第3节：数据分类分级标准：GDPR、PCI-DSS、等保2.0等法规要求归纳总结
做数据安全，绕不开法规。很多朋友一看到合规条文就头疼，其实没那么玄乎。我自己的经验是：抓住每条法规对“分类分级”的核心要求，剩下的就是映射到技术实现。
今天咱们就捋一捋GDPR、PCI-DSS和等保2.0这三座大山。它们分别来自欧洲、支付卡行业和中国。你会发现，虽然术语不同，但底层逻辑惊人地相似。
3.1 GDPR：以“个人数据”为圆心
GDPR把数据分成两大类：个人数据和特殊类别的个人数据（敏感数据）。它没有强制你搞几级几类，但实际执行中，你得分清哪些数据需要更高保护等级。
| 分类 | 典型示例 | 处理限制 |
|---|---|---|
| 个人数据 | 姓名、邮箱、IP地址、Cookie ID | 需合法基础（同意、合同等） |
| 特殊类别数据 | 种族、政治观点、健康数据、生物识别 | 原则上禁止处理，除非有明确例外 |
| 刑事定罪相关数据 | 犯罪记录、指控信息 | 只能在官方机构控制下处理 |
我的经验：GDPR不要求你贴标签说“一级数据”“二级数据”。但DPIA（数据保护影响评估）里，你一定要区分哪些是高风险处理。我在帮一家电商做合规时，就把用户浏览行为（个人数据）和健康问卷（特殊类别）分开管理，这样DPIA才能通过。
嗯，这里要注意：GDPR的“伪匿名化”不意味着数据就不是个人数据了。只要还能重新识别，它就依然是个人数据。我见过团队把哈希后的手机号当成非个人数据，结果被监管打回来重做。
3.2 PCI-DSS：按持卡人数据分级
PCI-DSS是支付卡行业标准。它的分类特别简洁：只要跟卡有关，都得保护。具体分三级：
- 持卡人数据（CD）：主账号（PAN）、有效期、服务代码
- 敏感认证数据（SAD）：磁条数据、CVV2、PIN——这条红线千万别碰，PCI规定不允许存储SAD（除了发卡行）
- 其他：卡验证值、地址等，保护力度弱一些
你想想看，PCI-DSS的核心其实就一条：哪些字段属于CHD（持卡人数据）？把它找出来，然后加密、脱敏、限制访问。其他的不重要。
我曾经踩过的坑：有次一个开发把PAN连同完整的磁道数据一起存到了日志里。虽然他说只是debug临时开的，但PCI扫描一过，直接判定不合规。记住：SAD不能存，连临时都不行。
PCI-DSS没有“分类分级”这个章节，但它的数据保留策略和最小化原则实际上逼着你去分类。你不可能对几十个字段一视同仁——你得分出哪些该删，哪些该加密。
3.3 等保2.0：四级分类，全国通用
等保2.0是我们中国的标准。GB/T 22239-2019里明确要求对数据进行分类分级。它把数据分成四个安全等级：
- 第一级：个人信息和一般业务数据（影响较小）
- 第二级：重要数据、敏感个人信息（影响严重）
- 第三级：核心数据、重要业务关键数据（影响特别严重）
- 第四级：国家秘密？其实等保2.0不包含国家秘密，最高级主要指极端重要的运营数据
这里容易混淆的是：等保2.0里的“个人信息”和“重要数据”分类并不完全对应GDPR的“个人数据”。比如，工业控制系统里的参数、供应链清单，这些不属于个人信息，但可能是重要数据。
关键点：等保2.0的定级不是你自己拍脑袋。你得做风险评估，考虑数据被破坏、泄露、篡改后对国家安全、社会秩序、公民权益的影响。我在政府项目中，经常要拉上业务部门和法务一起打分，最后形成定级报告。
3.4 三大法规对比：分类分级逻辑映射
说实话，看着三条法规，你可能会觉得一团乱麻。我习惯把它们画成一张映射表，这样落地的时候就清晰了。
| 维度 | GDPR | PCI-DSS | 等保2.0 |
|---|---|---|---|
| 分类依据 | 是否可识别个人 | 是否包含PAN/SAD | 对社会/国家的影响程度 |
| 分级层次 | 2级（普通+特殊） | 3级（CD/SAD/其他） | 4级（一~四级） |
| 核心要求 | 记录处理活动、DPIA | 加密、存储限制、定期扫描 | 分类分级保护、备案、测评 |
| 惩罚力度 | 全球营收4%或2000万欧元 | 罚款、取消收单资格 | 整改、行政处罚、通报 |
为什么我说底层的逻辑相似？因为这三条法规都在问同一件事：你有哪些数据？哪些最敏感？你打算怎么保护它？DSPM的自动发现和分类分级，正是为了解决这个问题。
3.5 如何将三个标准统一落地？
你在一个企业里，很可能同时面对GDPR、PCI和等保。难道要跑三套分类体系？没必要。我推荐的做法是：建立一套企业级数据分类分级标签体系，然后用标签映射到各个法规。
举个例子：
- 给数据字段打标签如
PII、CHD、敏感个人信息、等保二级 - 一个字段可以同时有多个标签：比如信用卡号，它既有
CHD又有PII，还可能是等保三级 - 然后在DSPM的策略引擎里，根据标签组合决定保护动作
我的习惯：在项目初期，我会跟法务、业务一起开个“分类分级确认会”。现场把GDPR的特殊类别、PCI的敏感认证数据、等保的重要数据清单过一遍。然后用一个Excel模板输出映射关系。这样做一次，后面DSPM的自动扫描就有了明确的目标。
你想想看，如果每个法规单独搞一套分类，后期维护成本会爆炸。所以我建议你在设计DSPM的分类方案时，就预留多元标签扩展能力。说白了，就是用一组元数据去满足多个监管视角。
避坑指南：千万不要把法规名称直接用作分类标签。比如你标一个字段为“GDPR敏感”，但后来业务扩展到美国，CCPA又来了，你难道改所有标签？我习惯用数据特性标签（如“可识别自然人”“金融工具”），然后再通过策略引擎映射到法规。
3.6 小结一下
GDPR、PCI-DSS、等保2.0，虽然出身不同，但都在逼你做同一件事：搞清楚你手里的数据是什么，然后分级保护。DSPM的技术核心之一，就是自动识别这些标签，并且持续监控数据的流动。没有分类分级，所有的安全控制都是盲打。
嗯，我的建议是：把这节课的映射表打印出来，贴在工位上。下次做数据盘查时，对照着看，你就能快速定位每类数据该归哪个法规管。