制度-专项工作实施细则（面向总经理）

专项工作实施细则（面向总经理）版本：V1.0|编制日期：2026年11月8日编制视角：企业合规管理与数字化办公室文档类型：制度文件摘要本细则围绕企业数据安全专项治理工作编制，旨在将《数据安全法》《个人信息保护法》《网络数据安全管理条例》等法律法规确立的合规要求，转化为企业内部可执行、可检查、可考核的专项工作制度。文件明确了专项治理的总体目标与量化指标、三层组织职责与岗位分工、覆盖数据全生命周期的核心制度条款、监督检查与绩效考核机制以及附则安排，为总经理及经营层决策提供执行口径，也为各部门落实工作提供操作依据。数据安全专项治理分类分级合规管理责任矩阵考核一、总则1.1目的与定位本细则是企业数据安全专项治理工作（以下简称"本专项"）的操作性制度文件。其定位有三：一是将外部法规义务映射为内部管理制度，解决"法条如何落地"的问题；二是明确专项治理期内各层级、各部门的职责边界与交付物，解决"谁干什么、交付什么"的问题；三是建立检查、考核与问责机制，解决"做不好怎么办"的问题。本细则适用于企业总部及下属各业务部门、技术部门、分支机构开展的与数据收集、存储、使用、加工、传输、提供、公开相关的全部活动。监管警示案例2024年湖南某信息技术有限公司因系统未采取必要技术措施保障数据安全、存在未授权访问漏洞造成数据多次泄露，被湖南省互联网信息办公室依据《中华人民共和国数据安全法》和《湖南省网络安全和信息化条例》责令改正、给予警告，并对公司、主管人员和直接责任人员分别处以二十万元、三万元和二万元罚款。（央广网报道，2024年11月）需要向总经理特别说明的一点是：专项治理不等于一次性整改。监管实践中的处罚案例反复表明，问题多源于"制度挂在墙上、流程停在口头"。本专项的核心定位因此是"建立可持续运转的机制"，而非"通过一次检查"。1.2编制依据序号文件名称效力层级施行/发布时间与本专项的关系1《中华人民共和国数据安全法》法律2021年9月1日确立分类分级、风险评估、应急处置等基础制度，本细则第2、3章的主要依据2《中华人民共和国个人信息保护法》法律2021年11月1日确立处理者义务、合规审计、影响评估等要求，对应第3章个人信息条款3《中华人民共和国网络安全法》法律2017年6月1日等级保护制度与网络运营者安全保护义务的基础依据4《网络数据安全管理条例》（国务院令第790号）行政法规2025年1月1日9章64条，细化安全事件报告、重要数据申报、跨境管理义务，2025年后合规第一依据5《促进和规范数据跨境流动规定》等配套规章部门规章2024年3月数据出境路径选择的直接依据6DCMM（GB/T36073）数据管理能力成熟度模型国家标准2018年发布第4章成熟度对标与自评的工具框架依据采用说明《数据安全法》《个人信息保护法》《网络数据安全管理条例》构成"三法一条例"框架。其中《网络数据安全管理条例》自2025年1月1日起施行后，其关于安全事件通知、重要数据年度风险评估报告、跨境数据"四选一路径"的规定，直接决定了本细则第3.5、3.6节的条款设计。（中国网信网公布说明，2024年9月30日）1.3适用范围与适用对象本专项覆盖三类对象：其一，数据处理系统，包括生产业务系统、管理信息系统、数据仓库与数据平台、办公与协作系统；其二，数据处理活动，覆盖采集、存储、使用、加工、传输、共享、委托处理、对外提供、删除销毁全生命周期；其三，人员，覆盖全体员工，其中管理决策层（总经理、分管副总）、数据安全负责人、系统管理员与关键岗位人员为重点适用对象。分支机构、外包服务方处理企业数据的，参照本细则执行，并在合同中明确安全义务条款。