数据分类分级：企业数据的“户口本”

数据分类分级，说白了就是给企业数据办个“户口本”。你想想看，一个公司里数据那么多——客户信息、业务报表、运维日志……如果全混在一起管理，安全策略根本没法落地。我见过不少团队，一上来就买各种数据防泄漏设备，结果连自己有哪些敏感数据都说不清楚。嗯，这就是典型的“先开枪后画靶子”。

我个人习惯把分类分级看作数据保护的“地基”。地基没打好，上面盖的房子再漂亮也白搭。今天我们就来聊聊这个地基怎么打。

数据分类：先分清楚“谁是谁”

数据分类，就是按数据的业务属性把它们归到不同的桶里。我在项目中通常把企业数据分成三大类：客户数据、业务数据、运维数据。这三类数据的来源、用途、敏感程度都不一样，必须分开管理。

这里有个容易踩的坑——客户数据和业务数据经常混在一起。比如订单表里既有客户姓名（客户数据），又有商品价格（业务数据）。我建议的做法是：在数据库设计阶段就做字段级标注，或者用数据资产目录工具自动扫描打标签。

数据分级：给数据“定身价”

分类是分桶，分级是定级。我一般把数据分成三级：核心、重要、一般。分级的标准主要看三点：泄露后的影响、合规要求、业务价值。

为什么会这样分级？因为不同级别的数据，安全投入必须不一样。核心数据要上加密、审计、严格访问控制；一般数据做好基本权限管理就行。资源是有限的，得花在刀刃上。

实战：如何制定分类分级标准

光讲理论没用，咱们直接上实战。我在几个大厂都带团队做过数据分类分级标准的制定，总结下来就四步。

第一步：摸清家底

先搞清楚公司到底有哪些数据。我习惯的做法是：

• 拉上DBA、业务负责人、安全团队开个会，列出所有数据库、文件服务器、SaaS应用
• 用自动化工具扫描一遍，生成数据资产清单
• 人工核对，补充遗漏（比如员工本地的Excel文件）

这一步最耗时，但也是最重要的。我曾经在一个客户那里发现，他们有个存了10万条客户信息的CSV文件，就放在一个共享文件夹里，谁都能访问。嗯，这就是家底没摸清的后果。

第二步：定分类分级规则

规则要简单、可执行。我推荐用“业务属性+敏感字段”的组合方式：

• 先按业务属性分到客户/业务/运维三大类
• 再按是否包含敏感字段（身份证、手机号、密码等）定级
• 敏感字段越多，级别越高

举个例子：一张订单表，如果只包含订单号和金额，没有客户个人信息，那可以定为“重要”；如果同时包含客户姓名和手机号，那就得升级为“核心”。

第三步：打标签和落库

规则定好了，就得落地。我建议用自动化打标+人工审核的方式：

• 自动化工具根据规则扫描数据，自动打上分类分级标签
• 安全团队抽检，修正误标
• 把标签写入数据字典或数据资产目录

这一步的关键是标签要可查询、可追溯。别打完标签就扔那不管了，后面做安全策略、合规审计都要用到这些标签。

第四步：持续运营

分类分级不是一次性工程。业务在变，数据在变，标准也得跟着变。我建议：

• 每季度做一次增量扫描，新数据自动打标
• 每半年做一次全面复审，调整过时的规则
• 每次合规法规更新（比如新的数据保护条例出台），立即评估是否需要调整分级

下面这张图，是我在项目中常用的分类分级流程框架，你可以参考一下：

好了，数据分类分级的核心逻辑和实战步骤就这些。记住一句话：分类分级不是目的，是手段。最终目的是让安全策略能精准地落到每一条数据上。标准定好了，后面的加密、脱敏、访问控制才能有的放矢。