去年一家医疗器械企业出了件事，让我到现在想起来还后怕。一个销售主管离职，走之前用U盘拷走了两年的客户数据，包括联系方式、采购记录、合同金额。三个月后，这些客户开始接到他新公司的推销电话。

客户投诉了。行业主管部门介入调查，以数据安全管理不到位为由，开了50万的罚单。老板打电话给我的时候说了一句话：匠心，我搞了两年数字化，花了几百万，但安全防护是裸奔的。

这不是孤例。工信部2025年的调查数据很扎心：58%的中小企业在数字化转型中，安全投入不到IT总预算的5%。大量企业花大钱上系统、上云、上AI，但数据安全基本靠员工的自觉和公司的信任。这不是数字化，这是数字化裸奔。

我后来帮这家企业做了三件事。

一件事是权限分级。以前所有销售能看到所有客户数据，现在是按区域、按级别分层授权。而且谁在什么时间看了什么数据，系统全留痕。第二件事是数据防泄漏。U口禁用、文件外发审批、敏感数据自动脱敏。不是不信任员工，是用技术把人性里的风险管住，别把所有安全寄托在员工的忠诚上。第三件事是备份加灾备。核心数据实时备份到异地的加密服务器，就算服务器被勒索病毒锁了，也能在四个小时内恢复。

做完这套东西之后，老板跟我说：以前我觉得安全是成本，现在才知道安全是保险。50万的罚款交了也行，你知道最可怕的是什么吗？是客户知道你数据泄露以后，还敢不敢跟你做生意。那个被泄露数据的客户，有四个直接终止了合作。这才是最大的损失。

还有一件事很多老板忽略了——安全不是一次性投入。系统上线以后，得有定期检查、有应急演练、有员工培训。你买了一个防火墙不等于安全了，就像你装了一扇防盗门但从来不锁一样。安全是一个持续的过程，不是一个产品。

这里有一个观点我想特别强调：数据安全不是技术部门的事，是老板的事。为什么？因为数据泄露最大的受害者不是IT经理，是老板本人。客户丢了、品牌砸了、合规风险来了，最后买单的都是企业主。很多老板觉得我是小企业没人惦记我的数据，但数据显示，数据泄露事件里，中小企业的占比是67%。不是因为你数据不值钱，是因为你好下手。

花在安全上的每一块钱，都是为自己买的保险。别等到被罚了、客户跑了才想起来补漏。最后说一个实操建议：如果你不知道从哪开始做数据安全，先做三件事。第一，把核心客户数据和财务数据备份到异地，这是底线。第二，排查一遍谁有哪些系统的权限，不该有的人立刻收回。第三，给全员做一次半小时的数据安全意识培训。这三件事的成本几乎为零，但能防住80%的常见数据泄露。花小钱办大事，这才是中小企业安全的正确打开方式。

— 纵横有道 · 匠心 | 数字化不穿衣服，早晚会感冒