4. 数据分类分级与保留标签
数据保留归档能否落地，第一步不是买存储、不是配策略，而是回答一个更基础的问题：这份数据到底是谁、值多少、必须留多久？分类分级就是给每一份数据贴上"身份标签"，而保留标签则是把身份翻译成"存多久、放哪里、谁能动、到期怎么办"的可执行指令。本节围绕三个维度——敏感度、业务价值、法规要求——建立分类分级方法，并设计一套能与保留策略直接映射的标签体系。
一、三个维度各自回答什么问题
很多团队把分类分级做成一张"重要/不重要"的粗表，结果保留策略无从下手。原因在于三个维度被混为一谈，实际上它们回答的是三个不同的问题：
- 敏感度回答"泄露了会怎样"。它决定加密、脱敏、访问控制、审计强度，也决定归档介质是否必须加密、能否出境。
- 业务价值回答"丢了/慢了会怎样"。它决定保留优先级、恢复时间目标（RTO）、是否常驻高性能存储，还是可以下沉到低成本归档层。
- 法规要求回答"必须留多久、必须删多快"。它决定保留期的下限（不得提前删除）和上限（到期必须删除），是保留策略中最刚性的约束。
三者并不总是一致。例如某电商的订单明细，业务价值中等（日常查询不多），但法规要求保留 10 年（税务与交易凭证），敏感度中等（含收货地址）；而一份内部营销活动草稿，业务价值可能很高（正在复用），但敏感度低、无强制保留要求，到期即可清理。因此分级不能只用一个总分，而应保留三个维度的独立取值，再在映射阶段合成保留标签。
二、分级取值建议：用有限档位保证可执行
档位过多会导致标注成本高、争议多、策略碎片化。实践中建议每个维度控制在 3～4 档，并给出可判定的判据，而不是靠感觉。以下为一套可直接参考的示例定义（示例参数，需结合本组织实际调整）：
| 维度 | 档位 | 判定判据（示例） |
|---|---|---|
| 敏感度 S | S3 高 | 含身份证号、银行卡号、生物特征、精确位置、健康记录；泄露可致个人权益重大损害 |
| S2 中 | 含姓名+联系方式、收货地址、内部经营数据；泄露造成有限影响 | |
| S1 低 | 已公开或可公开的统计、产品说明、脱敏聚合结果 | |
| 业务价值 B | B3 高 | 核心交易、账务、风控决策依据；丢失影响营收或合规 |
| B2 中 | 运营分析、客服工单、日志；丢失可重建但成本较高 | |
| B1 低 | 临时缓存、调试输出、可再生成的中间结果 | |
| 法规要求 R | R3 强制长期 | 受财税、金融、医疗等法规约束，保留期有明确下限（如 10 年） |
| R2 强制限期 | 有明确保留期或删除义务（如个人信息目的达成后删除） | |
| R1 无强制 | 无外部法规约束，由业务自主决定 |
标注时建议采用"就高不就低"原则处理敏感度：只要数据集中存在 S3 字段，整份数据集按 S3 处理，除非已做不可逆脱敏并可证明。法规要求则以最严条款为准，同一数据集命中多条法规时取最长保留下限与最短删除上限的交集；若二者冲突（下限大于上限），必须升级到法务与数据治理委员会裁决，不能由工程侧自行取舍。
三、保留标签体系设计
分级结果是"属性"，保留标签是"指令"。标签应做到：可机读、可组合、可审计。推荐采用"主标签 + 修饰标签"的结构：
- 主标签 RET：直接表达保留期与到期动作，如
RET-10Y-DEL（保留 10 年，到期删除）、RET-3Y-ARCH（保留 3 年，到期转归档）、RET-180D-DEL。 - 存储层标签 TIER：
TIER-HOT（在线高性能）、TIER-WARM（近线）、TIER-COLD（归档/对象存储）、TIER-WORM（一次写入多次读取，用于不可篡改凭证）。 - 保护标签 PROT：
PROT-ENC（静态加密）、PROT-MASK（查询脱敏）、PROT-ACL-RESTRICT（最小权限）。 - 处置标签 DISP：
DISP-DEL（物理/逻辑删除）、DISP-ANON（匿名化后保留）、DISP-REVIEW（到期人工复核）。
标签组合示例：一份含银行卡号的交易流水，标注为 S3 / B3 / R3，映射为 RET-10Y-DEL + TIER-WORM + PROT-ENC + PROT-ACL-RESTRICT + DISP-DEL。一份客服聊天记录，标注为 S2 / B2 / R2，映射为 RET-3Y-ARCH + TIER-COLD + PROT-ENC + PROT-MASK + DISP-ANON。可以看到，标签不是描述，而是直接驱动存储选型、加密开关和到期动作。
四、从分级到保留策略的映射规则
映射应写成确定性规则，避免每次靠人判断。下面给出一个可执行的映射逻辑示意（伪代码，示例）：
输入: sensitivity(S1..S3), value(B1..B3), regulation(R1..R3)
规则:
if R == R3: retention = max(法规下限, 业务需求); tier = WORM; disp = DEL
elif R == R2: retention = 法规期限; tier = COLD; disp = ANON
else: retention = 业务自主(默认 180D~3Y); tier = WARM/HOT; disp = REVIEW
if S == S3: prot += ENC, ACL-RESTRICT
if S == S2: prot += ENC, MASK
if B == B3: tier = max(tier, HOT) # 高价值不允许只放冷层
if B == B1 and R == R1: retention = min(retention, 90D)
该逻辑的关键点在于：法规要求优先于业务价值（R3 时即使业务价值低也必须长期保留），敏感度只增强保护、不改变保留期（除非法规另有要求），业务价值影响存储层级与恢复优先级。这样三条规则互不打架，也便于审计追溯。
五、映射关系可视化
下图把三个维度的取值、标签合成与最终保留策略的对应关系集中呈现，便于对照检查标注是否合理。
把这张图当作标注评审的对照表：任何一份数据只要三个维度取值确定，标签与策略就应当唯一确定；若出现两个团队给出不同标签，说明判据或规则存在歧义，应回到分级定义修正，而不是在个案上妥协。分类分级与保留标签的价值，正在于把"该留多久"从争论变成可计算、可审计的确定性结果。