3. 数据资产梳理与分类分级

数据安全运营的第一步不是买设备、也不是配策略，而是回答一个基础问题：我们到底有哪些数据？它们在哪里、由谁负责、有多敏感？如果连资产清单都不清楚，后续的加密、脱敏、审计、权限治理都会变成"盲人摸象"。本节围绕数据资产发现、元数据采集、分类分级标准落地、自动化打标、台账构建与动态更新五个环节展开，形成一条从"看不见"到"看得清、管得住"的完整链路。

一、数据资产发现：先找到，再谈治理

数据资产发现的目标是识别组织内所有数据存储与流转的载体。常见方法有三类：

• 主动扫描：通过数据库连接、文件系统遍历、API 探测等方式，主动发现结构化与非结构化数据源。例如对 MySQL、Oracle、PostgreSQL、Hive、对象存储、共享目录进行周期性扫描。
• 被动流量分析：在核心交换机或数据库前置代理处镜像流量，解析 SQL 语句与文件传输协议，识别"谁在访问什么数据"，补充主动扫描遗漏的临时表、影子库。
• 人工登记与业务访谈：对尚未接入网络的离线数据、纸质档案、业务系统内部缓存进行人工补录，避免出现治理盲区。

实际落地时，建议先划定发现范围：按业务系统、按网络区域、按数据源类型分批推进。例如第一轮只覆盖生产网的核心数据库与文件服务器，第二轮扩展到测试网与云上对象存储。每轮扫描输出"数据源清单"，包含 IP、端口、库名、表名、文件路径、数据量级、负责人等字段。

二、元数据采集：把"数据"变成"可描述的数据"

发现数据源后，需要采集元数据。元数据分为技术元数据（表结构、字段类型、主外键、索引、存储位置）、业务元数据（业务含义、所属系统、责任人、更新频率）和管理元数据（密级、生命周期、访问权限）。

采集方式通常包括：

• 通过 JDBC/ODBC 读取 information_schema，获取表与字段定义；
• 解析 ETL 脚本、SQL 日志，还原字段级血缘关系；
• 对接数据开发平台、调度系统，获取任务与表的依赖关系；
• 对非结构化文件，提取文件名、路径、大小、创建时间、内容摘要等属性。

采集频率建议：核心库每日一次，普通库每周一次，文件系统按增量扫描。采集结果统一写入元数据仓库，作为后续分类分级的输入。

三、分类分级标准落地：从制度到字段

分类分级不能停留在制度文件里，必须落到字段级。分类解决"是什么类型的数据"，分级解决"有多敏感"。以某金融企业为例，分类维度可设为：客户身份信息、账户信息、交易信息、合同信息、经营信息、公开信息；分级可设为：公开、内部、秘密、机密四级。

落地时，先建立"分类分级映射表"，把每个字段映射到具体类别与级别。例如：

映射表需要业务部门确认，不能由安全团队单方面决定。确认后的映射表作为自动化打标的规则库。

四、自动化打标：规则 + 模型双驱动

自动化打标的核心是"识别字段内容与字段名，匹配分类分级规则"。常用技术手段包括：

• 正则匹配：识别身份证号、手机号、银行卡号、邮箱等固定格式数据；
• 字典匹配：识别枚举值、代码表、业务术语；
• 机器学习分类：对无固定格式的文本（如地址、备注）进行语义分类；
• 字段名语义分析：结合字段名（如 id_card、phone、addr）辅助判断。

打标流程一般为：采样数据 → 特征提取 → 规则/模型匹配 → 置信度评分 → 人工复核 → 写入标签。置信度低于阈值的字段进入人工复核队列，避免误标导致后续策略误伤。

五、资产台账构建与动态更新

资产台账是数据安全运营的"底账"，应包含：数据源信息、表/文件信息、字段信息、分类分级标签、责任人、访问权限、生命周期状态。台账不是一次性工作，必须动态更新。更新触发条件包括：新增数据源、表结构变更、字段新增或删除、分类分级标准调整、责任人变更。

建议建立"变更捕获—影响分析—台账更新—策略同步"的闭环。例如，当检测到某表新增字段时，自动触发元数据采集与打标，若新字段被标记为"机密"，则同步通知权限系统收紧访问策略。

整个闭环中，最容易被忽视的是"动态更新"。很多企业的台账在项目上线时很完整，半年后字段变更、系统下线、责任人离职，台账就失效了。建议把台账更新纳入日常运营流程，设置变更监听任务，并定期（如每季度）做一次全量核对。