Archives

本篇为数据出境安全管理政策法规问答，针对国家互联网信息办公室持续加强数据出境安全管理政策法规宣介，指导和帮助数据处理者高效合规开展数据出境活动。经对近期收到的咨询问题进行研究，现将一些有代表性的问题和答复公布如下。

Claude Code拥有完整访问企业研发环境的权限。后门机制等同于在企业内网埋下持续数据出口，源代码、自研算法、涉密业务逻辑可被批量外传。截至目前，阿里等头部企业已宣布办公环境全面禁用Claude Code，列入高风险软件清单，切换自研国产AI编程工具规避供应链隐患。

依据《网络安全法》《个人信息保护法》《网络数据安全管理条例》《App违法违规收集使用个人信息行为认定方法》等法律法规和有关规定，经国家计算机病毒应急处理中心检测，72款移动应用存在一项或者多项违法违规收集使用个人信息情况。

本指南适用于中华人民共和国境内能源行业非涉密数据的分类分级工作。 能源数据处理者开展涉及国家秘密，或汇聚关联后构成国家秘密的能源数据处理，遵照《保守国家秘密法》管理；本指南术语定义与《能源行业数据安全管理办法（试行）》保持统一。

网络关键设备和网络安全专用产品依据国家互联网信息办公室、工业和信息化部、公安部、财政部、国家认证认可监督管理委员会《关于调整网络安全专用产品安全管理有关事项的公告》（2023年第1号）开展安全管理，不列入《实施网络安全标识的产品目录》。

近期，我部委托第三方专业检测机构对市场主流移动应用开展常态化抽查检测，经核查认定，共计 32 款 APP 及配套 SDK 存在违规收集个人信息、过度索取权限、弹窗无关信息、SDK 合规公示缺失、应用频繁自启动 / 关联启动等侵害用户合法权益问题，现予以全网通报（完整问题清单详见附件）。

针对代工厂、外包厂商部署全链路DLP数据防泄漏，严控文件下载、拷贝、外网传输行为；建立常态化第三方安全渗透测试与数据安全风险评估，定期排查内网高危漏洞；完善勒索攻击应急响应预案，区分客户机密、个人信息、企业经营数据分级处置，提前做好泄密溯源、客户告知、监管报备流程。

《网络数据安全风险评估办法》的落地，标志着重要数据安全监管从柔性要求转向标准化、强制化、常态化的年度合规考核。对于政务、金融、制造、医疗、能源等持有重要数据的主体，年度数据年检将成为常态化合规工作。对企业而言，这既是合规要求，也是提升自身数据安全能力的契机。

监管释放核心导向：1.统一金融全行业数据分级标准，解决过去券商、基金、资讯平台数据防护尺度不统一问题，补齐数据传输、文件共享合规短板；2.金融领域跨境数据从严监管常态化，参考携程千万跨境传输罚单案例，无审批、无加密、无审计的数据外发将成为执法重点；

本次处罚依据《中华人民共和国个人信息保护法》相关条款作出。监管通报指出，企业未履行跨境个人信息出境法定前置合规义务，大规模违规向外输送敏感个人信息，严重侵害用户个人信息权益，违反数据跨境传输监管要求，依法处以顶格区间高额罚款。