数据隐私工程：PII 识别、脱敏、最小留存与访问控制的组合方案

数据隐私工程PII 识别、脱敏、最小留存与访问控制的组合方案在数字经济高速发展的今天数据被誉为“21世纪的石油”——但同时它也是一把双刃剑未被妥善保护的个人身份信息Personally Identifiable Information, PII泄露事件频发不仅让企业面临《通用数据保护条例》GDPR、《个人信息保护法》PIPL、《加州消费者隐私法案》CCPA/CPRA等全球近200部隐私法规的巨额罚款风险更会严重损害用户信任、侵蚀品牌核心资产。据IBM《2024年数据泄露成本报告》显示2023年全球平均数据泄露成本高达445万美元而包含PII泄露的案例成本更是高出平均水平12%同时GDPR单案最高罚款已达全球年营业额的4%或2000万欧元取两者较高者——隐私合规已不再是企业的“可选加分项”而是“生存必答题”。面对如此严峻的挑战单点式的隐私保护措施比如只做文本脱敏不做日志留存控制或者只设置简单的访问密码不做动态权限验证早已无法满足合规与业务的双重需求。唯有构建一套覆盖“数据采集→存储→处理→传输→销毁全生命周期”的、技术流程治理三位一体的组合方案才能真正实现PII的“可识别、可控制、可脱敏、可最小化、可审计、可销毁”。引言痛点引入从三个真实案例看单点隐私保护的脆弱性在深入讨论组合方案之前我们先来看三个因“隐私保护措施单一或缺失”导致的惨痛教训——这些案例都发生在2022-2024年涉及电商、医疗、金融三大隐私高风险行业具有极强的警示意义。案例一某跨境电商平台日志泄露事件2023年这家总部位于深圳的跨境母婴电商平台拥有超过1000万全球注册用户日常使用AWS Lambda、CloudWatch、RDS等云服务构建业务系统。为了排查系统性能问题运维团队将所有API请求的完整日志包括用户手机号、收货地址、信用卡后四位、账单邮寄邮箱、甚至密码重置的临时Token存储在CloudWatch Log Groups中并开启了“跨区域备份到S3标准存储桶”的功能且备份文件没有设置任何加密、生命周期管理或访问控制措施。2023年6月一名离职运维人员利用未被及时回收的AWS IAM只读权限下载了过去3年的所有S3日志备份文件并将包含200万用户PII的部分数据暗网出售最终导致该平台被欧盟数据保护委员会EDPB罚款850万欧元约合人民币6.7亿元占其2022年全球跨境营业额的3.2%被美国联邦贸易委员会FTC处以720万美元的额外罚款被国内多家银行冻结跨境支付通道暂停业务3个月流失了超过30%的付费用户品牌估值从15亿美元暴跌至不足3亿美元12名相关责任人包括CTO、运维总监、原离职员工被国内公安机关依法追究刑事责任。核心问题复盘缺失有效的PII识别机制运维团队完全没有意识到“API日志里混有大量PII”更没有对日志进行PII过滤缺失最小化留存与自动销毁机制CloudWatch Log Groups的默认保留期是“无限期”S3备份文件也没有设置生命周期管理缺失严格的访问控制与身份回收机制AWS IAM只读权限过高允许访问所有CloudWatch Log Groups和S3存储桶离职员工的权限没有在24小时内及时回收缺失数据加密机制S3备份文件是明文存储的任何人拿到权限都能直接读取。案例二某连锁医疗机构电子病历系统数据泄露事件2024年这家位于上海的三甲级连锁肿瘤医院拥有5家分院、超过200万份电子病历EMR日常使用自研的HIS医院信息系统、LIS实验室信息系统、PACS医学影像存档与通信系统存储和处理患者PII与敏感医疗数据PHI。为了方便医生跨院会诊医院搭建了一套“会诊数据共享平台”但平台只做了“医生必须用本院工号初始密码未强制修改登录”的简单访问控制且共享的电子病历数据是完全明文展示的没有做任何字段级或字段内容级的脱敏。2024年3月一名黑客利用某分院保洁阿姨捡到的废弃医生工牌通过社工手段获得了该医生的工号和初始密码然后登录会诊数据共享平台批量下载了过去5年所有癌症患者的电子病历包含患者姓名、身份证号、手机号、家庭住址、癌症诊断报告、治疗方案、医保报销记录、甚至家属联系方式并将数据暗网出售最终导致该医院被上海市数据局罚款3000万元人民币占其2023年营业收入的2.8%被国家卫健委通报批评吊销了3名相关责任人的执业医师资格证流失了超过50%的门诊患者多家商业保险公司终止了与其的合作引发了大规模的集体诉讼目前已有超过10万名患者向法院提起了赔偿诉讼索赔金额超过10亿元人民币。