网安周案件警示｜数据泄露黑产链条全链被打，企业数据安全合规防护该从何处落地？

2026国家网络安全宣传周落下帷幕。在本次宣传周上，公安部通报“净网—2026”专项行动阶段性成果：今年以来全国公安机关网安部门累计侦办网络违法犯罪案件3.6万余起，其中侦破侵犯公民个人信息类案件4100余起；依托“护网—2026”专项工作，累计开展网络和数据安全隐患排查 7900余次，排查整改各类安全隐患、漏洞3.8万个，侦办不履行数据安全保护义务行政案件3.8万起。

公安披露：数据安全典型案件

一组组数字背后，是持续活跃的数据黑灰产。公安机关在网络安全宣传周中披露多起 “净网2026” 专项行动数据安全典型案件，为各行业企业敲响数据安全警钟：

山东济南某科技公司不履行数据安全保护义务案

6月，山东济南公安机关接有关部门线索通报，辖区某科技公司运营的一款微信小程序后台存储数据被泄露。经查，该公司作为建设、运营单位，依托该小程序开展数据处理活动，但未建立相关安全管理制度，未组织开展数据安全教育培训，未采取相应的技术措施和其他必要措施保障数据安全。目前，属地公安机关已依法对该公司予以行政处罚。

广西钦州某运输集团

不履行个人信息保护义务案

7月，广西钦州公安机关工作发现，钦州某运输集团运营的一款微信小程序存在不履行个人信息保护义务的行为。经查，该集团在处理个人信息过程中存在多项违法行为：未制定内部管理制度和操作规程；对存储的用户信息未采取安全技术措施；未定期对从业人员进行安全教育和培训。目前，属地公安机关已依法对该集团予以行政处罚。

四川宜宾某旅游开发公司

不履行数据安全、个人信息保护义务案

7月，四川宜宾公安机关接线索通报，兴文县某旅游开发公司的票务系统异常传输数据。经查，该公司票务系统云服务器被植入后门管理账户，导致数据被批量导出，且长期未被发现。经进一步调查，该公司存在多项违法行为：网络安全管理制度不完善，关键共用终端管理不规范，保护措施不到位；未建立相关安全管理制度；采集、存储、处理个人信息未履行告知义务，且未采取个人信息保护措施。目前，属地公安机关已依法对该公司予以行政处罚。

宁夏某科技公司不履行数据安全保护义务案

7月，宁夏公安机关工作发现，某全球开源代码托管平台上存在用户以公开仓库形式，完整上传敏感数据的情况。经查，2025年4月，宁夏某科技公司员工张某在负责某系统运维期间，为方便项目组内部协作和工作对接，私自将该系统的敏感信息上传至该托管平台个人仓库，造成张某负责运维系统的网络架构、安全防护体系、单位内部人员信息暴露。目前，属地公安机关已依法对该公司和张某予以行政处罚。

信息来源：公安部网安局

企业落地：数据安全合规防护指南

数据分类分级，先摸清 数据“家底”

合规的起点，是知道企业有哪些数据、哪些是敏感数据。按照法律法规监管要求，开展数据资产梳理，对公开信息、内部资料、商业秘密、敏感个人信息划分等级，并给敏感数据打上标签。只有明确哪些数据不能外发、不能上传 AI、不能随意拷贝，后续管控才有依据。

管控 “内鬼风险”，最小权限访问

大量泄露案件来自内部人员。遵循最小必要权限原则，按需分配数据访问权限；建立敏感数据访问审计，对批量导出、大量打印、异地外发等异常行为自动告警。对核心业务数据，增加访问水印、操作留痕，一旦发生泄露，能够快速溯源定位，厘清责任。

落实动态风险评估，变 “事后救火” 为事前预警

按照监管要求定期开展数据安全风险评估、数据出境评估（如有）。对业务系统接口、第三方合作服务商、外包人员、供应链开展持续风险审查。很多泄露来自合作方、外包单位，企业不能只管好自己，还要把数据安全义务延伸到上下游供应链。同时做好应急预案：明确发生数据泄露时的上报、止损、通知、取证流程。

依托数据防泄漏技术，构建文档全链路防护

在Word、PDF、图纸、方案等文件存在的数据，下载、传输、外发、打印、截图、拷贝的全流程都存在泄露风险。通过文档加密、权限管控、敏感内容识别、行为审计等技术手段，让文件 “可看不可拿、可拿不可传、泄露可溯源”，实现从静态存储到动态流转的全链条防护。

AI 使用管控规范，管住敏感数据投喂

针对生成式 AI 的新风险，企业应明确数据管理红线，禁止将商业秘密、客户敏感信息、未公开项目资料、核心代码上传至未经审批的公有大模型。并在终端、文档出口增加敏感内容识别，员工粘贴涉密内容到 AI 对话框时，自动识别并阻断。

网络安全宣传周的警示意义，在于提醒企业：监管持续加压、黑产手段迭代、AI 带来新的风险，数据安全已经成为企业经营的底线能力。数据安全合规，不是为了应付检查，本质是保护企业最核心的数据资产，规避刑事、行政双重法律风险。

安全没有终点。从摸清数据资产、分类分级，到内部权限管控、AI 场景治理、全链路防泄漏，循序渐进，体系化建设，才能在数字化与智能化并行的时代，守住企业的数据生命线。