2. 数据共享与交换的资产建模

数据共享与交换的安全工程，第一步不是加密、不是脱敏，而是“知道自己手里有什么、它值多少、它流向哪里”。资产建模就是把散落在各业务系统、数据库、文件服务器、接口和消息队列中的数据，抽象成可管理、可授权、可审计的对象。没有资产模型，后续的访问控制、脱敏策略、审计追踪都失去锚点。

一、数据分类分级：给数据贴上“身份标签”

分类解决“是什么”，分级解决“有多重要”。分类维度通常包括：业务域（客户、订单、财务、人力）、数据主体（个人、企业、设备）、数据形态（结构化、半结构化、非结构化）、来源系统。分级则依据泄露、篡改、滥用后的影响程度，常见分为公开、内部、秘密、机密四级，或按监管要求分为一般、重要、核心。

实际操作中，建议采用“业务属性 + 敏感属性”双维矩阵。例如，客户手机号属于“客户域—个人数据—高敏感”，订单金额属于“交易域—企业数据—中敏感”。分级结果必须落到字段级，而不是表级，因为同一张客户表中，客户编号可能内部可见，而身份证号必须机密。

分级不是一次性工作。当业务新增字段、监管规则变化、数据融合产生新敏感组合时，必须触发重新分级。建议在元数据管理系统中设置“分级复核”任务，每季度或每次数据源变更时执行。

二、数据资产目录：让数据“可发现、可理解、可申请”

资产目录是数据共享的“黄页”。它至少应包含：资产唯一标识、名称、描述、所属系统、负责人、分类分级标签、更新频率、数据量、字段清单、共享方式（API、文件、视图）、共享条件（审批、脱敏、审计）。目录不是静态文档，而应作为服务注册到数据共享平台，支持按标签检索、按权限申请。

一个可用的目录条目示例：

资产ID: DS-CUST-001
名称: 客户基础信息表
系统: CRM
负责人: 张工
分级: 秘密
字段: customer_id(内部), name(秘密), phone(秘密), city(内部)
共享方式: API /v1/customer/basic
共享条件: 需数据Owner审批；phone字段默认掩码；调用方需具备“客户数据消费者”角色
更新频率: 每日T+1

目录建设的关键是“元数据自动采集 + 人工确认”。自动采集从数据库、ETL、API网关获取技术元数据；人工补充业务元数据、分级标签和共享策略。两者结合，才能避免目录沦为“字段列表”。

三、数据血缘：追踪数据的“来龙去脉”

血缘描述数据从源头到消费端的流转路径，包括上游来源、中间加工、下游去向。血缘的价值在于：影响分析（改一个字段会影响哪些报表）、问题定位（数据错误从哪来）、合规审计（敏感数据是否流到了未授权区域）。

血缘通常分为三层：

• 系统级血缘：系统A → 系统B，用于宏观数据流。
• 表级血缘：表A → 表B，用于ETL任务依赖。
• 字段级血缘：字段A → 字段B，用于精确追踪敏感字段。

字段级血缘是安全共享的核心。例如，当“身份证号”从生产库同步到分析库，再被聚合到报表时，血缘图应能显示：原始字段 → 脱敏字段 → 聚合指标。如果中间某一步未脱敏，血缘图应标记为“高风险路径”。

四、共享交换中的资产边界与安全属性

资产边界是数据在共享交换过程中“允许流动的范围”。它由三个要素定义：数据域（生产域、加工域、消费域）、信任等级（高、中、低）、控制策略（加密、脱敏、水印、审计）。当数据跨越边界时，必须触发相应的安全属性检查。

安全属性是附着在资产上的“约束条件”，常见包括：

• 机密性：传输加密（TLS 1.3）、存储加密（AES-256）、字段级加密。
• 完整性：数字签名、哈希校验、防篡改日志。
• 可用性：限流、熔断、备份、容灾。
• 可审计性：谁、何时、从哪、访问了哪些字段、结果如何。
• 最小化：只共享必要字段，默认掩码，按需申请。

实际落地时，建议在数据共享平台上建立“资产—边界—策略”三元组。例如，资产“客户手机号”属于“生产域—机密级”，其边界策略为：跨域共享必须经过数据Owner审批，输出时自动掩码为“138****1234”，并记录调用方IP、时间、请求ID。若调用方来自低信任域，则直接拒绝。

总结来看，数据分类分级回答“保护什么”，资产目录回答“有什么、在哪、怎么拿”，数据血缘回答“从哪来、到哪去”，资产边界与安全属性回答“跨域时怎么控”。四者共同构成数据共享交换安全工程的资产底座。缺少任何一环，后续的访问控制、脱敏、审计都会变成无根之木。