2. 数据分类与分级：敏感数据识别、分类标准、分级策略

数据分类与分级，是DLP防线的起点。不少人觉得这是个纯管理的活儿，一张Excel表就能搞定。我个人的经验是——搞不定，搞不定。

你想想看，分类分级的颗粒度如果太粗，DLP策略要么到处误报，要么根本漏报。如果太细，维护成本高得吓人，业务部门也会烦你。它是个平衡的艺术，也是个技术活。

2.1 敏感数据识别：先得知道你手里有什么

识别是第一步。不知道哪些数据是敏感的，防护就无从谈起。我经常跟团队讲，敏感数据识别不是扫一次就完事的，它是个持续的过程。为什么？因为业务在变，数据在流动，今天不敏感的数据，明天可能就成了核心资产。

2.1.1 识别的方法

实战中，我们常用的识别方法有这几种，各有各的适用场景：

• 关键字/正则匹配：最常见的办法。比如身份证号、银行卡号、手机号。优点是快，缺点是容易误报。
• 指纹识别：对已知的敏感文档（如标书、合同）生成哈希指纹，后续任何副本都能被识别到。这个准确率很高，我在做金融客户项目时特别喜欢这种方式。
• 机器学习分类：训练模型判断内容是否敏感。比如合同vs普通邮件。适合模糊场景，但需要数据量，且有一定的冷启动成本。
• 结构化/非结构化区分：结构化数据（数据库表）可以用字段名匹配；非结构化数据（文档、图片）得靠内容分析，甚至OCR。

2.1.2 识别结果的输出

识别完之后，我们通常会输出一张敏感数据资产清单。这张清单是后续分类分级的基础。表格不要太花哨，实用为主。我列个例子：

数据源	类型	敏感字段/内容	预估数量	数据所有者
HR系统	结构化	身份证号、薪资、银行账号	50万条	人力资源部
文件服务器	非结构化	合同、招标书（含客户信息）	10万份	销售部/法务部
邮件归档	半结构化	附件中的财务报表	2万封	财务部

2.2 分类标准：怎么分？分几类？

识别出来之后，就得分类。分类是按数据的业务属性、内容类型来划分。比如可以分为员工信息、客户信息、财务数据、研发代码、合作伙伴资料等等。

分类标准不能拍脑袋定。我曾经见过一个团队，把“客户信息”底下分成了12个小类，结果业务部门根本记不住，最后全都一股脑标记成“其他”。嗯，那就白分了。

我个人习惯：分类层级不要超过3层。

• 大类：5-10个。比如：人事、财务、研发、销售、运维、法务。
• 中类：每个大类下2-5个。比如研发下分：源代码、设计文档、测试数据。
• 小类：可选项。除非必要，否则不建议设。

分类时，要问自己一个问题：这个分类结果，DLP策略能不能直接引用？如果答案是不能，那分类就是无效的。

2.3 分级策略：敏感程度决定保护力度

分级，是给数据打上“保密级别”的标签。本质上，它决定了数据在流转时，需要触发什么样的防护动作。

常见的分级标准有四级制、五级制。我主要讲四级制，因为实际落地最多：

1. 公开：对外公开的数据，如官网信息、产品手册。DLP一般放行。
2. 内部：仅限公司内部使用，如内部制度、会议纪要。DLP会审计外发行为。
3. 敏感：泄露会对公司造成较大影响，如客户清单、薪资数据。DLP会触发告警或拦截。
4. 绝密：核心资产，泄露是重大事故，如核心源码、并购计划、财报。DLP必须严格拦截并上报。

2.4 分类与分级的关联矩阵

分类和分级不是孤立的两张皮。在实际DLP配置中，它们必须关联起来。我常用的工具就是一张分类-分级矩阵。

为什么需要矩阵？因为不同的分类，即使内容相似，敏感度也可能不同。比如“销售合同”可能算敏感，但“采购合同”可能只是内部。

分类类别	公开	内部	敏感	绝密
员工信息 (HR)	姓名	部门、岗位	身份证、薪资	高管薪资、董事会决议
客户数据 (销售)	公司名称	联系方式	合同金额、需求	投标底价、客户机密
研发代码 (技术)	开源组件	内部框架	业务核心代码	加密算法、核心专利
财务数据 (财务)	上市公司年报	预算表	现金流、利润	未发布财报、并购条款

这张矩阵，其实就是你配置DLP策略时的“真经”。你想想，如果没有它，你怎么知道“客户联系方式”该不该发到合作伙伴邮箱？根据矩阵，这类数据是内部级，DLP可以放行但需要审计。而“投标底价”是绝密，不管发给谁，都得拦下来。

2.5 知识结构总览

下面这张图，帮你梳理一下整个章节的核心逻辑。从敏感数据识别开始，到输出资产清单，再到分类与分级，最后形成关联矩阵指导策略。我建议你把它存下来，在实施项目时当作指引。