核心问题复盘缺失有效的PII/PHI脱敏机制会诊数据共享平台完全明文展示敏感数据医生可以看到患者的所有隐私信息缺失严格的访问控制机制初始密码未强制修改没有设置多因素认证MFA没有基于“角色-岗位-场景-时间”的动态权限控制比如只有肿瘤科医生在工作日的8:00-18:00才能查看本院的癌症诊断报告跨院会诊必须申请临时权限且临时权限有效期只有24小时缺失数据访问审计机制会诊数据共享平台没有记录“谁、在什么时间、从什么IP地址、访问了什么数据、做了什么操作”导致数据泄露后无法快速追踪溯源缺失员工隐私安全培训机制医生的安全意识淡薄初始密码一直未修改保洁阿姨的安全意识也淡薄捡到的工牌没有及时上交医院保卫科。案例三某第三方支付公司PII过度采集与留存事件2022年这家总部位于杭州的第三方支付公司拥有超过5亿注册用户日常使用支付宝、微信支付之外的第三方支付通道为中小微企业和个人用户提供服务。为了“提升风控能力”该公司在用户注册时过度采集了PII除了姓名、身份证号、手机号、银行卡号、银行卡预留手机号这些必要信息外还采集了用户的学历、职业、收入、房产信息、车辆信息、社交账号微信、QQ、微博、通讯录、位置信息实时位置、常用位置轨迹、甚至用户的浏览历史和购物偏好同时该公司将所有采集到的PII无限期留存没有设置任何自动销毁机制。2022年8月杭州市数据局在例行隐私合规检查中发现了该公司的问题最终导致该公司被杭州市数据局罚款5000万元人民币占其2021年营业收入的3.5%被央行暂停了新用户注册和新商户接入业务暂停时间长达6个月被要求在30天内删除所有过度采集的PII并建立严格的PII采集、留存、销毁制度流失了超过20%的中小微企业商户品牌声誉受到了严重损害。核心问题复盘缺失严格的PII最小化采集机制过度采集了大量与“提供支付服务”无关的PII缺失严格的PII最小化留存机制无限期留存了所有采集到的PII缺失有效的隐私影响评估PIA机制在上线新的采集功能之前没有进行PIA评估没有评估采集这些PII的必要性、合法性、安全性缺失有效的用户隐私告知与同意机制隐私政策写得晦涩难懂且默认勾选了“同意采集所有PII”的选项违反了PIPL和GDPR的“明确、具体、可撤销”的同意原则。解决方案概述构建全生命周期的PII隐私工程组合方案从上面三个案例可以看出单点式的隐私保护措施根本无法应对复杂的隐私风险——我们需要构建一套覆盖数据全生命周期、技术流程治理三位一体的组合方案将PII识别、脱敏、最小化留存、访问控制这四大核心技术措施有机结合起来同时辅以完善的隐私治理体系比如隐私委员会、PIA评估、隐私安全培训、数据访问审计、应急预案等才能真正实现PII的“合法、合规、安全、有效”保护。组合方案的核心技术框架这套组合方案的核心技术框架可以分为三层感知层主要负责PII的识别与分类分级——通过静态识别对结构化数据、半结构化数据、非结构化数据进行离线扫描和动态识别对实时数据流、API请求、日志流进行在线扫描相结合的方式识别出系统中所有的PII并根据PII的敏感程度进行分类分级比如分为“核心敏感PII”、“重要敏感PII”、“一般敏感PII”、“非敏感PII”四级防护层主要负责PII的脱敏、最小化留存、访问控制——根据PII的分类分级结果采取不同的防护措施对于“核心敏感PII”比如身份证号、银行卡号、密码、指纹、人脸等生物识别信息采取“加密存储使用AES-256等强加密算法 访问控制基于RBACABAC的动态权限控制多因素认证 最小化留存留存时间不超过业务必需的最短时间到期自动销毁 脱敏展示在非必要场景下完全不展示或者只展示前几位后几位”的组合措施对于“重要敏感PII”比如姓名、手机号、家庭住址、医保报销记录等采取“加密存储使用AES-256等强加密算法 访问控制基于RBACABAC的动态权限控制 最小化留存留存时间不超过业务必需的最短时间到期自动销毁 脱敏展示在非必要场景下进行字段内容级脱敏”的组合措施对于“一般敏感PII”比如性别、年龄、职业、收入等采取“加密存储可选 访问控制基于RBAC的权限控制 最小化留存留存时间不超过业务必需的最短时间到期自动销毁 脱敏展示在非必要场景下进行字段级脱敏或字段内容级脱敏”的组合措施对于“非敏感PII”比如用户昵称、头像、公开的社交账号等采取“常规存储 常规访问控制”的措施审计层主要负责PII的访问审计与风险监控——通过数据访问日志的采集、存储、分析、可视化记录“谁、在什么时间、从什么IP地址、访问了什么数据、做了什么操作”并设置异常访问行为的告警规则比如非工作时间访问核心敏感PII、批量下载PII、从陌生IP地址访问PII等一旦发现异常访问行为立即触发告警并采取相应的应急措施比如冻结用户权限、阻断访问、通知隐私委员会等。