2. 数据分类分级与安全治理基线

数据分类分级是数据安全治理的起点，也是后续访问控制、加密脱敏、审计追溯等所有管控措施能够落地的前提。没有清晰的分级，安全策略就只能“一刀切”，要么过度管控拖慢业务，要么管控不足留下风险敞口。本节围绕分类分级标准、敏感数据识别方法、分级管控策略以及行业落地要点展开，帮助建立一套可执行、可复用的治理基线。

一、分类与分级：两个维度，不要混为一谈

很多团队把“分类”和“分级”当成一件事，实际上它们是两个正交维度。分类回答“这是什么数据”，按业务属性划分，例如客户信息、交易记录、设备日志、财务凭证、研发代码等；分级回答“泄露后有多严重”，按影响程度划分，通常为公开、内部、秘密、机密四级，或 L1～L4。同一类数据可能因字段不同而落在不同级别，例如“客户信息”中的手机号是机密级，而客户所属城市可能只是内部级。

分类决定了数据由谁负责、走哪条业务线；分级决定了它需要多强的保护。二者组合形成“分类分级矩阵”，是治理基线的核心坐标。

二、敏感数据识别：从规则到内容

识别是分级落地的关键动作。常见方法有三类，实践中往往组合使用：

• 元数据/字段名匹配：依据表名、字段名、注释识别，如 id_card、phone、bank_account。速度快、成本低，但命名不规范时容易漏判。
• 正则与校验规则：对身份证号（18 位，含校验位）、手机号（1[3-9] 开头 11 位）、银行卡号（Luhn 校验）等做模式匹配，准确率高于纯字段名。
• 内容与上下文识别：结合数据分布、上下文语义、机器学习模型判断，适合自由文本、日志、备注等非结构化数据。

一个可操作的识别流程是：先做字段名扫描得到候选集，再用正则校验降低误报，最后对高价值表做抽样内容复核。例如对一张用户表，字段名命中 mobile 后，用正则 ^1[3-9]\d{9}$ 对样本值校验，命中率超过 90% 即可判定为手机号字段，标记为机密级。

三、分级管控策略：让级别真正“长出牙齿”

分级如果只停留在标签上就没有意义，必须绑定到具体管控动作。下表给出一个可参考的基线映射（示例，需结合行业与合规要求调整）：

管控策略要落到三个层面：访问层（RBAC/ABAC、动态脱敏）、存储层（透明加密、密钥管理）、流转层（水印、外发审批、DLP）。级别越高，叠加的控制点越多，而不是简单“加一把锁”。

四、行业案例与落地要点

以金融行业为例，监管要求对个人金融信息分级，C3 级（如账户密码、交易流水）必须加密存储并限制导出。某银行在落地时先梳理了 1200 张核心表，通过字段名+正则识别出 87 个敏感字段，再按“客户标识、账户、交易、凭证”四类归并，最终形成 4 级 12 类的分级清单，并将分级标签写入数据目录，供下游权限系统自动读取。

落地中最容易踩的坑有三个：一是只分级不更新，新表上线后无人打标；二是分级粒度过粗，整张表一个级别，导致敏感字段被“搭便车”过度暴露；三是策略与业务脱节，管控太严导致业务绕道走。建议把分级动作嵌入数据开发流程（建表即打标），并设置季度复核机制。

把上述流程固化为治理基线后，数据安全就不再依赖个人经验。分类分级清单、识别规则库、级别-策略映射表这三份资产，构成了可审计、可迭代的治理底座。后续的权限治理、脱敏、审计等章节，都将围绕这套基线展开。