近年來，銀行信息化建設(shè)取得了突出的成就，但在銀行利用信息化技術(shù)高效率處理業(yè)務(wù)、信息交流時(shí)，海量的核心機(jī)密數(shù)據(jù)存在的“價(jià)值”也引起內(nèi)部或外部的不法分子的覬覦。

為了保護(hù)銀行系統(tǒng)的安全，銀行投了大量人力、物力、財(cái)力，進(jìn)行了相應(yīng)的網(wǎng)絡(luò)安全、邊界安全、終端安全等，還包括國家要求的網(wǎng)絡(luò)安全等級保護(hù)合規(guī)建設(shè)。

現(xiàn)在，“數(shù)據(jù)”被定義為第五生產(chǎn)要素。為了加強(qiáng)數(shù)據(jù)安全，充分發(fā)揮數(shù)據(jù)價(jià)值，提升經(jīng)營管理水平，國家和行業(yè)主管部門相繼出臺了一系列的法律法規(guī)。國家層面的《數(shù)據(jù)安全法》、《關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)條例》、《個(gè)人信息保護(hù)法》等，銀保監(jiān)會發(fā)布的《銀行業(yè)金融機(jī)構(gòu)數(shù)據(jù)治理指引》，人民銀行發(fā)布的《個(gè)人金融信息保護(hù)技術(shù)規(guī)范》等，都對銀行業(yè)數(shù)據(jù)安全治理提出了更高的要求。

銀行數(shù)據(jù)安全困境

銀行數(shù)據(jù)安全治理思路

銀行數(shù)據(jù)安全治理，是要從頂層設(shè)計(jì)，覆蓋數(shù)據(jù)所有使用環(huán)節(jié)和應(yīng)用場景安全，可以按照：整體規(guī)劃、分步建設(shè)的思路進(jìn)行建設(shè)，有助于銀行在逐步提高數(shù)據(jù)安全保護(hù)水平的同時(shí)避免資源的浪費(fèi)、降低數(shù)據(jù)保護(hù)成本和工作難度。一般包括：數(shù)據(jù)安全管理組織及制度的建設(shè)、數(shù)據(jù)資產(chǎn)的梳理和分類分級定義、數(shù)據(jù)安全技術(shù)手段建設(shè)等。

銀行數(shù)據(jù)安全治理方案

1、完善數(shù)據(jù)安全管理組織及制度建設(shè)

數(shù)據(jù)安全保護(hù)工作涉及到銀行各個(gè)部門及所有業(yè)務(wù)系統(tǒng)和全行工作人員，因此，數(shù)據(jù)安全管理組織的建立過程中應(yīng)該充分考慮到數(shù)據(jù)安全管理工作的系統(tǒng)性，建立完備的組織架構(gòu)。一般分為領(lǐng)導(dǎo)團(tuán)隊(duì)、管理團(tuán)隊(duì)、執(zhí)行團(tuán)隊(duì)和審計(jì)團(tuán)隊(duì)。

各組織間的關(guān)系

2、完善數(shù)據(jù)資產(chǎn)梳理及分類分級定義

數(shù)據(jù)保護(hù)應(yīng)該分類別、分等級，采用重點(diǎn)保護(hù)策略，如果采用大而全的策略，必然使得數(shù)據(jù)保護(hù)工作投入大，且效果難以達(dá)到預(yù)期。銀行在開展數(shù)據(jù)保護(hù)工作之前，應(yīng)當(dāng)對全行的數(shù)據(jù)資產(chǎn)進(jìn)行梳理及分類分級定義。

對于數(shù)據(jù)資產(chǎn)梳理及分類分級可以采用訪談?wù){(diào)研和技術(shù)工具相結(jié)合的方式，制定訪談?wù){(diào)研表，對各部門進(jìn)行有針對性訪談?wù){(diào)研，了解各部門重要數(shù)據(jù)的存儲分布情況、權(quán)限設(shè)置情況和分類分級情況等。

經(jīng)過數(shù)據(jù)資產(chǎn)梳理及分類分級，對全行的數(shù)據(jù)資產(chǎn)分布狀況、敏感數(shù)據(jù)分布狀況、數(shù)據(jù)庫權(quán)限狀況、數(shù)據(jù)庫歸屬狀況等形成管理臺賬，為數(shù)據(jù)安全治理打下基礎(chǔ)

3、數(shù)據(jù)安全技術(shù)手段建設(shè)

從數(shù)據(jù)安全治理出發(fā)，數(shù)據(jù)安全的技術(shù)手段建設(shè)可以結(jié)合銀行的具體應(yīng)用場景來進(jìn)行考慮。

