《北京金融科技产业联盟:2023金融数据保护治理白皮书(144页).pdf》由会员分享,可在线阅读,更多相关《北京金融科技产业联盟:2023金融数据保护治理白皮书(144页).pdf(144页珍藏版)》请在三个皮匠报告上搜索。
1、 金融数据保护治理白皮书 北京金融科技产业联盟 2023 年 6 月 版权声明 本报告版权属于北京金融科技产业联盟,并受法律保护。转载、编摘或利用其他方式使用本报告文字或观点的,应注明来源。违反上述声明者,将被追究相关法律责任。编制委员会 编委会成员:何 军 聂丽琴 高鸿升 编写组成员:夏雯君 武利娟 邱晓慧 孙 璞 李松涛 隆 峰 高强裔 吴紫园 马冰珂 秦 凯 王云河 靳 晨 居 崑 何东杰 夏子超 刘 巍 曹 伟 纪佰川 李武璐 何 浩 高志民 马晓丹 俞圣雨 陈 明 黄玺磊 杨 波 李 达 张 开 李 杰 隗 樊 庄媛媛 丁 俨 郭 栋 孙 瑜 刘占明 王 雪 靳 新 曲远汶 杨 扬
2、编 审:黄本涛 郭 栋 刘宝龙 金融数据保护治理白皮书 参编单位:北京金融科技产业联盟秘书处 中国工商银行股份有限公司 北京银联金卡科技有限公司 中金金融认证中心有限公司 北京国家金融科技认证中心有限公司 蚂蚁科技集团股份有限公司 中电金信软件有限公司 华控清交信息科技(北京)有限公司 成方金融信息技术服务有限公司 中国银联云计算中心 交通银行股份有限公司 中国光大银行股份有限公司 中国人寿保险(集团)公司 建信金融科技有限责任公司 深圳市洞见智慧科技有限公司 华为技术有限公司 南京三百云信息科技有限公司 同盾科技有限公司 深圳市腾讯计算机系统有限公司 金融数据保护治理白皮书 目 录 一、概述
3、.1(一)发展背景.1(二)发展现状.7 二、国内外数据保护政策、法律和标准.18(一)国际数据保护政策和法律.18(二)国内数据保护政策和法律.25(三)国内相关标准.31 三、金融数据保护治理重要关注领域.38(一)分类分级识别与保护.38(二)数据出域探究.46 四、金融数据保护治理体系.65(一)数据保护治理主要框架介绍.65(二)金融数据保护治理总体框架建议.71(三)组织建设.73(四)管理体系建设.75(五)技术支撑建设.89 五、发展展望.103 金融数据保护治理白皮书 (一)聚焦实操问题,加快数据保护实施标准建设.103(二)优化数据保护技术,推动数据共享良性循环.104(三
4、)强化数据安全评估,建立闭环式管控体系.104 附录 A:金融业数据保护治理实践案例.106 案例一:工商银行数据保护治理实践.106 案例二:光大银行数据保护治理实践.111 案例三:中国人寿数据保护治理实践.116 案例四:蚂蚁集团数据保护治理实践.119 附录 B:其他行业数据保护治理实践案例.127 案例一:沪杭甬高速工业互联网数据保护治理方案.127 案例二:基于隐私计算技术的政务数据保护和应用.132 附录 C:数据出域相关法律法规标准.137 金融数据保护治理白皮书 摘要:摘要:目前业界已出台数据保护方面的治理模型,但围绕金融数据保护治理的实践指导等尚不成熟,本课题围绕数据保护治
5、理的金融实践、发展现状,探索和标准化相关能力要求,归纳总结相关建设范式,推进数据保护、治理在金融领域的研究应用。金融数据保护治理白皮书 1 一、概述(一)发展背景(一)发展背景 1.1.面临挑战,积聚风险面临挑战,积聚风险 随着信息科技的飞速发展,以数据为核心的数字经济正成为驱动全球经济增长的新动力。金融领域也是如此,国务院金融稳定发展委员会的数次会议上均提到要大力发展数字金融,数字技术驱动金融业变革和发展已是大势所趋。数字经济的不断发展,催生出海量数据。据 IDC 预测1,2025年全球数据量将高达175ZB2,其中中国的数据量预计将达 48.6ZB,占比 27.8%。面对数据量的爆炸式增长
6、,数据来源的日益丰富,数据类型的不断创新,金融数据保护治理的广度、深度和难度与日俱增。金融业主体依据业务运营需要对个人和组织数据的获取、传递、使用、管理等诸多方面都不断推陈出新。数据在人们的金融生活中扮演越来越多样的角色,发挥越来越重要的作用。时至今日,不论是个人支付还是企业贷款,不论是城镇建设还是国家发展,不论是货币流通还是进出口贸易,社会生活的方方面面都流淌着金融数据的“血液”。包括互联网公司在内的泛金融机构利用自身的平台优势和业务粘性吸附并留存了大量的个人信息数据,不时有某某互联网公司数据泄露的新闻见诸报端,1 IDC,全称 International Data Corporation,
7、是信息技术、电信行业和消费科技市场咨询、顾问和活动服务专业提供商。2 ZB 是一种大数据容量存储单位。金融数据保护治理白皮书 2 对合规监管带来了极大的挑战,安全风险不言而喻。美国Verizon3公司发布的2020 年数据泄露调查报告 DBIR4指出,55%的数据泄露事件涉及有组织犯罪,30%的数据安全事件源自企业内部。(1)金融数据安全风险的识别难度不断增大 由于“科技赋能金融”的金融科技发展迅速,不论新技术还是新场景都催生出新的安全风险。区块链、人工智能等新兴技术在金融科技领域的快速应用,疫情、洪灾等公共卫生事件和气象自然灾害的爆发带来的远程办公需求,臭名昭著的勒索软件等新兴攻击技术的持续
8、演化等,内嵌新兴技术的创新应用场景在某种程度上增大了金融数据安全风险的识别难度,对金融数据保护治理提出了更高的要求。(2)金融数据安全风险的管控复杂度不断增加 金融数据安全概念范畴广泛,既有私密性又有公共性,例如个人金融信息带有强烈的私密属性,相较而言,金融监管过程中收集的数据又具有明显的公共属性。因此,金融数据特有的多重概念属性增大了金融数据保护治理的复杂度。(3)金融数据安全风险的危害程度不断提升 从业务的形态、逻辑和内涵等视角审视,当下的金融业务具有纷繁多样、交错关联、复杂深厚等特性,业务产生和涉及的各 3 Verizon 是美国最大的本地电话公司、最大的无线通信公司,全世界最大的印刷黄
9、页和在线黄页信息的提供商。4 Verizon 公司自 2008 年以来的第 13 份数据泄露调查报告。透过这份报告可以观察到与数据泄露相关活动的趋势,许多重要发现和影响不仅适用于 IT 安全,同时也适用于 OT 安全。金融数据保护治理白皮书 3 类数据在业务内外部交互多、交互过程复杂,这给数据流转的管控增加了极大的难度。因此,金融业务的不断融合创新客观上提升了金融数据安全风险的危害程度。综上,金融数据的安全与否所关乎的利益愈发的纷繁复杂,带来的影响愈发地长久深远。金融数据生命周期的链条串起的数据流转节点上,每一家金融主体、每一位个体、每一个监管实体既是数字金融的受益者,也是金融风险的责任人与应
10、对挑战的参战方。金融数据保护治理需依靠全面科学的框架规范、准确合理的技术手段、完整有效的落实方式,才能不断应对挑战,化解风险。2021 年 7 月,国家互联网信息办公室发布通知称,某出行 APP 存在严重违法违规收集使用个人信息问题。依据中华人民共和国网络安全法5相关规定,通知应用商店下架某出行 APP,这正是数据保护治理箭在弦上,势在必行的体现。2.2.数据立法,标准出台数据立法,标准出台 近年来,随着数据价值提升和数据安全事件频发,社会经济和国家安全面临严峻的挑战。个人信息泄露、行业间数据外泄等安全挑战不断发生。因此,全球主要国家和地区先后出台了数据安全与隐私保护的相关政策与标准,对数据的
11、采集、传输、存储、使用、删除、销毁等全生命周期管理进行拘束和指引。这些政策法规的出台,一方面可以有效确保数据经济的良性发展,规避伴 5 网络安全法是我国第一部全面规范网络空间安全管理方面问题的基础性法律,自 2017 年 6 月 1 日起施行。金融数据保护治理白皮书 4 随数据经济发展可能造成的权利纠纷和侵害,破除数据内部潜在的深层次犯罪基础;另一方面,政策法规对数据安全提出了严格的要求,对各机构数据保护治理提出了新挑战。(1)各国先后出台数据相关政策,加强数据保护 美国分别于 2019 年 12 月和 2020 年 10 月发布了 联邦数据战略和 2020 年行动计划6和国防部数据战略7,阐
12、述了其对数据在国家经济和安全领域的最新定位,同时还包括一系列促进数据发展和保护的战略举措。欧盟在 2018 年 5 月发布了约束极为严格的通用数据保护条例8(简称“GDPR”),此条例成为全球各国制定数据保护政策的重要参考,在一定程度上加速了数据保护治理领域的发展。2020 年 2 月,欧盟相继发布了 欧盟数字化战略 欧洲数据战略9和欧盟人工智能战略,表明要建立数据主权。英国政府于2020年9月发布了 国家数据战略,阐述了数据的作用和保护数据的措施。(2)国家不断强化数据定位,持续推进法制建设 国家对数据在我国经济社会发展中的作用和意义有着高瞻远瞩的认识。2017 年 12 月,习近平总书记在
13、中共中央政治局就实施国家大数据战略进行的第二次集体学习中提出,“要构建以 6 2019 年 12 月 23 日,美国白宫行政管理和预算办公室(OMB)发布联邦数据战略与 2020 年行动计划。7 2020 年 10 月 8 日,美国国防部发布了首份数据战略,宣布要将国防部建设成为“以数据为中心的机构”。8 2018 年 5 月正式生效的(General Data Protection Regulation,简称 GDPR)标志着欧盟个人数据保护的力度升级,前身是欧盟在 1995 年制定的计算机数据保护法。9 2020 年 2 月 19 日,欧盟委员会发布欧洲数据战略(AEuropeanStra
14、tegyfordata),该数据战略概述了欧盟未来五年实现数据经济所需的政策措施和投资策略。金融数据保护治理白皮书 5 数据为关键要素的数字经济。要切实保障国家数据安全,要加强关键信息基础设施安全保护,强化国家关键数据资源保护能力,增强数据安全预警和溯源能力”。随后,2019 年 10 月,党的十九届四中全会审议并通过的 中共中央关于坚持和完善中国特色社会主义制度、推进国家治理体系和治理能力现代化若干重大问题的决定中指出,“健全劳动、资本、土地、知识、技术、管理、数据等生产要素由市场评价贡献、按贡献决定报酬的机制。推进要素市场制度建设,实现要素价格市场决定、流动自主有序、配置高效公平。”,首次
15、给出了“数据”作为生产要素的定位。2020 年 4 月印发的中共中央国务院关于构建更加完善的要素市场化配置体制机制的意见首次将数据定义成为同土地、劳动力、资本,和技术同等重要的第五大生产要素,并提出加快培育数据要素市场的三点意见。同年 5 月印发的中共中央国务院关于新时代加快完善社会主义市场经济体制的意见 进一步明确了加快培育数据要素市场,建立数据资源管理清单机制,完善数据权属界定、开放共享、交易流通等标准和措施,发挥社会数据资源价值等。法律法规层面,全国人大常委会先后出台了国家安全法10网络安全法11,并于 2021 年 6 月的第十三届全国人民代表大会常务委员会第二十九次会议上通过了 数据
16、安全法12,2021 10 2015 年 7 月 1 日,第十二届全国人民代表大会常务委员会第十五次会议通过,中华人民共和国主席令第 29 号公布中华人民共和国国家安全法(简称国家安全法),自公布之日起施行。11 中华人民共和国网络安全法(简称网络安全法)是我国第一部全面规范网络空间安全管理方面问题的基础性法律,自 2017 年 6 月 1 日起施行。12 中华人民共和国数据安全法(简称数据安全法),自 2021 年 9 月 1 日起施行。金融数据保护治理白皮书 6 年 8 月历经三次审议的中华人民共和国个人信息保护法(以下简称“个人信息保护法”)获十三届全国人大常委会第三十次会议表决通过。这
17、四部法律共同构成了我国整体数据保护体系的顶层设计。(3)金融数据关系国计民生,监管要求日臻清晰 金融数据保护方面,在数次会议上都提到金融基础设施、金融安全、金融数据保护治理、金融科技监管之间的交错关系,强调了在国家总体部署下,金融监管部门对金融数据保护治理的守土责任。为此,中国人民银行、银保监会、证监会等金融监管部门先后出台了一系列关于金融数据治理与安全的法规、意见和标准。2018 年 5 月,原银保监会发布银行业金融机构数据治理指引13。2018 年 9 月,中国证监会发布了证券期货业数据分类分级指引14证券期货业机构内部企业服务总线实施规范15期货市场客户开户数据接口16证券发行人行为信息
