混合表整表同权
一张客户表里既有身份证号又有公开标签，整表按一个级别管，结果要么全员可见敏感字段，要么连公开字段都取不到。处置是把敏感字段拆表或做列级权限，再按字段级别配导出规则，别指望靠培训让人自觉。
测试环境裸拷
开发为了方便直接拷生产库，测试环境没有同等管控，数据在低防护环境里扩散。处置顺序是先脱敏再供数，测试库与生产库分权，取数走申请；同时清理历史遗留的测试数据副本，否则脱敏只对新数据有效。
共享未标级
把数据发给合作方时只说用途、不说级别，对方按自己的标准存储，出事后责任说不清。处置是在共享前完成标级、签署数据处理协议、约定删除与审计义务；共享台账要能查到发了什么、发给谁、什么时候到期。
批量导出无审计
客户名单、报价表被离职人员整批导出，事后才发现没有导出审计。处置是给批量导出设阈值与审批、加下载水印、离职当天回收权限；技术上限速与告警，管理上把导出记录纳入交接清单，两边都要有。
语料未标级
训练语料直接混入客服对话与工单，未做分级与脱敏就进模型，模型把敏感内容记住后很难清除。处置是在入湖或入训练集前完成标级与脱敏，保留语料来源与处理记录，并对微调产物按同等级别管理，不能降级。
适用与不适用
适合谁
- 有客户数据、工单与合同数据的企业
- 正在做数据治理、分级执行走样的组织
- 准备把业务数据用于模型训练的项目组
不适合谁
- 只有公开信息、没有个人信息的数据团队
- 希望用一份分级表覆盖全部场景的项目
典型场景
某企业的客服工单既含手机号又含产品故障描述，被整体定为内部数据，坐席可以整表导出。治理组把手机号拆到独立字段并加密，导出改走审批与水印，工单正文按一般数据开放；随后清理测试库里的历史副本，再给训练语料加标级流程。
可执行步骤
- 先挑出字段敏感度差异最大的几张表，做列级拆分或权限隔离，跑通后再推广
- 测试环境改为脱敏供数、取数走申请，同时清理历史遗留的生产数据副本
- 数据共享前完成标级并签数据处理协议，把台账与到期时间登记清楚，到期主动回收
- 对批量导出设阈值、审批与水印，员工离职当天回收全部数据权限，并核对导出记录
- 训练语料入集前完成标级与脱敏，保留来源、规则版本与处理记录，产物同级管理
常见坑
- 整表一个级别，敏感字段人人可见，导出记录也查不到谁拿走了什么，出事只能全量排查，追责更无从谈起。
- 测试库拷生产数据却不脱敏，开发环境成了最薄弱的一环，泄露往往从这里开始，事后很难解释，追责也难。
- 共享只发文件、不签协议，对方二次转发后，删除义务与责任都无从主张，只能自认，事后追悔也没用。
- 离职交接只看文档，不看导出记录，客户名单被带走后才发现，追回也很困难，损失已经造成，教训很贵。
自检与验收清单
- 敏感字段是否拆表，或按列配置了独立的访问权限
- 测试环境是否脱敏供数，历史数据副本是否已清理
- 共享是否完成标级、签协议，并登记台账与到期时间
- 批量导出是否有阈值、审批与水印，且可追溯到人
- 训练语料是否标级、脱敏后才进入训练集并留记录
常见问题
字段级权限成本很高怎么办？
先做高价值表的字段级权限，比如客户、合同、薪资，其余表用视图或脱敏查询替代。字段级权限不必一次全覆盖，按导出频次与敏感度排序，先把最容易被整表拿走的那几张表管住，收益最明显。
测试数据脱敏后还能复现问题吗？
多数问题可以。保留数据分布与关联关系、替换真实值即可复现逻辑缺陷；涉及特定证件号或卡号的边界问题，可在受控环境用少量样本单独验证。完全不脱敏地拷生产库，风险远大于便利。
外包团队需要原始数据怎么办？
优先给脱敏数据或受控查询接口，必须给原始数据时走审批、限定范围与时限，签保密与数据处理协议，并保留访问日志。把原始数据打包发邮件是最危险的做法，一旦转发就无法收回，也无法证明边界。