数据生命周期管理：从创建到删除的数据治理完整指南

数据生命周期管理位于大多数组织安全计划中令人不安的薄弱环节的核心位置。根据 Netwrix Hybrid Security Trends Report 2024，数据分类是组织计划要实施的首要安全措施，但实际上只有约一半真正完成了。

意图与执行之间的差距意味着：敏感数据在没有明确负责人、保留（留存）策略或适当访问控制的情况下不断累积。久而久之，这些缺乏治理的数据就会变成监管机构和威胁行为者所利用的“精准攻击面”。在混合环境中，这一问题会进一步加剧。

根据 Netwrix Cybersecurity Trends Report 2025，目前 77% 的组织正在同时运行本地（on-premises）与云端基础设施；因此，数据分布在比大多数治理项目原本设计所能覆盖的更多系统、司法辖区以及身份边界之中。

数据生命周期管理提供了用于弥补这一差距的运营纪律：将数据分类、访问治理、保留策略以及审计证据连接起来，形成一个覆盖数据整个生命周期的管理项目。

什么是数据生命周期管理？

数据生命周期管理（DLM）是一种基于策略的方法，用于从数据创建开始，覆盖存储、使用、归档和删除等整个过程进行管理。其目标是在每个阶段都保持数据可用、安全且合规，而不仅仅是在审计员请求提供证据时才做到。

有效的 DLM 项目由四个核心目标驱动：

• 在正确的时间授予正确的访问权限：只有正确的人——且仅限正确的人——才能在每个阶段使用适当的控制措施，访问他们所需的数据。
• 完整性与一致性：数据在其整个运行生命周期中始终保持准确、完整且值得信赖，从而支持审慎决策与可靠分析。
• 安全与合规风险缓解：通过制定政策，可降低遭受数据泄露的风险、避免监管处罚，并减少因无人拥有或治理的数据而引发的运营混乱。
• 全生命周期治理： 数据在进入环境之初到退役之时都将被主动管理。这意味着在每个阶段都明确指定所有权、保留期限以及处置流程，从而避免数据超过其有用期后不断累积，最终成为无人能够解释和承担的负担。

数据生命周期管理并不等同于信息生命周期管理（ILM）。DLM 处理原始数据资产，包括文件和数据库，并管理其属性，如类型、大小和年龄（创建时间/存续时间）。ILM 更进一步，涵盖不同原始数据如何连接以形成业务信息，例如由多个系统中的记录组合而成的采购订单。

两者都覆盖本地和云环境中的结构化与非结构化内容，但 DLM 是 ILM 所构建的运行基础。

数据生命周期管理为何重要

DLM（数据生命周期管理）的商业价值覆盖组织的各个部分。它从成本开始。随着混合环境不断发展、云端工作负载持续扩张，没有生命周期策略的组织最终会为那些多年未被任何人访问过的数据，支付热存储的价格。

将冷数据归档到更便宜的存储层、消除冗余副本、自动化生命周期迁移、并尽量减少不再为业务目的服务的数据，是降低基础设施支出并缩小攻击面（attack surface）的直接做法；但这需要制定策略，以明确数据何时以及如何迁移。

此外还有监管压力：

• HIPAA 要求对合规文档进行多年期保存
• SOX要求保留某些财务记录，并设置防止不当篡改的控制措施
• CMMC以及类似框架要求向政府供应链销售的组织满足基本的可审计性要求

这些义务相互重叠，而在隐私法规下的数据删除以及“不要共享”请求会在保留规则之外进一步增加运营负担。DLM 提供一个统一的运营框架，以在不为每项法规分别构建独立项目的情况下满足这些要求。

安全风险将一切联系在一起。缺乏治理的数据，尤其是已经超过保留期限的敏感数据，或可被过于庞大的用户群访问的数据，会扩大攻击面，并在事故发生时提高事故成本。

任何未明确指定所有者、保留策略或适当访问控制的 数据集，都是在发生泄露调查或监管审计时才会浮出水面的隐患。

数据生命周期管理计划的核心组成

在深入审视各个生命周期阶段之前，有四个组成部分构成了有效 DLM 计划的运行支柱。这些需要先到位，才能在任何阶段对数据进行治理。

数据分类与编目

团队无法治理他们看不见的内容。对数据资产进行编目，并应用一致的分类（public、internal、confidential、regulated）是其他一切建立在其上的基础。分类应在摄取时自动完成，并在数据经过生命周期阶段流转时进行更新。

