个人身份信息：定义与示例

了解可识别个人身份信息（PII）

可识别个人身份信息（PII）是指任何数据：无论单独使用，还是与其他信息结合使用，都可以用来识别、联系或定位某一特定个人。PII 的示例包括全名、社会保障号码、护照号码、驾照号码以及生物识别数据。

“personally identifiable information（个人可识别信息）”这一术语在 1970 年代于美国逐渐受到关注，这是因为各国政府和组织开始认识到未经授权的数据使用所带来的风险。一个具有里程碑意义的时刻，是美国卫生、教育和福利部（US Department of Health, Education, and Welfare）在 1973 年发布的报告。该报告阐明了公平信息实践原则（FIPPs）。这为 data privacy 监管以及后来被称为 PII 的概念框架奠定了基础。

随着技术的发展，PII 的范围不断扩大：

• 1980 — 经合组织（OECD）关于《隐私保护与跨境个人数据流动》的指南在国际层面上正式论述了 PII。
• 2000 年代 — 互联网和电子商务的兴起凸显了在线数据暴露的风险。
• 2010 年代及以后 — 例如《通用数据保护条例》（GDPR）在欧盟，以及 California Consumer Privacy Act（CCPA）在美国，对何谓 PII 的理解进行了重新定义并进一步拓展。
• 今天 — PII 不仅涵盖静态标识符，还包括在线行为、地理位置和设备标识符等动态数据。

在日益互联的世界中，PII 至关重要，因为它支撑着隐私、安全与信任。企业、政府以及在线平台对个人数据的广泛收集与处理，会进一步提高身份盗窃、欺诈以及 数据泄露的风险。对 PII 的强力保护不仅有助于满足 GDPR 和 CCPA 等法规要求，也能在技术快速发展的时代维护客户信任并保障个人权利。

什么算是可识别个人身份的信息（Personally Identifiable Information）？

当信息满足以下任一条件时，即可被视为 PII：

• 对个人的唯一识别— 该信息能够直接指向某一具体个人，就像社会保障号码（Social Security number）或电子邮件地址一样。
• 可关联性— 当该信息与其他可获得的数据结合时，可以合理地识别个人，例如将邮政编码、出生日期和性别组合在一起。

在评估信息是否属于 PII 时，语境至关重要：

• 数据聚合— 单独来看并非 PII 的信息，在与其他数据集组合后可能变成 PII。 例如，仅凭一个 IP 地址可能并不属于 PII，但一旦与用户账户关联起来，它就会成为 PII。
• 目的与访问权限— 谁可以访问这些数据，以及他们打算如何使用它们，这会产生影响。例如，对于处在敏感职业（如执法人员）的人而言，其位置信息可能会被视为 PII。
• 去标识化与再标识风险 — 即使是去标识化的数据，有时也可能借助其他数据源被重新识别，从而潜在地恢复其作为 PII 的状态。

可识别个人信息（PII）的类型

PII 可根据可识别程度大致分为两类：直接标识符和间接（或准）标识符。

直接标识符

这些信息能够在无需额外数据的情况下，直接且唯一地识别某个人。直接标识符包括：

• 法定全名，例如 John A. Smith
• 社会保障号码（SSN）
• 护照号码
• 驾驶执照或州身份证号码
• 个人电话号码
• 个人电子邮箱地址
• 生物识别数据（例如：指纹、视网膜扫描、面部识别数据）
• 信用卡或银行账户号码
• 正面照片

间接（准）标识符

这些信息本身并不能直接识别个人，但在与其他数据组合后可能会实现识别。以下是一些常见的间接标识符类型，并附有示例：

• 人口统计信息： 出生日期、性别、种族/族裔、年龄或婚姻状况
• 地理信息：邮寄地址、邮政编码、出生城市或旅行史
• 教育经历： 学校名称或已获得的学位
• 就业数据：职位名称、公司、办公地点
• 设备信息：IP 地址、MAC 地址、设备 ID（取决于具体情境和司法管辖区）
• 行为信息：购买记录、浏览习惯

新兴的 PII 类型

随着技术的进步，越来越多的新类型信息被视为 PII：

• 数字标识符：广告 ID、MAC 地址
• 行为数据： 浏览历史记录、搜索查询
• 遗传信息： DNA 画像

敏感与非敏感 PII

PII 可能是敏感的，也可能是非敏感的。

敏感 PII

敏感个人可识别信息（Sensitive PII）是指一旦泄露或被破坏，可能对个人造成重大损害、尴尬、经济损失或法律责任的信息。示例包括：

• 社会保障号码
• 护照和驾照号码
• 银行账户和信用卡信息
• 医疗记录（也被视为 PHI），例如在医疗系统中出现的糖尿病诊断
• 法律记录（犯罪记录、移民身份）
• 生物识别数据（指纹、视网膜扫描）
• 正面照片（在特定情境下）
• 位置信息（GPS 坐标、实时跟踪）

非敏感 PII

非敏感 PII 是指通常公开可获得的信息，或在被披露时不太可能造成严重危害。示例如下：

• 全名（不包含其他标识符）
• 商务联系信息（办公电话、公司电子邮箱）
• 职位名称或公司所属
• 一般人口统计数据（种族、性别——前提是不与其他标识符组合）

非敏感 PII 本身的独立风险较低，但在与其他数据集结合时（数据聚合）可能会增加风险。

组织如何以不同方式处理敏感 PII 和非敏感 PII

可识别个人身份的信息示例

身份验证中常见的示例

行业特定的实例（例如医疗、金融）

关于哪些数据是或不是 PII 的常见误区

什么不是 PII？

并非所有数据都被视为 PII。非 PII（Non-PII）指的是无法单独用于识别特定个人的信息。然而，在某些情况下，非 PII 在与其他数据点组合后可能会变成 PII。

个人数据 vs. PII

• PII 指能够唯一识别个人的数据。该术语主要用于美国的法律与网络安全语境（例如 NIST、HIPAA）。
• 个人数据 的范围比 PII 更广。在《通用数据保护条例》(GDPR) 等法律下，它包括与可识别个人相关的任何信息，即使是间接的（例如设备 ID、IP 地址）。