组合方案的核心治理框架这套组合方案的核心治理框架可以分为五个部分隐私组织架构成立由CEO或COO担任主席的隐私委员会下设隐私合规部、数据安全部、业务部门隐私专员等岗位明确各岗位的隐私职责隐私制度体系制定完善的隐私制度体系包括《隐私政策》、《PII采集管理制度》、《PII存储管理制度》、《PII处理管理制度》、《PII传输管理制度》、《PII销毁管理制度》、《PII访问控制管理制度》、《PII分类分级管理制度》、《PIA评估管理制度》、《数据访问审计管理制度》、《隐私安全培训管理制度》、《隐私事件应急预案》等PIA评估机制在上线新的业务系统、新的采集功能、新的数据共享功能之前必须进行PIA评估评估采集、处理、共享这些PII的必要性、合法性、安全性并提出相应的隐私风险 mitigation 措施用户隐私告知与同意机制制定清晰、简洁、易懂的隐私政策明确告知用户采集了哪些PII、为什么采集这些PII、将如何使用这些PII、将与谁共享这些PII、将留存这些PII多长时间、用户有哪些隐私权利比如访问权、更正权、删除权、撤销同意权、数据可携带权等并采用“明确勾选、而非默认勾选”的方式获取用户的同意隐私安全培训与应急演练机制定期对全体员工进行隐私安全培训提高员工的隐私安全意识定期组织隐私事件应急演练检验应急预案的有效性提高员工应对隐私事件的能力。最终效果展示组合方案落地后的收益如果企业能够成功落地这套全生命周期的PII隐私工程组合方案将会获得以下三大核心收益合规收益满足GDPR、PIPL、CCPA/CPRA等全球近200部隐私法规的要求避免巨额罚款风险业务收益提升用户信任增加用户粘性扩大市场份额同时也可以获得更多的商业合作机会比如很多大型企业和政府机构在选择合作伙伴时会要求合作伙伴提供隐私合规证明安全收益降低PII泄露的风险保护企业的品牌核心资产同时也可以提高企业的整体数据安全水平。为了让大家更直观地看到组合方案落地后的效果我们来看一个正面案例某头部电商平台在2021年成功落地了这套全生命周期的PII隐私工程组合方案落地后的两年内没有发生任何一起重大PII泄露事件通过了ISO 27001、ISO 27701、SOC 2等多项国际国内隐私安全认证用户隐私投诉率下降了90%以上用户复购率提升了15%以上品牌估值从2021年的100亿美元增长到了2024年的200亿美元。准备工作在正式落地这套全生命周期的PII隐私工程组合方案之前我们需要做好以下三项准备工作梳理企业的数据资产与业务流程明确企业有哪些数据资产、这些数据资产存储在哪里、由谁负责、涉及哪些业务流程、在哪些业务流程中会采集、存储、处理、传输、销毁PII搭建必要的技术环境与工具链选择合适的PII识别工具、脱敏工具、加密工具、访问控制工具、数据访问审计工具等培训员工的隐私安全意识与技能让全体员工了解隐私合规的重要性、了解企业的隐私制度体系、掌握必要的隐私安全技能。环境/工具数据资产梳理工具在梳理企业的数据资产时我们可以使用以下两类工具开源数据资产梳理工具比如Apache Atlas、DataHub、Amundsen等——这些工具都是开源的可以免费使用功能也比较强大可以帮助企业梳理结构化数据、半结构化数据、非结构化数据等各类数据资产商业数据资产梳理工具比如Informatica Data Governance、Collibra Data Governance Center、Alation Data Catalog等——这些工具都是商业的需要付费使用但功能比开源工具更强大服务也更完善适合大型企业使用。PII识别工具在识别企业的PII时我们可以使用以下三类工具开源PII识别工具比如Presidio、spaCy、NLTK、Faker用于生成测试数据等——Presidio是微软开源的一套PII识别与脱敏工具功能非常强大支持识别结构化数据、半结构化数据、非结构化数据等各类数据中的PII支持识别超过50种语言的PII支持自定义PII识别规则云服务商提供的PII识别工具比如AWS Comprehend PII Detection、Azure AI Content Safety PII Detection、Google Cloud DLP API等——这些工具都是云服务商提供的SaaS服务使用起来非常方便不需要自己搭建服务器功能也比较强大支持识别结构化数据、半结构化数据、非结构化数据等各类数据中的PII支持识别超过100种语言的PII支持自定义PII识别规则商业PII识别工具比如Informatica Data Masking、IBM InfoSphere Optim Data Privacy、Oracle Data Masking and Subsetting等——这些工具都是商业的需要付费使用但功能比开源工具和云服务商提供的工具更强大服务也更完善适合大型企业使用。