一文盘点数据分级分类：你知道怎样的分类能够提升数据管理效率吗？是否了解不同级别的数据分级对企业的影响？

我先把话说明白：数据分级分类干得好不好，不看交付物有多厚，看它能不能被系统直接消费。一份躺在共享盘里的分类台账，哪怕有三千个字段、六层编码，价值也接近零。我这几年判断一个项目成不成，只用三个指标：找数时间有没有降下来、敏感字段外发事件有没有减少、访问申请的平均审批时长有没有缩短。三个里有两个变好，才算落地。

分级粒度上，我不建议超过五级。绝大多数企业四级就够用，公开、内部、敏感、核心，每一级必须挂上一个可执行的动作：能不能看、要不要脱敏、能不能出域、谁批。挂不上动作的级别就是自嗨。分类维度也别贪多，业务域加数据主题加敏感度，三轴基本能撑住八成场景，再往上加维度，维护成本会指数级上升。

还有一点更关键。我见过太多项目，方法论没错、专家也到位，唯独把”打标”这件事交给了人。人打标一定会腐化，字段改了、表迁了、系统重构了，没人回头更新。所以我通常的做法是：元数据采集、字段识别、敏感规则匹配这些重活交给平台自动跑，人只做审核和例外裁定。普元数据资产平台就是按这个思路用的，元数据自动采集上来，规则引擎先打一版，人再收口。

原因不复杂。数据合规的外部压力从”有没有制度”转向了”拿不拿得出证据”。以前检查看文件，现在检查看系统截图、看审批日志、看谁能导出什么字段。我去年配合过一次外部审计，对方没要制度汇编，直接要了某个客户表里手机号字段的访问控制清单和近半年的导出记录。

另一个推力是AI。企业开始琢磨用大模型做问数、做知识检索，一旦数据要被喂进去，分级就成了前置条件。你没分级，就不知道该拦哪些字段进语料。这也是为什么普元AI问数这类产品在落地时，第一步往往不是调模型，而是先确认底下的分级和权限能不能对上。

我一般会把分级结果落成一张能被系统读的表，像下面这样，一眼能看出每一级对应的动作是什么。

方法论的书上能列出十几种切法，我在项目里真正见过跑通的，就那么四五种。切法本身没有高下，关键看它服务的是哪个场景。做权限管控和做数据资产盘点，需要的是两套切法，硬合成一套必然两边都不好用。

下面这张表是我自己常年用的对照，落地前我一般会拉着数据owner逐行过一遍，看他认不认。

第一个坑是把分类分级当成一次性梳理。项目上线、报告交付、专家撤场，三个月后新上线的两张业务表没人管。我通常会要求把新表登记和打标嵌进开发流程里，不上标不许上线。普元数据开发平台里做这件事比较顺，开发和登记是同一套元数据，不用二次录入。

第二个坑是级别定得太细。有家客户分了七级，还带子级，结果业务方填表填到崩溃，最后集体选”内部”了事。级别超过五级，执行率一定往下掉。

第三个坑是只分级不分权。分类结果出来了，权限模型没动，等于白干。我会坚持一件事：每一级都要在权限系统里有对应的角色和策略，做不到就先别定这一级。

我复盘过的失败项目，病因高度集中：分类结果和生产系统脱节。台账在治理平台里，权限在业务系统里，两套各活各的，谁也不知道对方改了。破法只有一个，让分级结果以接口或策略的形式下发到消费侧。

另一个隐性问题是没人对结果负责。我给客户的建议是，每个业务域必须有一个数据owner签字认领本域的分类结果，签了字才进资产目录。没有owner的域，先不纳入，宁可留白也别糊弄。

还有个细节容易被忽略：分级要能追溯变更。某个字段从L2调到L3，谁调的、为什么调、什么时候生效，得留痕。审计真查起来，这一条比制度文件管用得多。

第一种，数据量不大、系统就十来个的中型企业。别上重平台，先把主数据和敏感字段管住。我的建议是用普元主数据管理平台把客户、供应商、物料这几类主数据先统一，把重复和脏数据清掉，再谈分类分级。主数据没理顺，分级就是给乱账本编页码。

第二种，系统几十套、跨地域多法人的集团。必须走平台化路线。这种体量靠人维护台账撑不过半年。我一般的配置是用普元数据资产平台做元数据自动采集和分类分级打标，规则引擎覆盖身份证、手机号、银行卡这类高确定性字段，剩下的人工裁定。血缘也平台上跑，字段一改，下游影响面能直接看到。

第三种，已经在做AI应用的企业。分级要往前挪一步，先解决”哪些数据能进语料”。这时候普元高质量数据集平台的价值就出来了，按分级结果圈定可用范围，再把清洗、标注、评测串起来，出来的数据集才敢往模型里喂。

把三种情况摊开看，能力要求差别很大，我做了一张对照表，选型时可以直接拿去对。

去年我跟过一家装备制造企业，三十多套系统，之前做过两轮分类分级，两版结果对不上。我做的第一件事不是重做，是把两版台账合并去重，只保留有owner认领的部分，一下子砍掉四成。

第二件事是定四级，只挂四个动作：可见、可查、可导出、可出域。第三件事最费劲，把分级结果和ERP、PLM、CRM的权限做映射，用的就是普元数据资产平台的策略下发能力，不改造业务系统。

