华夏银行信息科技部数据中心副主任 于锋
数据安全任重道远，银行业应该与时俱进，构建并不断完善数据安全防控框架，对数据的属性、状态、流转、使用与销毁等环节采取有效措施，夯实数据管理基础，增强数据安全防控能力，对数据全生命周期的运行安全态势进行实时汇总分析和风险预警，为银行数据安全运行管理提供全面技术支撑，推动银行数据安全防控与管理体系持续改进，全面提升数据安全管控能力。
后疫情时代，金融机构IT基础设施全面升级，数字化、线上化、智能化全面提速，工作协作模式也发生了改变，数据安全问题变得异常严峻。随着国际形势不稳定因素骤增，金融数据安全面临巨大挑战。新时期的数据安全问题，不能仅用传统的数据安全管控思路来解决，需要我们用发展的眼光应对。金融机构应当如何面对后疫情时代的安全挑战，如何让数据安全为企业的发展赋能，从而保护金融企业的数据资产，值得每个金融人深入思考。
一、数据安全的法律依据
今年全国人大发布了《中华人民共和国数据安全法（草案）》，其中第三条定义了数据活动和数据安全，规定“数据安全，是指通过采取必要措施，保障数据得到有效保护和合法利用，并持续处于安全状态的能力。”第二十五条规定“建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要的措施，保障数据安全。”这项法规使得我们的数据管理和数据安全工作第一次有了法律依据。
二、金融行业数据面临内部威胁
很多企业重视外部数据安全威胁，而忽略内部数据防护。有报告显示，超过85%的数据安全威胁来源于内部，因为内部人员更容易接触到金融核心数据，这些安全威胁绝大部分是内部各种非法和违规的操作行为造成的，危害程度远超过黑客攻击和病毒损害，这就要求企业首先要抓好内部数据防护体系。
企业内部数据安全防护，往往高价购买了防火墙、堡垒机、网闸、加密机，并且建立了很严格的制度和流程，依然管不住数据安全。这样的企业一般存在如下问题：思想不重视，防护管理粗放，防护手段单一，流程不完善，事前无预警、事中无控制，事后无审计等等。上述问题的存在，都注定了安全防护体系终将失效。在这样的情况下，我们需要探索新型的数据防御方式。
三、数据安全防护要贯穿数据的全生命周期
其实，从数据的产生开始，到数据的存储、备份、传输、使用和销毁的每一个环节都涉及数据泄露、数据损坏等风险。因此，数据安全要在各个环节都加以重视，从安全意识、制度、网络、数据、系统、流程、行为、身份验证等多维度来有效实现对数据安全体系的管理，从而构建全方位、立体化的安全防护体系。
这些工作缺一不可，不能忽视任意一个环节。就好比“木桶效应”，系统整体的安全防控能力取决于最弱的那一项，如果某一项有不足时，整体数据安全防控体系的能力将下降；当攻击者穿透外部防护进入内部时，能力最弱的那项往往被优先攻破。而按照最新的攻防经验，外部防护失守是必然的，只是时间问题。
这就要求我们不能忽视任何一项组件或工作，要将每一个组件每一项工作都做强做实，力争提升涉及数据管理的人、制度、流程、行为、软硬件每一个环节的安全防护水平，这样才能提高企业整体的数据安全防控能力。
四、华夏银行数据管理的一些实践
华夏银行在数据管理和安全防护方面开展了以下诸多实践。
1.安全意识教育
很多人会认为数据安全与自身无关，是安全部门的职责，认为数据安全离自己很遥远，更有甚者认为数据安全工作阻碍了生产，这种思想都是极其错误的。华夏银行狠抓数据安全意识教育，开展多种形式的安全教育，使员工意识到数据安全是为生产服务，而不是阻碍生产服务的。目前，华夏银行已经形成数据安全的文化氛围，员工的数据安全意识逐步提高。
2.制度和流程建设
通过制定、修改相关数据安全制度来辅助数据安全内部防护管理。在数据安全法的指引下，华夏银行信息部门全面梳理数据使用需求，同时考虑后疫情时代下的数据需求，及时修改我行相关的规章制度，为日常数据管理工作提供制度依据，确保在合规的前提下，满足数据使用需求，全力保障生产正常运行。
3.数据交换实践
数据生命周期内全流程管理的核心环节是数据交换，做好数据交换环节的数据安全管控，可以达到事半功倍的效果。净化网络环境是关键的一步，金融行业网络环境非常复杂，例如有办公环境、测试环境、准生产环境、仿真测试、生产环境等，由于工作需要，不可避免地存在不同网络环境之间的数据交换（如图1所示）。华夏银行对跨网数据交换做了深入的调查，充分调研工作需求，深入了解跨网数据交换现状。我们认为，传统的数据传输以安全优盘、FTP、SFTP等方式为主，无法过程实时预警、内容无法控制，事后也极难审计，存在很多无法克服的弊端。
