数据已成为数字经济的核心生产要素：国家数据局等17部门联合印发的《"数据要素×"三年行动计划（2024—2026年）》推动数据跨主体、跨行业、跨境的高频流通，而每一次流通都放大着泄露与滥用风险。中国已形成以《网络安全法》（2017年6月1日施行）、《数据安全法》（2021年9月1日施行）、《个人信息保护法》（2021年11月1日施行）与《网络数据安全管理条例》（2025年1月1日施行）为骨架的数据法治体系；欧盟GDPR（2018年5月25日生效）则以高额罚款确立全球隐私保护标杆——单笔罚款最高可达全球年营业额的4%。Equifax（2017年，约1.47亿消费者）、万豪（2018年披露，约3.83亿客人）、滴滴（2022年被罚80.26亿元）等标志性事件反复证明：数据安全既是法律合规问题，更是企业生存问题。本课题围绕数据分类分级与治理、个人信息保护合规、数据跨境流动、隐私计算与数据要素流通、零信任访问控制、泄露溯源与应急响应六大方向展开研究，构建覆盖数据全生命周期的安全防护与合规治理体系。
数据安全是"防泄露"与"促流通"的双重命题：管得太死，数据要素价值无法释放；放得太多，个人隐私与国家安全无从保障。这要求技术、法律与治理三条线索交织推进。
《数据安全法》确立数据分类分级保护制度（第二十一条）与重要数据保护义务；《个人信息保护法》确立告知同意、最小必要、敏感个人信息特别保护、自动化决策透明等核心规则；《网络数据安全管理条例》（2025年1月1日施行）将三大法律要求细化为网络数据处理者的可操作性义务清单，并衔接数据出境安全管理。
数据安全覆盖采集、传输、存储、使用、共享、销毁六个环节的差异化控制：采集端的最小必要与告知同意、传输与存储端的加密与密钥管理、使用端的脱敏与权限控制、共享端的评估与合同约束、销毁端的不可恢复删除。GB/T 43697-2024《数据安全技术 数据分类分级规则》（2024年10月1日实施）为全生命周期管控提供了统一的分类分级坐标系。
隐私计算（多方安全计算、联邦学习、可信执行环境）使"数据可用不可见"成为技术现实，是数据要素跨主体流通的关键使能器；零信任架构（NIST SP 800-207，2020年8月）以身份为中心重构访问控制；数据防泄漏（DLP）、数据库审计、数字水印构成"防泄露"技术纵深；同态加密、差分隐私等前沿方向持续成熟。
数据泄露与网络钓鱼互为因果：泄露的个人信息被用于精准鱼叉式钓鱼与商业邮件诈骗（BEC），而钓鱼又是数据泄露最常见的初始入口（Verizon DBIR历年报告持续将凭证钓鱼列为数据泄露的首要攻击路径之一）。数据安全治理必须与威胁情报、反钓鱼体系形成闭环——这正是本课题融入反网络钓鱼工作组协同网络的核心价值。
以下指标均来自监管机构通报、公司官方披露与权威媒体报道，各卡片已标注数据出处。
因Apache Struts组件漏洞（CVE-2017-5638）未及时修补导致约1.47亿美国消费者敏感信息（含社保号）泄露；2019年达成的集体诉讼和解金额最高达约7亿美元（含4.25亿美元消费者赔偿基金），是美国历史上影响最深远的信用机构泄露事件。
初始披露约5亿客人记录，后经数字取证修正为约3.83亿独立客人，含护照号、支付卡号等高敏感数据。英国ICO于2019年7月依据GDPR开出9900万英镑罚款意向通知书，2020年10月最终罚款1840万英镑（约2300万美元）——金额虽大幅调减，但该案确立"并购数据安全尽调"的执法标杆意义。
国家网信办依法对滴滴处以人民币80.26亿元罚款，认定其存在危害国家数据安全等16项违法事实（涉及违法处理个人信息、数据出境等）。该案是中国数据安全执法史上处罚力度最大的标志性案件，确立"数据安全审查"的威慑基线。
GDPR自2018年5月25日生效，对严重违规设定的最高罚款为2000万欧元或全球年营业额的4%（取高者）；Meta等巨头因跨境传输与个人数据保护问题屡被开出数亿至十几亿欧元罚单，全球隐私合规由此进入"天价罚单"时代。
