互联网行业每天都要处理海量的用户数据、业务数据、运营数据等敏感信息，随着《数据安全法》《个人信息保护法》等法律法规的实施，对互联网行业的保密管理和数据安全保护提出了越来越高的要求，互联网企业必须建立完善的数据安全保密管理体系，才能符合监管要求，保障用户权益和企业自身利益。
数据分类分级是互联网行业保密管理的基础。企业要按照相关法律法规的要求，结合自身业务特点，对收集和产生的所有数据进行全面梳理，根据数据的重要程度、敏感程度、泄露后的危害程度等因素，将数据划分为不同的等级，比如公开数据、内部数据、敏感数据、核心敏感数据等，不同等级的数据对应不同的安全保护措施和访问权限。比如用户的身份信息、生物识别信息、金融账户信息、行踪轨迹信息等都属于核心敏感数据，要采取最高等级的保护措施，严格限制访问权限。
数据收集环节要严格遵循合法、正当、必要和诚信原则。企业收集用户个人信息要明确告知用户收集的目的、方式、范围、存储期限等内容，获得用户的明确同意，不能通过欺诈、误导、强迫等方式收集用户信息，不能收集和业务无关的用户信息。对于儿童个人信息等特殊类型的信息，要遵守专门的保护规定，获得监护人的同意。
数据存储环节要落实安全保护措施。所有敏感数据都要存储在符合安全要求的加密服务器中，不能存储在公共云盘或者员工的个人设备上。要根据数据的等级采取相应的加密措施，核心敏感数据要采用端到端加密方式存储，即使数据被窃取也无法被解密。要定期对存储的数据进行备份，备份数据要采取和主数据同等的安全保护措施，防止数据丢失或者损坏。要明确数据的存储期限，超过存储期限的数据要及时进行安全删除或者匿名化处理，不能无限期存储用户的个人信息。
数据使用和流转环节要严格管控。企业要建立数据访问权限管理制度，按照最小必要原则为员工分配数据访问权限，员工只能访问自己工作需要的最小范围的数据，不能越权访问不需要的数据。核心敏感数据的访问要设置审批流程，并且要进行全程日志记录，方便后续审计溯源。数据的内部流转要通过企业内部的加密通道进行，禁止使用普通的社交软件、私人邮箱传输敏感数据。对外提供数据要经过严格的保密审查和审批，确认符合法律法规要求和用户授权的情况下才能提供，并且要和接收方签订保密协议，明确接收方的保密义务和责任。涉及重要数据出境的，要按照规定进行安全评估，通过评估后才能出境。
数据销毁环节要规范操作。对于不再需要保存的数据，要采用专业的技术手段进行彻底销毁，不能只进行简单的删除或者格式化操作，防止数据被恢复。纸质的数据材料要使用碎纸机彻底粉碎，不能随意丢弃或者当作废品出售。
针对第三方合作的数据安全管理也不能放松。互联网企业经常会和第三方机构开展合作，涉及数据共享、数据处理等活动，企业要对第三方机构的数据安全保障能力进行评估，和第三方签订专门的数据安全和保密协议，明确第三方的责任和义务，要求第三方采取不低于企业自身标准的安全保护措施保障数据安全。要对第三方的数据处理活动进行监督，定期开展审计，发现第三方存在数据安全风险的，要及时要求其整改，必要时终止合作。
企业要定期开展数据安全和保密培训，提高全体员工的数据安全意识和保密能力，使其了解相关法律法规的要求和企业内部的管理制度，知道哪些行为是合规的，哪些行为可能导致数据泄露，需要承担什么责任。要定期开展数据安全风险评估和保密检查，及时发现和整改数据安全隐患，完善数据安全保护措施。要建立数据泄露应急处置机制，一旦发生数据泄露事件，要及时启动应急预案，采取措施控制泄露范围，评估泄露造成的影响，按照规定通知受影响的用户和监管部门，配合监管部门开展调查处理工作，最大限度降低泄露造成的损失。
数据是互联网企业最重要的资产之一，也是重要的生产要素，只有严格落实数据安全保密管理要求，才能保障数据的安全，充分发挥数据的价值，促进互联网行业的健康发展。
