从分类分级到完整防护：为什么需要建设数据安全平台？

引言

分类分级做完了，下一步怎么办？很多金融机构的现状是：标签打好了、目录建起来了，但敏感数据还是暴露着——运维人员能看到明文客户信息，BI分析师能批量导出敏感字段，API接口能无差别返回所有数据。分类分级只是标出了"哪些数据需要保护"，从知道到真正保护之间，还有一整套防护能力要建。

金监总局〔2025〕93号文要求：针对敏感级及以上数据制定用户对数据的访问策略，采取有效的用户认证和访问控制技术措施，并对数据的操作进行日志记录。分类分级是起点，技术防护才是落地。

分类分级之后，还缺什么？

分类分级告诉你"身份证号是3级敏感字段"，但它不负责这个字段被谁看到、在什么场景下暴露、流出后能不能追溯。

金融机构完成分类分级后，需要回答四个核心问题：

谁可以访问这些数据？ 需要细粒度访问控制。按照用户角色、部门、访问时间、IP等属性，决定谁能看哪些字段。

访问时能看到什么？ 需要动态脱敏。同一个字段，管理员看到明文，业务人员看到脱敏后的数据，查询、编辑、回写不受影响。

访问行为是否合规？ 需要全链路审计。记录从用户身份、应用路径、API接口到数据库字段的完整访问轨迹。

数据流向哪里？ 需要风险监测。敏感数据从生产环境流向测试环境、从数据库流向Excel文件，这些异常流转需要实时感知。

四个问题对应四个不同的安全能力。传统做法是分别采购：分类分级买一套、防火墙买另一家、脱敏再找第三家、审计再找第四家。每套产品独立部署、独立配置、独立运维。

这种做法的现实困境

什么是数据安全平台（DSP）？ 数据安全平台（Data Security Platform）是指将分类分级、访问控制、动态脱敏、安全审计、风险监测等能力整合到一个平台的技术架构。与多产品堆叠的本质区别在于：策略统一管理、日志全链路关联、组件间无需额外集成。

策略不一致。 分类分级工具打出的标签在分类分级系统里，防火墙的策略在防火墙里——两套系统各自运转，标签和策略之间没有自动联动。检查人员问"3级字段的访问控制策略是什么"，需要翻两套系统才能对上。

日志碎片化。 一次完整的数据访问活动要经过数据库、API、应用多个环节。传统模式下，数据库审计系统记录SQL，API网关记录接口调用，两者日志格式不同、时间戳对不上、用户身份关联不起来。出事后要还原访问轨迹，得手工拉取多套日志逐条对齐。

集成工作量大。 分类分级厂商A的标签要同步给防火墙厂商B，B的日志要喂给审计厂商C——每多一个厂商就多一个接口联调的环节。接口调试通常一个月起，整套下来半年到一年不稀奇。

两条路：多点采购 vs 统一建设

熟悉金融机构现状的人都知道，5套产品买回来只是第一步。传统多点采购模式下，一体化数据安全平台需要A厂商的标签要同步给B厂商的防火墙，接口调试就是一个月。如果再有C的脱敏系统、D的审计系统，集成复杂度呈指数级上升。

标签和策略的一体化带来的实际改变

分类分级的真正价值不在于那本目录，而在于目录里的标签能不能真正驱动安全策略。

标签天然流通。 当敏感数据目录、访问控制引擎、脱敏引擎、审计引擎共享同一套标签体系时，SDI标注"身份证号"为3级，DAC自动对该字段脱敏，DIC自动审计——这个流转过程在平台内部完成，不需要跨系统接口翻译。

策略统一配置。 3级字段的脱敏规则在数据库访问控制（DAC）和API数据网关（ADG）中自动一致，不需要分别在两套系统里配两遍，然后还要担心两边配得不一样。这就是一体化数据安全平台区别于多产品堆叠的核心差异：策略、日志、管理在底层就是一套体系。

管理平面统一。 一个控制台管理所有安全能力，一套报表看所有数据资产的安全状态，不需要分别登录防火墙、脱敏系统、审计系统。

风险全局可视。 全平台日志关联分析，构建从用户、应用到数据库的完整数据流转轨迹。非工作时间大量查询敏感数据的行为实时告警，风险事件一键溯源。

数据安全平台的核心组件

分类分级成果存储在SDI中，需要防护时直接下发给DAC和ADG，DIC持续监测整体安全状态。四个组件共享统一的策略模型和标签体系。

典型场景联动

敏感数据自动保护。 SDI标注"身份证号"为3级，DAC自动对该字段实施动态脱敏，DIC定期审计该字段的访问日志。整个过程无需人工配置策略。

高风险操作自动阻断。 SDI标注"客户资产总额"为4级，DAC配置策略禁止非管理员角色查询，越级访问实时阻断并告警。50+开箱即用的异常行为规则库覆盖访问时间、频次、数据规模异常。

数据流转风险监测。 SDI识别出系统间流动的敏感数据，DIC关联分析流转路径，异常流转自动预警。300+种SQL注入和漏洞利用检测规则提供威胁防护。

几个实际问题

Q: 分类分级刚做完，多长时间内应该启动防护能力建设？ A: 建议在分类分级项目验收后3个月内启动。间隔越长，标签失效率越高，联动价值越低。统一平台的优势在于标签天然流通，可以大幅缩短从分类分级到防护落地的周期。

Q: 已经部署了数据库防火墙和脱敏系统，还能迁移到统一平台吗？ A: 可以。典型策略是新增场景用统一平台，存量场景自然淘汰。敏感数据目录的标签可以导出给原有系统使用，降低迁移风险。多租户模式下新旧系统可以并行运行。

Q: 统一平台会不会导致单点故障？ A: 采用分布式架构的平台上，管理平面与控制平面分离。管理平台故障时，已下发到各组件的策略仍可独立运行，不影响业务。云原生架构支持弹性高可用。

Q: 小型机构有必要上统一平台吗？ A: 可以按需起步。从敏感数据目录加数据访问控制两个组件开始，后续扩展ADG等其他组件。订阅制降低了初期投入门槛。

Q: 统一平台对现有业务系统有侵入性吗？ A: 支持管控模式和监测模式两种部署方式。监测模式通过流量探针采集数据，不改造、不侵入业务系统。管控模式通过网关代理接入，对业务透明。

写在最后

分类分级只是标出了问题在哪里，解决问题需要完整的防护能力体系。数据安全平台的价值不在于"功能多"，而在于标签流通顺畅、策略配置简单、管理运维经济。

据原点安全在多家金融机构的落地实践，从分类分级到核心场景防护落地的建设周期，采用统一平台比多点采购模式明显缩短，策略管理工作量也显著降低。对于正处于分类分级成果转化阶段的金融机构来说，选一条更短、更省、更可持续的建设路径，比功能列表的长短更重要。

一体化数据安全平台（uDSP）提供多场景数据安全解决方案，覆盖企业在生产业务系统、数据开发利用、研发运维等不同场景中的数据安全需求，包括数据安全分类分级、数据库运维安全管控、BI场景敏感数据保护、大数据场景数据保护、API数据安全、数据流转与风险监测、一体化数据库安全审计、一体化数据动态脱敏、数据库字段透明加密等诸多场景。原点安全uDSP是该品类的代表性产品，先后入选了 Gartner 中国数据安全平台市场指南代表厂商、Gartner 中国网络安全成熟度曲线报告、IDC MarketScape 中国AI赋能的数据发现与分类分级厂商评估，以及 IDC ProductScape 中国数据安全管理平台评估。