📚 课程目录第2章数据分类分级方法论

2. 数据分类分级方法论：常见分类维度与分级标准

说实话，我刚入行那会儿，觉得数据分类分级不就是给数据贴个标签嘛。直到有一次，我们帮一家金融机构做数据治理，客户说“所有客户数据都是绝密”，结果业务部门根本没法干活——连客户姓名查询都要走审批流程，这谁受得了？

所以你看，分类分级这件事，不是越严越好，而是越准越好。今天我就把这些年踩过的坑、总结的方法论，掰开了跟你聊聊。

数据分类，说白了就是回答一个问题：“这堆数据到底是什么？”。我个人习惯从三个维度去切，基本能覆盖90%以上的场景。

这是最直观的分类方式。按数据所属的业务领域来划分，比如：

我在项目中遇到过，有些团队把“客户域”和“销售域”混在一起，结果数据目录乱成一锅粥。我的建议是：业务域划分要跟企业组织架构对齐，这样数据责任人才好认领。

这个维度关注的是“数据描述的是谁”。常见的主体包括：

为什么要按数据主体分？因为不同主体的数据，合规要求完全不同。比如个人数据受《个人信息保护法》约束，而组织数据更多涉及商业秘密。你想想看，把这两类混在一起管理，风险有多大？

这个维度很多人会忽略，但它直接影响你的技术选型。数据形态一般分三类：

我的经验：非结构化数据的分类，建议先用元数据（文件名、创建者、时间戳）做粗分类，再结合内容识别做细分类。别一上来就想全自动，那会把自己累死。

分级标准，我习惯用“四色模型”——公开、内部、敏感、绝密。这四级的核心区别在于：数据泄露后，企业要付出多大代价。

避坑指南：我曾经见过一家公司，把所有数据都标为“敏感”，结果业务部门为了省事，干脆把所有数据都扔到同一个共享文件夹里——分级等于没分。记住：分级不是越严越好，而是越准越好。

定级不是拍脑袋，而是有一套评估逻辑。我一般用两个要素来定级：影响对象和影响程度。

数据泄露会影响到谁？常见的影响对象有：

举个例子，员工手机号泄露，影响对象是个人；而核心算法泄露，影响对象是企业。这两者的定级逻辑完全不同。

影响程度一般分三级：

把影响对象和影响程度组合起来，就能得到一个定级矩阵。比如：

  核心逻辑：定级不是静态的。同一份数据，在不同场景下等级可能不同。比如一份市场分析报告，对外是公开的，对内可能是敏感的。所以，定级要结合数据的使用场景。

下面这张图，是我梳理的分类分级方法论框架。你可以把它当作一个“导航图”，后续章节都会围绕它展开。

这张图我每次做项目都会拿出来用。你把它打印出来贴在工位上，做分类分级的时候随时瞄一眼，思路会清晰很多。

这一章我们聊了三个核心问题：