04. 数据分类原则：业务维度、敏感度维度、合规维度
说实话，很多刚接触数据分类的同学，一上来就问：“用什么标准去分？”有的直接拿Excel拉个等级，有的把“公开/内部/机密/绝密”这几个词打到每个字段上就完事了。
嗯，这种做法，我在项目中见过太多次了。结果呢？真正的核心数据库被打成了“内部”，而一些无关紧要的日志却标成了“机密”。等保测评一过，该管的没管住，不该管的反而成了累赘。
为什么会这样？说白了，就是分类原则没立住。
我个人习惯，把数据分类的底盘拆成三个维度去搭建——业务维度、敏感度维度、合规维度。三个视角缺一个，分类就会偏。
4.1 业务维度——数据与业务的绑定关系
你想想看，数据不是凭空产生的。每条数据背后都跟着一个业务场景：客户下了单，仓库出了货，财务开了票。业务维度分类，就是把数据放回到它产生的那个上下文里去定义。
我建议从四个方向来切：
- 业务一性：这个数据集支撑的是核心业务流程，还是辅助流程？比如交易流水就是核心，而会议室预定记录就是辅助。
- 业务依赖关系：如果这个数据丢了，业务会不会停？会停的就是高依赖数据。
- 生命周期映射：数据在不同的业务阶段（产生、使用、归档、销毁）优先级是变化的。初始阶段的交易数据比归档后的副本敏感得多。
- 数据治理主体：谁是这条数据的业务所有人？没有业务Owner的数据，分类基本是空的。
| 业务属性 | 分类优先级 | 示例 |
|---|---|---|
| 核心业务数据 | 高 | 客户订单、交易明细、信贷审批 |
| 重要业务数据 | 中 | 员工信息、供应商档案 |
| 一般业务数据 | 低 | 内部通知、非敏感日志 |
4.2 敏感度维度——数据本身的风险等级
这部分就回到经典的信息安全三要素了——保密性、完整性、可用性。敏感度维度不看业务是谁在用，只看这条数据本身的价值和泄露后造成的损失。
我在项目里常用的分级方法是“C-I-A三加权评分法”：
- 保密性权重：泄露后对企业声誉、客户隐私、竞争优势的影响程度。
- 完整性权重：被篡改后对业务决策或财务准确性的影响程度。
- 可用性权重：无法访问后对业务连续性的冲击程度。
然后取最高维度定级。举个例子，财务报表的完整性和保密性都很高，但可用性只要能在次月完成就行，那就按保密性定级。
| 敏感等级 | 保密性描述 | 完整性描述 | 可用性描述 |
|---|---|---|---|
| L1（公开） | 对外公开无影响 | 被改后影响极小 | 短期不可用可容忍 |
| L2（内部） | 内部泄露后果轻微 | 被改后影响局部 | 不可用的时间容忍度小于24h |
| L3（敏感） | 泄露造成负面影响 | 被改后影响业务 | 不可用容忍度小于4h |
| L4（高敏感） | 泄露将导致重大损失 | 被改后将引发合规或财务危机 | 不可用容忍度小于1h |
4.3 合规维度——法律与行业的红线
这部分是最容易被忽视的，但恰恰是等保2.0最关注的点。没错，业务维度是你的“理”，敏感度维度是你的“度”，但合规维度是你的“法”——法律的红线你不能碰。
具体来说，我会从三个层面去拆解合规维度：
- 法定分类：比如《个人信息保护法》定义的敏感个人信息——生物识别、金融账户、行踪轨迹等，这类数据必须按高等级去分类，没有商量空间。
- 行业合规要求：金融业的《金融数据安全分级指南》、医疗行业的《健康医疗大数据安全管理办法》。不同行业有细分要求。
- 出境数据类型：重要数据、个人信息出境的合规要求。一旦数据被划分到“出境数据”，它就是合规分类里的最高优先级。
// 合规维度元数据标签示例
{
"classification": {
"business": ["core", "transaction"],
"sensitivity": "L3",
"compliance": {
"regulation": ["PipL", "CSL"],
"category": "personal_information",
"sub_category": "financial_account",
"cross_border": "restricted"
}
}
}
| 合规分类 | 典型数据 | 保护要求等级 |
|---|---|---|
| 敏感个人信息 | 身份证号、银行卡号、生物特征 | L4 高敏感 |
| 重要数据 | 行业统计、经济指标、关键研发成果 | L4 高敏感 |
| 一般个人信息 | 姓名、性别、联系方式 | L2 内部 |
| 匿名化数据 | 去标识化后的统计样本 | L1 公开 |
你想想，三个维度怎么协同？我总结了一个思考框架：业务维度告诉你“数据在哪”，敏感度维度告诉你“数据有多重要”，合规维度告诉你“法律要怎么管”。只有三个维度同时落地，你的分类分级才是真正“立得住”的。
总结一下，数据分类原则不是一道数学公式，更像是一门系统工程。业务维度帮你把数据“看懂”，敏感度维度帮你把数据“看透”，合规维度帮你把数据“看对”。三管齐下，你的分类体系才能经得起业务变迁，扛得住合规审查。