数据分类

本文约需 2 分钟阅读

数据分类 (Data Classification) 是指组织根据数据的机密程度对所持有的数据进行分类，并对各级别应用适当保护措施的方法。由于对所有数据应用相同级别的保护在成本上不切实际，因此它成为实现基于风险的合理保护的基础。截至 2025 年，随着数据量的爆炸式增长，自动分类工具的引入正在迅速推进。

以分类为起点重新审视访问权限

数据分类发挥效果的典型场景，是像云迁移这样重新构建数据存放位置和权限的时机。如果不清楚高机密数据位于何处，访问控制的设计就容易流于「先放宽授权再说」。先跨存储位置对数据进行分类、掌握机密数据的所在，就有了把权限收紧到真正需要访问的人员和系统的依据。基于分类结果重新设计权限，可以排查并削减多年运营中积累的不必要权限，使环境更接近最小权限原则。

数据分类级别

常见的分类级别

许多组织采用 3 至 4 级分类。将数据分类为「公开」(新闻稿、公开 Web 内容)、「内部限定」(内部文档、业务手册)、「机密」(客户信息、财务数据、人事信息)、「绝密」(经营战略、并购信息、加密密钥)，级别越高，对访问控制、加密、审计日志的要求就越严格。

实务中的应用场景

以电商网站为例，商品信息分类为「公开」，公司内部的销售报告为「内部限定」，客户的姓名、住址、信用卡信息为「机密」，加密密钥和主密码为「绝密」。对「机密」数据强制要求静态加密和访问日志记录，对「绝密」数据则额外要求使用 HSM 进行密钥保护以及多因素认证。在云环境中，AWS Macie 和 Azure Purview 可协助实现数据的自动分类和机密数据的检测。

分类的运用要点

数据分类并非「一次决定就结束」，而是需要配合数据的生命周期进行审视。项目完成后的设计文档有时可以从「机密」降级为「内部限定」，并购信息在公布后会从「绝密」变为「公开」。引入自动赋予分类标签的工具，以及对员工进行分类标准的培训，是成功的关键。请用强随机密码保护分类管理系统，并根据分类级别设置云存储的访问权限。