2026 年初，一起“网络开盒”事件再次引发社会对个人信息安全的广泛关注。
中华人民共和国最高人民检察院发布的一批个人信息保护公益诉讼典型案例中，浙江杭州的一起案件格外引人注目：某网民在网络平台上恶意公开他人的姓名、住址、联系方式等信息，引发持续骚扰和网络暴力。检察机关最终依法提起民事公益诉讼。
与此同时，另一类更加隐蔽的风险也在不断浮出水面。部分犯罪团伙通过非法获取医疗系统数据实施精准诈骗，甚至出现医疗机构内部人员倒卖逝者及家属信息的情况。这些数据往往包含身份证号、联系方式、病历信息等高度敏感的个人身份信息（PII）。
类似事件在香港同样频繁出现。今年早些时候，香港个人资料私隐专员公署披露了一起典型“起底”案件：一名男子因商业纠纷，在即时通讯群组中公开发布他人的香港身份证、港澳居民来往内地通行证以及驾驶证照片。根据相关法律，该行为可能面临最高 100 万港元罚款及 5 年监禁的处罚。
这些案例说明了一件事：个人身份信息（PII）泄露早已不只是黑客攻击问题，更常见的原因其实是内部权限滥用、数据管理失控以及审计能力不足。
在《个人信息保护法》以及《个人资料（私隐）条例》的双重监管环境下，企业需要重新思考自己的 PII 保护策略。
为什么企业的 PII 数据如此容易泄露？
在大量数据安全事件复盘中，可以发现企业往往存在三个普遍问题。
1.权限蔓延：内部访问范围不断扩大
许多企业在系统建设初期并没有严格设计权限模型。随着员工岗位变化、项目调整以及系统升级，越来越多的用户获得了对敏感数据的访问权限。部分员工甚至可以访问与其工作完全无关的客户信息或员工信息。
这种“权限蔓延”现象一旦长期存在，就会让 PII 数据暴露在大量不必要的访问者面前。
2.AI 办公工具带来的新型数据泄露风险
AI 办公正在迅速普及，越来越多员工在日常工作中使用 Microsoft Copilot 等工具。但与此同时，一个新的问题也开始出现：员工在 AI 对话中输入客户信息、身份证号码或内部文件内容。这些 AI 交互记录本身就可能成为新的数据暴露点。如果企业没有建立相应的数据安全监控机制，这类风险往往难以及时发现。
3.数据审计与调查效率极低
当数据泄露事件发生时，安全团队往往需要回答几个关键问题：
- 谁访问了敏感数据
- 访问发生在什么时候
- 访问了哪些文件
- 是否存在异常行为
但现实中，这些信息通常分散在不同系统日志中。安全团队往往需要花费数天甚至更长时间进行手工分析。
在面对监管调查或客户质询时，这种效率显然难以满足要求。
一个真实企业场景：PII 风险往往来自内部
一家制造企业在内部安全检查中发现了一个典型问题。
该企业的人力资源部门在文件服务器中存储了大量员工身份证扫描件与银行信息。由于历史权限配置混乱，超过 200 名员工都拥有该文件夹的读取权限。其中包括部分已经转岗的员工以及外包人员。如果这些数据被下载并传播，不仅会触发监管调查，还可能对企业声誉造成严重影响。在进行权限梳理和数据审计后，该企业最终将可访问该目录的人员数量减少了 90% 以上，并建立了持续的访问监控机制。
这一案例说明：PII 泄露很多时候不是“黑客入侵”，而是企业内部缺乏持续的数据安全管理能力。
如何建立真正有效的 PII 防护体系？
在现代企业环境中，PII 保护需要从三个层面进行系统化建设。
数据发现与分类
首先，企业必须清楚敏感数据到底在哪里。
通过数据扫描与内容识别技术，可以自动识别包括身份证号码、香港身份证号、护照号码、医疗信息等敏感数据，并建立统一的数据资产视图。
用户行为监控
在明确数据位置后，企业需要持续监控用户行为，包括：
- 访问
- 修改
- 下载
- 删除
- 外部分享
一旦出现异常行为，例如短时间内大量下载敏感文件，系统需要立即触发告警。
计与调查能力
当事件发生时，企业必须能够快速回答监管或管理层的问题：
谁在什么时候访问了哪些敏感数据？
具备快速审计能力的企业可以在几分钟内完成调查，而不是在海量日志中进行长时间的人工搜索。
利用数据安全平台实现持续 PII 保护
在企业实践中，越来越多组织开始通过统一的数据安全平台来实现 PII 保护。例如，Lepide 提供的数据安全解决方案能够帮助企业实现以下能力：
敏感数据自动发现
通过扫描文件服务器、数据库以及云平台（如 Microsoft 365），识别包含 PII 的数据资产。
权限可视化与最小权限治理
分析 Active Directory 和文件系统权限结构，识别过度授权用户，并帮助企业逐步落实最小权限原则。
数据访问行为监控
实时记录所有用户对敏感数据的访问、修改和下载行为，并在发现异常时触发告警。
AI 时代的数据安全：从日志审计到智能分析
随着 AI 技术的发展，数据审计方式也在发生变化。Lepide Data Security Platform 在最新版本中引入了 Lepide AI 功能，使安全团队能够通过自然语言直接查询安全事件，例如：
- 谁在过去一周访问过包含身份证号码的文件
- 哪些用户下载了客户 PII 数据
系统可以自动分析相关日志并提供完整的行为上下文，大幅缩短安全调查时间。对于需要同时满足内地与香港监管要求的企业来说，这种能力能够显著提升数据安全管理效率。
结语
从杭州的“网络开盒”到香港的“起底”案件，现实世界的案例不断提醒企业：个人身份信息保护已经成为企业数据安全治理的核心问题。
在数字化和 AI 办公不断发展的今天，企业必须具备以下能力：
- 清晰识别敏感数据位置
- 严格控制访问权限
- 持续监控用户行为
- 快速完成安全审计
只有建立系统化的数据安全管理体系，企业才能真正降低 PII 泄露风险，并在复杂的监管环境中保持合规运营。保护 PII 不仅是法律要求，更是企业赢得客户信任的重要基础。
在实际落地过程中，很多企业往往会遇到类似的问题：
- 企业内部到底有哪些系统正在存储 PII 数据？
- 哪些员工真正拥有访问这些数据的权限？
- 是否存在过度授权或历史遗留权限？
- 当监管机构要求提供审计记录时，是否能够在短时间内给出完整的访问证据？
这些问题往往只有在真正开展一次系统化的数据安全评估时才会显现出来。
基于多年在数据安全领域的实践经验，Lepide 团队已经为金融、制造、互联网以及医疗等行业的企业提供过 PII 数据安全治理支持。如果企业希望了解当前内部 PII 数据的暴露风险，或者评估现有权限体系与审计能力是否符合监管要求，可以通过技术交流或安全评估的方式进行进一步了解。
在数据安全风险不断演变的今天，尽早建立可持续的数据可见性与审计能力，往往比在事件发生后补救要更加重要。
