中小银行数据安全治理研究报告

来源 | 安全牛、谷安研究院、通付盾

随着金融科技和数据驱动的银行业务数字化转型因疫情而提速，同时由于自身科技能力、数据安全治理策略、方法和成熟度存在严重滞后，我国中小银行数据安全风险已经进入“深水雷区”，危机四伏，一触即发。近日，由多家研究机构联合编写的《中小银行数据安全治理报告》（以下简称《报告》）显示，虽然92.5%的银行已经开展了数据安全治理工作，但是，采用成熟的国际方法论（业内最佳实践：GartnerDSG）的居然是0%。

《报告》主体架构分为概述、数据安全治理环境、数据安全治理方法、数据安全治理运维、数据安全防护工具等，力求覆盖到数据安全治理的主要方面。报告通过对数字安全领域技术企业进行调研，分享了专业数据安全技术公司在数据安全治理体系建设和技术工具应用方面的知识与经验，为银行开展和完善数据安全风险管控提供建设性意见和方案。

《报告》还发现，60%的银行没有全行层面的数据安全保护策略，25%的银行对数据进行了全面的梳理，12.5%的银行全面识别了数据安全的风险点。

随着《中华人民共和国网络安全法》、《银行业金融机构数据治理指引》、《个人金融信息保护技术规范》等法律法规的发布，银行的数据安全面临着重大的法律风险，同时，数据价值驱使银行越来越广泛的使用数据来支持甚至引领业务的发展，安全用数的需求十分强烈。

《报告》指出，目前中国中小银行数据安全治理的总体态势存在三大短板：
一、数据安全体系建设成效参差不齐；
二、未遵循科学的方法论；
三、知识和能力不足。

报告通过收集整理中小银行数据安全治理的现状，分享专业数据安全技术公司在数据安全治理体系建设和技术工具应用的知识与经验，为银行开展和完善数据安全风险管控提出十点建议。以下为报告内容摘要：

报告研究与分析的范围

中小银行数据安全治理的总体态势：三大短板

1、对数据安全治理的重视程度高，但是数据安全体系建设的成效参差不齐；

1) 高达97.5%的银行领导对数据安全给与了较高的重视，对数据安全主管人员产生了积极的影响。

2) 60%的银行没有全行层面的数据安全保护策略，25%的银行对数据进行了全面的梳理，12.5%的银行全面识别了数据安全的风险点。

统计数字表明，中小银行的数据安全治理建设刚刚起步，任重而道远。

2、银行纷纷开展数据安全治理，但是未遵循科学的方法论；

采用科学的、正确的方法，才能少走弯路，更容易成功。通过调研发现，92.5%的银行已经开展了数据安全治理工作，但是，采用成熟的国际方法论（业内最佳实践：GartnerDSG）的居然是0%。尽管银行可以自由地采用适合本行的方法，但是这一惊人的数字也一定程度地表明了大部分银行对数据安全治理领域的方法论是不了解的。这些银行很可能在错误的方向上越走越远，重复投资。

3、知识和能力的不足，是数据安全治理和管理的最大隐患。

数据安全治理是一项管理和技术相结合的工作，而且需要公司治理、风险管理、外包管理、业务连续性等综合知识。中小银行在数据安全治理岗位设置上通常存在人员数量不足的情况，而缺少数据安全治理专业技能的培训，则更为常见。中小银行必须格外重视对专业团队的培养，才能形成数据安全风险管控的长效机制。

中小银行数据安全治理的四大问题：

认为数据安全治理是科技部门工作

数据安全治理的核心工作是数据梳理，包括对数据库和电子文件的整理、设计和实施安全防控的时候会部署数据安全保护工具，从这些工作内容来看，数据安全治理的确带有“科技”属性，很多银行的数据安全治理由科技部门牵头也是合理的。但是，数据安全级别的认定、数据安全风险的识别、数据泄露渠道的防护等等，都是与业务部门和管理部门密切相关的，简言之，数据安全治理是一项全行性的活动，必须在银行领导的指导下，全行一致行动，才能取得成功。

