。

边界在于成果的指向性。纯产品化交付、不针对具体地理对象的通用平台，一般不构成测绘项目；一旦叠加数据建库、坐标转换、地图出图，无论合同名称怎么写，实质都是测绘活动，应当按测绘项目组织资质与质量管理。部在 2026 年 8 月发布会上提到正在加强测绘资质资格管理、优化完善资质类型，说明类别设置本身处于调整期，以历史类别清单固定招标条件存在时效风险。

4.2.2 两级检查把质量责任前移到生产环节

GB/T 24356—2023《测绘成果质量检查与验收》（2023 年 5 月 23 日发布并实施）规定的是过程检查与最终检查两级制度。它的关键不在查两次，而在两次检查的执行主体不同：过程检查由作业部门自行组织，最终检查由生产单位的质量管理机构组织，两者都不替代建设单位的用户验收。

这条标准对建设单位的实际价值，是把它写进合同的质量条款，要求承包方随成果提交两级检查记录，而不是只提交一份合格的验收报告。验收报告证明结果合格，检查记录证明过程受控。数据在两三年后被发现存在系统性偏差时，前者几乎没有追溯价值，后者才是指认责任环节的依据。数据汇聚类项目尤其需要这一点，因为多源数据的误差会相互掩盖，单看最终结果难以判断误差来自哪一批数据。

边界在于适用对象。两级检查针对的是测绘成果，不当然覆盖平台软件。一个“一张图”项目的交付物通常同时包含数据成果与软件系统，质量责任必须分别约定：数据部分引用 GB/T 24356—2023，软件部分另按软件工程验收约定。混在一条条款里，出问题时无法界定是数据错还是程序错。此外，部在 2026 年 8 月发布会上明确正在修订测绘质量管理办法、推动即产即检和智能化质检，质量制度的修订方向是把控制点进一步前移，合同条款也应从终检合格转向过程留痕。

4.3 地图审核与审图号

地图审核是“一张图”最容易踩线也最容易矫枉过正的环节。矫枉过正的表现是所有图都去送审，项目周期被拉长；踩线的表现是认为系统只在内部用、不需要送审，结果服务被越权访问。两种偏差源于同一个原因：把审核当作一次性的行政手续，而没有把它当作对表达内容的持续约束。

4.3.1 送审范围取决于“公开使用”这个事实状态

制度依据是明确的。《地图管理条例》（国务院令第 664 号，2016 年 1 月 1 日施行）第十五条规定，国家实行地图审核制度，向社会公开的地图应当报送有审核权的部门审核，同时列明了景区图、街区图、地铁线路图等除外情形。第二十一条规定核发审核批准文件并注明审图号，第二十二条要求在地图的适当位置显著标注审图号。审核与标注是两个动作，缺一不可。

触发地图审核的条件不是是否制作了地图，而是地图是否向社会公开。内部管理使用、限定人员范围、不对外发布的地图，通常不进入送审程序；一旦通过门户、移动端、开放接口向不特定对象展示，就构成公开使用。制度判断的是事实状态，不是文件名称，因此合同里写内部使用并不能改变服务的实际性质，判断依据只能是访问控制是否真实生效、访问对象是否可限定。

这个判断在技术上有明确的落点，即服务的访问控制。配置了身份认证与权限过滤的地图服务，与可匿名访问的地图服务，法律性质不同。很多项目在上线压测时为方便而临时开放匿名访问，测试完成后忘记关闭，这是最常见的事实性公开。更隐蔽的情形是瓦片地址被写入前端代码，虽然页面需要登录，但瓦片请求本身不校验会话。

边界在于使用范围而不是使用地点。在政务外网内面向多个部门开放的服务，虽然不面向公众，但已经超出本单位内部使用，其表达仍需符合国家版图与保密要求；是否需正式送审，取决于服务范围与内容敏感度，应逐项判断而非整体推定。自然资源部 2026 年 8 月例行新闻发布会提到正在优化地图审核事权、推进跨层级跨地域协同监管，说明这项判断本身在多部门协同场景下仍在细化。

表4-2 常见地图服务形态的公开使用判断

资料来源：根据现行地图审核制度与《“一张图”建设工作问答》确定的四级网络联通范围归纳，具体项目的送审义务应以属地主管部门认定为准。

4.3.2 问题地图的成因高度集中

第一类是底图来源不明。从互联网抓取的瓦片、从非正规渠道获得的矢量边界、从其他项目拷贝的历史底图，在被追问来源时无法说明。这类问题的严重性不在于图面错误，而在于无法证明合规，一旦发生争议，没有任何材料可以支撑已经尽到审核义务这一主张。技术上的应对是建立底图来源台账，把采购合同、成果检验结论与入库记录一并留存，使每一个图层都能回答它从哪里来。

