3. DLP治理框架与合规基线
邮件与协作平台的DLP治理，第一步不是买工具、也不是写正则，而是把“合规要求”翻译成“可执行的数据规则”。GDPR、CCPA、等保2.0、个人信息保护法（个保法）这四类法规，分别来自不同法域、不同立法目的，对同一封邮件、同一个共享链接的约束并不一致。如果直接把法条原文塞进DLP策略库，结果往往是规则互相冲突、误报率飙升、业务部门投诉不断。本节要解决的核心问题是：如何建立一套统一的合规基线，并把多法域要求映射到邮件与协作平台的DLP策略对象上。
一、四类法规的约束维度差异
先看清它们各自“管什么”。GDPR的核心是“个人数据处理的合法性基础”，强调数据主体权利（访问、更正、删除、可携带）、跨境传输限制（Schrems II后依赖SCC+传输影响评估）、以及72小时 breach 通知。它不区分数据存放在邮件还是网盘，只要涉及欧盟数据主体的个人数据就适用。CCPA/CPRA则以“加州消费者”为保护对象，核心是知情权、删除权、拒绝出售/共享权（Do Not Sell/Share）、以及敏感个人信息的限制使用；它对“出售”和“共享”的定义很宽，把向第三方提供数据用于跨上下文行为广告也算作共享。等保2.0是中国的网络安全等级保护制度，它不直接规定“哪些数据不能外发”，而是要求按等级落实安全通用要求与云计算、移动互联等扩展要求，其中“数据完整性、保密性、备份恢复、剩余信息保护”会间接约束DLP。个保法则把个人信息处理规则、告知同意、敏感个人信息单独同意、跨境提供（安全评估/标准合同/认证）、以及处理者义务写得更细，并且明确“向境外提供个人信息”需要满足特定条件。
这四者的差异可以归纳为三个维度：保护对象（欧盟数据主体 / 加州消费者 / 中国自然人 / 等级保护对象）、核心义务（合法性基础与权利响应 / 拒绝出售共享 / 等级化安全措施 / 告知同意与跨境）、触发条件（处理行为发生 / 收集或共享行为 / 系统定级 / 向境外提供）。DLP策略必须同时覆盖这些维度，而不是只做“敏感词匹配”。
二、合规基线：把法条拆成可判定的数据规则
合规基线不是法条汇编，而是一组“可判定条件 + 处置动作”的集合。建议按“数据类别—法域—义务—判定条件—处置动作”五元组来组织。以邮件外发场景为例：
- 数据类别：个人数据、敏感个人信息（生物识别、金融账户、行踪轨迹、不满十四周岁未成年人信息等）、重要数据、商业秘密。
- 法域：EU/EEA、美国加州、中国境内、跨境传输目的地。
- 义务：合法性基础、单独同意、跨境条件、拒绝出售/共享、等级保护措施。
- 判定条件：收件人域名归属地、邮件正文/附件是否命中数据类别、是否包含跨境传输、是否向第三方共享。
- 处置动作：放行、加密、加水印、审批、阻断、审计留痕。
这里的关键是“判定条件”必须能被邮件网关和协作平台API实际读取。例如，收件人域名归属地可以通过域名后缀和IP地理库判断；附件是否含敏感个人信息，需要内容识别（正则+关键词+文档指纹+机器学习分类）组合判断；跨境传输则要结合收件人所在国家/地区与数据主体所在法域。只有判定条件可计算，合规基线才不是纸面文章。
三、邮件与协作平台的策略对象映射
邮件与协作平台（如Exchange Online、Microsoft 365、Google Workspace、企业微信、钉钉、飞书等）的DLP策略通常挂在几个“策略对象”上：邮件流规则（传输规则）、共享链接策略、外部协作域白名单、敏感信息类型（SIT）、保留与删除策略、审计日志。合规要求要落到这些对象上，才能生效。
以个保法“向境外提供个人信息需单独同意”为例，映射路径是：识别邮件或共享文件中是否含个人信息 → 判断收件人/共享对象是否在境外 → 若在境外，检查是否已获得单独同意（可通过审批流或同意记录系统联动）→ 未获得则阻断或转审批。对应到平台对象，就是“邮件流规则的条件=收件人域在境外 + 内容含个人信息；动作=转审批/阻断”，以及“共享链接策略=外部共享需审批 + 水印”。
再以GDPR“数据主体删除权”为例，它不直接对应外发阻断，而对应“保留与删除策略”：邮件和协作平台中的个人数据不能无限期保留，需要按数据类别设置保留期，到期自动删除或匿名化。这要求DLP策略与保留标签（retention label）联动，而不是只做外发控制。
四、合规映射方法：从法条到策略的六步法
下面给出一套可复用的映射方法，适用于多法域并行场景。
- 法条拆解：把每条法规拆成“义务句”，例如“向境外提供个人信息应取得单独同意”。
- 义务归类：归入“同意类、跨境类、权利响应类、安全措施类、保留类”五类之一。
- 数据类别绑定：明确该义务作用于哪类数据（个人数据/敏感个人信息/重要数据）。
- 判定条件设计：把义务转成可计算条件，如“收件人域在境外 AND 内容命中身份证号/手机号/银行卡号”。
- 策略对象选择：选择邮件流规则、共享链接策略、保留标签、审批流等平台对象承载。
- 处置动作与留痕：定义放行/加密/审批/阻断，并确保审计日志可回溯到具体法条与策略ID。
这六步的价值在于：当法规更新时，只需修改“义务句”和“判定条件”，不必重写整个策略体系。同时，它让合规、安全、IT三方有共同语言——合规说义务，安全说判定条件，IT说策略对象。
五、多法域冲突与优先级处理
实际治理中最棘手的是法域冲突。例如，GDPR要求数据主体可携带，但等保要求数据本地化；CCPA允许消费者拒绝出售，但某些司法辖区要求配合执法调取数据。DLP策略不能简单“取最严”，否则业务不可用；也不能“取最松”，否则合规失效。建议采用“基线+叠加”模型：先建立一条全球统一的最低基线（如敏感个人信息外发必须加密或审批），再按法域叠加更严规则（如向欧盟传输需SCC+传输影响评估，向中国境外提供需安全评估）。叠加规则通过“条件优先级”实现：高优先级规则先匹配，匹配后不再进入低优先级规则，避免重复处置。
六、落地检查：合规映射是否真的生效
映射完成后，必须用“可观测指标”验证，而不是只看策略是否启用。建议关注四类指标：命中率（策略触发次数/总外发量）、误报率（人工复核判定为误报的比例）、审批通过率（转审批后实际放行比例）、审计可回溯率（能关联到具体法条与策略ID的事件比例）。如果误报率超过30%，说明判定条件过宽，需要收紧数据类别或增加上下文条件；如果审批通过率长期接近100%，说明策略可能形同虚设，需要重新评估风险阈值。
总结来说，DLP治理框架的合规基线，本质是把GDPR、CCPA、等保、个保法的义务句，翻译成邮件与协作平台可计算的判定条件，再挂载到邮件流规则、共享链接策略、保留标签、审批流与审计日志这些策略对象上。映射方法的核心是“义务—条件—对象—动作—留痕”五步闭环，配合“基线+叠加”的优先级模型处理多法域冲突。只有做到可判定、可执行、可回溯，合规基线才真正落地。