DLP 核心概念：数据防泄漏技术、分类分级、策略管理

做 DLP 合规设计，离不开三个基础概念：数据防泄漏技术、数据分类分级 和 策略管理。这三者就像椅子的三条腿，少一条都站不稳。我在不少项目里见过团队只盯着技术选型，分类分级随便做了个 excel 表，结果策略跑起来全是误报——嗯，说白了就是地基没打好。

这一章咱们就把这三个概念拆开揉碎，结合我早年踩过的坑，给你理清楚它们到底怎么配合。

3.1 数据防泄漏技术：不止是“拦”和“放”

数据防泄漏技术，听起来就是阻止数据外泄。但实际落地时，至少分四层能力：

• 终端管控：USB、打印机、剪贴板、截屏……我见过某甲方直接用终端代理把每个员工的外发文件都做了一次内容匹配，结果一天生成了 800 万条日志，存储直接爆炸。后来加了分类分级前置，才压到合理水平。
• 网络监控：邮件、Web、IM、FTP 等通道的内容检测。这里有个坑：SSL 解密性能开销很大，我在一个金融项目里就因为没预估好解密吞吐，导致网关丢包 30%。
• 存储扫描：对文件服务器、SharePoint、S3 等做静态内容发现，帮你看清敏感数据散落位置。
• 行为分析：通过用户实体行为分析（UEBA）识别异常访问模式。比如某员工凌晨两点下载 200 份合同——系统该告警了。

3.2 数据分类分级：DLP 的“坐标系”

没有分类分级，策略就是盲打。分类分级的核心是回答两个问题：这是什么数据？它有多重要？

分类常用维度：

• 业务属性：财务数据、客户信息、研发代码、HR 记录……
• 法律属性：个人敏感信息（PII）、受控技术数据（如 ITAR）、商业秘密
• 格式属性：结构化（DB）、半结构化（XML）、非结构化（PDF、DOCX）

分级我习惯用 4 级模型（参考 GB/T 37988）：

3.3 策略管理：把规则翻译成机器能懂的语言

策略管理是连接“分类分级”和“技术检测”的桥梁。一个完整的策略通常包含：

1. 触发条件（when）：什么操作？发送邮件？复制到U盘？上传到网盘？
2. 匹配规则（what）：基于内容指纹、正则表达式、字典、机器学习分类器
3. 动作（how）：阻断、告警、加密、记录日志、隔离或审批
4. 适用对象（who）：全员 / 特定部门 / 外部人员
5. 例外处理（exception）：白名单用户、特定时间段免检等

我在一个政务云项目里写过这样一条策略：

# 示例：阻止带身份证号的邮件发往外部
rule "Block_IDCard_ExternalEmail"
    when
        event.type == "email.outbound" AND
        user.department NOT IN ("合规部", "法务部") AND
        content contains regex "\d{18}|\d{17}X"
    then
        action = "block"
        log.level = "high"
        notify.recipients = ["dlp-admin@corp.com"]

你想想看，策略多了以后，冲突和优先级怎么处理？我个人习惯用“最小特权 + 显式覆盖”的原则：默认 deny，高级别策略覆盖低级别策略，并给每条策略分配一个优先级数值（1-100）。

3.4 三者如何咬合？

来，咱们用一张图把关系看清楚：

这张图能帮你建立整体认知：分类分级是基础标签，策略管理是大脑，防泄漏技术是执行手脚。在我经手的几个成功案例里，团队都是先花 2~3 周把分类分级框架定下来，再开始写策略，最后选型技术产品。顺序错了，后患无穷。

3.5 常见术语对照表