问题 / 你大概正在遇到
供应商都说安全，但出事时谁负责说不清。
数据主权不是法律声明，是五个可验证的能力：谁存、谁看、谁备份、谁审计、能不能走。
一、先划责任边界
三种形态：SaaS（服务商运维）、自托管（你运维）、本地安装（你的电脑）。选择标准不是价格，而是"谁愿意承担运维"。
细节见：私有化还是 SaaS · 私有化的真实成本 · 数据主权的三个问题
二、谁能看：权限与分级
两级模型：角色（管理员/编辑/只读）+ 范围（本人/本组/全部）。数据分四级：公开、内部、敏感、机密。
三、怎么防丢：备份与演练
每日备份到离线位置，保留 8 周，半年做一次恢复演练。没演练过的备份等于没有备份。
四、怎么追责：日志与密钥
至少记三类日志：登录、权限变更、批量导出，且单独存放。密钥不进仓库、不上聊天、定期轮换。
五、怎么走：退出与迁移
合同写清：全量导出、通用格式、停服可继续使用当期版本。迁移走四步：盘点、导出、并行、只读归档。
六、人走了怎么办
离职当天：停账号、轮换密钥、交接客户、归档文档。突然离职先从日志反推最近动作。
细节见：离职账号回收
七、一张自查表
| 问题 | 能回答吗 | 不能就去读 |
|---|---|---|
| 数据存在哪 | 是/否 | 数据主权 |
| 谁能看 | 是/否 | 权限设计 |
| 多久没备份 | 能查到 | 备份与演练 |
| 能全量导出吗 | 是/否 | 供应商锁定 |
八、边界
战簿的私有化版本把数据放在客户自己的 git 仓库里，不含总账与库存明细——那是 ERP 的职责。我们能承诺的是"页面不装追踪脚本、数据不出你的机器"，不是"你不需要运维"。
RELATED // 继续读
相关的几篇（含跨分类）
- 私有化还是 SaaS：先算清三笔账再决定 · 数据与私有化
- 私有化部署的第一课：备份比防攻击更重要 · 数据与私有化
- 数据主权不是口号：三个问题问清「谁真正拥有数据」 · 数据与私有化
- 云 ERP 还是本地部署：按「谁运维」决定，而不是按价格 · ERP 与系统选型
更新记录
- 2026-10-29 · 首版发布（本分类总览与子专题索引）
- 2026-10-30 · 补入子专题至 27 篇，校对全部内链与数据口径
内容有更新会在这里记一行；没有新条目说明内容未变。