數(shù)據(jù)安全推進計劃-金融行業(yè)數(shù)據(jù)安全治理案例匯編（2022年）

歆據(jù)安呈推進計劃DATASECURITYINITIATIVE匯編（2022年）數(shù)據(jù)安全推進計劃

2022年12月版權聲明本報告版權屬于數(shù)據(jù)安全推進計劃，并受法律保護。轉載、摘編或利用其它方式使用本報告文字或者觀點的，應注明“來源：數(shù)據(jù)安全推進計劃”。違反上述聲明者，編者將追究其相關法律責任。參編單位?中國工商銀行股份有限公司?中國建設銀行股份有限公司?交通銀行股份有限公司?中國郵政儲蓄銀行股份有限公司?平安銀行股份有限公司?上海銀行股份有限公司?中原銀行股份有限公司?齊魯銀行股份有限公司?華泰證券股份有限公司?中國國際金融股份有限公司?國信證券股份有限公司?光大證券股份有限公司?興業(yè)證券股份有限公司

金融作為數(shù)據(jù)密集型行業(yè)，面向個人和組織提供眾多金融產品和服務，具有數(shù)據(jù)規(guī)模巨大、數(shù)據(jù)價值高、數(shù)據(jù)應用場景復雜等特點，對數(shù)據(jù)安全有著天然的訴求。同時，《個人金融信息保護技術規(guī)范》、《金融數(shù)據(jù)安全數(shù)據(jù)安全分級指南》、《金融業(yè)數(shù)據(jù)能力建設指引》、《金融數(shù)據(jù)安全數(shù)據(jù)生命周期安全規(guī)范》、《證券期貨業(yè)數(shù)據(jù)安全管理與保護指引》等行業(yè)監(jiān)管政策和標準陸續(xù)發(fā)布實施。在內外雙重壓力下，金融業(yè)強化數(shù)據(jù)應用的安全性與合規(guī)性迫在眉睫。在此背景下，數(shù)據(jù)安全推進計劃金融工作組聯(lián)合十余家金融機構數(shù)據(jù)安全專家團隊，共同編制了本報告。本報告選取了來自不同規(guī)模、不同類型的金融機構的數(shù)據(jù)安全治理典型案例，詳述了各類型金融機構開展數(shù)據(jù)安全治理工作的建設思路、整體解決方案或體系架構，并歸納了各項建設方案的主要亮點，期望通過這種方式，為不同類型金融機構的數(shù)據(jù)安全建設提供有益參考。01TOC\o"1-5"\h\z銀行業(yè)數(shù)據(jù)安全治理體系建設與實踐 1（—）中國工商銀行 1（二） 中國建設銀行 8（三） 交通銀行 14（四） 中國郵政儲蓄銀行 23（五） 上海銀行 27（六） 中原銀行 3102證券期貨業(yè)數(shù)據(jù)安全治理體系建設與實踐 35（-）華泰證券 35（二） 國信證券 40（三） 光大證券 47（四） 興業(yè)證券 5303金融行業(yè)關鍵場景建設與實踐 58（-）平安銀行數(shù)據(jù)安全分類分級平臺建設與實踐 58（二） 齊魯銀行數(shù)據(jù)安全分類分級體系建設與實踐 63\o"CurrentDocument"（三） 中金公司數(shù)據(jù)脫敏平臺建設與實踐 68#一、銀行業(yè)數(shù)據(jù)安全治理體系建設與實踐|了（一）中國工商銀行隨著大數(shù)據(jù)技術和產業(yè)的不斷發(fā)展壯大，數(shù)據(jù)對經(jīng)濟的推動作用日益顯著。近年來，國家、行業(yè)相繼出臺了多部數(shù)據(jù)安全領域的法律、法規(guī)、國家標準以及行業(yè)標準，對企業(yè)數(shù)據(jù)安全提出了更高的要求。金融行業(yè)數(shù)據(jù)安全風險的識別難度不斷增大、風險的管控復雜度不斷增加、風險的危害程度不斷提升。在此背景下，工商銀行開展了新一輪的數(shù)據(jù)安全管理體系提升工作，面向全行數(shù)據(jù)要素，堅持安全與發(fā)展并重，既充分發(fā)揮數(shù)據(jù)價值，促進數(shù)據(jù)要素市場化，又避免數(shù)據(jù)隱私、數(shù)據(jù)泄露、數(shù)據(jù)濫用、數(shù)據(jù)損失等方面帶來的安全問題。?1.中國工商銀行數(shù)據(jù)安全管理建設思路（1）以國家行業(yè)標準為指導，持續(xù)對標提升建設能力2021年工商銀行數(shù)據(jù)管理能力獲得了國家數(shù)據(jù)管理能力成熟度評估（簡稱“DCMM”）的最高等級，成為金融業(yè)首家獲得DCMM最高等級評估的企業(yè)，標志著工商銀行在數(shù)據(jù)管理領域取得新的階段性突破。DCMM中從8大能力域對數(shù)據(jù)管理能力成熟度進行評估，具體包括：數(shù)據(jù)戰(zhàn)略、數(shù)據(jù)治理、數(shù)據(jù)架構、數(shù)據(jù)應用、數(shù)據(jù)質量、數(shù)據(jù)安全、數(shù)據(jù)標準和數(shù)據(jù)生存周期。其中，數(shù)據(jù)安全包括了數(shù)據(jù)安全策略、數(shù)據(jù)安全管理等二級能力項。數(shù)據(jù)安全策略是數(shù)據(jù)安全的核心，包括建立統(tǒng)一的數(shù)據(jù)安全標準，提供適用的數(shù)據(jù)安全策略；數(shù)據(jù)安全管理是在數(shù)據(jù)安全標準與策略的指導下，通過對數(shù)據(jù)訪問的授權、分類分級的控制、監(jiān)控數(shù)據(jù)的訪問等進行數(shù)據(jù)安全的管理工作，滿足數(shù)據(jù)安全的業(yè)務需要和監(jiān)督需求，實現(xiàn)組織內部對數(shù)據(jù)生存周期的數(shù)據(jù)安全管理。2019年出臺的國家標準《GB/T37988-2019信息安全技術數(shù)據(jù)安全能力成熟度模型》提出了DSMM模型，以數(shù)據(jù)為中心，關注數(shù)據(jù)的采集、存儲、傳輸、處理、交換、銷毀生命周期安全，從組織建設、制度流程、技術工具、人員能力4個維度對數(shù)據(jù)安全能力成熟度進行分級闡述。2020年金融行業(yè)出臺的《JR/T0197-2020金融數(shù)據(jù)安全數(shù)據(jù)安全分級指南》給出了金融數(shù)據(jù)安全分級的目標、原則和范圍，以及數(shù)據(jù)安全定級的要素、規(guī)則和定級過程°《JR/T0223-2021金融數(shù)據(jù)安全數(shù)據(jù)生命周期安全規(guī)范》則在數(shù)據(jù)分級的基礎上，規(guī)定了金融數(shù)據(jù)生命周期安全原則、防護要求、組織保障要求以及信息系統(tǒng)運維保障要求，建立覆蓋數(shù)據(jù)采集、傳輸、存儲、使用、刪除及銷毀過程的安全框架。工商銀行依據(jù)相關標準，分析數(shù)據(jù)采集、傳輸、存儲、使用、刪除和銷毀生命周期各個環(huán)節(jié)的技術和管理要求，建立全方位的數(shù)據(jù)安全能力。以全行數(shù)據(jù)戰(zhàn)略為指引，夯實數(shù)據(jù)安全管理體系工商銀行制定數(shù)據(jù)戰(zhàn)略規(guī)劃，從頂層明確集團數(shù)據(jù)安全管理戰(zhàn)略，強化集團數(shù)據(jù)安全管理體系，做強集團數(shù)據(jù)安全“事前、事中、事后”三重防控工作，防范化解數(shù)據(jù)安全風險。工商銀行以全行數(shù)據(jù)戰(zhàn)略為指引，以數(shù)據(jù)治理管理機制為保障，以系列技術平臺為支撐，建成了涵蓋數(shù)據(jù)架構、數(shù)據(jù)標準、數(shù)據(jù)質量、數(shù)據(jù)安全、數(shù)據(jù)應用等活動領域的企業(yè)級數(shù)據(jù)管理體系，如圖1所示。來源：工商銀行圖1工商銀行數(shù)據(jù)管理架構在充分對標國家行業(yè)標準的基礎上，工商銀行結合自身數(shù)據(jù)戰(zhàn)略、數(shù)據(jù)管理體系后，建立基于數(shù)據(jù)全生命周期的數(shù)據(jù)安全管理三層框架體系，從治理層、管控層、技術支撐層三個維度開展數(shù)據(jù)全生命周期安全管理工作。以對外標準共建為契機，主動對外共享工商銀行智慧工商銀行作為中國信通院隱私計算聯(lián)盟成員單位、數(shù)據(jù)安全推進計劃成員單位、人行北京金融科技產業(yè)聯(lián)盟成員單位，參與多項業(yè)界數(shù)據(jù)安全相關標準建設工作，如牽頭編寫《聯(lián)邦學習金融應用技術規(guī)范》《金融數(shù)據(jù)保護治理白皮書》《聯(lián)邦學習技術白皮書》《多方安全計算金融應用現(xiàn)狀及實施指引》等。?2.中國工商銀行數(shù)據(jù)安全管理實踐金融是數(shù)據(jù)密集型行業(yè)，生產經(jīng)營過程中積累了海量數(shù)據(jù)金礦。兩法出臺后，工商銀行堅決遵守國家法律規(guī)定，堅持問題導向和目標導向，重點聚焦數(shù)據(jù)安全各項熱點問題，從數(shù)據(jù)安全治理體系、數(shù)據(jù)安全管控機制、數(shù)據(jù)安全管理技術平臺等方面不斷推進數(shù)據(jù)安全管理實踐，打造金融行業(yè)數(shù)據(jù)安全管理標桿。建立完備的數(shù)據(jù)安全治理體系工商銀行從數(shù)據(jù)安全方針策略、數(shù)據(jù)安全組織架構、數(shù)據(jù)安全制度規(guī)范體系三個方面指導數(shù)據(jù)安全工作滿足監(jiān)管要求以及風險管理需要，并形成如圖2所示的治理體系。數(shù)據(jù)安全方針策略方面，工商銀行制定了完善的數(shù)據(jù)安全方針策略，明確數(shù)據(jù)安全的管理遵循“依法合規(guī)、分級管理”及“誰主管、誰負責”“誰使用、誰負責”的原則，對數(shù)據(jù)及數(shù)據(jù)歸屬系統(tǒng)的安全進行全面審慎管理。數(shù)據(jù)安全組織架構方面，工商銀行建立基本完備的數(shù)據(jù)安全組織架構體系，基于金融科技發(fā)展委員會，從科技和業(yè)務兩個條線開展數(shù)據(jù)安全管理工作。數(shù)據(jù)安全制度規(guī)范體系方面，分為業(yè)務管理條線和技術管理條線。業(yè)務管理方面，圍繞數(shù)據(jù)安全策略、數(shù)據(jù)安全管理等方面制定并發(fā)布了企業(yè)級管理制度體系，緊跟國家相關政策、法律法規(guī)的變化，持續(xù)夯實和完善數(shù)據(jù)安全業(yè)務管理制度保障和支持能力。技術管理方面，根據(jù)數(shù)據(jù)安全管理的新要求、新趨勢、新特點，圍繞數(shù)據(jù)生命周期安全建立和完善數(shù)據(jù)安全管理技術規(guī)范體系，在整個研發(fā)管理過程中嚴格規(guī)范數(shù)據(jù)安全管控要求。建立覆蓋數(shù)據(jù)全生命周期的數(shù)據(jù)安全管控機制工商銀行聚焦不同安全等級數(shù)據(jù)在生命周期各階段的保護要求，持續(xù)促進數(shù)據(jù)安全管理工作的提升。國內外法審成羅內外就靛國家國際廳港流程、規(guī)范、指南等制度辦法國內外法審成羅內外就靛國家國際廳港流程、規(guī)范、指南等制度辦法運營能力人員意識數(shù)據(jù)生命周期數(shù)據(jù)銷毀數(shù)據(jù)交換數(shù)據(jù)采集數(shù)據(jù)傳輸數(shù)據(jù)存儲數(shù)據(jù)處理來源：工商銀行數(shù)據(jù)銷毀數(shù)據(jù)交換數(shù)據(jù)采集數(shù)據(jù)傳輸數(shù)據(jù)存儲數(shù)據(jù)處理來源：工商銀行圖2工商銀行數(shù)據(jù)安全治理體系在數(shù)據(jù)采集環(huán)節(jié)，通過數(shù)字簽名等技術對數(shù)據(jù)源進行鑒別和認證，并對采集后的數(shù)據(jù)進行分類分級標識。在數(shù)據(jù)傳輸環(huán)節(jié)，通過可信物理信道、加密傳輸和通信協(xié)議約定等實現(xiàn)數(shù)據(jù)的安全傳輸。在數(shù)據(jù)存儲環(huán)節(jié)，通過加密等技術保證數(shù)據(jù)存儲的完整性，并根據(jù)數(shù)據(jù)的安全等級和系統(tǒng)的安全等級制定數(shù)據(jù)備份和恢復策略。在數(shù)據(jù)使用環(huán)節(jié)，已經(jīng)普遍應用數(shù)據(jù)控權和數(shù)據(jù)脫敏等技術保障數(shù)據(jù)安全，并探索使用多方安全計算和聯(lián)邦學習技術，在數(shù)據(jù)不出域的情況下發(fā)揮數(shù)據(jù)融合聯(lián)動效能，實現(xiàn)數(shù)據(jù)可用不可見。在數(shù)據(jù)生命周期的末端，通過數(shù)據(jù)清理和存儲介質的銷毀來形成閉環(huán)。(3)打造技術先進的數(shù)據(jù)安全技術平臺承接數(shù)據(jù)安全框架中“管控層”各類安全需求，工商銀行形成數(shù)據(jù)資產管理、數(shù)據(jù)生命周期安全、基礎安全及監(jiān)控響應四方面的全局數(shù)據(jù)安全技術能力，并依托如圖3所示的數(shù)據(jù)安全技術能力視圖，對安全能力進行整體統(tǒng)籌規(guī)劃和落地實現(xiàn)，通過搭建數(shù)據(jù)資產管理平臺、加密服務平臺、身份認證與集中授權平臺、合作方共享服務平臺、安全運營中心等大量專業(yè)技術平臺為數(shù)據(jù)安全管理工作提供技術支撐。

