数据资产分类与定义——别让数据“裸奔”
咱们做 DSPM，第一步就是搞清楚手里到底有什么数据。很多人一上来就开干，结果发现连数据的基本类型都没摸清。我早期参与过一个金融项目，客户说“我们数据都分类好了”，结果一扫描，各种敏感信息混在一起，连工资单和客户身份证都放一个文件夹里——那叫一个乱！
所以，数据资产的分类与定义，是整个 DSPM 的基石。你要是这一步做不好，后面的测绘、监控、防护全是瞎忙活。说白了，你必须知道你的数据里，哪些是“金子”，哪些是“沙子”，哪些是“炸药”。
为什么需要数据资产分类？
你想想看，如果你是一家医院，有病人病历、有财务报表、有监控录像、还有员工通讯录。这些数据能用一个标准去保护吗？显然不能。
分类的核心目的就两个：
- 知道数据是什么——内容是病历、合同、还是日志？
- 知道数据在哪——在数据库、文件服务器、还是 SaaS 应用里？
我曾经帮一家制造企业做数据摸底。他们号称“数据全在数据库里”，结果我扫描了一圈，发现几十个共享文件夹，里面塞满了十年前的生产报表、离职员工的工资单、还有供应商的合同扫描件。这就是典型的“不知道自己在哪”的问题。
常见的分类维度
在实际项目中，我通常从几个维度来切分数据资产。大家可以参考下面这个表格：
| 分类维度 | 典型类别举例 | 说明 |
|---|---|---|
| 按数据来源 | 业务系统、外部接口、日志、员工生成 | 来源不同，管理方式和合规要求也不同 |
| 按数据内容 | 个人信息、财务数据、技术文档、运营数据 | 内容决定了敏感度和保护级别 |
| 按数据格式 | 结构化（表）、半结构化（JSON）、非结构化（文档、图片） | 格式影响扫描方式和存储管理 |
| 按敏感度等级 | 公开、内部、敏感、高度机密、监管合规 | 这是 DSPM 最核心的分类，直接关联风险控制 |
举个例子，一个客户关系管理系统里的“联系人表”，按来源是业务系统，按内容是个人信息，按格式是结构化，按敏感度可能是“敏感”或“监管合规”。多个维度综合起来看，才能准确定位到这个资产的价值和风险。
分类 vs. 分级——别搞混了
我见过很多新人把“分类”和“分级”混为一谈。其实它们完全不是一回事。
- 分类：解决“是什么”的问题。比如：客户信息、财务数据、源代码。
- 分级：解决“有多重要”的问题。比如：公开、内部、秘密、绝密。
一个数据资产可以同时有不同的分类和不同的分级。比如一份“合同”，它可以属于“业务文档”这个分类，同时被标记为“秘密”这个分级。你想想看，这俩维度一交叉，管理起来就清晰多了。
如何定义数据资产目录？
定义数据资产目录，说白了就是给你的数据建一个户口本。我一般用三步走：
- 盘点：通过接口扫描、数据库元数据采集、文件目录遍历，把能接触到的数据源全列出来。
- 归类：按照上面说的分类维度，逐一打标签。
- 定级：结合业务影响和合规需求，给每个资产定一个敏感度等级。
我记得在某个零售项目中，我们光是盘点这一步就花了三天。因为客户有多个老系统的数据库，命名规则乱七八糟，有的表名叫“t1”、有的叫“customer_data_latest_bak”。如果不做归类整理，根本没法下手测绘。
数据资产知识结构一览
为了让大家更直观地理解这个体系，我画了个图。从最底层的真实数据源开始，经过多个维度的分类和分级，最终形成我们需要的资产目录。这张图基本概括了本章的核心逻辑：
本章内容速览
我给大家总结一下这章的核心要点：
- 数据资产分类是 DSPM 的起步工作，不做分类后面全是乱账。
- 分类可以从多个维度切入，没有固定标准，但一定要结合你的业务实际。
- 分类和分级是两码事，千万别混用。分完类再定级，顺序不能乱。
- 资产目录要持续维护，不是建完就万事大吉。我一般建议每季度 review 一次。
嗯，这节课到这里。分类定义清楚了，下一步就是怎么去找这些资产——也就是资产发现。到时候我们再细聊如何通过接口和扫描手段来“抓住”它们。