ARTICLE · 1024094
一份Excel发错群,投诉电话接到手软:数据不分级的代价,来得比你想的快
客户信息、报价单、合同扫描件躺在同一个文件夹里，谁都能看、谁都能发——出事之前，这叫方便；出事之后，这叫"没有分级"。
一、一张表格发进群，老板娘接了三天投诉电话
中山做灯具电商的阿美，公司不大，十几个人，线上店开了五六年，攒下十几万条客户资料。
上个月大促复盘，运营小柯要做一份客户复购统计。他手里那张表，是客服、售后、仓库都在用的"万能表"：客户姓名、手机号、收货地址、购买记录，连备注栏里都写着"王姐，对灯光敏感，要暖光"这种贴心话。
小柯想省事，把表导出来，发进一个两百多人的电商运营交流群，想请群友帮忙跑个统计。
表是上午发的，电话是下午来的。先是老客户王姐："我的手机号怎么流到外面了？"接着第二个、第三个。有位客户火气更大："有人冒充你们客服给我打电话，连我上个月买的哪款灯都说得清清楚楚，你们是不是把信息卖了？"
阿美懵了。她翻遍公司规定，没有任何一条写着"这张表不能外发"。因为在她的公司，所有文件都长一个样：同一个网盘、同一层权限——谁都能看，谁都能转。
处理结果不难猜：挨个道歉、赔付、整改，还在监管那边留了记录。阿美后来跟我复盘，说了句很扎心的话："我不是不重视数据安全，我是根本不知道，哪些数据要命。"
二、反常识三连：关于数据分类分级，大多数人都想反了
这类"万能表"，几乎每家公司都有一张。在开始讲怎么做之前，先把三个流传最广的想法掰正。
反常识一：以为这是大厂的"高端操作"，其实法规点名的恰恰是中小企业。
《数据安全法》2021年施行，第二十一条就把话说得很明白：国家建立数据分类分级保护制度。今年1月1日起施行的《网络数据安全管理条例》第五条更直接——国家根据网络数据的重要程度，以及泄露后的危害程度，对网络数据实行分类分级保护。看到没有，**分类分级不是"你想不想做"的选择题，是写在法规里的必答题。**大厂有专职合规团队盯着，中小企业没人替你盯，反而更要自己上点心。
反常识二：以为分级就是"打标签"，是IT的技术活，其实这是老板的管理活。
分级分的不是硬盘里的文件，是业务的重要程度。哪些数据丢了会要命、哪些丢了只是心疼，天天谈客户、盯订单的人最清楚，IT反而答不上来。所以分类分级的第一步，从来不是买软件，是老板带着核心团队把家底盘一遍。
反常识三：以为数据都乖乖躺在公司服务器里，其实它们早就"分身"了。
"万能表"有客服电脑里的副本、有个人微信里的转发、有人顺手传上网盘的备份。IBM今年发布的《数据泄露成本报告》专门提醒：AI时代，数据发现和分类分级成了安全建设的基本功——你连自己的数据在哪都说不清楚，防护自然没有靶心。
插一句：你们公司到现在，有没有一个人能说清"客户资料都存在哪"？欢迎在评论区留个言。
三、三步落地：盘点、分类、分级，一张表起步
第一步，摸清家底：数据都在哪、归谁管。
别搞复杂了，一张Excel，拉四列：数据名称、存在哪（系统/电脑/网盘/云端）、谁在用、外发给过谁。让各部门负责人自己填，两周内收齐。收上来你会发现两个"惊喜"：一是原来公司有这么多自己都不知道的"暗数据"；二是很多数据压根没人认领。
第二步，分类：按业务性质分门别类。
参考国家标准GB/T 43697-2024《数据分类分级规则》的思路，按业务条线走：客户数据、经营数据（报价、成本、订单）、财务数据、人事数据、生产研发数据。原则只有一个——**让业务说话，不按技术格式分。**Word和Excel里，可能装着同样要命的东西。
第三步，分级：给数据定"危害等级"。
中小企业分成三档就够用了：
一般数据：公开宣传资料、普通办公文件。丢了不疼，常规管理。 重要数据：客户联系方式、报价体系、合同、供应商信息。泄露会让公司实实在在受伤——加密存储、外发审批、留痕可查。 核心数据：成本结构、核心客户名单、未公开的产品方案。泄露可能动摇公司根基——单独存放、专人管理、外发原则上禁止。
