第二章：合规框架入门：国内外数据安全法规对库存系统的要求
说实话，很多做库存系统的朋友，一听到「合规」两个字就头大。我当年也一样。
记得我刚接手一个大型仓储系统的安全审计时，老板扔给我一句话：「把合规搞一搞，别让人查出事来。」我当时心里想的是——合规？不就是填表吗？
后来被罚了一次款，才明白这玩意儿真不是闹着玩的。
今天我就跟你聊聊，咱们库存管理系统到底要面对哪些数据安全法规。说白了，就是帮你搞清楚：法律到底要你管什么？
2.1 为什么库存系统也逃不掉数据合规？
你可能觉得，库存系统嘛，不就是管管货品数量、入库出库？跟用户隐私有什么关系？
嗯，这里有个误区。
我举个例子。你想想看，一个电商库存系统里，是不是存着用户的收货地址、联系电话、购买记录？一个医疗库存系统里，是不是有患者信息、药品流转记录？
这些数据，一旦泄露，后果很严重。
我在项目中遇到过一家企业，他们的库存系统被拖库了。黑客拿到的不是商品数据，而是几百万条用户地址和手机号。最后被监管部门罚了上千万。你说冤不冤？其实不冤，因为系统根本没做数据分类分级。
核心观点：库存系统不是「数据孤岛」，它往往是个人信息和重要数据的交汇点。合规不是选择题，是必答题。
2.2 国内三大法：库存系统必须知道的底线
国内目前跟库存系统最相关的，就是这三部法律：
- 《网络安全法》——2017年实施，管的是「系统安全」
- 《数据安全法》——2021年实施，管的是「数据安全」
- 《个人信息保护法》——2021年实施，管的是「个人信息」
这三部法律，我习惯把它们比作三道防线。下面我逐个拆解。
2.2.1 网络安全法：先保证系统别被攻破
网络安全法对库存系统的要求，说白了就是：你的系统得扛得住攻击。
具体来说，有这么几条硬杠杠：
- 等级保护制度：库存系统如果涉及大量用户数据，一般要过等保二级或三级。我见过不少企业，系统上线了才想起来做等保，结果整改成本翻了三倍。
- 日志留存：网络日志至少保存6个月。库存系统的操作日志、登录日志、接口调用日志，一个都不能少。
- 应急响应：你得有安全事件应急预案。我曾经帮一家客户做审计，发现他们的应急方案写的是「发现漏洞立即修复」——这等于没写。
我的建议：库存系统上线前，先把等保测评做了。别等出事了再补，那时候成本高得多。
2.2.2 数据安全法：数据分类分级是第一步
数据安全法对库存系统最大的影响，就是数据分类分级。
什么意思呢？就是你要把库存系统里的数据，按照重要程度分成三六九等。
我个人习惯这样分：
| 数据类别 | 举例 | 保护要求 |
|---|---|---|
| 核心数据 | 库存总账、财务对账数据 | 加密存储、严格访问控制、定期备份 |
| 重要数据 | 供应商信息、采购价格、客户订单 | 脱敏展示、权限分级、操作审计 |
| 一般数据 | 商品名称、库存数量（非敏感） | 基本访问控制 |
这里有个坑。我曾经遇到一个项目，他们把「供应商联系方式」归为一般数据。结果供应商信息被内部员工批量导出，卖给了竞争对手。这就是分类没做好。
避坑指南：数据分类不是一次性的。业务变了，数据类别也要跟着变。我建议每半年重新评估一次。
2.2.3 个人信息保护法：库存系统里的「人」怎么办？
个保法主要管的是「个人信息」。库存系统里哪些算个人信息？
- 收货人的姓名、电话、地址
- 仓库管理员的工号、指纹、人脸（如果用了生物识别）
- 供应商联系人的手机号、邮箱
个保法对库存系统的要求，我总结成三条：
- 告知同意：收集用户地址用于发货，你得告诉用户。不能偷偷摸摸。
- 最小必要：只收集发货必需的信息。比如你不需要知道用户的生日、性别。
- 删除权：用户要求删除个人信息，你得在合理时间内删掉。库存系统里如果存了历史订单，要注意区分「订单数据」和「个人信息」。
嗯，这里要特别提醒一下。很多库存系统会把用户地址直接明文存到数据库里。这在个保法下是违规的。我建议至少做一下脱敏处理，比如显示「北京市朝阳区***」。
2.3 国际法规：出海企业要留个心眼
如果你的库存系统要服务海外客户，那还得关注国际法规。
最典型的就是欧盟的GDPR（通用数据保护条例）。
GDPR对库存系统的要求，跟个保法类似，但更严格：
- 数据跨境传输：欧盟用户的数据不能随便传到中国。你得有合法依据，比如标准合同条款。
- 数据保护官：处理大量欧盟用户数据的企业，必须指定DPO。
- 72小时通报：发生数据泄露，必须在72小时内通知监管机构。
我帮一家跨境电商做过合规改造。他们的库存系统里存了欧洲用户的地址，但服务器全在中国。这就涉及数据跨境问题了。最后我们做了数据本地化部署，才合规。
一句话总结：国内法规管「能不能做」，国际法规管「怎么做」。出海企业两条线都要守。
2.4 知识体系总览：一张图看懂
下面我用一张图，把这一章的核心逻辑串起来。你一看就明白了。
这张图你看懂了吗？从上往下，就是一条清晰的合规路径：先搞清楚你的库存系统属于哪个法规管辖范围，再针对性地做落地动作。
2.5 实战建议：从今天开始能做什么？
说了这么多，你可能觉得有点虚。我直接给你三个可执行的动作：
- 盘点数据资产：打开你的库存系统数据库，列一张表，看看存了哪些字段。哪些是个人信息？哪些是核心数据？先分清楚。
- 检查日志系统：看看操作日志是不是全量记录了？保存时间够不够6个月？如果不够，赶紧改。
- 制定分类分级方案：不用太复杂，先分三级就行。关键是落地执行。
一个小技巧：我习惯用Excel先做数据资产盘点。列三列：字段名、数据类型、敏感级别。做完之后，合规的底子就有了。
好了，这一章就聊到这儿。合规这件事，说白了就是「把该做的事做到位」。别怕麻烦，等出了事再补救，那才是真麻烦。