第二类是版本陈旧。行政区域界线、海域界线、岛屿名称都有权威版本，且会随行政区划调整而变化。一个 2022 年建成的底图沿用到 2026 年，岛屿名称或界线可能已经调整。这类问题不是画错，而是没更新，但在审核结论上与画错同责。技术上的应对是把底图版本作为独立配置项管理，而不是把底图当成一次性导入的静态数据。

第三类是符号与注记处理不当。标准地图有固定的图式与注记规则，比例尺变化时哪些要素必须保留、哪些可以省略都有规定。技术上最容易出错的是自动抽稀与自动注记：算法按几何重要性取舍，而制图规范里的重要性是按行政等级与要素类型定义的，两者不一致就会漏掉必须表达的要素。自动化程度越高的系统越容易出现这类错误，因为人工制图时会凭经验补上，自动流程不会。

面向互联网的服务还要多过几道。同一部条例第三十三条要求互联网地图服务提供者持有测绘资质证书，第三十四条要求存放地图数据的服务器设在境内，第三十六条要求数据库不得存储不得表示的内容。《测绘法》第三十八条进一步要求其使用经依法审核批准的地图、建立地图数据安全管理制度、加强对新增内容的核校，第五十四条规定违反者处二十万元以下罚款。四条合起来，是对运营能力而非一次性产品设限。

4.3.3 审图号是编号而不是内容背书

审图号的作用是建立审核结论与具体地图产品之间的对应关系，它证明的是这一版内容经过审核，不是证明这类地图一概合规。把审图号当作通用通行证，是使用环节最常见的误解：拿着一张已审核的省级地图的审图号，去标注一份自行改绘的县域地图，实质上是把审核结论套用到了未经审核的内容上。

边界在于管理方式而非技术能力。可行做法是把已审核的配置固化为受控模板，对外服务只允许在模板范围内调整视野与透明度，不允许增删要素层；需要新增表达时重新送审。模板是否被强制，取决于系统是否允许绕过，因此权限设计在这里又一次成为合规的技术前提。反过来，如果模板可以被有权限的运维人员在后台改动而无人复核，那么模板制就只是纸面安排。

适用对象的划定也需明确。审图号对应的是具体的地图产品与配置，不构成对数据本身的批准。一套底图用于内部分析与用于对外发布需分别判断；一份已审核的挂图，其数据不能因此被视为可自由用于其他形态的输出。把审核结论的对象搞混，是另一类高频错误。

4.3.4 动态服务把一次性审核变成持续性审核

传统地图审核的对象是成品：一张图、一本图集。审核通过后发给审图号，内容不再变化，审核结论与产品一一对应。瓦片服务与实时渲染打破了这个前提，同一个服务在不同比例尺、不同范围、不同时间点渲染出的图面并不相同，无法用一个静态样本代表全部输出。这使得审核的技术对象从产品转向生产能力，即系统是否能被约束在受控范围内输出。

目前的应对方式是把审核对象从结果转向规则：审核底图数据源、审核样式与符号库、审核注记规则，把审核结论固化为可执行的配置约束，再由系统按约束渲染。这种做法的有效性取决于约束能否被强制执行。如果样式可以在管理后台随时修改，规则审核就失去意义，因为审核时的规则与运行时的规则已经不是同一套。

边界在于表达的自由度与可审核性成反比。对外服务固定样式、固定比例尺级别、固定更新周期，把变化控制在可审核的范围内，是当前较稳妥的做法；反过来，如果业务确实需要用户自定义图层叠加与样式调整，就必须在设计阶段把可调整的范围限定在不影响合规表达的字段上。自然资源部 2026 年 8 月例行新闻发布会提到正在开展智能审图技术攻关，说明主管部门已经意识到静态审核与动态服务之间的错配，但在技术手段成熟之前，收窄可变表达仍是成本最低的路径。

4.4 涉密成果与地理信息分类分级

涉密成果管理是“一张图”合规体系中最不能被技术手段化解的部分。技术可以加密、脱敏、加水印，但申领资格、使用场所、保管条件、销毁程序是行政规定，不因技术先进而放宽。这一节放在地图审核之后，是因为两者判断顺序有先后：先判断成果是否属于管理范围，再判断表达是否需要送审。