數(shù)據(jù)資產

管理數(shù)據(jù)分類,據(jù)酒■地H涮.數(shù)據(jù)標記響應數(shù)據(jù)生命周期安全資產視,瞄采集輸數(shù)據(jù)資產

管理數(shù)據(jù)分類,據(jù)酒■地H涮.數(shù)據(jù)標記響應數(shù)據(jù)生命周期安全資產視,瞄采集輸噸毀訪問密鑰日志合側個人隱私控制■is管理管理管理合規(guī)管理■計流量審■來源：工商銀行圖3工商銀行數(shù)據(jù)安全技術能力全視圖為了與業(yè)務場景深度融合，建設對業(yè)務人員有感的安全能力。工商銀行打造數(shù)據(jù)安全技術平臺，如圖4所示，實現(xiàn)智能敏感數(shù)據(jù)識別、動態(tài)控權、統(tǒng)一數(shù)據(jù)脫敏引擎、數(shù)據(jù)水印溯源，以及數(shù)據(jù)安全監(jiān)控審計五大核心能力，為行內數(shù)據(jù)資產管理類應用、各業(yè)務系統(tǒng)提供數(shù)據(jù)安全標準服務。:;分類獺職:;;;敏穌順則::;分類獺職:;;;敏穌順則:::嶼頗:!酉i!B管理:I敏感豊羸！I 獸賣數(shù)羸敏水豔源譬器薦規(guī)則引擎 智能模型 語句解析器 0敏感豊羸！I 獸賣數(shù)羸敏水豔源譬器薦規(guī)則引擎 智能模型 語句解析器 0臟艇來源：工商銀行圖4工商銀行數(shù)據(jù)安全技術平臺框架1）智能敏感數(shù)據(jù)識別敏感數(shù)據(jù)識別是數(shù)據(jù)安全分類分級、安全措施布控落地的基礎。通過對各業(yè)務系統(tǒng)數(shù)據(jù)進行采樣，依據(jù)數(shù)據(jù)分類分級策略，自動識別出敏感數(shù)據(jù)及分類分級結果，輔助數(shù)據(jù)安全打標工作，識別結果用于控權、脫敏、審計等場景。技術上采用自然語言處理（NLP），結合正則匹配、關鍵字匹配、文本分類、相似度AI模型，構建智智能敏感數(shù)據(jù)識別解決了業(yè)務系統(tǒng)在開展數(shù)據(jù)資產分級工作中，敏感數(shù)據(jù)識別難、人力成本高且識別質量難以保證的問題。引入智能敏感數(shù)據(jù)識別能力后，通過工具對數(shù)據(jù)庫實體表抽樣掃描，自動完成打標，大幅降低人工打標成本，同時配以少量數(shù)據(jù)運營人員的人工復核，大幅提升敏感數(shù)據(jù)識別質量，有效支撐工商銀行的數(shù)據(jù)資產分級工作。2） 動態(tài)控權動態(tài)控權為不同用數(shù)場景提供實時的權限控制及脫敏處理能力。通過SQL解析、改寫等技術提供統(tǒng)一的庫、表、字段、行級的數(shù)據(jù)訪問控制能力。動態(tài)控權解決了業(yè)務人員在數(shù)據(jù)訪問時，數(shù)據(jù)控權靈活度不高、控權能力有限的問題。強化動態(tài)控權服務，為各類用數(shù)場景提供細粒度的數(shù)據(jù)訪問控制能力以及敏感數(shù)據(jù)動態(tài)脫敏能力。3） 統(tǒng)一數(shù)據(jù)脫敏引擎統(tǒng)一數(shù)據(jù)脫敏規(guī)則引擎為各類靜態(tài)脫敏、動態(tài)脫敏場景提供統(tǒng)一的、豐富的數(shù)據(jù)脫敏服務及工具包。內置擾亂、泛化、有損、抑制四類算法，支持脫敏算法的靈活配置，滿足各類脫敏場景的需求。通過服務預置的脫敏算法，以及自定義的策略配置，提供統(tǒng)一脫敏服務，大幅提升數(shù)據(jù)脫敏策略的布控效率以及脫敏數(shù)據(jù)的可用性。4） 數(shù)據(jù)水印溯源數(shù)據(jù)水印溯源服務為外部數(shù)據(jù)交換場景下的數(shù)據(jù)防泄露提供基礎能力。在與外部組織機構、合作方等第三方合作伙伴交換數(shù)據(jù)時，通過文本隱寫、文檔隱寫、偽列偽行等技術對數(shù)據(jù)文件進行標記，并在數(shù)據(jù)文件泄露后，對文件進行水印解析、溯源分析。數(shù)據(jù)水印溯源服務解決了數(shù)據(jù)外發(fā)共享場景下，缺失有效技術手段追溯泄露源的問題。可有效追溯泄露源，保護外部共享數(shù)據(jù)，有助于構建安全合規(guī)的用數(shù)生態(tài)。5） 風險監(jiān)控審計基于統(tǒng)一的大數(shù)據(jù)平臺日志標準，建立統(tǒng)一的監(jiān)控服務，提供敏感數(shù)據(jù)訪問情況、用數(shù)行為分析等監(jiān)控、審計、預警服務。風險監(jiān)控審計解決業(yè)務系統(tǒng)快速落地合規(guī)審計需求的問題。通過建設前中后的用數(shù)風險監(jiān)控服務標準，可快速形成數(shù)據(jù)全生命周期的用數(shù)保護能力。6）技術工具為數(shù)據(jù)中臺用數(shù)安全賦能工商銀行將數(shù)據(jù)安全技術支撐能力與數(shù)據(jù)中臺深度融合，通過“統(tǒng)一分類分級與敏感數(shù)據(jù)識別”、“統(tǒng)一授權”、“統(tǒng)一訪問控制”、“共享安全保護”、“監(jiān)控與審計”等服務能力輸出，實現(xiàn)中臺數(shù)據(jù)全生命周期的用數(shù)安全，在實現(xiàn)安全合規(guī)的同時極大釋放數(shù)據(jù)要素價值。?3.中國工商銀行數(shù)據(jù)安全管理建設亮點（1） 建立完善的數(shù)據(jù)安全管理體系加強頂層設計，建立組織架構健全、職責邊界清晰的數(shù)據(jù)安全治理體系，工商銀行構建決策、管理、執(zhí)行、監(jiān)督四位一體的組織架構，各級機構協(xié)調配合，共同保障數(shù)據(jù)安全要求有效落地。基于四位一體的組織架構，明確了數(shù)據(jù)安全崗位職責，強化數(shù)據(jù)安全管理崗位人員能力建設，共同保障相關要求有效落地。建立了較為完善的數(shù)據(jù)安全制度規(guī)范體系，發(fā)布網(wǎng)絡與信息安全、數(shù)據(jù)安全分級分類、集團內共享、對外合作、外部咨詢項目等領域數(shù)據(jù)信息安全管理制度規(guī)范，明確了相關的職責要求及管理策略。（2） 積極推進新技術前瞻性研究鑒于數(shù)據(jù)要素資產的特殊屬性，工商銀行積極推動新技術研發(fā)和迭代，包括引入同態(tài)加密、多方安全計算、聯(lián)邦學習等隱私計算新技術，建設隱私計算平臺，實現(xiàn)數(shù)據(jù)使用上的可用不可見、開放不共享。應用自然語言處理等自動化技術提升數(shù)據(jù)安全分級分類及敏感信息的自動化精準識別率，積極跟進和推動可信區(qū)塊鏈技術、數(shù)據(jù)血緣等新技術的研發(fā)和迭代，夯實數(shù)據(jù)使用過程中的安全保護。了（二）中國建設銀行J建設銀行總行黨委和高級管理層高度重視《數(shù)據(jù)安全法》在行內的貫徹落實，我行以《數(shù)據(jù)安全法》為出發(fā)點，以《金融數(shù)據(jù)安全數(shù)據(jù)安全評估規(guī)范（征求意見稿）》為基本框架，結合行內數(shù)據(jù)安全管理現(xiàn)狀，圍繞數(shù)據(jù)安全“管理、保護、運維”三個方面，形成了覆蓋前中后臺的安全管理三道防線以及多方協(xié)同的安全治理模式。當前建設銀行圍繞“組織職責、制度規(guī)范、流程機制、人員能力、技術工具”五個方面推進數(shù)據(jù)安全管理體系的完善。?1.中國建設銀行數(shù)據(jù)安全管理組織架構一是建設銀行明確了數(shù)據(jù)安全管理的決策層、牽頭部門。數(shù)據(jù)安全決策層承接數(shù)據(jù)安全管理職責，負責建立數(shù)據(jù)安全管理體系，審核數(shù)據(jù)安全相關管理制度，審定數(shù)據(jù)安全相關工作計劃、重大事項和資源投入，協(xié)調解決數(shù)據(jù)安全重大問題，監(jiān)督檢查數(shù)據(jù)安全管理工作成效。牽頭管理部門負責統(tǒng)籌全行數(shù)據(jù)安全管理工作，組織實施數(shù)據(jù)安全管理體系的規(guī)劃和建設，落實數(shù)據(jù)安全監(jiān)管要求，體系化做好內外部數(shù)據(jù)安全防范工作的數(shù)據(jù)安全工作策略，組織推進數(shù)據(jù)安全文化建設和數(shù)據(jù)安全專業(yè)隊伍建設，并對全行數(shù)據(jù)安全管理相關工作進行指導、監(jiān)督與考核評價。二是組建了涵蓋總行多個業(yè)務部門的數(shù)據(jù)安全柔性團隊，負責各項數(shù)據(jù)安全工作協(xié)同和推進。按照“誰的業(yè)務誰負責、誰的渠道誰負責、誰的場景誰負責”的原則，明確各領域數(shù)據(jù)安全管理工作的職責部門，落實所轄領域數(shù)據(jù)安全管理職責，本業(yè)務領域數(shù)據(jù)安全的源頭管控，牽頭推動管理職責內數(shù)據(jù)安全重點工作機制建設，制定或修訂規(guī)章、制度、流程，執(zhí)行數(shù)據(jù)安全管理相關工作要求。?2.中國建設銀行數(shù)據(jù)安全管理制度目前，建設銀行已分別在數(shù)據(jù)管理、科技管理、業(yè)務管理等方面，逐步推進一系列數(shù)據(jù)安全相關管理制度和流程機制的制定，初步形成了數(shù)據(jù)安全制度規(guī)范體系。一是數(shù)據(jù)管理領域方面，建設銀行已制定并發(fā)布了數(shù)據(jù)治理、數(shù)據(jù)需求管理、數(shù)據(jù)風險管理、外部數(shù)據(jù)管理、數(shù)據(jù)安全分級標準、個人金融信息數(shù)據(jù)安全分級標準等規(guī)章制度，從多個維度加強數(shù)據(jù)安全管理。二是科技管理領域方面，建設銀行已建立數(shù)據(jù)安全技術規(guī)范體系。一是制定信息安全管理制度，全面落實境內外銀行業(yè)信息科技相關法律法規(guī)等監(jiān)管要求；二是制定生產數(shù)據(jù)應用安全管理制度，明確了后臺數(shù)據(jù)提取和生產數(shù)據(jù)的脫敏、傳遞、應用等安全保護要求；三是制定軟件開發(fā)安全方面的需求規(guī)范和測試規(guī)范，對應用開發(fā)中的重點數(shù)據(jù)保護、數(shù)據(jù)追溯、數(shù)據(jù)過濾、密鑰管理等進行了規(guī)范。三是業(yè)務管理領域方面，建設銀行各業(yè)務部門結合本部門本條線業(yè)務管理情況，在個人客戶信息保護、用戶敏感信息、員工行為管理、數(shù)據(jù)分析管理等領域制定了諸多涵蓋數(shù)據(jù)安全管理要求的制度規(guī)范。四是專項規(guī)章制度重檢修訂方面，建設銀行正在按照《數(shù)據(jù)安全法》等相關法律規(guī)范要求，通過系統(tǒng)性地查缺補漏，梳理并組織開展數(shù)據(jù)安全專項規(guī)章制度重檢修訂，涵蓋數(shù)據(jù)安全管控、數(shù)據(jù)安全評估、安全檢查、合作管理、外包管理、應急響應、技術工具等多個方面。?3.中國建設銀行數(shù)據(jù)安全流程機制數(shù)據(jù)安全分類分級管理機制一是制定數(shù)據(jù)標準。建設銀行目前已制定并發(fā)布兩項數(shù)據(jù)安全分類分級標準?；诮鹑谛袠I(yè)標準《JR/T0197-2020金融數(shù)據(jù)安全數(shù)據(jù)安全分級指南》，結合建設銀行企業(yè)級數(shù)據(jù)模型，制定了數(shù)據(jù)安全分級標準；根據(jù)《個人信息保護法》要求，制定了個人金融信息數(shù)據(jù)安全分級標準。二是實施數(shù)據(jù)資產自動化盤點與整合。建設銀行通過全域數(shù)據(jù)資產梳理盤點、廣域數(shù)據(jù)資產整合，構建了企業(yè)級數(shù)據(jù)資產目錄，形成了涵蓋系統(tǒng)組件、外部數(shù)據(jù)、集成數(shù)據(jù)、標簽、指標、報表、數(shù)據(jù)產品等各類數(shù)據(jù)資產的全域數(shù)據(jù)資產目錄，助力用戶厘清數(shù)據(jù)資產分布及關聯(lián)關系，勾勒企業(yè)級數(shù)據(jù)資產全貌，為數(shù)據(jù)安全管理向“自動化、智能化”的轉變夯實數(shù)據(jù)基礎。三是自主研發(fā)分級模型。建設銀行應用機器學習的方法研發(fā)了數(shù)據(jù)安全自動化定級模型，建立定級詞庫，通過機器學習的方法實現(xiàn)數(shù)據(jù)安全等級的自動化初判。四是開展分級工作。建設銀行擬將數(shù)據(jù)安全標準落實到每個數(shù)據(jù)項上，正在組織推進全行數(shù)據(jù)的安全分級打標工作，通過資產梳理、定級準備、級別判定、級別審核、級別批準等環(huán)節(jié)，完成數(shù)據(jù)安全定級及確認復核，為數(shù)據(jù)分級管控提供有效支撐。（2）數(shù)據(jù)安全全生命周期管理在數(shù)據(jù)安全分類分級建設的基礎上，建設銀行將相關管理要求落實到數(shù)據(jù)采集、數(shù)據(jù)傳輸、數(shù)據(jù)存儲等數(shù)據(jù)全生命周期的各個環(huán)節(jié)。1） 數(shù)據(jù)采集建設銀行持續(xù)提升外部數(shù)據(jù)精細化管理水平，已建立外部數(shù)據(jù)統(tǒng)一引進和管理機制，通過管理和技術雙重手段保障數(shù)據(jù)安全，多方面嚴格審核供應商保證外部數(shù)據(jù)來源安全合規(guī)，定期對供應商資質進行抽檢。在線監(jiān)測外部數(shù)據(jù)的使用，使用周期結束后及時銷毀數(shù)據(jù)。2） 數(shù)據(jù)傳輸建設銀行通過數(shù)據(jù)安全組件傳輸敏感數(shù)據(jù)，一是生產數(shù)據(jù)、前端分析數(shù)據(jù)、開發(fā)測試數(shù)據(jù)經(jīng)過專人審核才能交付給用戶；二是用戶在桌面云內數(shù)據(jù)交換和從桌面云中導出數(shù)據(jù)到辦公計算機中間環(huán)節(jié)無數(shù)據(jù)落地存儲；三是對于涉及身份認證、客戶資金交易等重要操作的數(shù)據(jù)采用安全傳輸協(xié)議加密傳輸，防止數(shù)據(jù)傳輸過程的信息泄露風險。3） 數(shù)據(jù)存儲建設銀行數(shù)據(jù)集中存儲在運營數(shù)據(jù)中心生產環(huán)境中，嚴格規(guī)范管理生產環(huán)境。所有操作通過安全操作管理系統(tǒng)完成，確保無法將數(shù)據(jù)私自拷貝出生產環(huán)境。對生產環(huán)境劃分多個安全區(qū)域，各個區(qū)域間通過防火墻隔離，防止外部攻擊和病毒木馬入侵信息系統(tǒng)。4） 數(shù)據(jù)使用一是辦公網(wǎng)絡與設備的安全管控與行為監(jiān)控。非行內計算機和未滿足策略配置的終端不得接入行內網(wǎng)絡，嚴格管控USB等外接數(shù)據(jù)存儲設備；在辦公郵件互聯(lián)網(wǎng)出口對敏感信息進行監(jiān)控和攔截，對違規(guī)行為實時退信提示；使用加密硬盤報送監(jiān)管數(shù)據(jù)；采用數(shù)據(jù)水印技術提升信息追溯能力。二是建立數(shù)據(jù)資產全鏈路數(shù)據(jù)流轉監(jiān)測機制。建立數(shù)據(jù)資產全鏈路數(shù)據(jù)流轉監(jiān)測機制，實現(xiàn)了從數(shù)據(jù)產生、加工整合到服務應用的全鏈路數(shù)據(jù)關系的全覆蓋，全面掌握端到端數(shù)據(jù)流轉情況及健康狀態(tài)，確保所有敏感數(shù)據(jù)的流轉可都被監(jiān)測、記錄、分析和溯源。三是建立數(shù)據(jù)違規(guī)訪問、大量下載等異常行為監(jiān)控預警機制。在信息系統(tǒng)設計階段，嚴格把控數(shù)據(jù)下載、導出功能，遵循最小必須原則控制數(shù)據(jù)范圍、規(guī)模和頻次，并做好數(shù)據(jù)加密脫敏處理；在業(yè)務應用階段，信息系統(tǒng)均設置關鍵運行指標和預警閾值；對研發(fā)或運維人員操作動作和操作內容進行記錄和保存，及時監(jiān)測和預警異常行為，快速定位違規(guī)操作。四是建立統(tǒng)一數(shù)據(jù)授權使用管控機制。確保按照“最小必要”原則設立使用權限，建立員工用戶管理應用的權限管控模型，包含員工用戶、崗位、角色、權限等四層，通過建立映射實現(xiàn)員工用戶對具體權限的獲取，部署統(tǒng)一認證服務，實現(xiàn)各信息系統(tǒng)之間的賬號統(tǒng)一管理。數(shù)據(jù)共享在對外合作方面，建設銀行通過完善服務供應商準入審查、修訂對外合作協(xié)議等方式加強對合作方的安全管理。生產數(shù)據(jù)提取方面，建設銀行已制定生產數(shù)據(jù)應用安全管理規(guī)程，并對線下交接傳遞數(shù)據(jù)進行限定。信息系統(tǒng)功能對接方面，涉及系統(tǒng)開發(fā)的情況已納入信息系統(tǒng)需求管理，通過多方共同評審發(fā)現(xiàn)數(shù)據(jù)輸出風險，進行安全保護。數(shù)據(jù)刪除、銷毀建設銀行采用“不用數(shù)據(jù)及時銷毀”的策略，對生產系統(tǒng)的報廢設備存儲部件通過專用設備進行消磁或物理粉碎處理；維修設備均須取下存儲后方可帶離我行修理；對終端電腦安裝數(shù)據(jù)銷毀工具，由員工對電腦中存儲的不再使用的敏感信息進行銷毀；對從生產環(huán)境提取的數(shù)據(jù)，在使用完畢后，數(shù)據(jù)安全組件提醒用戶使用數(shù)據(jù)銷毀工具進行銷毀；并建立數(shù)據(jù)存儲介質銷毀安全管理機制，設立專人專崗，記錄數(shù)據(jù)銷毀全過程。數(shù)據(jù)安全應急管理機制一是將數(shù)據(jù)安全納入管控范圍，從投訴、聲譽、網(wǎng)絡三個方面建立數(shù)據(jù)安全應急管理機制，修訂并發(fā)布應急管理制度和應急預案等規(guī)范。二是明確信息安全事件的處置流程與職責，定期組織安全滲透測試和風險評估，統(tǒng)籌漏洞管理，對發(fā)現(xiàn)的問題風險進行整改和應急處置，并組織安全應急演練和實戰(zhàn)演習。在安全事件發(fā)生后，按照預案實施安全事件應急處置工作，認定安全事件等級和責任單位，完成安全事件的取證、攻擊手法分析、數(shù)據(jù)泄露溯源分析、評估全行安全態(tài)勢，挖掘潛在異常行為和攻擊威脅。數(shù)據(jù)安全評估機制《數(shù)據(jù)安全法》發(fā)布之前，建設銀行已對標國家標準《GB/T37988-2019信息安全技術數(shù)據(jù)安全能力成熟度模型》組織開展了全行數(shù)據(jù)安全管理現(xiàn)狀評估工作?！稊?shù)據(jù)安全法》發(fā)布之后，為進一步對標監(jiān)管要求，建設銀行以金融行業(yè)標準《金融數(shù)據(jù)安全數(shù)據(jù)安全評估規(guī)范（征求意見稿）》為評估框架，制定了數(shù)據(jù)安全全面評估方案，并針對外部數(shù)據(jù)共享、新產品上線等重點場景制定數(shù)據(jù)安全分場景評估方案。目前正在組織推進各相關部門對轄內數(shù)據(jù)安全工作及重點場景數(shù)據(jù)安全保障情況開展自評估。?4.中國建設銀行數(shù)據(jù)安全人員能力建設建設銀行持續(xù)提升數(shù)據(jù)安全管理人員數(shù)據(jù)安全意識和工作履職能力，加大員工安全教育力度，開展培訓講座和警示教育，樹立安全紅線意識。在建行網(wǎng)絡學習平臺設立“數(shù)據(jù)安全”專欄，面向全行員工提供法律標準解讀分析等學習課程。同時編制了《信息安全事件警示錄》《員工信息安全技能手冊》《員工信息系統(tǒng)使用行為規(guī)范》等培訓教育手冊和網(wǎng)絡課件，建立新員工入職培訓、在職員工年度安全培訓機制，持續(xù)常態(tài)化組織員工開展安全意識培訓。此外，通過跟蹤數(shù)據(jù)安全監(jiān)管動態(tài)、業(yè)界實踐、行內進展等，形成數(shù)據(jù)安全工作定期簡報，加強行內宣貫，促進全行數(shù)據(jù)安全文化建設。?5.中國建設銀行數(shù)據(jù)安全技術防護體系建設銀行已構建了全行一體化，覆蓋數(shù)據(jù)全生命周期的數(shù)據(jù)安全技術防護體系，如圖5所示。通過數(shù)據(jù)訪問控制平臺、隱私計算平臺、數(shù)據(jù)安全下載平臺等技術平臺沉淀了數(shù)字脫敏、加密權限、訪問控制、數(shù)字水印、隱私計算等數(shù)據(jù)安全核心技術，為后臺生產數(shù)據(jù)、前端分析數(shù)據(jù)等場景的數(shù)據(jù)保護提供技術支撐。

