四、金融行业核心数据资产识别：分类分级方法
金融行业的数据资产，说白了就是你的家底儿。客户信息、交易记录、风控模型、内部报表——这四类数据要是漏出去，轻则罚单，重则市场动荡。我做DLP接入时，甲方CIO最头疼的往往不是技术选型，而是：“我到底有哪些核心数据？它们该归到什么级别？”
今天我们就来拆清楚。我习惯把这四类资产先画成一张图，再谈怎么分级。
4.1 客户信息：最分散、最敏感
客户信息是DLP的“头号大敌”。为什么？因为它散落在十几个系统里——核心银行、CRM、信用卡、理财、保险……你想想看，每个系统都存一份客户姓名+身份证号+手机号，但有的系统只脱敏显示，有的明文存储。
我个人习惯先把客户信息拆成三个子类：
- 身份标识类：姓名、身份证、护照、驾驶证。这属于“一旦泄露就不可逆”的数据，我通常将其划入L3或L4。
- 联系与行为类：手机号、邮箱、住址、设备指纹。这类数据适合L2~L3，取决于是否与金融资产强关联。
- 生物特征类：人脸特征、指纹、声纹。目前监管力度极大，我建议直接定为L4。
💡 我在做某股份制银行DLP项目时，发现他们的呼叫中心坐席屏幕直接显示完整身份证号。当时我和他们说：这等于在大街上把客户身份证贴墙上。后来他们给坐席上了动态脱敏，只有最后4位可见。
4.2 交易记录：量最大、最难控
交易记录是金融数据的“流量之王”。每天几千万笔流水，运维、清算、反洗钱、审计……每个人都要用。但很多人忘了一件事：交易记录里藏着关联数据。
- 单笔交易：交易金额、对方账号、备注（很多用户会把密码、还款日写在备注里）。我遇到过一次，一个程序员在交易备注里写“工行卡密码123456”，这笔数据就进了DLP审计告警。
- 批量交易：代发工资、批量代扣。这类文件的表头一旦泄露，可能暴露整个企业员工的工资水平，属于高敏数据。
我通常是这么分级的：
| 交易记录子类 | 典型字段 | 建议级别 | 我的理由 |
|---|---|---|---|
| 单笔完整交易 | 双方账号、金额、IP、设备指纹 | L3 | 可追踪到个人真实经济行为 |
| 脱敏交易流水 | 脱敏账号、汇总金额、不含备注 | L2 | 只能做统计分析，无法定位个人 |
| 商户结算数据 | 商户号、结算金额、费率 | L2~L3 | 涉及商户商业机密，但不会直接危害个人 |
| 交易日志（含SQL） | 数据库操作记录、参数 | L2 | 需要防范SQL注入等攻击面 |
4.3 风控模型：公司的命根子
谁说模型只是代码？风控模型是金融机构的“AlphaGo”。里面包含了反欺诈规则、信用评分卡、贷前贷后策略……一旦泄漏，黑产可以直接反向工程绕过你的风控。
我记得有一次，某互金公司的风控模型变量被内部员工通过邮件外发。幸好DLP关键词匹配到了“评分卡”和“决策树”这类词，及时发现。那之后，他们把所有模型文件都加了“模型水印”——每个下载者都带独立印记。
- 模型规则库：黑名单规则、多头借贷规则、行为评分公式。毫无疑问，L4。
- 变量与特征工程：衍生变量、设备指纹特征。建议L3，因为变量结构能暴露模型逻辑。
- 模型部署包：PMML、ONNX、Python pickle。建议L4，因为一旦被反编译，风控就是纸糊的。
⚠️ 我曾见过一个血泪教训：某公司把风控模型打成jar包放到Maven私服里，没做权限控制。外部开发人员可以直接下载。DLP规则一定要对“pickle、pkl、pmml、jar + 模型”这类组合做高优先级监控。
4.4 内部报表：合规的底线
内部报表最容易被忽视。你以为只有客户敏感数据才需要保护？其实监管报表、经营分析、反洗钱报告——这些一旦提前泄露到市场，可能就是股价波动、甚至监管处罚。
我的分级习惯是：
- 监管报送报表：比如1104报表、EAST报送数据。格式固定、字段敏感（含全量客户信息），必须L4。
- 经营分析报表：存贷比、不良率、经营数据。虽然不含个人隐私，但属于公司“未公开的敏感信息”，L3。
- 内部管理报表：部门绩效、人力成本、项目预算。这类数据通常L2，但若合并了业务数据，应升级。
其实很多DLP漏报就出在报表分类上。比如一个Excel叫“Q2分析”，打开后发现里面贴着客户明细。一定要让业务部门申报时勾选“是否包含客户敏感字段”，否则DLP只能按默认级别处理——大概率漏。
4.5 分类分级实战：怎么落地？
光讲理论不行，我直接给出一个可执行的步骤：
# 分类分级落地四步法（我的惯用脚本框架）
1. 资产盘点：找业务部门填《数据资产登记表》
关键字段：数据名称、存储位置、包含的字段列表、合规要求
2. 自动打标：基于字段名关键词自动匹配
示例字段清单：
- 姓名/身份证 → 客户信息 → L3
- 交易金额/对方账号 → 交易记录 → L3
- 评分卡/决策树 → 风控模型 → L4
- 监管报送/银保监 → 内部报表 → L4
3. 人工审核：每个部门派出数据Owner确认级别
我见过最拖的就是这步。但必须做，否则DLP会大量误报或漏报。
4. 策略绑定：将标签和DLP策略联动
例如：L4数据外发 → 直接阻断 + 告警 + 工单；
L2数据外发 → 仅审计 + 季度评审。⚠️ 一定要避免“一刀切”——全部设为L4的代价是DLP告警量爆炸，最后运营同学直接把规则关掉。我曾经接手过一个客户，因为把80%的数据标成L4，导致每天3万条告警，两周后策略全停了。
最后说一句：分类分级不是一次性的，而是需要动态维护。每上线一个新系统、每引入一个新业务线，都应该触发重新评估。这样才能让DLP始终跑在正确的轨道上。