数据分类分级基础

数据分类分级，说白了就是给你的数据资产“贴标签”。
很多团队一上来就急着配DLP策略，结果发现告警满天飞，要不就是漏得跟筛子一样。我刚入行时也犯过这毛病——总觉得分类分级是文档工作，拖一拖也没事。
直到一次项目上线当天，敏感数据误封了正常业务流程，产品经理直接堵在工位门口……

嗯，从那以后我个人的习惯是：先分类，再分级，最后对齐合规要求。这三件事做扎实了，DLP策略才有落地的根。

数据分类方法

分类解决的是“这东西是什么”的问题。推荐三种最常用的分类维度，我在实际项目里都用过：

• 按数据对象：用户身份信息、财务记录、知识产权、运维日志、合作方数据……
• 按数据来源：业务系统（CRM/ERP）、办公系统（邮件/IM）、云端SaaS、终端设备。
• 按使用场景：生产交易、内部共享、对外披露、归档备份。

举个例子，我在给一家金融客户做分类时，他们光“客户信息”就拆成了八个子类——姓名、证件号、银行卡号、交易流水、风控评分……
你想想看，如果不分这么细，后续的标签策略根本没法精确匹配。我建议分类标签的数量控制在15～25个之间，再多就管不过来了。

数据分级标准

分级解决的是“这东西有多重要”的问题。绝大多数企业都采用四到五级模型，我最常用的四级标准对比如下：

合规要求：GDPR与等保2.0

分级标准定完之后，必须回头跟法规条款做映射。这里挑两个最常碰到的：

• GDPR：第9条明确禁止处理特殊类别数据（种族、政治观点、健康数据等）。
  我在跟欧洲客户对接时，会把GDPR的“特殊数据”直接映射到L4级，触发DLP加密+阻断。
• 等保2.0（GB/T 22239-2019）：要求对个人信息和重要数据进行分级保护，对应等级认证。
  比如三级系统里，L3级数据必须加密存储且审计日志保留≥6个月。

下面这张图把整个数据分类→分级→合规映射的脉络串起来了，我每次给团队讲这个都会先画一遍：

实战中的几个避坑点

• 分类标签不要全手工维护：我建议至少对结构化数据库用自动化扫描（如正则、指纹），非结构化文档用关键词+机器分类。我曾经在一个人数不到200的公司尝试纯手工打标签，结果2个月后标签一致性掉到30%。
• 分级标准别完全照搬行业模板：每个公司业务场景不同。我遇到过一个电商客户，他们把“商品价格”全放在L2，结果促销信息被竞争对手爬走后损失惨重——后来改成了L3。
• 合规要求必须落在DLP策略里：比如GDPR要求“数据最小化原则”，我在配置时会把收集字段分成“必要”和“可选”，对“可选”字段的额外收集会触发告警。