数据分类、备份、加密：一条被90%企业忽视的法律红线

原创

等保测评咨询
等保测评咨询

上海等保测评

2026年7月2日 20:21
上海

在小说阅读器读本章

去阅读

三个字，九亿数据的血泪教训

2026年最高检通报的一起侵犯公民个人信息案，让人后背发凉——9亿组个人信息被非法获取。

黑客从外部入侵，内部员工从数据库\"监守自盗\"。内外勾结，数据像开了闸的水一样流向了黑产。

这家企业有防火墙，有入侵检测，有杀毒软件。该有的安全产品，一个不少。但为什么还是出了事？

原因很简单：它的数据躺在同一个大池子里，没有分类，没有分级。所有数据用同一把锁，锁一旦被撬开，什么都不剩。

这恰好触犯了《网络安全法》第二十三条第（四）项——

\"采取数据分类、重要数据备份和加密等措施。\"

九个字。很多企业扫一眼就过去了。但这九个字背后，是一条完整的数据安全治理逻辑链。不理解它，就是把自己的数据安全交给运气。

一条法律，三项义务，一个递进逻辑

第二十三条第（四）项包含三个动作：数据分类、重要数据备份、加密等措施。

绝大多数人把它们当成三个独立的技术动作。错了。

法律原文说得很清楚——这仨不是并列关系，是递进关系：

数据分类 → 决定哪些是重要数据 → 决定哪些必须备份与加密

没有数据分类，备份和加密就缺乏对象依据。 备份和加密是分类结果的执行措施。

这个逻辑，执法部门越来越强调，司法解释越来越明确。但我在日常工作中发现，很多深耕行业多年的\"老手\"，甚至某头部企业的售前总监，张口就来\"重要数据加密没有依据\"——他们连法律原文都没认真读过。

第一关：数据分类——最基础，也最容易被\"糊弄\"

法律所说的\"数据分类\"，不是给数据贴个\"机密\"\"内部公开\"的敏感标签就完事了。

它的本质是：对数据安全属性和风险等级的识别。

你需要至少区分三类数据：

• 一般数据
• 重要数据
• 核心数据

（《数据安全法》进一步明确）

注意，\"重要数据\"的定义比很多人想象的要窄得多——重要数据 ≠ 个人信息 ≠ 业务关键数据。它的核心指向是：对国家安全、经济运行、社会稳定、公共利益产生影响的数据。

2026年6月，国家网信办等六部门联合发布了《金融信息服务数据分类分级指南》，将一般数据进一步细分为\"敏感一般数据\"和\"常规一般数据\"，形成了四级的精细化分级体系。期货实时价格、成交量等虽未达到\"重要数据\"门槛，但一旦泄露可能引发局部风险的数据，被明确归入\"敏感一般数据\"。

这是监管在释放信号：分类分级，要做细，不能糊弄。

但现实是什么？

绝大多数安全厂商的工具在做分类分级时，只分敏感级，不分法律属性。 贴上\"高敏\"\"中敏\"\"低敏\"标签，就告诉客户\"合规了\"。这不是合规，这是掩耳盗铃。

分类不是搞一套漂亮的标签系统，而是要回答一个核心问题：这批数据如果丢了，会怎样？

第二关：重要数据备份——不是\"备了就行\"，是\"能恢复才算\"

很多人看到\"重要数据备份\"，第一反应是：不就是定期拷一份嘛。

但法律不这么看。

这里的\"备份\"，不是普通IT运维概念，它的法律目标是清晰的——防丢失、防不可恢复、保障持续可用性。

换句话说：你的备份如果恢复不了，等于没有备份。

2025年9月，国家网信办公布了一批执法典型案例。山东某医学检验公司系统数据被搜索引擎爬虫爬取泄露，原因是系统开启了目录浏览功能、未正确配置防火墙、未留存网络日志。没有备份能力，没有恢复能力，数据裸奔。

