4. 数据分类分级与流通策略

数据分类分级是数据可信流通的起点。分类解决“这是什么数据”，分级解决“它有多敏感”，而流通策略解决“在什么条件下、以什么方式、给谁用”。三者构成一条从识别到控制的完整链条。如果分类分级做错，后续的授权、脱敏、审计都会建立在错误前提上；如果策略制定脱离业务场景，分级结果就会变成一张无人使用的标签表。

一、分类分级标准：先定维度，再定粒度

分类与分级是两个不同动作。分类按数据的业务属性、来源、用途划分，例如客户身份数据、交易数据、设备运行数据、位置轨迹数据、日志数据等。分级按数据一旦泄露、篡改或滥用后对个人、组织、社会造成的危害程度划分，通常分为公开、内部、敏感、核心四级，或按行业标准分为1至4级。

实际操作中，建议采用“业务域+数据主体+敏感类型”的三维分类法。业务域决定数据归属，数据主体决定权利关系，敏感类型决定保护强度。例如“客户身份数据”属于业务域“客户管理”，数据主体是个人，敏感类型为高敏感；“设备运行数据”属于业务域“生产运维”，数据主体是组织，敏感类型为内部。分级时不能只看字段名称，还要看组合效应。单独的手机号可能只是内部数据，但手机号+身份证号+住址组合后，敏感度会显著上升。

二、敏感度评估：从静态标签到动态评分

敏感度评估不能只依赖人工打标。更可靠的做法是建立可计算的评分模型，把“泄露后果”“可识别性”“数据量级”“流通范围”四个因子纳入评估。泄露后果指数据被滥用后对主体的损害程度；可识别性指数据能否直接或间接定位到具体个人或组织；数据量级指记录条数和字段组合复杂度；流通范围指数据计划共享给多少接收方、是否跨域。

一个可落地的评分公式为：敏感度得分 = 后果权重 × 0.4 + 可识别性权重 × 0.3 + 量级权重 × 0.2 + 流通范围权重 × 0.1。各因子按1至5分打分，加权后得到0至5分的连续值。得分低于1.5为公开级，1.5至2.5为内部级，2.5至3.5为敏感级，3.5以上为核心级。这个模型的好处是，当数据组合或流通场景变化时，敏感度可以重新计算，而不是依赖一次性的静态标签。

需要特别注意的是，敏感度评估必须与流通场景绑定。同一份客户交易数据，在内部风控场景下可能只需3级保护，但若要共享给外部合作机构用于联合建模，流通范围因子上升，敏感度得分可能升至4级，从而触发更严格的授权和脱敏要求。

三、流通策略制定：分级授权与差异化保护

流通策略的核心是“分级授权、最小必要、动态控制”。分级授权指不同级别数据对应不同的审批层级和使用权限；最小必要指接收方只能获得完成任务所需的最小字段集和时间窗口；动态控制指策略随数据敏感度、接收方信用、流通环境变化而调整。

以下给出一个可参考的分级授权与差异化保护方案。该方案以四级分级为基础，分别定义授权主体、脱敏要求、传输要求和审计要求。

在实操中，策略还需要落到具体的技术控制点。例如3级数据对外共享时，可以采用“字段级脱敏+时间窗口+次数限制”的组合策略：接收方只能查询脱敏后的客户编号、交易金额区间和交易月份，单次查询不超过1000条，每天不超过5次。4级数据则不应直接共享原始记录，而应通过隐私计算平台完成联合统计或模型训练，原始数据始终留在本地。

四、行业案例：某医疗数据平台的分类分级与流通实践

某区域医疗数据平台汇聚了12家医院的电子病历、检验报告和影像数据，计划向科研机构开放用于疾病研究。平台首先按“患者标识、临床数据、影像数据、管理数据”四类划分，再按敏感度分为四级。患者姓名、身份证号、联系方式定为4级；检验指标、诊断编码定为3级；影像文件因包含面部特征，也定为3级；医院科室统计报表定为2级。

在流通策略上，平台没有采用“一刀切”的脱敏方式，而是按科研场景差异化处理。对于回顾性研究，平台提供假名化后的结构化数据，患者标识替换为随机ID，保留年龄区间和性别，去除精确日期，仅保留月份。对于需要影像的研究，平台不直接提供原始DICOM文件，而是通过去面部特征处理后再交付，并在文件中嵌入接收方标识水印。对于涉及罕见病的小样本研究，由于组合后重识别风险高，平台要求研究方案通过伦理审查，并采用安全多方计算完成跨院统计，原始数据不出院。

该案例的关键经验是：分类分级不是一次性工作，而是随数据汇聚范围、研究目的和接收方变化持续更新的过程。平台每季度重新评估一次敏感度，当新增数据源或新增接收方时，触发重新评分和策略调整。

总结来看，数据分类分级与流通策略的核心逻辑是：分类定边界，分级定强度，策略定规则，审计定闭环。只有把分级结果转化为可执行的授权、脱敏、传输和审计动作，数据才能在可信前提下真正流动起来。