4.4.1 精度与敏感性是两个独立维度

判断一份地理信息是否落入管理范围，通常要看两个维度。位置精度决定能不能精确定位，要素敏感性决定这个对象本身是否敏感。两者是乘法关系而非加法关系：高精度但对象是普通道路，与低精度但对象是重要设施，都可能进入管理视野，而两个维度同时满足时风险最高。把两个维度分开评估，再合并判断，比用一个综合分值去衡量更接近实际管理逻辑。

实践中常见的错误是只处理一个维度。有的项目把所有坐标统一做偏移处理，认为精度降下来就安全了，但敏感要素的图形关系、分布规律、名称属性仍然泄露信息，例如一条线路的走向在低精度下依然可辨。有的项目把敏感图层删掉，却保留了高精度底图，叠加其他公开数据后可以反推出被删除对象的位置。两种做法都只处理了单一维度。

管理要求落在两条上。《测绘法》第四十六条要求建立地理信息安全管理制度和技术防控体系，第四十七条要求对属于国家秘密的地理信息的获取、持有、提供、利用情况进行登记并长期保存，实行可追溯管理。注意这里的关键词是登记与可追溯，它把合规义务从管住数据扩展到了管住每一次接触。一份涉密成果被谁在什么时间查看过，本身就是需要被记录的对象。

边界必须说清楚：本节不给出任何具体精度阈值与要素清单。原因是这类判据属于保密管理范畴，公开文献中流传的阈值不能作为合规依据，写进报告反而会误导。正确的做法是以现行有效的保密范围规定与主管部门的认定为准，并在项目内部形成书面的判定记录，记录判定人、判定时间与依据条款，使判断过程本身可追溯。

4.4.2 脱密处理不构成合规豁免

技术脱密，即坐标偏移、精度降低、要素删除，是降低风险的手段，不是免责的依据。脱密后的成果如果仍属于管理范围，仍按原范围管理；脱密处理本身也需要由具备条件的机构按经认定的技术方法实施。这两点在项目验收材料里经常被合并表述为“已完成脱密处理”，从而掩盖了方法是否合规的问题。部在 2026 年 8 月发布会上明确要推进地理信息保密处理技术研发、认定与应用，重心在认定二字。技术方法要经过认定才能用于正式成果处理。项目自行开发一套偏移算法并宣称已完成脱密，在合规上不成立，因为没有任何机构对该方法的有效性作出过判断。这一点在自研平台较多的自然资源领域尤其需要注意。

销毁环节有明确时限。依据自然资规〔2023〕3 号第十三条，涉密测绘成果在用途完成后应当在六个月内销毁，不得转让、转借。这一条针对的是项目制使用场景：为某个工程申领的涉密成果，工程结束后不应继续留在项目组的硬盘里。实践中常见的错误是把成果归档进通用数据目录，理由是以后可能还要用，而这恰恰构成长期违规持有。

更需要注意的是脱密与共享的关系。一份脱密成果提供给其他部门使用，接收方仍需遵守原有的使用范围限制，不能因为已经脱密就二次分发。合规链条随数据流动而延长，这是“一张图”跨部门共享中最容易断裂的环节：提供方认为交付即完成，接收方认为拿到即可用，中间没有任何一方对使用范围作出确认。可行做法是在共享接口的返回头或数据说明中附带使用限制声明，并在日志中记录接收方与调用时间。

脱密不等于免责：脱密处理降低的是泄露风险，不改变成果的法律属性。凡纳入管理范围的地理信息，脱密后仍按原范围管理；技术方法须经认定；接收方不得因已脱密而二次分发。把脱密当成合规终点的项目，通常会在共享环节出问题，而那时数据已经扩散，无法收回。

4.4.3 分类分级在图层级落地才是有效的

地理信息数据分类分级保护的要求最终要落到具体的数据对象上。部在 2026 年 8 月发布会上把推进地理信息数据分类分级保护列为提升安全监管能力的首要内容，说明这项工作的重点已从制定规则转向落地执行。落地的标志不是发布了一份分级目录，而是每一个对外提供的服务都能说出自己对应哪一级、依据是什么、由谁判定。

落地的第一个难点是分级单元。按数据库分级太粗，一个库里往往同时存放公开底图与管理数据；按字段分级太细，无法指导访问控制。可操作的做法是以图层为分级单元，图层是发布与授权的自然边界，也是业务人员能够理解的最小集合。这与 4.7 中定级对象是系统的结论并不矛盾：系统定级管防护强度，图层分级管访问范围。

