2. DSPM核心概念与数据分类分级
聊DSPM之前，我习惯先问团队一个问题：你们知道自己的敏感数据藏在哪儿吗？
大多数人的第一反应是「数据库里呗」。可实际上，数据可能躺在云盘、日志文件、备份磁带，甚至是某个离职员工的笔记本里。DSPM要解决的，就是这个「数据地图」问题。
2.1 核心概念：先搞清这几个词
我刚开始接触数据安全时，被一堆术语绕晕过。后来发现，真正需要死磕的也就这几个：
- 数据资产：任何存储了信息的实体。文件、数据库表、对象存储桶，都算。
- 数据源：数据产生的源头，比如业务系统、API网关、IoT设备。
- 数据流：数据从产生到存储、处理、传输、销毁的路径。很多漏洞就藏在流转环节。
- 敏感数据：一旦泄露会造成损失的数据。身份证、银行卡号、医疗记录、企业商业机密等。
- 数据分类分级：把数据按「内容属性」打标签（分类），再按「重要程度」定级别（分级）。
这里有个我踩过的坑。我曾经把「数据分类」和「数据分级」当一回事去做策略，结果合规审计时被揪出来说「分级标准模糊」。后来才明白——分类是定性，分级是定量，两个维度缺一不可。
2.2 数据分类：给数据贴标签
分类的核心是「按业务属性归类」。说白了，你总得知道这条数据是用来干嘛的。
| 业务领域 | 数据类别举例 | 典型标识字段 |
|---|---|---|
| 客户管理 | 个人基本信息 | 姓名、身份证号、手机号 |
| 人力资源 | 员工档案 | 工号、薪资、合同 |
| 财务管理 | 交易记录 | 账户、金额、流水号 |
| 研发运维 | 代码仓库 | 源码、密钥、配置文件 |
我个人习惯先拉一张「数据资产清单」，然后按业务域打标签。比如一条记录里同时出现身份证、手机号、住址，我给它打三个标签：PII、Contact、Location。
2.3 数据分级：按风险定级别
分级的目的是决定「保护力度」。级别越高，管控越严。
你想想看，同样是一个Excel文件，如果里面是员工花名册，可能只是内部敏感；如果里面是客户信用卡号，那就是高危。
通用的四级分级模型（参照等保和行业标准）：
- L1 公开：对外可发布，泄露无影响。如产品宣传页。
- L2 内部：仅内部使用，泄露有轻微影响。如内部通讯录。
- L3 敏感：泄露会造成中等损失。如交易明细、合同。
- L4 核心：泄露会造成重大损失甚至刑事责任。如用户密码明文、医疗健康数据。
注意：分级不是拍脑袋决定的。我见过有人把全部数据都标成L4，结果没人当真。每级必须有明确判定标准，比如「含≥10条银行卡号的表自动标L4」。
2.4 分类分级的自动化扫描
手工打标不现实。尤其是云环境里，成百上千个存储桶，一个个改标签得累死人。
DSPM工具通常会做几件事：
- 连接数据源：扫描数据库、对象存储、文件服务器。
- 内容识别：用正则、关键字、ML模型识别敏感字段。比如匹配18位数字+校验位 → 推测为身份证号。
- 元数据采集：表名、字段名、注释、访问权限。
- 自动打标：按规则库给数据和字段打上分类/分级标签。
举个简单的Python伪代码示例，感受一下识别逻辑：
# 简单敏感数据识别规则
def classify_column(name, sample_values):
if re.match(r'\d{6}(19|20)\d{2}(0[1-9]|1[0-2])(0[1-9]|[12]\d|3[01])\d{3}[\dXx]', sample_values[0]):
return ('身份证号', 'L4')
if re.match(r'1[3-9]\d{9}', sample_values[0]):
return ('手机号', 'L3')
if 'password' in name.lower():
return ('口令', 'L4')
return ('普通文本', 'L1')当然，生产级识别要复杂得多。我在一个金融项目里做过补充——光正则规则就维护了300多条，还得配合NLP模型识别非结构化数据中的敏感信息。
2.5 核心知识框架图
下面这张图帮你理清分类分级在整个DSPM中的位置和作用：
2.6 落地时最容易踩的三个坑
坑一：分类分级规则全是人工维护
我曾经跟一个团队合作，他们用Excel管理分类规则，每次上线新系统就手工改。三个月后规则版本全乱了。最好用规则引擎+配置中心集中管理，版本控制。
坑二：分级一刀切「全部L4」
你觉得这样最安全？并非如此。全部L4意味着全部高保，运维成本爆炸，业务也会因为过度脱敏而无法用数。分级一定要有风险收益平衡。
坑三：只分类分级不持续扫描
数据是活的。今天没敏感数据的表，明天可能被人插入了身份证字段。我建议至少每周全量扫描一次，增量变化实时触发重扫，才不会被数据流动甩在后面。
2.7 小结
DSPM不是买一个工具就完事了。它靠的是两点：数据在哪里（目录、元数据、流图），数据有多敏感（分类分级的标签体系）。
这一章我们把概念和分级方法搭起来了。下一部分我们会把这些概念用到实际部署中，从扫描到策略落地，一步步走通。
嗯，先消化这些概念。后面动手的时候你会回来翻这章的。