数据安全法 数据保护制度

做合规的人常有这种卡壳：上级问「数据安全法要求我们建哪些制度」，你知道有分类分级、有风险评估、有出境管理，但说不出完整清单，也说不清哪条归哪个部门干。这篇按制度模块梳理一遍，每个模块给判断标准和交付物，让你能对着自家现状打勾，而不是又读一遍法条。

做合规的人常遇到这种卡壳：上级问「数据安全法要求我们建哪些制度」，你脑子里有分类分级、有风险评估、有出境管理，但凑不出一张完整清单，也说不清哪条归哪个部门干。这篇不讲法条原文，只按制度模块拆一份能对着自家现状打勾的工作提纲。

核心思路是：数据安全法确立的不是一条规则，而是一组互相咬合的制度模块，每个模块对应不同的责任主体和交付物。你只要有清单、有负责人、有执行痕迹，体系就算立住了；缺一块，出事时就会找不到证据。下面逐块说判断标准和该做什么。

先看清制度体系的几个模块，别只盯着一个

常见误区是把「写一份管理办法」当成交差。制度体系至少包括：分类分级、风险评估、监测预警与应急处置、数据出境管理、数据交易管理、监督检查配合。这几块不是并列关系，分类分级是底座，其他模块的判断都挂在它上面。

• 判断缺口的办法：拿模块名做行，负责人和证据做列，空格就是缺口，先补空得最狠的那一行。
• 证据必须是能对外出示的：文件、审批记录、系统日志、演练纪要，个人电脑里的截图不算。
• 缺口优先级看业务：接触重要数据或个人信息的系统先补，纯内部工具可以往后排。
• 什么时候不适用：只做内部工具、不碰个人信息和重要数据的团队，可以先保留分类分级与应急两块，不必强上全套。

分类分级：所有后续动作都挂在这一步上

分类回答「这是什么数据」，分级回答「泄露了有多严重」，这两件事必须分开推进，混在一个会上讨论往往永远定不下来。分级一般按影响对象和影响程度判断，不是按字段类型或表名拍脑袋。

判断标准只有一条：分级结果要能反向解释。为什么这份数据是这一级，依据是哪份清单或哪条业务规则，说得清就合格，说不清审计时等于没做。想让口径统一，可以到 安全与合规术语对照（/ai-dict/category/safety） 核对常用名词，避免各部门各说各话。

1. 圈范围先列出核心业务系统的数据表，别一上来就全公司扫一遍，范围太大结论一定没法用。
2. 定类别按业务属性和来源给每张表归一个类别，类别数量控制在个位数，多了没人记得住。
3. 定级别按泄露或滥用后的影响对象、影响程度判级别，把依据写在旁边，评审时逐条过。
4. 落到控制级别决定访问权限、留存期限、能否出内网，把这三件事写成可执行规则挂到系统里。

风险评估、监测预警、应急处置：三件事的节奏不一样

风险评估

周期性动作，衡量现状离要求还差多少，交付的是报告加整改项。

监测预警

持续性动作，盯现在有没有异常，交付的是规则加告警记录。

应急处置

触发式动作，考的是出事那两小时谁做什么，交付的是分工表加演练痕迹。

三者节奏不同，最忌讳合成一个季度会解决。判断是否真的在运行，看输出物：评估有没有报告和整改闭环，监测有没有规则和处置记录，应急有没有分工和演练纪要。只有制度文本、没有任何记录的，视为未运行。

• 评估按固定周期排进年度计划，整改项要有人跟到底，不能只写「已关注」。
• 监测先把关键接口调用和批量导出行为接进告警，再逐步扩面。
• 应急先写一页纸分工：谁判断级别、谁对外沟通、谁负责留证，贴到群里比存在文件柜有用。
• 排查顺序：先理清数据流经过哪些系统和第三方，再决定监控点放哪，顺序反了会漏掉最该看的环节。
• 外部依赖的可靠性可以拿 中转站真假在线实测（/tools/verify） 的思路验证一遍，至少确认对方说的是不是真的。

什么时候不适用：业务简单、数据不跨系统的团队，可以把评估周期拉长，但应急分工不能省，那是出事时唯一能救场的东西。

出境管理与留证：合规最容易被问到的两块

数据出境看四件事：数据类型、数量、接收方、出境目的。判断顺序是先看是否触发评估门槛，再谈走哪条路径，不要一上来就填表。路径选错，材料重做一轮，时间全耗在返工上。

1. 确认触发对照数据类型和数量，判断是否触发评估要求，把判断过程留成记录，哪怕结论是不触发。
2. 选路径根据接收方性质和出境目的选择适用路径，路径差异直接决定材料清单。
3. 备材料把每次出境的判断依据、审批记录、接收方信息归档，形成可复用的材料包。
4. 定期复核接收方或业务场景变化时重新判断，旧结论不能自动沿用。

留证的价值全在事后。制度文件、审批记录、访问日志、脱敏前后对照说明，都要能在被问到时十分钟内调出来。散在个人电脑里的截图、没有时间戳的聊天记录，都不算有效留证。日志留存期限和脱敏规则要写进技术规范，停在管理办法里落不了地。

什么时候不适用：数据完全不出境、也不与境外主体共享的团队，这块可以只保留一份判断记录，用于证明「我们确认过不触发」。至于出境相关的具体门槛数值和材料版本，法规和口径会变，到 指南中心（/guides） 看当时的整理，别拿旧结论直接套。