随着数字化转型的深入，企业数据已经成为了核心资产。客户信息、员工资料、财务数据、技术图纸……这些数据一旦泄露，不仅可能造成经济损失，还可能面临监管处罚、声誉损害、甚至刑事责任。《网络安全法》《数据安全法》《个人信息保护法》三部法律的实施，标志着我国进入了数据安全强监管时代。本文将系统介绍企业网络与数据安全的基本要求，帮助企业建立合规的安全管理体系。
《网络安全法》（2017年6月1日施行）
适用范围：在中国境内建设、运营、维护和使用网络
核心要求：网络安全等级保护、关键信息基础设施保护、个人信息保护
《数据安全法》（2021年9月1日施行）
适用范围：数据处理活动（收集、存储、使用、加工、传输、提供、公开）
核心要求：数据分类分级、数据安全保护义务、重要数据出境安全评估
《个人信息保护法》（2021年11月1日施行）
适用范围：个人信息处理活动
核心要求：告知-同意原则、最小必要原则、个人信息保护影响评估、个人信息出境安全评估
义务一：制定内部安全管理制度
建立数据安全管理责任制，明确数据安全负责人
制定数据安全操作规程（数据分类分级、访问控制、备份恢复）
制定个人信息处理规则（隐私政策）
义务二：采取技术安全措施
防火墙、入侵检测、防病毒等基础安全防护
数据加密存储和传输
访问控制和身份认证
数据备份和恢复
义务三：开展安全教育培训
对员工进行数据安全培训
提高员工的安全意识（识别钓鱼邮件、设置强密码等）
义务四：制定应急预案
制定数据安全事件应急预案
定期组织应急演练
义务五：及时报告安全事件
发生数据泄露等安全事件，应当及时向主管部门报告
通知受影响的用户
要求一：告知-同意
收集个人信息前，应当向用户告知：
收集的目的、方式、范围
信息的存储期限、存储地点
用户的权利（查阅、更正、删除、撤回同意）
信息共享的对象和目的
用户应当明确同意（不能默认勾选）。
要求二：最小必要
只收集与业务功能直接相关的个人信息，不得超范围收集。
违规示例：
点餐App收集用户的通讯录
手电筒App收集用户的位置信息
要求三：不得非法买卖、提供
未经用户同意，不得向第三方提供个人信息。不得买卖个人信息。
要求四：安全保障
采取技术措施保护个人信息安全，防止泄露、篡改、丢失。
要求五：用户权利保障
用户有权查阅、更正、删除其个人信息，有权撤回同意。
网络安全等级保护（等保）是《网络安全法》规定的基本制度。根据系统的重要程度，分为五个等级（一级最低，五级最高）。大多数企业的信息系统属于二级或三级。
等保二级：
适用范围：不涉及国家安全、公共利益，但一旦受损会对企业或用户造成一定损害
要求：每年进行一次安全测评
等保三级：
适用范围：涉及国家安全、公共利益，一旦受损会对社会秩序和公共利益造成严重损害
要求：每年进行一次安全测评
等保的流程：
定级：确定系统的安全保护等级
备案：向公安机关备案
建设整改：按照等级保护要求进行安全建设
测评：委托有资质的测评机构进行安全测评
监督检查：公安机关定期检查
根据《数据安全法》，企业应当对数据进行分类分级，采取不同的保护措施。
分类：按数据内容分类，如个人信息、商业秘密、财务数据、技术数据等。
分级：按数据的重要程度和一旦泄露造成的危害程度分级，如：
核心数据：一旦泄露，严重危害国家安全、公共利益
重要数据：一旦泄露，可能危害国家安全、公共利益
一般数据：一旦泄露，可能对企业或个人造成一定损害
公开数据：可以公开
不同级别的保护措施：
核心数据：最高等级保护，严格的访问控制、加密存储、操作审计
重要数据：较高等级保护
一般数据：常规保护
如果企业需要向境外提供数据（如跨国公司的数据共享、使用境外云服务），需要满足以下要求：
个人信息出境：
通过国家网信部门组织的安全评估（处理100万人以上个人信息）
或通过专业机构的个人信息保护认证
或与境外接收方签订标准合同
重要数据出境：
必须通过国家网信部门组织的安全评估
禁止出境：核心数据不得出境。
是否制定了数据安全管理制度？
是否指定了数据安全负责人？
是否进行了数据分类分级？
是否采取了技术安全措施（防火墙、加密、备份）？
是否对员工进行了安全培训？
收集个人信息是否获得用户同意？
是否超范围收集个人信息？
是否向第三方提供个人信息？（是否获得用户同意？）
是否制定了数据安全应急预案？
是否完成了网络安全等级保护定级备案？
行政处罚：
违反《网络安全法》：最高100万元罚款
违反《数据安全法》：最高1000万元罚款
违反《个人信息保护法》：最高5000万元或上一年度营业额5%的罚款
民事责任：
因数据泄露给用户造成损失的，应当承担赔偿责任
刑事责任：
侵犯公民个人信息罪：最高7年有期徒刑
拒不履行信息网络安全管理义务罪：最高3年有期徒刑
网络与数据安全是企业数字时代的生存底线。建议企业将数据安全纳入公司治理，指定专人负责，建立管理制度，采取技术措施，定期开展自查。对于规模较小、缺乏专业能力的企业，可以聘请第三方安全服务商提供安全托管服务。记住：数据安全不是“成本”，而是“投资”——保护数据，就是保护企业的未来。
阅读42,421
分享