混合部署怎么划边界：哪些数据必须留在本地，哪些能力可以放到云端

一、「混合部署」不是折中方案，而是一条可以画出来的数据边界

在选型讨论里，混合部署经常被当成一种妥协：既想保留本地化的可控性，又想用云端的弹性与便利。这种理解会让讨论停在「要不要上云」这个层面，而真正决定项目成败的问题更具体——哪一条边界可以画在系统之外，哪一条必须画在系统之内。边界画错，后面所有关于性能、成本、运维的讨论都是无效的。

比较有效的起点是先承认一件事：数据的分类分级决定部署形态，而不是反过来。监管要求本身就是按数据类别分层的。《会计信息化工作规范》（财会〔2024〕11 号，财政部 2024 年 7 月 26 日印发，2025 年 1 月 1 日施行）第四十二条要求，单位会计信息系统数据服务器的部署应当符合国家有关规定；如存在单位在境外设立分支机构等情形、其数据服务器部署在境外的，应当在境内保存电子会计资料备份，备份频率不得低于每月一次，且境内备份的电子会计资料应当能够在境外服务器不能正常工作时，独立满足单位开展会计工作的需要以及财会监督的需要。

这一条实际上给了一个很好用的判断标准：真正的边界不是「服务器在哪儿」，而是「断开外部依赖之后，业务还能不能独立跑完」。按这个标准去审视每一种混合部署方案，含糊的地方会立刻显形——很多方案在常态下运行良好，一旦外部链路中断，连一份完整的月度报表都出不来。

二、哪些数据必须留在本地：三个可操作的判据

判据一：法律明确要求境内存储的。《中华人民共和国网络安全法》第三十七条规定，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储；因业务需要确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。《中华人民共和国数据安全法》第三十一条对这一规则作了分工：关键信息基础设施运营者在境内运营中收集和产生的重要数据，其出境安全管理适用网络安全法的规定；其他数据处理者的重要数据出境安全管理办法，由国家网信部门会同国务院有关部门制定。《中华人民共和国个人信息保护法》第三十八条列明了个人信息出境的三条路径——通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、或符合个人信息出境标准合同的规定；第四十条则对关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的处理者进一步要求，应当将在境内收集和产生的个人信息存储在境内，确需向境外提供的应当通过安全评估。财务系统里的员工个人信息、供应商与客户的账户信息、银行账户与工资数据，都落在这个范围内。

判据二：本单位被认定为重要数据处理者的。《网络数据安全管理条例》（国务院令第 790 号，2024 年 9 月 24 日公布，2025 年 1 月 1 日施行）第二十九条要求网络数据处理者按照国家有关规定识别、申报重要数据；第三十条要求重要数据的处理者明确网络数据安全负责人和网络数据安全管理机构；第三十一条要求提供、委托处理、共同处理重要数据前进行风险评估；第三十三条要求重要数据的处理者每年度开展风险评估并向省级以上有关主管部门报送风险评估报告。这套义务不会因为部署形态变化而消失，只会改变履行方式——完全本地部署时，评估对象主要是内部系统与内部流程；一旦把部分能力放到云端，云端服务商就进入评估链条，成为需要一并评估并写入报告的一环。

判据三：财会监督与审计需要随时可及的。财会〔2024〕11 号第三十一条要求，符合电子凭证会计数据标准的入账信息结构化数据文件应当与电子会计凭证同步归档。审计与财会监督往往要求原始数据可随时调取比对，如果一份凭证的主体文件在本地、结构化数据文件在云端，每次核对都要跨链路取数，成本会迅速上升，而且一旦链路故障，核对本身就无法完成。这条判据的实操含义很明确：归档环节建议整体留在本地，不做拆分。

三、哪些能力适合上云：四类低风险场景与一条禁区

云端的价值集中在两类能力上：一是弹性计算，二是生态连接。财务场景里，真正适合放到云端的能力通常是「读多写少、可脱敏、结论可复算」的那几种。具备这三个特征的场景，即便云端服务中断，业务也只是变慢，不会失去依据。

1. 报表与看板的展示层：数据在本地完成汇总后以只读方式推送到云端，云端不留存明细
2. 移动端审批与消息推送：流程引擎留在本地，云端只做消息通道，审批指令与业务数据不下沉
3. 电子凭证的接收与查验通道：与外部单位系统对接的接入层可以上云，凭证原文件回写本地归档
4. 非敏感的数据分析与模型训练：使用脱敏后的数据集，训练产物需在本地复核后方可用于对外报告