非 PII 的示例

以下内容通常不是 PII — 除非它们与其他可识别数据关联：

• 浏览器类型或设备型号
• 邮政编码（如果不足以识别某个家庭）
• 年龄范围
• 性别
• 匿名问卷回复
• 匿名化数据
• 汇总分析数据
• 无法追溯到特定个人的随机生成用户 ID

当“非 PII”变成“PII”时

当出现以下情况时，“非 PII”可能会变成“PII”：

• 它与其他数据存在关联。例如，邮政编码 + 出生日期 + 性别往往可以唯一识别某个人。
• 可能发生重新识别。如果可以使用外部信息（例如社交媒体或公开记录）对匿名数据进行去匿名化，那么它就不再属于“非 PII”。
• 会发生数据关联。行为数据（如点击流）可能看似匿名，但可通过分析来识别特定用户。

PII 如何被收集和存储

组织必须负责任地管理 PII，以保护个人并遵守 GDPR、CCPA 和 HIPAA 等法规。

PII 的收集方法

PII 存储在哪里

大多数现代组织会将 PII 存储在云环境中，例如 AWS、Microsoft Entra 以及 Google Cloud（公有、私有或混合）。PII 也常存储在 SaaS 平台中（如 CRM、HRIS、ERP）。

不过，一些企业仍会为敏感工作负载使用本地服务器和数据库，并采用将本地与云存储结合在一起的混合系统。

无论数据存储在何处，PII 都必须进行加密（静态和传输中），以安全方式进行备份，并定期进行审计。

PII 收集中的同意与透明度

用户同意

像 GDPR 和 CCPA 这样的法律要求，在收集个人数据之前必须获得明确、知情的同意。这意味着：

• 用户必须选择同意（而不是预先勾选的选项）。
• 同意必须是自愿给予的、具体的、知情的且毫不含糊的。
• 撤回同意必须同样容易。

透明度要求

组织必须提供：

• 清晰的隐私政策，说明收集哪些数据、如何使用这些数据、将保留多久以及是否与任何第三方共享
• 在数据收集时点提供通知，例如 cookie横幅或内嵌免责声明
• 方便用户查看、纠正和删除其数据的方法

PII 是如何被泄露的

PII 是网络犯罪分子的首要目标，因为它可用于金融诈骗、身份盗窃以及企业间谍活动。了解 PII 常见的被泄露方式，有助于组织和个人更好地加以保护。

常见威胁途径

攻击者通常会使用以下方式获取对 PII 的访问：

• 网络钓鱼（Phishing） — 伪造的电子邮件或网站会诱骗用户透露登录凭据或个人信息。它们通常被伪装成来自银行、雇主或服务提供商的合法通信。
• 恶意软件 — 安装在设备上的恶意软件（例如键盘记录器、间谍软件、勒索软件）可能会捕获按键、外传已存储的凭据或文件，并为将来的访问打开后门。
• 社会工程 — 攻击者通过冒充 IT 人员、利用社交媒体上的信息来赢得信任，并说服员工授予系统访问权限或绕过协议，从而操纵他人。
• 薄弱的安全实践 — 攻击者也可以通过利用不良的密码习惯、未修补或过时的软件、不安全的 API 或第三方服务，以及配置错误的云存储（例如公开的 S3 存储桶）来获取对 PII 的访问权限。

数据泄露与真实世界事件

数据泄露发生在未经授权的个人获得对 PII 的访问权限时。其后果可能对被泄露的组织以及数据遭到泄露的个人都造成严重影响。

以下是一些备受关注的事件：

• Equifax (2017) — 这次攻击影响了 1.47 亿人，导致他们的 Social Security numbers、出生日期等信息暴露。
• Facebook (2019) — 通过存放在未加固云数据库中的第三方应用程序，5.4 亿条用户记录被暴露。
• Marriott (2018–2020) — 黑客从 5 亿名住客那里窃取了数据，包括护照号码和预订详情。

攻击者如何利用被盗的 PII

被盗的 PII 在黑市中具有巨大的价值，并且可以通过多种方式加以利用。即使只有少量 PII（例如姓名、出生日期或 Social Security number），也往往足以实施这些行为。

身份盗用与欺诈

被盗的 PII 使攻击者能够冒充受害者，并执行欺诈行为，例如：

• 开设信用卡或银行账户
• 办理贷款
• 进行未经授权的购买
• 提交虚假报税以获取退款

凭证填充与账户劫持

如果被盗的 PII 包括用户名和密码，攻击者可以运行自动化脚本，尝试这些凭据并在多个平台（银行、电子邮件、电商）上进行验证。由于密码复用，这往往会导致完全的账户劫持，从而获得对敏感数据和已存资金的访问权限。

定向网络钓鱼与社会工程学

掌握关于某个个人的详细 PII 会让攻击者在未来更有效地对其进行针对性攻击。凭借有关雇主或近期购买等信息的准确细节，他们可以假装是可信的联系人或服务提供方，从而诱骗受害者泄露更多信息，或促使其进行金融交易。