收集■傳輸■存儲■使用■刪除■銷毀數(shù)據(jù)全生命周期數(shù)據(jù)安全技術能力加密■識砸羣■新睡羣自動化安全定級收集■傳輸■存儲■使用■刪除■銷毀數(shù)據(jù)全生命周期數(shù)據(jù)安全技術能力加密■識砸羣■新睡羣自動化安全定級 安全策略配置1訪問控制■安全斷■安■安全審計■應急響應與事件處置1數(shù)據(jù)安全運營-數(shù)據(jù)保護場景一一1后臺生產數(shù)據(jù) I存儲加密 / 數(shù)據(jù)防灑1 I數(shù)據(jù)脫敏, 數(shù)據(jù)下載平臺 I前端分析數(shù)據(jù)虛擬終端 / 數(shù)據(jù)水印行為監(jiān)控 / 數(shù)據(jù)集散地應用數(shù)據(jù)應用權限 ,數(shù)據(jù)權限傳輸加密 ,動態(tài)脫敏完整性校驗/蟾共享平臺I辦公文檔數(shù)據(jù)防曜,云建數(shù)據(jù)銷毀,終端管控開發(fā)測試數(shù)據(jù) I桌面云/終端管控 I數(shù)據(jù)脫敏/數(shù)據(jù)防跡 I來源：建設銀行圖5建設銀行數(shù)據(jù)安全技術防護體系T（三）交通銀行J?1.交通銀行數(shù)據(jù)安全管理系統(tǒng)建設背景金融銀行業(yè)目前在實際應用中有以下痛點：一是數(shù)據(jù)使用是否含敏感信息的選項依靠各環(huán)節(jié)人工判定，主觀性較大；二是數(shù)據(jù)文件下發(fā)前缺少相關技術工具進行內容掃描，無法管控實際流出生產系統(tǒng)的數(shù)據(jù)文件；三是數(shù)據(jù)治理工作雖已為行內數(shù)據(jù)標準完成定級，為數(shù)據(jù)出口管理工作提供了重要依據(jù)，但兩者缺乏便捷的對接渠道；四是數(shù)據(jù)安全管理辦法發(fā)布后，暫時未有有效的系統(tǒng)載體承接和落實相關管控規(guī)定。隨著外部數(shù)據(jù)安全管理的要求逐漸增多，各大銀行已加緊數(shù)據(jù)安全管控體系的建設，工行，農行，中行，招行等銀行，皆加大自身資源投入，通過自研開發(fā)或與第三方合作，契合當前數(shù)字經(jīng)濟大浪潮下的安全管控變革的需求，建立數(shù)據(jù)安全管理系統(tǒng)以達到法律法規(guī)與外部監(jiān)管要求。根據(jù)前期調研，相關同業(yè)為提升自身數(shù)據(jù)安全管理能力，均對核心和重要系統(tǒng)加緊安全技術防控，在數(shù)據(jù)分級管理、敏感數(shù)據(jù)識別、安全檢查審計和技防能力提升等方面，逐步將數(shù)據(jù)安全體系建設向精細化、自動化和成熟化推進。綜上，為進一步加強數(shù)據(jù)出口的安全扎口管理，推動我行數(shù)據(jù)安全治理、數(shù)據(jù)安全保障、數(shù)據(jù)安全體系建設能力不斷增強，設計數(shù)據(jù)安全管控全方位升級的系統(tǒng)建設規(guī)劃。?2.交通銀行數(shù)據(jù)安全管理系統(tǒng)建設目標交通銀行建設數(shù)據(jù)安全管控系統(tǒng)升級項目，旨在以數(shù)據(jù)安全交換平臺為基礎，以整體數(shù)據(jù)安全運營為目標，建設全方位的安全管控系統(tǒng)功能。項目建成后擬達成以下效果：一是提升敏感數(shù)據(jù)認定識別的技術能力，通過人工和技術手段相結合，實現(xiàn)敏感數(shù)據(jù)的精準定位；二是應用數(shù)據(jù)分類分級和敏感數(shù)據(jù)定位，在數(shù)據(jù)出口、分析等重點數(shù)據(jù)場景中實現(xiàn)數(shù)據(jù)安全管控的精細化、便利化，提升數(shù)據(jù)出口流程與數(shù)據(jù)出口安全管控質效；三是建立數(shù)據(jù)安全評估、安全監(jiān)督等管理功能，實現(xiàn)數(shù)據(jù)安全管理工作的系統(tǒng)化運行，實現(xiàn)對重點場景數(shù)據(jù)安全情況的整體管控。

?3.交通銀行數(shù)據(jù)安全管理系統(tǒng)核心功能本規(guī)劃項目可細分為五大模塊，以安全管控引擎模塊為技術支撐，擬建設安全監(jiān)督、安全評估、成熟度評估管理、安全傳輸四部分內容。項目規(guī)劃如圖6所示。安全監(jiān)督安全評估日志文件整合與管理

用戶操作識別與監(jiān)控

檢查策略與預警處理

數(shù)據(jù)源敏感識別安全刪古場景規(guī)則分析管理統(tǒng)計管理成熟度評估管理安全傳輸數(shù)據(jù)傳輸通道安全監(jiān)督安全評估日志文件整合與管理