PII脱敏工具在脱敏企业的PII时我们可以使用以下三类工具开源PII脱敏工具比如Presidio、Faker、pgcrypto用于PostgreSQL数据库的脱敏与加密、MySQL Enterprise Masking and Firewall用于MySQL数据库的脱敏不过MySQL Enterprise Edition是付费的等——Presidio不仅支持PII识别还支持PII脱敏支持多种脱敏算法比如替换、屏蔽、哈希、加密、伪造等云服务商提供的PII脱敏工具比如AWS Comprehend PII Redaction、Azure AI Content Safety PII Redaction、Google Cloud DLP API等——这些工具都是云服务商提供的SaaS服务使用起来非常方便不需要自己搭建服务器支持多种脱敏算法商业PII脱敏工具比如Informatica Data Masking、IBM InfoSphere Optim Data Privacy、Oracle Data Masking and Subsetting等——这些工具都是商业的需要付费使用支持多种脱敏算法支持结构化数据、半结构化数据、非结构化数据等各类数据的脱敏支持静态脱敏对离线数据进行脱敏和动态脱敏对实时数据流进行脱敏根据用户的权限动态展示脱敏后的数据或明文数据。加密工具在加密企业的PII时我们可以使用以下三类工具开源加密工具比如OpenSSL、GPG、HashiCorp Vault、AWS KMS的开源替代品比如MinIO KMS、Vault等等——HashiCorp Vault是一套开源的密钥管理系统KMS功能非常强大可以帮助企业管理各类加密密钥、证书、密码等敏感信息云服务商提供的加密工具比如AWS KMS、Azure Key Vault、Google Cloud KMS等——这些工具都是云服务商提供的SaaS服务使用起来非常方便不需要自己搭建服务器功能也比较强大可以帮助企业管理各类加密密钥、证书、密码等敏感信息支持自动轮转密钥商业加密工具比如Thales CipherTrust Manager、IBM Key Protect、Oracle Key Vault等——这些工具都是商业的需要付费使用但功能比开源工具和云服务商提供的工具更强大服务也更完善适合大型企业使用。访问控制工具在控制企业的PII访问时我们可以使用以下三类工具开源访问控制工具比如Keycloak、Apache Shiro、Spring Security、OPAOpen Policy Agent等——Keycloak是一套开源的身份与访问管理IAM系统功能非常强大支持基于RBAC基于角色的访问控制和ABAC基于属性的访问控制的动态权限控制支持多因素认证MFA支持单点登录SSOOPA是一套开源的策略引擎可以帮助企业实现统一的访问控制策略管理支持将访问控制策略从业务代码中解耦出来云服务商提供的访问控制工具比如AWS IAM、Azure AD、Google Cloud IAM等——这些工具都是云服务商提供的SaaS服务使用起来非常方便不需要自己搭建服务器功能也比较强大支持基于RBAC和ABAC的动态权限控制支持多因素认证支持单点登录商业访问控制工具比如Okta、Ping Identity、OneLogin等——这些工具都是商业的需要付费使用但功能比开源工具和云服务商提供的工具更强大服务也更完善适合大型企业使用。数据访问审计工具在审计企业的PII访问时我们可以使用以下三类工具开源数据访问审计工具比如ELK StackElasticsearch、Logstash、Kibana、Grafana Loki、Prometheus、Jaeger等——ELK Stack是一套开源的日志采集、存储、分析、可视化工具链功能非常强大可以帮助企业采集、存储、分析、可视化各类数据访问日志云服务商提供的数据访问审计工具比如AWS CloudTrail、Azure Monitor、Google Cloud Audit Logs等——这些工具都是云服务商提供的SaaS服务使用起来非常方便不需要自己搭建服务器功能也比较强大可以帮助企业采集、存储、分析、可视化各类云服务的数据访问日志商业数据访问审计工具比如Splunk Enterprise Security、IBM QRadar、Microsoft Sentinel等——这些工具都是商业的需要付费使用但功能比开源工具和云服务商提供的工具更强大服务也更完善适合大型企业使用可以帮助企业实现安全信息与事件管理SIEM。