1.4总体目标与量化指标本专项以"合规底线守住、风险水位可控、治理能力可度量"为总体目标，设定以下量化指标，作为第4章考核的直接口径：指标编号指标名称基准值中期目标（第6个月）终期目标（第12个月）统计口径Z-01数据分类分级覆盖率以本次摸底盘点为基准核心业务系统数据100%完成定级全量数据资产100%完成定级已定级数据表数／数据表总数Z-02重要数据识别申报完成率摸底后确定100%识别100%完成申报（如适用）已申报项／应申报项Z-03高危漏洞平均修复时长摸底后确定≤7天≤3天漏洞工单从发现到验证关闭的时长均值Z-04安全事件按规报告及时率—100%100%按规定时限完成上报的事件数／事件总数Z-05全员数据安全培训覆盖率—≥90%100%（年度）完成培训并考核合格人数／应训人数Z-06关键岗位权限年度复核率—100%100%（每年两次）已复核账号数／关键岗位账号总数Z-07合规自评成熟度摸底自评（对照DCMM）达到"受管理级"达到"稳健级"按GB/T36073自评得分1.5基本原则本专项遵循五项原则：分类分级、突出重点：依据《数据安全法》第二十一条的分类分级保护思路，将有限资源集中于重要数据与敏感个人信息。全流程覆盖：制度条款按数据生命周期逐环节设置义务，不留"制度真空段"。责任到人：每项制度条款均对应责任岗位，可追溯、可问责。安全与发展并重：不采取"一律禁止使用数据"的简单化做法，而是通过流程控制实现"可控使用"。持续改进：以年度风险评估与考核结果驱动制度修订。二、职责分工与管理机构2.1组织架构设计本专项设立"决策层—管理层—执行层"三层组织架构，形成"统一决策、归口管理、分工执行"的治理结构。设计逻辑参考了头部企业数据治理的通行做法：以中国太保为例，其以DCMM五级认证标准为纲领，构建从集团总部到基层机构的多层级、垂直化数据管理组织架构，形成"集团统筹、板块协同、基层落实"的治理机制。（同花顺财经报道，2026年7月）行业对标参考海油工程通过"数据治理委员会＋四级组织架构"建设，于2025年12月通过DCMM四级认证，建成国内首个海洋油气装备"智能工厂"，形成覆盖全生命周期的数据管控机制。（中国工业新闻网，2026年7月）2.2各层级职责清单决策层——数据安全与专项治理领导小组：由总经理担任组长，分管副总经理任副组长，成员包括信息技术、合规法务、人力资源、财务、业务部门负责人。职责为审议专项方案与年度计划、审定数据分类分级目录、批准重要数据处理与对外提供事项、听取季度汇报并决策重大事项。管理层——归口管理部门：指定合规与数字化办公室（无独立部门时由法律合规部兼任）作为归口管理部门，职责为组织制定与修订本细则及配套规程、组织数据资产盘点与分类分级、协调跨部门事项、组织风险评估与合规审计、管理对外报告与监管对接。执行层——责任岗位：包括数据安全负责人（由管理层成员担任，符合《网络数据安全管理条例》第三十条对重要数据处理者安全负责人"由管理层成员担任、可直接向主管部门报告"的要求）、各业务系统数据管理员、各机房与云平台运维工程师、各部门数据联络人。层级机构／岗位核心职责关键交付物频次决策层专项治理领导小组

（组长：总经理）审议决策、审定目录、批准重大事项领导小组会议纪要、重要数据目录（审定版）每季度例会，重大事项随报管理层归口管理部门制度起草、盘点组织、风险与合规管理、对外报告分类分级目录、年度风险评估报告、合规审计计划年度计划＋季度执行管理层数据安全负责人统筹安全运营、直接对外报告通道安全运营月报、事件处置报告月度执行层系统数据管理员本系统数据定级、权限管理、操作留痕系统数据台账、权限复核记录每月巡检、每半年复核执行层各部门数据联络人本部门数据资产申报、事件初报、培训组织部门数据资产清单、培训记录每季度更新2.3关键岗位任职与退出要求数据安全负责人与关键岗位人员实行三项要求：一是任职审查，上岗前完成背景与合规审查；二是在岗承诺，签署数据安全岗位责任书与保密承诺；三是退出管理，离职或调岗当日回收全部数据访问权限，权限回收须有运维工单留痕。监管案例警示某期货公司2024年因交易系统运维平台用户权限设置不当且缺少复核角色、防火墙策略修改后测试不充分即上线等问题发生网络安全事件，被浙江证监局出具警示函并记入诚信档案。