3、数据资产盘点与分类：盘点方法、分类标准与敏感数据识别
数据资产盘点，说白了就是搞清楚公司到底有哪些数据、数据放哪儿、多重要。我最早做这事的时候，以为拿个Excel列个清单就完了——结果被审计怼得惨不忍睹。后来才明白，盘点不是“数数”，而是一套系统化的侦查工作。
3.1 盘点方法：别只靠人工跑断腿
盘点方法就那么几种，但组合起来效果天差地别。我个人习惯把方法分成三类：
| 方法 | 适用场景 | 我的建议 |
|---|---|---|
| 自动化扫描 | 数据库、文件服务器、云存储 | 先跑一遍，能覆盖80%的资产 |
| 人工走访 | 遗留系统、离线数据、员工本地文件 | 必须做，不然会漏掉“看不见的角落” |
| 日志与流量分析 | 网络流量、API调用、数据流转 | 特别适合发现“影子数据” |
一个小技巧：先自动化扫，再人工补。我在一个零售项目里，自动化工具扫出了300个数据库，人工走访又挖出40多个Excel“老婆本”——藏在共享盘旧文件夹里，全是客户的身份证号。
还有一点：定好盘点范围。否则容易陷入“这个算不算数据资产”的哲学争论。我一般用四个维度框定：
- 业务价值——丢了会影响运营吗？
- 法律合规——是不是受《个人信息保护法》《数据安全法》管？
- 技术可及——能不能被访问、复制、删除？
- 生命周期——是在用、归档还是待销毁？
踩过的坑：我曾经在一个项目里把所有“临时表”都算作资产，结果盘点清单里多了两千多个垃圾表，后续分类和标记全乱套。后来学乖了——只盘点生产环境中持续使用的数据，测试和临时数据另算。
3.2 分类标准：别把苹果和橘子放一起
数据分类，核心是回答一个问题：这个数据如果泄露了，后果有多严重？不是所有数据都值得当作“核心资产”保护。
我常用的三级分类体系：
- 公开数据：公司官网、宣传材料、产品手册。丢了不可惜。
- 内部数据：项目进度、内部通讯、员工工号。泄露影响不大，但会惹麻烦。
- 敏感数据：身份证、银行卡、病历、商业机密。丢了就等着吃官司。
你想想看，把“用户IP地址”和“手机号”都标成敏感，那保护措施得铺多大？实际项目里，我还会按数据属性再分一层：
| 属性维度 | 分类示例 | 保护策略 |
|---|---|---|
| 个人信息 | 姓名、身份证、住址 | 加密存储 + 脱敏展示 |
| 商业机密 | 客户名单、定价策略、算法模型 | 访问控制 + 水印追踪 |
| 系统凭证 | 密码、密钥、 | 保险柜管理 + 自动轮换 |
核心原则：分类标准要符合公司业务语言，别让业务部门看不懂“机密性等级”是什么意思。我建议直接用业务术语，比如“核心客户数据”“合同条款数据”，比“L3级”好理解得多。
3.3 敏感数据识别：让工具帮你盯住“老鼠屎”
敏感数据识别听起来玄乎，其实就是做三件事：找出来、标出来、管起来。
我最常用的是正则匹配 + 关键字 + 上下文分析的组合拳。举个例子：
# 识别中国大陆手机号（11位，以1开头）
1[3-9]\d{9}
# 识别身份证号（18位，最后一位可能是X）
\d{17}[\dX]
# 识别银行卡号（16-19位数字）
\d{16,19}
但光靠正则不行。我记得有一次，一个系统把“客户生日”存成YYYYMMDD格式，正好和信用卡有效期撞上了——正则误报率直接翻倍。后来我加了字段名白名单和数据分布统计，比如某个字段里80%的值都是1开头，那大概率是手机号。
还有个思路：别只识别“敏感数据”，也要识别敏感数据容器——比如文件夹命名带“客户”“薪酬”“报表”之类的，先打上可疑标签，再人工核验。我在一个金融项目里靠这个办法，发现了十几个没被扫描到的Excel文件。
另外，敏感数据识别之后一定要做标记。我建议用标签系统，比如：
PII— 个人身份信息PCI— 支付卡行业数据PHI— 医疗健康信息CI— 商业机密信息
这些标签会直接决定后续的加密、脱敏、审计策略。
3.4 避坑指南：我吃过的亏你就不用吃了
- 别相信“数据自述”——很多系统文档里写的字段类型和实际存储完全不一样。我一个项目里，数据库字段名叫
remark，结果里面存的是用户身份证号。 - 注意“非结构化数据”——PDF、图片、聊天记录里的敏感信息很难用正则扫。我经历过一次，客户发来的合同PDF里直接写了银行账号，OCR工具漏了80%。后来强制要求所有非结构化数据必须转成结构化格式后才能进入生产环境。
- 定期重扫——数据是活的，今天全是测试数据，明天可能就混进了真实用户信息。我一般设置每月一次全量扫描，每周一次增量扫描。
最后提醒：盘点、分类、识别这三件事一定要串起来，不能各干各的。我曾经见过一个团队，盘点完数据资产，分类标准是业务部门定的，敏感识别又是安全部门自己画的正则，结果两边对不上，数据标记全乱了。所以，从盘点开始就要定义好分类字段和敏感标签模板，后面才能顺滑。
嗯，这就是我在实际项目里总结出来的核心流程。把这三块做好，后面做数据分级保护、权限策略、审计日志，都有了清晰的依据。