18、内容格式17等四项金融数据标准。中国人民银行分别于 2020 年 2 月至2021 年 4 月期间,发布了个人金融信息保护技术规范18金融数据安全 数据分级指南19多方安全计算金融应用规范20、13 2018 年 5 月,原银保监会发布银行业金融机构数据治理指引,为商业银行搭建完善的数据治理体系提供了指引。14 证券期货业数据分类分级指引(JR/T 0158-2018)15 证券期货业机构内部企业服务总线实施规范(JR/T 0159-2018)16 期货市场客户开户数据接口(JR/T 0160-2018)17 证券发行人行为信息内容格式(JR/T 0163-2018)18 个人金融信息保护技术
19、规范(JR/T 01712020)19 金融数据安全 数据分级指南(JR/T 01972020)20 多方安全计算金融应用规范(JR/T 01962020)金融数据保护治理白皮书 7 金融业数据能力建设指引21和金融数据安全 数据生命周期安全规范22等多部金融数据保护领域的技术标准。金融监管部门结合各自金融业务特点从金融数据保护治理的多个角度对涉及金融数据保护的诸多方面出台了具体标准,并且仍在不断丰富和完善中。政策的出台,一方面为金融业各方指明了金融数据应用的方向和边界,另一方面有效保护了金融数据权属主体的合法权益,对数据治理提出了新的要求。监管日渐趋严的内外部环境下,有必要对金融数据保护治理
20、的要求进行梳理明晰,对数据保护治理的方式方法进行剖析论证,为管理、维护、使用金融数据的上下游机构和企业,推出符合当前政策要求和应用实际的金融数据保护治理体系建设策略。(二)发展现状(二)发展现状 1.1.分类分级是数据保护治理基础分类分级是数据保护治理基础 国家十四五规划和 2035 年远景目标建议中明确提出“加快数字化发展”,并强调了完善数据分类分级保护制度,制定数据隐私保护和安全审查制度,加强政务数据、企业商业秘密和个人信息保护的重要性。数据安全法一审稿对地方、部门制定重要数据目录做了规定。经宪法和法律委员会研究,建议在二审稿相关条款中规定,21 金融业数据能力建设指引(JR/T02182
21、021)22 金融数据安全 数据生命周期安全规范(JR/T 0223-2021)金融数据保护治理白皮书 8 国家建立数据分类分级保护制度,确定重要数据目录,加强对重要数据的保护;各地区、各部门按照规定确定本地区、本部门,以及相关行业、领域的重要数据具体目录。在法律层面,国家已将分类分级作为数据保护治理的基础性要求,从强调重点管理提升为体系化管理。金融行业是数据密集型行业,金融数据作为生产要素的价值日益凸显。同时,金融业相关机构和实体存在数据质量不高、数据使用不当、数据保护不周、数据流转不畅等问题。金融数据内涵丰富,种类繁多,金融数据分类分级工作的开展过程实际上是金融业机构按照一定标准对其所拥有
22、的数据资产进行梳理的过程。个人信息保护法将生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息列为敏感个人信息。金融数据安全 数据安全分级指南特别强调金融业机构应高度重视个人金融信息相关数据,在数据安全定级过程中从高考虑。不仅是国家法律和行业规范对数据分类分级提出相关要求,随着数据分类分级制度构建不断深化,越来越多的文件开始探索数据分类分级具体标准的明确,证监会于 2018 年 9 月 27 日发布的证券期货业数据分类分级指引(JR/T 0158-2018)、中国人民银行于 2020 年 2 月 13 日发布的 个人金融信息保护技术规范(JR/T 0171-2020)及工信部于 2
23、020 年 2 月 27 日发布的工业数据分类分级指南(试行)、2020 年 9 月 28 日,中国人民银行印发金融数据安全 数据安全分级指南(JR/T 0197-2020),根金融数据保护治理白皮书 9 据金融业机构数据安全性遭受破坏后的影响对象和所造成的影响程度,将数据安全级别由高到低划分为五级。因此,对数据资产进行梳理并开展数据安全分级是机构开展数据安全管理的起始点,是金融机构建立完善数据生命周期保护框架的基础,也是有的放矢地实施数据安全管理的前提条件。“安全+利用”是数据治理的共生形态,数据安全是总体国家安全的重要立足点,不同的数据类型对国家安全的影响度悬殊。关系国家安全、国民经济命脉
24、、重要民生、重大公共利益等领域的数据属于国家核心数据,理应采取更加严格的管理制度进行保护。金融行业不仅要遵循国家法律法规的相关要求,推进数据分级分类保护体系的落地,更加需要结合金融业自身特点,科学合理的厘定级别和类别的层次和界限,为金融数据保护治理的有效实施提供坚实基础。2.2.个人信息保护是数据保护治理重要方面个人信息保护是数据保护治理重要方面 2021 年 1 月 1 日,中华人民共和国民法典正式实施,其中人格权编设立“隐私权和个人信息保护”专章,是构建数字时代个人信息和隐私保护的民法基础;个人信息保护法于 2021年 11 月 1 日起生效实施,明确不得过度收集个人信息、大数据杀熟,对人
25、脸信息等敏感个人信息的处理作出规定,完善个人信息保护投诉、举报工作机制等。个人信息保护法构建以“告知-同意”为核心的个人信息处理规则,规范自动化决策中个人金融数据保护治理白皮书 10 信息处理规则,赋予个人关于个人信息保护的各项权利,强化个人信息处理者的义务,加大对侵犯个人信息行为的惩处力度。个人信息保护法明确了个人信息保护、合法正当诚信、处理必要、目的特定、知情同意、个体参与、保证质量、公开透明、安全保障和决策公平等十大原则。该法强调社会各界对待个人信息应采取必要的保护措施,并合法、正当、诚信地处理个人信息。该法同时对个人信息的收集、处理、保存等作出了严格限制,并强调使用个人信息目的的合理性
26、和明确性,以及个体在个人信息处理中具有的法律地位和拥有的合法权益。个人信息保护作为金融数据保护的重要组成部分,其核心宗旨在于对个人意志的尊重,这也是金融数据保护治理的核心要义之一。金融数据保护治理从广义上讲是为了保障国家金融安全,从狭义上看,同样与我们每一个公民的信息保护息息相关,因此,个人信息保护在金融数据保护治理中承担着个人保护与总体安全的双重内涵。3.3.框架建设是数据保护治理范式框架建设是数据保护治理范式 数据保护是我国各行各业信息化建设的薄弱环节,在金融行业,生产数据被保护的比例仅有 15%;在政府,数据被保护的比例还不到 10%。2021 年全球数据保护指数(GDPI)显示,有 8
27、8%的中国 IT 决策者(全球 82%)担心其现有的数据保护解决方案无法满足未来所有的业务挑战。在数据治理与隐私保护的政策法金融数据保护治理白皮书 11 规上进行前瞻性研究,探索确立数据治理与隐私保护的中国原则、制度与框架,加快形成中国方案,已经刻不容缓。随着数字经济立法的逐步完善,以及数据保护技术的全方位发展,系统化的数据保护治理框架不断涌现,逐渐成为各行业数据保护治理建设实践的有效范式。数据保护治理是一项复杂的社会工程,涉及数据公开与隐私保护的关系、数据共享与数据权属的关系、数据权利与数据公平的关系,知识产权与数据产权的关系,需要找准国家、产业与个人共赢的立足点。数据保护建设以数据治理体系
28、法治化为基础,将数据保护技术与数据保护管理融合在一起,综合业务、安全、网络等多部门多角色的诉求,总结归纳为系统化的思路和方法。数据保护建设以“让数据使用更安全”为愿景构建方法论,核心内容包括:金融数据保护治理白皮书 12 (1)满足数据安全保护、数据使用合规、敏感数据管理三个需求目标;(2)核心理念包括:数据分级分类、保护等级提升、角色合理授权、使用场景安全;数据安全法对企业的数据处理活动,提出了五项监管要求:第一,符合基础性的合规要求,包括建立企业数据安全管理制度,有相应的基础措施和管理措施。第二,对数据做等级保护,需要企业做等级保护测评和备案。第三,进行数据分级分类,企业要根据分类结果采取
29、相应的管理措施。第四,识别核心数据和处理数据出境问题,比如年检、年报审计。第五,管理数据交易中介,中介要审核双方身份、流程交易记录、制定审核清单等。机构对关键业务的业务连续性要求越来越高,热数据的可靠性面临新挑战。很多机构当前系统数据保护等级低,没有做到双活或两地三中心保护。数据保护产业发展宣言23指出随着数据应用场景的不断演进,数据保护的范围越来越广、等级要求越来越高、数据规模越来越大、保留时间越来越长,需要全面提升数据保护的规格并围绕数据生命周期提供全面保护。(3)数据保护治理的建设步骤包括:组织构建、资产梳理、合规指引、策略制定、过程控制、行为稽核和持续改善等;23 2021 年 3 月
30、 30 日发布,呼吁社会提升对数据基础设施灾难保护能力建设关注度,推动数据灾备产业标准建设。金融数据保护治理白皮书 13 数据治理是一个有机整体,要在国家战略、法律法规、技术保障、标准建设、行业自律、企业管理等方面同时发力。监管部门如何给企业提供更多、更详细的合规指引、操作规范,提升企业数据保护和利用的内驱力是关键。企业通过制定内部规章制度,设置专门的监管部门或监管人员,严格保护信息安全。定期开展内部审查,评估信息保护状况和安全等级,自觉遵守道德和法律规范收集和使用数据,自觉承担起保护隐私安全的责任,加强企业自律,实现企业自身的长远发展和市场的健康发展。公众更倾向于把信息提供给信任的企业帮助企
31、业提高服务质量,形成良性循环。(4)核心实现框架为数据保护的人员组织、数据保护的策略和流程、数据保护的技术支撑三大部分。制定有效的数据保护策略,建议:定期进行数据保护就绪性检查,既要重视生产数据,也要重视备份数据,定期做恢复的演练;将提升网络弹性列为首要任务,遭遇攻击不仅会造成业务的瘫痪,且会被索要高额的赎金。有效的数据保护包括“三不”:不因异常情况导致数据不能被使用,不因不可控因素(如数据误删除、病毒等)导致数据不能被恢复,不因时间流逝导致数据丢失不能被访问。金融数据保护建设框架应秉持“用户授权、最小必要、专事专用、全程防护”的原则,由于金融数据资产庞大,涉及的数据使用方式多样化,数据使用角
32、色繁杂,金融数据保护治理面临数金融数据保护治理白皮书 14 据状况梳理、敏感数据访问与管控、数据治理稽核三大挑战。建设金融数据安全保障体系需“技术”与“管理”并重,通过技术手段与管理措施双管齐下,基于数据全生命周期构建数据安全指标,借助丰富的数据安全监测及快速响应机制,通过技术手段构建金融数据保护治框架,以实现金融数据全生命周期的信息脱敏、安全隔离、权限管控,严防用户数据泄露、篡改和滥用,确保数据安全和消费者的隐私保护。各类数据保护治理系统的建设框架24为数据保护治理的有序实施提供了不同思路和实践路径。数据保护治理框架建设作为数据保护治理的范式在金融行业中进行推广是科学保护金融数据的有效路径。
33、4.4.标准与技术研究是数据保护治理趋势标准与技术研究是数据保护治理趋势 信息技术的飞速发展和迭代裹挟着数据利用和数据保护的“矛与盾”技术不断翻新,倒逼强数据行业持续地开展数据保护技术研究。研究成果的标准化又确保最新的数据保护治理理念和措施能够在行业内统一落地见效。数据安全法明确了国家坚持“维护数据安全”与“促进数据开发利用”并重的立法与监管理念。工业和电信行业急需从基础性制度层面,加快构建适应行业安全挑战特点的数据安全管理体系。2021 年 9 月 30 日,工业和信息化领域数据安全管理 24 详见第三章节数据保护治理框架简要介绍 金融数据保护治理白皮书 15 办法(试行)(以下简称管理办法
34、)面向社会公开征求意见。管理办法拟通过建立完善数据分类分级、监测预警与应急管理、数据全生命周期安全管理等制度机制,实施重要数据和核心数据的重点保护,提升数据安全风险事前感知和事后处置能力,加强数据处理活动流程性安全管理。敏感数据识别发现技术正向智能化发展,主流数据安全厂商通过算法的创新、融合等手段提升敏感数据的识别能力和精度,并利用人工智能技术实现自动化,现在很多敏感数据的识别都可以通过人工智能和机器学习技术提供实施。2020 年 8 月,工信部曾公开征求对电信和互联网行业数据安全标准体系建设指南(征求意见稿)的意见。征求意见稿表示,在基础共性标准、关键技术标准、安全管理标准的基础上,结合新一