未采用正确的工作方法

不少的银行紧跟监管指引，在人行和银保监会的指导下开展工作，这是正确的。但是，基于目前监管部门并未发布明确的、完整的、成体系的数据安全治理方法，有些银行的行动表现出片面性和盲目性。有限的数据梳理、基于经验的风险识别、未能有效使用的防护工具、缺失的运营管理等等，将导致银行既无法对当前的数据安全风险有效防控，而且在将来的体系建设中重复投资，造成浪费。

数据安全治理人才极度匮乏

调研结果显示，拥有数据安全治理专业资格认证的人员只占15%。绝大部分银行的数据安全治理岗是由科技安全岗位转岗或兼岗，这些人员的技术性强于管理性，对数据安全治理的知识储备不足，没有掌握建设数据安全风险评估、体系建立、体系运营的能力，无法保障数据安全治理的成效。

数据安全防护技术和工具不适合

数据安全治理的成果落地，一部分体现在数据安全保护技术和工具的实施上。数据安全保护技术和工具至少包括IAM、数据脱敏、数据防泄漏、数据加密、数据库审计、数据库防火墙、数据库运维管理、用户行为分析、数据资产梳理等，不同厂商的工具在功能上和性能上也有较大的差异，银行在工具选型上确实面临较大的困难，选择了并不适合本行需求的工具，导致数据安全防护的效果不佳。

中小银行数据安全治理的十点建议

本报告的建议是基于调研结果、课题组专家对中小银行的了解、对数据安全治理的了解、对数据安全防护产品的了解给出的。由于银行的数据安全治理情况各异，建议不可能适用于所有银行，所以，仅供银行参考。

1、缺少银行领导的直接指导，数据安全治理难以成功。强烈建议银行领导在项目方案阶段、项目启动阶段、重大项目里程碑阶段、项目完成阶段，听取汇报并给出指导意见。尤其是在项目启动阶段，银行领导必须要求所有部门支持和配合数据安全治理工作。

6、以重点数据为突破口，建立完善的数据安全治理体系。全面的数据梳理是银行的总体目标，但是需要投入较长的时间和较多的人力，影响数据安全体系建设的速度。所以，选取最重要的数据为突破口，以此为数据基础，搭建数据安全治理的整体框架，是行之有效的方法。

7、全面识别数据安全风险，防止木桶效应。数据安全风险的识别是基于数据的生命周期来分析和判断的，科技人员凭借经验就能够指出明显的安全风险点，但是，没有识别出全面的数据风险，就可能导致敏感数据通过其他渠道泄露，如同木桶效应。

8、整体评估数据安全防护技术和工具的需求，按照优先级逐步完善。银行都需求哪些数据安全防护技术和工具？对这些技术和工具的功能和性能的要求是什么？哪些需求立刻部署哪些可以暂缓？银行在获得这些问题的答案之后，才能够制定出合理的方案。

9、制定数据安全管理运维体系，循环优化。数据安全防护的控制体系由阻止、探测、响应、预测四个部分组成，并不断的优化，以达到持续有效的防护效果。建立数据安全管理运维体系可以保障四部分的持续优化，形成数据安全保护的长效机制。

10、加强数据安全意识教育，形成银行的数据安全保护文化。数据安全的文化建设是一个长期的过程，数据安全意识教育是文化建设的关键手段，形式多样、内容丰富的意识教育能够加速员工对数据安全的深入理解，起到很好的效果。

数据安全区块链KeyChain结构图

3. 国密加密体系

客户端（电子签名法要求）使用SM2节和随机数算法生成本地公私钥对，私钥基于用户逻辑密码（手势密码）加密存储在本地（加密后私钥也会发往云端一份，便于应用重新安装后从云端更新，使逻辑完备），公钥会发往云端用于验签（身份认证）。安全性源自椭圆曲线公钥密码算法，数学基础保证加密安全。

通付盾数字身份认证解决方案区别于一般的身份认证产品，主要基于去中心化的区块链技术，同时结合了通付盾设备指纹、时空码等多项专利技术，以及PKI、数字签名等安全技术，实现了安全扫码、重要信息确认、手势密码认证、人脸识别、指纹识别等在内的多种身份认证方式，确保数据保护可信、可追溯，安全强度达到准U盾级，产品技术获得国密局商密资质、公安部eID接入认证等国家级重要资质认证。