2024年1月，国家数据局等17部门联合印发《"数据要素×"三年行动计划（2024—2026年）》，部署工业制造、金融服务、医疗健康等12个重点领域的"数据要素×"行动——数据高效流通的顶层号角与安全防护的刚性需求同步升级。
2024年9月24日公布、2025年1月1日施行的《网络数据安全管理条例》是中国数据安全领域的首部综合性行政法规，细化网络数据处理者的分类分级保护、个人信息保护、重要数据识别申报、数据出境等义务，标志着数据安全治理进入"有法可依、有章可循"的新阶段。
以下节点均来自法律法规文本、监管机构通报与公司官方披露，可按原始出处考证。
欧盟《通用数据保护条例》2016年4月27日通过、2018年5月25日生效：确立高额罚款（最高2000万欧元或全球年营业额4%取高者）、数据主体权利（访问、更正、删除、可携带）、隐私设计（Privacy by Design）与默认保护等制度，深刻塑造了其后全球隐私立法。
Equifax（2017年，约1.47亿消费者，Apache Struts漏洞未修补）、Facebook/Cambridge Analytica（2018年3月，约8700万用户数据被不当获取用于政治画像）、万豪喜达屋（2018年11月披露，后修正为约3.83亿客人）等事件直接推动了各国立法者加速数据保护立法进程。
《数据安全法》2021年6月10日通过、9月1日施行，确立数据分类分级保护与重要数据保护制度；《个人信息保护法》2021年8月20日通过、11月1日施行，确立以"告知—同意"为核心的个人信息处理规则；7月，《关键信息基础设施安全保护条例》（国务院令第745号）公布并于9月1日施行，与《网络安全审查办法》（2021年11月修订）共同构成关键数据设施保护框架。同年，滴滴网络安全审查（7月启动）开启平台经济数据安全强监管时代。
《数据出境安全评估办法》2022年9月1日施行，确立重要数据出境安全评估制度；《个人信息出境标准合同办法》2023年6月1日施行，为中小规模出境提供标准化路径；滴滴案80.26亿元处罚（2022年7月）与MOVEit文件传输漏洞泄露事件（2023年，CVE-2023-34362，影响数千万人）分别从执法与攻防两侧强化合规紧迫性。
《促进和规范数据跨境流动规定》（2024年3月22日公布施行）大幅放宽豁免情形、将评估结果有效期延长至3年并允许自贸区负面清单管理；《网络数据安全管理条例》2024年9月24日公布；"数据要素×"三年行动计划（2024—2026年）与各地数据交易所实践将"安全流通"推上产业前台；欧盟《人工智能法案》2024年8月生效，为AI训练数据合规增设新维度。
《网络数据安全管理条例》2025年1月1日施行；《个人信息保护合规审计管理办法》2025年2月公布、5月1日施行，确立处理超过1000万人个人信息的处理者"每两年至少一次"强制审计制度；2025年以来，上海、北京、天津、海南等地相继发布数据跨境流动负面清单，出境合规进入清单化精细管理阶段；重要数据识别申报、数据安全风险评估与出境合规成为大型平台的常态化义务，数据安全从"一次性建设"进入"持续性运营"。
每个子课题均基于现行法律法规、国家标准与公开事件档案形成可独立拓展的研究单元。点击卡片展开研究框架，子课题详情页随研究推进逐步上线。
落实《数据安全法》第二十一条分类分级保护制度，研究重要数据识别与申报、核心数据保护、数据安全管理体系建设（对标GB/T 36073数据安全能力成熟度模型）以及分类分级技术落地（自动发现、打标与水印）。
围绕《个人信息保护法》的告知同意、最小必要、敏感个人信息、自动化决策、委托处理与共同处理规则，研究App与SDK合规检测、个人信息保护影响评估（PIA）、合规审计制度及"守门人"特别义务落地。
系统研究数据出境三条合规路径（安全评估、标准合同、个人信息保护认证）的适用门槛与选择策略，《促进和规范数据跨境流动规定》的豁免情形与负面清单机制，以及跨国企业的全球数据架构合规设计。