用戶操作識別與監(jiān)控

檢查策略與預警處理

數(shù)據(jù)源敏感識別安全刪古場景規(guī)則分析管理統(tǒng)計管理成熟度評估管理安全傳輸數(shù)據(jù)傳輸通道安全管控引擎安全定級檢， I Al數(shù)據(jù)識別 ■ 數(shù)據(jù)文件掃描來源：交通銀行圖6交通銀行數(shù)據(jù)安全管控系統(tǒng)升級項目規(guī)劃圖(1)安全管控引擎模塊核心引擎安全管控模塊是數(shù)據(jù)安全評估和數(shù)據(jù)治理分類分級的重要應用渠道，主要有AI數(shù)據(jù)識別引擎、數(shù)據(jù)文件掃描模塊，并與數(shù)據(jù)治理平臺實現(xiàn)對接，在數(shù)據(jù)分類分級的結果上對傳輸數(shù)據(jù)完成數(shù)據(jù)的分類分級檢測。AI數(shù)據(jù)識別引擎AI數(shù)據(jù)識別引擎模塊擬結合文本識別、知識圖譜和AI模型等技術，對數(shù)據(jù)出口用數(shù)場景申請描述信息及附件進行內容掃描、字段識別、文本分析和關聯(lián)匹配，對用數(shù)場景是否涉及提取敏感數(shù)據(jù)進行預判，為用數(shù)場景審核工作提供技術保障。數(shù)據(jù)文件掃描數(shù)據(jù)文件掃描功能依據(jù)常見敏感字段清單和根據(jù)分類分級檢測得出的掃描規(guī)則,對所有從生產環(huán)境上傳，需要下載至辦公環(huán)境的數(shù)據(jù)文件進行掃描。掃描結果若與用數(shù)場景敏感信息標簽不一致，將觸發(fā)新的提級審批流程。此外，系統(tǒng)可基于前期樣本,利用機器學習能力，對規(guī)則模型進行持續(xù)的更新、優(yōu)化。4）分類分級結果對接本項目計劃在數(shù)據(jù)出口用數(shù)場景申請界面新增接口，通過下拉框選擇和模糊搜索的方式匹配數(shù)據(jù)出口涉及字段和數(shù)據(jù)標準安全定級結果，以精準應用數(shù)據(jù)治理分類分級成果。（2） 安全監(jiān)督模塊安全監(jiān)督模塊擬對數(shù)據(jù)分析平臺等重要數(shù)據(jù)應用場景中的數(shù)據(jù)行為進行事后評估和檢查，排查數(shù)據(jù)活動合規(guī)性，防止數(shù)據(jù)外泄，及時修正與完善潛在漏洞及不足。相關功能如下：1） 日志文件整合與管理整合并抽取對接系統(tǒng)的安全管理日志，系統(tǒng)針對日志內容進行掃描，提取日志有效內容，在系統(tǒng)中以表格形式展示提取結果，并支持導出或加載至分析平臺進行檢查分析。2） 用戶操作識別監(jiān)控通過文本識別、知識圖譜或AI模型等技術，對提取的日志內容進行敏感信息掃描。若掃描識別出相關內容，則以表格形式展現(xiàn)，從而達到在線用戶的實時/非實時監(jiān)督效果。3） 數(shù)據(jù)源敏感識別對接入系統(tǒng)日志內的元數(shù)據(jù)進行識別，將識別出的表格字段與數(shù)據(jù)分析平臺樣本進行關聯(lián)，顯示表格權限及脫敏情況，并將識別結果通過表格的形式在系統(tǒng)中展示，從而及時發(fā)現(xiàn)并修正表格脫敏漏洞。4） 檢查模塊與預警處理設定檢查策略模板，可自定義設定監(jiān)督和預警規(guī)則，對接入系統(tǒng)的場景和用戶進行自動化預警任務推送，安全管理人員對推送任務進行日常管理和記錄處理。（3） 安全評估模塊安全評估模塊包括安全評估、場景規(guī)則、分析管理、統(tǒng)計管理功能四個部分，實現(xiàn)對規(guī)定的場景事前進行數(shù)據(jù)權益保護影響評估并對相關處理情況進行記錄、分析、統(tǒng)計、管理，并通過可視化展示等方式方便直觀了解我行數(shù)據(jù)安全評估的管理狀態(tài)。通過安全評估，推動落實數(shù)據(jù)安全管理的法律合規(guī)和外部監(jiān)管要求，在事前檢視數(shù)據(jù)安全威脅和風險，保障數(shù)據(jù)安全。安全評估對于符合數(shù)據(jù)安全評估要求的重點數(shù)據(jù)活動，數(shù)據(jù)申請方發(fā)起新建數(shù)據(jù)安全評估事項，填寫相關信息并進行數(shù)據(jù)安全自評估，按照規(guī)定流程進行審批并歸檔，以表單流程作為主體功能，逐步優(yōu)化評估要素和業(yè)務流程，通過自動化對接現(xiàn)有業(yè)務流程的方式擴大全行數(shù)據(jù)活動場景的安全評估覆蓋面。場景規(guī)則建立場景規(guī)則庫，設置不同數(shù)據(jù)活動的評估項、評估權重、評估模型等，并應用在相應的評估場景中。對于“監(jiān)管要求”和“公檢法調閱”等特殊場景，設立“自評估綠色通道”，提高評估效率和自動化能力。分析管理根據(jù)評估決策規(guī)則庫和歷史評估相似度分析，分析特定的數(shù)據(jù)處理活動是否會對信息主體合法權益產生影響及可能產生何種影響，并判斷相應安全措施能否有效降低潛在影響。根據(jù)自動化落差分析結果，輔助審批及復審的評估決策。統(tǒng)計管理功能統(tǒng)計歷史評估事項，管理場景規(guī)則庫與決策規(guī)則庫?？筛鶕?jù)法律法規(guī)對“自評估綠色通道”及其他場景規(guī)則進行修改，滿足不同維度的影響性評估結果統(tǒng)計分析，支持分析結果可視化展示、歷史記錄查詢、人工維護、批量導出等功能。成熟度評估管理模塊成熟度評估管理模塊將匯總安全評估及成熟度評估結果，及時歸檔評估文檔，確保評估過程有跡可循，評估結果有據(jù)可依，以便日后監(jiān)管審計調閱。系統(tǒng)支持批量上傳文件、批量導出、在線預覽、模糊匹配、權限控制等功能，用戶可根據(jù)評估內容對文檔進行分類標簽化管理，通過標簽可以對同一對象實現(xiàn)多重分類的管理目標。用戶對評估文檔的操作將形成日志記錄，日志將通過表格方式展現(xiàn)，并支持根據(jù)時間、操作內容等維度導出。安全傳輸模塊現(xiàn)已實現(xiàn)的數(shù)據(jù)出口模塊主要包括數(shù)據(jù)出口的審批流程及數(shù)據(jù)的安全傳輸通道，未來將在此模塊基礎上，擴大適用范圍，覆蓋境外行、村鎮(zhèn)銀行的數(shù)據(jù)出口場景。同時，根據(jù)安全管控模塊的敏感數(shù)據(jù)識別結果，數(shù)據(jù)出口模塊做安全管控的適應性改造,優(yōu)化審批與傳輸流程，如圖7所示。來源：交通銀行圖7交通銀行數(shù)據(jù)安全管控系統(tǒng)安全傳輸模塊?4.交通銀行數(shù)據(jù)安全管理系統(tǒng)策略引擎核心引擎在邏輯層面主要分為兩套。一套是人工自定義規(guī)則庫和管理功能群，主要使用進行自定義規(guī)則的識別和安全策略輸出；另外一套為AI智能，主要目的為基于人工自定義規(guī)則相關功能的基礎上，提供輔助決策、數(shù)據(jù)分類訓練和策略糾偏等功能。在功能層面主要包括數(shù)據(jù)標簽識別、數(shù)據(jù)活動管理、業(yè)務場景管理、安全策略管理和AI工具幾部分。核心引擎接受前置的文件解析模塊工具，將傳入的文件或數(shù)據(jù)轉換為結構化的二維表，從中提取數(shù)據(jù)字段內容并支持樣本預覽，并將格式化數(shù)據(jù)的提取結果作為核心引擎的輸入，結合數(shù)據(jù)活動和業(yè)務場景的參數(shù)，根據(jù)安全策略表內的配置，輸出安全管理要求和策略。AI工具主要作為輔助模塊存在，在人工規(guī)則運行一段時間后，接收管理系統(tǒng)內產生的相關數(shù)據(jù)作為訓練集，成熟運行后可提升人工規(guī)則定義庫的精確度。數(shù)據(jù)標簽識別功能可以根據(jù)設定好的字段規(guī)則識別傳入的字段名和字段內容，映射各字段和字段項下應掛鉤的標簽。傳入的字段經(jīng)規(guī)則識別后會顯示與之掛鉤的標簽，根據(jù)字段標簽、具體的業(yè)務場景和數(shù)據(jù)活動，系統(tǒng)會輸出相應的安全策略或分類結果，最后一并交由人工復核。數(shù)據(jù)標簽識別、數(shù)據(jù)活動管理、業(yè)務場景管理和安全策略管理等功能，是實現(xiàn)對于數(shù)據(jù)字段的規(guī)則、標簽、安全策略、使用的業(yè)務場景及數(shù)據(jù)活動的增刪查改操作，安全管理系統(tǒng)相關用戶也可查看所有的策略輸出結果及需求審批結果。（1）業(yè)務邏輯對于需求申請者或用數(shù)場景發(fā)起者，只需上傳需要的數(shù)據(jù)字段，填寫需求內容或用數(shù)場景內容，包括但不限于場景概述、數(shù)據(jù)范圍等，隨后系統(tǒng)會根據(jù)設定好的規(guī)則標簽分類打標，結合填寫的業(yè)務場景，自動給出相應的安全策略，隨后審批者會對結果進行人工復核，并將最終結果反饋給需求者。對于數(shù)據(jù)安全管理系統(tǒng)的用戶來說，其有權查看所有的用數(shù)場景結果及需求反饋結果，可以根據(jù)時間、發(fā)起人、標題等進行篩選并查看詳細內容。除此之外，系統(tǒng)管理用戶還可進行原子規(guī)則、標簽識別規(guī)則、安全管理標簽、數(shù)據(jù)活動、業(yè)務場景及安全策略的管理，具體各功能如下：1） 原子規(guī)則：指用于文本內容識別的基礎邏輯，如文本長度、是否有浮點數(shù)等。管理系統(tǒng)用戶可以增加、刪除、查詢、修改原子規(guī)則。一個或多個原子規(guī)則組合起來即為二級規(guī)則，可用于識別字段，如總長11位、以1開頭、第二位是3-8的字段是手機號碼，管理系統(tǒng)用戶同樣可以對二級規(guī)則進行增刪查改等操作。2） 標簽識別規(guī)則：指字段與各標簽的關聯(lián)規(guī)則。管理系統(tǒng)用戶首先通過設置二級規(guī)則識別字段名，隨后可設定與字段掛鉤的標簽，每個字段可以設定多個標簽，部分標簽間相互沖突，如同級子標簽不可共存。3） 安全管理標簽：指描述字段性質的標簽，如分類等級、字段歸屬、是否公開等。安全管理標簽包括信息主體標識、公開性標識、數(shù)據(jù)類型標識等，各級標簽下又有子標簽。管理系統(tǒng)用戶可以增加或刪除標簽，修改標簽內容或者查詢使用該標簽的規(guī)則。4） 數(shù)據(jù)活動：指確定數(shù)據(jù)集為客體的具體行為活動，本質上是生命周期各環(huán)節(jié)的細化和拓展，包括出行、出境、查詢、下載、與第三方合作建模、自動化決策等。系統(tǒng)管理用戶可以管理數(shù)據(jù)活動項，如下載、出行等，每一數(shù)據(jù)活動的定義及其數(shù)據(jù)生命周期環(huán)節(jié)的歸屬皆可由系統(tǒng)管理用戶設定。5） 業(yè)務場景：指發(fā)生數(shù)據(jù)活動的具體應用場景，如監(jiān)管報送、公檢法調閱等。系統(tǒng)管理用戶可以配置業(yè)務場景基本定義、場景要素，關聯(lián)安全策略并添加額外要求。6） 安全策略：指各類數(shù)據(jù)字段根據(jù)數(shù)據(jù)活動的不同，需申請人員或部門落實的具體安全管理策略。系統(tǒng)管理用戶可根據(jù)數(shù)據(jù)字段標簽及其數(shù)據(jù)活動的不同，設定不同的安全策略，如個人敏感數(shù)據(jù)查詢需經(jīng)授權并嚴禁下載。