伴随着移动互联网的快速发展，用户身份认证的方式也在不断演变。从最初的帐号密码到动态令牌、U盾、短信验证码，再到指纹、面容等生物特征认证，开发者和用户对身份认证的需求不再仅仅聚焦于最基础的安全性需求，便捷、隐私和规范性的兼顾，也成为重要的身份认证需求，通付盾将不断加强技术创新和服务完善，为更多中小银行数据安全治理保驾护航！

美创科技数据脱敏和数据库安全审计

研究报告中，美创科技重点参与了中小银行数据脱敏和数据库安全审计的部分。中小银行相比于大型银行，数据安全的重视程度并不低，但整个数据安全治理体系建设的成效有比较大差距，部分中小银行数据安全治理尚处在刚刚起步阶段。根据研究报告对中小银行数据安全治理的建议，中小银行需要从管理、制度、流程、人员、工具等多个维度进行体系化建设。

其中，中小银行数据管理、制度、流程、人员层面问题可以引入专业的咨询机构辅助体系化开展，数据安全内外部攻击及数据安全防护工具的有效使用层面，结合十数年为银行、保险、证券等金融机构提供数据安全整体方案的经验给出如下建议：

全面梳理，明确保护对象

一直以来，金融数据是所有行业质量最高的个人识别信息（PII）和最为完备的个人财物信息（PFI），处于数据价值链的顶端。随着中小银行数字化转型及业务增加，数据量剧增，包括客户身份信息、家庭住址、电话、信贷情况等大量的敏感数据分布在不同的业务系统之中。

而要保护这些敏感数据，首先需要明确哪些是敏感数据？敏感数据在哪里？敏感程度又是怎么样的？只有在明确数据含义、完成敏感数据发现的基础上，才能开展相应的数据安全防护措施。

因此，需要全面梳理、准确识别敏感信息，根据敏感程度进行分类、分级，从而采取针对性安全防护策略。

美创暗数据发现产品能够对多种数据源进行接入，全面捕获元数据信息、智能解析数据类型和含义、自动发现数据内部关系，并按照业务模板对数据进行分析，帮助中小银行用户将不可理解的数据自动化、智能化的转化为可认知的、分类有序的数据，并以可视化的方式呈现，最终帮助用户明确敏感数据保护对象。

内外部数据安全风险分析

根据《JRT0171-2020个人金融信息保护技术规范》中数据的范围为个人金融信息，数据生命周期定义为收集、传输、存储、使用、删除、销毁等环节，其中每个环节都存在数据安全风险。如：内部人员违法访问业务系统获取用户信息；开发测试环境中敏感数据外泄；数据传输过程被窃取等。

风险评估是数据安全管理的中轴线，承接组织战略和目标，并指导安全如何进行保护、检测、响应和恢复。因此在第一步明确了数据保护对象之后，银行需要从内部和外部多维度全面开展具备针对性的数据安全风险分析工作，了解当下数据生命周期各阶段的敏感数据安全保护工作都做了哪些？做到了什么样的程度？是否还存在风险点？等等。

美创科技基于数字风险管理CARTA模型，制定具备持续自适应风险与信任评估过程的数据安全风险评估方案。方案从以数据为中心的控制措施组合以及场景的控制措施等维度出发，进行差距分析，全面评估组织的数据安全能力，旨在准确指导数据安全建设工作，满足商业经营和安全运营的双重诉求。

金融数据安全合规性指引

金融行业一直以来都是强监管行业，金融数据安全工作更是重中之重，《中华人民共和国网络安全法》、《网络安全等级保护》、《关键信息基础设施保护》、《金融行业信息系统信息安全等级保护实施指引》、《数据安全管理办法》、《金融机构计算机信息系统安全保护工作暂行规定》、《中国人民银行计算机安全管理暂行规定（试行）》等一系列的法规制度均对中小银行的数据安全工作提出明确要求。

美创科技研究参考了大量金融数据相关法律法规与国内外标准，吸取了一些标准的基本思路和主要方法，并结合多年的数据安全工作经验，梳理出一整套金融数据安全合规性指引指南，旨在帮助中小银行更好地开展数据安全合规性建设工作。

数据安全保障技术选择

在明确保护对象、风险现状之后，在合规性指引之下，最后就是技术和工具的选择，当前，数据安全工具的品类众多，如数据脱敏、数据库加密、数据库审计、数据库防火墙、文档加密等。但“罗马不是一日可建成”，对于中小银行，数据安全的建设工作并非一蹴而就的，还需要平衡业务和安全建设的重心，因此往往采用分阶段进行。那么，此时确定数据安全工作前提保障和重心就非常关键。