研究多方安全计算（MPC）、联邦学习（FL）、可信执行环境（TEE）三大隐私计算技术路线的安全边界与性能权衡、互联互通标准、数据交易所的可信流通实践，以及隐私计算自身的安全风险（推理攻击、模型投毒）。
以NIST SP 800-207零信任架构为纲，研究以身份为中心的数据访问控制体系：动态授权与持续评估、微隔离、数据防泄漏（DLP）、密钥管理（KMS/HSM）与商用密码应用，以及访问行为的审计与异常检测。
研究数据泄露的监测发现（暗网情报、开源情报）、数据库审计与数字水印溯源、泄露事件的分级响应与监管报送（《网数条例》事件处置要求），以及"加密勒索+数据泄露"双重勒索趋势下的数据韧性建设。
GB/T 43697-2024确立统一分类分级规则，自动发现与打标技术让分级结果直接驱动差异化的安全策略。
MPC、联邦学习与TEE各有千秋，"可用不可见"的可信流通正在数据交易所与联合风控场景中规模化落地。
NIST SP 800-207确立的"永不信任、持续验证"原则，是数据访问控制从静态权限走向动态风险评估的架构基石。
终端、网络、云三层联动的内容识别与外发管控，是数据安全"最后一公里"的标准技术配置。
《密码法》施行后的密评制度与KMS/HSM密钥生命周期管理，为数据加密提供合规可信的密码基础设施。
暗网泄露监测让"被动挨打"转向"主动发现"，文档水印与数据库审计则为泄露事件提供司法级溯源证据链。
自动发现数据资产并按GB/T 43697-2024完成分类分级，形成重要数据目录与个人信息的处理活动清单。
对照《网数条例》、个保法与行业细则开展差距分析，识别出境场景、委托处理与共享链路的高风险环节。
加密与密钥管理、脱敏、DLP、零信任访问与数据库审计的体系化部署，策略与分类分级标签自动联动。
出境路径选择（评估/标准合同/认证）与豁免判断、共享协议与PIA、隐私计算平台支撑的可信流通。
泄露情报监测、合规审计（2025年办法）与应急演练常态化，形成数据安全运营的持续改进闭环。
数据安全研究依赖法规文本的精细解读、监管案例与技术评测数据。所有研究均应遵循合法合规的采集与分析边界。
| 数据类型 | 说明 | 用途 |
|---|---|---|
| 法规标准文本库 | 法律、行政法规、部门规章、国家标准及官方解读的结构化整理 | 合规义务映射、差距分析 |
| 监管案例库处罚通报 | 网信、工信、公安等部门的处罚通报与整改案例 | 执法口径分析、合规红线识别 |
| 个人信息映射表 | RoPA式处理活动记录（目的、范围、存储、共享全要素） | PIA输入、最小必要核查 |
| 出境合规档案 | 出境场景清单、评估/标准合同/认证申报材料与豁免判断记录 | 出境合规管理、审计备查 |
| 泄露情报样本 | 公开泄露事件数据样本的验证性分析（脱敏后） | 泄露趋势研究、内部风险排查 |
| 隐私计算评测数据 | 各路线产品的性能与安全基准测试结果 | 技术选型、标准制定支撑 |
以下均为正式公布施行、公开可查的现行法律法规与国家标准。
2021年6月10日通过、9月1日施行：确立数据分类分级保护制度、重要数据保护、数据安全审查与出口管制等基础制度，是数据安全领域的上位法。
2021年8月20日通过、11月1日施行：确立告知同意、最小必要、敏感个人信息特别保护、个人信息跨境提供规则与"守门人"特别义务，是中国个人信息保护的专门立法。
2024年9月24日公布、2025年1月1日施行的数据安全领域首部综合性行政法规：细化网络数据分类分级、重要数据识别申报、个人信息保护、数据出境与事件处置等义务，衔接三大法律落地执行。
2024年3月发布、10月1日实施的首个数据分类分级通用国家标准，规定数据分类框架、分级要素与各级数据的一般特征，是各行业开展分类分级工作的通用坐标。
2020年3月发布、10月1日实施的国家标准，细化了个人信息收集、存储、使用、共享、删除等全环节的实践指引，是App合规检测与隐私政策评审的重要技术依据。