35、代信息通信技术发展情况,重点在 5G、移动互联网、车联网、物联网、工业互联网、云计算、大数据、人工智能、区块链等重点领域进行布局,并结合行业发展情况,逐步覆盖其他重要领域。结合重点领域自身发展情况和数据安全保护需求,制定相关数据安全标准。到 2023 年,工信部计划研制数据安全行业标准 50 项以上,健全完善的电信和互联网行业数据安全标准体系,标准的技术水平、应用效果和国际化程度显著提高,有力支撑行业数据安全保护能力提升。金融数据保护治理白皮书 16 2021 年 7 月 1 日,数据安全治理能力评估方法正式实施,提出了数据保护治理能力评估的框架,规定了数据保护治理能力的框架,从组织建设、制度
36、流程、技术工具、人员能力等四个维度定义了 18 个能力项的评估方法,覆盖数据保护治理的全生命周期。原银保监会 2021 年 9 月 23 日发布商业银行监管评级办法,对银行监管评级体系进行了全面升级,将“数据治理”及“机构差异化”两项全新要素纳入了评价体系。除了法规政策以及监管机制的不断完善,数据安全产业生态建设也正在稳步推进。2020 年 12 月四部门印发关于加快构建全国一体化大数据中心协同创新体系的指导意见,到 2025年,全国范围内数据中心形成布局合理、绿色集约的基础设施一体化格局。强化大数据安全防护,推动核心技术突破及应用。围绕服务器芯片、云操作系统、云数据库、中间件、分布式计算与存
37、储、数据流通模型等环节,加强对关键技术产品的研发支持。鼓励 IT 设备制造商、数据中心和云服务提供商、数字化转型企业等产业力量联合攻关,加快科技创新突破和安全可靠产品应用。同时,政府积极促进企业数据安全产品和解决方案在行业场景和新基建中的应用落地。在政务、金融、交通、医疗等各行各业数据安全防护都在逐渐得到广泛应用。我国各部门组织针对数据安全问题,正通过设立相关学科与研究院、设立培训考核等方式,大力加强数据安全人才队伍建设。伴随着国家对数据安全的重视,和数据安全以及网络安全相关的企业这两年来也呈现爆发金融数据保护治理白皮书 17 式增长。10 月 12 日 IDC 发布2021 上半年中国 IT
38、 安全服务市场跟踪报告显示,2021 上半年中国 IT 安全服务市场厂商整体收入约为 11.1 亿美元,厂商收入规模较去年同期实现翻倍增长,涨幅高达 110%,较 2019 年同比增长 38%。金融数据保护治理同样需要秉持标准建设和技术研究两条腿赶路的稳健方式,才能不断吸收最新的数据保护治理技术,并在标准化范围内扎实推广,实现全行业数据的有序有效保护和治理。金融数据保护治理白皮书 18 二、国内外数据保护政策、法律和标准(一)国际数据保护政策和法律(一)国际数据保护政策和法律 1.1.通用数据保护条例(通用数据保护条例(GDPRGDPR)当前,全球已有近 100 个国家和地区制定了个人信息保护
39、的法律,个人信息保护专项立法已成为国际惯例。欧盟于 2018 年5 月 25 日正式实施的通用数据保护条例(GDPR)被称为是史上最严的个人信息保护法,成为全球个人数据安全立法中极具标志性的一部法案。同时,各国的个人信息保护相关法律大多以GDPR 为蓝本,我国的中华人民共和国民法典与中华人民共和国数据安全法中华人民共和国个人信息保护法,以及多数国家及行业标准、行政指令等都引用并借鉴了 GDPR 的很多优秀做法。(1)GDPR 背景 欧洲个人信息保护的历史最早可以追溯到 1948 年的联合国世界人权宣言25。宣言指出“任何人的隐私、家庭、住宅或通信不应受到任意干涉,也不应受到对其荣誉和名誉的攻击
40、。人人有权得到法律保护,免遭此类干涉或攻击”。1950 年颁布的欧洲人权公约26规定:“任何人享有私人、家庭生活及其各项通信被尊重的权利。”这被认为是欧洲第一代个人信息保护法。25 European Convention on Human Rights:https:/www.echr.coe.int/Documents/Convention_ENG.pdf 26 European Convention on Human Rights:https:/www.echr.coe.int/Documents/Convention_ENG.pdf 金融数据保护治理白皮书 19 当代的个人信息保护,包括将
41、隐私作为人权的概念,源于欧洲对保护个人免受其起源或特殊性的压迫的重要性的反思。1980年,经合组织制定的 保护隐私和个人数据越境流动准则(OECD)27,这是第一个主要的非约束性文本,为现代个人信息保护奠定了基础。1981 年 1 月 28 日,欧洲委员会通过了关于自动处理个人数据的保护个人的公约28,被命名为第 108 号公约,决议的重点是电子数据库中的个人信息。1995 年 10 月 24 日,欧洲议会和理事会发布关于处理个人数据和此类数据自由流动方面保护个人的 95/46/EC 指令29(又称 95 指令),该指令有两个目标:促进成员国之间的个人数据保护,以及促进成员国之间的个人数据自由
42、流动。(2)GDPR 发布 在上述历史背景下,通用数据保护条例(GDPR)30于 2012年 1 月由欧盟委员会立法提案,历经四年的审议与修订,于 2016年 4 月 27 日签署最终法案,2016 年 5 月 25 日生效。经过两年的宽限期,2018 年 5 月 25 日,通用数据保护条例直接适用于所有成员国和全球其他相关国家。27 OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data(Updated in 2013),https:/www.oecd.org/digital/ie
43、conomy/oecdguidelinesontheprotectionofprivacyandtransborderflowsofpersonaldata.htm 28 The Council of Europe Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data,https:/www.coe.int/en/web/conventions/full-list/-/conventions/treaty/108?module=treaty-detail&
44、treatynum=108 29 Directive 95/46/EC on the protection of individuals with regard to the processing of personal data and on the free movement of such data,https:/ec.europa.eu/eip/ageing/standards/ict-and-communication/data/directive-9546ec_en.html 30 General Data Protection Regulation,https:/eur-lex.
45、europa.eu/legalcontent/EN/TXT/PDF/?uri=CELEX:32016R0679 金融数据保护治理白皮书 20 GDPR 在数据保护指令的基础之上,对各成员国的监督协调加入了新规定,要求成员国应将 GDPR 与本国法律结合起来,设立专门负责机构保障其实施。GDPR 旨在保护自然人的基本权利和自由,规定了细致的数据主体权利以及数据控制、处理者义务等具体内容,采取“长臂”管辖原则,对违反条例的行为设定了高额罚款。(3)GDPR 的重大影响 尽管 GDPR 是一个区域性法律规范,但是其施行对于各国立法都有着重要的影响。(a)数据主体权益保护从被动/事后管理变为预先管控。
46、各国数据立法主流采纳了 GDPR 的自证清白模式,数据控制者、数据处理者或共同控制者31需要预先进行隐私设计及影响性评估,才能做到自证清白。(b)明确了“数据是什么”,数据是人权的自然延伸部分,数据的管理等同财产管理。因此全球各国均采取了长臂管辖与高额处罚:一是数据是跨境流动的,违反者进行处罚也是跨境实施的(从“属地主义”到“属人主义”);二是罚款额度是年度全球营业额 4%或 2000 万美元,以高者为准。(c)GDPR 合规性成为企业数据治理的考核标准之一。数据保护影响评估(DPIA)保证数据全生命周期的数据合规遵从高 31 GDPR 中参与主体在数据处理活动中的角色通常包括数据控制者(da
47、ta controller)、数据处理者(data processor)、共同数据控制者(joint controller)。数据控制者有决定数据处理的目的与方式的权利。数据处理者与数据控制者是不同主体,代表数据控制者处理个人数据。共同控制是指多个参与主体共同决定数据处理的目的与方式。金融数据保护治理白皮书 21 度敏感数据访问必须可审计等。我国国家推荐性标准信息安全技术 个人信息安全影响评估指南(GB/T 39335-2020),为 GDPR下 DPIA 映射至国内个人信息安全影响评估(PIA)工作的参考依据。(d)催生“数据保护官”、“数据隐私官”等专职岗位/资质认证。企业需要建立可问责的
48、数据保护责任,通过数据全生命周期的隐私保护设计来实现主动/预先管控,而非事后补救,这就是主动合规的概念。(e)明确自然人的数据权利。数据主体权益保护将作为默认设置,目前美国只有 4%的 iOS 用户在苹果隐私新政后允许应用程序跟踪他们。(f)自然人数据权利可申请司法救济。在 GDPR 项下,当数据控制者或者处理者违反相关规定,未遵守数据处理的基本原则和合法事由的规定,对数据主体的权利造成损害时,数据主体有权直接向监管机构进行投诉,监管机构可决定向其提供司法救济渠道,以及是否对违规主体进行行政处罚。2.2.主要国家相关法律主要国家相关法律 2020年,世界各地围绕数据隐私立法出现了一些重大进展,
49、疫情引发的“新常态”带来了围绕数据隐私的新担忧,全球已有130 个国家进行了数据隐私立法,严格程度趋同于 GDPR。无论是数字化的联系追踪还是社交距离的执行,无论是健康的数字化还是网络购物,无论是在家办公还是在线教育,流行病引发的数字金融数据保护治理白皮书 22 化加速,都在不断地将我们推向数字领域,这使得在 2021 年制定严格的数据隐私法的理由更加充分。美国:2018 年 6 月 28 日,加州立法机构通过了2018 年加州消费者隐私法案(CCPA),该法案让消费者对企业收集的个人信息有了更多的控制权,并在 2020 年 1 月 1 日生效。2020 年11 月,通过了加州隐私权利法案(C
50、PRA),并于 2023 年 1月 1 日生效,该法案对按照 GDPR 要求对 CCPA 进行了补充,除了为更多的消费者权利和新的消费者个人信息类别让路外,还设立了一个新的隐私执行机构。巴西:一般数据保护法(Lei Geral de Proteo de Dados Pessoais,LGPD)于 2020 年 9 月 16 日生效。政府还批准成立一个国家级的数据保护机构-Autoridade Nacional de Proteo de Dados(ANDP)-将负责执行 LGPD。ANDP 的建立是颁布法律的重要举措,使透明度变得至关重要。LGPD 将个人数据持有者的同意和他/她的访问权置于中
51、心位置,并要求处理数据的组织在巴西建立处理个人数据的法律基础,并遵守跨境数据传输限制,企业还必须提供详细的隐私声明和数据泄露通知的更新。加拿大:2020 年 11 月 17 日,加拿大政府提出了 C-11 法案,即众所周知的数字宪章实施法(DCIA Digital Charter Information Act),该法案将使北美国家对其数据隐私政策进行修订。该法案的目的和目标将与全球其他数据隐私法规(例如金融数据保护治理白皮书 23 GDPR 和 CCPA)保持一致。例如,公司将面临最严重罪行的罚款,最高可达全球收入的 5或 2500 万美元(以较高者为准)。新西兰:隐私法于 2020 年 1
52、2 月 1 日生效,取代了 1993年隐私法。新法适用于在新西兰境内“开展业务”过程中收集个人信息的境内与境外组织,并要求收集个人数据的企业在发生隐私泄露的情况下,必须通知受影响的个人以及隐私专员办公室(OPC),否则每次违规将面临高达 1 万新西兰元的重罚。OPC负责帮助组织和企业了解和应对与跨境转移新西兰境内收集的个人数据相关的新义务。使用离岸云提供商或其他第三方来存储或处理数据,只要第三方不将该信息用于自己的目的,就不会被视为披露。新加坡:2020 年,新加坡议会通过了对 个人数据保护法(PDPA)修正案。修正案赋予新加坡个人数据保护委员会更大的执法权,对违反法律的行为设置新的惩罚措施,
