数据安全法解读培训

20XX/XX/XX数据安全法解读培训汇报人:XXXCONTENTS目录01

培训开场与目标02

数据安全法立法背景03

数据安全法核心条款解读04

企业数据安全合规要求05

数据安全风险典型案例06

新员工实操防护指引培训开场与目标01数据安全法立法背景02核心数据泄露事件频发近年我国先后发生多起大型平台用户信息泄露事件，数百万用户个人信息被非法兜售。数据违规收集问题突出不少APP存在过度索权、超范围收集用户信息行为，侵害用户个人信息权益。关键信息领域防护薄弱我国部分关键信息基础设施存在技术漏洞，易遭境外黑客窃取重要行业数据。国内数据安全现状立法出台的意义

保障数字经济发展为各领域数据处理活动提供明确法律框架，助力我国数字产业规范健康可持续发展。

维护国家数据安全填补数据领域专门立法空白，构建数据安全防护体系，有效防范数据领域安全风险。

保护民众数据权益明确数据处理主体的责任义务，规范数据收集使用行为，保障公民个人信息安全。数据安全法核心条款解读03数据分类分级保护制度分类分级的核心要求数据安全法第二十一条明确要求，国家建立数据分类分级保护制度，根据数据重要程度划分等级保护。重要数据的重点保护规则数据安全法要求各地区部门识别本领域本区域重要数据，列入重要数据目录并实施重点防护管理。核心数据的更严格保护规定核心数据关系国家安全和重大利益，需比对重要数据实行更严格保护制度，比如北斗核心数据防护。核心数据识别认定明确核心数据需结合重要程度、影响范围等判定，我国各行业都出台了对应的核心数据目录规范。核心数据风险监测要求核心数据处理者开展常态化风险监测，比如阿里金融会定期对核心用户数据进行风险排查。核心数据出境管控核心数据确需出境的，应当通过国家网信部门的安全审查，严禁未经审批私自向外传输。核心数据监管要求数据处理活动规范

全流程数据安全管理要求开展数据处理活动需全过程管控安全，像百度收集用户信息需全程落实分级保护措施。

重要数据核心处理规范重要数据处理者需按规定开展风险评估，像金融机构处理客户敏感信息需定期提交报告。

第三方合作数据安全要求委托第三方处理数据需明确安全责任，如滴滴与第三方合作时需签订数据安全保密协议。数据安全审查制度数据安全审查适用情形掌握超百万用户信息的平台赴国外上市，必须依法经过数据安全审查。数据安全审查启动主体国家互联网信息办公室牵头，会同多部门组成审查委员会推进审查工作。数据安全审查处理结果经审查存在数据安全风险的，将要求相关主体采取整改措施消除风险。数据处理者的违法责任数据处理者违规开展数据活动，最高可处五千万元罚款，相关责任人也会被处以罚款。监管人员的违法责任履行数据安全监管职责人员滥用职权，构成犯罪的将依法被追究刑事责任。境外主体的违法责任境外机构侵害我国数据主权的，会被采取限制或者禁止入境等制裁应对措施。法律责任相关规定企业数据安全合规要求04数据全流程合规管理

数据收集环节合规企业收集用户数据需获得用户明确同意，公开收集规则，不得窃取、非法购买用户数据。数据存储环节合规企业需采取加密、访问管控等技术措施保障存储数据安全，关键数据需境内存储。数据使用环节合规企业需在合规约定的范围内使用数据，不得超范围滥用数据，不得非法向第三方提供。数据出境环节合规企业向境外提供数据需通过安全评估，符合监管要求，不得违规私自出境重要数据。内部数据安全制度建设

数据分级分类管理制度企业需依据数据重要性和敏感程度划分等级，如将用户隐私信息划为核心敏感数据，匹配对应保护措施。

内部人员数据权限管理制度企业需明确不同岗位人员的数据访问权限，例如普通员工仅能访问工作必需的非敏感业务数据。

数据安全应急处置制度企业需制定数据泄露等安全事件应急方案，定期开展演练，及时止损并上报监管部门。

内部数据安全审计制度企业需定期对内部数据操作行为开展合规审计，排查违规访问风险，保障制度落地执行。员工数据安全权责划分

岗位数据访问权限企业根据员工岗位职能划定数据访问范围，禁止越权获取敏感商业数据，如财务人员不得访问核心技术研发数据。

日常操作安全责任员工需严格执行数据操作规范，严禁违规转发、泄露工作数据，比如不得将客户信息私发至个人社交账号。

安全问题上报义务员工发现数据泄露或异常访问风险时，需第一时间上报企业安全管理部门，避免安全危害进一步扩大。合规自查的主要内容

数据分类分级管理自查检查企业是否按要求对数据进行分类分级，落实不同级别数据的差异化保护措施。

数据处理活动合法性自查核查收集、存储、传输、公开等各数据处理环节是否符合数据安全法的规范要求。

用户个人信息保护自查检查个人信息处理的告知、同意机制是否健全，是否落实用户个人信息权益保障。

数据安全应急处置自查检查企业是否制定数据安全事件应急预案，是否定期开展应急演练提升处置能力。数据安全风险典型案例05企业数据违规出境案例

医疗卫生机构违规出境病例数据2023年某第三方基因检测机构违规将超5万份中国人基因数据出境至境外企业，被依法处罚。

互联网企业违规出境用户信息2022年某出行平台违规向境外母公司提供超百万条中国用户信息，被监管部门约谈罚款。

制造业企业违规出境核心技术数据2021年某车企违规将国内道路测绘核心数据出境至境外合作方，被处以高额罚款并责令整改。内部员工违规泄数据案例

内部员工违规售卖信息某金融公司信贷经理利用职务便利，售卖十万余条客户信息，最终获刑三年并处罚金。

员工违规导出企业核心数据某互联网公司离职员工私自导出公司千万条用户数据，被警方依法刑事拘留处罚。

内部员工越权访问泄露数据某医院收费员越权访问下载四十余万条患者信息，出售后被判处有期徒刑四年。新员工实操防护指引06日常工作数据操作规范

涉密文件存储规范内部涉密工作文件需存储在公司指定加密服务器，禁止存入个人U盘或私人云盘。

外部数据传输规范向公司外部传输合作数据，需通过审批后的指定通道，禁止用私人社交软件传输。

离职数据交接规范员工办理离职时，需按流程交接全部工作数据，注销个人账号，禁止拷贝带走。关键词匹配识别根据预设敏感关键词库筛选内容，可快速识别出客户手机号、员工薪酬等明确敏感信息。数据分类分级识别按数据重要性和影响程度划分，比如企业核心技术方案会被划分为最高等级敏感数据。场景规则匹配识别结合业务场景设定识别规则，比如财务场景下自动识别出银行卡号、交易密码等敏感数据。敏感数据识别方法异常情况上报流程

发现异常初步核验新员工发现数据异常后，先初步核验异常情况，确认是否为误判，同时留存异常现场截图。

按层级提交上报申请核验确认异常后，先上报部门数据安全负责人，再由负责人统一对接公司安全管理部门。

配合跟进异常处理上报完成后，整理异常发生全过程，配合安全部门溯源排查，跟进后续处理结果反馈。常见风险场景规避公共WiFi办公

日常工作避免连接陌生公共WiFi传输敏感数据，防