4. 数据处理活动梳理：数据映射、数据流图与分类分级
好，咱们进入PIA实战中最核心的环节之一——把数据活动彻底理清楚。
很多朋友做PIA，上来就填表、打分，结果做到一半发现数据从哪来、到哪去、谁在处理，全是一笔糊涂账。这就像盖楼没图纸，后面肯定要返工。
我个人习惯，在启动任何PIA之前，先花时间把数据映射（Data Mapping）和数据流图画出来。这一步做扎实了，后面的风险评估就是顺水推舟的事。
4.1 数据映射：给数据做“人口普查”
数据映射，说白了就是搞清楚三件事：
- 有什么数据？（数据字段清单）
- 数据从哪来？（数据源）
- 数据去哪了？（流转路径）
我在项目中遇到过最典型的情况：业务部门说“我们只收集用户手机号”，结果一查数据库，身份证号、家庭住址、甚至人脸照片全在里面。嗯，这就是没做数据映射的后果。
一个标准的数据映射表，我建议至少包含以下字段：
| 字段 | 说明 | 示例 |
|---|---|---|
| 数据项名称 | 业务系统中的字段名 | user_phone |
| 数据类别 | 个人基本信息/敏感信息/设备信息等 | 个人基本信息 |
| 数据来源 | 用户主动提供/系统自动采集/第三方接口 | 用户注册表单 |
| 处理目的 | 为什么收集这个数据 | 账号登录验证 |
| 存储位置 | 数据库/日志/缓存/第三方 | MySQL 主库 |
| 保留期限 | 业务需要保留多久 | 用户注销后30天 |
| 访问权限 | 谁可以看、谁可以改 | 客服部可读，技术部可读写 |
4.2 数据流图：画一条看得见的数据“水管”
数据映射是静态的清单，数据流图则是动态的“水管图”。
你想想看，数据从用户手机里输入，经过App、后端API、数据库、缓存、日志系统，最后可能还要传给第三方SDK。这一路上，任何一个环节泄露，都是你的责任。
画数据流图，我一般遵循这个步骤：
- 确定边界： 这个PIA的范围是哪个系统？哪个业务场景？
- 标出外部实体： 用户、第三方服务商、监管机构等。
- 画出处理过程： 比如“用户注册”、“订单支付”、“客服查询”。
- 连接数据流： 用箭头标出数据从哪到哪，并标注传输协议（HTTPS？内部RPC？）。
- 标注存储节点： 数据库、日志文件、备份磁带等。
举个例子，一个简单的用户注册流程，数据流图可以这样描述：
用户浏览器 → (HTTPS) → 注册API服务 → (内部RPC) → 用户数据库
↓
(异步写入) → 审计日志系统我曾经帮一家金融科技公司做PIA，他们画出来的数据流图，发现用户的人脸识别数据居然通过明文HTTP传输到了第三方SDK。嗯，这就是典型的“水管漏了”。
4.3 数据分类分级：给数据贴上“危险等级”
数据映射和数据流图做完，接下来就是分类分级。这一步决定了你的保护措施要下多大力气。
分类，是按数据内容分：个人信息、设备信息、位置信息、财务信息……
分级，是按敏感程度分：一般、重要、核心、极敏感。
我建议的分级标准（参考国标GB/T 35273）：
| 级别 | 定义 | 典型数据 | 保护要求 |
|---|---|---|---|
| L1 公开 | 泄露不会造成影响 | 用户名、公开评论 | 基本访问控制 |
| L2 内部 | 泄露可能造成轻微影响 | 手机号、邮箱 | 加密存储、最小权限 |
| L3 敏感 | 泄露可能造成较大影响 | 身份证号、家庭住址 | 强加密、脱敏展示、访问审计 |
| L4 极敏感 | 泄露可能造成严重危害 | 人脸信息、银行账户、医疗记录 | 加密存储、严格权限、定期安全评估 |
这里有个容易踩的坑：很多人觉得“手机号不算敏感数据”。其实不然。手机号一旦泄露，可以关联到社交账号、支付账户，甚至可以用来做社工攻击。我个人习惯，把手机号至少定到L2，如果涉及金融业务，直接上L3。
4.4 三者的关系：先映射，再画图，后分级
这三步是递进关系，别跳步。
- 先做数据映射，搞清楚有什么数据。
- 再画数据流图，搞清楚数据怎么流动。
- 最后做分类分级，搞清楚哪些数据需要重点保护。
你想想看，如果连数据在哪都不知道，你怎么给它分级？如果不知道数据流经哪些系统，你怎么知道加密措施该加在哪？
我在项目中见过最离谱的情况：一个团队花了两周做分类分级，结果发现他们分级的那个数据库，其实三个月前就已经废弃了。嗯，这就是典型的“纸上谈兵”。
好了，数据处理活动梳理这块，核心就是这三板斧。下一节咱们聊聊怎么基于这些梳理结果，去做真正的风险识别和评估。