沿着 数据加密 的线索，重绘一条可被验证的隐私防线

先做数据流向测绘，再谈加密

用 2 周时间梳理系统间的数据出入点，输出「数据流 × 字段 × 责任方」三列表。避坑点：不要从数据库表开始盘点，应从接口与第三方调用开始，明文暴露通常出现在跨系统调用而非库内。

字段分级：把高敏字段单独标记

按「身份证号 / 手机号 / 生物特征 / 支付凭据」四类打标，标记率需达 100%；未标记字段默认按高敏处理。避坑点：不要用表级标签替代字段级标签，否则授权会粗放到整表。

统一传输基线：禁用早于 TLS 1.2 的协议

全站最低 TLS 1.3，关闭 RSA 密钥交换，启用前向保密套件；对内部服务间调用同样生效。避坑点：只在边缘网关升级而忽略服务网格内部流量，会留下大量明文断面。

静态加密与密钥托管分离

静态数据使用 AES-256-GCM，密钥交由 HSM 托管并启用 90 天自动轮换；业务系统只持有密钥引用而非明文。避坑点：把密钥写在配置文件或环境变量里，等于把加密变成装饰。

授权收敛：默认拒绝 + 逐项开通

把角色权限压缩到人均 ≤ 5 项，每季度复核一次；高敏字段访问需二次认证。避坑点：用「部门」而非「职责」划分角色，会导致权限随人员流动持续膨胀。

把日志做成可追溯的证据链

保留 ≥ 365 天，记录「谁、何时、从哪、访问了什么字段、结果如何」五要素，并做防篡改校验。避坑点：只记录登录行为而忽略字段级读取，事后无法定位泄露范围。

用演练验证，而不是用文档证明

每季度做一次泄露演练：随机抽取 20 个高敏字段，验证能否在 60 秒内定位责任人并完成阻断。避坑点：演练脚本常年不变，会把真实盲区练成肌肉记忆的假象。