被窃取2400份文件企业竟毫不知情｜数据家底怎么摸？数达数据分类分级服务来解决

9月15日，国家网信办集中通报的10起典型执法案例中，安徽某数据产业有限公司数据被窃取案的数据量最具体：该企业在开发“数字档案管理系统”时，使用存在未授权访问漏洞的ES开源版本，开发测试完成后又未及时删除测试数据，导致其中存储的2400余份审计报告、合同、会议纪要等企业内部文件被窃取，涉及网络安全等级保护测评报告、立项及概算批复文件等敏感内容。

这起案例的追责方式很值得注意：企业被警告、罚款，直接负责的主管人员也被罚款。而它最先暴露的问题，其实不是漏洞本身，而是企业并不清楚这套系统里究竟存了什么、哪些属于需要重点保护的数据。数据家底不清，后面的保护措施、出境评估、目录报送都无从谈起。

一、2400余份文件被窃取，暴露的是“家底不清”

涉案文件的性质值得细看。审计报告、合同、会议纪要属于企业经营数据；网络安全等级保护测评报告、立项及概算批复文件则带有明显的监管与项目属性，一旦泄露，影响的不只是商业利益。开发测试环境中残留生产级数据，也是数据安全治理里最典型的一类盲区。

表中级别是依据现行规则所作的初步判断，实际级别应以企业自身的分类分级结论为准。之所以要列出来，是想说明一件事：这4起案例涉及的数据横跨个人信息、敏感个人信息、经营数据与监管过程数据，如果企业连“有哪些数据、分别是什么级别”都说不清，那么在技术措施选择、权限分配、出境判断上就只能拍脑袋。

二、案例里反复出现的三类数据

第一类是敏感个人信息。重庆某置业在办公场所安装10余处图像采集设备，收集、存储客户人脸信息5000余条，用于客户身份识别以及与中介机构等的匹配营销。人脸信息属于生物识别信息，处理这类数据需要单独同意，也需要更严格的存储与访问控制。

第二类是普通个人信息与设备信息。上海某科技超范围收集用户主机配置、使用时长、用户系统等信息，并连同姓名、手机号、邮箱、生日、密码一起传输至境外。这里面既有一般个人信息，也夹带密码这类高风险字段，而企业的处理方式是按同一套逻辑“一概收集、一概传出”，缺乏按级别区分的差异化管理。

第三类是企业经营与监管过程数据。安徽某数据产业被窃取的2400余份文件就属于这一类，广东某软件的车辆状态信息则介于个人信息与业务数据之间。这类数据的共同特点是量大、分散、责任主体不清晰，最容易在开发测试、外包协作、共享开放等环节失控。

三、数据分类分级为什么是合规的第一块地基

《数据安全法》第二十一条确立了数据分类分级保护制度，这是数据安全各项工作的起点。落到操作层面，国家标准 GB/T 43697-2024《数据安全技术 数据分类分级规则》给出了分类分级方法，其附录 G 是重要数据识别指南；《网络数据安全风险评估办法》则要求重要数据处理者每年开展一次风险评估、重大变化时触发式开展，并在年度评估后20个工作日内报送。

176号令第七条第(十)项把数据安全、个人信息保护义务列为重点检查内容；第十二条允许现场查看安全保护技术措施运行情况并开展技术检测。也就是说，检查会问到“你的重要数据有哪些、在哪里、采取了什么措施”。

再往前看一步，GA/T 2380—2026《信息安全技术 网络安全等级保护数据安全基本要求》新增的“安全数据处理”大类，提出识别、标记、脱敏、溯源四项能力。这四项能力的第一项就是识别——分类分级做不出来，标记、脱敏、溯源都缺少输入。分类分级的价值，正是把后续所有数据安全动作变成有依据的选择。

四、数达安全一站式数据分类分级服务怎么落地

数达安全的方案由两个核心构成：数据资产盘清与智能化分级打标。技术上依托天规系列数据资产管理系统与AI大模型能力，采用AI大模型加千余条敏感数据识别规则的双引擎，配合数百种预置分类模板，识别准确率可达95%以上，覆盖数据库、大数据平台、文件服务器与云存储。

流程分四步：自动发现，扫描全域数据资产形成底册；智能分类，按行业与业务场景匹配分类模板；动态分级，按核心-重要-一般三级框架定级并可按需细化至四、五级，重要数据依据附录 G 识别；持续运营，增量数据自动分级、定期复核，并把结果用于策略调整。核心交付物是数据分类分级清单、重要数据目录与合规报告。

服务按三档组织，企业可以按资产规模与合规深度选择。需要说明的是，三档都支持免费初评，不达标可退费。

还有一点值得单独说：衍生数据与融合数据的级别，按就高从严原则动态确定。案例中“测试数据未清理”这类问题，本质上就是衍生环境里的数据级别被默认降格处理，而实际风险并没有降低。

五、从清单到目录：成果怎么用起来

第一层用法是定策略。分级结论直接决定加密范围、脱敏规则、访问权限与审计强度。重要数据该加密、敏感个人信息该脱敏、一般数据按常规管控，投入才花在刀刃上。

第二层用法是满足报送与评估要求。重要数据目录需要按监管格式整理并报送，也是开展数据安全风险评估、判定是否触发商用密码应用安全性评估的基础材料。

第三层用法是联动整改。分类分级结论可以同时服务于等保建设整改、密评密改与数据安全评估，避免同一批数据被反复梳理、反复出报告。这也是旗舰版把“联动等保、密评整改闭环”单独列出来的原因。

对已经超过一定数据规模的企业，建议把分类分级做成常态化机制而不是一次性项目：业务系统上线、数据结构变更、数据共享或出境前，都触发一次重新识别与定级。

六、常见疑问

问：我们数据量不大，做分类分级有必要吗？答：案例中的处罚与数据体量并不成正比。第6起案例涉及的只是一款运动管理App的权限索取方式，同样被责令改正并警告。分类分级解决的是“知道自己有什么”，这与规模无关。

问：分类分级做完，是不是就满足数据安全合规了？答：不是。分类分级是地基。地基之后还要有加密、脱敏、审计、权限管控与持续运营。它的作用是把这些措施落到正确的对象上。

问：重要数据怎么判断？答：可依据 GB/T 43697-2024 附录 G 的识别指南，结合行业细则与数据规模、领域、精度、覆盖度等维度研判；核心数据则按就高从严原则认定。涉及重要数据的，还要按规定开展风险评估并报送。

结语

2400余份文件被窃取这起案例，最值得记住的不是漏洞类型，而是它揭示的顺序问题：先有家底，才谈保护。数达安全一站式数据分类分级服务要解决的正是第一步——把散落在数据库、文件服务器、大数据平台与云存储里的数据盘清、定级、成册，再让加密、脱敏、审计、权限与整改都有据可依，也让企业面对检查时能交出一本说得清的数据账。