数据安全防护体系落地实践
数据安全面临的挑战
数据是银行最本质、最核心、最关键的生产要素。近年来，随着数据安全风险关注度显著提升，保护数据安全的需求日益凸显。当前，《数据安全法》《个人信息保护法》已正式实施，《金融科技（FinTech）发展规划（2019-2021）》《银行业金融机构数据治理指引》《个人金融信息保护技术规范》都对数据安全管理提出了明确要求，《金融数据安全数据生命周期安全规范》《金融数据安全数据安全分级指南》也在金融领域发布实施，无疑都在考验各商业银行的数据安全防护能力。
数据安全防护的难点首先是数据存在形式多种多样。在银行内部，存在海量电子数据、纸质数据，且一直处于动态增长状态。同时，数据流转过程复杂，数据通过业务采集或多种外部来源渠道汇聚，由实际业务驱动全方位动态流转、不断变化，时刻被大量的系统、人员进行使用和消费，数据泄露的风险点众多。
数据定义不清也是一个难题。数据规模庞大、种类庞杂导致很多数据无法被准确定义。一是数据资产，特别是数据流动地图很难梳理清楚；二是数据所有者、使用者无法被清晰界定；三是数据价值、用途无法评估，分类分级难以实施，保护重点无法明确。
数据安全领域法律法规不断出台，银行业数据安全合规要求越来越严，数据安全事件时有发生，这些都在不断强调数据安全管理的必要性，数据资产安全防护问题已经刻不容缓。银行的数据安全除保密、完整、可靠、可用之外，也关系到对数据的增值分析、利用而带来的衍生价值。数据安全管理工作，不是一个单纯的IT问题，而是科技和业务共同面临的挑战。
数据安全防护体系建设规划
在DT时代，数据只有流动起来，被深入地挖掘、分析才能创造新的价值。因此，数据安全防护体系不仅是一套用工具组合的产品级解决方案，而是从决策层到技术层，从管理制度到工具支撑，自上而下贯穿整个组织的完整链条。针对数据安全防护的各种难点，既要满足数据安全防护要求，保护敏感数据，又要平衡数据保护和业务发展之间的关系，实现数据价值。
渤海银行参考国内外相关标准及最佳实践，通过系统性研究和思考，以“让数据使用更安全”为目标，制定了具有渤海特色的数据安全防护体系建设规划（见图1）。以数据生命周期为主线，数据分类分级为抓手，从数据安全管理和安全技术两方面开展数据安全防护体系建设工作。
图1 数据安全防护体系建设
在数据安全技术架构方面，我行以数据资产为核心，建设“云管端”三道数据防线，构筑数据安全流动边界，实现数据全生命周期安全。
数据安全体系落地建设情况
数据安全体系建设并非从零开始，我行已建立由安全治理、安全管理、安全技术、安全开发、安全运营、安全验证六个领域组成的网络安全体系（见图2）。数据安全是以数据为核心，围绕数据安全生命周期进行建设以提高数据安全保障能力，所以需要与当前网络安全体系紧密融合，是网络安全体系不可或缺的组成部分。
图2 安全体系架构
基于实践，我行聚焦数据安全相关的四大能力：组织建设、制度流程、人员能力、技术工具，有的放矢地提升数据安全能力。
第一，明确数据安全管理组织架构。基于渤海银行现有组织架构，明确每个部门的职责与分工，每个岗位的权利与义务，建立决策、管理、执行、监督四层数据保护组织，确保数据安全防护体系有效执行。由网络安全和信息化领导小组、数据治理委员会负责数据安全方针政策及重大事项的决策；由各信息科技部门、业务主管部门、风险管理部门、法律部门等负责数据安全管理工作；由各科技职能团队、业务数据管理团队聚焦每个数据安全场景，落实数据安全管理要求；由内控合规部、审计部负责数据安全防护工作的监督检查。
第二，建立健全数据安全制度体系。根据金融合规、风险管理、业务发展、个人隐私等各方面要求，制定数据安全管理政策，确定数据安全防护控制策略。按照方针政策、管理办法、实施细则、手册表单四层制度体系，制定或修订数据安全管理办法、客户个人金融信息保护工作管理办法、零售数据管理办法、数据安全分类分级原则及方法、数据销毁技术规范、隐私政策、客户个人信息保护突发事件应急预案等规章制度，将数据安全管理要求融入各项业务及科技制度之中。
第三，开展形式多样的数据安全培训。一方面，在渤海E学堂、大数据学苑课程、新员工入职培训等活动中增加数据安全培训内容，同时邀请专业律师、行业专家开展专题讲座，提升员工数据安全防护意识和防护技能。另一方面，安排数据安全专职人员参加各类专项培训与考核，确保数据安全岗具备执行数据安全工作所需的数据安全管理能力、运营能力、技术能力和合规能力。
第四，提升数据安全防护技术支撑能力。以数据资产为中心，在现有的网络安全防护体系的基础上部署各类数据安全工具，并将这些工具融合到整个数据安全防护体系当中，确保安全、体验、效率并存，以有效实现对数据的安全管控。近年来，实施的主要项目如下。
一是建设终端安全沙箱。为提升终端数据保护能力，同时满足行内员工开展日常工作对数据的访问和使用需求，启动终端安全沙箱建设项目。安全沙箱通过在终端上创建一个与原桌面环境完全逻辑隔离的环境，实现对沙箱中运行软件的操作管控，并对沙箱中存储的文档与数据进行加密隔离。
二是建设应用流量数据安全监测系统。该系统通过监测与分析业务系统数据流动情况，实现对业务系统的数据接口梳理、数据流动感知、敏感数据自动发现、用户访问行为审计，掌控敏感数据流动态势，及时发现敏感数据明文传输、敏感数据非授权访问、账号异常登录等风险，快速对数据泄露等安全事件进行溯源分析。
三是建设邮件防泄漏系统。为切实加强邮件外发数据安全管理，防止商业秘密及客户信息泄露和盗用，建设部署邮件防泄漏系统，并在全行范围内启用邮件外发审批机制，仅为部分员工开通邮件外发权限，且外发邮件须由其上级领导作为审核人进行审批。
四是在项目建设中落实数据安全管理要求。结合《金融数据安全数据生命周期安全规范》《个人金融信息保护技术规范》，在开发安全体系中专门增加数据安全相关要求，从源头推动数据安全管控，确保应用系统数据生命周期符合安全技术规范。在项目立项阶段，要求项目组开展应用系统数据等级、涉及三方交互客户信息、敏感数据传输、个人隐私保护、文件传输等自评估，并制定应对措施。
结 语
数据安全体系建设不是一蹴而就的，需要持续改进，不断完善。要紧跟最新的数据安全法律法规、标准规范及信息安全趋势，定期对数据安全组织架构、规章制度、标准流程、控制策略、技术工具等方面的落地和执行情况进行审查，对发现的问题加以整改，不断提升数据安全防护能力。
