花了大力气做的数据分类分级，这么做，分级管控就落地了

源自于业内朋友的一篇阅读量10万+的公众号文章，技术文章10万+,想想都流口水呀。

有些朋友没有可能没有读过Janky这篇文章，那我简单总结这篇推文的几个观点：

(1)数据分类分级的逻辑问题：作者认为数据分类分级的逻辑虽然看似完美，但实际上与数据安全的实际需求脱节。数据分类分级的目标是精确控制访问权限、实施差异化保护和风险管理，但现实中其效果并不理想。

(2)独立系统的局限性：当前的数据资产与分类分级系统主要关注资产盘点，数据清单容易过时，且与其他数据安全管控系统都是孤岛式存在，导致其在实际应用中的价值有限。

(3)过程与结果的混淆：作者指出，许多人将数据分类分级的过程误认为是数据安全的结果，而忽视了其只是实现数据管控的一个过程。

(4)动态分类分级的必要性：文章提出，企业需要具备动态的数据识别和安全管控能力，而不是仅仅依赖静态的分类分级表格。

以上观点不敢完全苟同，我先说我的结论。

(1)数据分级管控是全球共识，理论和逻辑没任何毛病。

(2)针对应用数据库的静态数据分类分级和流动数据的动态分类分级不是割裂的。

(3)企业分类分级的成果完全可以用起来，采用安全切面技术，数据分级管控可落地。

下面我来逐层展开来说。

实践中的数据分类分级，基本都是依据行业数据分类分级参考标准，把数据库表和字段归到分类参考标准的某一类中，类别确定了，数据级别也就随之确定。这种方式下产出的多是《数据资产清单》和《数据分类分级清单》。这种清单要么是Excel表单，要么就存在独立的数据资产管理系统中。

从技术视角看，数据场景主要分三类：各类终端、业务应用端、数据库等存储端。

数据加工、处理、计算、使用的主场景显然是业务系统。数据库本质是存储，像存钱的保险柜，虽有访问控制、加密、审计等功能，可日常业务中，数据是在业务系统里被频繁处理、使用，而非直接在数据库操作。

当前数据分类分级重数据库，忽视业务系统，就好比给保险柜分类分级，却不管保险柜里的钱在外面怎么花，自然难以有效保障数据安全。

静态数据主要指数据库中的数据，分类分级针对数据库表和字段；动态数据则流转于业务系统、API 接口、web 页面等场景，分类分级基于数据内容特征识别。

当前二者相互孤立，企业做完静态数据分类分级，面对动态数据又得重来。动态数据的实时性、流动性强，像河流奔腾不息，静态数据相对稳定，如湖泊平静。

若二者分级管控不打通，数据从静态变为动态，或从动态存入静态，就会出现防护空白，给数据安全埋下隐患。

在企业架构里，网络安全部门相对弱势，常被视为成本中心，不像业务部门是盈利的强势力量。回顾往昔，网络安全多采取外挂模式，比如早期企业装防火墙，就像给房子加个防盗门，后续有了入侵检测系统（IDS）、入侵防御系统（IPS），也是外挂式防护。

这种模式下，网络安全人员专注于技术细节，与业务渐行渐远，数据安全若延续此路，就会陷入僵局。要破局，就得转变观念，深入业务一线，了解业务流程、数据流向，将数据安全嵌入业务核心，让数据安全成为业务发展的助推器，而非绊脚石。

企业若想落地基于数据分级的管控体系，须打破静态与动态数据分类分级的隔阂，通过技术创新，让二者能以统一视角被观测、识别、分类分级。

这需要对数据全链路流转进行跟踪，掌握数据从产生、存储、传输到使用各环节详情，看清数据在业务系统、API 接口、数据库等场景间的流动轨迹，如此才能依数据所处场景、内容特征、用途等精准分类分级，实现静态与动态数据防护无缝对接。

在应用系统服务端运用安全切面技术，进行插桩或埋点，就能对应用系统数据和程序调用链路实现有效跟踪与分析。这好比在人体关键穴位植入微型探测器，实时掌握身体内部数据流通与机能运作。

以电商订单处理流程为例，用户下单后，订单信息在多个业务模块流转，从库存查询、价格计算到支付处理，安全切面技术能全程捕捉数据动态，清晰呈现数据在各环节的加工、传递过程，为后续精准分类分级筑牢根基。

数据全链路跟踪日志宛如数据的 “成长档案”，详实记录数据在各环节的关键信息，涵盖数据库表和字段、API 请求与响应参数、页面数据等核心要素。

基于跟踪日志，可剖析出数据间的血缘关系。就像追溯家族族谱，能知晓数据库表字段如何通过 API 接口传递，成为页面展示数据，或反向追踪页面操作数据如何经层层处理存入数据库。

以社交媒体点赞功能为例，用户点赞操作生成的数据，经前端页面收集，通过 API 传至后端，最终存入数据库相关表字段，数据血缘分析能将这一路径完整还原，为数据分类分级提供清晰脉络