需要画一条明确的禁区：任何会形成「第二份权威账」的能力不应上云。也就是说，云端可以缓存、可以展示、可以计算派生指标，但不能成为任何一个会计主体数据的事实来源。一旦两地同时存在可作为依据的账套，对账成本、责任划分与审计风险都会迅速恶化。判断方法很直接：如果云端机房断电，会不会出现「有人因为拿不到数据而无法出具一份正式报表」的情况？如果答案是会，这项能力就越过了边界。

还有一类容易被忽略的能力——电子会计凭证的校验与防重复入账。财会〔2024〕11 号第二十五条要求单位通过完善会计信息系统功能、建立比对机制等方式，对接收的电子原始凭证等会计数据进行验证，确保来源合法、真实，对任何篡改能够发现，并设置必要程序防止其重复入账。这项能力依赖全量凭证数据的比对，天然属于本地职责，不应因为「查验接口在云端」而一并外移。

四、网络与安全边界：三条链路、两种失败模式

混合部署的网络设计要围绕三条链路展开：本地业务网到本地数据区的内部链路、本地到云端的受控链路、以及外部单位到系统的接入链路。三条链路的威胁模型不同，控制重点也不应相同。

财会〔2024〕11 号第二十条要求，单位应当根据实际情况开展本单位会计信息系统与财政、税务、银行、供应商、客户等外部单位信息系统的互联，实现外部交易信息的集中自动处理。这条要求本身就意味着系统边界天然是开放的，混合部署不能以「减少连接」为目标，而应以「每条连接都可控、可查、可关断」为目标。

两种失败模式必须提前设计。第一种是链路中断：本地与云端之间的通道断开时，业务流程应当降级运行而不是整体停摆，这要求本地保留一份最小可用功能集，并且明确哪些操作在降级期间允许、哪些必须暂停。第二种是云端服务终止：《会计软件基本功能和服务规范》（财会〔2024〕12 号，财政部 2024 年 7 月 29 日印发，2025 年 1 月 1 日施行）第四十三条要求，以远程访问、云计算等方式提供服务的会计软件服务商，应当做好本服务商不能维持服务的情况下保障用户电子会计资料安全以及单位会计工作持续进行的预案，并在相关服务合同中与用户就该预案做出约定。这条要求虽然是对服务商提的，但落进合同就变成了用户的谈判筹码——预案是否具体、能否演练、演练结果是否留档，都应在签约前确认清楚。

五、合同与制度里必须写清的六件事

混合部署的风险有相当一部分不在技术层面，而在合同与制度层面。技术方案可以调整，合同条款一旦签错，后续几年都要承担后果。以下六件事建议逐条落到书面。

1. 数据归属与导出权：明确用户数据归用户所有，服务商应提供符合国家统一标准的数据接口供导出，不得以任何理由拒绝
2. 服务终止预案：写明服务商不能维持服务时的数据交接方式、时限与责任
3. 数据分类分级清单：哪些数据在本地、哪些可上云，逐类列明，作为双方共同遵守的边界文件
4. 处理情况记录保存年限：向其他处理者提供或委托处理个人信息、重要数据的，处理情况记录至少保存 3 年
5. 安全事件通知与报告：事件发生后通知利害关系人的方式与时限，向主管部门报告的责任方
6. 年度风险评估的配合义务：云端服务商配合完成风险评估所需材料的内容与时限

其中第四项容易被漏掉。《网络数据安全管理条例》第十二条明确要求，向其他网络数据处理者提供、委托处理个人信息和重要数据的处理情况记录，应当至少保存 3 年。这条对混合部署尤其关键：只要有一部分能力放到云端，就存在向其他处理者提供数据的动作，记录义务随之产生。合同里没有约定由谁留存、存多久，日后检查时很难补齐。

六、一页纸的混合部署决策清单

这六项里只要有一项答不上来，就不应急于确定混合部署方案。混合部署本身并没有错，它是一种适用范围明确的选择；问题往往出在没有先把边界画清楚，就进入了产品比价与实施排期。先把这张清单填完，后续的技术选型反而会变简单——因为你要评估的对象从「一朵云」变成了几项界定清楚的能力。

资料来源：《中华人民共和国网络安全法》第三十七条；《中华人民共和国数据安全法》第三十一条；《中华人民共和国个人信息保护法》第三十八条、第四十条；《网络数据安全管理条例》（国务院令第 790 号，2025 年 1 月 1 日施行）第九条、第十二条、第二十九条至第三十三条；《会计信息化工作规范》（财会〔2024〕11 号）第二十条、第二十五条、第三十一条、第四十二条；《会计软件基本功能和服务规范》（财会〔2024〕12 号）第四十三条。