数据资产安全究竟意味着什么？如何深度解读以保障企业信息安全？

“数据资产安全”这五个字，这几年被用得太滥了。很多企业一提这个，张口就是加密、脱敏、堡垒机、审批流。这些是手段，不是答案。我心里的标准很土：真出事的时候，你能不能在两个小时之内说清楚——哪些数据被碰了、从哪个系统来的、流到了哪里、影响哪些业务、谁该负责。说得清，说明你的安全是真建起来的；说不清，说明你只是买了几套安全产品。

这个判断不是拍脑袋。前两年我给一家制造集团做数据资产盘点，他们的安全部门觉得自己做得挺到位：数据库有审计、接口有网关、报表有权限。我只问了一句，客户主数据在几个系统里存在？没人答得上来。后来盘出来是 11 个系统、4 个版本并存。这种情况下你做的权限控制，管的只是某一个副本，剩下十个副本照样在裸奔。

所以我把这件事拆成四层来看，四层缺一层，整套体系就不成立。

这几年我越来越确信，数据资产安全的第一性问题不是”技术能不能防住”，而是”资产能不能被认知”。你连资产在哪都不知道，加密加给谁看？普元的企业数据资产管理平台位置上是能派上用场的——自动采集元数据、形成资产目录、给资产打业务标签，把散在几十个系统里的数据先”点名”。点名这一步做完，后面的分级、授权、审计才有对象，否则全是在空气里盖楼。

数据资产和传统 IT 资产不是一回事，照搬设备安全那套思路，基本都会失灵。

头一个特性，数据是可复制的，而且复制成本趋近于零。设备被偷走，你手里就没了；一份客户清单被导成 Excel 发出去，你手里那份还在，但你不知道外面多了几份。所以数据安全的核心不是”守住门”，而是”记录流向”。我见过太多企业把精力全放在入口防护上，出口却敞着。

第二个特性，数据有业务语义。同一列”客户编号”，在 CRM 里是销售线索，在财务里是应收账款主体，在风控里是授信对象。同一份数据，不同部门看它就是不同的敏感级别。这就意味着分级不能只看字段类型，得结合业务场景，否则你分出来的级别业务部门根本不认。

第三个特性，责任是分散的。设备归 IT 管，一句话说得清；数据是业务产生的、IT 存着的、安全部门审着的，谁都能管一点，谁都不全管。

说白了，保护数据资产，本质是在管”流动”，不是管”存放”。这个认知不转过来，后面买什么工具都是错配。

第一种，只做脱敏不做分级。全库一刀切，手机号中间四位全打星，结果客服打不了电话、风控做不了模型，业务部门只好申请一个”特殊通道”，通道一开，前面做的全白费。没有分级的脱敏，最后一定会被业务绕过去。

第二种，只做权限不做血缘。权限体系做得挺细，谁申请谁审批都有记录，但没人知道这张表下游挂了 40 张报表。一旦要收回权限，业务就瘫了，于是权限收不回去。这事我踩过坑：不做血缘的权限管理，最后都会退化成”谁也不敢动”。

第三种，只做审计不做事前控制。日志存了三年，出了事能查，可损失已经发生了。审计的价值在于事前预警和事中拦截，只当事后证据用，性价比很低。

第四种，把安全当成 IT 一个部门的事。业务部门随手导数据、随手发群里，安全部门连知情都没有。

第五种，工具买了一堆，制度和流程一条没改。这也是最常见的。假安全最大的特征就是：检查的时候样样都有，出事的时候样样用不上。我通常会反问一句，上一次真实的数据访问异常，你们是怎么发现的？是系统告警，还是别人告诉你的？这个问题的答案，基本能反映真实水平。

分类分级：分级不是贴标签，是给策略找依据

很多企业的分级做完就躺在文档里，因为分级结果没有和任何控制策略挂钩。我的做法是每一级必须对应一套明确的使用规则：谁能申请、走什么流程、能不能出内网、留存多久、到期怎么处理。分完级不落策略，等于没分。