基础知识在正式落地这套全生命周期的PII隐私工程组合方案之前我们需要读者具备以下四项基础知识隐私法规基础知识了解GDPR、PIPL、CCPA/CPRA等全球主要隐私法规的核心要求数据分类分级基础知识了解数据分类分级的原则、方法、流程密码学基础知识了解对称加密算法比如AES-256、非对称加密算法比如RSA-2048、ECC-256、哈希算法比如SHA-256、SHA-3、数字签名、数字证书、密钥管理等密码学基础知识访问控制基础知识了解RBAC、ABAC、DAC自主访问控制、MAC强制访问控制等访问控制模型的核心原理。如果读者不具备这些基础知识可以通过以下学习资源进行学习隐私法规学习资源GDPR官方网站https://gdpr.eu/PIPL官方网站https://www.npc.gov.cn/npc/c30834/202108/t20210820_3050757.htmCCPA/CPRA官方网站https://oag.ca.gov/privacy/ccpa《GDPR实战指南》机械工业出版社出版《个人信息保护法理解与适用》法律出版社出版数据分类分级学习资源国家标准《数据安全法》https://www.npc.gov.cn/npc/c30834/202106/t20210611_3037062.htm国家标准《个人信息安全规范》GB/T 35273-2020https://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno0809022021082001《数据分类分级实战指南》电子工业出版社出版密码学学习资源《密码学原理与实践》第八版电子工业出版社出版《图解密码技术》第三版人民邮电出版社出版Coursera课程《Cryptography I》由斯坦福大学开设访问控制学习资源《访问控制原理与实践》清华大学出版社出版《基于角色的访问控制RBAC技术指南》机械工业出版社出版OPA官方文档https://www.openpolicyagent.org/docs/latest/Keycloak官方文档https://www.keycloak.org/documentation核心步骤一PII识别与分类分级PII识别与分类分级是整个全生命周期PII隐私工程组合方案的基础与前提——如果我们不能准确地识别出系统中所有的PII不能根据PII的敏感程度进行合理的分类分级那么后续的脱敏、最小化留存、访问控制等措施就会“无的放矢”根本无法发挥作用。核心概念PII的定义不同的隐私法规对PII的定义略有不同但核心意思都是“能够直接或间接识别出特定自然人身份的信息”GDPR对PII的定义GDPR将PII称为“个人数据Personal Data”定义为“任何与已识别或可识别的自然人‘数据主体’有关的信息可识别的自然人是指能够直接或间接通过参考诸如姓名、身份证号码、位置数据、在线标识符等标识符或者通过参考该自然人的身体、生理、遗传、心理、经济、文化或社会身份的一个或多个特定因素来识别的自然人”PIPL对PII的定义PIPL将PII称为“个人信息Personal Information”定义为“以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息不包括匿名化处理后的信息”同时PIPL还将“生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息以及不满十四周岁未成年人的个人信息”定义为“敏感个人信息Sensitive Personal Information”CCPA/CPRA对PII的定义CCPA/CPRA将PII称为“个人信息Personal Information”定义为“任何能够直接或间接识别、关联、描述、能够被合理地用来识别特定消费者或家庭的信息”同时CCPA/CPRA还将“精确地理位置数据、生物识别信息、消费者的健康或医疗信息、消费者的种族或族裔、宗教或哲学信仰、政治观点、工会会员身份、遗传数据、性取向或性行为、消费者的金融账户信息、消费者的密码或PIN码等”定义为“敏感个人信息Sensitive Personal Information”。