01 · 七步管控总流程
02 · 识别与申报实务
2.1 识别底稿：证明"已尽识别义务"的核心证据
| 底稿要素 | 内容要求 |
|---|---|
| 数据基本情况 | 数据名称、来源系统、业务归属、负责人、数据量级、更新频率 |
| 影响对象分析 | 遭到破坏后可能影响的对象：国家安全/经济运行/社会稳定/公共健康和安全/个人组织权益 |
| 影响程度分析 | 危害场景推演（篡改、破坏、泄露、非法获取利用）与程度分层判断 |
| 判定依据 | 引用的判定条款：行业目录条目、行业细则判定表、GB/T 43697-2024要素 |
| 判定结论与签名 | 级别结论（重要/一般）+ 业务Owner签名 + 安全部门复核签名 + 日期 |
| 复核记录 | 定期复核（如年度）与触发式复核（数据变化）的记录 |
2.2 申报实务要点
- 申报依据：以主管部门告知或公开发布的目录为准申报；《网数条例》明确未被相关地区、部门告知或者公开发布为重要数据的，不需要作为重要数据申报——但该规则不免除组织的识别义务，底稿仍需留存。
- 变更触发：重要数据种类变化、规模显著变化、处理目的变化、目录更新时，应及时更新申报信息；建议将"申报变更检查"嵌入数据变更评审（第5页治理机制）。
- 行业差异：工信领域要求企业重要数据和核心数据目录报属地行业主管部门备案；汽车领域要求开展重要数据处理活动的企业向省级网信部门和有关部门报送年度汽车数据安全管理情况——申报对象、渠道、频次均不同（第4页），跨行业主体应分线管理。
- 申报留痕：申报提交回执、主管部门反馈、沟通纪要统一归档，作为执法检查时的第一手证据。
03 · 风险评估方法
3.1 评估框架
《数据安全法》第30条要求重要数据处理者"定期开展风险评估"并报送报告。实务中可采用"资产—威胁—脆弱性—影响"四要素框架：
| 要素 | 分析内容 | 常用方法 |
|---|---|---|
| 资产 | 重要数据的种类、量级、分布、流转链路（依托第6章数据地图） | 资产清单核对、血缘分析 |
| 威胁 | 可能危害数据的内外部因素：攻击、误操作、供应链、内部人员 | 威胁情报对照、历史事件复盘 |
| 脆弱性 | 防护体系的薄弱环节：权限过大、未加密、审计缺失、第三方失控 | 基线核查、渗透测试、配置审计 |
| 影响 | 发生危害后对国家安全、公共利益、个人组织权益的损害程度 | 场景推演、等级判定矩阵 |
3.2 报告要素（参考结构）
- 处理活动概况：重要数据处理目的、范围、方式、涉及系统与数据量级；
- 风险识别：发现的风险项及定级（高/中/低）；
- 现有措施与有效性：已实施控制措施及其有效性评估（须附证据：配置、日志、审计记录）；
- 改进计划：风险整改的时间表与责任人；
- 结论与承诺：残余风险可接受的结论与持续改进承诺。
关键纪律：风险评估不是"写报告"，而是"验证措施有效性"。报告中的每项控制措施都应能现场出示运行证据——监管抽查与测评核查的正是这一点。无证据支撑的措施等同于无措施。
04 · 分级保护措施清单
| 环节 | 一般数据 | 重要数据 | 核心数据 |
|---|---|---|---|
| 组织制度 | 纳入统一制度 | 明确数据安全负责人+管理机构（《网数条例》要求） | 更严格管理制度，重大事项报主管部门 |
| 访问控制 | 角色权限 | 最小权限+审批+定期复核+全量审计 | 从严管控，权限清单报备 |
| 加密与密钥 | 存储加密 | 字段级加密+密钥独立管理（衔接GB/T 39786-2021密评） | 国密算法+密钥分权+物理管控 |
| 共享与委托 | 内部审批 | 合同约束+监督+PIA式评估+留痕 | 原则上禁止对外共享，例外从严审批 |
