天融信银行业数据安全治理 解决方案及落地项目分享 天融信科技集团 王虹蕊 ◆ 实施数据安全治理的必要性 ◆ 银行业数据安全治理解决方案 ◆ 银行业数据安全治理项目实践分享 ◆ 天融信数据安全能力介绍 相融共创 赋能未来 实施数据安全治理 的必要性 银行业数据安全事件层出不穷 某银行因违规查询个人交易 信息被惩处 21家银行因数据质量领域 违法违规被罚 2021年1月，银保监会点名通报 2022年3月25日，银保监会严 某银行因未经客户授权违规查询 中心支行披露的行政处罚信 某银行领“罚单” 7月1日，中国人民银行长沙 肃查处数据质量领域违法违规 个人账户存款交易信息，违规在 息显示，某银行分行存在九 案件，对政策性银行、国有大 公开网络环境中传输隐私信息， 项违法行为，被警告并处 型银行、股份制银行等共21家 于8月被罚款486万元。 91.8万元罚款。存在收集与 银行机构依法作出行政处罚决 业务无关的消费者金融信息 定，处罚金额合计8760万元。 的情况。 2021年1月 2022年1月 2022年3月 2022年3月 某银行因违反信息采集等规 定被罚超千万 俄罗斯央行被窃取28GB 数据 2022年1月10日，中国人民银 国际知名黑客组织“匿名者 行上海分行公布一张巨额罚单 ”（Anonymous）声称其 ，某银行违反信用信息采集、 入侵了俄罗斯央行，并窃取 提供、查询及相关管理规定， 了3.5万份文件。事后，黑 被处以罚款人民币1674万元， 客宣布将在48小时内泄露被 责令限期改正。 盗文件。 2022年7月 数据成为银行业数字经济的核心生产要素 数据本质变化 数据安全面临痛点 ◼ 数据资产流向不清晰 敏感数据分散，使用权责不明确，缺乏分级保护策略，很难跟踪数据流向及数据访问行为。 ◼ 数据风险状况不明确 数据全生命周期各阶段安全隐患暴露，存在泄漏、篡改、非授权使用和被破坏和隐私泄露的风险。 ◼ 数据安全策略不健全 各类数据安全设备策略设置不全，存在各类安全风险、设备防护效果差。 ◼ 数据事件处置不及时 缺乏一整套流程机制应对数据安全事件发出时的处置，缺少应急预案管理和应急演练等。 ◼ 数据安全效果难衡量 缺少常规的数据安全风险评估，没有数据安全实战评估和验证机制，无法对数据安全效果衡量。 数据集中 价值集中 风险聚焦 银行机构面临的问题 01 02 03 组织层面 管理层面 技术层面 • 专业人才缺乏、人员安全意识不足 • 管理策略不清晰 • 职责划分不清、确权难 • 制度不健全 • 组织协同机制待完善 • 标准需补足 • 安全工作难以推动 • 流程不规范 • 无法单靠产品解决数据安全问题 • 资源投入不足 • 能力整合不足 银行业监管日趋严格 国家层面新高度 数据安全治理体系 《金融数据安全 数据生命周期安全规范》 数据安全有法可依 2021年4月8日（天融信参编） 在数据安全分级的基础上，结合金融数据特点，梳理数据安全保护 要求。 规定了金融数据生命周期安全原则、防护要求、组织保障要求以及 信息系统运维保障要求，建立覆盖数据全生命周期过程的安全框架。  2017年习主席在中共中央政治局第二次集体学习时强调 ， “要切实保障国家数据安全，要加强关键信息基础设施安全  保护，强化国家关键数据资源保护能力，增强数据安全预警 和溯源能力。” 《金融数据安全 数据安全分级指南》 2020年9月23日 将数据安全级别由高到低划分为四类五级 将个人金融信息C1、C2、C3三个类别信息分别对应到了2级、3级和4 级数据，在一定程度上，直接明确了个人金融信息等字段级的定级指标；   01 02 03 《网络安全法》 《数据安全法》 《个人信息保护法》 《个人金融信息保护技术规范》 2020年2月13日 规定了个人金融信息全生命周期的安全防护要求，为金融机构提供了更多 参照与指导。 将个人金融信息按敏感程度从高到低分为C3、C2、C1三个类别。  组成数据安全领域完整基础性法律体系三驾马车  数据安全治理工作开展的问题 01 工作推动难 • 工作推动难，需要成型的组织牵头 • 需要安全部门、业务部门、数据管理部、风 险管理部门的配合 02 03 覆盖范围广 • 业务系统多、数据种类多 • 数据融合开放，在不同系统间交互、流动 • 业务向云、微服务、中台化转变的趋势 项目周期长 • 资产梳理工作量庞大，缺乏自动化梳理工具 • 通常需要半年以上的项目周期 相融共创 赋能未来 天融信银行业 数据安全治理解决方案 银行业数据安全治理框架 天融信银行业数据安全治理框架 六个阶段 四个方面 两个能力 多个场景 合 规 及 业 务 要 求 评 估 能 力 制度 规范 治理 操作 技术 工具 管理层（数据安全治理工作管理小组） 门 审 （ 监 ） 计 内 督 部 部 层 执行层（数据安全治理技术团队） 参与层（员工及合作伙伴） 管理制度 模板文件 管理办法 总体方针 管理策略 流程规范 记录日志 ……… 业务 安全责权 业务关系 关键路径 …… 数据 分级分类 数据流向 生命周期 …… 风险 管理风险 技术风险 运营风险 …… 策略 策略梳理 策略制定 流程优化 …… 数据防泄漏 数据脱敏 采集 基础安全 赋能场景 决策层（数据安全治理委员会） 组织 机构 物理安全 生产环境 运 营 能 力 传输 网络安全 存储 主机安全 数据备份和恢复 使用 应用安全 测试环境 数据共享 办公环境 数据加密和权控 数据库安全防护 大数据安全防护 数据安全交换 数据提取 ………. 