数据资产盘点：个人信息识别、数据分类分级、数据映射流
聊到等保和GDPR合规，我第一个建议永远是：“先搞清楚你手里有哪些数据”。
数据资产盘点，说白了就是给自己家底做个清册。你不盘不知道，很多公司连自己存了多少客户手机号、哪些字段涉及敏感信息都说不清楚。我做过的十几个合规项目中，至少有一半前期都在干这件事——而且每次都发现业务部门以为“没什么敏感数据”，结果一拉清单，光是员工身份证号就散落在五个系统里。
这一章，我把实操方法分成三步：识别个人信息→分类分级→画数据映射流。按这个顺序走，你的合规地基就稳了。
1. 个人信息识别：先搞清楚哪些是PII
GDPR里的“个人数据”定义很宽——任何已识别或可识别的自然人的信息都算。等保里虽然没有单独提PII，但《个人信息保护法》和《数据安全法》落地后，实际要求基本对齐了。
我个人习惯用一张检查表来扫。下面这个表是我在项目里迭代出来的，覆盖了80%以上场景：
| 类别 | 典型字段 | 备注 |
|---|---|---|
| 直接标识 | 姓名、身份证号、手机号、邮箱、地址 | 最容易漏的是手填备注里的手机号 |
| 间接标识 | 工号、设备ID、IP、Cookie、车牌号 | 单独可能看不出，组合起来就能定位到人 |
| 特殊类别 | 种族、政治观点、健康数据、生物识别 | GDPR第9条禁止处理，除非有明确同意 |
| 财务数据 | 银行卡号、交易记录、信用评分 | 等保三级以上要求加密存储 |
| 位置数据 | GPS坐标、WiFi指纹、基站位置 | 很多APP后台偷偷收集，容易被投诉 |
我的避坑经验：别只盯数据库表结构。日志文件、API响应体、邮件附件里的Excel都可能藏有PII。我曾经在一个运维日志里发现明文银行卡号，原因是开发调用了脱敏接口但日志打印了全量参数——这种暗坑，盘点时一定要覆盖所有数据处理环节。
识别方法上，我建议三步走：字段扫描 → 样本抽查 → 人工确认。字段扫描可以用正则批量跑，但别全信机器，尤其中文名和身份证号格式不统一时，误报和漏报都很常见。我一般都是先让工具筛一轮，然后随机抽100条人工看，再让业务方过一遍。
2. 数据分类分级：等保和GDPR怎么分
识别出PII之后，下一步是打标签——分成几类、定成几级。等保和GDPR的粒度不太一样，我习惯把它们揉到一个模型里，避免做两套。
以等保为底，向上兼容GDPR的分级逻辑。下面是我常用的四级分类体系：
| 等级 | 定义 | 等保对应 | GDPR对应 | 示例 |
|---|---|---|---|---|
| L1 公开 | 对外公开无风险 | 一、二级 | 非个人数据 | 产品介绍、公司地址 |
| L2 内部 | 内部使用泄漏有轻微影响 | 三级 | 普通PII | 员工工号、部门 |
| L3 敏感 | 泄漏会造成中等至严重损害 | 三级增强 | PII + 财务/位置 | 手机号、身份证、银行卡 |
| L4 极敏感 | 泄漏会导致严重声誉/法律后果 | 四级 | 特殊类别数据 | 健康记录、生物特征、犯罪记录 |
注意：很多公司只分“敏感/非敏感”两档，但等保四级和GDPR特殊类别数据要求的控制措施完全不一样——比如L4必须加密存储且访问权限必须单独审批。如果混在一起，审计时会被揪出来。我曾经见过一个医疗项目把所有数据都标成“敏感”，结果加密成本翻了三倍，审批流程也把人逼疯了。分级别太粗也别太细，4~5级是比较实用的。
分类标准我推荐用“业务域+数据属性”的二维矩阵。举个例子：
- 用户域 — 个人信息 → L3
- 交易域 — 订单记录 → L2（不含支付信息）
- 支付域 — 银行卡 → L3；原卡号 → L4
- 日志域 — 操作日志 → L1（经脱敏后）
每次分类完，我会让业务负责人签字确认——因为后面所有安全控制措施都依赖这个分级。你用Excel也好，用数据资产平台也好，关键是要有版本记录，不然过两个月业务改了字段，你的分级就失效了。
3. 数据映射流：画出数据怎么流动
数据映射流，听起来高大上，其实就是画一张“数据去哪里”的图。GDPR第30条明确要求处理者记录处理活动清单（ROPA），等保三级以上也要求梳理数据流转路径。两者都能用一张数据映射图来覆盖。
我一般把数据映射流拆成六个要素：
- 数据源：从哪里采集的？（用户填报、第三方接口、设备自动上报）
- 处理活动：做什么操作？（收集、存储、使用、加工、传输、提供、公开、删除）
- 存储位置：存在哪里？（数据库、文件服务器、云对象存储、日志系统）
- 传输路径：经过哪些网络？（内网、VPN、公网HTTPS、邮件）
- 数据接收方：谁能看到？（内部部门、第三方SaaS、母公司、监管机构）
- 保留与销毁：留多久？怎么删？（定时任务、手动清理、数据归档）
下面是一个简化版的数据映射流程结构图——你可以把它当作模板，在实际项目里逐系统扩展：
画这个图的时候，我建议你用白板先画草图，拉着开发负责人、运维、业务一起过。因为很多隐藏路径只有他们知道——比如“运维后台有个临时导出脚本，每天把用户数据发到IT总监的邮箱”。这种非正式流转，在等保和GDPR审计里都是雷。
实操要点汇总：
- 每一个数据源要有明确的采集同意入口（GDPR要求）
- 每一个存储节点要标记分级并开启访问控制（等保三级要求）
- 每一条传输链路必须加密（TLS 1.2+ / VPN）
- 每一个第三方接收方要有DPA（数据处理协议）
- 保留销毁策略需与业务确认，不能一刀切“删了事”
最后说一点——做完这一套盘点，得到的不仅是一堆表格和图。它是后续风险评估、隐私影响评估（DPIA）、安全整改的输入材料。换句话说，你后面做的每件事，都得从这张底图上找依据。所以别怕花时间，这个阶段慢一点，后面能省十倍时间。