数据安全工程技术人员（中级）三色笔记

从业人员应遵守法律法规和单位合规制度，发现数据违规问题应通过内部报告渠道处理，不得擅自公开、删除或置之不理。

“最小必要”原则要求从业人员仅访问和操作完成任务所必需的最少数据与权限，避免过度收集、长期留存和账号共享。

离职时应按规定交接、归还设备、清除数据、终止权限并继续保密；私自留存、备份或保留账号均违反职业守则。

《数据安全法》第二十一条规定，国家建立数据分类分级保护制度，各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。

《数据安全法》第三十条规定，重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。

《数据出境安全评估办法》第四条规定，数据处理者向境外提供重要数据，或者符合特定数量、主体条件的个人信息等情形，应当申报数据出境安全评估。向境外提供重要数据属于法定申报情形。

最小必要原则要求收集个人信息限于实现处理目的的最小范围，并与处理目的直接相关。注册功能只需手机号等必要信息，通讯录、相册、精确位置与注册无关，不得以拒绝授权为由拒绝提供服务；隐私政策告知不等于可以超范围收集，非个人信息的概念也不能成为任意收集的理由。

HTTPS 的机密性与完整性依赖于对服务器证书的有效性校验。关闭校验后客户端无法识别服务器身份真伪，攻击者可用自签证书冒充服务端实施中间人攻击，导致支付数据被窃听或篡改。信任所有证书不会导致握手失败，也不只是性能问题。

HMAC 基于密钥和消息摘要算法生成校验值，能够检测数据是否被篡改，满足完整性保护需求。ZIP 压缩、重命名、Base64 编码只改变数据形式或体积，均不具备任何防篡改能力，Base64 甚至只是编码而非加密。