2. 企业数据资产梳理与分类分级
加密保护工程的第一步不是选算法、买设备，而是回答一个更基础的问题：企业到底有哪些数据、它们在哪里、哪些必须加密。如果连数据资产清单都不完整，后续的密钥管理、访问控制、审计追溯都会建立在错误的前提上。本节围绕“发现—分类分级—敏感识别—确定加密对象”这条主线展开，重点讲清可落地的方法与判断依据。
一、数据资产发现：从“已知系统”走向“真实分布”
数据资产发现的目标是形成一份可维护的数据资产台账，至少包含：数据项名称、承载系统、存储位置（库/表/字段/文件路径/对象存储桶）、数据量级、责任部门、更新频率、对外共享情况。发现方法通常分三类，实践中需要组合使用：
- 系统登记法（自上而下）：从应用系统清单、数据库实例清单、接口清单、数据仓库分层文档出发，逐系统登记数据项。优点是结构清晰，缺点是容易漏掉影子系统、临时导出文件和本地副本。
- 技术扫描法（自下而上）：通过数据库扫描、文件系统遍历、对象存储列举、日志与流量分析，识别实际存在的数据。例如对 MySQL 实例执行元数据查询，统计含疑似个人信息的字段：
-- 示例：在测试库中查找字段名疑似包含手机号/身份证的表
SELECT table_schema, table_name, column_name, data_type
FROM information_schema.columns
WHERE column_name REGEXP 'phone|mobile|idcard|identity|cert_no'
AND table_schema NOT IN ('mysql','information_schema','performance_schema');
-- 说明：该语句仅按字段名做初筛，结果需人工确认，不能直接作为敏感数据结论- 人员访谈法（补充验证）：面向业务、运维、客服、外包团队确认“系统里没有但实际在用”的数据，如客服导出的对账表、市场部门的客户名单、测试环境中的生产数据副本。
三类方法交叉验证后，台账才具备可信度。建议为每个数据项标注“发现来源”，便于后续复核。
二、分类分级标准：先定维度，再定级别
分类解决“是什么”，分级解决“多重要”。分类维度可按业务域（客户、财务、人力、供应链）、数据形态（结构化、非结构化）、来源（内部产生、外部采集）划分。分级则依据影响对象与影响程度，常见四级模型如下（示例，企业应结合自身监管要求调整）：
| 级别 | 判定依据（示例） | 典型数据 | 加密要求 |
|---|---|---|---|
| L1 公开 | 泄露无实质影响 | 公开产品介绍、已发布公告 | 一般不强制加密 |
| L2 内部 | 泄露造成轻微影响 | 内部制度、一般运营报表 | 传输加密，存储可选 |
| L3 敏感 | 泄露影响个人权益或企业利益 | 手机号、地址、交易明细 | 存储与传输均加密 |
| L4 核心 | 泄露造成严重法律或经营后果 | 身份证号、银行卡号、生物特征、核心配方 | 强加密+密钥隔离+访问审计 |
分级不是一次性工作。数据用途变化、监管要求更新、业务合并都会触发重新定级，因此台账中应保留“定级依据”和“复核日期”字段。
三、敏感数据识别：规则、内容与上下文
敏感数据识别不能只看字段名。字段名可能叫 remark，内容却是身份证号。可靠做法是三层结合：
- 元数据规则：字段名、注释、数据类型、长度。例如
char(18)且命名含idcard，命中初筛。 - 内容正则匹配：对样本数据做模式识别。例如中国大陆手机号可用
^1[3-9]\d{9}$，身份证号可用 18 位校验规则。抽样比例建议不低于 5%，大表可按分区抽样。 - 上下文判定：结合表用途、关联字段、访问角色判断。例如“收货地址”单独看是 L3，但与“姓名+手机号+订单号”同表时，整体应提升为 L4 处理。
四、加密保护对象确定：把级别翻译成工程动作
确定加密对象时，建议按“字段级优先、文件级补充、密钥可隔离”的原则排序。判断路径可归纳为：是否 L3/L4 → 是否落盘存储 → 是否跨网络传输 → 是否被多角色访问 → 是否进入测试/分析环境。满足任一条，即纳入加密范围。
例如某电商订单库中，order 表含 receiver_phone、receiver_idcard、receiver_addr 三个字段，均判定为 L4。工程上可对这三个字段做应用层加密（如 AES-256-GCM），密文入库，检索时通过盲索引或哈希列支持等值查询；同时要求测试环境使用脱敏数据，禁止直接复制生产密文。密钥按字段或按业务域隔离，避免“一把钥匙开全库”。
最后需要强调：加密对象确定后，应形成一份可执行的“加密字段清单”，并与数据台账、密钥管理系统、脱敏策略联动。清单中至少记录字段名、所属系统、级别、加密算法、密钥标识、生效日期和责任人。只有清单可查、责任可追，加密保护工程才真正落地。