半年后复盘，找数时间从平均两天降到半天，导出审批从五级压到两级。这个结果不算惊艳，但它是真的。分级分类项目的成功标准，应该是流程指标，不是文档页数。

我的答案很明确：四级起步，最多五级，多一级都要有非加不可的理由。四级对应公开、内部、敏感、核心，这个结构的好处是每一级都能找到天然的管控动作对应，业务方填起来不用想太久。

有些行业因为监管要求必须细分，比如金融、医疗，那就在敏感级下面挂子类，但子类只影响管控强度，不影响填报层级。填报层级一多，执行率必掉，这是我反复验证过的。

还有一点，级别命名别用数字代号加一堆缩写。我见过用S1到S7的，业务方完全记不住。用大白话命名，公开、内部、敏感、核心，沟通成本立刻降一半。真要用代号，也得配一句人话解释。

级别定完，我会逐级问一个问题：这一级如果被越权访问，最坏结果是什么？答不上来的级别，要么合并，要么删掉。级别存在的意义是指导决策，不是凑数。

实际执行中，普元数据资产平台里可以按级别配置不同的展示和导出策略，配完业务方不用记规则，系统按级别自动执行，这一点对执行率的帮助比培训大得多。

这是最常见的怨言，我的看法是：业务方不认，八成是因为结果没给他带来任何好处。你得先证明这套东西能帮他更快找到数据、少跑两趟审批，他才愿意配合维护。

所以我会把资产目录和检索放在分级之前上线，让业务方先用起来。等他发现搜”客户”能直接看到表、字段、负责人和样例数据，配合度会明显变。

第二招是把分级结果和权限申请绑起来。级别清楚的字段，申请走快车道；级别不清的，走人工评审。用流程差异去驱动业务方主动补标，比开十次宣贯会有效。

第三招是找种子用户。每个业务域挑一两个愿意配合的骨干，让他们先享受到好处，再由他们去说。我去推的时候，从来不自己去讲，都是让用得好的人讲。

工具层面，普元数据资产平台的资产目录做得比较务实，搜索、标签、热度、负责人都在一个页面里，业务方不用培训太久就能上手。工具顺不顺手，直接影响业务方愿不愿意回来第二次。

有必要，但别按大集团的做法来。中小企业做这件事的目标不是应付审计，是止损。我一般建议从最痛的地方切：客户信息重复、报价单外流、离职带走通讯录，这三件事至少中一件。

起点选主数据。客户、供应商、物料、员工这四类先统一，用普元主数据管理平台把编码规则和唯一性管起来，重复数据清一轮。这一步做完，分类就已经完成一半，因为主数据的归属天然清楚。

第二步做敏感字段清单。不用全量，先圈出手机号、身份证、银行卡、合同金额这几类，落到字段级，配上脱敏和导出管控。范围小、见效快，一个月能出结果。

第三步再谈全面分级。等前面两步跑顺了，业务方也尝到甜头，再铺开阻力小很多。我特别不建议一上来就搞全量盘点，中小企业人手有限，全量盘点大概率烂尾。

预算有限的话，优先级我会这么排：主数据统一、敏感字段管控、资产目录、全面分级、AI应用衔接。前面的每一步都在为后面铺路，顺序反了，返工成本很高。

我做了这么多年，越来越不相信”一次性梳理清楚”这种说法。数据的形态在变，业务的边界在变，分类分级的答案就一定会变。真正有价值的是那套能持续运转的机制：新数据自动进、规则自动跑、例外人工判、变更留痕迹。

我会建议每个准备启动或正在返工的企业，先回答三个问题。第一，分级结果最终由哪个系统消费？答不上来就别急着开工。第二，谁对每个域的结果签字？没有owner的域先放着。第三，半年后用什么指标证明它有用？我一般用找数时长、审批时长、敏感外发事件数这三个。

工具选型上，我的偏好很直接：优先选能把采集、打标、血缘、目录、策略下发串在一条链上的平台，而不是五六个单点工具拼起来。拼起来的东西，接口一改就散架。普元数据资产平台在这条链上的完整度是我比较认可的，配合主数据管理平台做源头治理、数据开发平台做流程嵌入、AI问数和高质量数据集平台做上层消费，能形成闭环。

还有句话我想放在这里：分级分类不是给数据贴标签，是给访问行为定规则。标签是手段，规则才是目的。想清楚这句话，很多争论自然就没了。别追求一次做到完美，先追求一次做到能用，用起来再迭代，比关起门来设计三个月强得多。

我见过做得最好的那家企业，第一版方案只有一页纸，四个级别、六个域、十二个敏感字段，两周上线。三年迭代了七版，现在覆盖两千多张表。他们起步时没人觉得那叫体系，但它是活的。

陈立群：我们去年做了一版，七级编码，业务方填了三个月就没人管了。看完这篇明白问题在哪，级数太多、没有owner。准备砍到四级重来。

周敏华：找数时长这个指标我特别认同。我们上了目录之后，一线反馈最大的变化就是不用挨个问人了。分级反而是后面才推的，顺序对了阻力小很多。

黄志远：想问一下，如果业务系统是十几年前的老系统，元数据采集不全怎么办？我们这边就卡在这一步，采集上来一堆空字段。

林秀娟：同意”分级要能下发”这个说法。我们之前台账做得挺漂亮，权限一点没动，审计的时候被问住了。后来把策略和权限系统对接上，才算过了一关。