企业开展数据分类分级，业务部门应从哪些资料开始盘点？

企业开展数据分类分级，起点不是购买一套软件，也不是让IT部门独自给文件贴标签。业务部门应先盘点本部门在什么场景收集哪些数据、用于什么目的、存在哪里、向谁共享、保存多久、泄露或篡改会造成什么影响。客户表、员工档案、供应商资料、产品图纸、设备日志、财务台账和系统权限清单，都是首轮盘点的入口。

佛山制造企业的数据分散在ERP、MES、CRM、邮箱、网盘、微信群、设备控制系统和员工电脑中。同一份客户资料可能由销售收集，财务开票，仓库发货，售后回访，外部物流公司也会接触。只按系统名称分类，看不到真实业务流向；只问“有没有敏感数据”，业务人员又难以准确回答。

一盘点前先确定业务范围和责任人

企业可以按销售、采购、生产、研发、人事、财务、售后和行政划分盘点单元。每个部门指定一名熟悉流程的业务负责人，不宜只交给技术人员填表。法务负责解释规则和使用目的，信息部门核对系统、接口与权限，管理层确认跨部门争议和资源投入。

首轮盘点不必追求一次覆盖全部历史文件。可以选择仍在运行的核心流程，例如“客户询价到收款”“员工入职到离职”“供应商准入到付款”“产品设计到交付”，沿流程找数据。流程跑通后，再扩展到其他业务。

盘点表至少记录：数据名称、具体字段、产生部门、来源、业务目的、存储系统、责任人、访问角色、共享对象、出境情况、保存期限、删除方式和影响判断。只写“客户数据”“生产数据”过于笼统，无法据此配置权限。

二销售与客户资料要盘点到字段

销售部门可以从客户名录、询价单、报价单、合同、订单、开票资料、收货信息、售后工单和录音记录开始。盘点时要拆到姓名、手机号、地址、身份证件、银行账户、交易金额、偏好、投诉内容等字段，标明哪些由客户直接提供，哪些来自平台或合作方。

还要检查业务员个人微信、手机通讯录和私人网盘。企业不能仅在制度里写“客户归公司所有”，却放任资料长期停留在私人设备。应明确允许使用的沟通渠道、回传要求、导出权限和离职交接方式。

客户资料传给物流、安装、短信、云客服或营销服务商时，要记录接收方、字段范围、接口方式、合同依据和删除安排。业务部门常说“只是给供应商发个名单”，这一步已经形成对外提供或委托处理，需要进入数据流向图。

三人事与员工资料从全周期盘点

人事部门可按招聘、入职、考勤、薪酬、绩效、培训、健康安全、奖惩和离职建立清单。简历、身份证明、银行卡、紧急联系人、考勤定位、监控影像、体检资料和调查记录的敏感程度不同，访问人员与保存期限也应区分。

招聘落选人员的简历是否继续保留，员工离职后哪些资料因工资、社保、争议处理或法定义务仍需保存，应写明依据和期限。用人部门若把简历下载到本地，或在群聊里转发体检、处分材料，人事系统设置再严也无法覆盖这些副本。

盘点还应包括外包人员、劳务派遣人员、访客和实习生。门禁、人脸、车辆及访客记录由行政或物业管理时，企业要确认系统归谁控制、谁能导出、服务终止后怎样返还或删除。

四制造企业容易遗漏哪些生产与研发数据

生产部门除订单和库存外，还应盘点工艺参数、设备运行日志、质量检测、异常停机、排产计划、能耗、产能和供应链信息。研发部门要关注图纸、配方、源代码、样品测试、缺陷报告、客户定制方案、专利交底和技术会议记录。

这些资料未必含个人信息，却可能关系商业秘密、合同保密义务和生产连续性。泄露会让竞争对手掌握成本、技术或客户需求；被篡改可能造成批量质量事故；无法访问则可能导致生产停顿。分级不能只看“是否保密”，还要看完整性和可用性受损后的后果。

设备供应商远程运维时，日志、工艺参数或产线画面可能被传出厂区。业务部门应列明远程工具、接入时间、账号、可见数据、下载权限和日志保存，不要把它笼统归为“售后维修”。

五财务、采购和供应商资料怎样梳理

财务部门从总账、明细账、凭证、发票、银行流水、成本表、预算、税务申报和融资资料入手。采购部门盘点供应商准入、报价、比价、合同、收款账户、质量评价和联系人资料。两边数据结合后，可能呈现采购价格、现金流、利润、核心供应商和交易集中度，聚合后的影响可能高于单张表格。