53、赋予公民新的数据主体权利,并在个人数据的使用上提供更明确的规定,以促进创新。即 PDPA 修正案既加强了对消费者的保护,也支持企业创新以及合法合理地利用个人数据。PDPA 的修正要点如下:a)加强组织问责制;b)完善框架,助于在必要时达成有效同意;c)强化个人对其数据享有的权利;d)增加处罚力度。3.3.欧洲数字经济的相关法律法规欧洲数字经济的相关法律法规 近年来,欧盟一方面高度重视个人数据隐私、垄断规则、数据安全等,先后出台通用数据保护条例欧盟非个人数据自金融数据保护治理白皮书 24 由流通条例等多项文件加强数据安全管理。与此同时,欧盟推出多项法案,在数据隐私保护下推动数字经济发展,加快数字
54、化转型进程。2020 年 2 月,欧盟委员会发布塑造欧洲数字未来32(Shaping Europes digital future),欧洲数据战略(A European strategy for data)33和 欧洲人工智能白皮书(White Paper on Artificial Intelligence:a European approach to excellence and trust)等多份文件,涵盖网络安全、关键基础设施、数字教育和单一数据市场等各个方面,形成了欧洲新的数字转型战略。作为数字战略的一部分,2020 年 12 月 15 日,欧委会发布了具有里程碑意义“数字服务法案包
55、(the Digital Services Act package)”,包括数据治理法(The Digital Services Act)34数字服务法(the DigitalServices Act)35和数字市场法(the Digital Markets Act)36,以升级欧盟境内数字服务规制规则。欧洲数据战略是数据的确权、市场化、资本化与跨国数据治理的基石,再次明确了“数据是自然人权的一部分,是财产权的一类”,作为数据采集、交换与交易的基石公理。指导欧盟 32 https:/digital-strategy.ec.europa.eu/en/policies/data-governanc
56、e-act 33 https:/digital-strategy.ec.europa.eu/en/policies/strategy-data 34 The Digital Services Act:ensuring a safe and accountable online environment|European Commission(europa.eu)35 The Digital Markets Act:ensuring fair and open digital markets|European Commission(europa.eu)36 The Digital Markets
57、Act:ensuring fair and open digital markets|European Commission(europa.eu)金融数据保护治理白皮书 25 数据治理法数字市场法数字服务法形成完整数据经济领域的跨国共用法规与愿景协同。欧盟数据治理法,作为数据创新的强大引擎,该法案增加了对数据共享的信任,在战略领域建立和发展欧洲共同的数据空间,促进跨部门/跨国数据共享,利用数据的潜力为欧洲公民和企业谋福利。欧盟数字市场法规范了“守门人”以确保数字经济的公平竞争力与欧洲数字战略一致,数字服务法规范数字中介机构、明确保护公民的基本权利为建立真正的欧洲互联网服务治理体系提出的基础性建
58、议。(二)国内数据保护政策和法律(二)国内数据保护政策和法律 1.1.法律法规法律法规 随着信息技术和人类生产生活交汇融合,各类数据迅猛增长、海量聚集,对经济发展、社会治理、人民生活都产生了重大而深刻的影响。数据安全已成为事关国家安全与经济社会发展的重大问题。党的十九大报告提出,推动互联网、大数据、人工智能和实体经济深度融合。党的十九届四中全会决定明确将数据作为新的生产要素。数据安全相关法律法规建设已成为大数据发展的必然趋势,我国近几年发布了一系列大数据产业发展和安全保护相关的法律法规。2013 年 10 月 25 日,第十二届全国人民代表大会常务委员会第五次会议对中华人民共和国消费者权益保护
59、法第二次修正。第二十九条明确了经营者及其工作人员对收集的消费者个人金融数据保护治理白皮书 26 信息必须严格保密,不得泄露、出售或者非法向他人提供。经营者应当采取技术措施和其他必要措施,确保信息安全,防止消费者个人信息泄露、丢失37。2015 年 7 月 1 日,第十二届全国人民代表大会常务委员会第十五次会议通过中华人民共和国国家安全法,其中第二十五条明确提出我国要“实现网络和信息核心技术、关键基础设施和重要领域信息系统及数据的安全可控”38。2016 年 11 月,第十二届全国人民代表大会常务委员会第二十四次会议通过中华人民共和国网络安全法为了保障网络安全,维护网络空间主权和国家安全、社会公
60、共利益,保护公民、法人和其他组织的合法权益,促进经济社会信息化健康发展,制定本法39。2019 年 1 月 1 日起实施的 中华人民共和国电子商务法,为了保障电子商务各方主体的合法权益,规范电子商务行为,维护市场秩序,促进电子商务持续健康发展40。2020 年 1 月 1 日起实施的中华人民共和国密码法,是为了规范密码应用和管理,促进密码事业发展,保障网络与信息 37 中华人民共和国消费者权益保护法 http:/ 38 中华人民共和国国家安全法http:/ 39 中华人民共和国网络安全法http:/ 40 中华人民共和国电子商务法http:/ 金融数据保护治理白皮书 27 安全,维护国家安全和
61、社会公共利益,保护公民、法人和其他组织的合法权益,制定的法律41。2020 年 5 月 28 日,十三届全国人大三次会议表决通过的中华人民共和国民法典,延续了 中华人民共和国民法总则第 111 条关于自然人个人信息保护的一般规定,并于人格权编中专章探讨民事主体的“隐私权和个人信息保护”,明确规定了隐私权与个人信息保护的基本定义、保护原则以及基本权利义务框架。这不仅表明立法者关注网络隐私安全、强化个人信息保护的立场,同时在基本法律层面,为我国未来构建科学完善的个人信息保护法律体系奠定基础42。2021 年 6 月 10 日,第十三届全国人民代表大会常务委员会第二十九次会议通过中华人民共和国数据安
62、全法,是为了规范数据处理活动,保障数据安全,促进数据开发利用,保护个人、组织的合法权益,维护国家主权、安全和发展利益,制定的法律43。2021 年 8 月 20 日,第十三届全国人民代表大会常务委员会第三十次会议通过发布的中华人民共和国个人信息保护法,为了保护个人信息权益,规范个人信息处理活动,促进个人信息合理利用。中华人民共和国个人信息保护法确立了个人信息 41 中华人民共和国密码法http:/ 42 民法典视角下隐私权与个人信息保护 http:/ 43 中华人民共和国数据安全法http:/ 金融数据保护治理白皮书 28 处理应遵循的原则,强调处理个人信息应当遵循合法、正当、必要和诚信原则,
63、具有明确、合理的目的并与处理目的直接相关,采取对个人权益影响最小的方式,限于实现处理目的的最小范围,公开处理规则,保证信息质量,采取安全保护措施等,本法将于2021 年 11 月 1 日起施行44。在中华人民共和国个人信息保护法出台之前,中华人民共和国网络安全法中华人民共和国数据安全法和中华人民共和国国家安全法从 2015 年开始陆续出台并实施。这几部法律既不是孤立的,也不是独立的,而是以国家总体安全观为指引,以中华人民共和国国家安全法为龙头的一个有机的法律体系。通过中华人民共和国国家安全法在内的这四部法律的主要内容和结构,可以看到“安全”、“网络”、“数据”和“个人信息”是这四部法律共同的关
64、键词,是一个有机整体。这四部法律的立法宗旨都是为了维护国家安全、网络安全、数据安全和保护个人信息权益45。2.2.行业制度规范行业制度规范 我国的互联网,在国家大力倡导和积极推动下,在经济建设和各项事业中得到日益广泛的应用,使人们的生产、工作、学习和生活方式已经开始并将继续发生深刻的变化,对于加快我国国民经济、科学技术的发展和社会服务信息化进程具有重要作用。44 全国人大法工委权威解读:个人信息保护法十大亮点 https:/ 中华人民共和国个人信息保护法:http:/ 45 时建中:我国网络与数据安全及个人信息保护法律制度 https:/ 金融数据保护治理白皮书 29 同时,为了保障数据信息安
65、全问题,我国各行业也发布了一些数据安全保护相关的行业制度规范。2019 年 11 月发布的App 违法违规收集使用个人信息行为认定方法46,为监督管理部门认定 App 违法违规收集使用个人信息行为提供参考,为 App 运营者自查自纠和网民社会监督提供指引。2020 年 4 月,中共中央、国务院印发 关于构建更加完善的要素市场化配置体制机制的意见,将数据作为与土地、劳动力、资本、技术并列的要素之一,提出要加快培育数据要素市场,具体包含推进政府数据开放共享、提升社会数据资源价值、加强数据资源整合和安全保护三个方面。2020 年 6 月,为了确保关键信息基础设施供应链安全,维护国家安全,国家互联网信
66、息办公室发布实施网络安全审查办法,2021 年 7 月,发布关于网络安全审查办法(修订草案征求意见稿)47公开征求意见的通知。2020 年 9 月,中国人民银行发布中国人民银行金融消费者权益保护实施办法,其中,第三章涉及“消费者金融信息保护”。为了保护金融消费者合法权益,规范金融机构提供金融产 46 关于印发App 违法违规收集使用个人信息行为认定方法的通知 http:/ 47 国家互联网信息办公室关于网络安全审查办法(修订草案征求意见稿)公开征求意见的通知 http:/ 金融数据保护治理白皮书 30 品和服务的行为,维护公平、公正的市场环境,促进金融市场健康稳定运行48。2021 年 1 月
67、发布的互联网用户公众账号信息服务管理规定,为了规范互联网用户公众账号信息服务,维护国家安全和公共利益,保护公民、法人和其他组织的合法权益49。2021 年 1 月,原银保监会、中国人民银行发布 关于规范商业银行通过互联网开展个人存款业务有关事项的通知50,为了加强对商业银行通过互联网开展个人存款业务的监督管理,维护市场秩序,防范金融风险,保护消费者合法权益,有利于商业银行合规稳健经营,对于弥补制度短板、防范金融风险具有积极意义。2021 年 1 月,原银保监会发布 监管数据安全管理办法(试行),为规范原银保监会监管数据安全管理工作,提高监管数据安全保护能力,防范监管数据安全风险51。2021
68、年 3 月,为贯彻落实中华人民共和国网络安全法关于“网络运营者收集、使用个人信息,应当遵循合法、正当、必要的原则”“网络运营者不得收集与其提供的服务无关的个人信息”等规定,国家互联网信息办公室、工业和信息化部、公安部、48 中国人民银行金融消费者权益保护实施办法http:/ 49 互联网用户公众账号信息服务管理规定 http:/ 50 原银保监会 中国人民银行发布关于规范商业银行通过互联网开展个人存款业务有关事项的通知http:/ 51 原银保监会发布监管数据安全管理办法(试行)http:/ 金融数据保护治理白皮书 31 国家市场监督管理总局联合制定了 常见类型移动互联网应用程序必要个人信息范
69、围规定,明确移动互联网应用程序(App)运营者不得因用户不同意收集非必要个人信息,而拒绝用户使用App 基本功能服务52。2021 年 4 月,国务院第 133 次常务会议通过并公布关键信息基础设施安全保护条例,本条例根据中华人民共和国网络安全法制定,为了保障关键信息基础设施安全,维护网络安全。2021 年 9 月,中国人民银行 2021 年第 9 次行务会议审议通过并发布征信业务管理办法(中国人民银行令2021第 4号)53,为了规范征信业务及其相关活动,保护信息主体合法权益,促进征信业健康发展,推进社会信用体系建设,根据中华人民共和国中国人民银行法中华人民共和国个人信息保护法征信业管理条例
