中小商業銀行數據安全體系建設探索與實踐

摘要：近年來，中小商業銀行大力發展電子交易，根據上市銀行2021年年報顯示，上市銀行電子交易替代率普遍都超過了90%；江蘇蘇寧銀行作為一家新型數字銀行，99%的客戶來自線上、99%的交易來自線上、99%的審批線上完成。銀行作為大量數據的擁有者，在將這些數據安全地應用于開發、測試、數據分析、數據建模等場景過程中，面臨數據安全管理規則不明確、數據泄露風險、數據共享風險這三大風險挑戰。需建立數據安全組織制度及流程，建立多維度的數據安全防護體系，完善基于數據分類分級的數據安全共享使用體系，形成具有強大數據匯聚采集能力、高度數據共享開放能力和廣泛數據應用分析挖掘能力的大數據發展新格局。

關鍵詞：商業銀行；數據安全；風險；防護

doi：10.3969/J.ISSN.1672-7274.2023.05.049

中圖分類號：TP 309.2，F 832.3" " " " " " " "文獻標示碼：A" " " " " " " "文章編碼：1672-7274（2023）05-0-03

Abstract： In recent years， small and medium-sized commercial banks have vigorously developed electronic transactions. According to the 2021 annual report of listed banks， the substitution rate of electronic transactions of listed banks has generally exceeded 90%; Jiangsu Suning Bank， as a new digital bank， 99% of its customers are online， 99% of its transactions are online， and 99% of its approvals are completed online. As the owner of a large amount of data， how to safely apply these data to development， testing， data analysis， data modeling and other scenarios faces three major risk challenges： unclear data security management rules， data leakage risk and data sharing risk. It is necessary to establish data security organization system and process construction， establish multi-dimensional data security protection system， and improve data security sharing and use system based on data classification and classification. Build a new pattern of big data development with strong data aggregation and collection capabilities， high data sharing and openness capabilities， and extensive data application analysis and mining capabilities.

Key words： commercial bank; data security; risk; protect

1" 中小商業銀行面臨的數據安全風險形" " 勢嚴峻

2020年中國數字經濟規模為5.4萬億美元，位居世界第二，數字經濟發展如火如荼[1]。伴隨數字經濟的蓬勃發展，銀行業務的辦理方式也得到極大拓展，從網上銀行到手機銀行，再到開放銀行，銀行的業務逐步滲透到各個應用場景，客戶可以隨時隨地享用銀行提供的存貸匯服務。與此同時，大量客戶的個人基本信息、財產、交易等隱私數據也留存在銀行系統中。數據流通共享創造數據價值，數據分析使用提升業務價值，在銀行內外部業務場景中，如何將這些數據安全地應用于開發、測試、分析、建模等，成為當前銀行業面臨的一大安全挑戰。

所謂謀定而后動，三思而后行，想要利用好數據價值，就要分析和知曉其安全風險。現從江蘇蘇寧銀行的數據安全體系建設實踐出發，總結如下。

（1）數據安全管理規則不明確。數據安全治理需要以管理規范為基礎，從決策層到技術層、從管理制度到工具支撐，形成一整套的數據安全保護體系，為數據安全、合規使用保駕護航。而目前除大型銀行、頭部券商等外，中小銀行對數據安全職責歸屬劃分尚不明確，在數據流動的過程中，需要數據團隊、業務團隊、數據處理團隊等部門協同合作，由于數據的流動性帶來的數據管理職責分散問題，導致數據安全工作推進困難；其次，多數銀行雖已建立數據安全管理制度，但對具體工作流程的規范性尚不完善或落實不夠嚴謹，即使技術上已經采取相關防護措施，但管理規則與技術工具無法融合匹配，導致數據安全保護成效甚微。

（2）數據泄露風險。隨著數字化技術的普及，泄露的路徑越來越多元，數據泄露已經不再局限于外部黑客攻擊，更多的是企業內部人員、離職員工、第三方外包所為。銀行數據交互場景多樣，如開放平臺、監管報送、三方存管、第三方營銷、銀行間同業業務、市場資訊采集等均存在大量的數據交互，數據交互的承載為銀行內各類應用系統，數據交互的通道為系統間傳輸、郵件/IM傳輸、U盤/紙質文檔傳輸等多種途徑，在數據交互流轉的過程中，存在內部邊界不清晰、數據權限不清晰、數據訪問途徑不清晰等問題，帶來較多風險敞口，極易發生數據泄露事件[2]。

