金吾卫②｜这份金融行业数据安全解决方案请收藏

金融行业数字化转型始终走在各行业前列，转型过程中如何将海量数资源转化为数据资产，如何在做好数据管理、保障数据安全的同时深挖数据价值，是金融业普遍面临的重要挑战。合规使用是开发和消费数据资产的前提和底线，也是金融业健康发展的必经之路。

金融监管层面的相关发文、标准、规范在持续不断的发布，有日益严格的趋势。从时间序列上来看，金融监管在国家《数据安全法》《个人信息保护法》出台前就已发布了体系化的标准规范，这也从侧面说明了金融行业对数据安全的重视以及工作推进的前沿性。

强监管下，数据安全事件依然频繁发生。由于各金融单位数据没有很好地被保护，受到来自央行、银保监会、外管局的行政处罚不在少数。当前金融行业由于业务发展面临的数据安全问题包括：业务移动化、能力开放化、场景多元化，加剧了数据泄露的风险，导致整个行业面临资产状况难看清、数据风险难监测、数据防护难有效、数据泄密难溯源等挑战。

纵观安恒信息对金融行业客户的了解及积累的最佳实践，整个行业对数据安全的需求主要有以下几个方面：

安恒信息数据安全参考国内外主流的数据安全治理框架：Gartner DSG、DSMM、及行业数据安全相关标准《金融数据安全 数据生命周期安全规范》，在《数据安全法》颁布不久，迅速发布了“CAPE数据安全能力框架”，以AiDSC数据安全管控平台为代表的十多款数据安全系列产品，业内最全，真正能够在可信、可用、可管、可溯源的体系中保障数据全场景、全链路、全生命周期的安全，以及实现数据的可用不可见、可用不可取，激活数据潜能，释放数据价值。

安恒金融行业数据安全治理理念简要概括为：以分级分类为基础，以数据生命周期安全为目标，实施“数据安全三不同策略”（即对不同等级数据在不同应用场景下实施不同类型的防护措施）。

数据安全不是一朝一夕就能全部完成的工作，需要在建设的过程中，随着自身业务的变化，持续的更新迭代。金融行业数据安全治理总体框架分为安全规划、能力建设、安全运营，三大部分，先进行总体规划，针对风险项，进行针对性的数据安全产品加固，最后通过一个有效的平台实现各安全设备的整体联动，达到安全运营的完整生态。

凡事预则立。在做整个数据安全建设之前要进行整体的规划。包括：

①现状调研：调研单位内部的数据资产、业务部门、业务流程、技术工具、控制措施等基本情况。

②资产梳理：采用人工咨询+高效的分类分级工具，通过工具内置的金融行业模板及多家金融客户最佳实践，发现和识别数据资产，定义敏感数据，生成数据资产目录，让数据走向价值化管理与精细化管控。

③风险评估：通过脆弱性评估、差距评估等咨询服务方式+安恒专业的数据安全检查工具箱，了解数据安全风险现状，有效防范、降低关键业务系统的数据安全风险，达到风险可控、最大限度地提升关键业务系统的安全保障能力。

④顶层规划：针对金融客户实际建设现状，制定管理体系、能力架构设计、运营体系等中长期建设路径。

⑤管理体系：协助金融客户梳理内部的组织架构，切分金融数据的归属人、管理人和使用人等多角色，形成多部门协同联动的数据安全管理工作机制；形成完善的数据安全制度体系，并推动制度体系的落地执行。

安恒信息金融行业落地方案以行业政策文件《金融数据安全 数据生命周期安全规范》为指导，聚焦不同安全等级数据在生命周期各阶段的保护要求，为金融行业客户提供数据全生命周期的数据安全防护产品，持续促进数据安全保护工作的提升。

数据采集包括：金融业机构在提供金融产品和服务、开展经营管理等活动中，直接或间接从个人金融信息主体，以及企业客户、外部数据供应方等外部机构获取数据。

以《金融数据安全 数据生命周期安全规范》为指导，安恒可为金融客户在数据传输阶段提供数据透明传输加密和网络防泄漏的防护手段。透明传输加密用来防护在非信任网络下终端用户身份鉴别及数据传输安全；网络防泄漏对金融机构内部外发的网络数据进行监测审计，发现并记录经由网络外发的敏感数据泄露事件，定位到相关人员，提醒责任人，采取补救措施以消除影响。

以《金融数据安全 数据生命周期安全规范》为指导，安恒可为金融客户在数据存储阶段提供数据库透明加密和终端防泄漏的防护手段。其中透明数据库加密可以实现在不更改用户原有数据库系统架构的前提下，解决数据在存储环节的泄露隐患；终端防泄漏可以实现对终端用户行为进行敏感数据审计与管控。

以《金融数据安全 数据生命周期安全规范》为指导，安恒可为金融客户在数据使用阶段提供零信任体系建设、精细化权限管控、运维操作审批、动态脱敏、静态脱敏与水印溯源、数据库审计、用户与实体行为分析、API审计等的防护手段。其中零信任体系可以持续监控身份、设备、资源，确保它们处在最安全的状态；对数据访问权限进行精细化管控；运维人员进行危险操作时，提交临时授权工单审批方可放行；对开发测试、数据外发等场景通过静态脱敏防止数据泄露，给数据打上水印，以便在数据发生泄露时，进行溯源；对业务访问数据进行实时动态脱敏，保护客户隐私；数据库审计可以实时记录对数据库的操作行为，健全追责机制；用户与实体行为分析可以基于安全基线，规避特权账号的高权限操作，及时捕获人员访问数据的异常行为；API审计可以通过流量分析，自动化清点API接口，洞悉API上可能存在的脆弱性风险，对数据使用行为全面留痕。

以《金融数据安全 数据生命周期安全规范》为指导，安恒可为金融客户在数据共享阶段提供数据安全岛的防护手段。数据安全和数据流通在矛盾中统一？安恒信息数据安全岛对数据从共享上传到存储使用到结果下载进行全链路加密来保障数据端到端的安全，原始数据不出本地，数据加密状态下进行多方数据安全计算。这样数据拥有方可以获得收益，无需担心原始数据泄露问题，而价值需求方也能获得应有的数据价值。

制定相关的制度，以《金融数据安全 数据生命周期安全规范》为指导，进行相关删除及销毁操作。

数据安全运营是一个长期持续的过程，并基于组织的业务变化不断调整和优化。通过对数据访问日志的采集、分析，实现数据安全风险和事件的统一分析和集中呈现，数据安全态势感知，安全组件集中管理，数据安全策略集中下发，风险事件集中处置，构建【资产识别】→【风险分析】→【监测预警】→【响应处置】→【安全合规】的数据安全管控闭环。

续：

本篇是金融行业系列专刊第二篇，第一篇：《》，持续发布中，敬请关注！