70、等法律法规,制定本办法并于 2022 年 1 月1 日起施行。(三)国内相关标准(三)国内相关标准 1.1.国家标准国家标准 2019 年 5 月发布的 智能交通 数据安全服务(GB/T 37373-2019):标准规定了智能运输系统安全支撑平台和数据安全服务 52 关于印发常见类型移动互联网应用程序必要个人信息范围规定的通知 http:/ 53 中国人民银行令2021第 4 号(征信业务管理办法)http:/ 金融数据保护治理白皮书 32 内容。标准适用于智能运输系统实现基于密码技术的数据安全服务。2019 年 8 月发布的信息安全技术 数据安全能力成熟度模型(GB/T 37988-2019
71、):标准给出了组织数据安全能力的成熟度模型架构,规定了数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全、通用安全的成熟度等级要求。标准适用于对组织数据安全能力进行评估,也可作为组织开展数据安全能力建设时的依据。2019 年 8 月发布的 信息安全技术 数据交易服务安全要求(GB/T 37932-2019):标准规定了通过数据交易服务机构进行数据交易服务的安全要求,包括数据交易参与方、交易对象和交易过程的安全要求。标准适用于数据交易服务机构进行安全自评估,也可供第三方测评机构对数据交易服务机构进行安全评估时参考。2019 年 8 月发布的 信息安全技术 个人信息
72、去标识化指南(GB/T 37694-2019):标准描述了个人信息去标识化的目标和原则,提出了去标识化过程和管理措施。标准针对微数据提供具体的个人信息去标识化指导,适用于组织开展个人信息去标识化工作,也适用于网络安全相关主管部门、第三方评估机构等组织开展个人信息安全监督管理、评估等工作。2019 年 8 月发布的信息安全技术 大数据安全管理指南(GB/T37073-2019):标准提出了大数据安全管理基本原则,规金融数据保护治理白皮书 33 定了大数据安全需求、数据分类分级、大数据活动的安全要求、评估大数据安全风险。标准适用于各类组织进行数据安全管理,也可供第三方评估机构参考。2020 年 3
73、 月发布的信息安全技术 个人信息安全规范(GB/T 35273-2020):标准规定了开展收集、存储、使用、共享、转让、公开披露、删除等个人信息处理活动应遵循的原则和安全要求。标准适用于规范各类组织的个人信息处理活动,也适用于主管监管部门、第三方评估机构等组织对个人信息处理活动进行监督、管理和评估。2020 年 11 月发布的信息安全技术 个人信息安全影响评估指南(GB/T 39335-2020):标准规定了个人信息安全影响评估的基本原理、实施流程。标准适用于各类组织自行开展个人信息安全影响评估工作,同时可为主管监管部门、第三方测评机构等组织开展个人信息安全监督、检查、评估等工作提供参考。20
74、20 年 11 月发布的信息安全技术 政务信息共享 数据安全技术要求(GB/T 39477-2020):标准提出了政务信息共享数据安全要求技术框架,规定了政务信息共享过程中共享数据准备,共享数据交换、共享数据使用阶段的数据安全技术要求以及相关基础设施的安全技术要求。标准适用于指导各级政务信息共享交换平台数据安全体系建设,规范各级政务部门使用政务信息共享交换平台交换非涉及国家秘密数据安全保障工作。金融数据保护治理白皮书 34 2020 年 12 月发布的信息安全技术 健康医疗数据安全指南(GB/T 39725-2020):标准给出了健康医疗数据控制者在保护健康医疗数据时可采取的安全措施。标准适用
75、于指导健康医疗数据控制者对健康医疗数据进行安全保护,也可供健康医疗、网络安全相关主管部门以及第三方评估机构等组织开展健康医疗数据的安全监督管理与评估等工作时参考。2021 年,国家标准信息安全技术 重要数据识别指南正在按程序编制,征求意见稿已经完成,即将征求社会意见。标准正式发布后会为各地区、各部门制定本地区、本部门以及相关行业、领域的重要数据具体目录提供参考,为重要数据保护工作提供支撑。2.2.行业标准行业标准 (1)金融行业 以国家标准为基础,近年来中国人民银行会同金融监管部门组织制定了多项金融行业数据标准。主要的有:2020 年 2 月发布的个人金融信息保护技术规范(JR/T 0171-
76、2020):标准规定了个人金融信息在收集、传输、存储、使用、删除、销毁等生命周期各环节的安全防护要求,从安全技术和安全管理两个方面,对个人金融信息保护提出了规范性要求。标准适用于提供金融产品和服务的金融业机构,并为安全评估机构开展安全检查与评估工作提供参考。金融数据保护治理白皮书 35 2020 年 9 月发布的金融数据安全 数据分类分级指南(JR/T 0197-2020):标准给出了金融数据安全分级的目标、原则和范围,以及数据安全定级的要素、规则和定级过程。标准适用于金融业机构开展电子数据安全分级工作,并为第三方评估机构等单位开展数据安全检查与评估工作提供参考。2020 年 11 月发布的多
77、方安全计算金融应用技术规范(JR/T 01962020):标准规定了多方安全计算技术金融应用的基础要求、安全要求、性能要求等。标准适用于金融机构开展多方安全计算金融应用的产品设计、软件开发。2020 年 11 月发布的金融行业网络安全等级保护实施指引 第 2 部分:基本要求(JR/T 0071.22020):标准规范了金融行业网络安全保障框架和不同安全等级对应的安全要求。标准适用于指导金融机构、测评机构和金融行业网络安全等级保护的主管部门实施网络安全等级保护工作。12345 2021 年 2 月发布的 金融业数据能力建设指引(JR/T 0128-2021):标准规定了数据战略、数据治理、数据架
78、构、数据规范、数据保护、数据治理、数据应用、数据生存周期管理能力域划分,明确了相关能力项,提出了每个能力项的建设目标和思路。标准适用于指导金融机构开展金融数据能力建设。2021 年 4 月发布的 金融数据安全 数据生命周期安全规范(JR/T 0223-2021):标准规定了金融数据生命周期安全原则、防护要求、组织保障要求以及信息系统运维保障要求,建立覆盖金融数据保护治理白皮书 36 数据采集、传输、存储、使用、删除及销毁过程的安全框架。标准适用于指导金融业机构开展电子数据安全防护工作,并为第三方测评机构等单位开展数据安全检查与评估工作提供参考。2021年,金融行业标准 金融数据安全 数据安全评
79、估规范经过草案稿编制、工作组讨论等阶段,已形成标准征求意见稿。标准规定了金融数据安全评估触发条件、原则、参与方、内容、流程及方法,明确了数据安全管理、数据安全保护、数据安全运维三个主要评估域及其安全评估主要内容和方法。标准适用于金融业机构开展金融数据安全评估使用,并为第三方安全评估机构等单位开展金融数据安全检查与评估工作提供参考。此外,金融行业元数据、数据资源目录等数据相关标准正在制定中。(2)其他行业 2020 年 12 月发布的电信网和互联网数据安全通用要求(YD/T 3802-2020):标准主要适用于在电信服务和互联网信息服务提供过程中,在公用电信网和互联网网络单元和业务系统中采集、产
80、生、使用的数据。适用于对电信网和互联网行业中组织开展的数据处理活动及与数据处理活动相关的平台系统的安全保护。标准不适用于企业生产经营数据、内部管理数据及企业内部研发测试数据。2021 年 5 月发布的 工业互联网数据安全保护要求(YD/T 3865-2021):标准规定了工业互联网数据安全保护的范围及数金融数据保护治理白皮书 37 据类型、工业互联网数据重要性分级与安全保护等级划分方法,规定了低/中/高重要性数据在数据产生、传输、存储、使用、迁移及销毁阶段的具体安全保护要求。标准适用于工业互联网相关服务组织或企业开展数据安全保护工作。2019 年 3 月发布的信息安全技术 移动智能终端用户数据
81、存储安全技术要求和测试评价方法(GA/T 1547-2019):标准规定了移动智能终端的用户数据存储安全技术要求、测试评价方法和等级划分要求。标准适用于不同安全等级信息系统中移动智能终端操作系统及应用程序在用户数据存储安全方面的设计、开发及检测。2020 年 4 月发布的信息安全技术 大数据平台安全管理产品安全技术要求(GA/T 1718-2020):标准规定了大数据平台安全管理产品的安全功能要求、安全保障要求和等级划分要求。标准适用于大数据平台安全管理产品的设计、开发及检测。金融数据保护治理白皮书 38 三、金融数据保护治理重要关注领域(一)分类分级识别与保护(一)分类分级识别与保护 对金融
82、数据开展保护的前提是明确数据保护对象,即对数据资产进行识别、梳理,以成本合理、区分重点地对不同类型、不同等级的金融数据实行差异性保护。金融数据的分类分级与识别是后续落实技术防护措施、安全管理流程的基础性、必要性、先决性工作,也是开展金融数据保护治理工作的重点。同时,网络安全法 第二十一条也明确了数据主体承担着数据分类分级的法律责任。根据国家数据安全法的要求,金融机构应当建立数据分类分级保护制度,根据数据在经济社会发展中的重要程度,以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用,对国家安全、公共利益或者个人、组织合法权益造成的危害程度,对数据实行分类分级保护。其中,对于关系国家安全、国民经济
83、命脉、重要民生、重大公共利益等数据属于国家核心数据,应按照国家相关要求实行更加严格的管理制度。对于金融行业的数据,其分类可参照行业信息分类规范,数据安全分级可参照已经发布的JR/T 0197-2020 金融数据安全 数据安全分级指南开展,证券期货业也可参照JR/T 0158-2018 证券期货业数据分类分级指引开展分类分级。金融数据保护治理白皮书 39 1.1.金融数据分布特点与安全特点金融数据分布特点与安全特点 金融机构的业务数据,是银行最本质、最核心、最关键的生产要素,银行业金融机构的数据安全,除保密、完整、可靠、可用之外,也关系到金融行业的资金安全以及大数据时代对数据的增值分析、利用带来
84、的衍生价值。以下从目前银行业金融机构涉及数据安全的各业务场景来分析和总结金融数据的分布特点,以及面临的重大安全威胁和挑战:(1)错综复杂的系统和数据如何区分和识别重点?大型金融机构涉及全国性的用户和业务,金融相关信息系统可能多达数百个。各信息系统因业务需要,保存了大量不同类别、不同敏感级别的数据,如客户基础信息、业务交易数据、业务产品数据、企业经营数据、机构数据、员工信息、系统数据等,数据流经大量系统、不同节点并进行存储处理,如总行、分支行网点,与监管单位、清算支付、第三方支付、银联网联等的接入等,数据层级多、分布广泛。同时,业务多元化也带来数据的多元化,数据之间存在着复杂的逻辑关系,派生出的
85、标识数据、加密数据、属性说明数据、验证数据也相应增多,可谓牵一发而动全身。如何在分布广、多层级、多元化、海量级的金融数据中区分和识别重点,科学、合理、高效、全面地进行数据分类分级,是金融业面临的重要难题。金融数据保护治理白皮书 40 (2)敏感数据对外应用与提供增加了安全风险,如何管控?金融行业机构在互联网金融等方面的业务冲击下,拓展了包括网页、手机、电话、电视、微信等多种新的银行业务服务渠道,并通过建立智慧银行、移动展业与客户建立友好互动,在不同的渠道和界面上需要展示或提供数据,如交易的密码、认证的身份信息,甚至是认证所需要的证书、生物特征信息等,这些数据的传输与展示势必会增加数据泄露风险。
86、同时,因监管需要上传或下载数据、同行业务往来共享数据、司法需要提供数据,如何确保在合理合法提供的同时,确保提供数据的最少化、安全性、准确性,也是需要重点考虑的问题。(3)海量的数据如何识别并掌握数据的流向和分布?在进行了海量数据的分类、分级之后,还需要掌握敏感数据的流转情况,才能确定系统是否是在受控情况下安全共享与处理数据。需明确的问题如下:需要保护的数据到底在哪些系统内分布?最终流向了哪些安全域与边界?是否存在未授权、非法的流出?是否需要建立敏感数据资产的识别、标识、溯源系统,以便于随时跟踪敏感数据的流向和分布?是否需要建立对敏感数据的统一监控和审计措施,以便于对敏感数据的可疑使用进行跟踪?
