文章总结： 本文解读《网络安全法》第二十三条第(四)项关于数据分类、备份和加密的递进式合规要求。通过2026年最高检通报的9亿条数据泄露等案例，指出企业常见误区：将分类简单贴标签、备份不验证恢复能力、忽视加密等效措施。文章强调数据分类是风险识别基础，备份需确保可恢复，加密是典型手段但非唯一。2026年监管趋严，企业应从数据分类入手构建合规闭环，避免重罚。 综合评分： 85 文章分类： 数据安全,安全建设,政策法规,解决方案,安全意识

数据分类、备份、加密：一条被90%企业忽视的法律红线

原创

等保测评咨询 等保测评咨询

上海等保测评

2026年7月2日 20:21 上海

在小说阅读器读本章

去阅读

三个字，九亿数据的血泪教训

2026年最高检通报的一起侵犯公民个人信息案，让人后背发凉——9亿组个人信息被非法获取。

黑客从外部入侵，内部员工从数据库”监守自盗”。内外勾结，数据像开了闸的水一样流向了黑产。

这家企业有防火墙，有入侵检测，有杀毒软件。该有的安全产品，一个不少。但为什么还是出了事？

原因很简单：它的数据躺在同一个大池子里，没有分类，没有分级。所有数据用同一把锁，锁一旦被撬开，什么都不剩。

这恰好触犯了《网络安全法》第二十三条第（四）项——

“采取数据分类、重要数据备份和加密等措施。”

九个字。很多企业扫一眼就过去了。但这九个字背后，是一条完整的数据安全治理逻辑链。不理解它，就是把自己的数据安全交给运气。

一条法律，三项义务，一个递进逻辑

第二十三条第（四）项包含三个动作：数据分类、重要数据备份、加密等措施。

绝大多数人把它们当成三个独立的技术动作。错了。

法律原文说得很清楚——这仨不是并列关系，是递进关系：

数据分类 → 决定哪些是重要数据 → 决定哪些必须备份与加密

没有数据分类，备份和加密就缺乏对象依据。 备份和加密是分类结果的执行措施。

这个逻辑，执法部门越来越强调，司法解释越来越明确。但我在日常工作中发现，很多深耕行业多年的”老手”，甚至某头部企业的售前总监，张口就来”重要数据加密没有依据”——他们连法律原文都没认真读过。

第一关：数据分类——最基础，也最容易被”糊弄”

法律所说的”数据分类”，不是给数据贴个”机密””内部公开”的敏感标签就完事了。

它的本质是：对数据安全属性和风险等级的识别。

你需要至少区分三类数据：

• 一般数据

• 重要数据

• 核心数据

  （《数据安全法》进一步明确）

注意，”重要数据”的定义比很多人想象的要窄得多——重要数据 ≠ 个人信息 ≠ 业务关键数据。它的核心指向是：对国家安全、经济运行、社会稳定、公共利益产生影响的数据。

2026年6月，国家网信办等六部门联合发布了《金融信息服务数据分类分级指南》，将一般数据进一步细分为”敏感一般数据”和”常规一般数据”，形成了四级的精细化分级体系。期货实时价格、成交量等虽未达到”重要数据”门槛，但一旦泄露可能引发局部风险的数据，被明确归入”敏感一般数据”。

这是监管在释放信号：分类分级，要做细，不能糊弄。

但现实是什么？

绝大多数安全厂商的工具在做分类分级时，只分敏感级，不分法律属性。 贴上”高敏””中敏””低敏”标签，就告诉客户”合规了”。这不是合规，这是掩耳盗铃。

分类不是搞一套漂亮的标签系统，而是要回答一个核心问题：这批数据如果丢了，会怎样？

第二关：重要数据备份——不是”备了就行”，是”能恢复才算”

很多人看到”重要数据备份”，第一反应是：不就是定期拷一份嘛。

但法律不这么看。

这里的”备份”，不是普通IT运维概念，它的法律目标是清晰的——防丢失、防不可恢复、保障持续可用性。

换句话说：你的备份如果恢复不了，等于没有备份。

2025年9月，国家网信办公布了一批执法典型案例。山东某医学检验公司系统数据被搜索引擎爬虫爬取泄露，原因是系统开启了目录浏览功能、未正确配置防火墙、未留存网络日志。没有备份能力，没有恢复能力，数据裸奔。