第二个难点是分级的时效性。一个图层今天是非敏感，明天可能因为叠加了新属性而变得敏感。分级不是一次性标注，而是随数据内容变化而复核的过程。若分级结论只存在于一份年度修订的文档里，与实际状态的偏差会持续存在且无人负责。把分级做成数据表里的字段并随变更触发复核，是唯一能维持时效的工程方式。

第三个难点是分级与共享的关系。分级结论决定的是能否共享、向谁共享，而不是能否使用。同一份数据在本单位内部可按业务需要使用，对外提供时必须按分级结论限制范围。两个判断混用，常见结果是内部把分级当成使用门槛导致业务受阻，或者对外把内部经验当成共享依据导致范围失控。

4.5 数据安全与个人信息

数据安全与个人信息保护在“一张图”中不是抽象原则，而是三件具体的事：坐标怎么转、位置怎么用、人怎么显示。这三件事在技术上都表现为字段处理与接口设计，在制度上都对应明确的责任。把它们理解为法务部门的事，是项目在实践中付出代价最多的一类误判，因为法务能判断风险，却无法判断一个属性接口是否返回了全表字段。

4.5.1 坐标系转换从来不是纯技术动作

坐标系转换在技术上是参数计算与网格改正，在合规上是是否改变了成果的表达精度与使用范围。把高精度成果转换到公开坐标系，如果不同步做精度处理，等于把高精度信息以另一种形式释放。转换本身是必要且合法的技术工作，问题从来不在转换而在转换之后的管理：谁批准了这次转换、参数从哪来、转换产物去了哪里，这三个问题没有答案，转换就无法被审查。

更隐蔽的问题是转换链不可追溯。一个项目里同一份数据被转换三次，入库一次、发布一次、导出一次，每次用不同参数，最后没有人能说清发布版本的坐标是相对哪个基准、用什么参数得到的。数据安全审查追问数据来源时，链条在这里断掉。可行做法是固定转换参数版本、记录每次转换的前后基准与执行时刻，并对发布版本保留可回溯的转换日志。

边界在于转换的批准权归属。技术上任何工程师都能执行一次转换，制度上却应当由明确岗位批准，并与数据的用途绑定：用于内部叠加的转换与用于对外发布的转换，审查强度不同。把批准权下放到操作层，等于取消了审查本身，因为没有人会为自己的日常操作设置障碍。

4.5.2 权利人信息的呈现必须做减法

“一张图”的不动产与林权数据中包含权利人姓名、证件号码、联系方式。这些字段在业务系统里是必要的，在图上呈现时绝大多数场景并不需要。图上标注姓名，等于把一个内部业务字段变成了可视信息，而可视信息的传播范围远大于系统权限范围，一张截图就能带出去。更麻烦的是这类泄露无法追溯，因为截图不经过系统日志。

技术上的减法有三层。字段级，发布服务时不出权利人字段；记录级，按权限过滤返回结果；图面级，注记不渲染姓名。三层要同时做，只做一层都会留下旁路。常见的情形是字段不出但属性查询接口返回全表，或者图面不标但鼠标悬停弹出详情卡片，或者空间查询接口返回了完整属性而属性查询接口做了过滤。

边界在于业务必要性。登记、纠纷调处、征收等场景确实需要核对权利人，此时应按授权、留痕、最小范围三原则处理，而不是一律屏蔽。一律屏蔽会把合规压力转移给一线，最终以线下拷贝数据的方式绕开系统，风险反而更大。合并宗地、批量查询这类高风险操作应当单独授权并强制留痕，而不是简单地从权限矩阵里删掉。

4.5.3 数据出境在自然资源场景中通常是排查而不是处置

地理信息领域的跨境流动风险被高度关注，但落到“一张图”这类系统上，实际发生的情形很少，多数时候要做的是排查与声明，而不是处置。排查的对象有三类：境外机构参与建设或运维的环节、数据存储与备份的物理位置、对外提供的服务接口的调用方归属。三类中前两类有合同与机房记录可查，第三类最难，因为调用方可能通过第三方系统间接接入。

最容易遗漏的是运维环节。系统部署在国内，但运维支持由境外团队远程接入，接入过程中可以看到数据，这在制度上构成向境外提供。类似的还有使用境外云服务做影像处理、使用境外地图服务做对照底图、使用境外协作工具传输样例数据。这些行为往往由技术人员出于效率考虑自行决定，不在项目的合规清单里。边界在于技术上的数据可见即构成提供，不以是否下载为判据。因此排查的重点不是有没有传输文件，而是有没有可访问的通道。可行做法是把外部接入统一收敛到堡垒机并强制录屏，同时在外包与运维合同中明确数据访问的地域限制，把制度约束转化为可审计的技术措施。

