敏感数据分类与分级：如何定义和识别敏感数据？
说到敏感数据，很多同学第一反应就是“身份证号、银行卡号”。没错，但这只是冰山一角。我在项目中见过最坑的情况——一个运维把所有服务器密码明文存在Excel里，还当附件发给了全公司。你觉得那个Excel算不算敏感数据？当然算，而且是最危险的那一类。
这一节我们就来拆解：到底什么算敏感数据？怎么分门别类？怎么定级？说白了，分类分级是后续一切加密策略的“地基”。地基没打稳，楼盖多高都白搭。
1. 先定义：什么是敏感数据？
我的定义很简单：任何一旦泄露、篡改或丢失，会对个人、组织甚至国家安全造成负面影响的数字信息。你想想看，一条员工生日信息放出去，可能没什么；但100万条生日+身份证+住址，就能直接拿去搞电信诈骗——这就是量变到质变。
我习惯把敏感数据分成三大类：
- 个人隐私数据：姓名、身份证、手机号、住址、生物特征、健康记录、银行卡号等。GDPR里叫PII，等保里叫个人信息。
- 企业商业秘密：客户名单、财务报告、源代码、招投标文件、战略规划。这些丢了，公司可能直接倒闭。
- 国家秘密/关键信息：涉及国家安全、国防、科研、政府内部文档。这类数据通常有密级，不能乱碰。
2. 分类标准怎么定？
我见过不少团队一上来就搞五六级分类，结果落地时没人记得住。个人建议：分类别贪多，分级别太细。企业里最实用的分类框架是四级制，对应等保2.0和大多数合规要求。
| 等级 | 名称 | 定义 | 典型示例 | 泄露影响 |
|---|---|---|---|---|
| L0 | 公开 | 可对外发布，无保密要求 | 官网新闻、产品宣传册 | 无影响 |
| L1 | 内部 | 仅限内部使用，不得外传 | 内部通讯录、会议纪要 | 轻微损失 |
| L2 | 敏感 | 泄露会损害公司声誉或客户权益 | 财务数据、客户订单 | 中等损失 |
| L3 | 机密 | 泄露导致重大安全事件/法律诉讼 | 核心算法、员工身份证库 | 严重损失 |
| L4 | 绝密 | 仅极少数人知晓，受国家法律保护 | 密码机密钥、军事项目文档 | 灾难性损失 |
嗯，这里要注意：L4绝密在普通企业里几乎没有，不要随便设。我曾经见过一家创业公司把自己下一季度的功能规划定为“绝密”，结果审批流程拖了一周，项目黄了。分级要合理，不是越高越好。
3. 怎么识别敏感数据？
很多公司有数据盘点平台，但更常见的是——你连数据在哪都不知道。我推荐一个实战三步法：
- 资产梳理：列出所有数据存储位置，包括数据库、文件服务器、网盘、邮箱、移动硬盘、SaaS应用（飞书、钉钉）。这一步最累，但必须做。我在项目里发现过运维把备份脚本明文挂在GitHub上——这就是梳理出来的“惊喜”。
- 内容扫描：用正则或机器学习引擎匹配敏感模式，比如身份证号（18位数字校验）、银行卡号（16位）、（特定前缀）。这一步自动化工具很多，但注意误报。我习惯先跑一遍白名单过滤。
- 人工确认：自动扫描的结果必须让人过一遍。特别是非结构化数据（如PDF、聊天记录），机器经常看走眼。一个真实案例：某公司的“产品需求文档”里嵌了一张Excel截图，里面恰好是超级管理员密码——机器没扫到，人工确认时揪出来了。
核心原则：识别敏感数据不是一次性工作，而是持续治理。每个月至少做一次增量扫描，特别是新业务上线时。
4. 分级依据与实战避坑
定级不是拍脑袋。我通常用三要素法：
- 保密性（Confidentiality）：泄露的后果有多严重？
- 完整性（Integrity）：被篡改会引发什么连锁反应？比如交易记录。
- 可用性（Availability）：数据丢了，业务还能跑吗？
把每个数据在这三个维度上打分（1~5），取最高分作为最终等级。举个例子：客户订单数据，保密性4（泄露会挨罚），完整性5（改金额就亏钱），可用性3（丢了还能从日志恢复）。最终定为L4？不，这里容易踩坑——三要素最高分是5，但L4一般留给国家机密，企业级L3就封顶了。你定L4只会让加解密开销暴增，审批流程卡死。
5. 一张图看懂分类分级体系
下面这张图总结了我常用的“分类-分级-识别”逻辑，你可以在自己的方案里直接套用。
6. 写在最后：分类分级是加密策略的“导航仪”
没有分类分级，你的加密策略就是盲打。L0的数据没必要加密，L3的数据必须字段级加密且审计。我在项目交付中见过最离谱的事——客户把所有数据库都全量加密，结果查询性能下降70%，业务直接投诉到CTO。后来一看，需要加密的表只有3张，其余都是公开的配置数据。
所以，下次有人问你“加密策略怎么做”，你先反问一句：“你的数据分类分级做好了吗？”如果对方一脸懵，那就把这节课的内容甩给他。