📚 课程目录第2章数据安全法规与合规要求

数据安全法规与合规要求：GDPR、等保2.0、数据安全法如何驱动DSPM落地

说实话，很多团队启动DSPM项目，不是因为技术储备到位了，而是被法规“逼”上马的。我这些年接触过的企业客户，十有八九都是在等保测评或数据安全执法检查中碰了钉子，才下定决心搞数据安全。

这一章，我们就来聊聊法规到底是怎么“推”着DSPM走的。

你想想看，以前做数据安全，更多是凭自觉。现在不一样了，法规白纸黑字写着：你不做，罚到你肉疼。GDPR最高罚款2000万欧元或全球营收的4%，等保2.0不达标可能直接关停业务，数据安全法更狠，情节严重的吊销营业执照。

所以，合规不是选择题，是必答题。而DSPM，恰恰是答好这张卷子的“标准答案”。

核心观点：法规给出了“必须管”的指令，DSPM提供了“怎么管”的能力。两者结合，企业才能既过了合规关，又守住数据安全底线。

GDPR是欧洲的法规，但对国内出海企业影响巨大。我记得有个做跨境电商的客户，因为没处理好欧洲用户的删除权请求，被罚了200多万欧元。这钱砸得真冤枉。

GDPR对DSPM的驱动，主要体现在这几块：

数据主体权利响应（DSAR）：用户要求查、改、删你的数据，你得能在规定时间内（通常是30天）找到并处理。DSPM的敏感数据发现和分类分级能力，正好解决“数据在哪里”的问题。
跨境传输合规：数据流出欧盟，必须有合法依据（比如SCCs、BCR）。DSPM能帮你自动打标跨境数据，监控异常流动。
数据保护影响评估（DPIA）：处理高风险数据前，必须做DPIA。DSPM的数据地图和风险评估模块，是DPIA的基础设施。

我的经验：处理DSAR请求时，最怕的就是数据散落在各个业务系统里，找起来像大海捞针。上DSPM之前，建议先把数据源梳理一遍。我曾经见过一个客户，花了两周才找到用户的一条订单记录，就是因为没做数据发现。

等保2.0把数据安全提到了前所未有的高度。以前等保主要关注网络安全，现在数据安全成了单独的控制点。

我跟进过几个等保三级测评项目，测评机构现在查得特别细：你的敏感数据有哪些？存哪里？谁在访问？有没有异常行为？这些数据，DSPM都能给出来。

等保2.0对DSPM的具体要求，我列了个表：

避坑指南：我曾经遇到一个客户，等保整改时才发现，他们的核心数据库竟然没有开启审计日志。结果补了三个月的历史数据，累得要死。记住：DSPM项目前期，务必确认数据源的审计功能是打开的。否则，后面做行为分析全是白搭。

数据安全法2021年9月生效，它和GDPR、等保的最大区别在于：它更强调“数据主权”和“重要数据目录”。

说白了，国家要求你把重要数据管起来，并且定期报备。我参与过几个金融行业的项目，监管机构明确要求：必须建立重要数据目录，并且每年更新。做不到？等着吃罚单。

这里要特别注意，数据安全法和个保法（个人信息保护法）是“双轮驱动”。个保法管的是个人信息，数据安全法管的是“重要数据”和“核心数据”。两者不能混淆。DSPM项目里，我习惯把这两类分开打标，因为监管要求和处理方式完全不同。

讲了这么多，怕大家绕晕。我画了个图，把三大法规怎么驱动DSPM串起来。

从上图能看出来，三大法规虽然侧重点不同，但共同指向了DSPM的几项核心能力：数据发现、分类分级、风险评估和审计。项目落地时，只要把这几个能力做扎实了，合规这块基本稳了。

我见过不少团队，一上来就谈用什么工具、上什么平台。结果做完了发现，核心需求没覆盖。比如，只做了个人信息的分类，但没做重要数据的识别，数据安全法这关过不了。

我的建议：项目启动前，花两周时间做法规差距分析。把GDPR、等保2.0、数据安全法里跟本企业相关的条款列出来，逐一对照现有的数据安全能力。缺什么，DSPM就补什么。这才是最省钱、最有效的做法。

举个具体的例子。一个金融企业要过等保三级，同时也有出海业务涉及GDPR。那我们做DSPM方案时，重点就是：

这样的方案，才能既过等保测评，又防GDPR罚款。说白了，法规对齐就是DSPM项目的“方向盘”。方向错了，后面全是白费功夫。