随着数字化程度不断加深，金融机构经营对数据的依赖越来越高，业务用数需求不断增加，使得数据不仅存在于严防死守的业务系统，还广布于员工办公电脑、知识平台、业务合作方。因此，结合重点场景，抓关键点有效防护敏感信息泄漏成为数据安全工作的重要环节。

（一）偷偷转运数据的“外宅”，你知道的有几个？

金融机构在经营过程中，常涉及将数据传输到外部的情况。此类数据传输不少是短促行为，易发生业务部门“八仙过海”，将数据私搬至“外宅”的情况，带来安全风险。因此，加强内部管理、做好外部监控，控好“外宅”，是金融机构控制数据外传过程中泄漏风险的重要手段，具体包括：

1.常态化内部管理，杜绝业务私设“外宅”

（1）落实数据外传报备：金融机构应建立对外数据交换管理规范及报备机制，涉敏数据的外传都须事前报备。报备时需对第三方进行资质审查，审查包括：资质、人员能力、数据源合规性、个人信息保护能力、个人信息授权、技术防护手段、安全体系等，以避免随性外传数据。

（2）签署数据安全协议：为加强约束管理，控好“外宅”，对于涉敏数据传输，金融机构应要求对方签署数据安全协议，约定安全责任、保密义务、明确所接触的数据处理平台范围、数据内容、合作模式及违约处罚条款等，以附加协议形式为数据接收方戴上“紧箍咒”。

（3）强化数据外传事后监督：金融机构还应定期开展数据外传专项检视，排查对外供数审批情况、数据传输的合规及必要性、字段一致性以及安全控制措施的有效性等，监督数据外传安全合规风险，严查私设“外宅”搬运数据。

2.动态化外部监测，防范数据偷偷“搬家”

一是建设互联网资产监测与管理平台，建立外部合作互联网资产台账，并与采购环节关联，收集互联网资产涉及的合作供应商信息，挖出“偷搬”线索。

二是在邮件网关、终端、互联网等关键出口设置监控平台，配置监控规则，就未授权的敏感数据传输行为进行监控、告警及处置，反向推动数据受控外传。

（二）业务合作好兄弟，是否成为数据泄漏的“猪队友”？

金融机构在业务实施过程中，不可避免与外部厂商进行业务合作。由于服务商安全能力高低不平，部分业务合作的好兄弟，很有可能成为泄漏我方数据的“猪队友”，对于此类情况，管控思路如下：

1.以自有系统为方向，主动防御，减少高敏数据外传

数据外传到合作方不可避免会增加数据安全风险。因此应提前识别业务合作关键内容及所涉数据的类型及安全等级，精准了解业务合作过程的高敏数据。对于存在高敏数据的业务合作，应以建设、使用自有系统为优先推进方向，可将涉及到的数据在系统中统一收口，控制合作方人员使用企业自有系统进行数据处理，避免数据离开内部环境。同时，将数据安全能力嵌入到自有系统作业流程中，如使用明水印增加威慑，使用暗水印用于追踪数据泄漏事件，对敏感信息掩码处理，对下载行为监测审计等。

2.以接口管理为抓手，精准保护，管好合作方数据交互

建设对外数据交换申报管理及评审平台，依托此平台与接口管理平台对接，实现数据交互类接口上线前的卡点，并通过卡点阶段对接口的风险评估，达成管理接口数据交互风险的目的。同时，对数据交互接口持续进行安全运营与监控，确保接口调用权限准确、数据传输字段、加密措施等符合要求，从而确保与“好兄弟”的数据交互安全、受控。

此外，还应利用平台实时监控接口网络流量，以发现异常数据访问、失活无效数据接口；通过提前预设规则，识别及记录非法操作、异常攻击；对数据接口访问进行监控，自动识别字段级别数据传输，并依托敏感数据管理系统对敏感数据使用、流转、解密情况进行分析，提高数据接口服务的安全性。

3.以真查实抓为方法，联防联控，督促合作方能力提升

金融机构与服务商的业务合作通常长达1-3年甚至更多的时间，在这样的时间跨度下不论是外部环境还是内部情况都足以发生较大变化。因此，在合作期间应该设置周期性信息安全检查的机制，真查实抓，围绕数据安全、应用安全、网络安全等开展常态检查，将检查结果作为合作方考核及后续合作的重要依据，并通过警示、罚款等措施督促合作方进行整改，提升其能力。

（三）勤奋工作的好员工，是否成为努力挖坑的“掘井人”？

随着技术的成熟以及“随时”、“随地”、“随性”远程办公“内卷”文化的兴起，勤奋工作的好员工越来越不满足只在职场工作，而希望能在任何时间、任何地点、任何情况接入系统、访问数据、处理工作。但这种突破数据保护边界的远程办公模式，在便利的同时，也给敏感数据保护带来新的挑战。如管控不力，勤奋工作的好员工也许会泄露敏感信息，成为努力挖坑的“掘井人”。为防范此类风险，金融机构应从“限权限、限设备”、“盯操作、盯访问”着手，建立防范方案。

1.限权限、限设备，让“勤奋”落到点子上

一是限员工帐号权限，提前划分员工角色、系统类别、数据类别及数据安全级别，动态维护数据清单-系统清单-角色清单间的权限匹配关系，依据最小化原则控制不同角色的操作权限和数据权限，定期清理权限，使得员工除工作所需外，不该看的数据看不到。

二是限远程访问系统范围，预先建立评审机制，对远程访问需求进行安全评审，以“先评审、后开放”为原则，从技术安全、数据安全等维度对远程访问方案、系统安全性、数据敏感性进行评审，只有符合安全要求的系统、数据才允许远程访问。

三是限数据暴露面权限，通过云桌面、受控APP程序等方式远程访问数据，限制远程下载；通过应用控制，禁止应用下载功能；通过前端展示控制，屏蔽展示的敏感信息。让数据“看的到，摸不着”、“用得到，拿不着”。

四是是强制要求所有VPN访问使用双因素认证方式，对于办公终端的远程访问要求配置远程访问证书，仅允许受信任的人员登录远程访问系统。

五是采取零信任技术，在员工家庭电脑安装客户端，并基于可信用户、可信设备和可信应用的可信身份三要素验证，仅允许受信任设备远程访问，非白名单设备无法入网。

2.盯操作、盯访问，让可疑事件无所遁形

为监控员工可疑的操作、访问，及时发现、拦阻数据安全事件，金融机构应在多层面部署监控、分析、拦截系统。

在终端层面部署DLP客户端,实时监控敏感信息终端操作行为；在网络边界部署网络DLP，对敏感信息上传行为进行监测阻断；在邮件系统部署邮件DLP，所有外发邮件内容及附件经敏感信息识别和阻断；在数据中心边界，部署文件摆渡平台，监控出数据中心文件；针对文件打印进行敏感信息检测，打印敏感信息需安全审批；对存在敏感信息展示和下载的应用系统进行日志埋点，记录访问和下载行为。

此外，为将有限的资源优先关注“真正有风险的员工”，应结合员工“动机”、“意愿”及“信息泄露的可能性”建立UEBA 终端用户行为分析智能平台，通过机器学习模型、员工画像、系统画像等分析手段，基于不同业务场景，实现对员工风险行为的识别、预警，并输出可疑的风险事件进行查追踪。

金融机构以问题为导向，以实战为指引，瞄准泄露风险短板，在管理层、应用层、系统层和网络层等建立多层次的数据安全保证机制，拧紧金融数据安全的“安全阀”，做到正常数据需求出的去，异常私货带不走，有效保障金融数据的安全。