87、掌握了敏感和关键数据的分布与流向,才能为数据总体管控策略、数据智能分析与决策提供帮助。金融数据保护治理白皮书 41 (4)与监管、同行、合作方多渠道数据交换如何保证安全?金融行业业务多元复杂,面临多头监管,比如中国人民银行、原银保监会、公安部等。同时,需要与同行或者业内金融机构进行业务合作或接受审计,比如行业联合组织、清算机构、其他合作企业,这些数据的流转监管单位是否有安全标准,或者对方是否有特殊数据安全防护要求与接口要求尚未明确,这就需要我们制定统一的数据安全标准,区分数据级别,并根据对应的管控措施与各方进行共享、控制,争取满足各方面的安全要求。(5)数据多层级、多系统、多角色使用、访问,如
88、何防止在内部的敏感数据泄露?首先,数据在不同等级系统之间进行交互和流转,高密区域向低密区域可能造成数据的泄露;其次,业务系统的部署会分布在总部以及省、地市、县等不同级别,金融数据在本单位内部涉及多系统、多层级调用和查询成为普遍情况;在一个系统内部也可能有多重角色存在,分别承担着对业务数据不同的管理责任,尤其是系统管理、数据库管理、业务管理等特权账户,具有直接接触和修改数据的权利,其操作和访问如何进行安全控制尚未明确,这些业务场景都会使业务数据的访问、操作和使用面临诸多风险,需要明确数据分级部署的安全、系统接口和传输的安全,以及访问控制的安全。同时,数据还可能被提取出来进行特定分析或者进行统计汇
89、总和分析,数据将从线上转移到线下,如何保金融数据保护治理白皮书 42 证数据的安全导出和线下利用、保管,也是数据安全关注的重点之一。(6)大量引进外包与外资服务,如何保证外包与合作过程中的数据安全与自主可控?大型金融企业人员编制有限,为了专业性和成本考虑,银行业金融机构需要引入外包服务来对业务信息系统进行开发、建设和运维,驻场外包人员成为金融数据安全的重要风险敞口。同时,一些更专业化的服务,如咨询、审计等,涉及技术难度与可信度的问题,需要与国内外大型机构进行合作,因此也会带来财务、业务战略、数据安全方面的风险。(7)对外合作与国际化趋势加剧,数据出境如何保证安全?受国际化趋势和国家“走出去”战
90、略影响,我们需要与国外机构或者合作伙伴进行合作,如国外的监管单位、国外金融机构以及本机构在国外设置的分支机构,都可能需要将业务数据流出境外处理存储,如何在符合当地监管要求以及国内法律、标准规范(数据出境)要求的前提下,做好数据的受控传输、使用、存储,是我们要面临的挑战之一。(8)个人信息的保护监管越来越受到重视,如何保证个人信息的安全,获得客户信任?网络安全法 个人信息保护法的出台,GB/T 35273-2020 信息安全技术 个人信息安全规范JR/T 01712020 个金融数据保护治理白皮书 43 人金融信息保护技术规范的制定,进一步把个人信息保护提升到了新的高度。金融监管层面也发布了一系
91、列保护交易信息和客户信息的政策要求,明确“强化工作机制,做好内部防控;完善技术手段,提高安全水平;优化服务流程,加大宣传力度”,严防“违法违规查询、获取、使用、泄露、出售客户信息或商业秘密,以谋取私利”行为。个人金融信息是特殊类数据,涉及客户的隐私权益,若缺乏有效保护,可能会使客户的利益受到不法侵害,其分类与分级应与金融数据保护进行统一和融合。以上是金融数据面临的各种挑战,是促成金融数据进行分类分级识别并加以安全管控的重要驱动力和根因。我们需要在此基础之上梳理金融数据分布特性、应用特性、安全特性,从而确定数据利用方面的安全保障与防护需求,理清金融数据自身的安全属性以及与后续治理措施、保护策略的
92、对应和逻辑关系。2.2.金融数据识别难点与重点金融数据识别难点与重点 金融数据在分布特点、价值属性、安全特性等方面与其他行业数据存在不同,在识别上也存在一定的区别,具体存在以下识别难点与重点:(1)分布广、数据量大、数据结构复杂,导致识别难、挑战大 金融信息系统用户多、系统多、业务多元化、内部层级多,面临着多头监管与合作共享。由于数据体量巨大,人工识别难度大,企业需要以系统开发时的数据架构与定义为基础,数据治理金融数据保护治理白皮书 44 /管理体系为架构,数据管控平台为抓手,建立线上与线下相辅相成的数据安全防护措施,才能全面对所有数据进行分级分类与识别。(2)线下数据依然是识别与管控的重点
93、业务部门人员、IT 管理人员、分支机构岗位人员都能从系统内获取、下载、使用数据,内部办公网、生产运维网、开发测试网、营业网点、客户服务中心等也会留存大量客户数据、技术数据和业务统计数据,通过导出、提取获得的大量敏感数据也是不可遗漏的识别与保护的重点。业务人员可以依托内网安全管理、文档安全管理、终端安全管理等方式对相关数据进行有效的安全管控。(3)需要建立规范性的流程和标准 数据的分类分级与识别是专业性的工作,必须建立统一的标准,提供规范、合理、严格的标准和指导,让具体使用人员、操作人员有法可依、有据可循。(4)识别应成为管控的基础和着力点 金融数据的识别不是为了识别而识别,识别的最终目的是安全
94、管控与高效应用。具体来讲,一方面是为了便利,不能增大数据架构的复杂度与难度,不能干扰或降低数据应用的效率和便利性。另一方面,金融数据识别应成为安全管控策略与措施的着力点,让其能借助分类分级、安全标签、数据溯源等措施,对数据进行重点区分、成本合理的防护。金融数据保护治理白皮书 45 (5)集中管控、视图化管理是识别的必然结果 随着系统与应用复杂性的增加,传统靠人力盯防单个安全管理系统或服务器、数据库日志的方法已经被逐步淘汰,网络安全、数据安全都在朝集中化、一体化管控的方向迈进,数据安全需要专门的数据安全管理岗位进行专职管理,以形成统一的管控体系与策略,明确数据到底在哪些系统、边界、接口进行流转,
95、数据数量级,是否有敏感数据流转等问题,可使用视图化的管理方式,去直观跟踪重要数据的流向和动态。(6)数据资产的常态化运营必然催生专业化数据运维管控平台 数据是核心生产要素,日常化流转与使用必然需要常态化运营,为了提高运营的效率、可靠性、标准化程度,需要建立定制化的数据资产运维管控平台,进行多系统、多渠道的数据资产管理。除了实现数据的智能分类和识别功能之外,也可同步加强数据审核与批准、数据标签与溯源、数据安全审计与报警、数据脱敏与提取、数据安全事件处置等相关平台化管理功能。3.3.金融数据的分类与分级方法金融数据的分类与分级方法 金融行业机构开展数据的分类分级是一项系统性工程,需要数据管理组织统
96、筹管理原则、目标、分工、资源等,充分调动金融机构业务、技术及功能等业务条线的积极性,根据业务实际制定数据字典、数据标准,通过线下采取问卷、访谈等调研方式,线上采用技术平台与字典、台账方式,充分平衡业务效率与安全金融数据保护治理白皮书 46 风险,对标金融行业数据分类与分级相关标准,实施数据的分类分级与识别。分类分级中要注意首先满足合规要求,确保对各法律法规、监管政策、国家与行业技术标准的依从性,分类分级方法可参考 信息安全技术 数据安全分类分级实施指南(草案)、JR/T 0197-2020 金融数据安全 数据安全分级指南JR/T 0171-2020 个人金融信息保护技术规范的流程和方法,但也要
97、注意各级别数据在内部的融合与统一。同时,在具体分类分级时,应根据数据资产的有用性、价值性及权属情况等因素进行综合判断和考虑。此外,分类分级时也要考虑到建立数据资产自动化分类分级模板,使用安全自动化编排(SOAR)等技术进行高效智能识别。具体的分类分级、识别方法可结合标准、工具情况建立统一流程和标准。(二)数据出域探究(二)数据出域探究 “数据出域”的概念范畴十分广泛,以下金融场景皆可认为是一种数据出域行为:1.某金融机构领导由于工作事务关系将一些重要数据授权给某员工知晓,以便快速推动工作进展;2.金融机构 B 的工作人员由于业务关系在金融机构 A 内接触到数据,并采用某种方式(如刻录光盘、书写
98、或单凭记忆等)将数据录入到金融机构 B 内;3.金融机构 A 与金融机构 B 签订合同,联合使用对方数据开展业务。金融数据保护治理白皮书 47 当然,数据出域也可以发生在不同行业间,甚至国家之间。本专题聚焦到金融机构间跨实体的数据流通,也就是金融机构 A与金融机构 B 之间如何完成数据出域。通过对不同场景进行总结分析,几种常见的数据出域方式为:1.金融机构 A 直接传递原始数据给 B。并通过外部管理方式(如合同)约束 B 对原始数据的使用。2.金融机构 A 将数据脱敏后传递给 B。并通过外部管理方式(如合同)约束 B 对脱敏后数据的使用。3.金融机构 A 采用密码技术(秘密分享、同态加密等)将
99、数据处理后传递给B。并在管理上保证安全假设的成立,如不串谋、密钥分割保存等。以上方式体现了“技术+管理”的模式来实现数据出域,目的在于保证金融机构 A 对数据的控制权以及 B 对数据的使用权。但是技术所占比重依次越来越高,在一定程度上降低了管理成本和管理风险。金融数据出域的意义在于,金融机构拥有大量的数据,数据从金融机构内部流向其他金融机构或者其他行业,才能进一步释放其潜在的价值。但什么“数据”才能出域,以何种方式出域才能满足数据合规的要求,是金融业重点关注的问题。本专题从数据出域的本质出发,结合已有的法律法规对数据出域相关问题进行深入研究。金融数据保护治理白皮书 48 1.1.数据出域的概念
100、和意义数据出域的概念和意义 (1)数据出域的定义(a)“域”“域”是一个逻辑概念。“域”的本质是数据控制者及其所授权主体对数据可行使的权利的范围,同时数据控制者及其所授权主体在该范围内对数据的合规使用负责。这些权利具体表现为通过设备、应用程序以及其他方式所能够进行的对数据的查看、处理、销毁以及授权等一系列行为。数据控制者可以有一个,也可以有多个。这些权利当中最根本的是数据控制者对数据使用范围、使用方式和使用目的的控制,涵盖能够召回、撤销数据的使用,以及对数据的使用情况进行追溯,出现事故时能够取证、追责等。如果数据控制者丧失了对数据的根本权利,就无法对数据进行有效控制,也没有能力保障数据的合规使
101、用。可以“完全公开”的数据没有控制者,其“域”无限大(或者说没有“域”),这种数据的使用方式和使用目的不受特定控制者控制,不在本专题重点讨论。(b)数据出域 数据“出域”,本质是数据控制者对权利进行了让渡,比如允许他人查阅数据、使用数据等。也就是说,因为权利的让渡导致“域”的变化,即数据出域。在数据要素流通背景下,金融机构数据出域的真正难点是,在保留控制数据使用方式和使用目的金融数据保护治理白皮书 49 的前提下让渡数据的使用权。数据“出域”的“源域”和“目的域”应该就“数据使用方式和使用目的”具有一致的规则和约束,包括法律法规、政策、自律公约、标准等。金融数据出域除了涉及金融机构,实际上还涉
102、及监管方。从数据安全法可以看出,数据控制者承担数据安全主体责任,而主管部门承担监管职责。从监管方的角度看,数据“跨域”相比数据“出域”显得更为贴切。当前数据跨域流通给监管带来新的挑战和难度,详见六(二)3 的分析。数据“出域”可以发生在个人之间、组织之间、行业之间,甚至国家之间。如个人数据“出域”一般依托身份管理和访问控制实现,出域的目的可能是围绕一项具体事务(如工作任务)进行数据共享,遵从企业内部的规章管理制度。在数据要素发展趋势下,金融机构数据“出域”一般是为了提升金融数据的潜在价值,在遵从行业标准、自律公约、监管约束下让渡数据的使用权。数据出域的两种特殊情况是:1)由于转让、并购等方式导
103、致的数据控制者的变化。这种情况下的出域,由新的控制者对数据使用方式和使用目的进行控制。2)由于将数据公开从而放弃数据控制权。这种情况下数据在“目的域”没有控制者。以上两种特殊情况在后文中不再详细讨论。本章节重点讨论金融机构 A 在保留对自身数据控制能力(对使用方式和使用目的金融数据保护治理白皮书 50 的控制)的前提下如何将数据的使用权让渡给 B,从而实现金融数据要素价值流通。(2)数据出域的意义 金融业作为数据密集型和科技驱动型行业,充分发挥其数据要素的经济社会价值,已经成为一项重要而紧迫的课题。金融机构数据“出域”能够释放金融数据的潜在价值,为业务赋能提供有效支撑,提高金融机构竞争力;同时
104、与外部多源数据的融合使用,能够进一步开拓共创共享的数据合作生态,在合法合规、保证数据安全的前提下,推动数据跨机构、跨行业、跨地域自由流动。数据出域的底线是要确保对数据使用方式和使用目的的控制,减少隐私信息泄露、数据滥用、危害国家数据安全等数据要素利用的负外部性,推动数字经济高质量发展。2.2.数据出域相关法律与标准数据出域相关法律与标准 目前法律法规对“数据出域”尚未有明确的规定,但可从数据流动的视角,在相关法律法规当中找到相关依据,如数据的“提供”、“转移”、“委托处理”、“交易”、“跨境”等。关于“数据提供”,网络安全法规定了,网络运营者未经被收集者同意不得向他人提供个人信息,但是经过处理
