第3章 敏感数据类型与分级标准
做DLP这么多年，我见过太多因为数据分类不清导致的泄露事件。有一次，一家金融公司把所有文件都标成“机密”，结果DLP规则根本没法精细管控——你想想看，要是所有数据都一样重要，那等于都不重要。
敏感数据识别，说白了就是要搞清楚两件事：这是什么类型的数据？它该受到什么级别的保护？这一章，我就带你把这些标准理清楚。
3.1 四大主流敏感数据类型
我们在企业数据安全实践中，最常见的就是下面这四类。我习惯先按“行业属性”把它们分开，因为不同行业关注的焦点完全不一样。
| 数据类型 | 全称 | 典型行业 | 泄露后果 |
|---|---|---|---|
| PII | 个人身份信息 | 所有行业 | 身份盗用、诈骗 |
| PHI | 个人健康信息 | 医疗、保险 | 隐私侵权、罚款 |
| PCI-DSS | 支付卡行业数据 | 金融、电商 | 经济损失、吊销资质 |
| IP | 知识产权 | 科技、制造 | 核心竞争力丧失 |
3.1.1 PII — 个人身份信息
PII的范围其实挺宽的。我见过最典型的就是“姓名+身份证号”这种组合。但你要注意，单一条信息如果不足以识别个人，那就不算PII。举个例子，光一个“张先生”没法定位到具体的人，但“张先生+手机号+居住地址”就触线了。
PII典型元素清单：
- 直接标识：姓名、身份证号、护照号、社保号
- 准标识：性别、出生日期、邮政编码、职位
- 敏感组合：上述任意两项以上结合
嗯，这里要注意。做DLP规则时，千万别只盯着“身份证号”这一个关键词。我记得有个项目，客户只配了“身份证号”这个正则表达式，结果员工把证件照截图发出去，DLP完全没反应。因为图片里的文字检测和传统正则不是一回事。
3.1.2 PHI — 个人健康信息
PHI在医疗行业是红线。HIPAA法案管的就是这个。它的核心特征是：任何与个人健康状况、医疗服务、医疗支付相关的信息。
我见过最极端的情况是某医院把影像文件直接挂在公网FTP上。你觉得那只是些看不懂的CT图对吧？但文件名包含“张三_CT_20240301”，这就构成PHI泄露了。
注意：PHI不仅仅是病历文本。检查报告、诊断影像、检验数据、处方单、保险理赔记录，甚至语音问诊录音，只要是能关联到具体患者的健康信息，都算PHI。
3.1.3 PCI-DSS — 支付卡行业数据
做电商或支付系统项目的同学，这个必须刻在脑子里。PCI-DSS对存储和传输都有严格的管控要求。我个人习惯先把数据分成两类：持卡人数据和敏感认证数据。
- 持卡人数据：卡号（PAN）、持卡人姓名、有效期、服务代码
- 敏感认证数据：CVV、PIN、完整磁条数据
差别在哪？敏感认证数据是严禁存储的。哪怕加密也不行。我在一家电商公司优化DLP时，发现他们的订单日志里居然记录着CVV码的前四位——虽然没存全，但已经违规了。
避坑指南：我建议你在DLP规则里专门为PAN（卡号）建一个独立的正则字典，因为卡号有Luhn算法校验，误报率远低于普通身份证号。我曾经因为这个优化，把某客户的告警准确率从40%提到了92%。
3.1.4 IP — 知识产权
这部分最考验耐心。知识产权不像PII有明确的字段格式，它更像是一堆“模糊边界”的组合。源代码、设计方案、商业计划书、客户清单、技术配方，都是IP。
做IP保护难在哪？我举个真实案例：某芯片设计公司的工程师把核心算法代码分段复制到个人笔记App里，每段不超过200行。DLP如果只设了“复制源文件100行触发告警”，那这种拆分传输根本抓不到。
所以我的建议是：IP识别不能只依赖字符串匹配。需要结合文件名、文件路径、作者、项目名称、版本号等多维信息，用DLP的“文档指纹”或“精确数据匹配”技术来做。
3.2 分级标准：从公开到绝密
光知道类型还不够。同一份PII，在员工花名册里和在公司官网公开的通讯录里，保护力度能一样吗？肯定不会。所以我常用一个四级分级体系，你参考一下。
| 等级 | 标签 | 定义 | DLP管控动作 |
|---|---|---|---|
| L1 | 公开 | 对外开放的信息，如宣传册、官网内容 | 仅监控，不拦截 |
| L2 | 内部 | 内部员工可用，如内部培训文档、非敏感流程 | 外发告警，需审批 |
| L3 | 敏感 | PII、PHI、部分IP、财务数据 | 禁止外发，拦截加密 |
| L4 | 绝密 | 核心IP、密钥、高管信息、未公开财报 | 禁止外传，实时阻断+取证 |
关联规则建议：
- PII + 敏感等级 → 禁止邮件外发，但允许内部共享
- PCI-DSS + 任何等级 → 不允许明文存储在任何非生产环境
- IP + 绝密等级 → 禁止一切网络传输，包括HTTPS上传
3.3 知识体系框架
下面这张图总结了我们这一章的核心逻辑。从敏感数据大分类，到每个分类的核心特征，再到分级标准，最后落地到DLP管控策略。看着这张图，你就能把整章内容串起来了。
3.4 实操中的常见坑
讲完理论，我分享几个我在项目中踩过的坑。
坑一：分级过度或不足。有些团队把所有数据都标成L4绝密。结果呢？员工习惯了无视告警，真正的重要数据反而没人注意了。分级要贴合实际业务场景，别为了省事一刀切。
坑二：只关注文本格式。我之前就说过，PHI可能藏在CT影像文件的元数据里，PII可能藏在Excel备注列里，PCI数据可能藏在PDF图片扫描件里。DLP的OCR和元数据扫描能力，必须得配起来。
坑三：忽略合规差异。不同国家、不同行业对敏感数据的定义不一样。GDPR下的PII范围比咱们国内的个人信息保护法要宽一些。做跨国业务时，我建议你单独维护一套数据分类映射表，按管辖区域做差异化规则。
一个小技巧：开始配置DLP之前，先拉上法务、合规和业务部门开个会。把“什么是敏感数据”这个定义统一了。我曾经因为没做这一步，返工了三次规则配置——代价很大，但教训深刻。
3.5 本章小结
这一章我们把敏感数据类型（PII、PHI、PCI-DSS、IP）和分级标准（L1-L4）理清楚了。核心就一句话：识别类型确定保护对象，划分等级确定保护力度。下章开始，我会教你如何把这些分类分级标准落地成DLP的具体规则配置。数据就像贵金属，只有分好了类、定好了级，DLP这把锁才能锁对地方。