导语

落实数据安全义务有一条比较务实的顺序：先定人、再定制度、然后配技术措施、最后做培训与应急。组织与制度在前，是因为没有责任主体，后续工作很难推动。

本篇给出这条推进路线的具体步骤。

规则出处与规范指向

《中华人民共和国公司法》第二十七条（本条见《数据安全法》第二十七条·数据安全保护义务与全流程管理制度）：《中华人民共和国数据安全法》第二十七条规定：开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。

一、组织与制度先行

第一步，明确数据安全负责人与管理机构，把责任落到具体岗位，避免多头负责或无人负责。

第二步，制定全流程数据安全管理制度，按数据生命周期逐环节设定管理要求与操作规程。

二、技术与培训配套

第三步，按数据分级结论配置技术措施，重点对重要数据与敏感数据加强加密与访问控制。

第四步，开展分层分类的数据安全培训，对高风险岗位提高培训频次，并留存培训与考核记录。

三、运行与应急

第五步，建立监测预警与应急处置机制，发生安全事件时及时处置、报告并复盘，把处置过程归档。

操作清单

第一步，明确数据安全负责人与管理机构，把责任落到具体岗位。

第二步，按数据生命周期逐环节制定全流程数据安全管理制度。

第三步，按分级结论配置技术措施，对重要数据与敏感数据加强加密与访问控制。

第四步，开展分层分类培训并建立监测预警与应急处置机制，把处置过程归档。