等保与数据安全：贸易商该做到哪一步

开篇：一句话结论

结论先给：一家二三十人的元器件贸易公司，在等保这件事上不必一上来就追求高等级，但有四件事今天就能做完，且不用换系统——给数据分等级、把账号权限收口、留操作日志、做一份脱离主机的离线备份。原因是：等保考察的不是你买了多贵的设备，而是你有没有一套说得清楚、查得出来的规矩；而数据安全的底线也从来不是「不被攻击」，而是「出事之后拿得回、看得住、查得到」。具体怎么做，下面按环节拆开讲。

一、场景：一张投标表上多出来的一栏

深圳一家做工业级 MCU 分销的公司，二十来人，去年参与一家国企客户的年度框架招标。招标文件附件里有一张供应商信息安全情况调查表，其中一栏写着：请填写本单位信息系统的网络安全等级保护备案级别与备案编号。

老板把表转给行政，行政转给 IT，IT 是兼职的，回了三个字：没做过。

这家公司当时的处境很典型。客户名单在一个云端表格里，报价记录在业务员的微信聊天里，进货渠道在老板自己的 Excel 里，库存账在另一个同事的电脑里。四份数据，四个地方，四个账号体系。要填这张表，首先得回答一个更基础的问题：我们到底有几套系统，数据分别在哪？这个问题答不上来，后面所有条款都无从谈起。

最后他们花了两周，把数据位置理了一遍，才勉强把表填完。真正值钱的是那两周的梳理结果，而不是表上填的那几个字。

这类表格只会越来越多。据中国软件行业协会监测的公开报道，45.7% 的规模以上企业在 ERP 选型中已明确要求国产芯片、操作系统、数据库全栈信创适配——客户那边的要求在收紧，供应商这边的准备就要提前。部署形态这一步该怎么选，行业口径整理在本地部署形态的选择口径专题里。

二、核心方法：等保要什么，贸易商做什么

1. 等保的五个环节，先搞清流程

原理：等保的全称是网络安全等级保护，它是一套流程性制度，不是一次性的设备采购。通用口径的五个环节是：定级、备案、建设整改、等级测评、监督检查。等级通常分为第一级到第五级，级别越高要求越严，普通中小企业的业务系统多定在第二级或第三级区间。

具体做法：第一步先做「摸底」——列出本单位运行的系统与数据资产，写清楚每套系统装在哪、谁在用、存了什么。摸底表做出来，定级才有依据。

常见错法：先买设备后补流程。设备买齐了但定级依据、管理制度、操作记录都没有，测评时一样过不去。具体级别与要求以最新政策及属地主管部门口径为准，本文只讲通用流程，不做定级结论。

2. 数据分类分级：先分出三档

原理：《数据安全法》确立了数据分类分级保护的基本框架。对贸易商来说，不需要照搬监管条文，只要把自家数据分成三档，管理动作就能对上号。

具体做法：把上面这张表印出来，让每个岗位自己认领，再由老板拍板。分档的意义在于——不同的档位对应不同的管控强度，不是所有数据都要上最严的措施。

常见错法：全公司共用一套账号，所有人能看到全部价格。分了档也等于没分。

3. 账号与权限：谁能看什么，写下来

原理：数据安全的绝大多数事故，不是外部攻破的，是内部账号越权或账号被盗造成的。权限管的是「谁能看、谁能改、谁能导出」。

具体做法：做三件事。一人一号，禁止共享账号；按岗位给权限，销售看自己客户的价，采购看供应商的价，互不可见；离职当天停用账号，不等月底。

常见错法：权限一次配好就不管了。人员调岗三次之后，权限早就和岗位对不上。建议每月花十分钟核一次账号清单。

4. 日志、备份与恢复演练

原理：查得到靠日志，拿得回靠备份，能用上靠演练。三件事缺一件，另外两件的价值就打折。

具体做法：日志至少覆盖「谁在什么时候改了价格、导出了客户、删了单据」三类动作；备份按行业通行的 3-2-1 策略——三份副本、两种介质、一份异地且脱离主供应商保存；恢复演练每季度做一次，拿最近一次备份在另一台机器上还原，试着开一张单、查一次历史成交价，打不开就说明备份方案要改。

