📚 课程目录第3章数据资产分类标准

数据资产分类标准：行业分类、敏感度分类、结构分类

资产发现了，然后呢？

我见过不少团队，吭哧吭哧把资产全扫出来，结果堆在那儿不知道怎么管。说白了，没有分类的资产清单，跟一堆乱码没区别。你想想看，金融数据和食堂菜单能用一个管控策略吗？显然不能。

分类，就是给每项资产打上「身份证」。有了分类，你才能差异化地做权限、加密、审计。这一章，咱们就聊聊三种最核心的分类维度——行业、敏感度、结构。我在做银行项目时，这三板斧几乎能覆盖 90% 的场景。

  核心观点： 分类不是越细越好，而是越「可执行」越好。一个分类标准如果让工程师看不懂、记不住，那就是废纸。

1. 行业分类：资产的第一层语境

为什么先聊行业？因为数据脱离行业语境，就没有意义。我记得有一次帮一个零售客户做资产盘点，对方把所有数据都标为「内部」，结果连促销海报模板和会员支付信息用同一个权限策略——这显然不合理。

行业分类，说白了就是回答「这个数据是干什么用的」。常见的行业分类包括：

行业	典型数据资产	管控特点
金融	交易记录、KYC 信息、风控模型	强监管、高审计要求
医疗	电子病历、基因数据、临床试验	隐私合规、去标识化
电商	用户画像、订单日志、库存快照	高并发、实时性要求高
制造	设备传感器数据、BOM 表、质检记录	边缘处理、时序存储
政务	人口信息、不动产登记、行政审批	等保合规、数据共享

在实际落地时，我习惯把「行业分类」作为资产标签的第一级命名空间。比如金融行业的客户表，我可能会命名为 finance:customer，这样在资产目录里一眼就能筛出来。

小技巧： 行业分类不要超过 8 个。太多会导致标签碎片化，反而不好做策略映射。如果你跨多个行业，可以用「行业 + 子域」的方式，比如 finance:retail 和 finance:corporate。

2. 敏感度分类：安全管控的基石

敏感度分类，是数据安全最直接的抓手。我在项目中见过最惨的教训，就是有人把所有数据都标成「敏感」——结果安全团队天天报警，业务方也被搞得苦不堪言。最后大家干脆不管了，等于没分类。

合理的敏感度分级，我推荐四级模型：

公开：产品手册、公司介绍、促销海报。谁都能看，无需管控。
内部：内部通讯录、项目排期、培训材料。员工可访问，但不可外传。
敏感：客户信息、财务报表、核心算法。仅限必要人员，需要审批。
绝密：用户密码、支付密钥、重大收购计划。极少数人可接触，全程审计。

你可能会问：为什么不是三级或五级？

四级是我试过的最优解。三级太粗（公开/内部/机密），导致「内部」这个桶装太多东西；五级又太细，业务方记不住。四级刚好，每个级别对应一套清晰的管控动作。

注意： 敏感度分类一定要跟「加密策略」绑定。我曾经遇到一个项目，敏感数据标了「绝密」，但存储时没加密——标了等于没标。分类只是第一步，后续的治理动作必须跟上。

3. 结构分类：决定你的扫描策略

结构分类，直接影响你怎么发现资产、怎么解析内容。我相信你肯定遇到过这种情况：一个 PDF 文件里嵌了表格，一个 JSON 字段里藏了明文密码。结构不同，扫描方式完全不同。

结构类型	典型形式	SDK 扫描方式
结构化	数据库表、CSV、Parquet	元数据扫描 + 字段级采样
半结构化	JSON、XML、YAML、日志	模式推断 + 键值对遍历
非结构化	PDF、Word、图片、视频	内容解析 + OCR / 自然语言处理

我个人习惯在发现阶段就完成结构分类，因为这会直接决定后续的采样频率和解析引擎。举个例子，结构化数据我一般只扫元数据和前 100 行；非结构化数据则需要全文解析，开销大得多。

4. 三分组合：给资产打上「三维标签」

好，现在你有了三个分类维度。怎么用？

答案是组合起来用。每项资产同时拥有「行业 + 敏感度 + 结构」三个标签，形成一个三维坐标。比如：

finance:sensitive:structured → 金融敏感结构化数据（如交易流水）→ 最高管控级别
health:internal:unstructured → 医疗内部非结构化数据（如培训视频）→ 普通管控
retail:public:semistructured → 电商公开半结构化数据（如商品 API 文档）→ 低管控

我在实际项目中，就是用这个三维标签来配置自动化策略的。SDK 发现资产后，自动打上标签，然后策略引擎根据标签组合，决定要不要加密、要不要审计、要不要脱敏。整个流程全自动，不需要人工介入。

  经验之谈： 三维标签的粒度够用就好。我见过有人加「地域分类」「部门分类」「生命周期分类」，搞了六七个维度，结果标签组合爆炸，策略根本写不过来。三个维度，已经是性价比最高的方案。

5. 落地示例：在 SDK 中实现分类标签

说了这么多，咱们看看代码。以下是我在 SDK 中定义分类标签的数据结构：

// C# 示例：数据资产分类标签
public class AssetClassification
{
    // 行业分类：finance / health / retail / manufacturing / gov
    public string Industry { get; set; }

    // 敏感度分类：public / internal / sensitive / top_secret
    public string Sensitivity { get; set; }

    // 结构分类：structured / semistructured / unstructured
    public string Structure { get; set; }

    // 组合标签（自动生成）
    public string CompositeTag =>
        $"{Industry}:{Sensitivity}:{Structure}";

    // 验证分类是否合法
    public bool IsValid()
    {
        var validIndustries = new[] { "finance", "health", "retail", "manufacturing", "gov" };
        var validSensitivities = new[] { "public", "internal", "sensitive", "top_secret" };
        var validStructures = new[] { "structured", "semistructured", "unstructured" };

        return validIndustries.Contains(Industry) &&
               validSensitivities.Contains(Sensitivity) &&
               validStructures.Contains(Structure);
    }
}

在发现回调中，你可以这样用：

// 发现资产时的分类打标
public void OnAssetDiscovered(AssetMetadata asset)
{
    var classification = new AssetClassification
    {
        Industry = DetectIndustry(asset),
        Sensitivity = ClassifySensitivity(asset),
        Structure = DetectStructure(asset)
    };

    if (!classification.IsValid())
    {
        Logger.Warn($"分类不合法，资产跳过: {asset.Path}");
        return;
    }

    asset.Tags.Add("classification", classification.CompositeTag);
    // 后续策略引擎根据 CompositeTag 执行管控动作
}

建议： 在 SDK 中内置一个「分类规则引擎」。你只需要配置 JSON 规则，SDK 自动匹配资产特征并打标。这样业务方修改分类逻辑时，不需要改代码。

6. 避坑指南：我曾经踩过的几个坑

分类标准不统一：不同团队各搞一套，资产目录变成一锅粥。解决方案是成立一个数据治理小组，统一发布分类字典，SDK 强制校验。
过度分类：有人把「创建日期」也作为一个分类维度，结果策略配置量暴增。记住，分类是为了行动，不是为了分类而分类。
忽略存量资产：新资产自动分类了，老资产还裸奔着。我建议在 SDK 中加一个「存量回扫」任务，每周跑一次，给老资产补标签。
分类与策略脱节：标了「敏感」却没配加密，标了「绝密」却没配审批。分类和策略必须成对出现，缺一不可。

嗯，这一章的内容就到这里。三种分类标准——行业、敏感度、结构——是你做数据资产治理的起点。把它们组合成三维标签，再配合自动化策略，你就能把「发现」的成果真正用起来。