常见的PII类型根据不同的隐私法规和实际业务场景常见的PII类型可以分为以下几类直接识别型PII能够直接识别出特定自然人身份的信息比如姓名、身份证号、护照号、驾驶证号、社保卡号、银行卡号、手机号、邮箱地址、社交账号绑定了真实身份信息的、指纹、人脸、虹膜、声纹等生物识别信息间接识别型PII不能直接识别出特定自然人身份但结合其他信息可以间接识别出特定自然人身份的信息比如性别、年龄、职业、收入、学历、家庭住址、工作单位、常用位置轨迹、浏览历史、购物偏好、社交关系等敏感个人信息SPII/SPI隐私法规明确规定的、一旦泄露或非法使用将会对自然人的人身财产安全造成严重危害的信息比如生物识别信息、宗教信仰、特定身份、医疗健康信息、金融账户信息、行踪轨迹信息、不满十四周岁未成年人的个人信息等。数据分类分级的定义数据分类分级是指“根据数据的属性、特征、敏感程度、重要程度、业务价值等因素将数据划分为不同的类别和级别并为不同类别和级别的数据采取不同的防护措施”的过程。数据分类分级的原则数据分类分级应该遵循以下五项原则合法性原则数据分类分级应该符合相关法律法规的要求必要性原则数据分类分级应该基于业务的实际需要不要过度分类分级可操作性原则数据分类分级的标准和流程应该简单明了易于员工理解和操作动态调整原则数据分类分级的结果应该定期比如每年一次或者在业务发生重大变化时进行动态调整责任落实原则应该明确各部门和各岗位的数据分类分级责任确保数据分类分级工作的顺利开展。问题背景在过去的很长一段时间里很多企业都没有重视PII识别与分类分级工作——他们不知道系统中存储了哪些PII、不知道这些PII存储在哪里、不知道这些PII由谁负责、不知道这些PII的敏感程度有多高导致后续的隐私保护措施根本无法落地。随着GDPR、PIPL、CCPA/CPRA等全球近200部隐私法规的出台PII识别与分类分级工作已经成为企业隐私合规的必备要求——比如PIPL第二十一条明确规定“个人信息处理者应当按照国家规定建立健全个人信息分类分级管理制度对个人信息实行分类分级管理”GDPR虽然没有明确规定数据分类分级但要求个人信息处理者“根据个人数据的性质、范围、内容和目的以及对自然人权利和自由的风险程度采取适当的技术和组织措施”而数据分类分级就是评估风险程度和采取适当措施的基础与前提。问题描述在实际开展PII识别与分类分级工作时企业通常会遇到以下六大问题数据资产分散难以全面梳理很多企业的数据资产非常分散存储在不同的系统、不同的数据库、不同的文件服务器、不同的云存储桶中甚至存储在员工的个人电脑和移动设备中难以全面梳理数据类型多样难以统一识别很多企业的数据类型非常多样包括结构化数据比如MySQL、PostgreSQL、Oracle等关系型数据库中的数据、半结构化数据比如JSON、XML、CSV等格式的数据、非结构化数据比如文本文件、Word文档、PDF文档、图片、视频、音频等格式的数据难以统一识别PII定义模糊难以准确识别不同的隐私法规对PII的定义略有不同不同的业务场景对PII的敏感程度判断也不同导致很多企业难以准确识别出系统中所有的PIIPII伪装隐蔽难以有效识别很多PII会被伪装成其他形式的数据比如将手机号写成“138-1234-5678”、“138 1234 5678”、“13812345678”将身份证号写成“310101199001011234”、“310101 1990 0101 1234”将银行卡号写成“6222 0212 3456 7890”、“6222021234567890”或者嵌入到非结构化数据中比如嵌入到文本文件、Word文档、PDF文档、图片的OCR识别结果中难以有效识别分类分级标准缺失难以合理划分很多企业没有制定明确的、可操作的PII分类分级标准导致员工在划分PII的类别和级别时非常随意难以合理划分动态调整机制缺失难以持续更新很多企业的PII分类分级结果是静态的没有定期或者在业务发生重大变化时进行动态调整导致分类分级结果与实际情况不符。问题解决为了解决上述六大问题我们可以采用**“静态梳理动态识别人工复核动态调整”的四步工作法**同时辅以完善的PII分类分级标准和工具链来开展PII识别与分类分级工作。