所收集的元数据（包括敏感度级别、监管要求、业务负责人、保留/存储计划以及访问模式）会推动与保留、访问和保护相关的每一项后续决策。

用于保留、访问和质量的策略

策略可分为三类，且三类需要协同工作：

• 保留策略定义每种数据类型需要保存多久、何时应归档、何时应删除，并与适用的监管和合同要求保持一致。
• 访问策略定义在何种条件下、由谁来访问哪些数据、需要什么级别的审批，并与数据分类建立映射关系。随着数据在生命周期阶段中流转，访问策略也会相应演变。
• 质量策略为关键数据集制定准确性、完整性和及时性标准；当数据低于阈值时，会提供清晰的整改工作流程。

对于在多个司法辖区开展业务的组织来说，挑战在于将这些政策在相互重叠、且有时彼此冲突的监管要求之间实现协调一致。

存储分层与成本优化

并非所有数据都值得采用同样的存储处理方式。根据访问模式和业务价值，将数据集映射到不同的存储分层（热、温、冷、归档）。

支撑日常运营的活动数据应放在高性能存储上。仅在审计或法律扣押（legal holds）期间才会出现的归档数据，应放在满足可访问性要求且价格最低的可用存储上。

监控、审计与生命周期自动化

手动的生命周期管理无法规模化。自动化系统需要跟踪各阶段之间的数据流转，检测策略违规，并提供审计证据。

监控应涵盖：

• 数据访问模式
• 权限变更
• 生命周期转换
• 策略例外

审计需要提供与特定合规框架相对应的证据，而不是原始日志。此外，自动化应处理重复性工作，包括在不同存储层之间移动数据、在保留期限到期时触发删除工作流，并按计划启动访问审查。

数据生命周期的关键阶段

每一份数据都会按可预测的阶段流转。理解这些阶段，并将治理任务映射到每个阶段，有助于将临时性的数据管理与可辩护的治理计划区分开来。

第 1 阶段：创建与收集

治理从数据摄入的那一刻开始，而不是等到几个月后某个人终于着手处理的时候。数据一进入环境，就应按敏感度（公开、内部、机密、受监管）进行分类，并分配给对其生命周期负责的业务负责人。

在此阶段捕获的元数据（包括来源、时间戳、血缘关系和保留计划）将推动所有后续决策：数据如何存储、谁可以访问，以及何时应当删除。

标准的隐私与安全框架通过要求组织在收集数据之前记录收集目的和法律依据来强化这一原则，而不是在数据已经在各系统中大量扩散之后才去做。

第 2 阶段：存储与维护

数据所在的位置应当反映其使用方式以及其价值。用于日常运营的活动数据集应放置在带有静态加密（AES-256）的高性能存储中，而访问频率较低的数据则应迁移到更经济的存储层级。

访问控制需要与第 1 阶段应用的分类保持一致，并使用 role-based access control (RBAC) ，将敏感数据限制为只有具有合法需求的人员和系统才能访问。

按季度进行的访问审查可以在权限逐渐偏离（permission drift）并最终演变为合规性问题之前发现它；同时，备份配置应与组织的 RTO/RPO 要求保持一致，确保对恢复的预期符合实际情况。

第 3 阶段：使用与处理

这是数据创造业务价值的地方，也是最容易被忽视的治理环节。当数据经过转换、分析流水线以及业务应用程序时，质量必须保持在较高水平。数据质量下降会导致决策质量下降。

监控使用模式中的异常有助于更早发现未授权访问或数据外传尝试；同时，在非生产环境中对敏感数据进行脱敏或令牌化，可防止测试与开发阶段的暴露。

这里的关键原则是通过技术控制来落实“目的限制（purpose limitation）”，而不是依赖无人会去检查的书面政策。

第 4 阶段：共享、分发与归档

一旦数据跨越组织边界——无论是与合作伙伴共享、流向下游系统，还是进入长期归档存储——治理重点就会转向第三方风险。供应商安全评估、数据处理协议、传输加密，以及带有自动到期机制的限时访问，都会降低共享数据最终落入不该出现地点的概率。

同样重要的是，在对外分发过程中保持数据血缘（data lineage）。如果缺少它，团队就无法响应数据主体请求，也无法在事件发生时回答一个根本性问题：这份数据实际上存放在哪里？

第 5 阶段：保留与删除

风险在两个方向同时存在：删除得太早，组织可能面临证据妨碍（spoliation）制裁和监管处罚；保留得太久，累积的数据会扩大泄露暴露面、推高存储成本，并可能违反 GDPR 下的数据最小化要求。

要把这件事做对，需要将保留计划与法律保全（legal holds）、监管规则以及内部政策对齐。在触发任何删除流程之前，团队应评估这些数据是否可以被重新用于其他业务功能。因为重新采集往往比持续保留成本更高。