（2）與其他各功能模塊聯(lián)動1）與安全交換流程的聯(lián)動在原有安全交換流程基礎上進行安全管理提升和出口管控，識別交換數(shù)據(jù)的敏感程度以及在數(shù)據(jù)活動、業(yè)務場景基礎上的管理要求。數(shù)據(jù)借用等用數(shù)場景發(fā)起者填寫用數(shù)場景申請書，在原有“借用場景、借用起止日期、借用方式”等輸入字段的基礎上，增加“數(shù)據(jù)活動、業(yè)務場景和數(shù)據(jù)識別后的標簽情況”，作為輸入?yún)?shù)通過核心引擎策略判斷，文件解析模塊解析數(shù)據(jù)字段，自動分類打標，結合填報的業(yè)務場景及數(shù)據(jù)活動給出安全策略反饋，如圖8所示。安全管理系統(tǒng)用戶相關角色對結果進行人工復核，確認是否字段打標錯誤或者給出了錯誤的安全策略，如無誤則將反饋結果附于用數(shù)場景后傳遞給取數(shù)部門；如果結果有誤，則以人工判定為準，將人工審核結果和原有引擎判斷情況作為“正負樣本進行留存”。同時管理系統(tǒng)用戶需要在相對應的管理頁面修改或刪除錯誤的配置，優(yōu)化和糾正識別規(guī)則等。來源：交通銀行圖8交通銀行數(shù)據(jù)安全管控系統(tǒng)核心策略引擎聯(lián)動（一）2）與數(shù)據(jù)安全影響性評估的聯(lián)動數(shù)據(jù)安全影響性評估流程與數(shù)據(jù)借用流程類似，需求申請者填寫需求申請單，包括需求應用目的、場景概述及相關評估場景的自評估情況，并上傳擬申請下發(fā)的數(shù)據(jù)字段。需求申請如有個人敏感信息的出行、下載等，需要先進行數(shù)據(jù)安全影響性評估，在數(shù)管部審批節(jié)點交由系統(tǒng)核心引擎解析字段，分類打標，根據(jù)場景及數(shù)據(jù)活動那個的不同給出不同的安全策略，再進行人工復核，人工復核無誤的才能交由業(yè)務部門會審，如圖9所示。來源：交通銀行圖9交通銀行數(shù)據(jù)安全管控系統(tǒng)核心策略引擎聯(lián)動（二）3）與數(shù)據(jù)內控監(jiān)督的聯(lián)動數(shù)據(jù)內控監(jiān)督涉及到分析平臺數(shù)據(jù)的分類，判定各數(shù)據(jù)字段是否應脫敏，可以從數(shù)據(jù)分析平臺直接傳入分析數(shù)據(jù)，由核心引擎判別字段，分類打標，再根據(jù)標簽結果判定字段敏感度，從而給出反饋說明是否需要脫敏，如圖10所示。來源：交通銀行圖10交通銀行數(shù)據(jù)安全管控系統(tǒng)核心策略引擎聯(lián)動（三）4）統(tǒng)計查詢功能主要用于統(tǒng)計糾偏識別規(guī)則，如規(guī)則在哪個模塊內命中了多少次、場景下命中了多少次等。此部分主要統(tǒng)計字段標簽的命中情況，即在一定單位時間內，不同業(yè)務場景下、不同的業(yè)務模塊內系統(tǒng)自動匹配到了該標簽多少次，并能展示所有使用了此標簽的字段所在的需求或者用數(shù)場景。若系統(tǒng)自動打標與人工審核時的打標沖突，一般以人工打標為準，系統(tǒng)還能展示所有系統(tǒng)打標與人工審核相悖的用數(shù)場景或者需求，并可設定閾值，在同一字段標簽人工審核與系統(tǒng)設定沖突達到一定次數(shù)時，提示審批者在標簽識別規(guī)則頁面刪除或修改錯誤的標簽識別規(guī)則，同時還可利用此模塊的統(tǒng)計查詢功能，定位受錯誤標簽影響的用數(shù)場景或申請。了(四)中國郵政儲蓄銀行J?1.郵儲銀行數(shù)據(jù)安全建設背景與思路加快推動數(shù)據(jù)安全體系建設，展現(xiàn)大行擔當隨著《數(shù)據(jù)安全法》《個人信息保護法》《JR/T0197-2020金融數(shù)據(jù)安全數(shù)據(jù)安全分級指南》《JR/T0223-2021金融數(shù)據(jù)安全數(shù)據(jù)生命周期安全規(guī)范》等一系列法律法規(guī)及監(jiān)管規(guī)范相繼施行，國家及監(jiān)管對數(shù)據(jù)安全管理提出了更明確、更具體的要求。郵儲銀行作為一家大型國有企業(yè)，積極響應國家號召，落實國家大數(shù)據(jù)安全戰(zhàn)略，以數(shù)據(jù)為關鍵要素，合理分配數(shù)據(jù)保護資源，建立完善的數(shù)據(jù)安全生命周期防護機制，提升郵儲銀行數(shù)據(jù)安全管理水平。全面構建數(shù)據(jù)安全管理能力，實現(xiàn)高質量發(fā)展構建全面的數(shù)據(jù)安全管理能力，有效運用先進技術開展數(shù)據(jù)應用，是發(fā)揮數(shù)據(jù)價值、提高經(jīng)營管理精細化水平的關鍵。郵儲銀行積極落實國家和監(jiān)管部門要求，將數(shù)據(jù)安全管理現(xiàn)狀進行全面對標，提出數(shù)據(jù)安全管理總體框架，從組織架構、制度支撐、文化氛圍、基礎管理、全生命周期管理等方面發(fā)力，五位一體全力保障數(shù)據(jù)安全可用。?2.郵儲銀行數(shù)據(jù)安全建設實踐建立數(shù)據(jù)安全管理組織架構將數(shù)據(jù)安全納入總行黨委管理，在全行建立數(shù)據(jù)安全三道防線，明確相關部門具體職責，構建嚴密的數(shù)據(jù)安全管理體系。在崗位設置方面，發(fā)布《數(shù)據(jù)安全管理團隊建設方案》，確定數(shù)據(jù)安全專兼職崗位設置標準以及專業(yè)隊伍建設要求，明確數(shù)據(jù)安全專兼職人員職責，共同推進全行數(shù)據(jù)安全各項工作扎實落地，為全行數(shù)據(jù)安全管理提供人才保障。完善數(shù)據(jù)安全制度支撐為規(guī)范數(shù)據(jù)安全管理，全行修訂《中國郵政儲蓄銀行數(shù)據(jù)安全管理辦法》，進一步明確全行數(shù)據(jù)安全職責分工、安全要求和工作流程等，為數(shù)據(jù)安全管理提供制度指導。同時，對標《數(shù)據(jù)安全法》《個人信息保護法》等國家法律法規(guī)，以及《征信業(yè)務管理辦法》《金融數(shù)據(jù)安全數(shù)據(jù)安全分級指南》《金融數(shù)據(jù)安全數(shù)據(jù)生命周期安全規(guī)范》等行業(yè)政策及標準，結合全行數(shù)據(jù)安全制度建設需求，從數(shù)據(jù)安全戰(zhàn)略、生命周期管理、基礎安全管理三個方面初步建立了數(shù)據(jù)安全制度體系，對數(shù)據(jù)安全從宏觀指導到微觀規(guī)范，全面覆蓋、層層落實，為助推郵儲銀行一體化數(shù)據(jù)安全管理奠定了基礎。營造數(shù)據(jù)安全文化氛圍通過多層級多頻率開展數(shù)據(jù)安全培訓，充分營造“數(shù)據(jù)安全人人有責”的文化氛圍。面向全行約14萬員工組織開展數(shù)據(jù)安全法規(guī)政策解讀培訓，培訓內容包括國內外數(shù)據(jù)安全法規(guī)標準解讀以及從業(yè)人員相關要求；面向總行及各分行科技部門、業(yè)務部門開展數(shù)據(jù)安全分類分級方法培訓、數(shù)據(jù)安全技術培訓等內容，將數(shù)據(jù)安全意識內化于心、外化于行。夯實數(shù)據(jù)安全基礎管理數(shù)據(jù)安全分類分級是數(shù)據(jù)安全管理的基礎性、關鍵性工作。一是結合全行數(shù)據(jù)安全要求，統(tǒng)籌推進全行數(shù)據(jù)安全分類分級工作。二是優(yōu)先在重要系統(tǒng)落地數(shù)據(jù)安全分級管控措施，逐步提升全行數(shù)據(jù)安全精細化管理能力。加大新技術研究，增強數(shù)據(jù)安全技防能力。一是加強加密管理，針對不同安全級別的數(shù)據(jù)采取不同的加密策略。二是加強終端管控，降低數(shù)據(jù)使用環(huán)節(jié)數(shù)據(jù)泄露風險。三是完善個人信息保護應急響應機制，最大限度保障個人客戶信息安全。四是加強聯(lián)邦學習、隱私計算等新技術研究應用，搭建儲蓄銀行多方安全計算平臺。細化生命周期安全管理從事前防控、事中評估、事后監(jiān)督三方面提升數(shù)據(jù)安全管控能力，確保金融數(shù)據(jù)安全應用。事前防控方面，一是將數(shù)據(jù)安全要求納入業(yè)務需求及技術方案，持續(xù)加強需求分析、系統(tǒng)設計、系統(tǒng)開發(fā)、系統(tǒng)測試、投產上線等各階段的數(shù)據(jù)安全管控。二是明確數(shù)據(jù)采集、傳輸、存儲、使用、備份、災備與銷毀等生命周期各環(huán)節(jié)要求并推動落實。事中評估方面，構建了全行數(shù)據(jù)安全評估框架，從全面評估、專項評估雙管齊下，逐步提升全行數(shù)據(jù)安全管理能力。事后監(jiān)督方面，面向總行及各一級分行開展數(shù)據(jù)安全檢查及審計，推動問題整改，形成管理閉環(huán)。?3.郵儲銀行數(shù)據(jù)安全建設亮點郵儲銀行以找短板、補差距、提質效為出發(fā)點，完善數(shù)據(jù)安全管理，取得顯著成效：提高數(shù)據(jù)安全機制運行效率不斷完善頂層設計，加強自上向下協(xié)調推進力度，總行信息科技風險管理委員會審議數(shù)據(jù)安全管理相關事項，通過完善數(shù)據(jù)安全制度體系，數(shù)據(jù)安全管理各項工作實現(xiàn)了權責清晰、有法可依。明確數(shù)據(jù)安全相關工作責任建立數(shù)據(jù)安全管理隊伍，明確數(shù)據(jù)安全專兼職崗位設置標準以及專業(yè)隊伍建設要求，設置數(shù)據(jù)安全管理崗和數(shù)據(jù)安全專員，共同推進全行數(shù)據(jù)安全各項工作扎實落地。加快數(shù)據(jù)分類分級落實進度通過夯實數(shù)據(jù)安全基礎管理體系，制定《中國郵政儲蓄銀行數(shù)據(jù)安全分級規(guī)范》，明確分類分級的方法和要求，指導全行開展數(shù)據(jù)分類分級保護工作。會同各標準權威部門，編制并發(fā)布《中國郵政儲蓄銀行主數(shù)據(jù)標準數(shù)據(jù)安全分類分級清單》，為后續(xù)各相關單位在開展本領域、本條線數(shù)據(jù)安全分類分級工作提供有益參考。為加快推進數(shù)據(jù)安全分類分級工作，成立數(shù)據(jù)安全分類分級聯(lián)合工作小組，成員包括數(shù)據(jù)安全管理部門、系統(tǒng)建設部門以及相關業(yè)務需求部門。推動全行按照涉及核心類業(yè)務系統(tǒng)、重要數(shù)據(jù)應用系統(tǒng)，以及客戶基本信息、客戶身份鑒別信息等安全級別較高的數(shù)據(jù)等原則，確定相關試點系統(tǒng)，共涉及約18萬字段，開展數(shù)據(jù)安全分類分級工作。2023年將根據(jù)試點經(jīng)驗，由點到面向全行推廣，推進全行重點系統(tǒng)安全分級及管控落地。提高數(shù)據(jù)生命周期管理質效目前已將數(shù)據(jù)安全要求納入業(yè)務需求模板，從源頭進行安全管控。2022年對全行60項新增功能工程業(yè)務需求評審，為信息系統(tǒng)的數(shù)據(jù)安全站好第一班崗。按照全行信息化建設管理規(guī)定，將業(yè)務需求和系統(tǒng)實際數(shù)據(jù)安全管理要求深度融合，嚴格落實數(shù)據(jù)安全管理要求。