医疗与保险欺诈

被盗的健康记录或保险信息可用于：

• 提交虚假的医疗理赔
• 接受未经授权的治疗或处方
• 盗用他人的医疗身份可能导致患者护理中的危险错误

勒索或敲诈

高度敏感的个人身份信息（例如私人消息或健康史）可能被用来威胁公开曝光，除非支付赎金；同时也可用于在声誉受损的宣传活动中锁定个人。

暗网销售与数据转售

有时，攻击者会出售 PII，而不是自己使用。“Fullz” 套餐（完整的身份资料）可能以高价出售；健康记录、护照和信用卡数据在暗网市场上通常能卖到更高的溢价。

长期影响

与被盗的信用卡不同，PII 并不总是能够轻易替换。受害者可能面临：

• 多年监测与法律纠纷
• 由于犯罪分子之间的数据流通而反复遭到针对
• 由于记录遭到泄露，难以获得信贷或找到工作

规范个人可识别信息（PII）的法规

让我们快速了解规范 PII 的法规，涵盖美国法律、国际框架，以及全球范围内定义与保护措施的差异。

美国法律

国际框架

不同国家或地区对 PII 的定义与保护措施的差异

保护可识别个人身份的信息

保护 PII 由于数据泄露、身份盗窃和网络攻击带来的威胁不断增加，在当今的数字时代至关重要。

个人的最佳实践

企业数据处理规范

减少攻击面

不当处理 PII 的后果

不当处理 PII 可能会给组织和个人带来严重后果。

不当处理 PII 的组织可能面临的后果

罚款与监管制裁

未能遵守数据保护法律的组织可能会面临巨额罚款。以下是一些示例：

• GDPR (EU) — 最高可达 2000 万欧元，或全球年度营业额的 4%（以较高者为准）。示例包括 British Airways（2000 万英镑罚款）和 Marriott International（1840 万英镑罚款）。
• CCPA (California) — 非故意违规最高可达每次 $2,500，故意违规最高可达每次 $7,500 的民事罚款。私人诉权允许消费者就数据泄露提起诉讼。
• HIPAA（美国医疗行业） — 罚款范围为每次违规 $100 至 $50,000；同一违规类型每年最高可达 $150 万。

集体诉讼（Class Action）与和解

数据泄露的受害者往往会发起集体诉讼，在和解中，赔付、法律费用以及运营变更都可能耗费数百万美元。

补救成本

数据泄露后的支出包括事件响应、取证、公关、客户通知以及信用监测。根据 IBM《Cost of a Data Breach Report 2024》，一次数据泄露的平均成本为 445 万美元。

声誉受损与客户信任丧失

• 品牌侵蚀 — 数据泄露的消息会迅速传播，损害公司的公众形象。在这种情况下，声誉（良好口碑）的流失可能需要多年才能重建，甚至可能无法挽回。
• 客户流失 — 客户可能会转向被认为更安全的竞争对手。金融、医疗或电商等行业的企业尤其容易出现流失（churn）。
• 竞争优势的丧失 — 遭到泄露的组织可能会失去商业秘密、专有信息，或面临运营中断。
• 市场价值下降 — 上市公司在发生泄露公告后，股价往往会下跌。随后可能会出现股东诉讼，尤其是在涉及过失的情况下。

对其 PII 被处理不当的个人的后果

• 身份盗用 — 犯罪分子可以使用被盗的 PII 开设银行账户、申请贷款，或提交欺诈性的税务申报。
• 金融欺诈 — 被盗的信用卡和银行信息可能导致未经授权的交易、资金损失以及信用评分受损。
• 情绪和心理困扰 — 受害者可能会遭受焦虑、压力以及对再次遭受侵害的恐惧。此外，重建身份可能是一个漫长、令人沮丧且具有侵入性的过程。
• 定向诈骗和网络钓鱼 — 泄露的信息可用于高度个性化的诈骗，而这类诈骗往往难以察觉。
• 对就业或社会的影响 — 敏感的个人信息一旦被曝光，可能导致职业尴尬或社会污名化。

案例研究：重大 PII 泄露

Equifax 数据泄露事件（2017 年）

Equifax 是美国最大的信用报告机构之一，遭遇了重大的网络安全事件，导致约 1.479 亿名美国人的敏感个人信息被曝光——几乎占该国人口的一半。该事件也影响了加拿大和英国的民众。此次事件之所以引人注目，是因为它是历史上最严重的敏感数据泄露事件之一。

此次泄露发生在 2017 年 5 月 13 日至 7 月 30 日之间。该事件持续 76 天未被发现，使攻击者能够外传（窃取）大量数据。Equifax 于 2017 年 9 月 7 日公开披露了此事。攻击者利用了开源 Web 应用框架 Apache Struts 中的一个漏洞（CVE-2017-5638）。该漏洞在 2017 年 3 月已被公开披露并进行了修补，但 Equifax 未能及时应用补丁。后续报告指出，部分系统缺少适当的加密和安全协议。

被泄露的数据包括姓名、社会保障号码（Social Security numbers）、出生日期、地址、信用卡信息（约 20.9 万人），以及包含个人信息的争议信函/文件（约 18.2 万人）。总体而言，此次泄露事件对身份盗窃和欺诈行为构成了显著风险。

除了声誉受损之外，Equifax 与此次泄露相关的成本高达 14 亿美元，其中包括法律和解、客户支持以及安全改进。和解方案还为受影响的个人提供了免费的信用监测和身份盗窃防护。Equifax 不得不投资对其网络安全基础设施进行全面改造，实施更强的加密、多因素认证以及实时威胁监测。在法律方面，Equifax 还面临来自监管机构和私人机构的多起诉讼和调查。

Facebook-剑桥分析丑闻

Facebook—剑桥分析丑闻于2018年初被曝光。当时揭露称，数百万Facebook用户的个人数据在未经同意的情况下被采集，并用于政治广告目的。问题的核心围绕一个第三方应用展开，该应用通过看似无害的性格测验来收集数据。尽管只有约27万名用户与该应用直接互动，然而当时Facebook的API使该应用不仅可以访问他们的数据，还可以访问其朋友的数据——最终导致超过8700万名用户的信息受到影响。随后，这些数据被移交给剑桥分析（Cambridge Analytica），这是一家政治咨询公司，它使用这些个人资料构建心理画像模型，并以高度个性化的政治信息对用户进行定向，尤其是在2016年美国总统选举和脱欧（Brexit）竞选期间。

Facebook遭到了来自全球各国政府和监管机构的严厉审查，最终促使其CEO马克·扎克伯格在美国国会和欧洲议会作证。公司的股价大幅下跌，声誉也遭受了严重损害。随后出现了监管层面的后果，包括2019年美国联邦贸易委员会（FTC）开出的50亿美元罚款——当时这是针对隐私违规所施加的最大罚款。