105、无法识别特定个人且不能复原的除外;同时还规定了相关人员履职过程中知悉的个人信息、隐私、商业秘密,不得泄露、出售、非法向他人提供。而数据安全法则将数据的传输、提供定义为数据金融数据保护治理白皮书 51 处理的一种方式,在保障数据安全的前提下,鼓励数据依法合理有效利用与自由流动。个人信息保护法也将传输、提供定义为个人信息处理的方式。规定了个人信息处理者向他人提供其处理的个人信息,合并、分立转移个人信息时,需向个人告知接收方相关信息。在公共场所收集的个人图像、身份特征信息仅能用于维护公共安全,个人单独同意,才可对外公开或向他人提供。儿童个人信息网络保护规定 规定网络运营者向第三方转移儿童个人信息,应
106、进行安全评估。为保护个人信息主体的权利,个人信息保护法规定在处理个人信息前必须征得个人的同意,并列举了不需取得个人同意的例外情况,包括履行法律义务、履行个人合同、应对突发公共卫生事件、公共舆论监督报道、个人信息已公开等。金融机构开展业务时,参照银行业金融机构数据治理指引等行业政策,如需合理使用个人信息,应对访问和拷贝等进行行为监控和权限控制;而在响应监管要求履行反洗钱、反恐怖主义融资等义务时,金融机构也应依据反洗钱法等注意保护个人信息。关于“委托处理”,数据安全法规定服务提供者应当依法取得许可。个人信息保护法与儿童个人信息网络保护规定皆规定了委托处理行为不得超授权范围。其中,个人信息保护法规定
107、了当委托合同不生效、无效、被撤销、终止,受托人应当将个人信息返还个人信息处理者或者予以删除、不得保留,同时禁止了未经个人信息处理者同意的转委托行为。儿童个人金融数据保护治理白皮书 52 信息网络保护规定 规定了网络运营者委托第三方处理儿童个人信息的情况,需对受托方进行安全评估,签署委托协议,明确责任、处理事项、期限、目的等。关于“数据跨境”,网络安全法、数据安全法、个人信息保护法皆有相关规定。网络安全法规定了关键信息基础设施的运营者向境外提供个人信息和重要数据时,需进行安全评估,并规定了相关罚则。数据安全法提出国家将建立国家安全审查制度,参与国际交流与合作、国际规则和标准制定,促进数据跨境安全
108、、自由流动;关键信息基础设施的运营者部分则与网络安全法进行了衔接。而个人信息处理者向境外提供个人信息,依据个人信息保护法,在遵守相关法律法规的前提下,还需履行告知并取得单独同意的义务。此外,网络数据安全管理条例(征求意见稿)规定了掌握超过 100 万用户个人信息的数据处理者赴国外上市的或者赴港上市可能影响国家安全的,应当申报网络安全审查;而数据出境安全评估办法(征求意见稿)更是对个人信息、敏感个人信息、重要数据等的数量、范围种类,以及出境的目的、范围、方法等进行的细化要求,并规定了受理数据出境安全评估的政府部门及其工作办法,这也体现出国家对数据跨境相关制度正逐步完善。关于“数据交易”,网络安全
109、法中数据范围仅针对通过网络收集的电子数据,而数据安全法则包含了电子以及其他形式记录的数据。另外,数据安全法对数据交易中介提出了金融数据保护治理白皮书 53 相关要求与相应罚则。个人信息保护法也提出不得非法收集或非法买卖个人信息,电子商务法更进一步提出了违反个人信息保护相关规定的,将依照网络安全法等相关条款进行处罚。相关的规定在标准当中亦有迹可循。信息安全技术 大数据服务安全能力要求 信息技术 大数据 数据分类指南、信息安全技术 个人信息安全规范等相关国家标准中规范了与数据出域相关的若干术语和概念,包含数据分发(数据交换54、数据交易、数据共享55、数据公开等)、数据跨境或出境、个人信息处理(委
110、托处理56、共享、转让57、公开披露等)等,主要含义为将原始数据、处理数据、分析结果等形式的数据传递给内部或外部实体的过程。而金融数据安全 数据安全分级指南金融业数据能力建设指引个人金融信息保护技术规范金融数据安全 数据生命周期安全规范等金融行业标准,以及大数据开放共享安全管理规范数字化改革 公共数据分类分级指南等地方标准则在国家标准的基础上,为应对数据汇聚、融合58计算(衍 54 数据在企业内外部的流转交互,包括按一定策略引入外部数据供内部应用以及有选择地对外提供企业内部数据等。数据交换的主要目的是通过及时高效获取外部数据和安全合规分享内部数据,从而更好地发挥数据价值。开展数据交换需建立明确
111、的交换目录和策略,并做好交换合作方的管理。55 金融数据在不同部门或机构之间进行分享,包含与行业主管部门的数据分享,各方均承担该数据相关权利和义务的过程。56 金融业机构因金融产品或服务的需要,在不改变该数据相关权利和义务的前提下,将数据委托给第三方机构进行处理,并获取处理结果的过程。此处委托处理也包括纸质单据 OCR 作业、纸质单据人工录入等。57 金融业机构将数据移交至外部机构,不再享受该数据相关权利和不再承担该数据相关义务的过程。58 金融业机构因提供金融产品和服务、开展经营管理等活动,在机构内部不同部门之间或本机构与外部机构之间,进行多源或多主体的数据汇集、整合等产生数据的过程。金融数
112、据保护治理白皮书 54 生数据、分析结果、数据模型等)后可能带来的安全风险,提出了一些细化的要求。综上所述,当前的法律法规、政策标准中有不少与数据出域的相关术语、概念,如表 1 所示。表 1 术语、概念与数据出域的关系 项目 分类 术语、概念 控制权 控制权变化说明 使用权 使用权变化说明 主要出处 法律法规 对外提供 改变 控制者与接收方共享 出让 跟随控制权变化 网络安全法个人信息保护法等 委托处理 未改变 控制者独享 未出让 跟随控制权变化 个人信息保护法儿童个人信息网络保护规定等 数据出境 改变 控制者与接收方共享 出让 跟随控制权变化 网络安全法数据安全法数据出境安全评估办法(征求意
113、见稿)等 数据交易 改变 控制者与接收方共享 出让 跟随控制权变化 网络安全法数据安全法等 数据转移 改变 接收方独享 失去 跟随控制权变化 儿童个人信息网络保护规定等 数据公开 改变 不受控制 出让 跟随控制权变化 个人信息保护法等 金融数据保护治理白皮书 55 标准 数据分发 改变 控制者与接收方共享(如果公开,则不受控制)出让 跟随控制权变化 GB/T 38667-2020信息技术 大数据 数据分类指南等 数据交换/共享 改变 控制者与接收方共享 出让 跟随控制权变化 GB/T 39788-2019信息安全技术 数据安全能力成熟度模型、JR/T 0218-2021金融业数据能力建设指引、
114、JR/T 0171-2020个人金融信息保护技术规范等 数据公开 改变 不受控制 出让 跟随控制权变化 GB/T 35273-2020信息安全技术 个人信息安全规范、GB/T 35274-2017信息安全技术 大数据服务安全能力要求等 数据交易 改变 控制者与接收方共享 出让 跟随控制权变化 GB/T 38667-2020信息技术 大数据 数据分类指南、GB/T 37932-2019信息安全技术 数金融数据保护治理白皮书 56 据交易服务安全要求等 数据跨境、出境 改变 控制者与接收方共享 出让 跟随控制权变化 GB/T 35273-2020信息安全技术 个人信息安全规范等 委托处理 未改变
115、控制者独享 未出让 跟随控制权变化 GB/T 35273-2020信息安全技术 个人信息安全规范、JR/T 0171-2020个人金融信息保护技术规范等 数据转让 改变 接收方独享 失去 跟随控制权变化 GB/T 35273-2020信息安全技术 个人信息安全规范、JR/T 0171-2020个人金融信息保护技术规范等 数据汇聚 改变 控制者与接收方共享(接收方持有汇聚后全部数据的控制权)出让 跟随控制权变化 JR/T 0197-2020金融数据安全 数据安全分级指南、JR/T 0223-2021金融数据安全 数据生命周期安全规范等 金融数据保护治理白皮书 57 数据融合 未改变或改变 控制者
116、独享或控制者与接收方共享(对计算结果评估)出让 不论控制权是否变化,使用权均已出让 GB/T 35273-2020信息安全技术 个人信息安全规范、JR/T 0171-2020个人金融信息保护技术规范等 从数据控制者对于权利让渡的角度来看,这些术语、概念的定义和相应的要求条款,其主要集中在通过数据交易等途径直接进行“控制权”的改变,其对象多为明文形式的原始数据或脱敏后数据。而针对包含个人信息的数据,则增加了告知同意要求,但对于去标识化、匿名化等概念,没有进行进一步的分析,给出可用于分离数据“使用权”的技术指南。值得注意的是,金融行业标准和部分地方标准,已经关注了数据汇聚、融合后可能导致的数据安全
117、级别变化,却没有将物理汇聚和融合计算二者明确区分。对于融合计算,依据对计算结果评估,可能在安全级别降级的同时,达到在“控制权”未发生改变的前提下,只出让了数据的“使用权”的数据共享、流通。3.3.数据出域的难点数据出域的难点 数据出域的难点在于合规,具体来说就是采用什么样的方式和手段才能不违反合规要求。当前数据出域面临的合规问题主要包括:金融数据保护治理白皮书 58 (1)数据出域合规性缺少共识 目前金融业机构数据出域面临的首要问题是行业监管部门未对数据出域出台明确规定,什么样的数据可以出域、如何出域等未给定明确界限,金融业机构在具体的数据出域场景中存在监管压力,如何在不违反数据合规要求的条件
118、下达成机构间的数据合作成为金融业机构的难题。同时,金融行业在不断探索多方安全计算、联邦学习等隐私计算技术,尝试解决数据出域问题,但相关技术如何合规使用,在没有顶层设计规范的情况下产业界仍然缺少共识,缺乏落地实施路径。(2)数据控制权改变导致合规风险加大 通过前文与数据出域相关问题的法律法规分析可知,目前大多数的数据出域方式仍然会导致数据控制权的改变。这样会带来潜在的合规风险,具体表现在:(a)多数据控制主体难免会对数据的使用方式和使用目的存在授权上的歧义。比如 A 将数据共享给 B 后,A、B 双方都对数据具有一定的控制权,但 B 对数据的后续授权使用是否会超出A 原来的授权本意是不明确的。(
119、b)数据安全事件追责难。传统数据明文的出域方式大多依靠管理手段。这种方式造成的数据安全事故难以追责,因为数据在多个主体间的复制共享导致责任链变长,可能导致法律与责任边界模糊,难以追溯到具体的责任主体。金融数据保护治理白皮书 59 (3)多主体共同参与增加新的监管难度 随着数据要素化时代的到来,多主体之间为实现同一应用目标而进行数据融合计算的方式将成为常态。在这种方式下,需要保证多个数据控制者的合法数据权益,保证数据在授权的条件下被使用,即数据的使用方式、使用目的需要征得数据控制者的同意。另外,对算法的安全性、可解释性等也需要有相关要求,保证数据用途被数据控制者所获知。在数据要素流通的生态环境中
120、,算法也可能由独立的主体来提供。因此,多个主体共同参与的特性将对整个数据流通过程的合规监管提出新的挑战。(4)数据跨境问题 国际上各国在国家安全、隐私保护、产业能力等多元因素的复杂影响下构建跨境数据流动监管制度。这些制度都有一定的差异性。我国的个人信息保护法、数据安全法等相关法律法规和欧盟的 GDPR、美国的“跨境隐私保护规则”(CBPR)在理念上有很大不同,数据跨境流通需要找到彼此之间契合点,如在统一的规则下控制数据的用途用量、进行安全事件的举证追责以及执法等。4.4.隐私计算技术与数据出域隐私计算技术与数据出域 我国金融业经过多年发展,已积累了海量的数据资源,通过数据出域推动多方数据安全融
121、合,构建数据要素市场的基础相对成熟。在这种趋势下,金融机构和科技公司积极探索多方安全计算、联邦学习、可信执行环境等隐私计算技术,旨在通过这些技术方法降低数据出域的合规风险,积极推动数据要素流通。金融数据保护治理白皮书 60 多方安全计算、联邦学习、可信执行环境等隐私计算技术与传统技术的最大区别在于,这些技术通过“可用不可见”的方式实现数据流通,也就是将数据的使用权剥离出来进行流通,而保证数据的控制权不变。这为数据出域的合规性提供了一条全新的思路。具体来说:(a)多方安全计算技术将数据转化为计算因子,而计算因子的最大特点在于其承载了数据的计算价值(使用价值),并由于其基于密码学生成,安全性具有严
