3. 数据分类分级：给数据贴上正确的标签

数据分类分级，说白了就是回答两个问题：「这是什么数据？」和「它有多重要？」。我见过太多公司，安全设备买了一大堆，结果连自己有哪些敏感数据都说不清楚。嗯，这就像你装了最好的防盗门，却把钥匙挂在门外——毫无意义。

这一章，我们就把分类分级这件事彻底讲透。从方法论到落地工具，我会把我这些年踩过的坑、总结的经验，都摊开来说。

3.1 数据分类的方法论

数据分类不是拍脑袋，它有一套成熟的方法论。我个人习惯把它拆成四个步骤：

1. 业务梳理 —— 搞清楚企业有哪些业务系统，每个系统产生什么数据。
2. 数据盘点 —— 摸清数据在哪里、谁在用、怎么流动。
3. 分类维度设计 —— 按业务属性、数据来源、敏感程度等维度切分。
4. 标签化 —— 给每类数据打上可机读的标签。

常见的分类维度有哪些？我列个表给你看：

维度	说明	举例
业务属性	数据属于哪个业务领域	财务数据、HR数据、研发数据
数据来源	数据从哪里来	内部系统、第三方接口、公开采集
数据结构	结构化还是非结构化	数据库表、文档、图片、日志
生命周期阶段	数据当前处于哪个环节	采集、存储、使用、归档、销毁
合规要求	是否受法规约束	个保法、GDPR、HIPAA

你想想看，如果连数据属于哪个业务领域都说不清楚，后续的安全策略根本没法精准投放。我在项目中遇到过一家金融公司，他们把所有数据都标成「敏感」，结果安全团队每天被告警淹没，真正的泄露反而没发现。

3.2 数据分级的标准

分级比分类更关键，因为它直接决定了你要花多少资源去保护这些数据。我一般推荐四档分级：公开、内部、敏感、绝密。

3.2.1 公开级

这类数据可以对外发布，泄露了也不会造成实质损失。比如官网上的产品介绍、公开的财报、招聘信息。嗯，这里要注意：公开数据不代表不需要管理，你至少得确保发布流程是受控的。

3.2.2 内部级

仅限公司内部使用，泄露可能造成轻微影响。比如内部通讯录、非核心的流程文档、培训材料。我曾经见过有人把内部通讯录发到行业群里，结果被骚扰电话打爆了——虽然不致命，但很烦人。

3.2.3 敏感级

这是重点保护对象。泄露会造成较大经济损失或声誉损害。比如客户个人信息、交易记录、核心代码、商业计划。我建议对敏感数据实施加密存储 + 访问控制 + 操作审计三件套。

3.2.4 绝密级

企业的命根子。泄露可能导致公司倒闭或重大法律风险。比如核心算法源码、未公开的专利、高管薪酬、并购计划。这类数据必须做到物理隔离 + 专人专管 + 全链路监控。

下面这张图可以帮你快速理解四档分级的核心差异：

3.3 分类分级工具与实践

光有方法论和标准还不够，你得有趁手的工具。我这些年用过不少工具，从商业软件到开源方案都有。给你推荐几个靠谱的：

3.3.1 商业工具

• Varonis —— 老牌数据安全平台，分类分级能力很强，适合大型企业。价格不便宜，但物有所值。
• Microsoft Purview —— 如果你在用 Azure 全家桶，这个是最省心的选择。自动扫描、自动分类、自动打标签。
• BigID —— 专注隐私合规，对 GDPR、个保法的支持特别好。我有个客户用它做数据主体访问请求，效率提升了 3 倍。

3.3.2 开源方案

• Apache Atlas —— Hadoop 生态的数据治理工具，支持自动分类和血缘分析。适合大数据平台。
• OpenDLP —— 开源的数据泄露防护工具，可以用来做数据发现和分类。轻量级，适合中小企业。

3.3.3 实践步骤

我总结了一套落地流程，你可以直接拿去用：

1. 成立数据治理小组 —— 安全、业务、IT 三方参与。没有业务部门的支持，分类分级就是空中楼阁。
2. 确定分类分级标准 —— 参考我们上面讲的四档分级，结合企业实际情况微调。
3. 选择试点业务 —— 选一个核心业务系统先跑起来。我建议选 CRM 或 HR 系统，数据敏感度高，容易出效果。
4. 手动打标验证 —— 先人工给 1000 条数据打标签，验证分类标准是否合理。
5. 工具自动化 —— 标准验证通过后，用工具做全量扫描和自动打标。
6. 持续运营 —— 分类分级不是一次性工作。新业务上线、数据迁移时都要重新评估。

3.4 分类分级与安全策略的联动

分类分级不是终点，它是安全策略的输入条件。你想想看，如果没有分类分级，你怎么决定哪些数据要加密？哪些人要审批？哪些操作要告警？

我一般建议这样联动：

数据级别	加密要求	访问控制	审计要求	传输限制
公开级	不强制	无限制	不审计	无限制
内部级	传输加密	身份认证	按需审计	禁止外发
敏感级	存储+传输加密	细粒度权限	全量审计	审批外发
绝密级	全链路加密	物理隔离+专人	实时监控	禁止外发

说白了，分类分级就是安全策略的「指挥棒」。级别越高，管控越严。但也要注意平衡——过度管控会影响业务效率。我见过一家公司把内部培训资料都标成「绝密」，结果员工每次打开都要审批，最后大家干脆把资料拷到个人电脑上看，反而更不安全。