从备受关注的事件中汲取的经验教训

以下是从Equifax（亿股）泄露事件以及Facebook—剑桥分析丑闻等备受关注的数据隐私事件中总结出的关键经验：

• 优先保障数据安全并进行补丁管理。 组织必须保持最新的漏洞管理计划，并在可能的情况下自动化补丁部署。
• 透明且及时的沟通至关重要。 一套准备充分的事件响应与沟通计划，有助于维持信任，并确保危机期间的合规要求得到满足。
• 了解你拥有哪些数据——以及原因。 采用数据最小化和保留原则。只收集必要的数据，并明确界定收集目的与法律依据。
• 加强访问控制与内部监督。 实施基于角色的访问控制（RBAC），贯彻最小特权原则，并对数据访问进行实时监控。
• 用户同意必须是知情且细粒度的。 确保在数据收集与共享方面获得清晰、具体的主动选择同意（opt-in）。避免在隐私政策中使用难以理解、被隐藏的术语。
• 监管合规不是可选项。 违反 GDPR、CCPA 以及其他数据保护法律可能导致巨额罚款和诉讼。将隐私合规视为核心业务职能，而不是走过场的勾选项目。在制定数据战略时，邀请隐私官、法律顾问和 IT 团队共同参与。
• 定期测试并审计系统。 许多组织只有在发生事件之后才发现薄弱环节。最佳实践是在攻击者之前识别漏洞，定期开展安全审计、渗透测试和风险评估。
• 信任是脆弱的，需要持续赢得。 一旦失去，无论是来自客户、合作伙伴还是监管机构的信任，都极其难以重新获得。通过隐私设计、透明度和合乎伦理的数据使用来建立长期的可信度。
• 投资隐私教育与文化。 人为失误仍然是数据处理不当的重要因素。通过定期培训、意识提升项目以及领导层参与，努力营造“以隐私为先”的文化。

工作场所中的 PII 以及供应商协议

以下是关于如何在工作场所以及供应商协议中管理 PII 的详细指南，重点包括在第三方谈判过程中识别 PII、员工的职责以及供应商风险管理。

在第三方谈判过程中识别 PII

供应商风险评估与合规流程

PII 与 PHI：有什么区别？

PII 和受保护的健康信息（PHI）都是数据隐私与安全领域中的基础概念。以下内容将帮助你区分两者。

可识别个人信息（Personally Identifiable Information）

PII（Personally Identifiable Information，个人可识别信息）是指任何可用于直接或间接识别、联系或定位特定个人的信息，例如全名、社会保障号、电子邮件地址、电话号码、护照号码或驾照号码。PII 广泛适用于各个行业，例如金融、教育和零售。

受保护的健康信息（Protected Health Information）

PHI（受保护的健康信息）是 PII 的一个子集，专门与个人的健康状况、医疗护理或健康服务的付款有关。PHI 在美国依据 HIPAA 定义并受到监管。PHI 的示例包括：

• 病历
• 化验结果
• 保险信息
• 医生记录
• 预约安排

PII 和 PHI 的重叠

PHI 是 PII 的一个子集，但并非所有 PII 都是 PHI。例如，一个姓名是 PII，但如果将姓名与医疗诊断或保险号码组合在一起，就会变成 PHI。

法律层面的区别

同时适用两种类型的使用场景

• 用于远程医疗的应用程序，用于存储用户姓名和电子邮件地址（PII），以及预约记录和处方（PHI）
• 健康保险门户网站：收集登录凭据和联系信息（PII），以及理赔历史和治疗详情（PHI）
• 员工健康福利计划：收集用于激励追踪的人口统计数据（PII），以及健康风险评估和实验室检测结果（PHI）
• 使用同意书和联系方式（PII），以及来自患者访谈与检测的健康数据（PHI）的研究项目与临床试验

PII 的未来：趋势与新兴挑战

以下是需要关注的与 PII 相关的一些趋势与挑战。

AI 与大数据的影响

AI 和大数据分析正在改变 PII 管理，但也在放大风险。主要关注点包括：

• 数据量爆炸式增长 — AI 系统以海量数据集为“食粮”，其中往往包含敏感的个人数据。即使是匿名化的数据，只要有足够的辅助信息，也可能被重新识别。
• 画像分析与推断 — AI 能够从看似无害的数据中推断出敏感信息（例如政治观点、健康状况），从而产生新的“派生 PII”类别。
• 自动化决策 — AI 模型会影响就业、贷款和医疗等领域的重要决策。相关担忧包括公平性和可解释性。
• 数据最小化的挑战 — AI 依赖大型数据集才能表现出色，这与“仅收集必要数据”的原则相矛盾。

核心挑战在于在创新与隐私之间取得平衡，并确保对涉及 PII 的 AI 驱动决策实施适当的监督。

生物特征标识的兴起

生物特征数据——人脸识别、虹膜扫描、指纹、语音特征、DNA——正越来越多地用于身份认证、监控和个性化。例如，这些数据正在用于智能手机安全、机场通行（清关/安检放行）、工作场所出入以及医疗健康领域。

风险包括：

• 不可撤销性 — 与密码不同，如果你的面部或指纹遭到泄露，就无法更改。
• 大规模监视 — 政府和企业对人脸识别的使用引发了对公民自由的担忧。
• 数据泄露 — 由于数据价值高且具有持久性，生物识别数据库是首要攻击目标。

关键挑战在于，为生物识别信息的合伦理使用与存储制定法律与技术层面的保障措施。

呼吁建立统一的全球隐私框架

许多国家（以及美国的各个州）都在制定自己的隐私法律，这增加了复杂性：

• 不一致的法律阻碍国际数据传输以及全球业务发展。
• 跨国公司面临成本高昂且重复的合规工作。

正在制定可应对这些担忧的框架草案。其中包括：

• OECD 和 ISO 推动标准化的工作
• 关于数字隐私的拟议联合国公约
• 围绕“全球隐私协定（Global Privacy Accord）”或国际数据保护条约的讨论