| 备份容灾 | 常规备份 | 异地备份+恢复演练 | 多副本+异地容灾+防勒索隔离副本 |
| 出境 | 依法评估必要性 | 出境安全评估（CIIO适用网安法第37条） | 原则上境内存储，确需出境从严审批 |
注：核心数据的具体管控要求以主管部门目录与专门规定为准；上表为原则性基线。
05 · 出境合规衔接
分类分级结果直接决定出境合规路径：
| 情形 | 合规路径 | 依据 |
|---|---|---|
| CIIO重要数据出境 | 境内存储优先+出境安全评估 | 《网络安全法》第37条；《数据安全法》第31条 |
| 其他重要数据出境 | 通过数据出境安全评估 | 《数据出境安全评估办法》（2022.9.1施行）；《促进和规范数据跨境流动规定》（2024.3.22施行） |
| 达量个人信息出境 | 安全评估/标准合同/个人信息保护认证（2024年规定放宽豁免情形） | 《个人信息保护法》第38条；《促进和规范数据跨境流动规定》 |
| 豁免情形 | 订立履行合同必需、人力资源管理必需等情形可豁免评估/合同（2024年规定细化） | 《促进和规范数据跨境流动规定》 |
出境场景识别的技术支撑：依托第6页血缘与API测绘梳理出境数据流（境外API调用、跨国SaaS、境外运维通道），按标签筛选涉及重要数据或达量个人信息的场景，形成出境场景清单并逐年复核。
06 · 事件报告与处置
6.1 法定报告义务
《数据安全法》第29条：发生数据安全事件时，有关组织应当立即处置，按照规定及时告知用户，并向有关主管部门报告。重要数据相关事件的报告要求与处置强度显著更高，用户告知内容应包括事件影响、补救措施与联系方式。
6.2 分级响应与演练
| 事件分级（建议） | 判定参考 | 响应动作 |
|---|---|---|
| 特别重大 | 核心/重要数据泄露或被非法获取，危害国家安全、公共利益 | 立即启动最高响应；按规定报告主管部门并告知用户；法务介入评估刑责 |
| 重大 | 重要数据存在泄露风险，或大规模个人信息泄露 | 归口部门牵头处置；评估是否触发报告义务；留存完整证据链 |
| 一般 | 一般数据泄露或内部可控风险 | 按预案处置；记录归档；纳入月度分析 |
- 演练：每年至少一次数据安全事件应急演练，覆盖"发现→定级→报告→处置→告知→复盘"全链路；重要数据处理者应增加监管报送流程演练。
- 证据保全：处置过程中的日志、样本、决策记录完整留存——既是复盘依据，也是后续可能的司法与监管程序证据。
- 与泄露情报联动：结合子课题06的暗网泄露监测，对"疑似涉及本组织重要数据"的公开售卖样本做真伪验证与影响评估，避免被"假泄露"勒索恐吓、也不错过真泄露的处置窗口。
本节参考来源（第7页）
以下均为真实可查的权威来源，用于支撑本页事实性表述。
《中华人民共和国数据安全法》第21、29、30、31条：中国政府网。
《网络数据安全管理条例》（2025年1月1日施行）重要数据识别申报、风险评估相关规定：中国政府网。
《工业和信息化领域数据安全管理办法（试行）》（2023年1月1日施行）重要数据与核心数据目录备案规定：工业和信息化部官网。
《数据出境安全评估办法》（2022年9月1日施行）、《促进和规范数据跨境流动规定》（2024年3月22日施行）：中国网信网。
《汽车数据安全管理若干规定（试行）》（2021年10月1日施行）重要数据处理活动风险评估与年度报告要求：中国网信网。
GB/T 43697-2024《数据安全技术 数据分类分级规则》、GB/T 39786-2021《信息系统密码应用基本要求》：国家标准全文公开系统。
《中华人民共和国网络安全法》第37条（关键信息基础设施数据境内存储与出境评估）：中国政府网。