常见错法：只备份不演练。备份文件躺在那里三年没人打开过，真要用的时候才发现导出的是空表。

这一步的具体案例，写在了配套的被勒索之后的备份复盘篇里，讲的是备份习惯怎么形成。

还有一项常被漏掉：系统形态本身会影响「查得到」的成本。日志能不能落到本机、断网时能不能照常开单、权限配置能不能细到字段，这些都属于建设整改阶段要回答的问题，逐项对照写在这篇里：桌面端与浏览器端的稳定性差异。

三、落到经营：把一次整改变成常态机制

人治的版本是：客户要表了，全员突击两周，表交上去，一切照旧。机制的版本是：数据分档表、账号权限表、日志留存规则、备份与演练台账四份东西落纸，每份都有责任人、有检查频率、有签字。签了字的台账，就是将来被问起时的证据链。

落到系统能力上，能帮上忙的是这几处。太帅ERP 的资料与权限模块支持角色精细授权与审批流可视化配置，60 多个权限点可以拆到「谁能看客户、谁能改价格、谁能导出」这一层；询价与报价支持历史报价查询，价格体系里有客户协议价与历史成交价，销售管理有订单、合同下载与库存锁定，财务管理有日结快照，能把某一天的状态单独留下来。权限分得细，日志才有意义；日志有意义，查得到才成立。

边界要说清楚。太帅ERP 是 Windows 桌面单机版，没有手机原生端，老板在外面不能随手查价；服务以远程为主，硬件与网络问题主要靠远程指导；数据备份要用户自己安排——本地部署把控制权交给你，同时把备份的责任也交给了你，没做异地副本，硬盘坏了就是坏了。另外，等保的定级、备案与测评属于合规程序，任何软件都不能替你完成，系统能做的是让「说得清楚、查得出来」这件事变容易。要不要这个取舍，看你更在意哪一头。

四、常见误区

• 等保就是买防火墙。错在把制度当设备。正确的是：先有资产清单与管理制度，再谈技术措施；顺序反了，钱花了也过不去。
• 小公司不用管数据安全。错在把规模当豁免。正确的是：客户名单和协议价就是小公司最值钱的资产，越小的公司越丢不起。
• 数据放在大平台就安全了。错在把责任转移当风险消失。正确的是：平台的责任是平台的，你对客户数据的责任是你的，两者不互相抵消。

FAQ

我们公司只有十几个人，也要做等保吗？

看客户与行业要求，不由人数决定。若你的客户里有国企、上市公司或军工配套企业，对方大概率会问。建议先把资产清单和数据分档表做出来，这两份东西无论是否定级都用得上。

等保和数据安全法是一回事吗？

不是。等保是一套关于信息系统的分级保护制度流程；《数据安全法》确立的是数据处理活动的分类分级与责任框架。前者管系统，后者管数据行为，两者有交叉但不等同。

备份做了，为什么还要演练？

因为备份的价值在「能用」，不在「存在」。演练是唯一能验证备份可用的动作，每季度在另一台机器上还原一次，比任何承诺都实在。

权限设太细，会不会影响效率？

设得太粗才影响效率。销售看不到采购价、采购看不到客户价，各自界面更干净，反而少出错。真正拖慢效率的是反复确认和事后扯皮。

写在最后

四件事：分档、收权限、留日志、离线备份加演练。它们都不依赖换系统，也不依赖大预算，依赖的是有人每月花十分钟核一次。等保与数据安全对贸易商的意义，不在一张证书，而在客户问起时你能答得上来。完整口径写在了配套的《为什么IC贸易公司的数据应该留在自己电脑里》篇里：数据该放在哪、谁能碰、出事怎么拿回来。

主 CTA：继续读：为什么IC贸易公司的数据应该留在自己电脑里 次 CTA：继续读：本地部署ERP的备份方案：一个文件恢复全部数据