挑战在于：在尊重国家主权和文化差异的同时，实现隐私权与执法机制在全球范围内的协调一致。

展望未来

关键新兴趋势

• 隐私优先（Privacy by design） — 从产品研发的源头开始将隐私融入其中
• 零信任架构 ——从基于边界的安全，转向以身份为中心的模型
• 合成数据 ——使用由 AI 生成的数据集来训练模型，而无需使用真实的 PII
• 去中心化身份（DID） ——使用区块链或类似技术，让用户掌控自己的身份

关键挑战

• 在高度互联的世界中维护信任
• 在创新与个人权利之间取得平衡
• 防止监视资本主义和数字极权主义

关于 Netwrix Data Classification

识别并保护 PII 对于避免代价高昂的泄露事件并确保遵守严格的 数据安全法规（如 GDPR 和 HIPAA）至关重要。然而，PII 往往分散在各种数据环境中，使得手动识别既困难又容易出错。

Netwrix Data Classification 使组织能够准确识别、分类并保护敏感数据，包括 PII。该过程可帮助他们降低与数据相关的风险，确保合规，并提升运营效率。与 PII 相关的关键能力包括：

• 自动发现 — 使用预定义且可自定义的规则，检测分布在本地文件共享、SharePoint、云存储等位置的各种类型的 PII。
• 数据分类 — 根据敏感度和内容类型对文件进行标记（例如财务数据、健康数据），从而帮助组织基于风险对保护工作进行优先级排序。
• 法规映射 — 通过将 PII 与法律要求对应起来，并简化审计与报告流程，支持遵从 GDPR、CCPA 和 HIPAA 等法规。
• 风险缓解 — 识别暴露过度或管理不当的 PII（例如存储在公开文件夹中的数据或被广泛共享的内容），并通过与 Netwrix Auditor 以及其他 DLP/IRM 解决方案集成来支持整改。
• 数据主体访问请求（DSARs）的处理流程 — 加速 DSAR 通过快速定位分布在各个存储库中与个人相关的所有 PII，从而提高处理效率。

常见问题解答

什么是对个人可识别信息（PII）最准确的定义？

PII 是能够揭示个人身份的数据。以下定义被美国国家标准与技术研究院（NIST）等隐私框架以及 GDPR 和 CCPA 等国际法规广泛接受，尽管具体术语可能会略有不同：

任何可用于直接或间接识别、联系或定位特定个人的信息。

PII 的一些示例有哪些？

常见的 PII 示例包括：

• 全名：Jane Smith、Ahmed Khan
• 政府身份证件：社会安全号码（SSN）、护照号码、驾驶执照扫描件
• 联系方式：电子邮件地址、电话号码、通信地址
• 生物识别数据：指纹、面部识别、视网膜扫描
• 财务信息：信用卡号码、银行账户详情
• 数字标识符：国家身份证号、纳税人识别号、学生证号

PII的两种类型是什么？

• 直接标识符 能够单独唯一识别个人。示例包括全名、护照号码、电话号码以及信用卡号码。
• 间接标识符 在单独使用时不会识别个人，但在与其他数据结合时可能会识别。间接标识符的示例包括人口统计信息、就业数据和设备信息。

有关详细信息，请参阅“Personally Identifiable Information 的类型”部分。

有哪些法律可以保护 PII？

保护 PII 的法规因国家和行业而异，但其共同目标都是确保个人能够控制自己的个人数据，并使组织以负责任的方式处理 PII。以下是一些最知名的法律。

有关详细信息，请参阅“Regulations Governing Personally Identifiable Information（规范处理个人可识别信息的法规）”部分。

非敏感数据会变成 PII 吗？

可以。当非敏感数据与其他数据以某种方式组合后，使个人能够被识别、定位或被联系时，它就可能成为 PII。例如，单独的邮政编码并不属于 PII，但将其与出生日期和性别结合后，就可能唯一地识别某个人。

了解可识别个人信息（PII）

可识别个人信息（PII）是指任何数据：它既可以单独使用，也可以与其他信息结合使用，用于识别、联系或定位某个人。PII 的示例包括全名、社会保障号码、护照号码、驾照号码以及生物特征数据。

“可识别个人信息（personally identifiable information）”这一术语在 20 世纪 70 年代于美国逐渐走红，因为政府和组织认识到未经授权的数据使用所带来的风险。一个具有里程碑意义的时刻是美国卫生、教育和福利部发布的 1973 年报告，该报告概述了公平信息实践（FIPPs）的原则。这为 数据隐私 的监管以及后来被称为 PII 的概念框架奠定了基础。

随着技术的发展，PII 的范围不断扩大：

• 1980 年 — 经合组织（OECD）关于保护隐私及跨境流动个人数据的指引在国际层面正式讨论了 PII。
• 2000 年代 — 互联网和电子商务的兴起凸显了在线数据暴露的风险。
• 2010 年代及以后 — 像《通用数据保护条例》（GDPR ）这样的法规在欧盟，以及美国的 《加州消费者隐私法案》 （CCPA）重新定义并拓宽了对何谓 PII 的理解。
• 今天 — PII 不仅包括静态标识符，还包括在线行为、地理位置和设备标识符等动态数据。

PII 至关重要，因为它支撑着日益互联的世界中的隐私、安全和信任。企业、政府以及在线平台对个人数据的广泛收集与处理，都会加剧身份盗用、欺诈以及 数据泄露 的风险。在技术迅猛发展的时代，强有力地保护 PII 不仅是为了遵守诸如 GDPR 和 CCPA 等法律法规，也是为了维护客户信任并保障个人权利所必需的。

什么是个人身份信息？

了解什么算作PII是控制访问的第一步，答案取决于上下文，因为邮政编码和出生日期单独看似无害，但结合起来能指向一个人。

PII，即个人身份信息(personally identifiable information)的缩写，是指任何能够单独或与其他与该人相关或可关联的信息结合使用时，区分或追踪特定个人身份的信息。