（山西省互联网信息办公室《网络与数据安全典型案例》，2024年8月）2.4职责边界与冲突处理当业务部门追求数据使用效率与数据安全要求发生冲突时，按以下顺序处理：先由归口管理部门出具书面评估意见；无法达成一致的，提交领导小组裁决；涉及对外提供数据、数据出境、重要数据处理的，无论是否达成一致，均须领导小组书面批准后方可执行。任何部门和个人不得以"业务紧急"为由绕过上述流程，该条为本细则的红线条款。三、核心制度条款3.1数据资产盘点与分类分级制度条款要点：①资产盘点由归口管理部门组织，各部门数据联络人配合，在专项启动后90日内完成首轮全量盘点，形成《数据资产目录》，逐项登记数据来源、存储位置、责任部门、业务用途。条款要点：②分级标准参照《数据安全法》第二十一条"重要程度＋危害程度"双维度，将企业数据分为四级：一级（一般数据）、二级（内部敏感数据，含经营数据与一般个人信息）、三级（重要数据或敏感个人信息，含财务核心、客户金融账户、生物识别信息等）、四级（核心数据或涉及国家安全的数据，如适用）。三级以上进入重点保护清单。条款要点：③动态调整：定级结果有效期一年，每年至少复核一次；发生业务变更、系统上线、并购重组等情形时即时触发重新定级。条款要点：④标签管理：三级以上数据在技术层面加贴数据标签，支撑访问控制与审计策略联动。《网络数据安全管理条例》第二十九条明确国家鼓励使用数据标签标识，《数据安全法》亦确立了数据分类分级的法律地位。（国务院令第790号，2024年9月）3.2数据全生命周期管理制度按生命周期七环节设置控制要求，每个环节明确"谁做、做什么、留什么痕"：环节控制要求责任岗位留痕要求采集遵循最小必要原则；采集个人信息前完成告知并取得同意；不得超范围采集业务部门＋数据联络人告知文本版本、同意记录存储三级以上数据加密存储；备份策略分级（三级以上异地备份，RPO≤24小时）；存储介质登记系统数据管理员加密配置记录、备份日志使用按角色最小授权；敏感数据查看须审批并留痕；生产数据用于测试须脱敏归口管理部门审批审批工单、访问日志加工加工环境分级管控；算法训练使用重要数据的须事先风险评估技术部门加工任务清单传输对外传输三级以上数据须加密通道并审批；跨系统接口清单化管理系统数据管理员接口清单、传输日志共享/对外提供提供、委托处理前完成风险评估并签订合同约定安全义务；处理记录保存不少于3年归口管理部门＋法务风险评估报告、合同删除/销毁保存期限届满删除或匿名化；销毁须双人操作并出具销毁记录系统数据管理员销毁记录单3.3个人信息保护专项条款本条款将《个人信息保护法》第五十一条对个人信息处理者的六项概括义务转化为企业操作规程：制定内部管理制度和操作规程；对个人信息实行分类管理；采取相应的加密、去标识化等安全技术措施；合理确定个人信息处理的操作权限，定期对从业人员进行安全教育和培训；制定并组织实施个人信息安全事件应急预案；落实其他法定措施（合规审计、泄露通知等）。企业特有规定未成年人保护：处理不满十四周岁未成年人个人信息的，制定专门处理规则并取得监护人同意。

敏感信息专项：处理生物识别、金融账户、行踪轨迹等敏感个人信息的，取得单独同意并事前开展个人信息保护影响评估（PIA）。

自动化决策规范：保证透明度与公平性，提供不针对个人特征的选项或便捷拒绝方式，禁止"大数据杀熟"。（杭州市临安区人民政府消费提示，2021年11月）

权利响应通道：建立查阅、复制、更正、删除、注销、撤回同意请求通道，15个工作日内响应，不得设置不合理条件。3.4数据安全风险评估与合规审计制度年度风险评估：每年至少一次覆盖数据处理活动全貌的风险评估，包含制度执行情况、技术措施有效性、已发生安全事件及处置情况、对外提供与出境情况等，形成《年度风险评估报告》报领导小组审定；涉及重要数据的，按《网络数据安全管理条例》第三十三条要求向省级以上有关主管部门报送。专项风险评估：新业务系统上线、对外提供重要数据、数据出境、重大安全事件、组织架构重大调整等情形下必须启动。