了（五）上海銀行J?1.上海銀行數(shù)據(jù)安全工作背景和目標自2019年以來，國家、行業(yè)監(jiān)管單位先后陸續(xù)出臺了包括《數(shù)據(jù)安全法》在內多部重要數(shù)據(jù)安全法規(guī)和規(guī)范指引，數(shù)據(jù)安全和隱私保護的頂層監(jiān)管合規(guī)框架日趨完善。隨著銀行業(yè)務的多元化和服務的多樣化使得數(shù)據(jù)安全的應用場景越來越復雜，尤其是對于金融數(shù)據(jù)的高價值性，易變現(xiàn)性等特性，數(shù)據(jù)安全問題尤為突出。在此背景下，為夯實銀行數(shù)字化轉型的安全底座，上海銀行提出了數(shù)據(jù)安全體系建設工作總體目標：對外滿足監(jiān)管合規(guī)和相關法律要求，對內滿足安全管理要求并兼顧業(yè)務使用需求，提升全行數(shù)據(jù)安全防護意識，完善上海銀行數(shù)據(jù)安全防護能力，防止信息泄露。建設工作具體從以下六個工作域開展，一是落實數(shù)據(jù)安全組織架構；二是完善數(shù)據(jù)安全管理制度；三是開展數(shù)據(jù)安全分類分級，制定數(shù)據(jù)分級管控策略；四是提升數(shù)據(jù)生命周期技術防護能力；五是制定可量化的數(shù)據(jù)安全能力指標；六是加強宣傳教育提升全員數(shù)據(jù)安全防護意識。整體管理框架如圖11所示。岡責康術能力指標猝模型日?；斯芾磙k法、策略、規(guī)定周邊關系安全風險控制人仃，銀保監(jiān)環(huán)境蟀初 傳輸數(shù)據(jù)生命周期防護框架使用共享 銷毀合規(guī)合法區(qū)域隔離授權審計加密傳輸分類分級 ■授權宙計岡責康術能力指標猝模型日常稽核管理辦法、策略、規(guī)定周邊關系安全風險控制人仃，銀保監(jiān)環(huán)境蟀初 傳輸數(shù)據(jù)生命周期防護框架使用共享 銷毀合規(guī)合法區(qū)域隔離授權審計加密傳輸分類分級 ■授權宙計加密存儲容災備份登錄授權I數(shù)據(jù)脫敏日志記錄I行為審計隱私平臺.內容■除］物理消懣數(shù)據(jù)安全運營框架開發(fā)階段 運維階段安全需求■安全設計■ ■ ■ ■ 日常監(jiān)測.態(tài)勢瀚.應急,應.事件溯源.宣貫削.檢查評估來源：上海銀行圖11上海銀行數(shù)據(jù)安全體系框架示意圖

?2.上海銀行數(shù)據(jù)安全建設實踐(1)組織架構分工明確，管理職責落實到各單位數(shù)據(jù)安全管理最大特點是安全和業(yè)務場景結合緊密。過往信息安全工作僅靠技術措施實施防護已無法達到數(shù)據(jù)安全保護要求，因此需要充分識別業(yè)務場景兼顧業(yè)務效率來制定對應落地安全管控策略。為此依照“誰管理，誰負責”原則我行在各單位設立數(shù)據(jù)安全崗，充分發(fā)揮該崗位業(yè)務和安全結合的特點，有效識別業(yè)務過程中數(shù)據(jù)安全風險場景，做好內部檢查和風險評估工作，保障本單位內數(shù)據(jù)安全合規(guī)。從整體組織架構來看，上海銀行數(shù)據(jù)安全管理已形成由信息安全領導小組統(tǒng)籌，總行數(shù)據(jù)管理與應用部組織推進，總行金融科技部提供技術支撐，總行人力資源部、法律合規(guī)部、審計部協(xié)同，各單位落實執(zhí)行的整體格局。具體如圖12所示。匯報數(shù)據(jù)安全協(xié)同法律合規(guī)部人力資源部零售板塊數(shù)據(jù)安全管理數(shù)據(jù)應用與管理部外部數(shù)據(jù)安全監(jiān)管棚勾外部數(shù)據(jù)安全服務與合作棚勾> 信息安全領導小組公司板塊網(wǎng)金板塊新興板塊迎基礎版塊匯報數(shù)據(jù)安全協(xié)同法律合規(guī)部人力資源部零售板塊數(shù)據(jù)安全管理數(shù)據(jù)應用與管理部外部數(shù)據(jù)安全監(jiān)管棚勾外部數(shù)據(jù)安全服務與合作棚勾> 信息安全領導小組公司板塊網(wǎng)金板塊新興板塊迎基礎版塊風險版塊各經(jīng)營單位各單囈據(jù)安全崗

落實內部數(shù)據(jù)安全管理來源：上海銀行圖12上海銀行數(shù)據(jù)安全組織架構示意圖(2)構建“1+5”數(shù)據(jù)安全制度體系規(guī)范管理，制度先行。上海銀行依照包括數(shù)據(jù)安全法、數(shù)據(jù)生命周期安全規(guī)范在內的國家、監(jiān)管相關法規(guī)要求制定《上海銀行數(shù)據(jù)安全管理辦法》。辦法中明確了包括組織架構管理、數(shù)據(jù)生命周期管理、數(shù)據(jù)分類分級、風險評估監(jiān)測、事件處置等在內的總體要求，并又細化制定了具體對應的操作規(guī)程，使后續(xù)全行開展數(shù)據(jù)安全管理工作有規(guī)可循。具體制度及邊界如圖13所示。

《上海銀行數(shù)據(jù)安全管理辦法》.完善幟.尙檢等級.制定數(shù)據(jù)生命周期各階段重要場景管控要求細則《上海銀行數(shù)據(jù)生命周期安

全管理規(guī)程》.每年例《上海銀行數(shù)據(jù)安全風險評

估規(guī)程》?《上海銀行數(shù)據(jù)安全管理辦法》.完善幟.尙檢等級.制定數(shù)據(jù)生命周期各階段重要場景管控要求細則《上海銀行數(shù)據(jù)生命周期安

