场景一：重要数据未识别
企业常只盯个人信息，忽略行业运行数据、测绘与位置数据。未识别就谈不上保护与报送，一旦被认定，属于制度性缺失。处置是对照行业目录逐类排查并形成识别结论，不能以业务不涉及为由跳过。怎么补：先按目录排除，再把排除理由逐条写清楚。
场景二：共享与交易无审查
对外提供数据时未核验来源合法性与接收方用途，可能承担连带责任。处置是建立共享审查单，记录来源、授权、用途与安全措施，缺项不批，涉及重要数据或个人信息时另按相应规则处理，避免审查流于形式。为什么审查：来源不合法，提供方也难脱责。
场景三：勒索与备份失效
数据被加密后无法恢复，往往不是攻击太强，而是备份从未演练。处置是把恢复演练列入季度任务，验证恢复时间与完整性，检查副本是否可写、是否与生产网络隔离，而不是只看备份任务成功。怎么验证：演练中发现的失败点，比恢复时间更有价值。
场景四：云与供应链集中风险
关键业务集中在单一云或单一服务商，账号与权限一旦失守影响面很大。处置是梳理关键依赖、做权限隔离与多因素认证，并评估采购云服务的安全评估要求，把责任边界写进合同。招标或采购文件中要单列责任条款。
场景五：跨境提供数据
境外上市、境外总部访问、境外 SaaS 处理境内数据，都可能触发出境程序。处置是先画数据流判断是否属于豁免，需要时按规则申报或签标准合同，不能以业务需要替代程序，也不能事后补做。边界在于豁免必须逐条判断，不能整类套用。
适用与不适用
适合谁
- 掌握行业运行数据或地理信息的企业
- 有数据对外共享、交易或合作的企业
- 使用多云与外部服务商的中大型组织
不适合谁
- 数据仅限内部办公文档、无对外流转的团队
- 希望通过采购工具一次性解决合规问题的企业
典型场景
某出行平台在自查中发现车辆轨迹数据未纳入重要数据识别，随即对照行业要求重做分类，建立共享审查单，把备份恢复演练排进季度计划，并对境外投资方访问数据的链路做了一次出境判断，形成整改台账，每季度复核一次完成情况。
可执行步骤
- 对照行业目录排查重要数据，形成识别结论并标注影响范围，逐类登记责任部门
- 建立共享审查单与审批流，记录来源与用途，缺项一律不批，审查单随数据交付归档
- 季度开展备份恢复演练，记录恢复时间与结果，失败点逐条记录并整改，并验证密钥可用
- 梳理云与关键供应商依赖，评估集中风险，含区域与账号维度，评估单点依赖的替代方案
- 对跨境链路逐条判断，需要时走申报或标准合同，判断依据随链路归档，判断结论整理成清单
常见坑
- 只识别个人信息，遗漏行业运行数据，监管检查时被认定制度缺失，补做识别已来不及，整改很被动
- 共享审查只看合同，不核来源合法性，接受方违规时难以撇清，来源记录也拿不出来，连带责任难切割
- 备份任务成功率高，恢复从未验证，真出事时打不开备份，业务中断时间远超预期，恢复顺序也乱，演练记录也缺失
- 境外投资方直连数据库，长期无人过问，出境程序完全缺失，补做时数据已流出，解释空间很小，整改被动
自检与验收清单
- 重要数据识别是否有结论文件，并有人签认留档
- 共享是否走审查单并留存记录，且记录可以追溯
- 备份恢复演练是否定期开展并记录，是否含密钥验证
- 关键供应商依赖是否已梳理并评估，是否评估集中度
- 跨境链路是否逐条判断并留依据，是否含豁免结论
常见问题
数据共享给合作方要审批吗？
建议建立审查机制，核验来源合法性、接收方用途与安全能力，并按数据级别设定审批层级。涉及重要数据或个人信息对外提供时，还要履行相应告知与程序，缺一项都可能构成违规。
备份有异地副本就够了吗？
不够。副本存在不等于可恢复，要验证恢复时间、完整性与演练记录。勒索场景下还需考虑副本是否可写、是否与生产网络隔离，否则攻击者可能连副本一起加密，恢复顺序也要提前排定。
上云后数据安全责任在谁？
责任共担。云服务商负责基础设施安全，企业仍对数据分类、权限、加密与使用负责。采购时要看清责任边界与服务条款，不能把合规责任整体外包，采购文件里要单列安全责任条款。