银行业数据安全分析和实践（摘编）

来源：中国银行保险报时间：2022-09-09 08:07

编者按：

9月7日，《银行业数据安全分析和实践》报告在《中国银行保险报》主办的“转型提质 数字共荣”2022中国银行业数字化转型峰会上发布。为了提升银行业的数据安全能力，报告以对银行业数据安全现状的观察和分析为基础，结合国家与行业层面的数据安全要求，分析行业在数据安全领域存在的共性问题和需求，介绍面向行业的解决方案和实践经验，为银行业数据安全建设及在具体应用场景中的落地提供参考。本版摘编报告的部分内容，与读者分享。

数据安全解决和实践

《银行业数据安全分析和实践》报告认为，面对众多数据安全需求，银行业在制定数据安全解决方案时，需首先确定数据安全实践的“抓手”，才能在复杂的需求中梳理出一条连贯的思路,实现覆盖端到端的数据安全落地。“以数据资产为基础，以数据风险为线索”的理念，是开展数据安全实践的有力“抓手”（如图1所示）。

数据资产是数据安全防护的核心，是数据安全防控的基础。梳理银行业机构数据资产的形态、量级、载体等，完善数据分类分级体系，明确数据安全的防护边界，才能在数据价值发挥的基础上保障数据安全。

数据风险是数据安全防护的本质，是数据安全防控的对象。从风险的视角出发，在数据资产的各种处理活动中有效识别风险，是数据安全实践的线索，也是优化资源和落实安全要求平衡的最佳方式。

围绕数据资产和数据风险，数据安全解决方案可以分为数据资产管理、数据安全评估、数据安全建设、数据安全运营四方面，端到端覆盖各类数据安全需求，保障数据安全实践的整体性。以此为基础，银行业数据安全解决方案可进一步扩展至具体应用场景，提升数据安全实践的落地效果。

数据安全实践在场景的应用

《银行业数据安全分析和实践》报告认为，银行业务应用场景众多，要保障数据安全的落地效果，实现数据安全能力的全覆盖，需要在整体数据安全建设的基础上，进一步识别梳理数据安全场景，将数据安全解决方案细化到更具体的场景中，实现业务和运营活动中的数据安全风险可控。

1.基于“数据-数据处理活动”的场景识别方法

数据安全场景梳理需要统一的方法，以保证不同场景下数据安全实践的一致性。基于“数据-数据处理活动”的场景识别方法，是以数据安全法中的数据和数据处理活动定义为核心，通过对数据和数据处理活动识别，厘清具体场景的范围，进而实现业务场景下的数据安全需求场景化。在此基础上，结合数据安全解决方案的核心理念，在场景范围内细化数据安全评估方案，进而实现数据安全建设和数据安全运营在场景层面的落地。

数据安全场景的识别，需基于业务场景下的数据本体、数据分类分级情况，确定对应数据载体，从安全视角将业务活动和操作流程中涉及的不同数据处理活动相关联，具象明确数据安全应用场景的范围，具体可以分为以下步骤：

（1）从数据本体出发，分析数据本体的性质，不同的性质决定了可能承载该数据的载体及后续可能的应用场景。

（2）将数据本体通过有效分类分级，确定可能使用该数据的业务需求，以及该数据的安全层级。

（3）识别承载数据的各类数据载体，根据数据载体的不同特性和管理要求，确定场景的具体安全防护要求和方式。

（4）通过对数据处理活动的分析，明确各数据处理活动中，可能涉及的具体防控要求及数据处理范围。

（5）将数据本体、数据分类分级、数据载体和数据处理活动范围进行汇总，形成符合业务、数据和安全多维度划分的数据安全场景。

2.在场景中细化数据安全解决方案

在数据安全场景识别的基础上，将数据安全场景的识别结果与数据安全解决方案的四大理念相结合，可以实现数据安全解决方案在场景中的细化，提升数据安全实践的落地效果（如图2所示）。

数据安全场景结合数据资产管理，实现数据资产类型和级别细化，提升对数据分布、形态、特性的掌握；结合数据安全评估的结果，实现场景内的数据安全风险识别，提升风险识别与发现的颗粒度；结合数据安全管理与技术能力建设，实现在场景内建设要求的细化和安全技术能力的构建，保障风险防控能力对实际场景需求的全覆盖；结合数据安全运营，完成数据安全与内外部业务变化的匹配，确保数据安全能力持续有效输出到具体场景。综合以上五方面，实现数据安全解决方案在具体场景下的细化，提升数据安全实践的水平。

报告以“数据分析平台应用场景”为例，介绍在业务场景中细化数据安全解决方案的具体过程。各银行普遍建设有通用的数据分析平台，用于汇总各业务系统数据，进行业务数据挖掘，提升业务数据的价值。该平台往往汇聚了大量的业务数据，如果数据安全防护措施不到位，极易引发各类数据安全风险。通过以下具体环节，尝试实现在该业务场景内细化相应的数据安全解决方案：

第一个环节是“厘清数据资产”。数据分析平台汇集了多个系统的数据，对数据资产的管理需要覆盖到全链路，不仅需要对平台本身的静态数据及采集的动态数据进行有效识别，也需要关注因平台本身数据加工所引发的数据安全级别变化，全面掌握平台整体数据资产情况，确保数据分类分级结果的合理性。

第二个环节是“数据安全风险分析”。数据分析平台系统集中了跨国家/地区、跨部门、跨系统的庞杂数据及分析处理后的价值结果，人员可通过审批流程对部门和岗位的数据访问范围和内容提出需求，经审批后，即可通过数据分析平台访问超出申请人岗位或部门权限的业务数据，如操作人员的权限颗粒度不足，极易发生超范围访问数据、非授权访问、账号违规使用等数据安全风险。跨国家/地区的数据如果缺乏严格的授权管理，甚至可能引发法律风险。

第三个环节是“数据安全防护能力建设”，主要从数据安全管理机制与配套数据安全防护技术两个维度展开。

在数据安全管理机制层面，基于数据分析平台的业务流程和风险分析结果，可以细化与平台相关的数据安全职责划分，落实在平台相关数据处理活动过程中的岗位权限，通过二次认证及授权机制、数据导出授权审批机制等安全机制细化，实现数据分析平台场景内的数据安全管理要求落地（如图3所示）。

在数据安全防护配套技术层面，结合数据分析平台场景内的信息系统及运行环境，通过数据防泄漏技术、访问策略控制、数据加密技术、多因素认证、分析行为监测、日志审计技术等安全防护技术的综合运用，为数据分析平台场景打造定制化数据安全防护体系。

第四个环节是“数据安全持续运营”。在数据分析平台的数据采集、数据处理过程发生变化时，需要及时识别数据资产变化情况，调整相应的数据分类分级标识及对应的数据安全策略，确保数据分析平台场景下的管理要求和技术手段持续有效。

总体而言，数据安全解决方案的实践落地，需要银行业机构在具体的数据安全场景中，不断汇总动态数据和静态数据，掌握数据变化情况，根据业务和数据环境变化展开数据安全评估，实现数据安全管理和技术在场景下的细化落地，并通过持续运营调整数据安全策略，实现数据安全水平不断提升的“内循环”。

（记者 袁婉君/整理）