《数据出境安全评估办法》（2022年9月1日施行）、《个人信息出境标准合同办法》（2023年6月1日施行）、《促进和规范数据跨境流动规定》（2024年3月22日施行）共同构成数据出境合规的三支柱制度体系。
除通用法律标准外，汽车、工信、金融等行业主管部门已出台专项数据规章，地方层面以条例与负面清单细化落地——行业化、清单化是数据安全治理的明确演进方向。
2021年8月16日由国家网信办、国家发展改革委、工业和信息化部、公安部、交通运输部五部门联合公布（令第7号），2021年10月1日施行：确立"车内处理、默认不收集、精度范围适用、脱敏处理"四大原则，明确重要数据境内存储、年度报送与出境评估要求。
2022年12月由工业和信息化部印发，2023年1月1日施行：工信领域首个数据安全专项规章，确立数据分类分级、重要数据目录备案、监测预警与事件通报等全链条管理要求，覆盖工业、电信领域数据处理者。
2025年6月由中国人民银行发布并施行：衔接金融业数据分级惯例，细化数据采集、存储、使用、共享与销毁各环节的安全管理义务，将业务领域数据安全责任落实到央行履职所涉各机构。
2023年10月16日公布（国务院令第766号）、2024年1月1日施行：中国首部未成年人网络保护综合立法，设专章规定未成年人个人信息网络保护——严格设定访问权限与最小授权，并要求每年开展合规审计、报送审计情况。
2023年7月10日由国家网信办等七部门联合公布（令第15号）、8月15日施行：第七条明确要求训练数据具有合法来源、涉及个人信息的应取得个人同意或具备其他合法性基础，数据标注须制定规则并抽样核验——AI训练数据合规的"第一规章"。
2025年以来，上海、北京、天津、海南等地相继发布各自领域的数据跨境流动负面清单（如上海自贸试验区负面清单覆盖生物医药、智能网联汽车等领域），在自贸试验区框架下细化"豁免清单+负面清单"双轨管理，出境合规进入场景化精细阶段。
以下条目均来自公司官方披露、监管通报与司法文件，是合规建设与攻防研究的参考案例库。
| 时间 | 事件 | 类型 | 关键事实与影响 |
|---|---|---|---|
| 2017.9 | Equifax数据泄露 | 漏洞未修补致泄露 | Apache Struts漏洞（CVE-2017-5638）未及时修补致约1.47亿消费者敏感信息（含社保号）泄露，2019年和解金额最高约7亿美元（含4.25亿美元消费者赔偿基金）；事件确立"补丁时效即数据安全"的治理铁律。 |
| 2018.3 | Facebook/Cambridge Analytica事件 | 数据滥用 | 约8700万Facebook用户数据经第三方应用不当获取并用于政治广告画像，引发全球对平台数据权力的反思，直接催生GDPR执法高潮与各国数据滥用立法讨论。 |
| 2018.11 | 万豪喜达屋数据库泄露 | 超大规模泄露 | 初始披露约5亿客人记录，2019年9月修正为约3.83亿独立客人，含护照号与支付卡号；英国ICO于2019年7月依据GDPR开出9900万英镑罚款意向通知书，2020年10月最终罚款1840万英镑（约2300万美元），确立"并购数据安全尽调"的执法标杆意义。 |
| 2021.7—2022.7 | 滴滴网络安全审查案 | 数据安全审查 | 2021年7月网络安全审查办公室对滴滴出行启动审查并下架整改；2022年7月21日国家网信办依法对其处80.26亿元罚款，认定16项违法事实。该案确立平台经济"数据安全审查"的执法威慑基线。 |
| 2023.5—6 | MOVEit批量泄露事件 | 供应链漏洞致泄露 | Progress MOVEit Transfer文件传输软件的SQL注入漏洞（CVE-2023-34362）被Cl0p勒索团伙大规模利用，全球数千家组织受影响、涉及数千万人记录，是"一个漏洞触发全行业泄露"的供应链式泄露典型。 |