还有重庆某科技公司，3306端口开放MySQL数据库服务，未设置用户密码——连最简单的备份策略都没有，数据被先后窃取159次。

这些案例的共同特征是什么？企业以为\"不出事就是安全\"，但监管的逻辑是\"出了事你能不能扛得住\"。

合规要求至少做到：

• 明确哪些数据是重要数据（通过分类分级实现）
• 制定定期备份策略
• 建立异地备份或容灾机制
• 定期进行恢复演练，并有记录

最后一条，是绝大多数企业缺失的。买了备份设备，做了定时备份，但从来没有演练过恢复。等数据真的丢了，才发现备份文件也坏了。这不是段子，是每天都在发生的事。

第三关：加密等措施——法律用的是\"等措施\"

《网络安全法》的措辞非常讲究：\"加密等措施。\"

这意味着什么？加密是典型手段，但不是唯一合规路径。

法律允许你采用等效安全措施。但前提是——你得证明它\"等效\"。

在实践中，合规的\"等措施\"至少包括：

• 数据存储加密

（静态数据）
* 数据传输加密

（动态数据）
* 关键字段或关键数据加密
* 访问控制与权限隔离
* 强身份鉴别
* 审计与追溯
* 数据脱敏、匿名化
* 可信执行环境

2025年广东某保险代理公司的案件就很典型：系统存在越权遍历访问漏洞，攻击者通过遍历URL ID批量获取数据，企业购买的云防火墙服务已经过期，没有留存网络日志。这不是技术被攻破了，是基本的安全防护措施一个都没做到位。

再看2026年某知名品牌近20万用户数据泄露事件：攻击者入侵了前技术服务商，窃取其身份认证令牌，以\"合法身份\"穿透了云数据平台。传统边界防护在\"有人拿着合法钥匙开门\"时，毫无还手之力。 这就是缺少访问控制、权限隔离的后果。

从条文到落地：合规闭环怎么做？

一个符合第二十三条第（四）项精神的合规闭环，至少包含三个层面：

制度层：

• 数据分类分级管理制度
• 重要数据识别标准与重要数据目录

技术层：

• 重要数据备份与恢复机制
• 加密或等效防护技术

管理层：

• 定期检查、审计与演练
• 与等级保护（等保）、数据安全法衔接

很多人问：这么多事，从哪下手？

我的建议是：从数据分类开始。 不要一上来就买加密设备，不要一上来就搭建备份系统。先搞清楚你的数据，哪些是\"丢了会出大事\"的，哪些是\"丢了有点麻烦\"的，哪些是\"丢了无所谓\"的。

分类清楚之后，重要数据备份和加密就是顺理成章的事。

2026年的监管新常态：合规不是选择题

你可能觉得，这些要求离中小企业很远。

但你看看2026年的监管趋势：

• 国家数据局发布新规，明确数据合规7条红线，最高罚款5000万
• 2025年修订后的《网络安全法》大幅提高处罚上限：最高可罚1000万元，直接负责人最高可罚100万元
• 多地网信部门密集执法，仅2025年9月国家网信办就通报了10起执法典型案例
• 金融、医疗、政务等重点行业的数据分类分级标准密集出台，监管正在将\"合规要求\"细化为\"操作标准\"

2026年，数据分类分级已经从\"合规必答题\"变成了企业生存的必修课。

没有分类，你不知道哪些数据需要保护。 没有备份，数据丢了你就再也找不回来。 没有加密，数据在传输和存储中就等于裸奔。

这三件事，不是三个技术动作，而是一条完整的数据安全治理逻辑链——从风险识别到差异化防护。 安全厂商可以只管卖产品，但责任单位不能止步于产品堆砌。

写在最后

《网络安全法》第二十三条第（四）项，九个字，三个动作，一个逻辑。

分类是前提，备份是底线，加密是保障。

这三件事，每一件都有大量企业做得不到位。但2026年的监管环境已经变了——不再是\"先警告、轻处罚\"的温柔执法，而是\"违法必查、查则重罚\"的强监管时代。

与其等出了事再去花大价钱补救、被罚款、被通报，不如现在就问自己三个问题：

我的数据分类清楚了吗？ 我的重要数据能恢复吗？ 我的加密措施够用吗？

如果这三个问题你回答不上来，那你可能已经站在了数据安全的悬崖边上。

合规不是成本，是保险。买保险不一定会出事，但出了事没有保险，就是灭顶之灾。