3. 项目目标与范围定义：先把靶心画清楚

很多项目死在哪？不是技术不行，是连自己要干什么都说不清楚。我记得有一次，某客户上来就说「我们要搞数据安全」，我问具体目标是什么，对方说「把所有数据都保护起来」。你想想看，这世界上没有任何一个安全系统能做到「把所有数据都保护起来」，成本、性能、业务影响全都要命。所以这一章，我们就来好好聊聊——项目目标到底该怎么定，边界又该怎么划。

3.1 核心目标：不是三个，是一环套一环

咱们这次DSPM项目，核心目标听起来有三个：敏感数据识别、风险可视化、策略自动化。但说实话，这三个不是并列关系，而是一个逐渐递进、层层依赖的关系。我个人习惯给客户讲的时候，画个三角形——底层是识别，中间是可视化，顶层才是自动化。你想想看，连数据藏哪都不知道，你又能看到什么风险？风险都看不清，你拿什么来自动化？

目标层次	核心内容	关键指标
第一层：敏感数据识别	盘点数据资产、分类分级、打标签	覆盖率 ≥ 95%、误报率 ≤ 3%
第二层：风险可视化	风险地图、访问路径、异常行为	风险发现时间从天级到分钟级
第三层：策略自动化	动态脱敏、权限自适应、事件响应	自动处理率 ≥ 80%、响应时间 ≤ 5s

3.2 敏感数据识别：不只是扫一遍

很多团队觉得数据识别就是跑个扫描工具，出个报告就完事了。其实没这么简单。我个人在做第一期DSPM时，光数据识别的范畴就拉了四类：

• 结构化数据：数据库表、字段、视图。重点是身份证、手机号、银行卡、地址这类。
• 半结构化数据：JSON、XML、日志文件。数据格式虽然乱，但敏感字段必须挑出来。
• 非结构化数据：文档、PDF、图片OCR。这块最容易被忽略，但泄密往往就发生在这些文件里。
• 大数据平台：Hive、HBase、Elasticsearch。数据量级大，识别方式得单独设计。

3.3 风险可视化：让领导一眼看明白

风险可视化说白了就是三个词：知道有什么风险、风险在哪、谁在搞事。我建议不要一上来就追求花哨的仪表盘，先想清楚这五块：

1. 数据资产地图：所有敏感数据分布在哪些系统、哪些库、哪些表、哪些字段。
2. 访问权限热力图：谁可以访问哪些敏感数据，权限是不是泛滥了？
3. 异常行为检测：非工作时间访问、批量导出、异常账号登录。
4. 风险评分：每个涉敏对象的风险等级（高/中/低）。
5. 合规看板：满足等保、GDPR、个人信息保护法的要求项完成度。

嗯，这里要注意——可视化不是只给安全团队看的。很多时候业务部门和老板也要看。所以你得考虑不同角色的视角。我看过一些项目，仪表盘做得很酷，但业务同学点进去完全看不懂——这就失败了。

3.4 策略自动化：从手动到自动的关键一跃

策略自动化是DSPM项目的终极目标。但老实说，这个目标不能一步到位。我一般分三阶段来执行：

阶段	重点	落地产物
第一阶段	规则驱动，手动审批	静态脱敏策略、访问控制策略
第二阶段	半自动化，人工兜底	基于风险的动态脱敏、异常事件告警
第三阶段	全自动化，自适应策略	实时行为分析+自动权限回收+链路阻断

举个例子：第一阶段，你发现一个用户非工作时间批量下载身份证数据，系统只能告警，人去看。第二阶段，系统能把该用户的访问权限临时禁用，但解禁还得审批。到第三阶段，系统直接根据上下文判断——是业务需要还是攻击行为——自动封禁或放行。说白了，从「发现风险再处理」变成「风险还没落地就被拦住」。

3.5 项目边界：哪些事一定不要做

定目标很重要，但我觉得更关键的是划边界——明确「什么不做」。说白了你做的越多，项目越容易失控。我在项目边界设置上，一般会拉一张表：

范围	包含	不包含
数据源范围	线上生产库、测试库、备份库、日志	第三方SaaS平台数据（需单独协商）
存储范围	本地数据中心、私有云、混合云	公有云对象存储（如OSS、S3另起项目）
网络区域	办公网、生产网、dmz区	海外分支机构局域网（后期二期）
业务系统	核心交易系统、CRM、ERP	遗留老旧系统（技术债务太大，后期改造）

3.6 目标与边界的闭环：一个简单的示意图

你看，目标驱动范围，范围反过来约束目标。没有这个闭环，项目要么做不够，要么做过头。下面的SVG图展示了这三个核心目标与边界约束之间的关系——