删除 端点安全 运维环境 销毁 …… …… 一、组织是数据安全的“前提” 数据所有方 职责 梳理 数据运维方 数据安全监督方 安全决策层 数据使用方 数据安全治理委员会。对数据安全负最终的责任。单位主 数据安全管理方 要负责人任组长，业务部门、安全部门、内部审计部门等 部门的主要负责人 安全管理层 决策层 （信息科技管理委员会、分管信息科技领导以及各业务部门领导，成立数 据安全领导小组） 决策、授权 汇报 （信息科技管理部门 ，组建管理团队） 指导、监督 审计 （信息科技管理部门 ，选择执行团队 ） 宣传、教育 参与层 配合 汇报 执行层 配合 协助 （各业务部门、各分支机构及合作伙伴） 共同执行数据安全管理任务、数据安全的合规管理任务。 反馈 审计 管理层 数据安全管理团队。安全部门、业务部门、审计部门组成， 审计 配合 部（ 门风 、险 保与 全密合 监管规监 督理部 小部门督 组门、层 ） 内 ， 组部 建审 安计 人 员 能 力 保 障 安全执行层 数据安全运营团队。安全部门、业务部门、数据安全合作 伙伴组成。负责具体落实和执行数据安全决策。 安全监督层 数据安全治理审计小组。数据安全治理稽核工作落实部门。 参与层 下属单位、合作伙伴。 二、管理建设是数据安全的“基础” 从业务的数据安全需求、数据安全风险控制需要及国家、行业的合规性要求等方面进行梳理，确定数据安全 防护的目标、管理策略及具体的标准、规范、程序等。 合规要求梳理 业务需求梳理 • • 法律法规、安全标准 监管要求、行业规范 方针 业务关系、数据流向 管理制度、办法 一级文件 业务特性、安全偏好 流程 规范 指南 模板 现状风险分析 • 威胁源分析 主要安全事件及影响分析 计划 报告 记录 日志 二级文件 三级文件 四级文件 三、治理措施是数据安全的“必然过程” 业务识别 数据识别 风险识别 策略保障 安全责权 数据梳理 管理风险 策略梳理 业务关系 数据分类 技术风险 策略制定 访问路径 数据分级 运营风险 策略优化 风险偏好 数据流向 …… 流程优化 风险分析 生命周期识别 管理优化 …… …… …… 丰富、细致的业务调研工 具（行业知识库） 高效智能的分类分级工具 可量化的风险分析模型 四、技术工具是提供自动化的“落地保障” 基于各类场景，以数据安全智能管控平台为安全大脑，实现安全策略的无缝落地 用户计算环境 数据安全智能管控平台 数据安全交换平台 大数据安全防护系统 区域边界 通讯网络 PC终端 终 端 安 全 互联网 移 移动终端 动 终 端 管 控 广域网 网络数据 防泄露 数据库脱敏系统 数据库加密系统 文档安全管理系统 备份容灾系统 加密机 VPN系统 IoT …… 接 入 网 关 大数据应用 普通业务应用 开发测试培训环境 数据安全 智能管控 平台 应用数据防泄漏 应用数据防泄漏 数据脱敏 备份容灾 一体机 （旁路监听） （网 在络 线数 检 测据 阻防 断泄 ）漏 数据库安全网关 数据防泄漏系统 运维审计 主机安全 大数据安全防护系统 专网 IoT终端 内网 安全管理中心 安全计算环境 边 界 数 据 交 换 区 数 据 网闸 安 全 交 换 平 台 代 理 HDFS 代 理 代 理 HBASE SPARK Hadoop 网络防泄漏 数据库安全网关 微隔离 Oracle MSSQL 私有云 达梦 大数据平台 运维中心 云平台 … 数据库 终端安全 五、治理评估机制提供“持续优化改进” 数据安全治理评估工作贯穿数据安全治理工作的全过程，动态对组织、管理体系、技术工具的合 理性、准确性进行验证，持续优化与指导。 治理评估 治理目标 组织 建设 审计改进 架构与职能 部门及角色 业务及权责 人员与能力 协作与监督 威胁情报 运行监控 组织评估 审计记录 管理评估 业务梳理 管理 建设 需 求 梳 理 业务 合规 风险 数据识别 基线目标 风险评估 已有制度 管 理 现 状 梳 理 执行情况 风险事件 主要问题 管 理 制 度 建 设 一级 方针和总纲 二级 管理制度和管理办法 三级 流程、规范、指南、模板 四级 计划、报告、记录、日志 异常分析 应急处置 追踪溯源 措施评估 差距分析 技术 建设 能力目标 方案设计 产品实施 策略实施 验证确认 改进优化 六、以智能管控平台促进数据安全