第一步制定明确的、可操作的PII分类分级标准在开展PII识别与分类分级工作之前我们首先需要制定一套明确的、可操作的PII分类分级标准——这套标准应该符合相关法律法规的要求结合企业的实际业务场景明确规定PII的定义和范围明确哪些信息属于PII哪些信息不属于PII敏感个人信息的定义和范围明确哪些信息属于敏感个人信息PII的分类方法明确如何根据数据的属性、特征、业务用途等因素将PII划分为不同的类别PII的分级方法明确如何根据数据的敏感程度、重要程度、业务价值、泄露风险等因素将PII划分为不同的级别不同类别和级别PII的防护措施要求明确为不同类别和级别的PII应该采取哪些防护措施PII分类分级的责任主体和流程明确各部门和各岗位的PII分类分级责任明确PII分类分级的工作流程PII分类分级结果的动态调整机制明确PII分类分级结果的动态调整频率和触发条件。为了让大家更直观地了解如何制定PII分类分级标准我们来看一个示例标准示例某电商平台PII分类分级标准一、PII的定义和范围本标准中的PII是指“以电子或者其他方式记录的与已识别或者可识别的平台用户、商户、员工有关的各种信息不包括匿名化处理后的信息”。具体包括以下信息用户PII姓名、身份证号、护照号、驾驶证号、社保卡号、银行卡号、银行卡预留手机号、手机号、邮箱地址、收货地址、账单邮寄地址、位置信息实时位置、常用位置轨迹、浏览历史、购物偏好、订单信息、支付信息、退换货信息、客服沟通记录、社交账号绑定了真实身份信息的、不满十四周岁未成年人的所有个人信息等商户PII商户名称、统一社会信用代码、营业执照号码、法定代表人姓名、法定代表人身份证号、法定代表人手机号、法定代表人邮箱地址、商户负责人姓名、商户负责人身份证号、商户负责人手机号、商户负责人邮箱地址、商户联系电话、商户联系邮箱地址、商户经营地址、商户银行账户信息、商户交易记录、商户客服沟通记录等员工PII姓名、身份证号、护照号、驾驶证号、社保卡号、公积金账号、银行卡号、银行卡预留手机号、手机号、邮箱地址、家庭住址、工作单位、工作岗位、工作年限、薪资福利信息、社保公积金缴纳记录、绩效考核记录、培训记录、劳动合同信息、考勤记录、社交账号绑定了真实身份信息的等。二、敏感个人信息的定义和范围本标准中的敏感个人信息是指“一旦泄露或者非法使用将会对自然人的人身财产安全造成严重危害或者对其人格尊严造成严重损害的个人信息”具体包括以下信息生物识别信息指纹、人脸、虹膜、声纹等特定身份信息身份证号、护照号、驾驶证号、社保卡号、统一社会信用代码针对商户、营业执照号码针对商户等医疗健康信息用户的健康保险信息、商户员工的健康体检信息等金融账户信息银行卡号、银行卡预留手机号、银行卡有效期、银行卡CVV码、银行账户信息、支付密码、交易密码等行踪轨迹信息用户的实时位置、常用位置轨迹等不满十四周岁未成年人的所有个人信息其他隐私法规明确规定的敏感个人信息。三、PII的分类方法本标准根据数据的业务用途将PII划分为以下五个类别身份认证类PII用于识别用户、商户、员工身份的信息比如姓名、身份证号、护照号、驾驶证号、社保卡号、手机号、邮箱地址、指纹、人脸等交易支付类PII用于处理用户与商户之间交易支付的信息比如银行卡号、银行卡预留手机号、银行卡有效期、银行卡CVV码、银行账户信息、支付密码、交易密码、订单信息、支付信息、退换货信息等物流配送类PII用于处理用户订单物流配送的信息比如收货地址、账单邮寄地址、用户联系电话、商户联系电话等营销服务类PII用于为用户、商户提供营销服务的信息比如浏览历史、购物偏好、位置信息常用位置轨迹、客服沟通记录等内部管理类PII用于企业内部管理的信息比如员工的薪资福利信息、社保公积金缴纳记录、绩效考核记录、培训记录、劳动合同信息、考勤记录等。四、PII的分级方法本标准根据数据的敏感程度、重要程度、业务价值、泄露风险等因素将PII划分为以下四个级别L4级核心敏感PII定义一旦泄露或者非法使用将会对自然人的人身财产安全造成极其严重的危害或者对企业的品牌核心资产造成极其严重的损害的PII范围生物识别信息、支付密码、交易密码、银行卡CVV码、不满十四周岁未成年人的生物识别信息和金融账户信息等泄露风险极高L3级重要敏感PII定义一旦泄露或者非法使用将会对自然人的人身财产安全造成严重的危害或者对企业的品牌核心资产造成严重的损害的PII范围身份证号、护照号、驾驶证号、社保卡号、统一社会信用代码针对商户、营业执照号码针对商户、银行卡号、银行卡预留手机号、银行卡有效期、银行账户信息、用户的实时位置、常用位置轨迹、商户的银行账户信息、员工的薪资福利信息等泄露风险高L2级一般敏感PII定义一旦泄露或者非法使用将会对自然人的人身财产安全造成一定的危害或者对企业的品牌核心资产造成一定的损害的PII