合规审计：每年一次，覆盖制度、流程、技术、人员四类，审计结果作为第4章考核输入。成熟度对标：以DCMM（GB/T36073）为对标框架，每年自评一次。12个月目标定为"受管理级"，两年目标"稳健级"。3.5数据出境管理制度出境路径适用条件判定主体备注数据出境安全评估重要数据出境，或处理100万人以上个人信息出境国家网信部门路径优先级最高个人信息保护认证经专业机构认证符合条件认证机构需第三方评估标准合同备案非重要数据的一般个人信息出境属地网信部门成本最低路径法定例外情形合同履行、人力资源管理、紧急避险等归口管理部门负面清单：国家安全相关数据一律禁止出境明确负面清单：涉及国家安全、核心数据的，一律不得出境；行业主管部门另有规定的，从其规定。3.6安全事件应急处置与报告制度事件级别判定要素内部报告时限对外报告时限Ⅰ级（特别重大）核心数据泄露，或影响国家安全/公共利益30分钟内2小时内Ⅱ级（重大）重要数据泄露，或大量个人信息泄露1小时内24小时内Ⅲ级（较大）敏感数据局部泄露，或系统被入侵4小时内按规定Ⅳ级（一般）轻微安全异常，无实际泄露后果记录备查纳入周报监管案例警示"事件发生后未第一时间上报"本身就是独立的违规事由：某期货公司2024年连续发生网络安全事件后未及时上报，被浙江证监局出具警示函并记入诚信档案。（山西省互联网信息办公室《网络与数据安全典型案例》，2024年8月）本条将"报告及时率100%"设为不可豁免的考核指标。四、监督与考核4.1监督检查机制监督类型组织主体检查对象频次输出月度巡检数据安全负责人权限配置、日志留存、备份状态、漏洞工单每月巡检记录与异常清单季度检查归口管理部门牵头，跨部门联查制度执行、事件处置、对外数据提供审批链每季度季度检查报告，报领导小组年度审计内部审计部门或外部机构全要素合规审计＋DCMM自评每年年度审计报告、整改清单4.2考核指标与评分办法考核采用百分制，与部门年度绩效挂钩：考核维度权重关键指标扣分规则分类分级执行20%Z-01覆盖率、动态调整及时率覆盖率每低1个百分点扣2分生命周期控制30%审批链完整率、权限复核率（Z-06）、日志留存合规率发现1起无审批对外提供数据扣10分风险与事件管理30%高危漏洞修复时长（Z-03）、事件报告及时率（Z-04）**发生1起Ⅲ级以上事件且处置不合规扣15分人员与培训10%培训覆盖率（Z-05）、责任书签署率覆盖率每低5个百分点扣3分文档与台账10%台账完整率、档案保存期限合规台账缺失1项扣2分考核结果分为：优（≥90）、良（80–89）、合格（70–79）、不合格（<70）四档。连续两个季度不合格的部门，其负责人向领导小组作出书面说明，并限期提交整改计划。4.3问责机制一般违规（未按流程操作但未造成后果）：书面提醒并记录，纳入个人绩效。较重违规（造成数据泄露风险或事件报告迟延）：通报批评，扣减当期绩效，责任人参加再培训。严重违规（造成实际数据泄露、瞒报事件、越权对外提供数据）：按劳动合同与内部纪律处理，涉嫌违法的移送司法机关。免责情形：已按本细则履行全部审批与留痕义务、因第三方或不可抗力导致事件的，可减轻或免除责任人责任。问责以"过错＋后果"双要件认定，避免"出了事就追责、没出事不管理"的失衡。4.4考核结果应用与制度迭代考核结果三个用途：一是部门与个人绩效分配的输入；二是下一年度专项计划与预算编制的依据；三是本细则修订的触发依据——年度审计或连续两季度检查发现制度条款与实际不匹配的，归口管理部门应在30日内提出修订稿报领导小组审议。制度每两年至少全面修订一次，期间发生法律法规重大变化的，即时启动修订。五、附则5.1配套文件体系配套文件名称性质维护责任更新频次《数据分类分级目录》数据清单归口管理部门每年更新《安全事件应急预案》独立成册数据安全负责人每年演练一次《对外数据提供审批规程》表单化流程归口管理部门＋法务随制度同步更新《关键岗位数据安全责任书》模板人力资源部年度更新5.2宣贯与培训安排培训对象内容重点方式频次全体管理层法规责任、决策要点、本细则核心条款集