数据安全建设较怕的错觉：投了钱买了系统，就觉得防线牢了。真实的漏洞从来不在采购清单上，在细节的缝隙里。这份十五问的自检表，按数据的流转路径设计，企业管理者可以逐项过一遍，答案里藏着防线的真实成色。
通道篇：数据进出的口子。
问一：U盘拷贝管住了吗——外来U盘插上能不能直接拷走文件？管住的标准：非授权的设备禁用、授权的设备加密、拷贝的行为有日志。
问二：网盘跟邮箱的外发管住了吗——员工把工作文件传个人网盘、发私人邮箱，通道是敞的还是受控的？
问三：即时通讯的文件传输管住了吗——微信、钉钉这类工具的文件外发，是放任还是留痕？
问四：打印跟截屏管住了吗——敏感文档的打印有没有水印跟审批，截屏有没有溯源的标记？
存储篇：数据放哪里。
问五：核心数据的存放清楚吗——商业秘密的文件具体在哪些目录、哪些系统、谁有权限，能一口气回答吗？
问六：数据的分类分级做了吗——全公司的文件一个权限级别，还是按敏感度分了层级？
问七：备份数据的安全同等了吗——主数据防得严实，备份服务器敞着门，这是常见的盲区。
人员篇：谁在碰数据。
问八：权限的台账在吗——每个人的系统权限有清单吗，还是以离职回收的时候才发现对不上账？
问九：离职的权限回收闭环吗——从提离职到账号冻结，中间的时间窗有多长？
问十：第三方的权限管了吗——外包人员、供应商、实习生的系统权限，跟正式员工是同一套管理吗？
技术篇：防线本身。
问十一：加密的覆盖面够吗——核心的设计文件、源代码、客户资料，落地是密文还是明文？
问十二：屏幕的拍照泄密防了吗——核心数据的展示界面有水印吗，拍照流出能溯源到人吗？
问十三：审计的日志有人看吗——系统记了一堆日志，有没有人定期分析，还是存着吃灰？
管理篇：体系的软实力。
问十四：制度跟培训到位吗——数据安全的管理制度有吗，全员的安全意识培训一年一次都没有吗？
问十五：出事的预案演练过吗——真发生泄密，响应的流程、取证的准备、法律的路径，纸上写过还是演练跑过？
十五问的判分标准：答案能落在有、闭环、演练过这类硬词上的，算过关；回答大概是、应该有、没出过事的，都是失分项。
自检之后的补课路径，按优先级排。先补通道（问一到四）——数据外流的口子先堵上，这是止血；再补存储跟权限（问五到九）——家底摸清、权限收紧，这是健体；然后补技术（问十一到十三）——加密、水印、审计的技术深度的加固；末了补管理（问十四十五）——制度跟演练的常态化。
这份自检表背后，是数据安全建设的通用框架：通道、存储、人员、技术、管理五个维度，缺一个维度，防线就是瘸的。江苏敏捷科技给政企客户做数据安全咨询的切入点，多数就是一场自检开始——先把漏的地方找出来，再谈方案怎么补。上万家客户的案例库里，没有两家企业的漏洞清单是一样的，但框架是通用的。
自检的频率给个建议：十五问的全量自检一年两次，年中跟年末各一次；通道篇的四问每季度过一遍——口子的变化较快，新工具的流行、新业务的上线，都在悄悄开新口子。自检的记录留档，跟等保测评、ISO的年审对得上，监管检查的时候这些档案就是管理到位的证明。
最后的收尾建议：自检的牵头人要够分量。IT部门牵头的自检容易变成技术自查，业务侧的问题看不见；老板牵头的自检又容易走过场。比较有效的组合是管理层授权加安全部门执行：管理层给自检的权威性，安全团队给专业性，业务的配合度才提得起来。数据安全是全公司的事，自检的责任也该是全公司的。
自检的价值不在打分，在照镜子。数据安全这件事，看不见漏洞的时候较危险，看见的那一刻，补的方向就有了。十五个问题过完，防线的家底就清了。
