数据资产识别方法与工具

2.1 数据资产识别解决什么问题

数据资产识别的核心任务是回答六个问题：有什么数据、从哪里来、存在哪里、流向哪里、由谁负责、采用了什么保护措施。

2.2 七步识别流程

2.3 识别方法一：访谈

访谈适用于业务资料不完整、系统历史较长、流程复杂或存在大量人工操作的场景。访谈时不要只问“有没有敏感数据”，因为业务人员可能不熟悉术语。应围绕具体操作提问。

2.4 识别方法二：文档审查

• 系统架构图：帮助识别系统边界、数据库、接口和第三方连接。
• 数据字典：帮助识别表名、字段名、数据类型和字段含义。
• 接口文档：帮助识别请求参数、返回字段、鉴权方式和调用方。
• 权限清单：帮助识别哪些账号、角色和部门可以访问数据。
• 备份清单：帮助识别备份位置、周期、加密状态和保存期限。
• 合同与协议：帮助识别委托处理、对外提供和第三方责任。
• 隐私政策与用户协议：帮助核对告知内容与实际收集字段是否一致。

2.5 识别方法三：技术扫描

技术扫描通过工具发现数据库字段、文件内容、敏感号码、接口参数和云存储权限。扫描结果属于初步线索，仍需业务复核。字段名为“phone”通常表示手机号，字段名为“code”可能是验证码、课程代码或地区编码。

2.6 识别方法四：数据流分析

数据流图用于表示数据从入口到出口的路径。初学者不需要一开始使用复杂建模工具，用方框和箭头即可。

画图后，应逐个检查箭头：传输依据是什么、字段是否必要、是否加密、接收方是谁、保存多久、是否可追溯。

2.7 数据资产台账怎么填

2.8 一份完整的入门示例

2.9 识别工作常见遗漏

• 只登记生产数据库，遗漏测试库、备份库、缓存和导出文件。
• 只登记业务数据，遗漏日志、配置文件、接口令牌和审计记录。
• 只写系统名称，没有具体到数据表、文件库或接口。
• 只识别内部使用，遗漏第三方短信、支付、云服务和外包运维。
• 台账建立后长期不更新，系统变化与台账内容不一致。

本节自测

1. 技术扫描发现一个名为 code 的字段，能否直接认定为验证码？为什么？

2. 备份系统中的数据级别应如何确定？

3. 数据资产台账中为什么要记录责任人和最后更新时间？