郑州某科技公司未对企业重要数据进行分级分类管理、系统日志未脱敏导致敏感数据泄露案

【案件背景】
2024年11月，郑州市互联网信息办公室在例行网络安全检查工作中发现，郑州某科技有限公司所属数据库系统存在严重安全隐患，导致大量敏感数据被窃取。经深入调查，该公司是一家为本地企业提供信息化解决方案的技术服务商，在数据库中存储了客户企业的员工姓名、身份证号、手机号、邮箱地址等大量个人敏感信息。

【违法事实】
经郑州市网信办调查认定，该公司存在以下违法事实：一是未按照《数据安全法》第二十一条的要求对企业所持有的重要数据进行分级分类管理——所有敏感程度的个人数据均混合存储在同一个数据库中，未区分一般数据与重要数据的保护级别；二是数据库系统配置不当，存在未授权访问漏洞，攻击者通过漏洞成功登录数据库并查看、下载数据；三是系统访问日志功能未开启、重要的通联日志留存不足六个月，违反了日志留存法定要求；四是系统日志存储时未对用户个人敏感信息进行脱敏处理，进一步加剧了数据泄露风险。

【处罚决定】
郑州市网信办依据《数据安全法》第二十七条（未建立全流程数据安全管理制度）、第四十五条之规定，对该公司作出责令改正、给予警告、并处人民币5万元罚款的行政处罚。同时要求该公司在60日内完成数据资产梳理和分类分级方案的制定，并报网信办备案。

【典型意义】
本案是《数据安全法》实施以来直接以'未对企业重要数据进行分级分类管理'为违法事实之一的典型案例，具有重要警示意义。一是数据分类分级不是理论要求而是法定强制义务——企业必须对持有的全部数据进行资产清查，按照一般数据、重要数据、核心数据三级框架进行定级，并实施差异化的安全保护措施。二是'混合存储'本身就是一种安全缺陷——不同敏感级别的数据应有不同的访问控制和加密策略，将所有数据集中存放等于把鸡蛋放在一个篮子里。三是日志留存和脱敏处理是分类分级管理的基础配套设施，未脱敏的日志本身可能成为新的泄露源。本案对中小科技企业建立数据分类分级制度具有直接的合规指引价值。