还有重庆某科技公司，3306端口开放MySQL数据库服务，未设置用户密码——连最简单的备份策略都没有，数据被先后窃取159次。

这些案例的共同特征是什么？企业以为”不出事就是安全”，但监管的逻辑是”出了事你能不能扛得住”。

合规要求至少做到：

• 明确哪些数据是重要数据（通过分类分级实现）
• 制定定期备份策略
• 建立异地备份或容灾机制
• 定期进行恢复演练，并有记录

最后一条，是绝大多数企业缺失的。买了备份设备，做了定时备份，但从来没有演练过恢复。等数据真的丢了，才发现备份文件也坏了。这不是段子，是每天都在发生的事。

第三关：加密等措施——法律用的是”等措施”

《网络安全法》的措辞非常讲究：”加密等措施。”

这意味着什么？加密是典型手段，但不是唯一合规路径。

法律允许你采用等效安全措施。但前提是——你得证明它”等效”。

在实践中，合规的”等措施”至少包括：

• 数据存储加密

  （静态数据）

• 数据传输加密

  （动态数据）

• 关键字段或关键数据加密

• 访问控制与权限隔离

• 强身份鉴别

• 审计与追溯

• 数据脱敏、匿名化

• 可信执行环境

2025年广东某保险代理公司的案件就很典型：系统存在越权遍历访问漏洞，攻击者通过遍历URL ID批量获取数据，企业购买的云防火墙服务已经过期，没有留存网络日志。这不是技术被攻破了，是基本的安全防护措施一个都没做到位。

再看2026年某知名品牌近20万用户数据泄露事件：攻击者入侵了前技术服务商，窃取其身份认证令牌，以”合法身份”穿透了云数据平台。传统边界防护在”有人拿着合法钥匙开门”时，毫无还手之力。 这就是缺少访问控制、权限隔离的后果。

从条文到落地：合规闭环怎么做？

一个符合第二十三条第（四）项精神的合规闭环，至少包含三个层面：

制度层：

• 数据分类分级管理制度
• 重要数据识别标准与重要数据目录

技术层：

• 重要数据备份与恢复机制
• 加密或等效防护技术

管理层：

• 定期检查、审计与演练
• 与等级保护（等保）、数据安全法衔接

很多人问：这么多事，从哪下手？

我的建议是：从数据分类开始。 不要一上来就买加密设备，不要一上来就搭建备份系统。先搞清楚你的数据，哪些是”丢了会出大事”的，哪些是”丢了有点麻烦”的，哪些是”丢了无所谓”的。

分类清楚之后，重要数据备份和加密就是顺理成章的事。

2026年的监管新常态：合规不是选择题

你可能觉得，这些要求离中小企业很远。

但你看看2026年的监管趋势：

• 国家数据局发布新规，明确数据合规7条红线，最高罚款5000万
• 2025年修订后的《网络安全法》大幅提高处罚上限：最高可罚1000万元，直接负责人最高可罚100万元
• 多地网信部门密集执法，仅2025年9月国家网信办就通报了10起执法典型案例
• 金融、医疗、政务等重点行业的数据分类分级标准密集出台，监管正在将”合规要求”细化为”操作标准”

2026年，数据分类分级已经从”合规必答题”变成了企业生存的必修课。

没有分类，你不知道哪些数据需要保护。 没有备份，数据丢了你就再也找不回来。 没有加密，数据在传输和存储中就等于裸奔。

这三件事，不是三个技术动作，而是一条完整的数据安全治理逻辑链——从风险识别到差异化防护。 安全厂商可以只管卖产品，但责任单位不能止步于产品堆砌。

写在最后

《网络安全法》第二十三条第（四）项，九个字，三个动作，一个逻辑。

分类是前提，备份是底线，加密是保障。

这三件事，每一件都有大量企业做得不到位。但2026年的监管环境已经变了——不再是”先警告、轻处罚”的温柔执法，而是”违法必查、查则重罚”的强监管时代。

与其等出了事再去花大价钱补救、被罚款、被通报，不如现在就问自己三个问题：

我的数据分类清楚了吗？ 我的重要数据能恢复吗？ 我的加密措施够用吗？

如果这三个问题你回答不上来，那你可能已经站在了数据安全的悬崖边上。

合规不是成本，是保险。买保险不一定会出事，但出了事没有保险，就是灭顶之灾。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：上海等保测评 等保测评咨询 等保测评咨询《数据分类、备份、加密：一条被90%企业忽视的法律红线》