机密文档分类，是在信息被存储、共享或分发之前，为其分配敏感度级别的过程。分类应反映未授权披露可能造成的影响，并决定文档应如何处理、谁可以接收，以及需要哪些安全控制。
有效的分类体系应足够简单，便于员工一致执行，同时又足够具体，能够真正指导决策。Public、Internal、Confidential、Restricted 等标签可以很好地工作，但比名称更重要的是背后的规则。每个级别都应有清晰定义、示例、授权受众和最低处理要求。
简要答案
先确定文档包含什么信息、谁有权接收，以及如果被错误发送、未授权披露或篡改，可能造成什么后果。然后把文档归入少量预先定义的敏感度级别，并应用该级别对应的处理规则。
对大多数组织来说，目标并不是创建几十个标签，而是建立一个可重复的决策模型，把文档敏感度与访问批准、加密、水印、交付渠道、保留规则和事件响应等实际控制联系起来。
为什么应在分发前对文档分类？
如果没有分类，员工往往会针对每份文档临时做安全决定。一个人可能把敏感报告作为普通邮件附件发送，另一个人却会加密类似文件并验证收件人。这种不一致会增加意外披露风险，也让政策执行变得困难。
分类为信息所有者、员工、安全团队、法务和管理层建立共同语言，也更容易标准化安全文档分发。基础概念请参阅[什么是安全文档分发？](/resources/articles/what-is-secure-document-distribution/)。
实用的四级分类模型
许多企业可以从四个级别开始。具体名称应符合组织文化、法律环境和现有信息安全政策。
- Public — 已批准，可无限制对外分发
- Internal — 面向员工或可信内部用户，对外共享受限
- Confidential — 仅应向授权收件人共享的敏感业务或个人信息
- Restricted — 极其敏感的信息，未授权披露可能造成严重法律、财务、运营或个人损害
较小组织可以合并 Internal 与 Confidential；受监管企业可以增加 Highly Confidential、Regulated、Privileged 或 Export Controlled 等类别。关键在于每个标签都具有操作意义，而不仅仅是视觉名称。
什么应决定文档的敏感度级别？
分类应基于信息本身及其被滥用后的后果，而不是文件格式或作者的重要程度。可参考以下标准：
- 是否包含个人、金融、医疗、法律、安全或受监管信息
- 合同义务是否限制披露
- 信息是否具有商业、战略、技术或竞争价值
- 未授权披露是否可能伤害个人、客户、合作伙伴或组织
- 是否包含凭据、访问细节、内部基础设施或安全流程
- 信息是否已经公开、计划公开或仅限特定受众
- 法律、法规、合同或内部政策是否要求特定保护级别
1. 确定信息所有者和目标受众
每份敏感文档都应有一个信息所有者或负责业务职能，了解信息存在的原因以及谁需要它。所有者不必亲自分发每份副本，但应定义或批准披露范围。
分类前应明确谁需要接收：公众、所有员工、某个部门、项目团队、指定外部合作伙伴、客户、审计人员、法律顾问，或一小组经专门批准的人。授权受众越窄，披露影响越高，通常应采用更高的分类级别。
2. 评估未授权披露的影响
实用的分类判断应考虑文档落入错误人员手中时的现实后果。不要只问“这重要吗？”这类模糊问题，而应评估具体损害。
- 财务损失或欺诈风险
- 隐私损害或身份暴露
- 合同违约或诉讼风险
- 监管或合规后果
- 知识产权或竞争优势损失
- 运营中断或安全风险
- 声誉损害或客户信任下降
3. 应用组织的分类规则
在明确受众和影响后，把文档映射到组织政策中的适当级别。政策应包含示例，避免员工每次都重新解释抽象定义。
- Public：已发布宣传册、批准的网页内容、公开报告
- Internal：常规流程、内部通知、非敏感运营资料
- Confidential：客户记录、合同、定价、员工信息、内部财务报告
- Restricted：凭据、安全架构、高度敏感法律材料、受监管数据集、收购计划、关键商业秘密
4. 清晰标注文档分类
分类级别应足够明显，让收件人理解应如何处理文档。根据组织情况，可以显示在页眉、页脚、封面、文档属性、文件名规则或可见水印中。
