数据分类分级落地干货：管理方法 + 开源工具全套分享

原创

We12
We12

安全info

2026年10月13日 09:12
四川

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

点击上方蓝字关注我们

重要声明

随着网络安全越来越重要，“安全info”将定期分享实用安全技术、最新行业动态、案例分析，实战技巧等。鉴于网络安全法的基础文章内容仅供学习，不做其他任何用处！

数据分类分级落地干货：管理方法 + 开源工具全套分享

阅读时间：4分钟｜适合安全、合规、DBA、数据治理从业者

监管检查又来了，要求提交数据分类分级报告、数据资产目录。

不少安全同学很无奈：

知道要做，但是没有安全预算，买不起百万级商业数据安全平台；
人手紧张，系统几十上百套，数据库分散，人工梳理根本梳理不完；
不知道企业到底哪些表、哪些字段存放手机号、身份证、银行卡等敏感信息。

很多人陷入一个巨大误区：做数据分类分级，必须采购昂贵商用产品，没有预算就做不了合规。

事实并不是这样。

数据分类分级，首先是管理工作，其次才是技术工作。零预算也可以完成基础合规闭环，守住风险底线。今天结合一线落地实践，跟大家聊清楚这件事，同时分享一套已经在多家单位生产落地的开源工具方案。

📌 现实困境：没有预算，我们会遇到哪些难题

1. 1. 没有商业扫描平台，全靠人工翻库、翻文档，效率极低，还极易遗漏敏感字段；
2. 2. 安全合规人员一人多岗，没有充足人力完成全量数据资产盘点；
3. 3. 业务系统繁多，数据库散落各处，敏感数据藏在哪里完全说不清；
4. 4. 等保测评、监管抽查需要分类分级材料，拿不出台账就面临合规扣分风险；
5. 5. 商业平台几十万上百万的采购预算，申请流程漫长，短期无法落地。

但是，《数据安全法》《个人信息保护法》的合规义务，不会因为没有预算就消失，数据泄露风险更不会等待你申请到预算才爆发。

✅ 零预算落地思路：先管理、后技术，拒绝一步到位的完美主义

核心目标不是追求炫酷大屏，而是摸清数据家底、识别高风险数据、输出可用于监管检查的台账文档，守住核心风险。

第一步：先定简易分级标准，不要从零写长篇制度

不用输出厚厚的白皮书文档，直接参考法规，简化适配自身业务，输出一份Excel对照表即可，内部达成共识。

• • 核心数据：泄露会直接影响业务生存的关键业务数据；
• • 重要数据：企业核心经营数据，泄露会带来重大经济损失；
• • 敏感数据：手机号、身份证、银行卡、住址等个人隐私信息；
• • 一般数据：对外公开、普通内部业务数据，风险较低。

标准不需要一步做到尽善尽美，后续可以迭代更新。

第二步：抓重点资产，拒绝全量盲干

零预算最大的坑，就是一上来试图梳理几百张数据表，全部字段人工打标，最后人力耗尽，项目直接烂尾。

👉 实操策略：优先盘点高风险系统，次要系统延后处理
优先梳理：客户会员系统、订单业务系统、人事HR、财务系统。
这些系统集中存放个人信息与核心业务数据，既是监管检查重点，也是泄露风险最高的地方。

输出基础台账模板至少包含：
系统名称｜数据库名｜表名｜字段名｜字段含义｜数据类型｜判定级别｜数据所有者｜备注

完成高风险系统梳理，就已经满足基础合规底线。

第三步：两种技术路线，按需选择

方案A：纯人工 + 数据库原生能力，完全零成本

DBA配合安全人员，利用数据库元数据查询导出表结构与字段注释，结合业务经验人工识别典型敏感字段。

• • ✅优点：零成本，不需要部署任何服务
• • ❌缺点：效率低下，系统变更后台账需要手动更新，适合小规模企业。

方案B：开源自动化工具，减少重复人力投入

如果希望降低人工工作量，可以选择开源工具MDCGS完成自动化扫描识别。
该项目已经实现：规则引擎+AI大模型双重识别，结构化+非结构化资产统一分类分级，可以直接导出台账清单与PDF合规报告。

