4. 敏感数据识别与分类分级

敏感数据识别与分类分级是静态数据脱敏工程的起点。脱敏规则、掩码算法、访问控制和审计策略都依赖一个前提：系统必须知道哪些字段是敏感的、敏感程度有多高、应当套用哪一级别的保护措施。如果分类分级缺失或失真，后续脱敏要么过度、要么遗漏，测试环境仍可能泄露真实个人信息。

本节围绕四个问题展开：敏感数据如何定义、分类分级标准如何设计、识别方法如何组合、标签体系如何落地到元数据与数据资产目录中。

一、敏感数据的定义边界

敏感数据不是单一类型，而是按“可识别性”和“危害后果”两个维度共同界定的数据集合。通常可分为四类：

• 直接标识符：能单独定位到具体自然人的字段，如身份证号、护照号、手机号、银行卡号、社保号、生物特征模板。
• 准标识符：单独不唯一，但组合后可重识别，如姓名+出生日期+性别+邮编、设备ID+地理位置。
• 敏感属性：本身不直接标识个人，但泄露后造成歧视、伤害或隐私侵犯，如健康诊断、宗教信仰、性取向、犯罪记录、精确薪酬。
• 业务敏感数据：非个人信息但属于企业核心资产，如成本价、合同条款、未公开财务数据、算法参数、密钥材料。

定义边界时建议采用“字段级判定 + 组合判定”双轨：字段级判定解决单字段是否敏感；组合判定解决多个非敏感字段联合后是否构成准标识符。例如“订单号+收货地址+下单时间”在电商场景中可定位到具体个人，应整体标记为敏感组合。

二、分类分级标准设计

分类解决“是什么类型”，分级解决“有多敏感”。推荐采用“四级分类 + 四级分级”的二维矩阵，分类维度可按业务域划分，分级维度按泄露影响划分。

分级判定建议引入三个量化因子：可识别性（能否定位到个人）、危害程度（泄露后的法律、财务、声誉影响）、数据量级（单条还是批量）。三者加权后落入对应级别。例如单条手机号可识别性高、危害中等，定为L3；批量手机号因量级放大，可上调为L4。

三、识别方法：元数据扫描与内容扫描

识别方法分为两条主线：元数据扫描和内容扫描，二者互补，缺一不可。

元数据扫描从数据字典、表结构、字段注释、ETL映射、数据血缘中提取线索。例如字段名为 id_card、mobile、bank_card_no，注释为“身份证号”，即可初步判定为敏感字段。元数据扫描速度快、覆盖全，但依赖命名规范和注释质量，遇到 f1、col_023 这类字段会失效。

内容扫描直接采样数据值，用正则、字典、校验算法和机器学习模型判定。常用规则示例：

身份证号：^\d{17}[\dXx]$
手机号：^1[3-9]\d{9}$
银行卡号：^\d{16,19}$ + Luhn校验
邮箱：^[\w.-]+@[\w.-]+\.\w+$
IPv4：^(\d{1,3}\.){3}\d{1,3}$

内容扫描能发现命名不规范但实际敏感的字段，但采样有成本，且可能误判。例如 20240101 既可能是日期，也可能是订单号。因此需要设置置信度阈值：正则命中率超过80%且样本量大于100条，才自动标记为敏感；低于阈值则进入人工复核队列。

四、人工复核与标签体系落地

自动识别只能覆盖约70%～85%的敏感字段，剩余部分必须由人工复核。复核重点包括三类：低置信度字段（正则命中率在50%～80%之间）、组合敏感字段（单字段不敏感但组合后敏感）、业务语义字段（如“客户备注”可能包含身份证号或地址）。复核流程建议采用“双人背靠背 + 仲裁”机制：两名复核人独立判定，不一致时由数据安全负责人仲裁，记录判定依据。

标签体系落地需要把识别结果写入元数据管理系统，形成可查询、可继承、可审计的标签。推荐标签结构包含五个属性：

• 标签ID：全局唯一，如 SENS_L4_IDCARD。
• 敏感级别：L1～L4。
• 分类域：个人信息、业务敏感、财务敏感等。
• 识别来源：元数据扫描、内容扫描、人工复核。
• 脱敏策略：绑定具体算法，如身份证号保留前6后4、手机号中间4位掩码。

标签写入后，脱敏引擎即可按标签自动匹配策略。例如字段被打上 SENS_L4_IDCARD，脱敏引擎读取策略“保留前6后4”，生成 110101********1234 的脱敏值。标签变更时，脱敏策略同步更新，避免人工逐字段配置。

五、识别效果验证

识别与分级完成后，需要用抽样验证确认效果。方法是从已标记为L3/L4的字段中随机抽取5%，人工核对标签是否正确；同时从未标记字段中抽取1%，检查是否有漏标。若漏标率超过2%，需调整正则规则或补充元数据注释。验证结果应记录在数据安全台账中，作为下一轮扫描的基线。

整个识别与分级过程不是一次性的，而是随业务表结构变更、新数据源接入、法规更新而持续迭代。建议每季度执行一次全量扫描，每月执行增量扫描，确保标签体系与真实数据资产保持一致。