敏感数据识别与分类：PII、PHI、PCI 与企业商业机密
做数据脱敏，第一步不是选工具，也不是定算法。
第一步是搞清楚：你到底要保护什么？
我见过不少团队，上来就买脱敏平台，结果数据一扫描，发现连哪些字段算敏感都定义不清。最后脱敏脱了个寂寞，合规审计一来，照样被罚。所以这一章，咱们把敏感数据的家底盘清楚。
敏感数据的四大类型
从行业实践来看，敏感数据大致可以归为四类。我个人习惯把它们叫做「四大家族」——每一类的监管要求、脱敏优先级、处理方式都不一样。
| 类型 | 全称 | 典型字段 | 主要监管 |
|---|---|---|---|
| PII | 个人身份信息 | 姓名、身份证号、手机号、邮箱、住址 | 《个人信息保护法》、GDPR |
| PHI | 个人健康信息 | 病历、诊断记录、医保号、基因数据 | HIPAA（美国）、《健康医疗大数据标准》 |
| PCI | 支付卡行业数据 | 卡号、有效期、CVV、交易记录 | PCI DSS |
| 企业商业机密 | 商业秘密/知识产权 | 财务报表、客户名单、源代码、定价策略 | 《反不正当竞争法》、NDA |
关键认知：同一份数据可能同时属于多个类别。比如患者的支付记录，既是 PHI 又是 PCI。脱敏策略必须取交集——按最严格的那个来。
PII：最基础也最容易漏的
PII 是大家最熟悉的。但说实话，很多公司连 PII 都识别不全。
举个例子。你可能会把「姓名」和「身份证号」列为敏感字段。但「工号」呢？「设备指纹」呢？「社交账号」呢？
我在项目中遇到过一家电商公司，他们把用户昵称当非敏感字段直接开放给测试环境。结果测试人员通过昵称反查到了真实用户，差点酿成数据泄露事故。嗯，这里要注意：凡是能直接或间接关联到具体自然人的信息，都算 PII。
PII 识别的三个层次
- 显式 PII：身份证号、护照号、手机号——正则匹配就能搞定。
- 准 PII：姓名+出生日期+邮编——单看一个字段不敏感，组合起来就能定位人。
- 隐式 PII：行为轨迹、浏览记录、消费偏好——这些在 GDPR 下也算。
我的建议：别只依赖正则。用机器学习模型做实体识别（NER），能帮你发现那些「你以为不是 PII 但其实是」的字段。
PHI：医疗行业的硬骨头
PHI 比 PII 更敏感，因为一旦泄露，后果往往是不可逆的。
我记得有一次帮一家三甲医院做数据安全评估。他们的 HIS 系统里，患者的「就诊时间」和「科室名称」居然没被列为敏感字段。你想想看，如果某位公众人物在某时间出现在某科室，媒体能推断出什么？
PHI 的识别标准，我建议参考 HIPAA 的 18 个标识符。但国内落地时，还要额外关注：
- 电子病历全文：里面可能包含医生手写备注、家族病史等非结构化敏感信息。
- 医学影像 DICOM 头文件：很多人只脱敏了影像本身，却忘了头文件里的患者姓名和 ID。
- 基因测序数据：这玩意儿是终极 PII，一辈子改不了。
避坑指南：我曾经见过一个项目，对 PHI 做了脱敏，但保留了「出生日期」用于科研统计。结果攻击者通过出生日期+就诊科室，成功关联到了患者身份。记住：PHI 脱敏不能只看字段名，要看上下文。
PCI：支付数据的红线
PCI DSS 的要求非常明确：存储、处理、传输支付卡数据，必须遵循严格的安全标准。
但很多开发人员有个误区——以为只要不存 CVV 就万事大吉。其实 PCI 的敏感范围包括：
- 卡号（PAN）：必须加密或脱敏，展示时只能显示后四位。
- 有效期：可以和 PAN 一起存储，但必须加密。
- 服务代码：很多人忽略这个字段，但它也是敏感数据。
- CVV2/CVC2：交易后严禁存储，连脱敏的机会都没有。
说白了，PCI 的脱敏策略就一句话：能不要的字段就不要，必须要的字段就加密或截断。
企业商业机密：最难定义的
和前三种不同，企业商业机密没有统一的监管标准。它的识别完全依赖业务判断。
我遇到过最头疼的情况：一家金融科技公司，把「风控策略规则集」当普通配置文件处理，结果被外包人员拷贝带走。损失有多大？他们花了两年重建的风控模型，竞争对手一个月就抄走了。
识别企业商业机密，我建议从三个维度入手：
| 维度 | 说明 | 示例 |
|---|---|---|
| 竞争价值 | 泄露后是否让对手获得不公平优势 | 客户报价单、供应链成本 |
| 法律保护 | 是否受 NDA 或竞业协议约束 | 技术专利文档、源代码 |
| 业务连续性 | 泄露是否影响核心业务运行 | 运维密码本、 |
数据分类分级标准
识别出敏感数据之后，下一步就是分类分级。没有分级，脱敏策略就是「一刀切」——要么脱得太多影响业务，要么脱得太少形同虚设。
目前国内主流的分级标准，参考的是《数据安全法》和《个人信息保护法》。我把它简化成四级模型：
- L1 公开级：对外公开无风险，如产品介绍、新闻稿。不需要脱敏。
- L2 内部级：仅限内部使用，泄露影响轻微，如内部通讯录。可做轻度脱敏。
- L3 敏感级：泄露会造成较大损失，如客户订单、员工薪资。必须脱敏。
- L4 绝密级：泄露会导致严重法律或商业后果，如核心算法、用户密码。必须强脱敏+加密。
实操建议：分级不是一次性的。我习惯每年做一次「分级复审」——因为业务在变，数据的敏感度也在变。去年还是内部级的数据，今年可能就变成敏感级了。
知识体系总览
下面这张图，把本章的核心逻辑串起来了。你可以把它当作敏感数据治理的「作战地图」。
落地清单：你该怎么做
最后，我整理了一份实操清单。每次做敏感数据识别项目，我都会拿它来对照：
- 第一步：梳理所有数据源（数据库、文件服务器、日志、API 响应）。
- 第二步：用自动化工具做全量扫描，标记疑似敏感字段。
- 第三步：人工复核——工具会漏，也会误报。我一般抽检 20% 的标记结果。
- 第四步：按四级标准给每个字段打标签。
- 第五步：输出《敏感数据资产清单》，并同步给业务方确认。
一个小技巧：别试图一次把所有数据都识别完。我习惯按「核心业务系统 → 周边系统 → 历史归档」的优先级分批推进。先搞定最痛的那部分。
敏感数据识别这件事，听起来简单，做起来全是细节。但只要你把 PII、PHI、PCI 和商业机密这四类吃透了，再套上分类分级的框架，后面的脱敏策略制定就会顺畅很多。