基础一：分类分级
按数据遭到篡改、破坏、泄露后的影响程度分级，再按业务属性分类。分级不是学术练习，它决定了后续的权限、加密、审计与审批强度，分级做错，后面的措施都会错位，投入也难有回报，分级结论要能落到具体字段。怎么分：先定级，再定谁审批、谁负责保存。
基础二：重要数据识别
重要数据要看行业目录与影响范围，通常涉及国家安全、经济运行与公共利益，例如大规模位置、测绘、行业运行数据。企业不能只按是否涉密判断，要对照行业要求逐类识别并形成结论文件，识别结论要有人签认。为什么容易漏：这类数据往往不在个人信息清单里。
基础三：制度与责任人
法律要求建立数据安全管理制度、开展教育培训并明确负责人。制度要覆盖数据全生命周期与外包场景，责任人要有实际权限，否则制度只能停在纸面，出问题时也找不到承担协调职责的人。边界在于责任人的权限要写进制度，而不是口头指定。
基础四：风险评估与报告
重要数据处理者要定期开展风险评估并按规定报送。评估内容包括处理活动的合法性、安全措施有效性与风险处置，报告要能支撑监管判断，而不是罗列形容词，也不能只写成绩不写问题，问题清单要能对应整改项。怎么写：方法、样本与结论都要留下。
关系：三法分工
网络安全法管网络与系统安全，数据安全法管数据处理活动与重要数据，个人信息保护法管个人权益。三者并行适用，等保测评、风险评估与个人信息审计是不同证据，不能互相替代，客户尽调通常两者都要。怎么分工：三法并行，证据分别准备。
适用与不适用
适合谁
- 掌握行业运行数据或大规模业务数据的企业
- 需要向监管报送风险评估报告的单位
- 正在梳理数据资产与权限体系的团队
不适合谁
- 数据量极小、不涉及重要数据的小微企业，可简化但仍有基本义务
- 期望用等保报告覆盖数据合规的团队
典型场景
某地理信息服务企业按行业目录识别出测绘与位置类重要数据，划定处理与存储边界，明确数据安全负责人，年度开展风险评估并向主管部门报送，同时把等保测评与个人信息审计作为并列证据分别归档，客户尽调时可分册提供。
可执行步骤
- 按业务线梳理数据资产，完成分类分级，标注责任部门与更新频率，便于后续更新
- 对照行业目录识别重要数据，形成结论文件，结论提交管理层确认，并抄送业务负责人
- 建立制度、指定负责人并留下培训记录，培训覆盖外包与运维人员，外包人员单独签到
- 年度开展风险评估，按规定报送并留存底稿，底稿保留方法、样本与结论，结论要能复核
- 把等保、风评与个保审计分别取证归档，便于分册应对不同问询，按问询对象组合材料
常见坑
- 只按是否涉密判断重要数据，漏掉行业运行数据，检查时被直接指出，整改要重做识别，成本很高，识别工作要重做
- 制度有模板但无责任人与培训记录，执行时无人牵头，检查时也说不清谁在负责，协调成本很高，责任落不到人
- 风险评估写成工作总结，无法支撑监管判断，也无法指导整改，客户尽调时拿不出材料，信任受损，问题年年重复
- 用等保测评报告代替数据安全评估，两类要求都没回应好，评审还要再跑一轮，周期被拉长，客户信任受损
自检与验收清单
- 数据资产是否完成分类分级并标注责任人，是否有人签认
- 重要数据是否对照行业目录识别并留结论，是否覆盖行业目录
- 是否有制度、负责人与培训记录，是否含外包人员
- 风险评估是否年度开展并按要求报送，底稿是否归档
- 三类证据是否分别归档、可分册提供，是否可独立提交
常见问题
中小企业也要做分类分级吗？
要做，但可按规模简化。先区分一般数据与敏感数据，明确权限与备份，重要数据识别按行业要求判断。简化不等于不做，基本制度与责任人在任何规模都适用，检查时也看这两项。
重要数据由谁认定？
通常依据行业主管部门发布的目录与标准，企业负责识别与申报。拿不准时应向行业主管部门或专业机构咨询，不能自行降低认定标准，也不能以不涉及为由跳过识别，识别结论也要留档备查。
风险评估要多久做一次？
重要数据处理者按规定定期开展，通常为年度；发生重大变化或安全事件时应及时重做。具体频次以行业要求与监管规定为准，评估结果与整改计划要一并留存，整改项要逐条对应。