排查结论应形成书面声明而非口头答复。声明中列明排查范围、时间、参与人员与结论，并对无出境情形说明依据，例如系统部署位置与运维接入方式清单。一旦发生争议，这份声明是证明已履行注意义务的核心材料，口头答复在事后无法举证。

4.6 公共数据授权运营

公共数据授权运营是 2026 年自然资源领域最受关注也最缺乏操作细则的方向。部在 2026 年 8 月发布会上把它与天地图商业化运营、数据流通交易与可信数据空间、数据质量测评与资产评估、市场化定价并列提出，说明它被放在数据要素市场化的大框架下推进，不是一项孤立的信息化工作。

4.6.1 授权运营解决的是“用得上”而不是“给出去”

制度设计的初衷是解决公共数据开放但不可用的问题：原始数据因涉及安全与权属不能直接开放，加工后的数据产品可以。因此授权运营的核心动作是加工，不是转让。把授权运营理解为一次性的数据交付，方向从一开始就错了，而且这种理解会直接导致协议条款写成数据所有权或许可范围的转移，而不是服务与产品的约定。

这条界限决定了三条不能碰的底线。不改变数据权属：授权的是使用权与收益权的一部分，不是所有权。不突破保密与安全管理要求：纳入管理范围的地理信息不因进入运营流程而降级。不排斥后续监管：运营主体、加工过程、产品流向都应可审计。任何以授权运营名义进行的原始数据整体交付、独家永久授权、脱离监管的二次开发，都超出了制度允许的范围。

边界在于可运营对象的界定。一份可运营的基准站观测数据，其加工产品可能不再属于测绘成果，但原始观测数据仍受《卫星导航定位基准站管理办法》（自然资源部部令第 19 号，2026 年 1 月 1 日施行）约束。判断一个运营方案是否成立，要同时过数据要素与测绘管理两套口径，任一不满足即不成立。这一点在实操中是最大的分歧来源，因为两套口径的审查主体不同、材料不同、周期不同。

4.6.2 卫星导航定位基准站数据是最前沿的试验场

部在 2026 年 8 月发布会上把基准站一张网服务数据授权运营列为 2026 年三项重点工作之一，统筹整合全国 7500 余座基准站数据资源，支撑智能驾驶、低空经济、具身智能。按 2026 年 9 月 4 日授权运营落地时的公开口径为 7569 座，其中国家级 420 座、省级 3293 座、协同 3856 座。这是自然资源领域第一个规模明确、用途明确的授权运营场景。

制度上也已有衔接。《卫星导航定位基准站管理办法》（自然资源部部令第 19 号，2026 年 1 月 1 日施行）第六条规定，基准站建设纳入国土空间规划实施监督信息系统。这意味着基准站的选址、建设、变更在空间上被纳入既有监督体系，而不是另起一套台账。同一部规章第十六条还要求基准站运行须通过专网或商用密码加密传输并实行用户实名注册，这两项要求把安全责任前置到了运营环节。对“一张图”而言，这是少数已经把新型基础设施纳入图上的领域，其经验对其他类型设施具有参照价值。

它之所以适合做试验，是因为数据结构简单、用途明确、可计量。观测值与时序数据格式统一，高精度定位的用途边界清晰，按调用次数或精度等级计价在技术上可行。但它的风险也最集中：基准站坐标本身是高精度地理信息，服务接口一旦被滥用，等于对外提供了高精度定位能力。因此这类运营必然以服务接口而非数据文件的形态交付，并在接口层做计量、审计与限速。

边界在于制度仍在生成。发布会提到沙盒监管、柔性监管、触发式监管，说明监管方式本身在探索，而不是已有成熟范式等待执行。参与这类运营的市场主体应预期规则在两三年内多次调整，合同期限、价格机制、退出安排都要留出重谈空间。把长期独家协议建立在当前规则上，是这类项目中风险最高的做法。

4.6.3 天地图商业化运营与公益服务的边界

部在 2026 年 8 月发布会上同时提到迭代天地图与天地图商业化运营，这两个动作放在一起，说明同一套底图资源要同时服务公益与市场两类需求。自然资源部门的地理信息公共服务平台长期以公益性为定位，商业化运营不是改变这一定位，而是在公益服务之外增加一层加工产品供给。