全管理規(guī)程》.每年例《上海銀行數(shù)據(jù)安全風險評

估規(guī)程》?■新業(yè)務、新技術、新場景丿《上海銀硬歐全分類

分級管理規(guī)程》■《上海銀硬歐全分類

分級管理規(guī)程》■開破作流程《上海銀行外包數(shù)據(jù)安全管理規(guī)程》■外包人員O《上海銀行外包數(shù)據(jù)安全管理規(guī)程》■外包人員O要求■外包項目要求. 事件.確定 事程來源：上海銀行圖13上海銀行數(shù)據(jù)安全制度體系建立數(shù)據(jù)安全分類分級標準，逐步對業(yè)務系統(tǒng)實施落地管控開展數(shù)據(jù)分類分級是數(shù)據(jù)安全的核心基礎工作。上海銀行參照人行數(shù)據(jù)分類分級指引以重要數(shù)據(jù)、敏感數(shù)據(jù)、一般數(shù)據(jù)、公開數(shù)據(jù)為劃分原則在總行各業(yè)務條線內進行多輪梳理，確認重要數(shù)據(jù)范圍，建立包含273個子類、4個安全級別(由高到低)的數(shù)據(jù)安全分類分級目錄。通過對數(shù)據(jù)管理系統(tǒng)中業(yè)務元數(shù)據(jù)以AI技術+人工認定方式逐字段級進行分級認定，形成數(shù)據(jù)分類分級標準庫，為數(shù)據(jù)安全分級管控提供了基礎支撐?；诜诸惙旨墭藴实陌l(fā)布，行內對應用系統(tǒng)、終端APP內個人信息使用過程制定了分級管控措施。個人敏感信息在頁面展現(xiàn)、導出等用數(shù)環(huán)節(jié)通過分級授權訪問、數(shù)據(jù)來源：上海銀行來源：上海銀行圖14數(shù)據(jù)安全管控融入到需求開發(fā)全生命周期脫敏、禁止復制打印、下載加密、終端水印、記錄操作訪問日志等措施進行保護。遵循最小必要原則，對業(yè)務提數(shù)申請嚴格按照分類分級要求進行審批，避免個人敏感信息過度使用。通過配置個人敏感信息分級識別規(guī)則對外發(fā)郵件的主題、正文和附件內容進行實時檢查，一旦攔截必須通過授權放行。此外在整個業(yè)務需求開發(fā)流程中各重要環(huán)節(jié)添加對數(shù)據(jù)安全管控要點并覆蓋所有需求進行審核。整個安全管控流程如圖14所示。引入安全技術工具保護數(shù)據(jù)生命周期各階段，持續(xù)開展監(jiān)測審計經(jīng)過整體規(guī)劃，上海銀行制訂了數(shù)據(jù)安全技術能力框架，明確了安全技術演進路線：通過引入各類技術工具對數(shù)據(jù)生命周期各階段加強防護并持續(xù)開展監(jiān)測。具體包括數(shù)據(jù)采集階段的APP合規(guī)檢測、數(shù)據(jù)資產發(fā)現(xiàn)、數(shù)字證書等；傳輸過程中的通道加密、協(xié)議加密；存儲階段中的數(shù)據(jù)加密技術；數(shù)據(jù)使用階段的各類監(jiān)測、網(wǎng)關、DLP、準入、脫敏、水印等工具；刪除銷毀階段包括低格式化工具、物理消磁技術等。整個安全技術框架如圖15所示。隨著各類數(shù)據(jù)安全技術引入完善，行內將規(guī)劃建立全行級數(shù)據(jù)安全態(tài)勢感知平臺，通過接入各類異構安全系統(tǒng)日志信息以及各類監(jiān)測分析、操作審計數(shù)據(jù)，部署全局安全風控規(guī)則進行動態(tài)分析，有效感知內部數(shù)據(jù)安全風險并準確定位響應。來源：上海銀行APP合規(guī)檢測■數(shù)據(jù)資產發(fā)現(xiàn)來源：上海銀行APP合規(guī)檢測■數(shù)據(jù)資產發(fā)現(xiàn)■數(shù)字證書SSL/TLS協(xié)議加密智能脫敏1數(shù)據(jù)庫審計1文平臺1終端DLP■文件加密■水印API流量監(jiān)測1網(wǎng)關1IAM/AD1郵件DLP■終端秋■虛擬接入圖15上海銀行數(shù)據(jù)安全技術能力框架制定全面客觀的數(shù)據(jù)安全能力評估指標制定數(shù)據(jù)安全能力評估指標既符合上海銀行數(shù)字化轉型戰(zhàn)略要求，也符合《GB/T37988-2019信息安全技術數(shù)據(jù)安全能力成熟度模型》中4級標準的要求。參照指引要求，當前共制定發(fā)布了12項重點數(shù)據(jù)安全能力評估指標，用于衡量和體現(xiàn)數(shù)據(jù)安全的管理過程和結果。具體包括：對各單位數(shù)據(jù)安全管理工作的執(zhí)行情況及其效果進行客觀的度量;對數(shù)據(jù)生命周期包括采集、傳輸、存儲、使用和銷毀等階段建立核心評估指標；對各單位員工數(shù)據(jù)安全認知水平建立衡量指標。結合技術監(jiān)測工具，向各單位開展常規(guī)檢查和每年定期抽查，對檢查反饋材料按評估規(guī)則計算得出各項數(shù)據(jù)安全能力指標。加強宣傳教育，提升全員數(shù)據(jù)安全意識企業(yè)數(shù)據(jù)安全管理體系最關鍵因素——“人”，只有提升員工數(shù)據(jù)安全意識，逐步改變員工日常用數(shù)習慣，才能有效提升全行數(shù)據(jù)安全保護等級。上海銀行每年通過行報、電子大屏、終端屏保、線上直播培訓、在線答題考試線下主題活動等多種形式將外部法規(guī)、監(jiān)管要求、內部制度、相關案件事件、工作要求等進行全面科普和宣導。了（六）中原銀行J?1.中原銀行數(shù)據(jù)安全建設的背景與目標數(shù)字化時代業(yè)務環(huán)境更加開放，業(yè)務生態(tài)更加復雜，參與數(shù)據(jù)處理的角色也更多元化，系統(tǒng)業(yè)務組織的邊界都進一步模糊，使數(shù)據(jù)的產生、流動、處理等過程比以往更加豐富和多樣。信息安全的保護目標包括：非授權人員進不來，進來了拿不走，越權訪問看不懂，內部信息無法篡改，做了壞事跑不掉，基本上可以歸納為防泄露、防攻擊和事后可追溯等幾個方面。數(shù)據(jù)安全的目標主要包括：既要防止外部攻擊竊取數(shù)據(jù)，又要防止內部誤操作泄露數(shù)據(jù)，并且在觸發(fā)數(shù)據(jù)安全風險事件的時候，可以有效追溯到事件的關聯(lián)方，可以還原事件的行為鏈路。?2.中原銀行數(shù)據(jù)安全管理體系為落實并完善數(shù)據(jù)安全管理組織的職責分工，中原銀行基于業(yè)內安全管理組織及數(shù)據(jù)安全組織搭建的通用實踐，并且遵循行內現(xiàn)有數(shù)據(jù)治理相關組織架構框架的相關要求，沿襲數(shù)據(jù)治理組織架構的一些建設框架，設計并制訂了數(shù)據(jù)安全管理的組織架構，如圖16所示。圖16中原銀行數(shù)據(jù)安全組織架構組織架構在建設時遵循三個原則：第一，符合國家和監(jiān)管的政策法規(guī)；第二，總體要求相對集中、分級管理、專業(yè)分工、職責明晰；第三，風險審計和安全管理相互分離、相互制約。數(shù)據(jù)安全管理的組織架構，按照戰(zhàn)略層、決策層、管理層、執(zhí)行層和監(jiān)督層的設計原則，明確各相關方在數(shù)據(jù)安全治理活動中的職責。其中管理層主要是指數(shù)據(jù)管理委員會，包括科技和業(yè)務的一些主要部門作為委員會的常規(guī)成員。執(zhí)行層主要落腳于金融科技條線的相關部門，包括金融科技部、數(shù)據(jù)信息部、科技風險三道條線。除此之外，行內各部門配備數(shù)據(jù)管家，負責在日常數(shù)據(jù)安全管理的過程中提供管理或技術上的支持，保證數(shù)據(jù)安全的各類要求可以快速上傳下達。中原銀行在數(shù)據(jù)采集、數(shù)據(jù)使用、數(shù)據(jù)傳輸?shù)冗^程中，初步形成了相關的管理要求。數(shù)據(jù)采集包括從個人信息主體處和從外部機構采集兩個部分，總體遵循知情同意原則。在從個人信息主體采集的時候，通過隱私政策獲取客戶的明示同意。相機、位置等手機權限獲取時，會單獨征得客戶同意，信息采集按照最小必要原則開展。在從外部機構采集的時候，首先需要完成第三方機構的資質評估，確保數(shù)據(jù)來源的合法正當，確保數(shù)據(jù)采集的范圍符合金融類業(yè)務經(jīng)營分析反欺詐分析等所必須。數(shù)據(jù)使用方面，行內的生產數(shù)據(jù)脫離生產環(huán)境，原則上必須經(jīng)過數(shù)據(jù)提取流程審批后才能進行。數(shù)據(jù)提取需要經(jīng)過數(shù)據(jù)申請方、數(shù)據(jù)所有者、提出腳本編寫方、生產變更終端管理責任方和安全的團隊綜合審批。數(shù)據(jù)傳輸過程中，需要對數(shù)據(jù)內容、數(shù)據(jù)量、數(shù)據(jù)加密算法等方面進行評估，檢查是否符合安全要求。? 3.中原銀行數(shù)據(jù)安全技術體系中原銀行已初步形成數(shù)據(jù)安全技術框架，如圖17所示。其中包括數(shù)據(jù)采集、數(shù)據(jù)傳輸、數(shù)據(jù)存儲、數(shù)據(jù)使用、數(shù)據(jù)刪除與銷毀等全生命周期的數(shù)據(jù)安全管控體系。?數(shù)據(jù)采集方面，我行建立了數(shù)據(jù)資產管理平臺，實現(xiàn)數(shù)據(jù)安全分析結果的線上化，并開發(fā)推廣密碼加密的安全組件，實現(xiàn)用戶輸入的及時加密，保證端到端的數(shù)據(jù)安全傳輸。?數(shù)據(jù)傳輸方面，數(shù)據(jù)在通過不可信或較低安全性網(wǎng)絡進行傳輸?shù)臅r候，容易發(fā)生數(shù)據(jù)被竊取、篡改、偽造等安全風險，因此需要建立相應的安全防護措施，保證數(shù)據(jù)在傳輸過程的安全性。加密是保證數(shù)據(jù)傳輸安全性的一個常用手段，但不同的加密手段會導致對資源的消耗，對數(shù)據(jù)接口吞吐量以及響應速度等方面造成一些影響。在實際的執(zhí)行過程中，我行結合數(shù)據(jù)的敏感級別以及業(yè)務場景來明確定義加密傳輸?shù)姆绞胶退惴?。此外，針對移動介質、智能設備等接入終端，也需要經(jīng)過準入進行控制，保證傳輸媒介也是安全的。?數(shù)據(jù)銷毀階段方面，當數(shù)據(jù)的使用生命周期已經(jīng)結束，我行配備消磁儀、配置數(shù)據(jù)清理流程實現(xiàn)已經(jīng)結束生命周期的數(shù)據(jù)銷毀。?基于數(shù)據(jù)安全體系框架，中原銀行已經(jīng)初步形成了數(shù)據(jù)安全運營的機制，包括風險識別、數(shù)據(jù)保護、風險監(jiān)測、協(xié)同響應四個標準的安全運營階段。?風險識別階段，主要通過數(shù)據(jù)分級分類、數(shù)據(jù)傳輸通道梳理等手段，以及相關的一些技術管理手段，實現(xiàn)數(shù)據(jù)采集及傳輸階段的數(shù)據(jù)安全風險識別。?數(shù)據(jù)保護，主要通過加密存儲、訪問權限控制、透明平臺、數(shù)字水印等手段，提升數(shù)據(jù)存儲及使用階段的數(shù)據(jù)保護能力。?風險監(jiān)測階段，主要通過建設SOC平臺、應用流量分析平臺、數(shù)據(jù)安全智能感知平臺、終端用戶行為分析平臺等系統(tǒng)，實現(xiàn)數(shù)據(jù)非法使用的風險分析及監(jiān)控。?協(xié)同響應階段，主要通過預警通告、調查取證以及數(shù)據(jù)安全管理體系里數(shù)據(jù)安全干系人（例如數(shù)據(jù)管家、合規(guī)專員）流程的協(xié)同，實現(xiàn)數(shù)據(jù)安全協(xié)同的運營及事件閉環(huán)處置。來源：中原銀行圖17中原銀行數(shù)據(jù)安全技術體系?4.中原銀行數(shù)據(jù)安全技術規(guī)劃中原銀行在進行數(shù)據(jù)安全體系建設規(guī)劃的時候，主要踐行以安全合規(guī)為紅線，充分借鑒現(xiàn)有的數(shù)據(jù)安全標準，結合行內的實際業(yè)務場景，依托數(shù)據(jù)治理的項目成果，全面開展數(shù)據(jù)全生命周期的建設。建設體系里以治理方針作為前提指導，建設過程中以業(yè)務目標為導向，針對合規(guī)高風險領域和業(yè)務需求緊迫度比較高的領域，優(yōu)先開展數(shù)據(jù)安全的治理。中原銀行堅持組織建設先行，職責明確為工作開展的基礎，人員能力提升為工作落實進行保障；堅持制度先行，進一步明確各類的流程操作指引；堅持技術能力和管理機制同步建設，為管理效率提升提供保障；堅持通過風險評估、成熟度持續(xù)評估等手段去優(yōu)化體系。數(shù)據(jù)安全治理的核心是保障數(shù)據(jù)采集、傳輸、存儲、使用、交換、銷毀等全數(shù)據(jù)安全生命周期流程的安全可控。在數(shù)據(jù)安全管理及技術體系中介紹的組織保障、人員能力提升、制度體系建設規(guī)劃的評價和改進、數(shù)據(jù)識別保護監(jiān)測響應平臺等，都是為了保障全流程的安全提供支撐。團隊培養(yǎng)、業(yè)務數(shù)據(jù)安全、數(shù)據(jù)合法合規(guī)是數(shù)據(jù)安全體系規(guī)劃的指導方針；數(shù)據(jù)資產管理、數(shù)據(jù)服務能力、數(shù)據(jù)安全感知、數(shù)據(jù)安全運營是數(shù)據(jù)安全體系規(guī)劃的基礎保障；數(shù)據(jù)全流程各個場景下的保護是數(shù)據(jù)安全體系建設的核心。數(shù)據(jù)安全相對獨立，但是又與安全體系中其他層級，例如應用安全，網(wǎng)絡安全等息息相關，數(shù)據(jù)安全向其他各安全域輸出相關的安全要求。同時，各應用系統(tǒng)、網(wǎng)絡邊界、安全組件建設過程中，也為數(shù)據(jù)安全落地提供了強有力的支撐。安全建設遵循木桶原理，需要各個層面統(tǒng)籌規(guī)劃，保證同步規(guī)劃、同步建設、同步使用。中原銀行在已結束生命周期的數(shù)據(jù)銷毀、數(shù)據(jù)全生命周期畫像、數(shù)據(jù)使用鏈路精細化分析等方面介入還不夠深入，有待未來更進一步的研究。數(shù)據(jù)安全管控工作需要持續(xù)提升安全防護能力，為我行的數(shù)字化轉型提供保駕護航。二、證券期貨業(yè)數(shù)據(jù)安全治理體系建設與實踐F（一）華泰證券』隨著數(shù)字化轉型不斷深化，數(shù)據(jù)作為核心要素充分釋放價值，不斷促進業(yè)務與技術深度融合，在推動業(yè)務創(chuàng)新、提升客戶體驗、降低運營成本、增強協(xié)同合作等方面發(fā)揮著積極作用。與此同時，新技術快速迭代、海量數(shù)據(jù)匯聚融合、數(shù)據(jù)應用場景日益豐富，也給企業(yè)數(shù)據(jù)安全帶來了新的挑戰(zhàn)。為保障數(shù)字經(jīng)濟的健康有序發(fā)展，提高數(shù)據(jù)安全風險防控能力，以《數(shù)據(jù)安全法》《個人信息保護法》為代表的一系列法律法規(guī)相繼落地實施，標志著國內數(shù)據(jù)安全領域已進入強監(jiān)管新階段。面對日趨嚴峻的合規(guī)要求及數(shù)字化場景下的新型安全挑戰(zhàn)，華泰證券開展了新一輪的數(shù)據(jù)安全治理工作，讓數(shù)據(jù)能夠安全高效有序流通，充分發(fā)揮數(shù)據(jù)價值。?1.華泰證券數(shù)據(jù)安全治理體系建設思路（1）厘清數(shù)據(jù)安全風險，明確安全治理方向證券行業(yè)是產生和積累數(shù)據(jù)量最大、數(shù)據(jù)類型最豐富的領域之一，隨著證券行業(yè)數(shù)字化轉型、深化，證券業(yè)數(shù)據(jù)有著更加廣泛的應用場景、應用范圍，有著更高的應用價值。隨著證券業(yè)數(shù)據(jù)的價值日益凸顯，數(shù)據(jù)非法采集、數(shù)據(jù)販賣、數(shù)據(jù)篡改、數(shù)據(jù)攻擊、數(shù)據(jù)權限濫用等安全問題也層出不窮。如何更加安全地保障企業(yè)的數(shù)字化轉型，降低數(shù)據(jù)安全風險，釋放數(shù)據(jù)價值，成為了諸多轉型企業(yè)中的重點工作。面對新形勢帶來的安全挑戰(zhàn)，華泰證券積極應對，從外部攻擊風險、內部數(shù)據(jù)濫用風險、外部渠道數(shù)據(jù)泄露風險三個方面，厘清當前面臨的數(shù)據(jù)安全風險，梳理的風險點覆蓋管理體系、制度流程、技術手段、運營機制四個層面。面對上述的數(shù)據(jù)安全風險，華泰證券開展了新一輪的數(shù)據(jù)安全治理工作。從完善數(shù)據(jù)安全制度管理體系、建立數(shù)據(jù)安全風險評估機制、建設分層分級的數(shù)據(jù)權限管控體系、提升數(shù)據(jù)安全風險監(jiān)測和響應能力、強化外部渠道數(shù)據(jù)泄露跟蹤調查能力五個方面著手，全方位保護公司重要數(shù)據(jù)資產以及客戶信息，為公司數(shù)字化轉型保駕護航。

