数据安全合规自查：账号权限、加密与泄露应对

数据安全合规不是等监管部门上门才做的事，日常自查才是常态。对企业来说，自查的重点就三个：账号权限有没有失控、数据有没有加密、出了问题能不能应对。三条线逐个过一遍，大部分隐患能提前排掉。

账号权限：从入职到离职全程管控

权限失控是数据泄露最常见的原因。员工入职开通账号时，给到岗位必需的权限就够了，别图省事开成管理员；员工调岗或离职后，账号权限要及时调整或注销，很多企业的泄露事件发生在离职员工账号仍然有效的情况下。

自查时重点看几项：管理员账号有几个、密码强度够不够、有没有开双因素验证、离职员工的账号有没有清理、共享账号有没有人管。权限清单建议每季度过一遍，和人事部门的入职离职记录对一下，权限和实际岗位对不上就立刻改。

加密与备份：数据得锁起来，还得留得住

敏感数据在传输和存储环节要加密。客户信息、财务数据、员工个人信息，传输走加密通道，存储建议加密，尤其笔记本和移动设备上的数据，丢失即泄露。备份是另一个容易被忽视的环节，勒索病毒、误删、硬盘故障，没有备份就只能认栽，备份要异地或异介质，并定期做恢复演练，确认备份真的能恢复。

员工设备管理上，个人电脑和办公设备混用、U 盘随意拷贝，都是泄露通道。制度上明确敏感数据不落地个人设备，技术上能管控的尽量管控，至少做到敏感数据有标记、访问有记录。

泄露应对：预案比事后补救便宜

数据泄露发生后，怎么应对比怎么解释更重要。处理个人信息的企业，按《个人信息保护法》等规定，发生泄露等安全事件时应当及时采取补救措施并按规定通知，具体义务和时限要求以法律原文和监管口径为准。企业要提前准备的不是说辞，是预案：事件由谁牵头、先封堵哪个环节、通知哪些相关方、记录保留哪些证据。

自查还有个容易被忽略的维度：供应商。客户数据交给代账、SaaS、客服外包时，合同里有没有数据安全条款，对方的数据处理能力是否可信，合作前先评估，别把数据安全风险转嫁给供应商再自己兜底。

数据安全合规自查的核心是权限收紧、数据加密、备份到位、预案在手。四件事做扎实，安全事件发生时的损失和麻烦都会小很多。