1）數(shù)據(jù)庫自身安全

數(shù)據(jù)庫作為數(shù)據(jù)管理的主體，如果存在自身漏洞、安全配置缺陷、弱口令等安全漏洞，將會被內(nèi)部或外部非法人員利用，造成敏感數(shù)據(jù)的泄露。實(shí)際工作中，雖然DBA會對所管理的數(shù)據(jù)庫進(jìn)行安全檢查，但人為的管理手段局限于其自身能力、工作效率等，可利用數(shù)據(jù)庫漏洞掃描系統(tǒng)對數(shù)據(jù)庫的漏洞、安全配置、弱口令等進(jìn)行自動的掃描、監(jiān)控，以彌補(bǔ)DBA人工管理手段上的不足。

2）數(shù)據(jù)庫運(yùn)行狀態(tài)監(jiān)控

數(shù)據(jù)庫如果在運(yùn)行過程中發(fā)生死鎖、會話阻塞、性能不足等情況，會影響到業(yè)務(wù)系統(tǒng)的正常運(yùn)行。銀行業(yè)務(wù)作為關(guān)乎民生的業(yè)務(wù)系統(tǒng)，銀監(jiān)會針對銀行業(yè)務(wù)系統(tǒng)的中斷有專門的規(guī)定和處罰措施。

利用數(shù)據(jù)庫運(yùn)行狀態(tài)監(jiān)控系統(tǒng)可以對數(shù)據(jù)庫的運(yùn)行狀態(tài)、資源使用情況進(jìn)行實(shí)時(shí)監(jiān)控，提前預(yù)判，及時(shí)處理。

3）敏感數(shù)據(jù)的保護(hù)

經(jīng)過數(shù)據(jù)資產(chǎn)梳理和分類分級定義后，可以明確銀行數(shù)據(jù)中的敏感數(shù)據(jù)，例如用戶信息、賬戶信息、征信信息、分析報(bào)表等。在敏感數(shù)據(jù)的使用和共享交換中，要考慮對敏感數(shù)據(jù)進(jìn)行保護(hù)，以防敏感數(shù)據(jù)被泄露；在泄露后，還需要盡快的進(jìn)行定位溯源，以降低數(shù)據(jù)泄露的影響。

傳統(tǒng)敏感數(shù)據(jù)脫敏處理是DBA通過SQL語句對敏感字段進(jìn)行手動覆蓋，存在效率低、脫敏處理不全面的弊端。數(shù)據(jù)脫敏系統(tǒng)可通過靜態(tài)脫敏或動態(tài)脫敏方式對敏感數(shù)據(jù)自動發(fā)現(xiàn)、自動脫敏，高效、全面的對敏感數(shù)據(jù)進(jìn)行保護(hù)。

數(shù)據(jù)水印可以在不影響數(shù)據(jù)正常使用的前提下，添加隱藏的水印信息，當(dāng)數(shù)據(jù)泄露后，可以一鍵溯源，定位到泄露源頭。

4）運(yùn)維高危操作的防范

在實(shí)際生產(chǎn)運(yùn)維過程中，運(yùn)維人員一般都有高權(quán)限的特權(quán)賬號，有時(shí)會存在通過運(yùn)維工具直連數(shù)據(jù)庫，或者執(zhí)行無條件刪除數(shù)據(jù)、完全拷貝數(shù)據(jù)、修改數(shù)據(jù)等高危操作行為。

數(shù)據(jù)庫審計(jì)系統(tǒng)，可以對操作數(shù)據(jù)庫的行為進(jìn)行分析，如有異常指令或賬號異常，進(jìn)行實(shí)時(shí)告警；數(shù)據(jù)庫防火墻，可以在特權(quán)賬號進(jìn)行高危操作時(shí)，啟用審批流程，先審批再操作，審批通過則允許操作，審批不通過則不允許操作；有效監(jiān)測并防止特權(quán)賬號的危險(xiǎn)行為。

5）數(shù)據(jù)安全能力的聯(lián)防聯(lián)控

數(shù)據(jù)安全技術(shù)手段的建設(shè)可以提升對數(shù)據(jù)的安全防護(hù)，但各種能力單元都是各自為戰(zhàn)，獨(dú)立運(yùn)行，形成了安全孤島。數(shù)據(jù)安全綜合治理平臺，通過采集各能力單元的數(shù)據(jù)，利用AI智能、大數(shù)據(jù)能力，統(tǒng)一分析，將優(yōu)化后的策略下發(fā)到各能力單元，實(shí)現(xiàn)聯(lián)防聯(lián)控。

銀行數(shù)據(jù)保護(hù)是一個(gè)系統(tǒng)工程，需要多方面的協(xié)調(diào)與配合，既涉及到管理組織的建立、制度規(guī)范的制定、技術(shù)手段的建設(shè)，更需要長期的進(jìn)行人員數(shù)據(jù)安全教育與培訓(xùn)。