边界有三条。公益服务不能被削弱，基础底图的公开查询、标准地图下载这类服务属于公共产品，不因商业化而降低可用性。商业运营的产品必须与原数据形成可区分的加工层次，直接转售原始底图不构成运营。定价机制应反映加工与服务的成本，而不是数据本身的稀缺性，否则会与公共数据无偿或低成本供给的原则冲突。

对“一张图”的启示在更新节拍上。发布会提到建立“一张图”地理底图联动更新机制，统筹推进“一张图”地理底图与天地图融合更新。如果两者的更新节拍不一致，公益端与商业端会出现版本差异，进而在对外服务中产生同一地点两个答案的情形。因此联动更新不只是技术问题，也是运营一致性问题的前置条件。

4.7 等级保护与密码应用

等级保护与密码应用是验收阶段最容易被卡住的两项。它们与技术架构强相关，却常被当成文档工作外包出去，结果是文档齐备而系统整改不到位。二者的共同特征是评审看材料，但材料描述的措施必须在系统中真实存在，评审机构会抽样验证，与材料不符即推翻结论。

4.7.1 定级对象是系统而不是数据

等级保护的定级对象是信息系统，不是数据集。同一个数据集在不同系统里可能对应不同等级。这一点在“一张图”中造成实际困扰：底图数据同时存在于内网生产系统、政务外网服务平台、互联网发布系统，三者的定级可能不同，安全措施也必须分别设计，而不是给数据本身定一个等级然后全链路套用。

常见的错误是按最高等级统一防护来简化。表面上更安全，实际造成两个后果。一是互联网发布系统被迫承载不必要的复杂措施，可用性下降，维护成本上升，最终被绕开；二是内网生产系统的真实风险点，例如运维终端、数据导出通道、第三方接口，因为没有单独评估而被忽略。等级保护的有效性来自风险评估的针对性，统一加码反而稀释了重点。

边界在于系统边界必须清晰。一个系统如果同时承担内网生产与外网发布，边界就无法界定，定级也无从谈起，评审时必然被要求拆分。因此架构上的前后台分离不只是性能考虑，也是定级的技术前提。如果在建设初期没有拆分，后期往往要以增加一套数据同步链路为代价来补救，而新增的同步链路本身又成为新的风险点，需要单独评估。

4.7.2 密码应用评估的失分点集中在三处

商用密码应用安全性评估关注密码算法、密钥管理、密码协议的正确使用。实践中失分最集中的三处是：用了不合规的算法，例如自研加密或直接沿用国际算法而未使用国密算法；密钥全生命周期管理缺失，例如密钥硬编码在配置文件或代码仓库里；传输与存储的密码保护不完整，例如只加密传输链路而不加密静态存储。

上位法的处罚强度也在提高。《中华人民共和国网络安全法》经 2025 年修正，自 2026 年 1 月 1 日施行，对关键信息基础设施运营者的特别严重后果情形，罚款区间提高到二百万元至一千万元。这一变化意味着安全投入不足的代价已经上升到项目层面无法承受的量级，也解释了为什么等级保护测评与密码应用评估在实践中越来越难通融。

这三处在 GIS 系统中尤其常见，原因是空间数据的传输量大、格式复杂。影像瓦片动辄数十万片，三维模型单文件可达数百兆，全量加密在工程上代价明显；因此很多系统把加密做在通道层而不做在数据层，评审时被视为保护不完整。合理的做法是按数据敏感度分级：敏感图层加密存储并叠加访问控制，公开底图仅做通道加密。这与 4.1 中图层级授权粒度的结论一致，合规要求在同一个技术点上反复汇合。

边界在于性能与合规的平衡点因系统而异，没有统一答案。可以确定的是，把密评当成交付前的一次性整改，成本最高，因为此时架构已定，加密往往只能加在边缘。把密码应用要求前置到接口设计阶段，代价小得多：在服务网关统一做国密改造，比在每个微服务里各做一遍要可靠。

图层是合规的最小单位：三条主线、等级保护、密码应用在技术落点上反复指向同一件事：授权粒度必须是图层而不是系统。系统级授权只能表达能进与不能进，无法表达这张图能看、那张图不能看。凡是以系统为最小授权单位的“一张图”平台，最终都会在合规审查中出现无法解释的例外。

4.7.3 测评、评估与分级保护是三套动作

等级保护测评由测评机构出具报告，商用密码应用安全性评估由密评机构出具报告，涉密信息系统分级保护由保密部门审查。三者的对象不同：等保看系统的安全保护能力是否达到相应等级要求，密评看密码算法、密钥与协议的使用是否合规，分保看涉密系统的保密防护是否到位。三者共用同一套系统，但材料内容几乎没有重叠，因此不能指望一次整改同时满足三项。