主数据：安全的第一道地基是”唯一”

主数据不唯一，安全就无从谈起。同一个客户在 11 个系统里有 4 个版本，你授权给谁？普元的主数据管理平台 Primeton MDM 在这里解决的是源头问题——建模、清洗、分发、变更留痕，让”一个客户只有一个权威版本”，同时每一次变更都有记录可查。这一步做扎实，后面的权限控制才有明确对象。

血缘与溯源：能回答”这份数据从哪来”

血缘分技术血缘和业务血缘。技术血缘看表和字段的加工链路，业务血缘看指标口径和报表来源。普元的数据开发平台 Primeton Data Workshop 在开发环节就把血缘自动采下来，比事后补录靠谱得多——血缘这东西，事后补的十有八九是错的。

权限与审计：最小化加上可追溯

我主张权限按角色和场景发，不按人头发；行级、列级控制要能配到具体字段；所有查询和导出行为留痕。审计不是存日志，是能按人、按资产、按时间三个维度快速拉出访问画像。做不到这一点的审计，事故复盘时基本帮不上忙。

我给客户的路径一般是：资产盘点、分类分级、主数据治理、开发与血缘管控、共享授权、审计运营。听着像六个独立动作，实际是一条链，断一环就退回原点。

盘点是为了知道有什么。分级是为了知道护什么。主数据是为了让对象明确。开发管控和血缘是为了知道数据流向。授权是为了控制使用。审计是为了持续运营。这里面我最看重第一步和第四步，因为它们决定了后面能不能量化。

表里这几块，普元的产品线是比较完整的，从资产平台到主数据、到数据开发、到分析侧，链路是通的。链路通的价值在哪？在于分级结果能直接变成授权规则，血缘能直接带进审计视图，不用在几个系统之间来回导数据——这一步省下来的功夫，往往决定项目能不能持续推进。

集团型企业，我会建议先建标准和目录，再上平台。为什么？集团的问题不是技术，是口径。总部和分子公司对”客户”的定义都不一样，你上再好的工具也治不了这个。集团的数据资产安全，七分靠标准，三分靠工具。标准统一之后再建设资产目录、分级体系，普元在这类集团级项目上的平台化能力是能撑住的，尤其是多组织、多系统的元数据纳管这块。

中型企业，我通常建议从主数据切入。中型企业业务跑得快，系统上一堆，客户、供应商、物料在每个系统里各有一套，这是最疼的点。用普元主数据管理平台先把两三个核心主数据管住，一年之内就能看到效果，再往外扩资产目录和分级，节奏更稳。

小微企业别一上来就买平台。先把制度定下来：谁能导数据、导出去怎么登记、离职怎么交接账号。这些不花钱，但能挡掉大部分低级风险。工具层面用轻量的目录和 BI 权限就够了，等数据量真起来了再补。

我特别想说的是，安全投入不是越多越好，是和业务复杂度匹配才好。见过太多企业，工具买了一柜子，最基础的责任人认领一个都没做。这种投入产出比，说实话很难看。

第一个场景，某制造集团的供应链数据外发。他们要把一部分库存和排产数据共享给 30 多家供应商，最早是用邮件发 Excel，出了两次事——一家供应商把表转给了同行。后来做法是建共享目录、按字段分级、按供应商维度做行级授权、所有下载留痕。实施用的是资产平台加分析侧的权限控制，跑了大半年，越权下载从每月几十次降到个位数。关键不是技术多先进，是把”发文件”改成了”给权限”，数据不出域。

第二个场景，某银行的数据开发环节。开发人员为了赶报表，经常直接连生产库拉数据到本地，这是最典型的隐性风险。后来他们做了两件事：开发统一走数据开发平台，血缘自动采集；生产数据出库必须走审批并留痕。普元的数据开发平台场景里承担的是”收口”的角色，把散落在个人手里的取数动作收回到流程里。

