4. 数据分类分级方法归纳总结
聊到数据分类分级，很多团队容易走两个极端。要么搞一套几百项的清单，落地时谁也看不懂。要么随便分个“重要”和“一般”，DLP策略根本没法精细匹配。
我自己在好几个项目里都踩过这种坑。后来总结下来，核心就三条：搞清楚你有什么数据、敏感数据长什么样、怎么打标签才不浪费规则。下面我把方法拆开讲。
4.1. 先盘清楚「数据资产流」
分类分级的第一个动作不是拍脑袋定级别，而是摸清数据的来龙去脉。我习惯在项目一开始就拉一张表，把关键字段列出来：
| 资产维度 | 典型示例 | 对DLP策略的影响 |
|---|---|---|
| 数据源 | CRM、ERP、邮件系统 | 决定扫描范围与采集方式 |
| 流转路径 | API接口、FTP、U盘拷贝 | 决定监控点部署位置 |
| 存储形态 | 结构化DB、非结构化文件 | 影响识别技术的选择 |
| 使用角色 | 销售、研发、HR | 匹配不同的访问控制策略 |
4.2. 分类方法：选对维度比选多维度重要
分类的方法很多，但真正落地能用的就几种。我给大家列个清单，你按自己的场景挑：
4.2.1. 按法规要求分类
最省力的方法。直接把《个人信息保护法》《数据安全法》里的目录搬过来。比如个人信息、重要数据、核心数据。好处是合规审查时直接对应。
4.2.2. 按业务属性分类
适合业务系统多的企业。例如：客户数据、财务数据、研发代码、人事档案。这种分类对非结构化数据特别友好，因为文件头的元数据就能初步归类。
4.2.3. 按内容识别分类
这是DLP的强项。用正则、关键字、指纹、机器学习去扫内容。比如匹配到“合同编号”+“金额”+“双方公章”，就自动归类为“商业合同”。
4.2.4. 按上下文分类
我特别推荐这个维度。同样的“客户名单”，在销售部是机密，在公关部是公开清单。所以分类不能只看内容，还得看谁在用、在哪里用、什么时间用。
为什么上下文分类这么灵？
- 能解决「同名不同级」的难题。比如“敏感客户”和“普通客户”在一个表里，靠内容没法区分，靠部门+角色才能判断。
- 还能防止误杀。比如运维在调试时扫描全库，DLP不会误报成数据泄露。
4.3. 分级方法：CISP四级模型为主，三级模型为辅
分级我个人强烈推荐CISP的四级模型——公开、内部、敏感、绝密。为什么不是五级或三级？四级的颗粒度刚刚好，DLP规则不会太多，落地成本也低。
直接看表更清楚：
| 级别 | 定义 | 典型数据 | DLP默认策略 |
|---|---|---|---|
| L1 公开 | 可对外发布 | 产品手册、新闻稿 | 放行，不审计 |
| L2 内部 | 仅限公司内部 | 内部通讯录、制度文件 | 监控外发，审计日志 |
| L3 敏感 | 核心业务数据 | 客户名单、财务报表 | 外发阻断，需审批 |
| L4 绝密 | 最高机密 | 源码、战略规划、加密密钥 | 外发阻断，水印追踪 |
我遇到过一家金融公司，非要把分级搞成5级，结果运维每天都在处理“L2.5”这种不伦不类的级别。后来我帮他们硬缩回4级，DLP规则直接砍掉40%，准确率反而上去了。分级不是越细越好，能落地的分级才有意义。
4.4. 分类分级落地六步法
方法讲完了，来点实际的。我一般按下面六步走，从不跳步：
- 范围定界：先选一个业务域，比如“客户数据”，不要撒大网。
- 盘资产：找出所有涉及的表、文件、邮件、日志。
- 初分类：用元数据+正则批量扫描，打上初步标签。
- 人工复核：找业务部门的人对照初分类结果，修正错标、漏标。
- 定级打标：按照四级模型给每条数据打上等级标签。
- 策略映射：把分类分级结果导入DLP规则引擎，形成联动。
→ 测试环境先试跑，确认识别规则没问题再上生产；
→ 生产扫描必须走只读副本或离线快照。
你别踩这个坑。
4.5. 一张图看清方法全貌
下面这张SVG把从原始数据到DLP策略的完整链路串起来了。你把它贴到白板上，团队照着走不会乱。
从这张图能明显看出来，分类分级不是一锤子买卖。数据在流动，标签就必须跟着动。这就是为什么要“动态标签+血缘同步”。
4.6. 产出物与检查清单
最后，我建议你在项目收口时，拿下面这个清单检验一下交付质量：
- ✅ 是否产出《数据资产总目录》？每个数据项都有唯一标识。
- ✅ 分类标签是否覆盖了所有数据源？有没有遗漏备份或归档数据？
- ✅ 分级标准是否经过了业务部门确认？有没有签字的确认函？
- ✅ DLP策略是否按照分类分级结果做了差异化配置？比如L4数据自动触发水印，L2数据只审计。
- ✅ 有没有留下“分类分级映射表”？方便后续策略增删改查。