常用数据保护方法可以按“数据本身、终端/网络、备份恢复、管理流程”四层来看。单纯靠加密或防火墙都不够，最好组合使用。
1. 数据分类分级
先识别企业有哪些敏感数据，比如客户资料、财务数据、图纸、源代码、合同、日志、备份数据，再按公开、内部、敏感、机密分级，不同级别采用不同保护措施。
2. 加密保护
- 存储加密：数据库、文件服务器、终端硬盘、U 盘等静态数据加密。
- 传输加密：使用 HTTPS、SSL/TLS、VPN、IPSec 保护网络传输。
- 密钥管理：加密密钥要集中保管、定期轮换，避免“数据加密了但密钥失控”。
3. 访问控制与身份认证
采用最小权限、RBAC 角色权限、多因素认证 MFA、定期回收离职/转岗人员权限，防止账号被滥用。
通过终端 DLP、网关 DLP、外发审批、水印、剪贴板管控、USB 管控、打印管控，防止敏感文件被拷贝、外发、打印或上传网盘。
5. 数据脱敏与匿名化
开发、测试、数据分析场景下，对姓名、手机号、身份证、薪资等敏感字段做脱敏或替换，避免生产数据直接流出。
6. 备份与恢复
按 3-2-1 原则保留备份：至少 3 份数据、2 种存储介质、1 份异地/离线备份；并定期做恢复演练，确保勒索病毒、误删、硬件故障后能恢复。
7. 容灾与高可用
对关键业务采用数据冗余、集群、异地容灾、自动故障切换，保证系统宕机或机房故障时业务不中断。
8. 日志审计与监控
记录登录、访问、导出、打印、外发、权限变更等操作，设置异常告警，便于事后溯源和合规审计。
9. 终端与网络安全
包括杀毒/EDR、补丁管理、防火墙、入侵检测、网络隔离、VLAN 分段、零信任接入、远程办公安全等。
10. 数据生命周期管理
从数据创建、使用、共享、归档到销毁全程管理；不再使用的数据要安全删除或销毁，避免残留泄露。
11. 管理制度与人员培训
建立数据安全制度、外发审批流程、权限审批流程、事件响应预案，并定期对员工进行安全意识培训。很多泄密不是技术失效，而是人员误操作或权限失控。
如果按优先级落地，可以先做：分类分级 + 加密 + 访问控制 + 备份恢复 + 日志审计，再逐步补上 DLP、脱敏、容灾和零信任接入。