华夏银行从2019年开始逐步探索新型的数据交换技术，同步进行净化网络策略行动。按照技防为主、硬控制优先的原则，利用技术工具，做到可防可控，能留痕、能回溯、可审计。华夏银行从数据流动环节着手，跨网禁止FTP、SFTP等敏感数据传输网络端口，总行率先建设网间数据交换平台，所有的跨网数据交换必须使用网间数据交换平台，从数据交换开始，一直到数据销毁，做到数据全流程控制、审计及预警，替代了传统的安全优盘及FTP等数据交换方式。网间数据交换平台上线后，操作全部线上化，在提高文件交换效率的同时，也提高了数据交换的安全性。同时，什么人、什么时间、在什么机器、交换了什么数据、是否带有病毒、传输到什么地方等这些信息都会被记录下来，以便于事后回溯和审计。
4.系统建设层面
为了保障数据安全，在系统设计阶段即考虑数据安全因素。在系统设计阶段，系统架构必须得到应用层面的安全评审。新建系统设计时同步考虑数据安全，对一般性网络攻击应具备自我发现、自我抗干扰、自我处理的能力；对于重大安全攻击具有告警、自我隔离的能力。系统上线前必须通过源码安全测试，黑盒安全测试、系统渗透测试等多种安全测试。涉及DMZ的系统，数据库必须内迁，涉及客户信息及账务的系统，必须具备双因素认证的访问机制。
5.数据保护层面
在数据全生命周期管理流程中，数据保护至关重要，需根据不同的等级采用不同的数据保护措施，构建存储复制、数据库复制、磁带备份、光盘备份等多重数据保护措施；同时通过构建备份云平台，实现数据集中备份、云化存储与数据备份自服务。
采用数据备份服务纳入新建系统上线流程方式，确保系统从上线第一天就具备有效的数据保护机制，确保数据应备必备，不遗漏需要备份保护的系统；同时实现新建系统的备份数据多类型存储介质（包含物理带库、虚拟带库、磁盘库、光盘库、对象存储等）存放，对于重要数据实现多数据中心多副本存放，确保单一数据中心灾难故障时的数据安全性。
为实时验证数据备份的有效性，确保灾难时数据可恢复，华夏银行构建了备份数据验证与恢复平台，该平台能够自动验证备份数据的有效性与可恢复性；同时能够按照事先制定的备份数据恢复计划，在无需人工干预的情况下自动对备份数据进行恢复，恢复完成后自动开启对外数据访问、脱敏与下载服务。
6.安全防控层面
数据全生命周期管理流程中，安全防控复杂多样，涉及方方面面的工作。华夏银行全面梳理数据使用层面可能导致的数据泄露或数据损坏的风险。注重全局，注重细节，内外防护均衡发展。华夏银行安全防控体系如图2所示。
口令管理：在系统上线环节全面管控操作系统用户，所有用户必须进行口令托管，系统定期自动修改口令。采用口令管理和用户访问分离原则，创建用户的人不访问系统，访问系统的人不掌握密码。
用户权限：用户权限最小化原则，创建数据维护及查询用户，用于日常查询及维护操作。华夏银行在系统变更标准化的基础上，引入自动化变更，降低人工登录后台带来的操作风险。
访问策略：采用非必须不可用的原则，在登录系统环节全流程审计。对于重要系统启用数据库防火墙、系统白名单等数据安全访问控制。在数据库用户方面，全面梳理用户的访问控制，不允许应用用户访问数据库后台。
数据访问：为了加强数据访问控制，华夏银行在对访问数据的终端加装高清摄像头摄像的基础上，在访问页面上也同时进行安全水印控制。
数据传输：数据传输环节，杜绝明文传输，采用国密算法加密传输，并异步附带文件提取码，没有提取码无法提取文件，确保文件传输环节安全可靠。
流程控制：通过设计完善的数据访问流程，确保数据访问合规合法，数据流转高效便捷。
7.检查审计
通过审计系统能够自动识别高危操作，高危操作需经审计平台双人复核确认后方可继续执行，对于未经授权的高危操作和未经复核的高危操作审计系统能够自动进行告警与操作阻断；同时实现流程管理平台与审计系统自动联动，口令申请、系统变更等流程审批通过后会自动推向审计系统，实现口令申请与系统变更自动化；审计系统会全程记录系统变更记录与数据访问操作，可采用系统自动检查和人工抽查双工方式开展合规检查，定期发布审计结果，提高审计威慑力。
五、总结与展望
数据安全工作至关重要，数据安全需要在思想上高度重视，整体防控。金融企业内部制度上要紧跟监管要求，日常工作中要具备安全思维，制定高效的数据访问流程，建立数据安全为生产服务的根本意识；系统建设层面需要规划系统自身的抗风险能力；数据交换层面需要全流程管控，做到及时预警、快速分析、高效使用、精准审计。
数据安全任重道远，银行业应该与时俱进，构建并不断完善数据安全防控框架，对数据的属性、状态、流转、使用与销毁等环节采取有效措施，夯实数据管理基础，增强数据安全防控能力，对数据全生命周期的运行安全态势进行实时汇总分析和风险预警，为银行数据安全运行管理提供全面技术支撑，推动银行数据安全防控与管理体系持续改进，全面提升数据安全管控能力。
|