(2)構建數(shù)據(jù)安全治理體系，夯實數(shù)字化轉型基礎華泰證券從頂層明確公司數(shù)據(jù)安全管理戰(zhàn)略，強化公司數(shù)據(jù)安全管理體系，以貫徹國家網(wǎng)絡空間安全戰(zhàn)略、滿足政策合規(guī)要求、統(tǒng)籌全體系數(shù)據(jù)安全為目標，推進公司整體安全管控水平不斷提升，為業(yè)務發(fā)展保駕護航。華泰證券以數(shù)字化轉型戰(zhàn)略為指引，以數(shù)據(jù)安全管理為保障，以技術體系為支撐,建立了覆蓋數(shù)據(jù)全生命周期的企業(yè)級數(shù)據(jù)安全治理體系，如圖18所示。華泰證券對標國家行業(yè)標準，并結合自身數(shù)據(jù)安全戰(zhàn)略、數(shù)據(jù)安全管理體系，建立了基于數(shù)據(jù)全生命周期的數(shù)據(jù)安全管理三層框架體系，從管控層、技術支撐層、運營層三個維度開展數(shù)據(jù)全生命周期安全管理工作。貫徹國家網(wǎng)絡空間安全戰(zhàn)略 滿足政策合規(guī)性要求 統(tǒng)籌全體系數(shù)據(jù)賣全支撐法律法規(guī)要求個人信息保護法公司數(shù)據(jù)盅全管理辦法散據(jù)全生命周期安全規(guī)范吾美數(shù)據(jù)安全管理SB則財瞥數(shù)據(jù)采集數(shù)璃存儲敖據(jù)傳輸數(shù)據(jù)使用散據(jù)共享數(shù)據(jù)銷體法律法規(guī)要求個人信息保護法公司數(shù)據(jù)盅全管理辦法散據(jù)全生命周期安全規(guī)范吾美數(shù)據(jù)安全管理SB則財瞥數(shù)據(jù)采集數(shù)璃存儲敖據(jù)傳輸數(shù)據(jù)使用散據(jù)共享數(shù)據(jù)銷體數(shù)據(jù)安全運營M險防范皿控預警敬據(jù)蠱全策略制定敬據(jù)盅全評估敬據(jù)蠱全意識宣貫數(shù)據(jù)監(jiān)測敬據(jù)響應數(shù)據(jù)地置事件應急演皺事件應急響度及處置問題箕盤及整改來源：華泰證券圖18華泰證券數(shù)據(jù)安全治理體系(3)共享行業(yè)經(jīng)驗，共建數(shù)據(jù)安全生態(tài)華泰證券作為中國信通院數(shù)據(jù)安全推進計劃成員單位，積極參與行業(yè)數(shù)據(jù)安全交流，分享數(shù)據(jù)安全治理經(jīng)驗，參加業(yè)界數(shù)據(jù)安全相關標準建設工作，如參與編寫《證券期貨業(yè)數(shù)據(jù)安全風險防控數(shù)據(jù)分類分級指引》，共同推進行業(yè)數(shù)據(jù)安全生態(tài)建設。?2.華泰證券數(shù)據(jù)安全治理體系建設實踐華泰證券嚴格按照國家《數(shù)據(jù)安全法》《個人信息保護法》等法律法規(guī)、行業(yè)規(guī)范和監(jiān)管規(guī)定落實數(shù)據(jù)安全相關工作，通過建立健全數(shù)據(jù)安全管理機制，基于“制度、組織、人員、技術”為核心的管理框架，規(guī)范數(shù)據(jù)處理活動，強化公司經(jīng)營活動中相關數(shù)據(jù)處理的合法合規(guī)性，從數(shù)據(jù)安全管理體系、數(shù)據(jù)安全技術體系、數(shù)據(jù)安全運營體系等方面推進數(shù)據(jù)安全治理實踐，打造證券行業(yè)數(shù)據(jù)安全治理標桿。建立規(guī)范化的數(shù)據(jù)安全管理體系華泰證券從數(shù)據(jù)安全組織架構、數(shù)據(jù)安全制度體系兩個方面開展數(shù)據(jù)安全治理工作以滿足監(jiān)管要求以及風險管理需要。組織架構方面，華泰證券建立了完備的數(shù)據(jù)安全組織架構體系，設立公司數(shù)據(jù)治理委員會，在經(jīng)營管理層的領導下，負責統(tǒng)籌和領導數(shù)據(jù)安全工作；數(shù)據(jù)治理委員會下轄數(shù)據(jù)安全與個人信息保護工作小組，由信息技術部門、業(yè)務部門、合規(guī)風控部門派員參與，多部門協(xié)同推進數(shù)據(jù)安全工作，將數(shù)據(jù)安全責任落實到每個部門、每個業(yè)務、每個系統(tǒng)和每個員工。加強數(shù)據(jù)安全人才培養(yǎng)，建立起一支具備數(shù)據(jù)安全管理、數(shù)據(jù)安全建設、數(shù)據(jù)安全運營等專業(yè)安全能力的自有人才隊伍。制度體系方面，華泰證券深入研究國家關于數(shù)據(jù)安全、個人信息保護相關的法律法規(guī)和標準，結合公司實際情況，建立了公司的數(shù)據(jù)安全三層制度體系，包括：頂層的公司級數(shù)據(jù)安全管理辦法、圍繞數(shù)據(jù)全生命周期的安全管理規(guī)范、以及細化的各類數(shù)據(jù)安全細則，對數(shù)據(jù)安全管理職責分工、數(shù)據(jù)全生命周期安全保護要求、個人信息保護要求、數(shù)據(jù)安全實施細則等進行了明確，實現(xiàn)對數(shù)據(jù)全生命周期安全防護保障以及對數(shù)據(jù)安全管理和運營的支撐。建設覆蓋數(shù)據(jù)全生命周期的數(shù)據(jù)安全技術體系華泰證券以防范外部數(shù)據(jù)竊取、防范內部數(shù)據(jù)濫用和防范外部渠道泄露為抓手，依托數(shù)據(jù)安全可視化能力、數(shù)據(jù)安全運營能力、數(shù)據(jù)安全平臺能力，構建公司數(shù)據(jù)安全三層技術體系，如圖19所示，進一步加強數(shù)據(jù)安全保護能力，防范信息泄露。來源：華泰證券圖19華泰證券數(shù)據(jù)安全技術體系數(shù)據(jù)安全平臺能力，基于IPDR框架，部署各類數(shù)據(jù)安全技術手段，覆蓋網(wǎng)絡、平臺、應用、終端，形成事前、事中、事后的數(shù)據(jù)安全技術能力，并通過各技術能力組合形成風險識別、安全評估、安全防御、安全監(jiān)測、安全響應五大服務能力。數(shù)據(jù)安全運營能力，包括數(shù)據(jù)安全管理、能力運營、策略管理、安全事件分析四個方面。數(shù)據(jù)安全管理方面，通過深度分析各類法律法規(guī)和標準，形成數(shù)據(jù)安全基線和風險矩陣，為能力運營、策略管理和安全事件分析提供指引。能力運營方面，基于數(shù)據(jù)安全平臺能力，開展安全評估、安全監(jiān)測、安全檢測和應急處置。策略管理方面，根據(jù)公司數(shù)據(jù)安全態(tài)勢，動態(tài)調整數(shù)據(jù)安全管控策略，保障數(shù)據(jù)安全高效流轉。安全事件分析方面，對數(shù)據(jù)安全告警、數(shù)據(jù)流轉記錄、用戶行為日志等進行分析溯源，發(fā)現(xiàn)數(shù)據(jù)安全風險。數(shù)據(jù)安全可視化能力，基于數(shù)據(jù)安全平臺能力和運營能力，繪制展示公司數(shù)據(jù)地圖、數(shù)據(jù)流向圖，依托態(tài)勢感知能力展現(xiàn)數(shù)據(jù)安全風險態(tài)勢、用戶行為畫像。圖20華泰證券數(shù)據(jù)安全評估基線化方案實施精細化的數(shù)據(jù)安全運營體系華泰證券從風險防范、監(jiān)控預警、應急處置三個方面，構建“感知風險、看見威脅、抵御攻擊”的數(shù)據(jù)安全運營體系，為公司數(shù)字化轉型保駕護航。風險防范，采用“基線化”+“工程化”+“技術化”理念，以法律法規(guī)、行業(yè)標準、實踐指南