数据隐私 法律在不同地方划定界限，因此一个数据集可能适用于一种法规而在另一种法规下免除。

大多数个人身份信息（PII）的泄露始于访问，因为根据Netwrix 2026 Data and Identity Security Report，75%的敏感数据泄露始于身份被攻破或权限配置错误。

已链接和可链接的信息

单一系统通常包含这三者。例如，远程医疗应用会将姓名和电子邮件（PII）与预约记录和处方（PHI）存储在一起，且其中任何欧盟用户的数据也属于GDPR下的个人数据。

姓名、Social Security号码或生物识别记录可以单独识别一个人，而出生日期或邮政编码只有在与其他数据结合时才能识别一个人。由于可识别性取决于周围的数据集，同一字段在某些情况下是PII，在另一些情况下则无害。

美国管理和预算办公室在一份2007年备忘录中使用了该定义，国家标准与技术研究院（NIST）在SP 800-122中继续沿用，这是其保护PII的指南。

SP 800-122 将 PII 分为两部分，第一部分涵盖可区分或追踪身份的信息，如姓名、社会安全号码或生物识别记录。第二部分涵盖与个人相关联或可关联的其他信息，如医疗、教育、财务和就业信息。

非PII及其何时成为PII

该指南还将标签与数据识别个人的难易程度联系起来。姓名、指纹和社会保障号码能唯一且直接地识别个人，而邮政编码和出生日期则能间接识别个人或帮助缩小大型数据集的范围。

当信息无法单独或与其他信息结合区分或追踪个人时，该信息即不再是PII。NIST将匿名信息定义为先前可识别的信息，已被去标识化且不再存在用于重新识别的代码或其他关联。

情境改变了风险，正如NIST的例子所示，当它比较两个具有相同字段（如姓名、地址和电话号码）的列表时。一个是新闻通讯订阅者名单，另一个是执法部门的卧底人员名单，因此每个名单的泄露对个人和组织的后果截然不同。

匿名化有其局限性，因为NIST指出去标识化的信息可能被重新识别。合并数据集也可能使匿名化失效，因为在不同系统中看似无害的邮政编码和出生日期一旦匹配，就能识别出个人。

PII、个人数据和PHI的比较

1980年，Organization for Economic Co-operation and Development通过了关于保护隐私和跨境personal data流动的指南，使用了更广泛的术语personal data。

“个人身份信息”一词出现在2007年的联邦指导文件中，上述备忘录以及2010年4月发布的NIST SP 800-122中。

PII的示例和类型

PHI是指由受保护实体或其业务伙伴持有的、关于个人健康状况、护理或护理付款的可单独识别的健康信息，受HIPAA监管。仅姓名是PII，但当姓名与诊断或保险号码结合时，如果由受保护实体或业务伙伴持有，则为PHI。

根据GDPR，个人数据涵盖与已识别或可识别的个人相关的任何信息，第4条第1款将在线标识符列为可使个人可识别的因素。因此，通过狭义美国PII测试的数据集仍可能是欧盟受监管的个人数据。

PII是美国的术语，其历史解释了三种定义为何不同。1973年美国卫生、教育和福利部的报告《Records, Computers, and the Rights of Citizens》提出了公平信息实践守则，国会据此起草了Privacy Act of 1974。

PII的五个常见例子是全名、社会保障号码、护照号码、驾驶执照号码以及指纹等生物识别数据，这些都出现在NIST自己的示例中。

表中的每个字段根据其识别个人的方式及其暴露可能造成的危害程度进行分类，评级因组织和司法管辖区而异。

直接和间接标识符

社会安全号码即使没有姓名也被视为PII，因为NIST表示它能够唯一且直接识别个人，使其比电话号码或邮政编码更敏感。

根据NIST的定义，名字和姓氏是重要的，因为它们能区分个人，尽管NIST的事件响应名单示例显示，公开的姓名和工作联系方式带来的额外风险很小。仅凭出生日期无法识别个人，但结合邮政编码则可以。

直接标识符指向没有辅助数据的单个人。NIST举例说明，姓名、指纹和社会保障号码是能够唯一且直接识别个人的信息。

敏感和非敏感的PII

间接标识符仅在与其他数据结合时指向某个人。NIST举例邮政编码和出生日期，因为它们可以间接识别个人或帮助缩小大型数据集。每增加一个字段，人口范围进一步缩小，因此分类程序必须评估哪些字段共同识别。

敏感的PII是指其泄露可能导致严重隐私、财务或法律损害的PII。NIST指南通过低、中、高的机密性影响等级来规范这一概念，表明如果PII被不当访问、使用或披露，可能对个人和组织造成的潜在损害。

指出社会保障号码、病史或财务账户信息通常比电话号码或邮政编码更为敏感。

管理PII的法律和法规

NIST建议采用基于风险的方法，因此影响较大的PII需要更强的保护措施。建议包括访问控制、存储信息加密以及监控影响PII机密性的事件。

Netwrix Access Analyzer 解析嵌套的 AD 组和 SharePoint 继承，揭示过度暴露的敏感数据。请求演示。

低影响的PII，例如NIST名单示例中的姓名和工作联系方式，仍需防止与其他字段组合，因为组合字段可能使敏感数据变得可识别。

支付卡数据也属于Payment Card Industry Data Security Standard（PCI DSS）的范畴，适用于存储、处理或传输持卡人数据的实体。