（3）數據共享風險。數據流通共享創造數據價值，大量的數據共享對數據安全提出了更高的要求，在安全、合規的基礎上共享數據，需要在數據使用場景、共享方式等方面降低安全風險。鑒于數據的流動性與易傳播性，數據通過不同渠道在不同網絡、應用間流動，用戶授權容易泛濫，存在過度授權風險。

2" 數據安全組織制度及流程建設

2.1 完善的數據安全管理組織架構

成熟完善的數據安全管理體系，應該從企業業務角度出發，以內部數據使用方向為指引，涵蓋不同業務場景，囊括數據采集、傳輸、存儲、使用、備份與恢復、刪除與銷毀、第三方數據合作與管理等多維度的數據全生命周期管理。

在數據安全管理的過程中，由于數據的共享、流通性，易出現責任分散、管理組織松耦合的情況，想要做到數據安全管理的全盤一體化，企業需要建立完善的數據安全管理組織架構，并確認數據安全管理的牽頭部門及其主要職責。以企業內部的信息科技部作為數據安全管理的牽頭部門是其中一種常見做法，職責包括：組織、協調和督導企業內部的數據安全管理工作；負責數據安全管理策略與辦法等規章制度的建設；負責開展數據安全防護技術體系的建設；監測、評估全行數據安全管理狀況。

在數據安全管理的過程中，以信息科技部作為數據安全管理的牽頭部門并不是要其孤軍奮戰，全行其他部門是數據安全管理的執行部門，也要承擔相應的管理職責：負責建立和落實部門日常工作中各個環節的數據安全管理機制與流程，落實數據安全管理規定與要求；定期開展本部門數據安全管理工作檢查與評估，落實數據安全問題與風險整改要求。

2.2 成熟的數據安全制度建設

在數據安全管理的過程中，企業為規范數據處理活動，保障數據安全，應根據《中華人民共和國數據安全法》《個人金融信息保護技術規范》《金融數據安全分級指南》等法規，結合本企業實際情況，制定相應的數據安全管理辦法與策略，此類數據安全管理辦法與策略應以企業內外部數據業務流程為參照，如數據分析場景的數據權限使用，數據報表場景的數據提取，客戶信息保護場景的數據保護等[3]。

其中，企業信息安全管理策略應包含數據安全策略部分，制定策略目標、策略內容，根據本企業數據安全現狀，制定數據保護規劃，逐步實現全面數據安全保護機制；企業數據安全管理辦法為企業數據安全管理的總則，一般需圍繞采集、傳輸、存儲、使用、刪除、銷毀的整個過程對數據全生命周期進行管理，確定數據全生命周期不同階段需要采取的措施，確保數據處于有效保護和合法利用的狀態，以及具備保障持續安全狀態的能力；企業數據分類分級標準能夠有針對性地為數據安全管控措施提供有效支撐，指導和約束不同敏感等級的字段在存儲、傳輸、應用端展現、后臺查詢及數據探查、導出、交換共享、對外輸出等場景下的不同管控要求；企業數據提取操作規范等作為企業內部數據業務場景流程下的管理辦法，適配于企業內部數據使用場景，確保企業在業務分析、模型建設、報表生成等場景中充分發揮數據價值的同時，防止企業業務數據、客戶隱私、信息技術資料等被不當使用或外泄；企業客戶信息保護工作管理辦法作為客戶信息保護總則，明確加強企業客戶信息保護工作的管理，在企業開展業務或提供服務過程中，包括客戶信息的收集、傳輸、加工、使用、保存、查詢、報送和供第三方使用等全過程，確?？蛻粜畔⒎旨壥跈喙芾?。

3" 數據安全技術體系建設

3.1 多維度的數據安全防護體系

對于金融行業企業來說，應圍繞數據采集、數據存儲、數據傳輸、數據交換、數據使用等全流程、多維度開展數據安全防護體系建設。其中，數據安全加解密、簽名驗簽技術作為數據保護的重要手段，在數據安全防護體系中起到舉足輕重的作用；在數據加解密過程中，企業應優先選擇國密算法，以實現密碼技術自主可控。

（1）嚴控不同安全域間的數據交換。金融行業按照監管要求對于內部網絡安全區域的劃分嚴格執行落地，銀行的內部網絡區域劃分為互聯網、辦公網、開發測試網、生產網，4張網絡原則上彼此隔離，對于不同安全域間的數據交換需求，需要具備合規、數據保護、安全可控的數據跨域交換通道，建立銀行內部各類文件傳輸、各種環境間文件交互的標準流程，保障數據在交換過程中不會因主動、被動原因造成泄露，在保證數據交換安全的同時，符合監管要求。在數據跨域交換的過程中，企業需要嚴格落實數據分級審批流程，對于敏感數據嚴控使用范圍與使用人員，必須同時通過數據主管部門和信息部門領導審批通過，并由特定人員進行操作方能獲得；同時應采用網絡權限隔離、傳輸通道保護、文件唯一性校驗、文件病毒查殺等技術，對于不同環境間的數據交換行為、不同安全域等級環境間的數據交換行為進行數據安全保護；在整個數據交換、應用過程中，均應有詳細的日志記錄，能夠實現數據交互全生命周期可追溯。