静态的数据库数据分类分级标签，借助血缘关系，能自动传递至 API 请求参数、响应参数以及页面数据上。这恰似家族姓氏传承，数据库作为 “家族源头”，其数据标签依血缘流淌至数据流转各处。

如企业客户关系管理系统（CRM）中，客户核心数据在数据库有 “高敏感” 标签，当业务系统调用该数据用于客户详情展示时，通过数据血缘关联，对应页面展示数据、API 传输数据也自动继承 “高敏感” 标签，确保全链路数据防护精准一致，极大减轻人工标注负担，提升效率与准确性。

Gartner在2021年提出数据安全平台（Data Security Platform）,经过这几年的持续实践，业界已经形成初步共识：DSP将数据安全控制与业务逻辑和细粒度授权相结合，并提供跨数据孤岛的数据发现、策略定义和策略执行功能，这些执行功能包括格式保留加密，标记化和动态脱敏，且可以通过连接器、自主性代理（Agent）、透传性代理（Proxy）以及应用程序接口（API）来提供 。

当然，Gartner提出的DSP，包括了结构化和非结构化数据的安全管控。

但我讲的主要还是在业务系统场景，针对结构化数据，基于数据不同安全级别，综合施策，多管齐下。

对接业务系统数据库，读取数据库库表字段等元数据，形成企业的数据资产目录。采用正则表达式、关键字以及AI大模型识别数据，并自动进行分类分级，打上分类分级标签。由此形成企业敏感数据清单，数据分级清单等。

基于数据安全级别，重点聚焦敏感数据、重要数据使用情况。搭建实时监测系统，对数据访问、修改、下载等操作全程记录，遇异常行为，如非工作时段大量下载敏感数据、异地陌生 IP 频繁访问关键数据，立即触发警报，详细审计追踪操作轨迹，锁定风险源头，及时阻断数据泄露风险。

全面跟踪企业数据用户访问数据实情，持续统计、分析、汇总，得出精准数据访问事实。依据合规要求与业务需求，遵循最小权限原则，重新审视企业内部访问权限分配。像大型企业部门繁杂，员工因岗位调动或新项目参与，可能权限冗余或不足，定期梳理，清理过期权限，按需精准赋权，既能保障业务顺畅，又能降低数据泄露风险。

依据数据安全级别，结合业务系统各类角色履职需求，依最小权限原则重新评估角色数据权限，进而重新部署数据访问策略。这是对原应用系统基于功能和菜单权限的有力补充。

如金融机构客服人员，处理日常咨询只需查看客户基本信息，涉及财务敏感数据在web页面上应脱敏展示，确保员工按需获取数据，又防止过度暴露，降低数据误用、泄露风险。

运用先进加密技术，让数据在数据库以密文存储，业务系统无需更改代码，借助密文检索等技术，数据从数据库取出瞬间，无缝解密成明文供业务系统处理。

这就像给数据披上隐形加密斗篷，存储时密不透风，使用时自动显形，对业务系统 “零负担”，确保数据在 “静”“动” 转换间全程加密，有效抵御外部窃取与内部泄露风险。

依照专家精心制定的规则，对用户数据使用行为深度剖析，识别潜在风险。通过机器学习算法学习用户正常操作模式，一旦出现偏离，如研发人员突然批量查询非本职项目敏感数据，系统即刻察觉异常，综合分析多维度因素，判断风险等级，适时预警干预，将风险扼杀在萌芽。

技术手段虽是数据安全防护的自动化利器，但要充分发挥效能，离不开安全组织、安全制度和安全运营协同支撑，三者构成稳固三脚架，确保数据安全体系平稳长效运行。

配套机制就不展开讲了，后续的文章再专门讲这个主题。

企业的数据管理部门一般都承担企业数据治理和数据安全的管理职责，自身掌管着大数据分析相关的应用系统。大数据应用平台是业务侧基于分级安全管控落地的首要业务场景。要想在企业内部推行基于数据分级的管控体系，先拿自己的数据管理部门开刀，主动对自己的数据使用行为进行严格管控，树立榜样，才能让其他部门信服，后续推行方能顺风顺水。

不能一味追求安全功能不考虑应用系统的计算和存储资源需求。比如，为海量数据加密，虽安全升级，但加密、解密消耗大量计算资源，系统响应延迟，用户体验大打折扣。企业得在安全与性能间权衡，依据数据重要性、风险等级，对关键敏感数据强加密，非关键数据适度防护，确保安全防护不拖业务后腿。

读到此处，你或许对文中观点、技术方案心存疑虑，这很正常，毕竟数据分级管控落地是复杂难题。

在数据安全防护领域，北京夏日旭升科技推出的如影 A_DSP 应用数据安全平台崭露头角，为解决基于数据分级管控的诸多难题提供了有效方案。

不相信？！可以来试一试！