数据安全分类分级：方法与标准

聊数据安全，第一件事其实不是上什么加密技术。你得先搞明白，你手里到底有哪些数据？它们值多少钱？哪个被偷了你会睡不着觉？

这就是数据分类分级要解决的问题。说白了，就是给公司的数据资产“上户口”加“定身价”。这事儿做不好，后面的审计日志分析、密文检索配置全白搭。我见过太多团队一上来就搞加密，结果发现连加密对象都找不全——这痛点非常真实。

为什么非做不可？

你想想看，DSPM（数据安全态势管理）的核心是“可见性”和“可控性”。没有分类分级，你连哪些数据存放在哪个云桶里都说不清，更别提检测异常访问了。审计日志里一堆IP和操作记录，但背后的数据是“普通合同”还是“核心源码”，没有标签，日志就是噪音。

我记得有一次帮一家金融客户做数据资产梳理，他们RDS里有几千张表，90%都是垃圾数据。真正需要保护的个人身份信息只有不到5%。没有分级，等于用坦克去拍蚊子，成本高还没效果。

分类分级的方法论

具体怎么做？我个人习惯分为两大步：先分类，后分级。顺序不能乱。

第一步：数据分类——按业务属性切分

分类的依据是业务。不要按照技术字段去分，那会把自己绕晕。按数据归属的业务系统、数据内容、数据用途来划分。

• 按业务域：客户数据（Customer）、员工数据（Employee）、供应链数据（Supply Chain）、财务数据（Finance）等。
• 按数据形态：结构化数据（数据库）、半结构化数据（JSON/XML）、非结构化数据（文档/图片/日志）。
• 按生命周期：原始数据、加工后数据、归档数据。很多泄漏发生在归档环节，因为没人管。

这一步的输出是一个“数据资产清单”。最好用自动化扫描工具做，人工手工填表的时代该过去了。

第二步：数据分级——按安全属性定级

分级我个人推荐采用“3要素模型”：机密性、完整性、可用性。每个维度打1~5分，综合得分决定最终级别。

级别	标签	典型场景	泄漏影响
L0	公开	宣传资料、官网文案	无影响
L1	内部	内部公告、组织架构	轻微不便
L2	敏感	员工薪资、项目合同	中等损失
L3	秘密	用户密码Hash、支付记录	严重违规+罚款
L4	绝密	用户生物特征、核心算法	公司存亡级风险

这里有一个避坑指南：我曾经见过一家公司把“用户手机号”定成了L2（敏感），结果被监管检查时发现数据出境未报备，罚了几百万。手机号在GDPR和《个人信息保护法》里属于“敏感个人信息”，至少得归为L3级以上。定级标准一定要对齐法规，不能光靠内部拍脑袋。

几种常见的分级标准

实际项目里，标准来自两个方向：一个是合规驱动，一个是业务驱动。我帮你梳理了一下，常用的标准有这些：

• 《数据安全法》分级：核心数据、重要数据、一般数据。这个偏宏观，适合顶层设计。
• 《个人信息保护法》敏感度：一般个人信息 vs. 敏感个人信息。做App数据安全时必用。
• ISO/IEC 27001 资产分类：公开、内部、秘密、绝密。通用性强，但太粗。
• 企业自定义标准：结合行业特性。比如医疗行业的“健康档案数据”天然属于秘密级。

我个人的建议是：不要追求完美。先拿合规要求做基准，把“敏感”和“非敏感”分开，后续再细化。我见过很多团队开了三次会定义“L2.1和L2.2的区别”，结果两三个月过去了，一张表都没落地。

分类分级与DSPM的结合点

好了，说完标准，我们回到DSPM。分类分级不是终点，它是DSPM策略的输入。具体怎么用？

• 审计日志过滤：只关注对L3及以上数据的访问行为，日志量能减少70%以上。我项目里就是这么干的，直接把告警收敛到每天10条以内。
• 密文检索权限：不同级别的数据，密文检索的密钥策略不一样。L4数据可以用HSM硬件加密，L1数据用业务密钥就够了。
• 异常检测基线：如果一个普通员工突然开始大量读取L3级别的数据，哪怕操作合法，也属于高危事件。没有分级，系统根本不知道这是异常。

这张图是数据分类分级从原始输入到最终标签的完整流程。你可以看到，分类和分级虽然是两个阶段，但在DSPM系统中最终会合并为一个统一的“数据标签”，后续所有策略都依赖这个标签。

一些实操原则

最后总结几条我踩过的坑和得到的教训：

• 不要等所有数据梳理完再开始。先挑10%最核心的数据做全流程，跑通后再铺开。
• 自动打标 + 人工审核。完全依赖规则引擎会漏，完全依赖人工会累死。我一般用规则覆盖80%，剩下20%抽检复核。
• 标签是动态的。数据迁移、二次加工、过期归档——每一次操作都要考虑是否要更新标签。建议在ETL管线里嵌入标签继承逻辑。
• 合规底线不能突破。即便业务部门说“这个数据不重要，没必要分这么高”，只要法规要求（比如信用卡卡号），就必须硬定级。我曾经因为这个和业务吵过三次，最后还是合规说了算。