CCRC-DSO学员观点 || 金融数据安全里的人、技术与治理

当前,数据已经成为继土地、劳动力、资本、技术之外的第五大生产要素,成为国家基础性战略资源，作为新兴的生产要素，数据正在为经济社会发展提供着全新价值。正如十年前金融行业内常说信息化是金融的未来，各家银行都以信息化发展作为核心目标，将手工业务电子化、将线下流程线上化、将纸质资料数字化。经过近二十年浩浩荡荡的建设历程，金融行业信息化程度得到了显著提高。整个金融业在近十年通过对数据中心、算力中心的建设以及对各种可视化应用的尝试，都表明金融业正在拥抱大数据。这不只是因为金融业的日常运营中会产生大量数据，更为重要的，数据也是支撑金融业各类决策、了解自身经营状况与提高服务效能的重要“原料”。

数据作为一项生产要素，安全不仅决定了它能否流通，更决定了它是否可信、是否可被估计价值。同时，数据安全与信息安全相比，存在一定的特殊性，信息安全重点在于有界、隔离，但数据作为信息的载体，在运营与日常工作中是“无界”的，一味的隔离不仅阻止了数据的流转，同时也阻碍了工作的开展。

数据安全的建设，核心是人与技术。技术是数据安全的基线，是所有安全工作开展的前置条件。而人是数据安全中参与者与被管控者，这点非常符合治理的定义，所以数据安全治理可以浅显地理解为探寻人和技术的关系。人如何利用现有的技术达到目标，而现有的技术又怎么辅佐于人的工作开展。数据安全管理工作更多是在找平衡，寻找数据管控与数据使用方便之间的平衡，寻找技术能力与管理制度之间的平衡，寻找人防与技防之间的平衡。

技术是不完美的，人也不是完美的。没有绝对安全的系统，也没有绝对合理的制度。如果数据只考虑安全，数据就容易变成“孤岛”和“烟囱”，反之，如果只考虑业务发展，数据又变成“狼群里的羊”。数据安全只依靠制度管理就会变成空中楼阁，数据安全只依靠技术管理就变成没有钥匙的保险柜。

在笔者的观点里，数据安全要讲就实事求是，“实事”就是客观存在着的一切事物，“是”就是客观事物的内部联系，即规律性，“求”就是我们去研究，“求是”就是认真追求、研究事物的发展规律，找出周围事物的内部联系，数据安全同样如此。业务开展与安全管理的需要都是客观存在的，技术的短板和人的不可控性也是客观存在的。只有做到实事求是地在业务情景下进行数据安全分级分类、实事求是地在数据流转过程中找到风险，实事求是地在管理制度上探索和调研，才能在强监管要求下，找到最适合企业自身的数据安全治理策略，才能更好的抓住机遇，迎接挑战，享受数据作为生产要素为企业数字化转型提供强大动力。

—本文作者：CCRC-DSO学员袁定玺贵州银行

——CCRC-DSO数据安全官——

“数据安全官证书”(Data Security Officer Certificate-CCRC) 是中国网络安全审查技术与认证中心依据国家标准《网络安全从业人员能力基本要求》（GB/T 42446）推出的网络与数据安全岗位能力认证系列证书之一。

CCRC-DSO是在国家标准《网络安全从业人员能力基本要求》（GB/T 42446）中规定的，针对数据安全保护人员岗位应具有的知识和技能要求的基础上，结合《数据安全法》、数据安全政策和技术产业的最新发展态势、前沿理念知识，凝练出的一套针对数据安全岗位工作人员的知识、技术和能力的人员认证评价项目。通过“数据安全官（CCRC-DSO）”认证评价，证明持证人员已经符合《网络安全从业人员能力基本要求》（GB/T 42446）中规定的承担数据安全保护工作的基本知识和技能要求，具备了对数据安全管理体系建设、战略规划、法律合规管理、安全运营、数据治理、数据安全技术通盘整合的能力，能够胜任数据安全管理和数据安全保护等相关岗位工作。