3. 数据分类分级：个人敏感信息定义、数据分类方法、数据分级标准、企业落地实践
3.1 个人敏感信息：到底什么算「敏感」？
咱们先聊个最基础的问题。个人敏感信息，说白了就是那些一旦泄露，能给你惹大麻烦的数据。
我个人的理解是：普通个人信息丢了，你可能只是收到几条骚扰短信。但敏感信息丢了，你的银行卡可能被盗刷，你的隐私可能被全网围观。
根据《个人信息保护法》，敏感信息包括：生物识别、金融账户、行踪轨迹、健康生理信息、14岁以下未成年人信息等。嗯，这里要注意——14岁以下未成年人的信息，一律算敏感信息，没有例外。
核心判断标准（我自己的经验总结）：
- 一旦泄露，是否会导致人格尊严受损？
- 一旦泄露，是否会导致人身财产安全受威胁？
- 一旦泄露，是否会导致歧视性待遇？
只要命中任意一条，基本就是敏感信息了。
我在项目中遇到过一家做健康管理的App，他们收集用户的体重、心率、睡眠时长。一开始团队觉得这些数据「没什么大不了的」。结果我一看——这些数据结合时间戳，完全可以推断出用户的健康状况、用药周期，甚至情绪波动。这妥妥的是敏感信息啊。
3.2 数据分类方法：别一上来就「分」
很多团队做数据分类，上来就问：「这个字段属于哪一类？」
我个人习惯是：先搞清楚业务场景，再谈分类。你想想看，同一个手机号，在电商平台是注册信息，在金融平台可能就是身份核验的关键要素。分类不能脱离业务。
常用的分类维度有几种：
| 分类维度 | 说明 | 举例 |
|---|---|---|
| 按数据来源 | 用户主动提供 vs 系统自动采集 vs 第三方获取 | 用户填写的姓名 vs 浏览行为日志 vs 征信报告 |
| 按数据用途 | 业务运营、风控、营销、研发测试 | 订单数据用于运营，设备指纹用于风控 |
| 按数据属性 | 身份信息、财务信息、行为信息、位置信息 | 身份证号、银行卡号、浏览记录、GPS坐标 |
| 按敏感程度 | 一般个人信息 vs 个人敏感信息 | 昵称 vs 人脸照片 |
我建议的做法是：先按业务场景画出数据流图，然后对每个数据节点打标签。这样分类出来的结果，才真正能用。
一个小技巧：分类时不要只看字段名。我曾经遇到一个字段叫「备注」，里面存的是用户的疾病史。字段名不敏感，但内容极其敏感。所以分类一定要看数据内容，不能只看元数据。
3.3 数据分级标准：L1到L4，怎么划？
分级这件事，不同行业有不同标准。金融行业有JR/T 0197，电信行业有YD/T 3865。但万变不离其宗，核心逻辑就一条：数据越敏感，级别越高，保护措施越严。
我一般推荐企业用四级分级法：
| 级别 | 名称 | 典型数据 | 核心保护要求 |
|---|---|---|---|
| L1 | 公开数据 | 企业公开信息、产品介绍 | 基本访问控制 |
| L2 | 内部数据 | 内部通讯录、非敏感业务报表 | 身份认证、权限管理 |
| L3 | 敏感数据 | 个人敏感信息、核心经营数据 | 加密存储、脱敏展示、审计日志 |
| L4 | 绝密数据 | 密钥、核心算法、大规模生物特征库 | 物理隔离、专人专管、全链路加密 |
这里有个坑，我踩过。有一次帮一家企业做分级，他们把「用户ID」划到了L3。我说不对——用户ID本身不敏感，但用户ID关联了订单、地址、支付记录之后，它就变成了敏感数据的「钥匙」。所以分级不能只看单个字段，要看数据组合后的风险。
避坑指南：我曾经见过一家公司，把「用户手机号」划为L2，理由是「手机号在很多地方都公开」。但问题是，他们的业务场景里，手机号是唯一登录凭证，也是找回密码的关键要素。这种场景下，手机号至少应该是L3。分级一定要结合业务上下文，不能照搬模板。
3.4 企业落地实践：从理论到代码
理论说完了，咱们聊聊怎么落地。我个人的经验是：分类分级不是一次性的项目，而是一个持续运营的流程。
第一步：建立数据资产清单。没有清单，一切都是空谈。你可以用自动化工具扫描数据库、文件服务器、大数据平台，生成一份初步清单。然后人工复核。
第二步：制定分类分级规则。规则要具体到字段级别。比如：
# 示例：分类分级规则配置（YAML格式）
classification_rules:
- field_pattern: ".*id_card.*|.*身份证.*"
classification: "身份信息"
level: "L3"
description: "身份证号属于个人敏感信息"
- field_pattern: ".*phone.*|.*mobile.*|.*手机.*"
classification: "联系方式"
level: "L2"
description: "手机号在业务场景中作为登录凭证时升级为L3"
- field_pattern: ".*address.*|.*地址.*"
classification: "住址信息"
level: "L3"
description: "精确到门牌号的地址属于敏感信息"
第三步：自动化打标与持续监控。手动打标太慢了，而且容易出错。我建议用规则引擎+机器学习的方式，自动识别新产生的数据属于哪一类、哪一级。
第四步：分级管控落地。不同级别的数据，要有不同的处理策略：
- L1数据：可以公开，但要有基本的防篡改机制。
- L2数据：内部使用，需要身份认证，不能外发。
- L3数据：存储必须加密，展示必须脱敏，访问必须审批，日志必须留存。
- L4数据：物理隔离，专人专管，每次访问都要双人复核。
我个人的核心建议：不要追求一步到位。先做L3和L4数据的识别与管控，这是风险最高的部分。L1和L2可以慢慢完善。你想想看，如果连用户的银行卡号、人脸照片都保护不好，其他数据保护得再好也没用。
最后说一句：分类分级这件事，没有完美的方案。每个企业的情况都不一样。关键是建立一套可执行、可迭代的机制，而不是追求一份「完美」的分类分级文档。
我曾经帮一家初创公司做数据分类分级，他们只有20个字段，我花了三天时间。后来帮一家大型银行做，他们有2000多个字段，我花了三个月。但核心逻辑是一样的——先识别风险最高的数据，优先保护起来。其他的，慢慢来。