（2）使用脫敏技術、認證授權、操作審計保障數據使用過程安全。銀行針對業務系統后管、對客的業務系統前端頁面與客戶端所涉及的客戶敏感信息，都應積極采用脫敏展示等方式保護信息安全，防止客戶信息泄露。若確實需要獲取明文信息，則需要通過嚴格的授權或身份認證機制，如手機銀行中客戶查看卡號，則需要通過短信驗證；工作需要查看客戶敏感信息的，業務系統應記錄用戶訪問行為，具備事后的數據訪問溯源能力。應推動落實現有內外部信息系統的安全功能改造，主要涵蓋賬戶、密碼等安全策略落實，身份安全認證機制落地，敏感數據系統的脫敏展示，系統操作審計功能的完善等方面。

（3）積極采用數據防泄露技術，有效保護辦公數據安全。內部辦公終端應安裝桌面管理系統，杜絕經過網絡互切、移動存儲設備、刻錄、紅外等非法數據交換渠道進行的數據非法傳輸行為；同時應部署數據防泄露平臺，通過水印技術、文件外發監測、敏感數據掃描、郵件監測等技術加強辦公終端、互聯網終端的敏感數據安全管理水平，降低敏感信息的泄露風險。應分析目前內部各網絡安全域的劃分與管理，以及現有的數據管理流程與安全管理系統使用情況，識別發現目前企業主要的敏感數據泄露風險和途徑，如是否存在以下問題：終端上的敏感文件是否能夠準確識別；日常辦公行為如打印是否能夠進行有效管控；即時通信工具（包括微信與QQ等）是否能有效管控；外發郵件是否能夠進行內容識別，是否可以及時阻斷敏感數據泄露；截屏、拍照等行為是否采取安全管控措施。

3.2 基于分類分級的數據安全共享使用體系

商業銀行應開展數據安全分類分級識別與管控，依靠元數據信息開展敏感數據識別、數據表和字段定級、數據字典安全標簽制定等工作，持續性輸出數據安全標簽能力，將數據安全分類分級結果應用到數據安全管控中，如對數據湖、生產系統數據庫查詢建立數據安全風險管控體系[4]。

應構建以元數據為基礎的安全保護框架，兼顧安全與效率，讓數據使用更安全，讓安全使用有效率。具體應包含如下內容：完善數據安全規范，更新數據密級分級標準、存儲保護基線以及流轉審批流程，優化數據安全保護體系；運用模式識別、數據標識等手段，綜合個人金融敏感信息、經營敏感信息等屬性完善數據字典，完成數據分級分類標準落地工作；建立數據底座數據安全標簽，構建不同場景、不同安全屬性級別的數據服務能力，明確數據使用權限、適用范圍、應用場景；基于數據安全標簽能力，建立數據安全風險管控體系，運用數據關聯脫敏、數據追溯等技術，確保數據交互安全、使用合規、范圍可控。

4" 結束語

商業銀行要以數據為核心，構建管理、技術、運營三位一體的數據安全治理體系，形成從數據識別、風險評估、安全策略制定、安全防護實施、持續風險監測到動態響應控制的數據安全治理閉環。通過以數據為核心的數據安全治理體系建設，助力銀行內部樹立數據發展意識，建成具有強大數據匯聚采集能力、高度數據共享開放能力和廣泛數據應用分析挖掘能力的大數據發展新格局，為推動銀行數字化轉型，發展數字經濟，深化銀行業普惠金融發展提供強有力的數據安全保障與能力支持。

參考文獻

[1] 楊伊靜．打造包容性數字經濟模式 推動中國經濟高質量發展——中國信通院發布《中國數字經濟發展白皮書（2020年）》[J]．中國科技產業，2020（8）：5-7.

[2] 孫錚．新形勢下的數據安全治理難點與挑戰[N]．DBSEC INSIGHT，2022-07.

[3] 陳興躍．《中華人民共和國數據安全法（草案）》公開征求意見：數據分級分類正式入法[J]．中國信息化，2020（7）：9-10，8.

[4] 朱旻昊，裴倩倩．商業銀行數據分類分級管理研究[J]．金融縱橫，2021（10）：24-27.