定义
敏感数据（Sensitive Data）指需特殊保护、一旦泄露可能造成隐私或安全风险的数据。物联网与跨境场景中的敏感数据包括：个人数据——用户身份、定位、实时位置、联系方式；支付与交易——充电平台 支付信息、计量 与计费数据；设备凭证——SIM 卡密钥、设备证书、权限 信息；远程 ID——远程 ID 中的操作者 ID 等。敏感数据需加密传输、访问控制、审计日志，跨境场景需符合 GDPR、数据本地化、IEC 62443 等合规要求。
跨境场景下，敏感数据可能涉及多国法规，需 数据同步 时考虑数据出境限制；一卡多国 连接本身不直接涉及敏感数据，但设备 设备状态、定位 等可能属于敏感数据。
技术特点与架构
敏感数据技术架构包括：加密层——传输加密（TLS）、存储加密（AES）、字段级加密；访问控制——权限 管理、角色分离、最小权限原则；合规层——GDPR、数据本地化、数据出境审批、IEC 62443 工业安全；审计层——敏感数据访问日志、异常检测。与 设备管理平台 结合，设备凭证、远程锁机 指令等需保护；与 充电运营平台 结合，支付、分润 数据需保护。跨境场景下，需考虑多国数据存储、跨境传输协议。
敏感数据脱敏、Token 化可降低泄露风险；VPN 可保障传输安全。
在物联网与跨境场景中的应用
敏感数据广泛应用于：充电运营——充电桩、充电平台 的支付信息、用户身份、计量值 计费；物流与追踪——物流追踪器 的 定位、实时位置 可能涉及隐私；无人机——远程 ID 中的操作者 ID；跨境业务——OCPI 跨境充电的 CDR、用户数据，分润 数据。跨境充电网络、全球物流、跨国平台均需严格保护敏感数据，一卡多国 连接需保障数据安全传输。
达希物联重视数据安全，为物联网设备提供安全连接，覆盖 200+ 国家和地区，助力跨境场景合规。
出境报文里哪些字段改变保护义务
国际物联网里的敏感数据，指一旦离开原管辖区就必须单独论证处理依据的字段，而不是所有上行字节的统称。连续坐标、可识别操作者的远程标识、支付主账号在令牌化之前的原值、以及和鉴权材料绑在一起的卡身份，通常都属于这一类。漫游附着成功只说明无线承载已经建立，不改变字段的属性。终端在境外注册到拜访网络后，如果平台把上述字段以明文写入境外网关的访问日志，处理地点已经发生转移，不能用“只是连上网”来解释。
技术上要拆开传输、存储和访问。传输加密防止链路窃听，不能代替“原始值允许落在哪一国”的决定。信号强度、小区标识、模组温度单独看往往只是设备工况；一旦和精确轨迹、账号或支付流水写进同一条记录，整条记录就被带上敏感属性。因此字段分类要按组合后的可识别性判断，而不是按传感器名称判断。
漫游回传时敏感字段的使用前提
允许送出境外的前提是目的明确且范围最小。排障一般只需要在线状态、拒绝原因和大致服务区，不必附带可还原到个人的连续坐标。充电支付和分润结算应交换令牌与金额，不应在漫游话单里再放一份完整主账号。若业务确需出境，应先确定合法依据和接收方的访问边界，再选择专线或隧道。隧道只保护通道，不自动满足本地化：该留在境内的主数据，不能因为同步方便就整库搬到境外节点。
还有一个容易忽略的前提是保留期限。跨境链路抖动时，网关常会把失败报文连同身份字段缓存数日以便补传。缓存库如果和正式库使用同一套账号、又没有独立的删除策略，短暂排障就会变成长期留存。使用前应写清哪些字段可以进缓存、缓存放在哪一侧、补传成功后何时删除。
把卡身份和位置写成同一条明文
排障时最常见的失误，是把核心网或网关的调试日志长期打开，让卡身份、小区和时间戳一起落盘，再同步到另一国的分析集群。另一类失误是把一卡多国的漫游许可理解成数据也可以任意落地：卡能在拜访网络上网，和平台能把个人数据存到该国，是两件独立的事。还有一类是只做传输加密，落地仍是明文；或者做了可逆替换，却把对照表放在同一数据库，等于把钥匙和锁放在一起。
核对顺序应当先问这个字段是否必须离开原属地，再问通道是否加密，最后才查无线覆盖。把敏感数据告警一律当成模组离线去重启终端，会漏掉真正的合规缺口。涉及支付原值时，应优先改成Token化后的令牌再进入漫游侧日志，而不是在境外节点保留可还原的主账号。