①【项目背景】一份客户名单，差点让订单停摆
稀土大厦一家稀土氧化物出口贸易公司，2024年对接欧洲客户，对方要求把近三年订单明细、产品规格、最终用户信息传到其供应商系统。业务员图快，用个人邮箱发了个Excel，含客户名称、成交价、最终用途。合规顾问知道后叫停整条线，要求先做数据出境评估。很多企业觉得数据出境是互联网公司的事，但只要有境外客户、境外服务器、境外母公司，发一封邮件都可能构成出境；稀土还涉及出口管制，敏感度更高。
②【咨询设计】先分类分级，再谈路径
合规不是填表，是先搞清自己有什么数据。我按《数据安全法》《个人信息保护法》口径分三类：员工与联系人个人信息；稀土出口的最终用户和最终用途，可能涉及管制；报价交期等一般商业数据。路径三条：涉重要数据或一定量级个人信息走安全评估，向省级网信部门申报；否则走标准合同备案，用国家网信办模板；跨国公司内部传输可做保护认证。这家按安全评估准备。技术上做三件事：分类打标、通道收敛、传输加密，所有外传走统一文件交换平台，按等级审批，L3级以上禁止出境。
③【施工规划】脱敏要可用不可见
业务最怕脱敏后没法用。客户名称换代号，映射表存境内，只有合规负责人能查；成交价区间化，比如「1200-1300美元/吨」；最终用途按海关编码归类，不写具体终端产品。欧洲客户能看趋势做预测，拿不到敏感明细。传输用SFTP加国密SM4，密钥线下交换不走邮件；日志记录谁在何时导出多少条发给谁，保留三年；导出文件自动加水印，含工号和IP，泄露能溯源。业务员不能直连客户主数据，只能看CRM脱敏视图，导出超500条二级审批。
④【安全补丁】邮箱是最薄弱的环节
这次起点就是个人邮箱。四件事：Exchange传规则，含「报价」「合同」「客户」关键词的邮件禁止自动转发外部域名；开DMARC防伪冒；对外邮件加密级标识；每季度钓鱼演练，专挑「客户询盘」这类业务员容易点的主题。终端装DLP，USB拷贝、网盘上传、打印都记录，含「稀土」「最终用户」的文件外发要审批。不是不信任员工，是出事时能说清楚。
⑤【验收交付】自查表、申报材料、演练记录
交付三套：逐条对照法规的《数据出境自查表》，标明符合、部分符合、不符合；安全评估申报材料，含目的、方式、范围、境外接收方、保障措施；一次泄露应急演练记录，模拟误发邮件，从发现到处置38分钟。技术验收：抽1000条订单，脱敏后业务字段完整率100%，敏感字段残留0；导出审批平均2.1小时；抓包验证载荷为密文。业务和法务各培训一次。
⑥【售后承诺】政策在变，我们跟着更新
数据出境规则这两年一直在细化，今天合规不代表明年合规。给客户做年度复核：一次数据梳理、一次通道检查、一次制度更新，新规第一时间通知。系统故障2小时响应，稀土大厦十分钟上楼。热线17704868686。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）