1974年隐私法案

没有单一法律适用于所有目的定义PII。美国的监管是分行业的，联邦机构、医疗、金融、教育和州法律下的消费者有各自的法律，而欧盟和澳大利亚则对个人信息应用国家框架。

隐私法赋予个人访问其相关记录和更正不准确记录的权利，并要求联邦机构仅为合法授权的目的收集记录并加以保护。该法仅适用于联邦机构。

加利福尼亚消费者隐私法案和加利福尼亚隐私权法案

HIPAA

CPRA 修订了法律，增加了消费者权利和企业义务，并于2023年1月1日生效。

CCPA赋予加利福尼亚消费者知晓企业收集其个人信息的权利，删除信息，纠正不准确的信息，以及选择不出售或分享这些信息的权利。

适用于在加利福尼亚州开展业务且满足基于收入、处理的加利福尼亚消费者数量或通过出售或共享个人信息获得的收入中至少一项门槛的营利企业。

Gramm-Leach-Bliley法案

HIPAA适用于涵盖实体，即健康计划、医疗清算所和以标准交易方式电子传输健康信息的医疗服务提供者，以及他们的业务合作伙伴。

根据45 CFR 164.306，他们必须确保其创建、接收、维护或传输的电子受保护健康信息的机密性、完整性和可用性。根据45 CFR 164.404，覆盖实体必须在发现后不合理延迟且不超过60个日历日内通知受影响个人未加保护的PHI泄露。

GLBA涵盖向消费者提供贷款、金融或投资咨询或保险等金融产品或服务的公司。其隐私规则要求他们告知客户其信息共享做法及选择不与某些第三方共享的权利。保障规则要求建立信息安全计划以保护客户信息。

家庭教育权利与隐私法案

通用数据保护条例

澳大利亚1988年隐私法

FERPA适用于根据美国教育部计划获得资金的教育机构和组织。它保护与学生直接相关且由机构或其代理方维护的教育记录。

根据澳大利亚信息专员办公室的说法，Privacy Act 1988规范了澳大利亚政府机构、年营业额超过300万澳元的组织以及其他一些组织如何处理个人信息。

PII如何被暴露

其13项澳大利亚隐私原则涵盖个人信息的收集、使用和披露；该信息的完整性和更正；以及个人访问权。

记录的事件遵循三条反复出现的路径：欺骗性消息、未打补丁的系统和第三方访问。

GDPR具有领土适用范围，如第3条所述，涵盖欧盟境内个人的个人数据处理。它赋予个人权利，包括访问、更正、删除和数据可携带性，第37条涵盖数据保护官的任命。

网络钓鱼

警告信号包括紧急或情绪化的语言、请求个人和财务信息、不受信任的短链接以及错误的电子邮件地址或链接。

网络钓鱼发生在犯罪分子试图让人们打开有害链接、电子邮件或附件时。诱饵可能以电子邮件、短信、直接消息或电话的形式出现，且设计成看起来来自可信的人或组织。

未打补丁的软件

第三方访问

2017年Equifax数据泄露事件 展示了错过补丁的代价。Apache Struts项目于2017年3月7日发布了Common Vulnerabilities and Exposures (CVE) 条目CVE-2017-5638及补丁，国土安全部于次日警告Equifax，但Equifax并未完全修补其系统。

根据 House Oversight Committee 的报告，攻击者在网络中停留了76天，获取了约1.48亿人的个人信息，包括姓名、社会保障号码、出生日期、地址和驾驶执照号码。

Equifax后来同意支付至少5.75亿美元，最高可能达到7亿美元，作为与联邦和州监管机构的和解金。

Facebook和Cambridge Analytica案件显示了第三方访问如何暴露PII。联邦贸易委员会（FTC）声称 一款由开发者Aleksandr Kogan制作的Facebook应用向用户提出了个性和其他问题，同时还收集了他们Facebook好友的信息。

当个人身份信息（PII）被错误处理时会发生什么

罚款和监管制裁

还声称Cambridge Analytica将所得的人格评分与美国选民记录匹配，用于画像和定向广告。

后果落在持有数据的组织及其识别的人员身上。

修复和运营成本

根据HHS的规定，HIPAA民事罚款从每次违规145美元起，根据责任程度增加，对于未纠正的故意忽视，最低罚款为73,011美元，2026年1月通胀调整。

根据GDPR的第83条，罚款最高可达2000万欧元或全球年度总营业额的4%，以较高者为准。CCPA允许根据2025年调整，每次违规最高罚款2663美元，故意违规最高罚款7988美元。

Facebook表示可能不当分享了多达8700万人的信息给Cambridge Analytica。2019年，FTC对Facebook处以50亿美元罚款，这是迄今为止对任何公司因侵犯消费者隐私而处以的最高罚款。

和解金额可能高达数亿美元，如Equifax所示。根据CCPA，消费者可以就某些数据泄露提起诉讼，并获得每起事件每位消费者107至799美元的法定赔偿，或更高的实际损害赔偿。

公众信任和市场价值的丧失

身份盗窃和金融欺诈

IBM的Cost of a Data Breach Report 2026显示全球数据泄露的平均成本达到创纪录的499万美元。NIST指南列出了组织可能遭受的损害，包括修复成本、管理负担和财务损失。

NIST将公众信任丧失和法律责任列为组织损害。根据众议院监督委员会的报告，Equifax宣布数据泄露后，其股价在第一周下跌了35%，市值蒸发了60亿美元。

勒索及对个人的其他伤害

根据FTC，窃贼可以利用被盗的个人信息以受害者名义申请新的信用卡、贷款、提交欺诈性税务申报以获取退款，以及获得医疗服务或Medicare福利。NIST将身份盗窃列为对个人的首要危害。

如何保护个人身份信息

NIST建议采用基于风险的方法，因此下面的每个控制都应与特定存储库及其所持有的PII的影响级别相关联。

NIST列举了勒索、尴尬、身体伤害、歧视和情绪困扰作为PII泄露的潜在危害。因此，暴露敏感细节可能造成远超财务损失的损害。

发现并分类PII

您无法保护未知的PII，因此请先清点其存储、处理和传输的位置。包括文件共享、数据库、云应用、备份以及人们从中导出的电子表格。

限制可以访问PII的人

减少收集并按计划删除

然后 根据数据暴露可能造成的损害进行分类，NIST称之为机密性影响等级，因此社会保障号码表比员工目录获得更严格的保护。定期重复清点，因为复制和导出比一次性审计更快传播PII。

