数据安全合规怎么做，企业数据分级分类先落地

《数据安全法》确立了数据分类分级保护制度，对企业来说这不是抽象要求，而是落到日常管理的具体动作。政府项目招标、大客户准入、资质申报，数据合规正在变成硬性门槛。中小企业不需要一步到位建大体系，先把四件事做扎实。

第一件：数据盘点，摸清家底

先回答三个问题：企业手里有哪些数据（客户资料、员工信息、财务数据、业务数据、代码、图纸）；存在哪里（本地电脑、服务器、SaaS 平台、员工手机）；谁在访问。很多企业做完盘点才发现，客户名单散在十几个销售的个人电脑里，这类数据实际上处于失控状态。盘点结果要形成清单，这是后续所有动作的基础。

第二件：分级分类，确定保护强度

按《数据安全法》要求，数据分为一般数据、重要数据、核心数据，具体目录以行业主管部门的规定为准。企业实际执行可以简化：涉及个人信息（姓名、电话、身份证号、住址）和商业秘密（报价、客户名单、技术资料）的，按高等级管理；公开宣传资料按一般等级管理。等级决定权限：能访问核心数据的人越少越好，操作要留痕。

第三件：权限和流程，堵住泄露口

离职员工的账号要当天收回，这是最高频的泄露通道。员工电脑统一管理，核心数据禁止用个人网盘和个人微信传输。合同里要加保密条款和数据使用范围约定。涉及个人信息处理的业务，按《个人信息保护法》履行告知同意、最小必要原则——只收集业务必需的信息，收集前明确告知用途。

第四件：备份和应急，兜住底线

数据备份按 3-2-1 原则：三份副本、两种介质、一份离线或异地。定期做恢复演练，备份了但恢复不了等于没备份。还要有一份数据泄露应急预案：发现泄露后谁负责、怎么通知、是否需要向监管部门报告（按《数据安全法》《个人信息保护法》规定，发生数据安全事件应及时处理并按规定报告，具体报告口径以主管部门要求为准）。

勒索病毒、误删、员工离职带走数据，这三类事件处理速度决定损失大小。

数据合规不是一次性的项目。数据在增长，人员在流动，业务在变化，分类分级结果要每年复核更新。把数据合规做成管理制度而不是一次应付，才能经得起检查和审计。