敏感数据定义与范围
说实话，很多团队做数据安全第一步就卡住了——连自己要保护什么都说不太清。你不是第一个，我之前接手好几个项目，客户开口就是“所有数据都敏感”，结果你想想看，真全堵死了，业务也就垮了。
所以我个人习惯，在讨论任何风险评分和发现工具之前，先把定义框死。这一章我们就把敏感数据拆开揉碎，看看哪些东西真正需要贴上“敏感”标签。
什么是敏感数据？
敏感数据，说白了就是一旦泄露、被滥用或未经授权被修改，会对个人、组织甚至国家安全造成损害的信息。
这个定义听起来宽，但你在落地时要记住一个原则：不是所有数据都敏感，只有那些有“负面后果”的数据才是敏感数据。
- 泄露后果：是否造成身份盗用、经济损失、名誉损害？
- 合规要求：是否有法律或行业标准明确要求保护？
- 业务价值：是否构成核心竞争力或商业秘密？
- 上下文：同一字段在不同场景下敏感等级可能不同（例如脱敏后的手机号 vs 原始手机号）
四大敏感数据类型
我在项目中习惯把敏感数据归为四大类，覆盖了95%以上的场景。下面这张图可以把它们之间的关系看得更清楚。
1. 个人身份信息（PII）
这是最大学也最容易出问题的类别。PII包括任何能直接或间接识别到特定自然人的信息。
| 等级 | 定义 | 典型字段 |
|---|---|---|
| 直接标识符 | 单独即可直接确定身份 | 身份证号、护照号、指纹、人脸图像 |
| 准标识符 | 组合后才可能识别身份 | 姓名、出生日期、性别、邮编 |
| 间接敏感信息 | 与身份关联后的隐私信息 | 宗教信仰、政治倾向、性取向 |
我在项目里踩过最大的坑：有人以为“把姓名去掉就安全了”，结果发现性别+出生日期+邮编几乎能唯一锁定一个人（美国人口普查局做过研究，87%的美国人可以被这三字段唯一标识）。
2. 财务数据
这类数据的核心特征就是直接和钱挂钩。泄露后用户面临最直接的经济损失风险。
- 支付卡信息：卡号、有效期、CVV（PCI DSS合规重点）
- 银行账户：账号、开户行、交易流水
- 财务档案：收入证明、纳税记录、工资单
- 信用信息：信用评分、贷款记录、逾期信息
再说一遍：CVV和完整磁道数据原则上不允许存储，很多合规框架直接要求“不能存”。如果你非存不可，那你的加密和访问控制要比普通敏感数据高一个级别。
3. 医疗健康数据
医疗数据在全球范围内都是受严格监管的数据类型。HIPAA、GDPR里专门有章节讲它。
不光是病历和诊断报告，还有哪些容易被忽视的？我列一下我在项目里遇到过的：
- 基因测序数据（一次泄露影响是终身的）
- 临床试验数据（涉及受试者隐私和商业价值）
- 健康设备数据（手环、血糖仪等IoT设备上传的数据）
- 保险核保信息（既往病史、家族病史）
4. 商业秘密与知识产权
这一类经常被企业忽略，因为不像PII那样有明确法律条文。但说实话，对企业损失最大的往往不是用户信息泄露，而是核心商业机密外流。
| 子类别 | 案例 | 风险等级（典型） |
|---|---|---|
| 技术秘密 | 源代碼、算法、电路图、配方 | 极高 |
| 商业策略 | 定价模型、市场计划、投标报价 | 高 |
| 客户信息 | 客户名单、合同条款、服务费率 | 中-高 |
| 研发资料 | 实验数据、技术文档、专利申请材料 | 极高 |
我前段时间帮一个金融科技公司做数据盘点，发现他们把核心风控模型的训练数据放在一个全员可读的共享盘里。你说这多危险。
数据敏感度的“上下文因子”
同一个字段，单独拿出来可能不敏感，但放到特定上下文中就会变敏感。这一点很关键，很多人会忽略。
- 数据量：一条位置记录无所谓，一万条就能画出你的活动轨迹
- 关联性：手机号单独看来不算最敏感，但关联了通讯录、位置、支付记录后就是超敏感数据
- 时间窗口：实时股票交易数据 vs 历史的汇总数据，敏感度完全不同
- 受众：内部团队共享的日志 vs 对外公开的年报，同样的数据字段有不同的保护要求
实操建议：如何落地数据分类
最后分享一点我在多个项目中实践过的方法:
- 先做字段级盘点：遍历所有数据库表、文件系统、API返回体
- 建立分类矩阵：根据类型+上下文为每个字段打标签
- 确认合规映射：把数据类别与适用的法规（PIPL、GDPR、PCI、HIPAA等）对应起来
- 设置边界情况：对难以直接判断的数据（如设备ID、Cookie）设立评审机制
- 落地工具扫描规则：把定义好的敏感数据规则配置到DLP或数据发现工具里
1. 如果这份数据被发到网上，公司和个人会有什么后果？
2. 哪些法规管这类数据的保护？
3. 数据组合之后是否更敏感？
如果三个问题的答案都指向“需要保护”，那它就是敏感数据，没跑了。