大规模用户隐私数据导出管控规范
配套前文《加密盐值/私有协议规范》白皮书，针对手机号、用户行为日志批量导出场景，覆盖权限、脱敏、加密、审计、传输、销毁、应急全流程，密级：内部高敏感，禁止对外流转。
一、适用范围
- 核心隐私：手机号、身份证、设备唯一标识、实名信息、收货地址
- 行为日志：页面点击、停留时长、搜索关键词、操作轨迹、埋点事件、会话记录、地理位置日志
数据分析离线计算、第三方合规审计、内部风控复盘、监管协查、数据归档备份；
禁止场景：业务开发调试批量拉取、无审批导出、外包无隔离导出、非合规商业外发。
二、前置准入与权限分级（最小权限原则）
2.1 角色权限分层
| 数据分析师（普通） | 仅脱敏日志，无明文手机号 | 行为日志（脱敏ID），屏蔽手机号/实名 | 单日单任务≤100万条 |
| 风控合规专员 | 脱敏日志+加密手机号密文 | 行为日志、加密手机号，不可直接解密 | 单日≤500万条，双人审批 |
| 监管对接专员 | 完整明文隐私+全量日志 | 仅协查工单匹配用户，禁止全库导出 | 单工单限定用户集合，上限受工单约束 |
| DBA/存储运维 | 仅底层备份，不可对外交付 | 加密原始库备份，解密权限分离 | 仅定时归档，人工导出需三级审批 |
2.2 审批流程强制要求
- ＜10万脱敏行为日志：部门负责人一级审批；
- 10万～100万/含加密手机号：合规+部门二级复核；
- ＞100万/明文手机号全量日志：安全、合规、技术负责人三级联审；
- 全库整表导出：CTO+法务双人签字，留存纸质审批单。
三、数据分层脱敏规则（导出必执行）
3.1 手机号脱敏标准（区分导出场景）
原始：13800138000 → 脱敏输出：138****8000
不存储完整明文，导出文件永久剔除原始手机号，仅保留掩码格式。
不输出明文手机号，输出加密密文（AES-GCM+用户独立盐USER_SALT）；
解密接口单独鉴权，单次解密上限100条，批量解密直接拦截。
仅工单命中用户输出完整明文，其余无关用户手机号全部脱敏；明文文件单独隔离，禁止混入普通日志包。
3.2 用户行为日志脱敏强制项
所有导出日志必须移除/替换以下敏感字段：
3.3 脱敏兜底规则
四、导出文件加密规范（复用私有协议盐值体系）
所有批量导出文件（CSV/Parquet/ORC/压缩包）落地必须加密，禁止明文文件存储、传输。
4.1 密钥派生逻辑
ExportKey = PBKDF2HMAC(任务唯一密钥, PROTO_ROOT_SALT, PBKDF2_ITER_COUNT, 32Byte)
4.2 文件存储约束
五、大规模导出任务技术管控（千万级日志场景）
5.1 流量与资源限流防雪崩
5.2 数据隔离隔离机制
5.3 导出文件命名规范（便于审计追溯）
exp_{审批单号}_{任务ID}_{日期分片}_加密.enc
示例：exp_AUD20260620001_TSK9876_20260620_加密.enc
六、传输分发安全规范
- 离线介质：加密U盘，双人保管登记；
- 线上交付：一次性临时下载链接，有效期≤24小时，下载次数上限3次，过期文件自动删除；
七、全链路审计日志（不可篡改WORM存储）
每条导出行为必须记录完整字段，日志只读不可删除，留存≥365天：
审计告警规则：
- 单次导出超阈值无三级审批；
- 导出文件检测到未脱敏明文隐私；
- 非工作时间大批量导出；
- 高频批量解密手机号；
- 文件未按规定时效销毁。
八、数据生命周期与强制销毁
8.1 保存时效标准
8.2 销毁标准
九、风险处置应急方案
- 立即终止分发，全网回收文件；
- 定位影响用户量级，安全合规评估；
- 同步封禁对应导出权限，重生成本次任务临时盐与导出密钥；
- 出具风险报告，必要时履行隐私泄露告知义务。
- 紧急下线导出服务接口；
- 复核所有审批流程漏洞，升级审批阈值；
- 全量扫描历史导出任务，清理违规文件；
- 对责任人追责并开展全员数据安全培训。
- 作废该批次所有导出文件解密权限；
- 重新生成全局派生参数，短期限制批量导出功能。