在这里，跨法务、合规、安全与 IT 进行协调至关重要；否则，政策偏离和未记录的例外将成为常态。以下三个运营领域需要特别关注：

• 法律保全（Legal hold）管理： 在预计可能发生诉讼时暂停自动删除；跟踪所有处于保全状态的数据；一旦保全解除则应及时释放。
• 安全处置： 按照 NIST SP 800-88 指南对物理介质执行经过认证的清除（sanitization），并对基于云的数据执行密码学擦除（cryptographic erasure）。
• 证明与完整性： 保留删除日志和证书，并将删除扩展到所有副本、备份以及分布式实例。

理解这些阶段是一回事；而真正让大多数项目卡住的，是为其治理而构建运营基础设施。

如何制定数据生命周期管理策略

理论很有用，但关键在于落地实施。以下五步方法适用于资源受限的中型市场团队。

步骤 1：盘点关键系统和数据域

从一个根本问题开始：数据究竟存放在哪里？大多数组织能够说出其主要数据库和文件共享的位置，但完整的全貌还包括：

• 已获批准的云端代码库/数据仓库
• 未经任何人批准的影子 IT 部署
• 随组织演进而自然形成的系统间数据流
• 由于三年前有人需要临时解决方案而产生的本地副本

在云端、本地和混合环境中对核心数据类型进行映射是第一步，但如果不与理解数据实际如何被使用、适用于数据的监管义务是什么，以及治理从未触及过哪些存储库的业务负责人合作，清单就会不完整。

步骤 2：为每个域定义生命周期阶段和策略

在整个组织中对生命周期阶段进行标准化，但允许针对特定域的细微差别：

• 客户 PII 的保留（存储/留存）要求与服务器日志数据不同
• 财务记录往往会遵循 SOX 下的多年期留存时间表。
• 医疗合规文档通常要求在 HIPAA 下保留六年。

针对每个领域，定义与适用法规一致的留存时长、访问要求、安全控制、归档触发条件以及法律保全（legal hold）流程。

第 3 步：将控制措施和工具映射到每个阶段

缺乏执行机制的政策只是文档，而不是治理。每个生命周期阶段都需要与能让政策落地运行的技术控制相连接：备份系统、归档平台、加密工具、访问治理解决方案以及监控基础设施。

Identity-aware tools 在这里发挥着特别重要的作用，因为它们同时理解数据以及谁可以访问这些数据。

当某人更换角色或承包商的项目结束时，访问权限需要相应调整；这种调整应由数据所处的生命周期阶段驱动，而不是由某个人记得去提交的手工工单来推动。

步骤 4：实施治理工作流与责任归属

指定对保留期限、访问权限和共享决策负责并负责审批的数据所有者。这些通常是对特定业务域承担问责责任的业务领导者，而不是 IT 人员。

建立覆盖访问请求、分类复核、保留期限复核、事件响应以及数据主体权利履行的工作流。对大多数中型市场组织而言，采用混合模式（集中制定策略、分布式执行）能够在一致性与实际资源限制之间取得平衡。

第 5 步：衡量、改进与调整

在四个类别中跟踪指标：

• 合规指标： 符合保留策略的数据占比、响应监管审计或 DSARs 所需的时间、检测到并已整改的策略违规情况
• 运营指标： 与基线相比的数据类别存储成本、拥有明确责任人的数据资产比例、跨系统的生命周期策略覆盖情况
• 质量指标： 数据准确率、必填字段的完整性，以及与 SLA 相比的数据新鲜度
• 成熟度指标： 各系统中的策略采用率、治理培训参与率、具备已记录谱系（lineage）的关键数据占比

应结合监管变化、新的业务举措以及不断涌现的风险，定期审查生命周期策略。治理是一项持续的实践，而不是有明确结束日期的项目。

数据生命周期管理始于可见性

数据生命周期管理的主线是责任制（accountability）。在每个阶段，都需要有人知道有哪些数据存在、谁可以访问它、这些数据是否仍应保留，以及如果其中任何一个答案不正确会发生什么。将 DLM 视为持续的规范而非一次性项目的组织，才是在不慌不忙中通过审计、更快遏制泄露，并避免为没人需要的存储付费的组织。

难点不在于理解需要做什么；而在于在混合环境中建立真正可执行的可见性。因为在这些环境里，数据、身份以及访问权限不断变化。

Netwrix 1Secure正是为解决这一问题而打造。该平台将敏感数据发现与分类与具备身份感知的访问治理以及跨本地和云环境的活动监控相连接。

这让中端市场团队在无需承受企业级复杂度的情况下，获得数据生命周期管理所要求的持续可视性。

预约演示 以了解Netwrix 1Secure如何在混合环境中提供生命周期可见性。