共享给银行、税务服务商、审计机构、保险机构或集团公司的资料，也应进入清单。记录传输渠道、加密方式、接收人和授权范围，避免通过个人邮箱发送完整账套后没有回收措施。

供应商提供其员工姓名、电话和证件用于进场、培训或结算时，企业同样在处理个人信息。业务部门需要区分联系人信息、付款信息、技术资料与评价记录，设置不同访问角色。

六怎样从资源清单走到分类分级

《数据安全法》第二十一条规定，国家根据数据在经济社会发展中的重要程度，以及数据遭到篡改、破坏、泄露、非法获取或非法利用后可能造成的危害程度，对数据实行分类分级保护。GB/T 43697-2024《数据安全技术 数据分类分级规则》已经实施，为数据分类、分级和重要数据识别提供了通用方法。

企业可以先按业务属性分类，例如客户与市场、员工与组织、供应链、生产运营、研发技术、财务经营、系统运维。分级时审查数据的覆盖范围、数量、精度、时间跨度、公开状态、可替代性和聚合效果，再评估对个人权益、企业权益、公共利益等造成的影响。

业务部门提供事实，不能自行宣布某类数据属于国家意义上的重要数据。涉及行业重要数据目录、主管部门告知或专业判断时，应结合现行规则核验。企业内部可以设置适合管理的等级，例如公开、内部、敏感、高敏，并另行标识个人信息、敏感个人信息、商业秘密以及依法识别的重要数据。

七清单形成后要对应控制措施

分类分级的用途在于配置保护措施。公开资料可以开放访问；内部资料限制在岗位范围；敏感资料采用审批下载、加密传输、水印、访问日志和定期复核；高敏资料可以限制批量导出、设置双人审批、隔离存储和更严格的备份恢复。

同一类数据在不同环节可采用不同控制。销售查看客户联系方式用于履约，财务只需开票字段，物流只接收配送所需信息。系统权限应按最小必要配置，临时项目权限设置失效日期，离职与调岗及时回收。

数据清单还要连接合同管理。委托外部服务商处理数据时，合同写明处理目的、字段范围、安全措施、转委托、事件报告、返还删除和审计权。业务部门新增一个SaaS工具或外包商，应触发清单更新和合规审核。

八哪些情形需要重新盘点和定级

数据分类分级不是年度表格填完即结束。新增业务、系统迁移、数据融合、算法训练、跨境访问、并购整合、供应商更换和安全事件，都可能改变数据用途与影响。

特别要关注“单项普通、汇总敏感”。零散设备数据看似只反映机器状态，长期汇总后可能揭示产能和订单；单个客户记录影响有限，大量汇聚后会扩大个人和企业风险。数据量、覆盖度或使用目的明显变化时，应重新评估等级与权限。

企业可每半年由业务负责人确认清单，每季度核查高等级数据的访问和共享记录。发现系统里有无人负责的数据表、长期未使用账号或不明外部接口，应明确关闭、迁移或指定责任人。

佛山孟翔律师实务提醒

佛山中小企业可以先做一场两小时的业务盘点会。不要让各部门回答抽象的“你有哪些数据”，而是拿出一张真实订单，从客户询价、报价、合同、排产、送货、开票到回款逐步追问：产生了哪些字段，谁看过，复制到哪里，发给过谁，多久删除。沿一笔交易走完，数据清单的骨架就会出现。

孟翔律师是广东佛山执业律师、广东尚尧律师事务所执行主任、兰州大学法律硕士，长期关注企业合规、合同商事争议和数据风险。业务部门完成盘点后，建议由法务、信息安全和管理层共同复核，重点查清处理目的、外部共享、个人信息、商业秘密及聚合风险，避免分类名称很完整，实际控制仍与业务脱节。

常见问题

Excel客户表也需要分类分级吗？

需要纳入盘点。文件格式不决定风险，表内字段、数量、用途、共享范围和泄露后果才是判断依据。散落在员工电脑中的Excel副本还需要纳入权限和删除管理。

数据放在云服务商那里，责任是否转给服务商？

企业仍要管理自身的数据处理活动。应核对服务商权限、安全能力、存储位置、备份、事件通知、转委托和退出迁移，并在合同中写清责任。

盘点时发现业务部门说不清数据来源怎么办？

可以从系统字段、导入记录、接口文档、合同、表单和员工访谈反向核查。来源无法确认的数据应单列，暂停不必要的共享和新增使用，查清后再决定保留或删除。

所有个人信息都要定为最高等级吗？

不宜机械处理。要结合信息类型、数量、敏感程度、使用场景和泄露影响配置保护。敏感个人信息和大规模聚合数据需要更严格措施，普通联系信息也应按目的和权限管理。

企业管理者现在可以要求每个部门提交三样材料：一份核心业务流程图、一张正在使用的数据表、一个对外共享场景。把三者放到同一张清单中，先找出来源不明、用途不清、权限过宽和无人负责的数据，再安排下一步定级与整改。