数据分类基础
「数据分类」这四个字，听起来像是文档管理员干的活。但你想想看，DLP 系统一旦上线，它拦截的每一份文件、每一封邮件都要靠分类规则来判断该不该放行。分类做不好，DLP 就是摆设。
我个人的习惯是，在对接 DLP 之前，先花至少一周把数据分类的骨架搭好。为什么？因为接口可以改，规则可以调，但分类体系一旦定错，后续所有策略都要推倒重来。
数据分类的目标
说白了就三件事：
- 保护核心资产——知道哪些数据最值钱，优先保护。
- 满足合规要求——监管来了拿得出证据，不被罚款。
- 降低运营成本——不该保的数据别过度加密，省点性能。
我在一家金融企业遇到过这样的场景：他们把全公司的 Excel 文件都标记为“机密”，结果 DLP 每天报警上万条，安全团队根本看不过来。后来调整了分类粒度，把含客户身份证号的才标为机密，报警量直接降到几百条。所以，分类的目标不是「越严越好」，而是「精准」。
分类标准：GDPR 与等保
国内做数据分类，绕不开两个框框：欧盟的 GDPR 和中国的等级保护（等保 2.0）。它们俩的侧重点完全不一样，我整理了一张对比表：
| 维度 | GDPR（通用数据保护条例） | 等保 2.0（信息安全等级保护） |
|---|---|---|
| 核心逻辑 | 以个人数据为中心，强调数据主体的控制权 | 以系统安全等级为中心，强调分级防护能力 |
| 分类维度 | 普通数据、特殊类别数据（如生物识别、健康） | 第一级~第五级，基于业务受侵害后的损害程度 |
| 惩戒力度 | 最高全球年营收 4% 或 2000 万欧元（取高者） | 责令改正、罚款、吊销许可证；情节严重可追刑责 |
| 典型适用场景 | 欧洲用户的个人信息处理 | 国内政务、金融、医疗等关键信息基础设施 |
一个小技巧：如果你的企业同时服务国内和欧盟客户，建议采用「双轨分类」。内部用等保等级标安全，合规用 GDPR 标隐私，两套标签共存于 DLP 策略中。
分类实操：从业务到安全标签
光看标准太抽象。我实际做项目时，会把分类拆成三步走：
- 业务梳理——找业务部门要一份「数据资产清单」，按部门、系统、数据表列出来。
- 属性标记——每项数据打上三个标签：所有者、处理目的、合规类别。
- 安全定级——根据标签自动映射到「公开/内部/机密/绝密」四级。
嗯，这里要注意：第三部里的自动映射规则一定要让法务和合规签字。我见过开发同学按自己的理解定级，结果把员工生日都标成绝密，把财报标成公开——那是要出事的。
避坑提醒：不要试图用一个分类维度覆盖所有场景。我曾经见过一个团队用「保密等级」同时管安全和隐私，结果 GDPR 审计时根本解释不清「个人数据」和「商业秘密」的区别。老老实实分两个独立维度，标签可以叠加。
数据分类体系结构图
下面这张图概括了从业务数据到 DLP 策略的完整分类路径。你可以把它贴在团队白板上，每次讨论分类策略时对照着看。
一点实战经验
最后跟你分享一个我踩过的坑。当时给一家跨境电商做数据分类，我按「功能模块」分好了类，上线后却发现 DLP 把促销活动的临时文件也当成了核心资产。问题出在哪？没有区分「生产环境」和「测试环境」的数据。后来我在分类标签里加了一个「数据生命周期」属性——分为「正式」「临时」「归档」三类，报警准确率才上来。
所以别小看分类，它决定你的 DLP 到底是在干活还是在添乱。