情景背景

某企业内部管理系统存放着几百名客户与供应商的联系信息。企业认为数据量不大，未做加密存储，数据库账号由两名员工共用，也从未做过备份恢复演练。一次服务器故障导致部分数据损坏，恢复过程耗时较长，客户信息一度无法查询，系统已运行约两年时间。

争议与处理思路

《中华人民共和国数据安全法》第二十七条要求采取相应的技术措施和其他必要措施保障数据安全。实务中通常认为，措施的强度可以与数据规模、敏感程度相匹配，但基本的加密、权限区分与备份恢复属于常规要求；共用账号会导致操作无法追溯到具体人员，在出现问题时难以定位。数据量小并不等于可以省去这些基础安排数据量小并不等于可以省去这些基础安排，账号共用往往会带来额外的追溯难题。

平台提示

从三项基础措施起步：数据库账号一人一号并按岗位分配权限、敏感字段加密存储、定期备份并做恢复演练。这些措施的实现成本通常不高，但对减少事故影响有明显作用。把演练结果记录下来，作为保护措施落实的证明材料之一。

相关阅读：案例情景库 ｜ 实务文章 ｜ 常见问答 ｜ 法条要旨速查