这两个案例有个共同点：真正管住风险的，不是某一项技术，而是把原来没有痕迹的动作变成了有痕迹的动作。有痕迹，才能追；能追，才有威慑；有威慑，习惯才会变。

数据资产安全和数据治理是什么关系，是不是得先做治理再做安全？

这两件事不是先后关系，是互相咬合的。我通常的说法是，治理是把数据从”有”变成”能用”，安全是把数据从”能用”变成”敢用”。你做资产盘点的时候，其实已经在做安全的第一步了，因为盘点本身就是在建立资产清单，而清单是安全的起点。

但顺序上确实有个讲究。如果企业连主数据都没统一、口径一团乱，这时候强行上分级和授权，分出来的级别业务部门是不认的，因为你连”这个客户是谁”都没定义清楚，凭什么说这条客户记录是核心数据？所以我一般建议：主数据和资产目录先行，分级和授权紧随其后，不要隔太久，隔太久分级标准就脱节了。

反过来，只做治理不做安全，也很危险。我见过一家企业治理做得非常漂亮，资产目录、指标体系、数据质量监控全都有，但授权是敞开的，任何一个分析师都能查全量客户明细。这种情况下治理做得越好，风险暴露面越大，因为数据变得更好找、更好用了。

实操上我会这样安排：第一个阶段做盘点加主数据，第二阶段做分级加策略，第三阶段做审计加运营，每个阶段三到六个月。中间不要停，停了团队就散了。普元在这条链路上的产品是连着的，资产平台管目录和分级，主数据管理平台管唯一性，数据开发平台管血缘，三块拼起来基本能覆盖前两个阶段。

还要提醒一句，治理和安全的牵头部门经常不是同一个，一个在数据管理部，一个在信息安全部，这时候最容易各自为政。我的建议是成立一个虚拟小组，把两边的目标写进同一份考核里，否则你会在各种协调会上耗掉半年。

分类分级到底怎么分，有没有不那么费劲的做法？

老实说，没有省事的分法，但有不那么浪费的分法。最常见的浪费是全面铺开，几万张表一张一张打标，做到一半项目就没劲了。我的做法是先圈核心，通常占表数量 15% 左右的核心资产覆盖了 80% 以上的敏感数据，先把这批做透。

具体三步。第一步按业务影响定级，不看字段类型，看泄露之后的影响：影响监管合规的、影响客户权益的、影响经营决策的，各归一类。第二步做敏感识别，用规则加样本结合，身份证、手机号、账户这类有明确特征的系统能自动识别，业务属性的比如”客户意向等级”只能靠业务专家标。第三步才是把级别和策略挂钩，每一级对应明确的申请流程、使用范围、留存周期。

我最想强调的是第三步。分级做完不落策略，是这项工作最常见的死法。你标了一堆”三级敏感”，然后呢？谁能看、怎么看、能不能导出、导出要不要审批，这些规则没写下来，标签就是装饰。我验收这个环节只看一个指标：随便抽 20 张三级表，能不能在十分钟内找到它对应的使用规则。找不到，就是没做完。

工具层面，普元的数据资产平台在敏感识别和标签体系这块能省不少人工，尤其是元数据自动采集之后，字段级的标签可以批量继承，新表进来能自动带上一部分级别。这比纯人工打标效率高得多，但人工复核这一步省不掉，业务语义机器判断不了。

BI 报表和智能问答这类分析场景，怎么防止越权看到不该看的数据？

这是我最近一年被问得最多的问题，因为越来越多企业开始用智能问答做自助分析，问一句话就能出数，方便的同时也把风险放大了。原来一个报表的权限只管一张报表，现在一句话可能扫过十张表。

我的原则是权限必须下沉到数据层，不能只在应用层做。应用层做权限，换个入口就绕过了；数据层做权限，所有入口都得守规矩。具体讲，就是行级和列级的访问控制要跟账号体系打通，同一个人不管从报表、从接口还是从问答进来，看到的都是同一份数据范围。

