不知道哪些是敏感数据？分级分类 + 数据地图帮你把家底摸清

摘要：

数据防泄密的第一步，是搞清楚敏感数据有哪些、散落在哪里。本文结合腾讯 iOA 零信任安全管理系统的敏感数据保护能力，介绍如何用分级分类识别与数据地图摸清数据家底并可视化呈现，为后续外发管控与泄密溯源打下基础。

一、数据防泄密，难在"看不见"

很多企业在做数据防泄密时，第一反应是"堵住出口"——限制 U 盘、封禁网盘、拦截邮件附件。但真正落地后常发现效果有限：该泄露的数据照样泄露，而安全团队甚至说不清到底是哪些数据、被谁、通过什么通道发出去的。

根源在于一个前置问题没有被解决：企业并不清楚自己手里到底有哪些敏感数据。客户信息、研发代码、财务财报、合同扫描件、员工薪酬数据……这些高价值资产可能分散在员工的办公终端、共享盘、邮件系统和各类协作工具里。如果不先把数据资产盘点清楚，后续的分级管控、外发拦截、泄密溯源就都成了无的放矢。

对安全负责人而言，"摸清家底"这一步看似基础，却往往最耗时。靠人工一台台终端去翻查，既不可行也容易出错。更现实的做法，是借助具备数据资产识别能力的终端安全平台，让系统自动完成敏感数据的发现、分类与定位。腾讯 iOA 零信任安全管理系统（以下简称腾讯 iOA）的数据安全防护模块，正是围绕"先盘点、再分级、后管控"的思路来设计的。

二、敏感数据分级分类：先给数据贴上标签

分级分类是数据治理的通用起点，也是防泄密策略能否精准的前提。腾讯 iOA 在敏感数据识别上提供了两层能力：一是开箱即用的内置识别规则，二是可按需扩展的自定义分级分类。

2.1 内置丰富识别规则库，快速完成初筛

腾讯 iOA 内置了丰富的企业常见敏感数据识别规则库，覆盖企业在日常经营中高频遇到的敏感信息类型，例如个人身份信息、联系方式、银行卡与财务数据、企业证照与合同文本等。管理员无需从零编写规则，即可对终端上的文件进行初步的敏感内容扫描与识别，快速获得一份"哪些文件可能包含敏感信息"的清单。

这一步的价值在于把"凭感觉判断"变成"按规则命中"。过去安全团队只能抽查个别终端、抽查个别文件，覆盖面有限；有了内置规则库后，可以在较大范围内对终端文件做一致性扫描，把潜藏的敏感数据先捞出来，避免遗漏。

2.2 自定义分级分类，匹配企业自身标准

不同行业、不同规模的企业，对"什么是敏感数据"的界定并不相同。金融、医疗、研发类企业对数据敏感度的划分标准，往往比一般贸易企业更细、更严。腾讯 iOA 支持自定义敏感数据分级分类识别，企业可以结合自身的合规要求和业务特点，定义属于自己的分级分类规则，例如将数据划分为"核心机密""内部公开""外部可公开"等级别，并对应不同的识别关键词、正则表达式或文件特征。

通过内置规则库与自定义规则的结合，企业能够逐步建立起一套贴合自身实际的敏感数据识别体系，让分级分类结果既覆盖通用场景，又能体现行业与企业的个性化要求。

三、数据地图：把散落的数据资产画出来

分级分类解决的是"数据属于哪一类"的问题，而"数据具体分布在哪些终端、哪些目录、哪些人手里"，则需要靠数据地图来回答。

3.1 敏感数据分布统计，掌握资产全貌

腾讯 iOA 提供敏感数据分布统计能力，可以基于识别结果，从多个维度对敏感数据进行汇总统计。安全管理员能够看到敏感数据在组织内不同部门、不同终端、不同存储位置上的分布情况，从而对数据资产的总量、结构和流向形成整体认知。

相比零散的告警列表，分布统计给出的是一张"全景图"。它帮助安全团队回答几个关键问题：敏感数据主要集中在哪些部门？哪些终端存储了大量高敏感文件？是否存在敏感数据异常集中在某台终端或某个账号下的情况？这些信息是后续精准管控和风险研判的基础。

3.2 数据地图让"家底"可视化、可追溯

在分布统计的基础上，腾讯 iOA 的数据地图进一步把敏感数据的分布以可视化的方式呈现出来。管理员可以通过数据地图直观地查看敏感数据在各终端、各目录之间的分布与流转，把原本分散、隐蔽的数据资产以清晰的图谱形式展现，真正做到"家底一目了然"。

数据地图的意义不只是"好看"，更在于它为安全运营提供了可追溯的线索。当某份敏感数据出现异常外发时，运营人员可以借助数据地图快速回溯这份数据的来源、曾经流转过哪些终端、涉及哪些人员，为后续的取证和处置提供方向。

四、摸清家底之后：分级分类如何联动管控

盘点和可视化是手段，最终目的是让分级分类的结果真正服务于管控。腾讯 iOA 的敏感数据保护能力并不是孤立的，而是能够与外发审计、拦截和文件鉴定等环节联动，形成闭环。

4.1 文件鉴定：对可疑文件做精准识别

在数据外发的实际场景中，并非所有文件都能靠文件名或简单规则判断是否敏感。腾讯 iOA 的文件鉴定能力可以对被拦截或告警的文件做进一步的内容识别与鉴定，结合分级分类规则判断其敏感等级，减少误报和漏报，让安全团队把精力集中在真正高风险的外发行为上。

4.2 与外发审计、拦截联动，形成管控闭环

分级分类识别出的敏感数据，可以进一步与文件外发行为审计、文件外发告警拦截等能力联动。当系统识别到某份被标记为高敏感的文件尝试通过邮件、即时通讯、网盘等通道外发时，可依据预设策略进行告警或拦截，并记录完整的外发行为日志，供事后审计。

同时，事件聚合规则可以把分散的单个外发动作聚合成有意义的安全事件，降低告警噪声；通道白名单则允许企业将经过审批的合规外发通道加入白名单，避免"一刀切"拦截影响正常业务。通过敏感资源访问控制，企业还能对特定敏感数据的访问权限做精细化约束。这些能力共同作用，让"分级分类"从一份静态的标签清单，升级为动态的、可持续的数据防泄密管控体系。

五、从一次盘点到持续运营

数据防泄密不是一次性的项目，敏感数据的分布也会随着业务推进不断变化。因此，摸清家底之后更需要建立持续的运营机制：随着新业务上线、新数据类型出现，定期复核分级结果是否仍然贴近实际；随着人员与终端变动，及时跟踪数据资产的分布变化；同时对持续产生的外发风险保持审计与处置的常态运转，让分级分类的成果长期发挥作用，而不是盘点一次就束之高阁。

对于希望先验证效果的企业，腾讯 iOA 提供了 10G 的免费数据存储空间用于数据安全防护功能测试，该空间用于存储审计日志中的敏感文件和取证截图，便于企业在正式采购前完成功能验证与选型评估。

六、结语

数据防泄密的关键，往往不在"堵"，而在"知"——先搞清楚敏感数据有哪些、在哪里、属于什么级别，后续的分级管控、外发拦截和泄密溯源才有据可依。分级分类与数据地图的价值，正是把"看不见、说不清"的家底变成清晰、可追溯的数据资产视图，让防泄密体系真正建在扎实的地基之上。

如果你也在为"不知道哪些是敏感数据"而头疼，不妨从一次系统化的数据资产盘点开始。了解更多腾讯 iOA 零信任安全管理系统的敏感数据保护能力，可访问 腾讯 iOA 产品主页。