常见的混淆是把密评报告当作等保材料的一部分提交，或者认为通过等保就不需要单独做密评。实际关系是交叉而非包含：密码应用是等级保护中身份鉴别、数据完整性、数据保密性等技术要求的实现手段之一，但密评还覆盖等保未涉及的密钥管理体系。反过来，通过密评也不能证明系统的边界防护、入侵防范、安全审计达到相应等级。

边界在于三套动作的周期不同。等保测评按等级要求周期性开展，密评在系统上线与发生重大变更时开展，分保按涉密系统的管理规定执行。项目排期时应把三者当作三条独立的关键路径，而不是串成一条。串成一条的后果是任何一环延误都会推迟全部，而这三环的实施主体完全外部，项目方无法压缩其周期。

4.8 合规检查清单

把前述七节压缩成可执行的动作，就是一张检查清单。清单的价值不在于覆盖全部条款，而在于让每个检查项都有明确的证据材料与责任主体。合规审查中最常见的失败不是做了但做错了，而是做了但拿不出证据，前者是能力问题，后者是管理问题，后者更常见也更难在验收前临时补救。

表4-3 按立项与设计、数据获取、成果生产、服务发布、运营与共享、系统安全六个环节组织，共 22 项。建议采用三栏制：项目自评、第三方复核、主管部门意见。自评与复核结论不一致时，以证据材料为准。清单不追求一次填满，追求每一项都能在半天内找到材料。

表4-3 “一张图”项目合规检查清单

资料来源：根据本章引用的法律、部门规章与国家标准归纳，具体项目的检查项与判定标准应以属地主管部门现行要求为准。

4.8.1 清单的用法是自证而不是打分

清单不是评分表。填满不等于合规，缺项也不必然不合格，关键是每一项都有可指认的材料。审查人员真正关心的是能不能在半天内找到这份材料，而不是材料写得多漂亮。一份三页但索引清晰的证据目录，比一份八十页但没有页码的材料汇编更有用。清单的填法应当服务于这个场景：一行对应一份材料，写明存放位置与责任人。

建议把清单与项目里程碑绑定。立项与设计阶段完成第 1 至 4 项与第 15 至 17 项的前置判断，数据获取阶段完成第 7 至 13 项，成果生产阶段完成第 3 至 4 项与第 17 项，上线前完成第 5 至 6 项、第 14 至 16 项与第 18 至 22 项。把合规检查分散到过程中，比集中在验收前一次性自查成本低得多，因为越靠后发现问题，可调整的空间越小。

边界在于适用范围。清单针对的是“一张图”类项目的数据与平台建设，不覆盖基建、财务、招标等通用合规事项，也不替代主管部门的行政审查。清单依据的是公开可查的制度与标准，具体项目仍应以属地主管部门的现行要求为准；两者不一致时，以属地要求为准，并把差异记录在案，作为下一版清单的修订输入。

4.8.2 最常见的五类失分项

第一类是有制度无执行。制度文件齐全、盖章完整，但访问日志没有开启，审计功能写着预留。第二类是有执行无记录。确实做了审查，也确实拦下了不合格的成果，但没有留下任何可指认的材料，事后无法证明。第三类是记录与现状不符。材料描述的是设计状态，系统已经在实施中改过，例如权限模型从角色制改成了图层面授权，材料仍写角色制。第四类是责任主体虚化，所有材料盖同一个单位章，没有具体岗位与经办人，出问题时无法定位。第五类是边界不清，一个系统同时承担生产、发布、共享三种用途，定级、授权、审计都无从对应。

五类失分项的共同根源是合规工作与工程过程脱节。合规团队通常在项目末期进场，看到的是一套已定型的系统，能做的只是补充材料；而真正决定合规成败的权限模型、日志设计、数据分级，在需求阶段就已确定。可行的改进是把检查项写进需求文档与验收标准，让合规要求像性能指标一样被跟踪与验证，而不是在验收前才启动一次集中自查。需求阶段写进去的合规要求，实施成本接近于零；验收阶段补的合规要求，往往意味着返工。这也是把表 4-3 放在立项文件而非验收报告里的实际理由。

还有一个组织层面的前提：合规应当由具备否决权的人负责，而不是由负责交付进度的人兼任。这两项职责天然冲突，兼任的结果通常是合规让位于工期，问题被推迟到上线之后才暴露，而那时的修复成本远高于事先增加的投入。