范围姓名、手机号、邮箱地址、收货地址、账单邮寄地址、用户联系电话、商户联系电话、订单信息、支付信息不含支付密码、交易密码、银行卡CVV码、退换货信息、客服沟通记录、浏览历史、购物偏好、员工的家庭住址、工作单位、工作岗位、工作年限、社保公积金缴纳记录不含薪资福利信息、绩效考核记录、培训记录、劳动合同信息、考勤记录等泄露风险中L1级非敏感PII定义一旦泄露或者非法使用不会对自然人的人身财产安全造成危害或者对企业的品牌核心资产造成损害的PII范围用户昵称、头像、公开的社交账号、商户的公开经营信息比如商户名称、公开的经营地址、公开的联系电话、公开的联系邮箱地址、员工的公开姓名、公开的工作岗位等泄露风险低。五、不同级别PII的防护措施要求本标准为不同级别的PII规定了以下防护措施要求PII级别存储要求传输要求访问控制要求留存要求展示要求审计要求L4级必须使用AES-256等强加密算法进行端到端加密存储密钥必须存储在专门的密钥管理系统KMS中且必须自动轮转轮转周期不超过90天备份文件也必须使用相同的加密算法进行加密存储必须使用TLS 1.3等强加密协议进行端到端加密传输必须采用基于RBACABAC的动态权限控制多因素认证MFA 最小权限原则只有特定的、经过授权的人员才能访问L4级PII访问L4级PII必须申请临时权限临时权限有效期不超过24小时禁止批量下载L4级PII必须严格遵守业务必需的最短时间原则留存时间不超过业务必需的最短时间到期必须自动销毁且必须采用不可恢复的销毁方式在非必要场景下完全不展示在必要场景下必须经过严格的审批流程且必须实时记录访问日志必须记录“谁、在什么时间、从什么IP地址、访问了什么数据、做了什么操作”必须设置异常访问行为的告警规则比如非工作时间访问L4级PII、批量下载L4级PII、从陌生IP地址访问L4级PII等一旦发现异常访问行为必须立即触发告警并采取相应的应急措施L3级必须使用AES-256等强加密算法进行加密存储密钥必须存储在专门的密钥管理系统KMS中且必须自动轮转轮转周期不超过180天备份文件也必须使用相同的加密算法进行加密存储必须使用TLS 1.3等强加密协议进行加密传输必须采用基于RBACABAC的动态权限控制最小权限原则只有特定的、经过授权的人员才能访问L3级PII禁止批量下载L3级PII除非经过严格的审批流程必须严格遵守业务必需的最短时间原则留存时间不超过业务必需的最短时间到期必须自动销毁且必须采用不可恢复的销毁方式在非必要场景下必须进行字段内容级脱敏比如只展示身份证号的前6位和后4位中间用“”代替只展示手机号的前3位和后4位中间用“”代替在必要场景下可以展示明文数据但必须实时记录访问日志必须记录“谁、在什么时间、从什么IP地址、访问了什么数据、做了什么操作”必须设置异常访问行为的告警规则比如非工作时间访问L3级PII、批量下载L3级PII、从陌生IP地址访问L3级PII等一旦发现异常访问行为必须立即触发告警并采取相应的应急措施L2级建议使用AES-256等强加密算法进行加密存储密钥可以存储在专门的密钥管理系统KMS中也可以存储在数据库的加密字段中备份文件建议使用相同的加密算法进行加密存储建议使用TLS 1.3等强加密协议进行加密传输必须采用基于RBAC的权限控制最小权限原则只有特定的、经过授权的人员才能访问L2级PII批量下载L2级PII必须经过审批流程必须严格遵守业务必需的最短时间原则留存时间不超过业务必需的最短时间到期必须自动销毁且必须采用不可恢复的销毁方式在非必要场景下可以进行字段级脱敏或字段内容级脱敏在必要场景下可以展示明文数据但建议实时记录访问日志建议记录“谁、在什么时间、从什么IP地址、访问了什么数据、做了什么操作”建议设置异常访问行为的告警规则L1级常规存储即可备份文件常规存储即可常规传输即可常规访问控制即可可以根据业务需要留存到期可以自动销毁也可以手动销毁可以展示明文数据不需要记录访问日志六、PII分类分级的责任主体和流程责任主体隐私委员会负责审批PII分类分级标准负责协调解决PII分类分级工作中的重大问题隐私合规部负责制定和修订PII分类分级标准负责组织开展PII识别与分类分级工作负责审核各业务部门提交的PII分类分级结果负责定期组织开展PII分类分级结果的动态调整工作数据安全部负责提供PII识别与分类分级的技术支持负责搭建和维护PII识别与分类分级的工具链各业务部门隐私专员负责梳理本部门的数据资产负责初步识别和分类分级本部门的数据资产中的PII负责提交本部门的PII分类分级结果负责定期更新本部门的