还有一个小动作，性价比极高：脱敏。做统计、搞测试、办培训要用数据？先把手机号中间四位、地址门牌号抹掉再发出去。阿美那张"万能表"要是早就脱敏，小柯就算手滑发进群，也伤不到客户分毫。分级告诉你哪类数据要紧，脱敏负责把"要紧"变"不要紧"，两样配合着用。
四、开工之前，三个提醒得记住
提醒一：别追求完美，先保核心。 第一版分级能覆盖七八成关键数据，就是胜利，剩下的边用边补。我见过有公司为了"分得更细"折腾了半年，最后一张表都没落地——细而不用的分级，等于没分。
提醒二：分级是持续保养，不是一次性工程。 业务在变，数据在变，级别也要跟着调。新上一个系统、多收一类客户信息，就要问一句：它该进哪一档？
提醒三：分完必须落到动作，不然白干。 每个级别后面要跟着具体管控：谁能看、怎么传、存多久、删的时候怎么办。没有动作配套的分级，就是给文件改了个文件名。
五、这笔账，越算越划算
投入端有多省？一张Excel、一两次部门盘点会，再加一个外发审批的小动作。几乎不花现金，花的是注意力。
收益端，算三笔：
省防护钱：以前不知道要害在哪，只能所有系统都上全套防护；分级之后，核心数据重点保、一般数据常规保，安全预算立刻有了主次。 省应急钱：真出事时，你几分钟就能答上"泄露的是哪类数据、影响多少人"，应对快，代价就小。反过来，像阿美那样连表里有什么都说不清，只剩全面被动。 省机会钱：现在大客户验厂、招投标、银行贷款，越来越多要过数据安全这道关。人家一句"你们数据怎么管理的"，你如果能当场掏出分级台账，和支支吾吾说"应该还行"，拿到的订单和贷款利率，不会是一个水平。一份像样的分类分级台账，就是你的入场券。
六、节奏建议：一个季度打样，一年成体系
第1-2周：台账先行。全员数据盘点，先把"家底清单"立起来。 第3-6周：分类分级。核心部门带头，把客户数据、经营数据这些高频高危的先分完、定级、上措施。 第2-3个月：制度固化。把分级结果接进日常动作——外发审批、权限调整、新员工培训，都按级别来。 往后每年：复审一次。数据搬了家、业务转了型，级别跟着刷新。
听我一句劝：别等万事俱备才动手。先管住最要命的那张表，你就已经赢了大多数同行。
七、今天就能做的5件事
找客服、销售、财务各要一张他们手头的"常用表"清单，看看里面都装着什么。 把含客户手机号、收货地址的表格单独拎出来，设访问权限，别再全员共享。 发一份《外发审批》小规定：重要及以上级别的数据外发，必须经负责人确认，留好记录。 把员工个人微信、个人网盘里的工作文件收归公司平台，能收多少收多少。 挑一张"最要命的表"，给它定个级、写清管控要求，作为全公司的样板。
八、写在最后
阿美后来把那张"万能表"拆成了三张：公开统计用的、内部经营用的、加锁封存谁都不动的。小柯再要做统计，拿到的只是脱敏后的版本。
她跟我说："早知道就是分个类的事，我何苦接那三天投诉电话。"
数据就像仓库：杂货、贵重物品、危险品堆在一起，迟早出事。分区存放、分级上锁，不是折腾，是常识。
九、聊聊你的情况
你公司的客户资料、报价单这些，现在是怎么管的？
A. 分门别类，权限分明 B. 有文件夹，但基本谁都能进 C. 散落在各处，没整理过 D. 第一次意识到这事重要……
评论区聊聊，你的做法，可能就是别人的答案。
免责声明：文中案例基于真实事件改编，人物均为化名。法规引用：《中华人民共和国数据安全法》（2021年施行）、《网络数据安全管理条例》（2025年1月1日施行）、GB/T 43697-2024《数据安全技术 数据分类分级规则》；行业引用：IBM《Cost of a Data Breach Report 2026》。本文仅为安全建设建议，具体实施请结合企业实际情况。