无论是从《个人信息安全规范》、《个人信息去标识化指南》、《个人金融信息保护技术规范》还是从银行的业务实践来看，做好信息屏蔽，也就是数据脱敏工作为重中之重。特别是当前随着金融开放和数字化应用的潮流，数据开放共享场景也愈加广泛，更加要求中小银行在发挥数据价值的同时做好在流动的数据安全保护。

美创自主研发的数据脱敏平台，可实现自动化发现源数据中的敏感数据，并对敏感数据按需进行漂白、变形、遮盖等处理，避免敏感信息泄露。同时又能保证脱敏后的输出数据能够保持数据的一致性和业务的关联性。在涉及安全、保密等因素及不违反系统规则情况下，美创数据脱敏系统通过脱敏规则进行数据变形，克隆一份“高保真”的假数据，实现敏感隐私数据的可靠保护。美创数据脱敏系统广泛适用于在开发测试、第三方数据共享、数据分析等场景，能够满足金融行业所要求的广泛的脱敏数据源支持，脱敏高效率，脱敏过程不落地，以及脱敏数据的高可用性等要求。

其次，无论从行业标准、等保2.0规定，还是金融机构内部管理要求，审计都是必不可少的一部分。可以说数据库审计技术在银行领域已经应用十分广泛的需求，特别是《网络安全法》第三章网络运行安全的第二十一条中明确规定：“（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；”这也意味着审计信息需要被当作一项资产进行有效管理，便于事中及时发现问题，事后及时进行追溯。在监控与审计部分要求，应识别并记录包括但不限于管理员用户、业务用户对个人金融信息的访问。数据库审计工具的重要性，显而易见。

通过美创数据库审计系统，中小银行可以实现全面审计数据库中的各种访问行为，精确审计到操作人、操作工具、终端。不会因为执行语句过长或者链接太短，导致审计信息不完整或者漏审，并且能够在海量业务访问操作中，快速分析检索，提供实时的分析结果，为告警提供支撑，避免出现延迟分析等状况。一旦发生数据库信息泄漏事件，美创数据库审计系统可以准确定位业务数据库的操作人，责任人。另外，美创数据库审计系统报表增加业务视角，进行展示，做到技术人员和管理人员都能够理解，同时满足监管需求。

除脱敏和审计之外，美创科技针对中小银行的数据安全治理工作特点，提供以敏感数据保护为核心，贯穿事前防范、事中阻断、事后审计的金融数据安全解决方案，帮助中小银行用户构筑健全的数据安全保障体系。

安御道合数据加密传输

安御道合重点参与了调研的数据中密传输部分，敏感数据的加密传输，是数据安全保护的一个重要领域。监管要求明确规定，对银行的敏感数据要进行加密传输。

安御道合认为：数据安全是信息安全的核心目标，组织通过边界防护、内部管理、业务安全等不同层面，为实现数据安全而努力。在越来越广泛的云应用的趋势下，数据不再是孤立和私有的，共享及非孤岛化对数据安全的发展提出新的要求，物联网技术和大数据技术的发展，将进一步扩大数据对我们生活的影响。

随着物联终端的普及和5G技术的商用，网络将为我们构建一个平行的社会，数据安全就是这个新的信息社会的保障。数据安全不再是单纯的信息安全问题，而是涉及每一个人的生存安全问题。

数据的边界在哪里？如何界定虚拟世界内的数据边界，是需要重点要解决的问题。我们认为数据边界就是密钥，即密钥部署在哪里，哪里就是城墙，哪里就是边界。

安御道合结合多年为银行等金融机构提供数据安全整体方案的经验分析如下方面：

技术应用的核心需求

金融行业，因其数据的高敏感性，对数据传输安全需求迫切，行业监管力度也非常大。因此银行都格外重视该项工作，中小银行用户对敏感数据传输的主要需求包括：

1)安全节点管理：安全节点是一个与逻辑架构和物理部署都相关的概念，它用来标识一个需要进行安全控制(身份认证、加密处理、访问控制等)的实体的身份，该实体可以是系统或组件。如果同一个系统或组件部署在多个不同的物理设备（非集群形式），那么被视为不同的安全实体，属于不同的安全节点。以集群方式部署的系统或者组件被视为一个安全节点。

