4. 数据分类与分级

做DLP项目，最怕什么？
不是技术搞不定，而是你连要保护的数据长什么样都不知道。

我接手过不少客户的烂摊子——DLP设备买回来，策略配了一堆，结果全是误报。业务部门天天投诉，最后领导一句“这东西没用”，项目直接黄了。
说到底，根子就在数据分类分级没做好。

你想想看，连哪些是敏感数据都分不清，策略对着空气打，能不出事吗？
所以这一章，咱们把敏感数据识别和分类标准这个地基夯实了。

为什么要做数据分类分级

说白了，就是告诉你：什么东西要重点看，什么东西可以睁只眼闭只眼。

• 安全视角：明确保护对象，资源优先给高价值数据
• 合规视角：满足等保、GDPR、个人信息保护法的要求
• 运营视角：降低误报率，让安全团队能把精力用在关键风险上

敏感数据识别方法

数据识别，我习惯分成两类：

1. 自动识别技术

说白了就是让机器替人干活。我列几个常用的：

识别方式	典型场景	我踩过的坑
关键词匹配	“机密”、“内部资料”等标签	太容易绕过，加个空格规则就废了
正则表达式	身份证号、银行卡号、手机号	写过 /d{18}[0-9X] 你以为稳了？港澳台证件根本不长这样
数据指纹	精确文档内容，哪怕改了文件名也能识别	计算资源吃紧，全量扫描时容易把服务器搞崩
机器学习分类	识别非结构化的合同、报告、代码片段	模型训练周期长，初期准确率低到怀疑人生

我个人建议：别指望单打独斗。
做生产环境DLP部署时，我通常把关键词、正则、指纹三层混合着用。正则打头阵，指纹兜底，关键词做辅助——这组合拳效果还不错。

2. 手动盘点与辅助工具

自动识别完了，别忘了人工复核。
我有个习惯：每年至少拉着业务部门做一次数据资产盘点。别嫌麻烦，你永远不知道自己公司里还藏着哪些奇奇怪怪的数据库。

• 数据地图工具：主动扫描网络共享、数据库、云存储
• 内容发现扫描：定期对文件服务器做全量扫描，更新识别库
• 业务访谈：核心部门的数据流转路径，问清楚再动手

数据分级标准

分级这块，国内有国标，但落地时你得灵活调整。我一般按四级来分：

级别	定义	典型数据	安全要求
L1 - 公开	可以对外发布的	公司宣传册、产品白皮书	基本控制，无泄漏处罚风险
L2 - 内部	仅供内部流转	内部流程文档、普通邮件	禁止外发，审计留痕
L3 - 敏感	泄露会造成中等损失	客户信息、员工薪资、源代码	强加密，严格控制访问权限
L4 - 绝密	泄露会造成重大损失	核心算法、战略规划、关键用户数据	硬加密+HSM保护，DLP策略设为最高阻断

分级的粒度，我建议别搞太细。
超过五级，运维成本飙升，业务方也记不住。L1到L4，够了。

数据分类与分级的关系

很多人把这两个词混为一谈。我简单解释下：

• 分类，是问“这是什么类型的数据？”——比如合同、设计图、源代码
• 分级，是问“它的重要性有多高？”——比如L3还是L4

举个例子，合同和源代码是分类不同；但一份涉及国家秘密的合同是L4，一份普通采购合同是L2，这就是分级不同。

数据分类分级与DLP联动的整体逻辑

这个图我做了简化，但核心流程都在：

这个流程我每次做新项目都拿出来复盘。
数据分类分级做扎实了，后面的DLP策略就是水到渠成的事。

实战中的几个要点

嗯，这里要注意——把标准定完，不代表万事大吉。我补充几点：

• 定期复审：业务变了，数据就变了。我要求至少每半年更新一次分类分级清单
• 标签要落地：别停留在Excel里，必须嵌入到数据资产的DLP元数据中
• 自动化打标：人工打了也白打，要用工具自动扫描、自动归类

关于分级策略嵌入DLP的一点建议

DLP策略设计时，你肯定要参考分级结果。
但千万别写死——我见过有人在策略里硬编码L4、L3的标签，结果业务部门升级了系统，标签规则变了，策略直接失效。

所以，我建议把所有分级标准独立成一个配置文件。策略引擎只读取外部配置，不硬编码。这样后期维护成本会低很多。

// 一个简单的分级映射伪代码，别笑，真的够用了
if data.level == "L4":
    action = "block"
    notify_security = true
elif data.level == "L3":
    action = "encrypt"
    apply_hsm_key = true
elif data.level == "L2":
    action = "audit"
else:
    action = "pass"

代码写得简单，但它是核心逻辑。剩下的工作，就是把业务和法规要求翻译成这种条件判断。