文章总结： 本文系统阐述数据资产盘点的实战方法论，指出盘点已从自觉行为变为政策规定动作，需覆盖结构化、非结构化、流动中及影子数据四类资产。提出自上而下与自下而上对撞的盘点路线，介绍元数据扫描、流量分析、权限采集三路采集原理，交付六组字段的数据资产台账，并重点剖析影子数据十个高发位置及持续压缩机制，强调盘点成果可复用于分类分级、防护部署、重要数据识别申报及资产入表。 综合评分： 88 文章分类： 数据安全,安全建设,解决方案

数据资产盘点实战：数据有多少、在哪、谁能碰

原创

大白 大白

知白守黑1024

2026年9月9日 07:05 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

接手数据安全的第一周，你大概率会被领导问三个问题：咱们公司到底有多少数据？都存在哪？谁能碰？多数人答不上来——不是能力问题，是从来没人真的数过。

分级之前要先知道有什么，防护之前要先知道在哪，出了事要溯源得先知道谁能碰。看不见的数据，管不住；数不清的家底，保不了。

这篇给一套能直接开工的盘点打法：盘什么、怎么盘、交付什么、最难在哪。配一份台账模板和十个影子数据死角清单，看完就能动手。

一、三个问题，现在是规定动作

“有多少、在哪、谁能碰”，过去靠自觉，现在写进了文件，有三个锚点。

财政部《关于加强数据资产管理的指导意见》（财资〔2023〕141号）要求梳理数据资产目录清单、登记数据资产卡片，暂不具备确认条件的先进备查簿——白纸黑字要”摸清家底”。《网络数据安全管理条例》2025 年 1 月 1 日起施行，重要数据要识别、要申报——前提是你得知道重要数据在哪。DCMM 2.0（GB/T 36073-2025）2026 年 7 月 1 日实施，能力域从 8 个扩到 9 个，新增”数据资产”域，权属管理能力项里明确包含资产识别认定和目录管理。

盘点这件事，已经从”想不想做”变成了”什么时候做”。

图 1｜三个问题 + 三个政策锚点：盘点已是规定动作

二、盘什么：四块地皮

把企业的数据版图看成四块地皮，每块的盘法不一样。

结构化数据（业务库、数仓、数据湖）：最规范，有表结构可扫，是盘点主战场。非结构化数据（文件服务器、NAS、对象存储、网盘）：量最大、最乱，靠内容识别而不是表结构。流动中的数据（API 接口、报表、消息队列、邮件附件）：不落地、不留痕，最容易漏。影子数据（测试库、导出文件、备份、离职电脑、SaaS）：不在任何目录里，最后一节专门讲。

四块里，前两块有成熟工具能扫，后两块光靠工具扫不全，要靠机制。只盘数据库的盘点，等于只巡了正门。

图 2｜数据版图四块地皮：每块的典型位置和盘法

三、怎么盘：两条路线、三种手段

路线只有两条。自上而下，从业务出发：制度、系统、流程往下拆到库表字段，业务属性准，但会漏——没人申报的地下接口就漏了。自下而上，从存储出发：扫出所有库和文件，倒着反查归属，不漏，但业务属性要反填、要访谈。

实战打法是两条路线对撞：自上而下的目录和自下而上的扫描结果做交叉比对，对得上的入册；对不上的就是问题资产——要么是没人认领的孤儿数据，要么是台账里的僵尸记录。对撞出来的差集，往往比盘点本身更有价值。

手段上三种可选：人工访谈、半自动（工具扫加访谈补）、全自动。没有工具也能开工，但全人工一年只能盘一次，盘完那天就开始过期。

图 3｜两条路线对撞 + 三种手段对照

四、自动扫描的原理：三路采集

自动盘点工具，国内多叫分类分级平台，国际上叫 DSPM，概念再花哨，核心都是三路采集。

第一路，元数据扫描：agentless 方式连上数据库，只读表结构——库、表、字段、类型、量级、更新时间，再采样识别内容特征，判断字段是不是手机号、身份证。第二路，流量分析：在镜像口旁路看”谁在查什么表、接口在吐什么字段”，不落地的流动数据靠这路抓。第三路，权限采集：拉账号、角色、ACL，回答”谁能碰”。三路汇聚，拼出一张数据资产地图。

选型时不用听厂商吹概念，只问三个问题：能不能扫非结构化？流量分析要不要额外部署？权限能不能落到字段级？

一条红线：扫描前拿书面授权，只读元数据，采样要脱敏——别让盘点工具自己变成泄露源。

图 4｜三路采集汇聚成资产地图

五、交付什么：数据资产台账

盘点的交付物是一张台账，字段设计决定它后续是活资产还是死表格。六组字段：身份组（资产编号、名称、所属系统、业务部门）、位置组（存储类型、位置、量级、更新频率）、业务组（业务用途、来源、下游使用方）、安全组（数据级别、是否含个人信息、重要数据候选）、责任组（业务/技术/安全三个责任人）、状态组（发现方式、首次发现、最后核验、当前状态）。

两个最容易被忽略的字段单独说。”最后核验时间”：台账的可信度就看它，超过一个季度没核验的行要标灰。”发现方式”：要标清是工具扫出来的还是人报上来的——扫描发现的会持续复扫，人工申报的要定期复核，两种数据的可信度不一样。

台账别停在 Excel：能被分级工具引用、能被上线卡点查询、能导出给审计，才算活台账。

图 5｜数据资产台账模板：六组字段

六、最难的部分：影子数据

影子数据的定义很朴素：不在资产目录里、不在管控范围内、但真实存在的数据。它是盘点真正的敌人，也是不少泄露事件的起点。

高发位置就那么几类：开发测试库（生产数据直接导进去的）、分析师桌面的导出文件、BI 平台的缓存提取物、共享盘与网盘、备份归档介质、SaaS 应用里的数据、邮件附件历史、离职员工的电脑和个人网盘、日志与数据湖汇聚区、第三方对接的对账文件。

影子数据的特点是清零不可能：今天清完，明天一次导出又生出来。所以目标不是消灭，是持续压缩，靠三个动作：定期扫描（网段、存储、云账号新增对象检测）、出口管控（DLP 拦敏感导出）、流程核对（离职、下线、转岗三个时点触发数据核查）。

图 6｜影子数据十个高发位置与检测线索

七、盘完之后：一次盘点，四处复用

盘点费时费力，但产出是复利资产，至少四处直接复用。

第一处，分类分级的前提：分级盘的就是台账里的资产，没有台账，分级就是无米之炊——上一篇的映射表，行的来源就是这里。第二处，防护部署的地图：加密、脱敏、权限收敛，都要先知道目标在哪。第三处，重要数据识别申报的底稿：条例要求的申报材料，就从台账里筛。第四处，数据资产入表和审计的素材：资产卡片、成本归集，都以台账为底。

复用的前提是台账活着。节奏分四拍：首次全量（一次 90 天的运动）、日增量（扫描任务每天跑，新增自动入册）、季度核对（漂移报告，对齐上一篇的保鲜机制）、年度重盘（全量复核，服务入表与审计）。

图 7｜一次盘点，四处复用

图 8｜常态化节奏：从 90 天运动到每天增量

盘点不是数资产，是给安全画地图——地图画不准，后面的每一步都在瞎走：分级分了个寂寞，防护防了个空。你看不见的那些数据，正在替你做决定：决定你哪里最先被打、出事了查不查得清、审计过不过得了。

数据安全实战手册 · 02

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：知白守黑1024 大白 大白《数据资产盘点实战：数据有多少、在哪、谁能碰》