2024年以来，工信部与各地网信办陆续出台针对软件开发与数据处理的新规，对定制开发项目的合规边界提出了更明确的要求。广州和涵信息科技有限公司在服务客户过程中发现，不少企业仍沿用旧版合同模板，忽视了等保2.0与《数据安全法》对信息系统交付的约束。

核心政策变化与参数要求

新规重点调整了三方面：一是软件开发过程中涉及个人信息处理的，需在需求阶段完成数据分类分级；二是信息系统上线前必须通过等保测评，二级系统至少每年一次；三是技术运维环节的日志留存从6个月延长至12个月，且需支持审计追溯。

合规落地步骤

• 签订开发合同前，明确数据权属与跨境传输条款
• 编码阶段嵌入隐私保护设计，如字段级加密与脱敏
• 交付数字化解决方案时同步提供等保测评报告
• 网站开发项目需额外备案并公示隐私政策

常见问题与注意事项

客户常问：开源组件是否免责？答案是否定的——若引入存在漏洞的第三方库，开发方仍需承担连带责任。建议在技术运维合同中约定漏洞响应时限，通常高危漏洞不超过24小时。

另一个高频问题是网站开发中的Cookie合规。根据最新指引，非必要Cookie必须提供拒绝选项，且不得默认勾选。广州和涵信息科技有限公司建议在项目验收清单中加入此项检查。

对于涉及跨境业务的信息系统，还需完成数据出境安全评估。实操中，软件开发团队应保留数据流转图谱，作为合规举证材料。

政策收紧并非阻碍，而是推动行业走向规范化。提前将合规要求嵌入数字化解决方案的设计与交付流程，反而能降低后期整改成本。建议每季度复核一次相关法规更新，保持技术运维与网站开发的持续合规。