2)敏感信息保护：需要高度保密的信息，这些信息存在于业务数据或者系统关键参数中，例如：客户密码、账户信息等，这些信息在传输和存储时需要进行加密处理。

3)带外密钥协商：密钥协商信息和业务数据在不同的逻辑链路中传输。

4)带内密钥协商：密钥协商信息和业务数据在相同的逻辑链路中传输。

5)集中密钥协商：由密钥管理中心协助各安全节点的密钥协商。

6)分散密钥协商：为支撑加解密所需要的密钥,各节点间两两协商。

7)点到点加解密：两个安全节点使用同一密钥对信息进行加密和解密。当需要将信息传输给其它节点时，对解密后的明文进行转加密处理。

8)端到端加解密：发起端使用与终端协商的密钥对敏感信息进行加密，经过中间节点时不对敏感信息的密文进行处理，直接穿透，在终端解密。

9)统一密码服务平台：对密钥进行全生命周期的统一安全管理。实现加密机资源的统一调度和服务的平台，面向全行提供统一的加解密服务。

10)安全代理：负责协商安全节点间的密钥，并保证安全节点之间的密钥同步、集群内部节点的密钥同步。

技术应用的难点与挑战

谈到敏感数据加密传输技术时，更多的是侧重在网络传输层的加密技术，主要通过SSL/TLS去实现整个链路的安全，实施简单，业务系统改造小，但是网络延时大，对业务安全考虑较少，未遵循按需安全和适度安全的原则。实施时大多是单向SSL认证，业务敏感数据加密较少，容易引起敏感信息泄露事件。即使有些应用考虑了数据传输安全，也都仅从应用自身考虑，无法从企业整体考虑安全体系建设，不利于信息化整体安全建设工作的推进。具体表现在：

1)应用分散、业务系统各自为政，单独开发加密模块，标准不一；

2)密钥管理和密钥使用掺杂在一起，未做分离管理，安全系数低，容易被攻击和敏感信息泄露；

3)缺乏统一的监管部门，缺乏统一安全规划，没有统一的流程化的密钥管理系统来控制和约束。

技术应用的关键指标

中小银行数据安全保护方案，必须重点考虑业务，特别是金融业务结合的数据安全保护方案。比如金融IC卡初始化密钥灌装能力，保证卡片数据安全；设备密钥分发能力，保证物联设备的接入和数据传输的安全等。

以密码技术为核心的数据安全解决方案，实现人、设备的身份认证和数据安全保护，数据安全保护包括用户隐私数据保护和指令数据保护。针对该方案，需重点考虑以下关键性技术指标：

1）系统支持的用户量。一般要求满足本机构所有在线用户日均活用户数的3-5倍以上为佳；

2）敏感数据安全传输的性能。根据金融行业的业务特点，敏感数据安全传输机制，给业务带来的性能损耗，一般不超过业务处理时间的30%为宜；

3）密钥全生命周期管理。包括对密钥和证书所处的密钥生命周期中（产生、分发、使用、更新、存储、销毁）的每个环节进行管理；

4）密钥应用管理。包括节点管理、专管单位管理和应用系统信息管理等；

5）密钥方案管理。包括方案模板管理、密钥模板管理、密钥算法管理和密钥节点管理；

6）密钥属性管理。包括密钥在用状态、密钥应用属性、设备存储状态、密钥所有者状态；

7）密钥对象管理。管理每个节点上的密钥或证书，密钥或证书的信息保存在密钥管理档案中；

8）密码机管理。对密钥管理系统服务器使用的所有密码机进行管理。包括密码机分组、设备管理、私钥存储空间管理，对称密钥空间管理和负载均衡管理等；

9）系统管理。包含用户管理、角色管理、授权管理、流程管理、日志管理、监控审计等通用功能。

基于以上几方面，安御道合为《某农商行密码管理平台及定制开发项目》提供了完整的解决方案：

采用以密码服务平台为基础的数据安全架构来解决整个业务系统数据安全问题，在核心服务器区建立密码服务平台，由其统一管理业务系统中各类应用的密钥，并接受各应用系统的数据安全处理请求。系统结构如下图所示：