标记本身不会自动强制保护。即使文档标记为 Confidential，也仍可能被发送给错误的人。标签是一种处理信号，应触发相应工作流和安全控制。避免使用含义模糊、不一致或与政策脱节的标签。
5. 把每个级别与具体分发控制关联起来
只有当分类会改变文档的处理方式时，它才真正有价值。应为每个敏感度级别定义最低控制要求，并把例外明确记录，而不是口头处理。
- Public：批准的发布渠道和版本控制
- Internal：经过身份验证的内部系统或批准的协作工具
- Confidential：收件人验证、限制分发、适当时使用加密、受控交付和清晰处理标记
- Restricted：明确授权、强访问保护、严格限制收件人、安全交付、日志记录和加强审查
- 需要责任追踪时使用收件人专属水印或追踪信息
- 根据级别制定保留、删除、转发、打印和事件报告要求
分类应驱动分发工作流
分类最大的价值在于一致性。一旦级别确定，发送者就不应每次从头决定安全措施。Confidential PDF 可能要求验证收件人并加密；Restricted 文档可能还要求单独批准、受控渠道、可追踪副本和分发记录。
这样分类就从装饰性标签变成了操作控制。更广泛的实现建议请参阅[企业 PDF 安全最佳实践](/resources/articles/pdf-security-best-practices-for-businesses/)。
常见的文档分类错误
如果标签过于复杂、应用不一致，或没有与实际处理规则关联，分类制度就会失效。
- 使用太多敏感度级别，员工无法可靠记住
- 几乎把所有内容都标成 Confidential，导致标签失去意义
- 允许各部门为同一标签定义不同含义
- 只依赖标签，却不应用访问、交付或保留控制
- 信息公开或过期后仍把分类视为永久不变
- 由多个不同敏感度来源组成文档时不重新评估分类
- 分类时忽略附件、附录、嵌入文件或导出副本
什么时候应重新审查或更改分类？
分类并不总是永久的。并购计划在公告后可能从 Restricted 变为 Public。财务报告草案在正式发布前可能保持 Confidential。客户文件在保留期限结束后可能应该删除，而不是简单降低级别。
应定义审查触发条件，例如发布、项目完成、合同终止、监管变化、保留期到期或文档内容重大变化。如果文档由多个来源组成，在授权审核者确认可以降低之前，应采用适用的最高敏感度级别。
XERIA 在基于分类的工作流中的作用
XERIA 不是文档分类引擎，也不会决定文件属于 Public、Internal、Confidential 还是 Restricted。分类应来自组织的信息治理政策和负责该文档的信息所有者。
确定敏感度级别后，XERIA 可以支持政策要求的某些分发控制，包括 PDF 密码保护、权限设置、可见或收件人专属水印、追踪信息、个性化生成、受控邮件交付、云连接工作流和分发记录。对于发布前可能包含隐藏信息的文件，请参阅[什么是 PDF 清理（Sanitization）？](/resources/articles/what-is-pdf-sanitization/)。
常见问题
常见的机密文档分类级别有哪些？
常见模型使用 Public、Internal、Confidential 和 Restricted。组织可以使用不同名称或增加受监管类别，但每个级别都应有清晰定义、示例、授权受众和处理要求。
谁应该对机密文档进行分类？
负责的信息所有者或业务职能应定义或批准分类。员工可以在日常工作中应用标签，但模糊或高风险案例应有升级到安全、法务、隐私、合规或管理层的渠道。
每份机密文档都应该加密吗？
不应自动一概而论。是否加密应依据组织政策、交付环境和风险。Confidential 或 Restricted 文档通常值得进行访问保护，但具体控制取决于批准工作流和收件人环境。
文档分类能防止泄漏吗？
分类本身不能。它建立决策框架，告诉人员和系统应该应用哪些控制。真正的保护还取决于访问控制、收件人验证、安全交付、技术措施、用户行为和事件响应。
结论
机密文档分类把临时性的安全决定转变为可重复的治理流程。定义少量有意义的敏感度级别，评估受众和披露影响，清晰标记分类，并把每个级别与具体处理和分发规则关联起来。分类本身不会保护文件；它的价值在于文档离开批准环境之前，能够一致触发正确的访问、交付、责任追踪、保留和审查控制。