| 2024.2 | Change Healthcare勒索事件 | 勒索+业务中断 | 美国医疗支付巨头Change Healthcare遭ALPHV/BlackCat勒索攻击，全美医疗理赔与支付系统大面积中断数周，并伴随大规模健康数据泄露风险，凸显关键数据系统被勒索的民生级影响。 |
依托反网络钓鱼工作组的威胁情报协同机制，研究数据泄露与钓鱼攻击的双向因果链，构建"防泄露—反钓鱼"一体化治理闭环。
泄露的姓名、电话、订单、病历等信息使鱼叉式钓鱼与BEC诈骗具备高度个性化的话术与场景（如"您的订单退款""您的检查报告"），点击率与得手率倍增；防御侧需将泄露情报监测结果反哺钓鱼邮件的识别模型与拦截策略。
Verizon DBIR历年统计持续将凭证钓鱼列为数据泄露最主要的初始攻击路径之一：一次钓鱼得手即可演变为账号接管、内网横向移动与批量数据窃取。钓鱼演练覆盖率与凭证钓鱼点击率，应成为衡量数据安全治理效能的前置指标。
"加密勒索+数据公开威胁"的双重勒索模式使备份策略失效——数据本身成为人质；组织需建立泄露监测、快速评估（PIA联动）、合规通报与法务响应的一体化预案，并与行业工作组共享威胁情报以压缩攻击者的变现窗口。
以下动态均来自监管机构、立法机构与权威研究机构的公开发布。
2025年1月1日《网数条例》施行后，重要数据识别申报、年度风险评估与出境合规成为大型网络数据处理者的常态化义务；网信办陆续就重要数据识别、网络数据安全管理等配套文件征求意见，条例执行口径持续细化，"合规运营"取代"合规建设"成为企业数据安全的主战场。
《个人信息保护合规审计管理办法》（2025年2月公布、5月1日施行）确立审计频次、专业机构能力与整改要求：处理超过1000万人个人信息的处理者每两年至少开展一次审计。超大型平台进入"强制审计时代"，第三方审计能力与方法论成为新刚需。
"数据要素×"三年行动计划（2024—2026年）部署12个重点领域，公共数据授权运营与数据交易所场内交易规模持续增长；隐私计算、区块链存证与数据沙箱构成可信流通的技术底座，"流得动、用得好、管得住"成为产业共同命题。
2025年以来，上海、北京、天津、海南等地相继发布各自领域的数据跨境流动负面清单，"豁免情形+负面清单"双轨制让企业出境合规从个案申报走向场景化清单管理，自贸试验区成为制度创新的先行区。
《促进和规范数据跨境流动规定》（2024年3月）以豁免情形与负面清单大幅释放合规空间，评估结果有效期延至3年；同时，敏感行业与重要数据的出境管控并未放松，"该放得放、该管严管"的精细化治理格局成型。
欧盟《人工智能法案》2024年8月生效，对训练数据的版权与个人信息合规设定义务；国内《生成式人工智能服务管理暂行办法》（2023年8月15日施行）要求训练数据来源合法、不得侵害个人信息权益。数据采集与标注环节的合规设计成为大模型企业的生命线。
MOVEit（2023）之后，"窃取—勒索—公开拍卖"的数据变现链条高度产业化：初始访问broker、勒索即服务（RaaS）与泄露站点分工明确；泄露情报监测、攻击面收敛与备份韧性建设构成防御的三支柱，行业级情报共享的边际收益持续上升。
综合《网数条例》、个保法实施要求与企业最佳实践整理，供组织规划数据安全体系时参考。
自动发现数据资产，按GB/T 43697-2024完成分类分级，识别重要数据并履行申报义务。
对敏感处理活动、自动化决策、委托处理与出境场景开展PIA并留存文档，落实最小必要。
加密与密钥管理（含密评）、脱敏、DLP、零信任访问与数据库审计联动分类分级标签。
梳理出境场景选择合规路径，共享与委托处理签订协议并开展风险评估，善用豁免清单。
部署泄露情报监测与异常访问检测，每年开展数据泄露应急演练并覆盖监管报送流程。
按《个人信息保护合规审计管理办法》开展定期审计，对照执法案例滚动修订制度与技术措施。
本专题引用的法律法规、标准与事件均来自以下公开发布的权威来源，可按原始出处核实。
欢迎互联网平台、金融机构、医疗与车企的数据合规团队、隐私计算厂商及研究机构加入课题协作，共建"防泄露、促流通"的数据安全治理体系。