3. 分级方法与流程：数据资产识别、敏感度评估、分类定级操作步骤
数据分级接口的核心是先把数据摸清楚，再定等级，最后落到接口上。这个过程分成三块：资产识别、敏感度评估、分类定级。我这些年踩过的坑，十有八九都出在第一步——资产没认全，后面全白干。这一章我把每个环节的关键动作和注意事项拆开讲，你照着做基本不会跑偏。
3.1 数据资产识别
说白了，你得知道公司里到底有哪些数据。我见过不少团队拿着业务系统表结构就开始定级，结果漏掉了日志、备份、ETL中间表这些“隐形资产”。数据资产识别的目标是建立一份完整的数据资产清单，至少要到字段级。
我习惯用一个三层扫描法：
- 系统层：列出所有存数据的系统（数据库、文件服务器、消息队列、对象存储）。
- 数据集层：每个系统下的库、表、桶、Topic。
- 字段层：关键字段的名称、类型、样例值、注释。
识别完之后要干一件事——去重和关联。同一个客户ID可能出现在CRM、交易库、日志里，你得把这些关联起来，否则后面评估会重复评分。
information_schema 或 SHOW CREATE TABLE 批量拉字段信息，再用 Python 脚本整理成Excel。我团队现在每周自动跑一轮，增量更新。
| 资产类型 | 识别方法 | 输出样例 |
|---|---|---|
| 关系型数据库表 | 读元数据 + 人工补漏 | 用户表(user_id, name, phone, id_card) |
| 日志文件 | 扫目录结构 + 采样 | access.log 含客户端IP、URL、响应体 |
| 缓存/KV存储 | 遍历key前缀 | session:{uid} → 含登录态信息 |
| 消息队列Topic | consumer组列表 | order_topic 含订单全量字段 |
3.2 敏感度评估
资产盘完，就得给每个字段或数据集打敏感度分。我个人习惯用CIA三要素来打分：保密性（Confidentiality）、完整性（Integrity）、可用性（Availability）。为什么用这个模型？因为它和安全分级是天然对齐的，后面做接口安全策略（加密、签名、限流）可以直接映射。
具体打分规则：每个维度1-5分，总分加权（或取最高分）。举个例子，身份证号保密性直接给5分，完整性可能3分，可用性2分，综合敏感度取最高分5 → 对应最高级别。电话号码类似，但如果是脱敏后的，保密性降到2分。
敏感度等级定义参考：
| 等级 | 描述 | 典型示例 |
|---|---|---|
| L1(公开) | 泄露或损坏无影响 | 商品名称、公开文章 |
| L2(内部) | 泄露可能对公司造成轻微损失 | 内部报表、非保密项目文档 |
| L3(敏感) | 泄露会造成中等风险 | 客户联系方式、交易金额 |
| L4(极敏感) | 泄露会导致严重法律或财务后果 | 身份证号、密码Hash、金融账户 |
3.3 分类定级操作步骤
敏感度评估出来是数字分，但分类定级还需要加上业务标签。比如同样是L3的数据，个人隐私类走GDPR流程，商业机密类走保密协议，操作逻辑不一样。我自己的步骤是这样：
- 定基：根据敏感度评估的结果，确定数据的基础等级（L1-L4）。
- 标标签：给数据集打业务标签（个人隐私、商业秘密、财务数据、合规数据）。
- 落接口映射：每个API接口调用了哪些字段 → 接口的最终等级取所调字段的最高等级。
- 写元数据：把等级和标签写进数据字典或接口文档里，方便后续校验。
# 接口分级注解示例（Python Flask）
from flask import Flask, request
from security import data_level_required
app = Flask(__name__)
@app.route('/api/v1/user/info')
@data_level_required(level="L3") # 该接口至少要求L3处理策略
def get_user_info():
user_id = request.args.get('uid')
# 内部查询时只返回非L4的字段
return query_user(user_id, exclude_level=["L4"])
定级完成后一定要做交叉验证。拉上数据Owner、安全、业务三方一起过一遍清单。我建议每月跑一次自动化脚本，扫描新增和变更的字段，如果等级缺失就发告警。这样能保证新接口上线前就分级到位，不用事后补救。
sensitivity = max(confidentiality_score, integrity_score, availability_score)。然后根据分数段映射到L1-L4。要是遇上争议字段，就加一个业务方确认步骤，别自己拍脑袋。
这三个环节环环相扣，缺一不可。资产识别是地基，敏感度评估是尺子，分类定级是最终产出。落地时你会发现其实最耗时的不是打分，而是把资产理清楚——但只要这一步做好，后面就是按部就班的事情了。