2. 邮件与协作平台的数据资产盘点

数据资产盘点是DLP治理的起点。如果不知道敏感数据在哪里、以什么形态存在、由谁在什么场景下产生和流转，后续的检测规则、策略拦截和审计追溯都无从谈起。邮件与协作平台的特殊性在于：数据不是集中存放在一个数据库里，而是散落在邮件正文、附件、日历邀请、即时消息、云文档和共享空间六类载体中，每类载体的数据结构、访问方式和敏感数据分布规律都不同。本节的目标是建立一套可操作的盘点方法，能够回答三个问题：有哪些敏感数据类型、它们分布在哪些载体、分布密度和暴露面如何。

一、六类载体的敏感数据特征

邮件正文是最传统的泄露通道，敏感数据通常以纯文本形式出现，例如身份证号、银行卡号、合同金额、项目代号。它的特点是单封邮件数据量小，但发送频次高、收件人范围广，容易在转发链中失控。附件则不同，附件往往是完整的业务文件，如财务报表、客户名单、设计图纸，敏感数据密度高、结构完整，一旦外发就是整份文件泄露。日历邀请容易被忽视，但会议主题、参会人列表、会议描述中可能包含并购代号、人事调整、客户名称等敏感信息，且日历通常与邮件系统同域，权限边界模糊。

即时消息的敏感数据以碎片化形式存在，单条消息可能只是一个手机号或一句“报价按8折”，但结合上下文和群成员构成，泄露风险同样真实。云文档是协作平台的核心资产，敏感数据既在文档正文中，也在评论、修订记录、版本历史里，权限设置不当会导致“链接可编辑”式的公开暴露。共享空间则是云文档的集合容器，一个项目共享空间可能同时包含合同、预算表、会议纪要，敏感数据类型最复杂，需要按空间维度做整体评估。

二、敏感数据类型的识别方法

识别敏感数据类型不能只靠人工翻看，需要结合模式匹配和业务语义。对于结构化敏感数据，如身份证号（18位，末位可为X）、银行卡号（16-19位数字，符合Luhn算法）、手机号（1开头11位），可以用正则表达式做初步扫描。但邮件和协作平台中大量敏感数据是非结构化的，例如“本次收购对价不超过3.2亿元”这句话里没有固定格式，需要结合关键词库（如“收购”“对价”“保密协议”）和上下文判断。

实际操作中，建议先建立一份组织级的敏感数据分类清单，至少覆盖以下类型：个人身份信息（姓名+身份证/手机/地址组合）、财务数据（账号、金额、成本、利润）、商业机密（合同条款、报价、客户名单、技术方案）、人事数据（薪酬、绩效、组织架构调整）、合规数据（涉及个人信息保护法、数据安全法约束的数据）。每类数据给出识别规则示例，例如“客户名单”的识别规则可以是：附件文件名包含“客户”“名单”“通讯录”且文件内出现超过20个手机号格式的字符串。

三、分布特征的量化盘点

盘点不是简单罗列“有敏感数据”，而是要量化分布特征。建议从四个维度记录：第一，载体分布，即敏感数据出现在哪类载体中的频次和数量；第二，敏感等级分布，按组织定义的一级（公开）、二级（内部）、三级（秘密）、四级（绝密）统计各等级占比；第三，时间分布，观察敏感数据产生的高峰时段，例如财报季附件敏感数据量会明显上升；第四，人员分布，哪些部门、哪些岗位产生的敏感数据最多，这直接决定后续策略的优先级。

一个可操作的盘点方法是“抽样+全量元数据”结合。全量元数据扫描可以获取邮件主题、附件名、文档标题、共享空间名称等轻量信息，快速定位高敏感区域；抽样则针对高敏感区域抽取实际内容，用DLP预检工具或人工复核确认敏感数据类型和密度。例如，先扫描出所有共享空间中名称含“合同”“预算”“客户”的空间，再对其中前20%的空间做内容抽样，统计敏感数据命中率。

四、从盘点结果到治理动作

盘点结果要能直接支撑治理决策。如果发现某共享空间中包含大量三级以上敏感数据且空间成员超过50人，应优先收紧该空间的访问权限并启用外发审批；如果发现即时消息中频繁出现手机号且集中在销售群，应针对该群启用消息内容检测和截屏水印；如果发现附件外发是主要泄露路径，应在邮件网关侧对含敏感数据的附件启用加密或审批。盘点的价值不在于生成一份报告，而在于让每一条敏感数据都有明确的载体归属、等级判定和处置优先级。

最后需要强调，数据资产盘点是持续过程而非一次性任务。邮件和协作平台中的数据每天都在新增、流转、修改，建议至少每季度做一次全量元数据扫描，每月对高敏感载体做一次抽样复核，并在组织架构调整、重大项目启动、合规审计前做专项盘点。只有把盘点变成常态，DLP策略才能跟上数据变化的节奏。