本章小结

“一张图”是自然资源领域少数合规成本高于技术成本的系统。技术方案可以复制，一套成熟的平台架构在三五个省份之间移植并不困难；合规路径不能复制，同级同类项目在不同地区的审批要求、材料清单、审查口径可能完全不同。理解这一点，才能理解为什么许多项目在技术验收顺利之后，仍会卡在上线前的合规环节。三条合规主线必须分别通过，不能相互替代。测绘与地理信息安全审的是表达，数据安全审的是行为，政务共享审的是流向。三者在具体对象上重叠，在制度逻辑上独立。把三者合并成一次内部审查，看似节省时间，实际会在某个环节形成盲区，而盲区往往正好是主管部门最关注的部分。

还需要说清一个常被误用的前提。“一张图”成果的法定地位目前仍在明确过程中。部在“一张图”建设工作问答中提出，正在研究出台《“一张图”总体设计》，明确“一张图”成果用于日常审批、管理和决策的法定地位。这意味着在总体设计出台之前，图上比对结论通常作为审批的技术依据，而不是独立的行政决定。少数地方已通过制度安排赋予其程序效力，例如浙江在省级层面把规划“一张图”审查核对设为专项规划报批的前置环节，未通过原则上不得报批；但这是地方制度赋予的效力，不能推及全国。

与之相关的立法状态同样需要说清：国土空间规划法目前仅处于预备提请审议阶段，尚未出台，因此规划与“一张图”之间的效力关系仍由现有制度安排而非专门法律确定。项目在对外表述与合同约定中把比对结论写成已经具备法定效力，既不准确，也会在复议与诉讼中成为对方的攻击点。这一点对系统设计有直接约束：既然成果尚不直接构成审批依据，系统输出就必须保留人工确认环节与完整留痕。这不是程序冗余，而是设计约束，机器给出结论，人作出决定，两者都要留下可核查的记录。

合规要求在技术落点上高度收敛，最终都指向细粒度授权与全过程留痕。图层级的权限、可追溯的坐标转换、分级的密码保护、覆盖导出行为的审计日志，这些措施同时服务于三条主线。反过来说，任何以简化架构为理由取消这些设计的项目，都会在审查中以另一种方式付出代价，而且通常是重新改造已经上线的系统。

制度仍在变动。部在 2026 年 8 月发布会上披露的测绘资质类型优化、质量管理办法修订、信用管理办法修订、地图审核事权优化、保密处理技术认定、分类分级保护推进，都意味着未来两年内合规要求会继续加严而非放松。务实的策略不是等待规则稳定，而是把合规能力内建到架构与流程中：只要能证明每一个判断都有依据、每一次操作都有记录、每一份成果都有责任人，规则变化带来的增量成本就是可控的。

思考与练习

1. 某县把面向同级政府部门的地图服务与互联网门户共用同一套瓦片地址。按表4-1 所列三条主线的判据，分别写出测绘与地理信息安全、数据安全、政务共享三条主线各自要求的结论与材料；再指出三份结论中哪一处最可能不自洽，以及修改应当从哪条主线先动手。
2. 表4-2 给出六种服务形态。挑出“政务外网服务，多部门调用”与“数据接口返回坐标”两行，说明两者的判断要点有何差别；如果一个系统同时具备这两种形态，授权名单与访问日志应当怎样分别留存。
3. 有一种说法很流行：“数据已经脱密、系统又只在政务外网内运行，就不必再考虑送审与分类分级。”请用 4.3.1 与 4.4.2 的结论反驳它，并说明这套说法会使哪一类证据成为空白。
4. 某项目材料齐全、盖章完整，但审查时发现访问日志尚未开启，审计功能只写了预留。对照 4.8.2 的五类失分项，判断它属于哪一类，并指出表4-3 中与之对应的是哪几项。
5. 动手：参照 4.8.1 的里程碑绑定方式，为某市“一张图”项目写一页合规证据索引，一行对应一份材料，写明存放位置与责任人，覆盖立项与设计、数据获取、上线前三个时点各自应当完成的检查项。
6. 卫星导航定位基准站一张网服务数据按 2026 年 9 月 4 日公开口径为 7569 座，其中国家级 420 座、省级 3293 座、协同 3856 座。假定某企业提出“一次性买断全国观测数据”的运营方案，用 4.6.1 与 4.6.2 的边界逐条判断其越界之处，并写出你要求对方补充的三类条款。

接下来：红线回答的是“能不能上线”，第05章 标准与规范体系 回答的是“按哪把尺子做”，本章反复引用的 GB/T 24356—2023 与分类分级要求，只有在那一章的效力层级里才能被正确引用。