4、数据分类分级：数据资产盘点方法、个人信息与敏感个人信息界定、数据分级标准制定
好，咱们进入第四讲。数据分类分级，这活儿听起来有点枯燥，对吧？
但我跟你说，这恰恰是整个隐私保护体系的“地基”。地基没打好，上面盖多漂亮的楼都白搭。我在好几个项目里都见过，因为分类分级没做透，后面做数据安全策略时，要么“一刀切”管得太死，业务跑不动；要么漏掉了核心数据，出了事才追悔莫及。
4.1 数据资产盘点：你得先知道自己家里有什么
做分类分级的第一步，不是拿个模板往上套。而是先搞清楚：公司到底有哪些数据？
这就像搬家前整理东西，你得把所有箱子都翻出来，才知道哪些是古董，哪些是废纸。
核心原则：盘点不是IT部门的“独角戏”，必须是业务、法务、安全三方一起干。
我个人习惯把盘点分成三个步骤：
- 系统摸底：先拉一张公司所有IT系统的清单。ERP、CRM、HR系统、日志平台……一个都别漏。
- 字段级梳理：针对每个系统，梳理出具体的数据库表字段。比如“用户表”里，有“姓名”、“手机号”、“身份证号”、“家庭住址”。
- 数据流向图：数据从哪里来（采集），存在哪里（存储），谁在用（使用），传给谁（共享），最后怎么销毁。
嗯，这里要注意。很多公司盘点完第一步就停了，觉得“系统清单有了就行”。
这是个大坑。 你不看到字段级别，根本不知道里面藏着什么敏感信息。
我的小技巧： 可以用自动化扫描工具辅助。比如用脚本扫描数据库里的字段名，匹配“身份证”、“手机”、“地址”等关键词。但记住，工具只能帮你筛出80%，剩下20%的“模糊地带”必须人工确认。
4.2 个人信息与敏感个人信息：别再傻傻分不清
《个人信息保护法》里把个人信息分成了两类：一般个人信息 和 敏感个人信息。
这个界定，直接决定了你要用多高的安全水位去保护它。
说白了，一般个人信息泄露了，可能只是骚扰电话。敏感个人信息泄露了，可能直接导致财产损失或人格尊严受损。
我给大家画个重点：
| 类别 | 定义 | 典型例子 | 保护要求 |
|---|---|---|---|
| 一般个人信息 | 可识别特定自然人的各种信息 | 姓名、性别、出生日期、工作单位 | 告知同意、目的限制 |
| 敏感个人信息 | 一旦泄露，易导致人格尊严受损或人身、财产安全受危害 | 身份证号、金融账户、行踪轨迹、生物识别信息、14岁以下未成年人信息 | 单独同意、影响评估、更严格的安全措施 |
你想想看，为什么“14岁以下未成年人信息”被划为敏感信息？
因为孩子没有完全的民事行为能力，他们的信息一旦被滥用，后果更严重。我在做电商项目时，就专门为“儿童手表”这个产品线，单独拉了一套数据保护方案。
避坑指南： 我曾经遇到一个客户，把“用户昵称”和“头像”也归为敏感信息。这其实有点过度解读了。判断标准不是“我觉得它重要”，而是“法律是否明确列举”以及“泄露后是否会造成严重危害”。别自己吓自己，也别掉以轻心。
4.3 数据分级标准：给数据贴上“安全标签”
分完类（是个人信息还是非个人信息），接下来就是分级。
分级的标准，通常从机密性和影响程度两个维度来定。
我建议采用“四级制”，简单明了，业务部门也容易理解：
- L1 公开级：对外公开无风险。比如公司官网上的新闻稿、产品介绍。
- L2 内部级：仅限内部使用，泄露会造成轻微影响。比如内部通讯录、非核心的运营报表。
- L3 敏感级：泄露会造成较大影响。比如员工薪资、客户订单详情、一般个人信息。
- L4 绝密级：泄露会造成灾难性影响。比如核心算法、源代码、敏感个人信息、金融交易数据。
这里有个关键点：分级不是一成不变的。
数据是有生命周期的。一份合同在谈判阶段是L4绝密，签完字对外公开后，可能就降级为L1了。所以，你得建立动态调整机制。
实操建议： 制定分级标准时，别光写“造成重大损失”这种模糊词。要量化！比如“造成直接经济损失超过100万元”定义为L4，“造成内部管理混乱”定义为L2。这样业务部门才能对号入座。
最后，送你一个我常用的“分级矩阵”模板，你可以直接拿去改：
# 数据分级判定矩阵（示例）
# 纵轴：数据类别（个人信息、商业秘密、运营数据）
# 横轴：影响程度（低、中、高）
| 数据类别 \ 影响程度 | 低 (L1/L2) | 中 (L3) | 高 (L4) |
|-------------------|------------|---------|---------|
| 一般个人信息 | 姓名 | 手机号 | 身份证号 |
| 商业秘密 | 内部通知 | 项目方案 | 核心源码 |
| 运营数据 | 访问量统计 | 用户画像 | 支付流水 |
嗯，这个矩阵看起来简单，但落地时最考验功力。你得跟业务部门反复对焦，确保每个字段都能找到自己的“格子”。
记住，分类分级不是终点，而是起点。它是你后续做数据加密、访问控制、脱敏策略的“指挥棒”。