目前已有十余家单位正式生产部署，其中多家单位依靠这套开源工具顺利通过上级监管检查，监管同时核查工具能力 + 数据资产目录两项内容。

第四步：业务部门参与复核，避免安全自嗨

很多安全团队自己埋头梳理完一份分级清单，业务完全不认，台账没有实际合规效力。

安全+IT梳理出初步分级清单，必须交由业务负责人复核确认签字，业务才真正懂业务数据的含义，修正误判、漏判。

第五步：最小化管控，定期迭代更新

分类分级不是一次性项目，不是做完一份Excel就结束。

• • 敏感数据：严格最小权限，访问日志完整留存，严控导出行为；
• • 重要数据：限制对外分发；
• • 一般数据：执行常规内部管控。

约定迭代周期：每季度，或者业务系统重大变更时更新台账。人力有限的场景下，做到定期更新，远好过一成不变。

🛠️ MDCGS开源工具能力简介

MDCGS是开源企业级数据分类分级管理系统，解决结构化数据库、非结构化文件资产的敏感数据识别与定级工作。

✨核心能力

1. 1. 结构化数据库自动扫描识别
   内置80+通用数据类型模板，覆盖姓名、手机号、身份证、银行卡等常见敏感字段；
   识别引擎采用：正则表达式 + 字段名注释匹配 + 字典值匹配；同时支持对接各类大模型，AI辅助语义识别。
   扫描完成后一键导出PDF正式报告、Excel资产清单，报告自带时间戳、组织标识，可直接提交测评检查。
2. 2. 支持非结构化资产分类分级（v1.1.2新版本）
   企业80%以上数据都属于非结构化数据：PDF合同、Word文档、Excel报表、图片截图。

• • 支持格式：PDF、docx、xlsx/csv、txt、md、png/jpg图片（内置OCR识别图片内文字）
• • 上传文件后自动解析内容，识别文档、截图内隐藏的身份证、手机号、银行卡等敏感信息；
• • 文件资产和数据库字段共用同一套分类分级模板，统一统计敏感数据分布；
• • 支持批量上传，异步解析任务，任务进度可视化展示。

1. 3. 完整审计与可视化统计

• • 全量操作审计日志，记录谁、什么时间访问、导出哪些数据；
• • 仪表盘展示敏感数据分布、级别占比、分类覆盖率、待处理任务。

💡演示体验地址：https://mdcgs.hyinfo.cc
账号：admin 密码：admin123
GitHub开源地址：https://github.com/HaoY-l/mdcgs
⚠️提示：演示环境仅用于预览功能，生产环境务必自行私有化部署。

🎯典型落地场景

• • 场景1：监管检查临时突击
  监管通知3天内提交分类分级报告。传统人工梳理几乎不可能完成，部署工具发起全库扫描，2小时输出完整报告，直接用于提交。
• • 场景2：不清楚敏感数据到底分布在哪
  多业务系统、多数据库，安全团队说不清企业内部敏感字段全部位置。通过工具扫描，输出完整资产台账，摸清数据家底。
• • 场景3：AI识别结果不准怎么办？
  可以上传企业内部制度文档作为知识库，AI会参考企业自身标准输出分类结果，减少AI幻觉带来误判。

🧭什么时候才需要采购商业产品？

开源工具可以解决大部分中小单位的基础合规需求，当企业出现下面特征，再考虑申请预算采购商用平台：

1. 1. 几十套以上业务系统，数据库规模庞大；
2. 2. 需要7×24小时不间断持续自动扫描，表结构变更自动感知；
3. 3. 需要和脱敏、堡垒机、数据网关等安全产品深度联动；
4. 4. 需要原厂7\*24小时技术支持服务。

💡最后写在结尾

很多厂商会给大家灌输一个概念：做数据分类分级，必须上昂贵的自动化平台，必须做华丽可视化大屏。

但合规的本质，是搞清楚自己手里有什么数据，风险有多大，如何做好保护，不是追求技术炫技。

预算不够，管理来补；人力有限，优先抓住高风险数据。
数据安全合规，不一定从昂贵采购开始，从摸清你的敏感数据家底开始。

如果对你有帮助，欢迎转发给身边做安全、合规的朋友。
欢迎大家在评论区聊聊你们企业做数据分类分级遇到的实际痛点。