摘要
《数据安全法》实施后，中小企业也需要重视数据合规。本文用通俗的语言，讲清楚企业需要注意的基本要求和落地方法。
一、中小企业面临的安全合规要求
《数据安全法》《个人信息保护法》等法规实施后，数据安全不是大企业的专利，中小企业也需要重视。核心要求包括：收集数据要告知用户并征得同意；采取必要的技术措施保护数据安全，如加密存储、访问控制；发生数据泄露要及时报告和处置；处理个人信息要遵循最小必要原则。
二、哪些是企业必须做的事
对于中小企业，建议优先做好四件事：数据资产盘点，知道公司有哪些数据、存在哪里、谁可以访问；建立基础的访问控制，员工只能看到自己工作必要的数据，离职及时回收权限；关键数据加密，客户信息、财务数据等敏感数据必须加密存储；数据备份，重要数据定期备份，防止勒索病毒或误删除。
三、哪些是可以先缓一缓的
以下内容不是中小企业的当务之急：建立完整的数据治理体系（那是大企业的需求）；购买昂贵的数据安全产品（用开源或云服务的基础功能就够了）；设立专职数据安全岗位（可以由IT或行政兼任）。量力而行，先把基础安全措施做到位。
四、合规清单自查
建议企业对照以下清单自查：是否有数据安全管理制度？是否对员工进行过数据安全培训？关键数据是否有备份？服务器是否有访问日志？是否有数据泄露应急预案？是否与第三方服务商签订了数据处理协议？如果超过3项回答"没有"，建议尽快补充。
五、常见误区和建议
误区1：数据安全是IT部门的事，与其他员工无关。实际上，人为因素是数据泄露的主要原因，全员培训很重要。误区2：买一堆安全工具就能解决问题。实际上，制度和管理比工具更关键。建议：从基础做起，边做边完善，不求一步到位。