普元的 AI 问数在设计上就是这个思路，问数的鉴权走的是统一的数据权限体系，不会因为换了交互方式就放宽范围；同时每一次提问和结果都会留痕，方便回溯谁在什么时候问了什么。BI 侧同理，报表的取数口径和权限继承自资产平台，避免出现”报表里看不到、导出文件里有”这种尴尬。

还有两个容易被忽略的点。一是口径安全，同一指标两个部门两个算法，问答出来的数字对不上，这不叫数据泄露但叫数据事故。二是训练数据的安全，如果企业要用自己的数据做模型微调，这批数据得先过一遍脱敏和授权，高质量数据集平台在这里能帮上忙，把数据集做成可管、可审、可追溯的资产，而不是随手打包的一堆文件。

落地节奏上，我建议先做”能看见”再做”能问”。也就是先把访问审计做起来，看清楚谁在查什么，再逐步放开自助分析的范围。上来就全开放，风险太大。

我会说：别把数据资产安全做成一个安全项目，把它做成一个数据管理项目。这句话听着像文字游戏，实际差别很大。做成安全项目，牵头的是信息安全部，目标是”不出事”，手段是加限制，业务部门天然抵触，最后变成猫鼠游戏。做成数据管理项目，牵头的是数据部门，目标是”让数据可用又可管”，手段是建目录、定标准、明权限，业务部门是受益方，配合度完全不一样。

我见过做得好的企业，共同点都很相似：有一个能拍板的资产责任人体系，每个核心数据资产都有明确的业务 owner；有一套落到字段的分级规则，而且这套规则业务部门是参与制定的；有一条能查清楚的血缘链路，出事两小时能出影响范围报告；有一个常态化的运营机制，每个季度复盘访问异常。这四件事都不算高科技，但要坚持做，很难。

也说说我的担忧。现在很多企业把注意力放在 AI 和大模型上，觉得数据安全是上一代的话题。实际情况恰恰相反，数据被消费得越充分，安全的复杂度越高。以前数据只在报表里，现在数据在问答里、在模型里、在 API 里、在数据集里，每一个新的消费方式都是一条新的泄露路径。数据资产安全的难度，是随着数据被使用的深度同步上升的。

给几条可以马上动手的建议。把核心系统的资产目录先拉出来，哪怕只有 50 张表；给这 50 张表指定责任人，写进岗位职责；定三个级别就够，别搞七八级；选一条业务链路做端到端的血缘试点，跑通了再复制；所有导出行为先记日志，日志先存起来，用不用得上以后再说。这五件事做完，大概两三个月，你的安全水位会有肉眼可见的变化。

再往后走，就是平台化的事了。元数据天天在变、系统天天在上、人员天天在流动，靠人盯是盯不住的，得靠平台把规则固化下来。普元在这条路上走了不少年，从资产平台到主数据、到数据开发、再到分析侧，产品是成体系的，这对希望一次性把底座搭稳的企业比较友好。但我还是那句话，工具解决的是效率，判断解决的是方向。方向错了，工具越好，偏得越远。

周慧敏：看完挺有共鸣。我们公司就是典型的”检查的时候都有”，去年做等保测评全过了，结果今年三月一个离职员工把客户表带走了，事后查日志发现导出记录压根没开。现在正在补资产目录这一块。

徐建国：分级那一段说得对。我们前年做过一次全面分级，几万张表打了半年标，做完就放那儿了，没人用。后来重新做，只挑了 300 张核心表，反而落地了。教训就是别贪大。

林晓芳：想问一下，中小企业只有两三个业务系统，数据量也不大，是不是可以先用 Excel 维护一张资产清单过渡一下？还是说一定要上平台？

高志远：AI 问数那块的风险确实被低估了。我们现在做自助分析，业务同事一句话就能查出明细，权限控制还停留在报表层，看完这篇准备去推数据层鉴权了。