2. 敏感个人信息识别与分类分级
敏感个人信息保护的第一步不是加密、不是脱敏，而是"知道自己手里有什么"。如果连哪些字段属于敏感个人信息、分布在哪些系统、由谁使用都说不清楚，后续的授权同意、加密存储、访问控制、出境评估都会失去依据。本节围绕三个递进问题展开：怎么识别（判断标准）、怎么分类（维度划分）、怎么分级（影响程度），最终落到企业实际业务场景中的数据资产盘点与敏感字段标注，输出一份可执行的分类分级清单。
一、识别标准：三个判断维度
《个人信息保护法》第二十八条给出了敏感个人信息的法定定义：一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。这个定义包含两个层次：列举式清单和后果判断标准。
实务中，仅靠法条列举往往不够用，因为企业业务字段千变万化。建议采用三个维度交叉判断：
- 法定列举维度：是否落入法条明确列举的类别（生物识别、医疗健康、金融账户、行踪轨迹、宗教信仰、特定身份、未成年人信息）。落入即直接判定为敏感。
- 后果判断维度：即使不在列举清单内，若泄露后可能导致人身安全危害（如家庭住址精确到门牌号）、财产损失（如完整银行卡号+CVV）、人格尊严侵害（如性取向、犯罪记录），也应判定为敏感。
- 组合识别维度：单个字段不敏感，但组合后敏感。例如"姓名+身份证号+手机号"可构成完整身份画像；"工作单位+职位+实时位置"可推断行踪轨迹。组合识别是实务中最容易遗漏的部分。
二、分类维度：按业务属性划分
识别出敏感字段后，需要按维度归类，便于后续差异化管控。常用的分类维度包括：
| 分类维度 | 典型类别 | 业务示例 |
|---|---|---|
| 按信息主体 | 员工、客户、供应商联系人、访客 | 员工体检报告、客户人脸信息 |
| 按业务场景 | 人力资源、营销、支付、风控、客服 | 支付场景下的银行卡四要素 |
| 按信息性质 | 身份标识、生物特征、健康医疗、金融财产、位置轨迹 | 指纹模板、诊断记录、GPS坐标 |
| 按存储形态 | 结构化字段、非结构化文档、图像/音视频 | 数据库列、扫描件、监控录像 |
分类的目的是让同一类敏感信息适用同一套管控策略。例如"生物特征类"统一要求加密存储且不可逆，"金融财产类"统一要求脱敏展示且操作留痕。
三、分级方法：按影响程度定级
分级解决的是"同样敏感，但危害程度不同"的问题。建议采用三级或四级模型，核心依据是泄露后的影响范围和严重程度：
- L4 极高：泄露后可直接导致人身安全威胁或重大财产损失，如精确行踪轨迹、生物识别原始模板、完整金融账户+密码。
- L3 高：泄露后可导致财产损失或严重人格侵害，如身份证号、银行卡号、医疗诊断记录。
- L2 中：泄露后可导致骚扰或轻度权益影响，如手机号、家庭住址（不精确到门牌）。
- L1 低：一般个人信息，泄露影响有限，如昵称、公开的企业邮箱。
分级不是拍脑袋，建议结合两个参数：影响对象数量（单条 vs 批量）和影响后果类型（人身/财产/尊严）。批量泄露的L2可能升级为L3处理。
四、落地：数据资产盘点与敏感字段标注
分类分级不能停留在纸面，必须落到具体的数据资产上。建议按以下顺序推进：
- 梳理系统清单：列出所有可能存储个人信息的系统，包括业务数据库、日志平台、客服工单系统、HR系统、监控存储、第三方SaaS。
- 导出表/字段清单：从数据库元数据、接口文档、表单设计中提取字段名、类型、样例值。
- 逐字段判定：对每个字段套用识别标准，标注敏感类别和级别。判定依据要写清楚，便于复核。
- 标注管控属性：记录存储位置、访问角色、使用场景、保留期限、是否出境。
- 输出分类分级清单：形成可维护的台账，随业务变化更新。
下面给出一份可直接参考的清单模板（示例数据为合理假设，非实测结果）：
字段名 所属系统 信息主体 敏感类别 级别 判定依据 管控要求
------------------------------------------------------------------------------------------
face_template 人脸识别库 客户 生物特征 L4 生物识别+不可逆 加密存储、禁止导出
id_card_no 订单库 客户 身份标识 L3 法定列举+财产风险 脱敏展示、操作留痕
bank_card 支付库 客户 金融账户 L3 法定列举 加密存储、双人复核
gps_lat_lng 配送系统 骑手 行踪轨迹 L4 精确位置+实时 最小化采集、限时保留
phone 会员系统 客户 联系方式 L2 可导致骚扰 脱敏展示
nickname 会员系统 客户 一般信息 L1 公开可接受 常规管控
五、判断依据与复核要点
标注完成后，建议由法务、安全、业务三方复核。复核重点包括：组合字段是否被遗漏、级别是否与批量规模匹配、管控要求是否可执行。例如"手机号"单条为L2，但若某营销系统存有百万级手机号且可批量导出，应按L3管控并增加导出审批。
分类分级清单不是一次性文档，而是动态台账。业务新增字段、系统上线、第三方接入时，都应触发重新判定。建议每季度复核一次，重大变更时即时更新。只有清单准确、可维护，后续的加密、脱敏、权限、审计才有可靠的起点。