第3章 数据资产盘点：发现数据源、数据分类分级、资产清单构建
数据资产盘点，说白了就是搞清楚企业到底有哪些数据、在哪儿、敏感不敏感、谁管着。很多团队一上来就忙着上DLP、搞脱敏，结果漏了关键数据库或临时文件，最后被审计揪出来大扣分。我个人习惯是先把家底摸清楚，再谈防护。这一章我们就聊聊怎么把这件事做扎实。
3.1 发现数据源——别漏掉任何一个角落
数据源不只是业务数据库。你想想看，一个中型企业，数据可能散落在十几套系统里：核心交易库、数据仓库、Hadoop集群、员工电脑上的Excel、共享目录下的CSV、SaaS应用的导出文件……甚至打印机的缓存我都见过被扫描到敏感内容。
我建议从三个维度去扫：
- 结构化数据源：关系型数据库（MySQL、Oracle、SQL Server）、数据仓库（Snowflake、Redshift）
- 半结构化数据源：MongoDB、Elasticsearch、日志文件（JSON/XML）
- 非结构化数据源：文件服务器（SMB/NFS）、对象存储（S3、OSS）、邮件服务器、SharePoint/Teams
千万别忽略自建系统的临时表、备份文件、ETL中间层。我在某金融客户现场排查时，发现一个被遗忘的测试库，里面存了全量客户身份证号，根本没有权限管控……吓出一身冷汗。
实用技巧：用自动化扫描工具（如Varonis、Stealthbits、或自写脚本）扫描网络共享和数据库连接，结合CMDB清单和人工访谈，交叉验证。覆盖率建议做到95%以上。
3.2 数据分类分级：区分“金子”和“沙子”
数据分类分级我把它拆成两步：先按业务属性分类，再按敏感程度定级。很多公司混着做，结果分类和分级的概念打架，后面没法落地。
3.2.1 分类方法
常见的分类维度包括：业务域、数据用途、数据结构。我习惯用下面这个矩阵作为起点：
| 业务域 | 数据示例 | 典型数据结构 |
|---|---|---|
| 客户管理 | 姓名、手机号、身份证 | 结构化表 |
| 人力资源管理 | 员工薪酬、绩效评估报告 | 结构化 + 文档 |
| 研发代码 | 源代码、配置文件、密钥 | 非结构化 |
| 运营日志 | API调用日志、错误栈 | 半结构化 |
| 财务数据 | 银行流水、发票 | 结构化 + 图片 |
你可能会问：分类标准谁来定？我的建议是拉着业务、合规、数据治理的人一起过一遍。别闷头自己定，否则分类出来没人认。
3.2.2 分级原则
分级一般参考合规要求（个保法、等保、GDPR）和企业自身安全策略。我个人常用四级制：
- L1 – 公开：产品宣传资料、公开文档等。泄露无影响。
- L2 – 内部：内部办公流程、组织架构。泄露有轻度负面影响。
- L3 – 敏感：客户联系方式、财务汇总数据。泄露可能引发合规处罚或客户投诉。
- L4 – 高度敏感：身份证号、银行卡号、密码、患者病历、商业秘密。泄露直接导致法律责任或重大损失。
避坑提醒：我曾经给一家电商做盘点，他们把「订单详情」全部标成L4，结果脱敏范围太大，分析报表全废了。后来我们按字段级别重新分级——订单中的用户手机号是L4，但商品ID和数量可以只标L2。分级粒度要细，别一把抓。
3.3 构建资产清单：一张能打仗的表
资产清单不是简单的Excel罗列。它得能回答几个问题：数据在哪个数据源？哪个表或路径？字段级别的敏感度是多少？谁负责？备份在哪？归档策略是什么？
我一般要求清单至少包含以下字段：
- 资产唯一标识（数据库名.表名, 或文件路径的hash）
- 数据源类型（DB、File、SaaS等）
- 位置（IP/域名、云区域、文件服务器路径）
- 负责人（业务owner或IT管理员）
- 数据分类（如“客户管理-基础信息”）
- 数据分级（L1~L4）
- 记录数（或数据量大小）
- 敏感字段清单（如“身份证号/手机号”）
- 发现时间/更新时间
我建议用CMDB或者数据目录工具（如Alation、Atlan、Collibra）来维护，手工表格很难保持最新。实在没工具，可以先用版本控制的JSON文件，每次变更走PR审批。
3.4 知识全景图
下面这张图把数据资产盘点的核心流程串起来了。我在做项目时会给团队打印出来贴在白板墙上，每次讨论都指着它过一遍，不容易漏项。
嗯，这里要特别提醒一下：资产清单构建完后，一定要和备份策略、数据保留策略做关联。我在一个客户那里看到清单里列了10年前的日志，数据分级L3，但备份介质已经坏掉了……这就是典型的“有清单没治理”。
关键交付物：一份经过确认的数据资产清单，附上分类分级标签，并同步给安全运营、数据治理、运维三个团队。没有确认的清单就是一张废纸。
最后我想说的是：盘点不是一次性项目，而是持续运营。你建立的流程和工具要能自动识别新数据源、自动识别敏感字段变化。我见过最靠谱的做法是用「数据发现代理」实时监听文件创建事件和数据库表变更，然后自动触发分类分级和清单更新。当然，初期手工做一版也无妨——关键是先跑起来，再迭代。