您收集的每个字段都是需要保护的字段，因此请询问每个字段支持什么决策，并停止收集不支持任何决策的字段。为每个PII类别设置保留期限，并将删除作为计划任务执行，而不是偶尔的清理项目。

通过基于角色的组分配访问权限，而不是分配给个人，这样角色变更时只需在一个地方更新访问权限。尽可能让用户通过限制其可见记录和字段的应用程序访问PII，避免直接访问存储PII的原始数据库和文件。

仅授予每个人其角色所需的访问权限，遵循最小权限原则，并定期审查。入职时合适的访问权限，经过两次角色变更后可能变得不合适。

加密并监控PII

及时修补系统

无人使用的数据在泄露中仍被视为暴露。减少存储既降低了风险发生的可能性，也缩小了损害范围，使最小化成为数据生命周期管理的核心部分。

对某个账户读取远多于平常文件或PII落入可移动介质等模式发出警报，并在数据离开前调查每个警报。文件访问监控为文件共享提供该记录。

对服务器、笔记本电脑和备份中的PII进行静态加密，并在系统间传输时加密，这样被盗的磁盘或被截获的连接都无法读取数据。加密无法阻止授权账户读取数据，因此应结合监控谁打开、复制和移动PII。

在员工获得访问权限之前进行培训

只有在您了解运行内容并能确认每个修复已应用时，补丁才保护PII。请保持面向互联网的软件清单，包括您自己应用中的开源框架和库，因为您无法为未知组件排队补丁。

根据漏洞严重程度及攻击者是否已在利用漏洞设定截止日期，已被利用的漏洞截止时间最短。CISA建议组织使用其Known Exploited Vulnerabilities catalog作为优先级排序的依据。

将培训设为访问条件，而非第一个月的任务，通过将完成情况与授予访问含有PII系统的步骤绑定。涵盖员工在工作中如何处理PII，包括如何识别、存储和共享位置、如何处置、保留计划以及滥用时的处罚。

准备事故响应计划

然后用扫描进行验证，也检查扫描结果。Struts 警报后，Equifax 的开源组件扫描错过了易受攻击的版本，因为它针对的是根目录而不是列出 Struts 的子目录，第二个扫描器检查了958个外部IP地址，但未发现任何问题。

诉讼和和解

PII泄露增加了标准安全事件计划中跳过的决策，您必须在事件发生前做出这些决策。决定谁可以宣布PII泄露，谁在响应团队中，谁与监管机构、受影响人员和媒体沟通。

为处理最敏感PII的人群（如HR、薪资和查看客户记录的支持团队）添加基于角色的培训。教他们识别PII事件及随时报告的渠道，并根据当前诈骗和近期泄露案例定期更新培训。

为员工提供一个全天候可用的报告渠道，并每次收集相同的信息，包括丢失了什么、来自哪个系统和存储介质、受影响人数以及是否已联系执法部门。

CISA 的基本做法也适用于个人。

保护您自己的PII

• 使用强大且唯一的密码，并将其保存在密码管理器中。

在从媒体中删除PII之前保留证据，因为NIST建议在决定是否必须保留其作为证据之前，不要清理它。通过模拟泄露的桌面演练测试计划，然后根据每次经验教训进行更新。

• 在所有提供的地方启用多因素认证（MFA）。

提前规划通知，包括是否必须、通知时间、发送者、通知内容，以及是否提供如信用监控等帮助。根据 GDPR Article 33，控制者必须在知晓违规后72小时内通知监管机构（如可行），以确保这些决定不会拖延到事件发生之后。

• 在共享个人信息之前，识别并报告网络钓鱼。
• 及时安装软件更新。

Netwrix如何帮助保护PII

在文件服务器、SharePoint 和数据库中查找 PII

Netwrix产品处理四项PII任务：定位、映射法规、审核访问权限，以及在endpoint处阻止。

将已分类的PII映射到GDPR、HIPAA和PCI DSS

Netwrix Access Analyzer 使用基于模式和上下文的规则以及针对组织特定数据的自定义规则，扫描文件服务器、SharePoint、数据库和Amazon S3中的PII、PHI和支付卡数据。

审核谁可以打开PII以及谁拥有它

基于规则的PII检测匹配结构化和非结构化数据中的预定义模式，Access Analyzer为这些模式添加上下文。团队可以通过不同方式调整分类规则，更准确地识别敏感数据。

在 Forreston State Bank，Auditor 持续确保银行符合联邦金融机构审查委员会（FFIEC）和 GLBA 的要求，并节省每周8小时的审计准备时间。

阻止PII通过USB和网页上传泄露

Access Analyzer 将分类的 PII 映射到 GDPR、HIPAA、PCI DSS 及其他框架。Netwrix Auditor 审核活动，并包含针对 GDPR、HIPAA、PCI DSS、SOX 及网络安全成熟度模型认证（CMMC）的预构建合规映射。

从可能造成最大伤害的PII开始

Access Analyzer 分析权限，识别过度暴露的数据，确定数据所有者，并支持访问权限审查工作流程。其Effective Access Report 根据组成员身份（包括嵌套组）计算有效访问权限，并标记过期的受托账户。

Netwrix Endpoint Protector 在端点执行内容感知的数据丢失防护 策略。它控制USB存储设备，监控浏览器传输，并阻止将敏感数据上传到云存储和如ChatGPT及Microsoft Copilot等AI工具。

NIST 的指导设定了明确的工作顺序。识别环境中的所有 PII，根据其暴露可能造成的危害对每个存储库进行评级，并在评级最高的地方应用最严格的保护措施。由于访问失败导致大多数暴露，首先收紧谁可以访问这些存储库。

将每个新组合视为重新分类事件的团队，会保持其控制措施与所持数据相匹配。

评级会随着时间变化，因为NIST要求组织对PII字段的敏感性进行组合评估。单独看似影响较低的数据集，一旦与其他数据结合，如邮政编码与出生日期相结合，就需要新的评级。

请求演示，了解 Netwrix Access Analyzer 如何在文件共享、SharePoint 和数据库中查找 PII，并显示谁可以访问它。