122、格的数学证明,保证其他参与方无法通过计算因子获得数据本身或者数据的控制权。同时,计算因子承载了原始数据所有的计算价值(使用价值),基于计算因子的流通与直接明文方式的交付能够实现相同效果的使用权让渡,也就是能够产生相同的计算结果,而计算结果才是数据流通需求方真正的诉求。(b)联邦学习是一种分布式学习技术,数据控制者将数据在本地转化为梯度等中间参数,通过传递这些中间参数让渡使用权。数据的使用价值体现在这些参数的建模能力上。从控制权方面看,这些中间参数可能会泄漏原始数据从而使得控制权发生转移,因此一般会采用额外的技术方法对这些参数进行再次处理,比如采用密码技术转化。从使用权让渡方面看,为达到好的建模
123、效果,一般需要进行多个轮数的“让渡”。(c)可信执行环境技术使得数据控制者能够将自己的数据封闭在安全可信的环境内,在该环境内将这些数据的使用权让渡金融数据保护治理白皮书 61 给可信的应用程序(TA)。因此,数据控制者通过这个环境的安全性来保证自己对数据的控制权没有发生转移。以上三种技术在解决“数据出域”问题上仍然存在一些假设和前提。多方安全计算技术一般存在半诚实模型或恶意模型的假设,即假设参与方是半诚实的或恶意的,以及不诚实参与方不超过一定数量等,从而根据这些假设条件选择合适的协议类型。联邦学习假设中间参数仅承载数据的使用价值部分(建模能力)而不含有控制权成分,所采用的密码技术同样遵从上述类
124、似的安全假设。可信执行环境依赖于对硬件安全的信任,包括硬件供应商及其工程实现过程。这些假设条件都旨在防止数据明文泄露,也就是保证数据控制者始终持有数据的原有控制权。需要其他方法措施(管理或技术)来保证这些安全假设的成立,才能使隐私计算技术行之有效。除了上述三个主流技术,还有其他的隐私计算技术,对数据出域的影响都不尽相同。因此不能简单地将隐私计算与数据出域的合规性等同起来,需要根据具体应用环境来确定安全需求和安全假设,并选择相应的技术类型。另外,隐私计算在使用时仍然存在以下问题需要注意:(a)算法安全性。如果输入到隐私计算过程中的一个算法存在逻辑漏洞或恶意目的,很可能会泄露原始数据,导致数据控制
125、权非预期的转移。金融数据保护治理白皮书 62 (b)数据用途用量。数据用途用量除了体现在一次数据的使用上,还包括同一批数据被不同算法多次使用的情况。虽然每次数据的使用都能保证数据控制权不发生转移,但同一批数据被不同算法多次使用,可能会让一些恶意方通过多次计算结果的关联性来推断原始数据,导致数据控制权非预期的转移。(c)系统整体安全性。即使隐私计算技术已经保证了数据计算过程中的安全性,但是如果其他传统的数据安全技术没有配置到位(如数据传输加密技术),数据泄密事件仍会发生,数据出域时仍难以保证数据的控制权。以上问题并非隐私计算技术本身的问题,而是将其用于保证金融数据出域合规性时碰到的其他问题。需要
126、引起关注并结合不同的方法手段进行规避。5.5.实现数据安全出域的建议实现数据安全出域的建议 (1)多技术手段并举辅助隐私计算,促进金融数据出域合规性 根据前文分析,隐私计算技术的假设条件的成立不是隐私计算技术本身能够保证的,比如多方安全计算假设条件的成立需要各参与方在其声明的行为模式下进行计算。传统的方法是基于管理控制,比如签订线下协议书(合同),对违反合同的行为需要诉之于法律法规。但纯靠管理措施和法律约束,会面临举证难的问题。同时隐私计算技术在应用过程中还面临算法安全性、数据金融数据保护治理白皮书 63 用途用量等问题。以上问题除了通过管理方法解决,也可选择采用技术方法进行辅助。一种思路是将
127、传统的合同映射为一种电子合约机制。具体地,对算法进行安全性审核后,各数据方对数据的使用进行授权,并将本次数据出域的算法、数据使用授权情况(如数据用量)、各方的角色定位、行为承诺等关键内容体现在隐私计算的电子合约中,各方对合约签名确认,后期严格按照合约进行计算。在整个数据出域计算的过程中对计算合约的达成、执行、结果输出等关键环节进行存证(可结合区块链技术),保证各方的行为可审计、可追溯。这样通过计算合约和存证的技术方法保证了各方能够按照所声明的方式进行数据出域、完成计算过程。计算合约机制适用于多方安全计算、联邦学习、可信执行环境等多种技术类型,有效保证了数据的用途用量可控,维护了数据控制者的权益
128、。(2)制定数据出域风险评估标准与实施指南 鉴于目前尚未有关于数据出域相关的制度与标准建设,导致金融机构在出域风险评估方面缺乏实际操作指引,因此亟须推动数据出域风险评估标准与实施指引出台,明确不同场景下数据控制者面临的数据出域风险,评估隐私计算技术,以及其他辅助技术(如计算合约、存证机制)对数据出域的影响,构建数据出域的合规性度量框架。进一步明确金融机构数据出域管理手段与技术手段的适配性问题,提高金融机构数据出域过程中的可操作性。金融数据保护治理白皮书 64 (3)推动数据出域技术应用的试点工作 以多方安全计算、联邦学习、可信执行环境为代表的隐私计算技术为解决数据出域提供了创新路径,应积极推动
129、隐私计算数据出域应用试点工作,考虑不同技术路线、不同计算架构、不同应用场景、不同类型金融机构数据出域的实际情况,重点考察多个数据控制者与被授权使用者的数据出域的风险链条,以及不同技术路线下数据出域风险的可监管性等。(4)以数据出域促进数据流通网建设 数据出域并非仅仅为了两个金融机构间的数据融合利用,其最终目的是促进整个金融行业的数据流通。因此,在数据出域的基础上,下一步将考虑多个金融机构或不同团体间的数据高效、合规流动,构建整个金融行业的数据流通网。金融数据保护治理白皮书 65 四、金融数据保护治理体系 金融业一直是信息化、数字化建设中的领先行业。金融行业的发展与国民经济各个行业的繁荣发展紧密
130、相关。在金融业的发展过程中,逐渐积累并形成了大体量、多层次、多样化的数据资产,这些数据资产不仅是行业自身的资产,更是国家的资产。因此,对于金融数据保护治理的建设非常重要。我国在借鉴国际上先行的法律法规和标准上,为满足国家安全需要,也适时地推出了数据安全法。其中有“各地区、各部门对本地区、本部门工作中收集和产生的数据及数据安全负责。工业、电信、交通、金融、自然资源、卫生健康、教育、科技等主管部门承担本行业、本领域数据安全监管职责。”的明确要求。同时,“数据保护”也是金融业数据管理的 8 个能力域之一(见JR/T 0218-2021 金融业数据能力建设指引)。在相关背景和要求之下,金融数据保护治理
131、的建设将充分借鉴 GB/T 32988-2019 数据安全能力成熟度模型中组织建设、制度建设、流程规范、技术支撑 4 个数据安全能力维度,根据金融行业特点,构建具有金融行业特色的数据保护治理框架和内容。(一)数据保护治理主要框架介绍(一)数据保护治理主要框架介绍 近年来,数据保护治理的重要性愈发得到业界重视,多种数据安全治理框架相继提出,比较有代表性的数据保护治理框架包括微软 DGPC 框架、Gartner DSG 框架,以及我国国家标准信息金融数据保护治理白皮书 66 安全技术 数据安全能力成熟度模型(GB/T 37988-2019)中的数据安全能力成熟度模型(DSMM,Data Secur
132、ity Maturity Model)等。1.1.隐私、保密和合规框架(隐私、保密和合规框架(DGPCDGPC)2010 年,微软提出了以隐私、保密和合规为治理目标的数据保 护 治 理 框 架DGPC(Data Governance for Privacy,Confidentiality and Compliance)59。DGPC 框架由人员、流程和技术三个核心能力领域组成,旨在通过统一的、跨部门的协作,实现数据保护治理。人员领域。人员领域。首先需要建立由组织内部人员组成的 DGPC 团队,团队成员共同负责定义与数据分类、保护、使用和管理有关的治理原则、策略和过程。同时,组织需要明确 DGP
133、C 团队的角色和职责,并为 DPGC 团队提供必要的资源支持。流程领域。流程领域。在建立了 DGPC 团队的基础上,组织需要对数据保护治理的相关流程进行清晰定义。首先,需要对组织必须满足的各类权威文件(包括法律法规、标准规范,以及企业政策和战略文件等)进行全面梳理,理解权威文件间的相互关联、相互影响,并将组织的业务和合规性要求整合到统一框架中。然后,需要定义满足各类合规要求的指导原则和策略。最后,对数据流动过程中数据保护、隐私和合规所面临的威胁进行识别,分析风险并根据风险控制目标采取必要的安全控制措施。59 A Guide to Data Governance for Privacy,Conf
134、identiality,and Compliance,Microsoft,2010.金融数据保护治理白皮书 67 技术领域。技术领域。微软围绕 DGPC 框架开发了一套特定的数据流分析方法,关注数据生命周期、核心技术领域、组织的数据隐私和机密性原则三个核心元素。其中,数据生存周期包括数据的采集、存储、处理、更新、转移、删除;核心技术领域包括安全基础设施、身份鉴别与访问控制、数据保护、审计和报告;数据隐私和机密性原则包括数据生命全周期内遵守策略原则、最小化未授权访问和数据滥用风险原则、最小化机密数据丢失影响原则、使用适当的控制措施并证明有效性原则。DGPC 框架以隐私、机密性和合规为数据保护治理
135、目标,以数据生命周期和核心技术领域为核心关注点,基于威胁建模与风险评估的方法,从方法论的层面对组织如何实施数据安全治理进行了阐述。2.2.数据安全治理框架(数据安全治理框架(DSGDSG)2015年,Gartner提出了数据安全治理(DSG,Data Security Governance)概念60,从方法论的角度阐述了数据安全治理的框架。DSG 框架特别强调数据保护治理应该从组织的业务风险分析出发,对组织涉及的数据集进行识别、分类和管理,并针对数据在不同场景中的机密性、完整性、可用性定义和实现安全策略。同时,DSG 框架强调数据安全团队可以面向数据全生命周期过程进行业务影响分析,及时发现和处
136、理数据安全风险。DSG 框架将 60 How to Use the Data Security Governance Framework,Gartner,2018.金融数据保护治理白皮书 68 数据保护治理的具体实现过程划分为五个阶段,DSG 框架如图 1所示。图 1 DSG 框架示意 平衡业务需求和风险。平衡业务需求和风险。从组织的发展战略、治理、合规、IT策略及风险容忍度五个关键方面出发,分析安全需求,并制定符合组织经营发展与风险管控需求的数据安全治理策略。数据梳理和数据生命周期管理。数据梳理和数据生命周期管理。对组织管理的数据资产进行全面识别与梳理,覆盖数据获取、存储、分析、演变、归档、
137、销毁等数据生命周期各个环节,对数据进行分类分级。定义数据安全策略。定义数据安全策略。需要从两个方面定义组织的数据安全策略,首先需要明确数据保护的对象、所涉及人员与访问行为,然后基于数据分类分级的结果针对性地制定数据安全策略。部署安全能力与产品。部署安全能力与产品。组织需要根据数据资源的类型、存储位置、应用场景等,采用和部署多种安全工具以支撑数据安全策金融数据保护治理白皮书 69 略的实施,包括密码系统(Crypto)、以数据为中心的审计和保护系统(DCAP,Data Centric Audit and Protection)、数据防泄漏系统(DLP,Data Loss Prevention)、
138、云访问安全代理系统(CASB,Cloud Access Security Brokers)、身份识别与访问管理系统(IAM,Identity and Access Management)、用户与终端行为分析系统(UEBA,User and Entity Behavior Analytics)。策略配置与同步。策略配置与同步。为所有安全能力与产品配置策略并保持策略的一致与同步,策略执行对象包括数据库、大数据系统、文件类数据、云端数据、终端数据等,确保数据保护产品之间能够互相协作,形成一体化的安全体系。DSG 框架从方法论的角度阐述了数据保护治理的思路、基本框架和步骤,并从宏观层面给出了数据保护能
139、力与产品的部署建议,组织在开展数据保护治理实践过程中,可以根据治理对象和场景的不同采取差异化的部署方式并按需组合使用。3.3.数据安全能力成熟度模型(数据安全能力成熟度模型(DSMMDSMM)2019 年 8 月,全国信息安全标准化委员(TC-260)正式发布信息安全技术 数据安全能力成熟度模型(GB/T 37988-2019)国家标准61,提出数据保护成熟度模型(DSMM,Data Security Maturity Model)。DSMM 模型参考通用的能力成熟度模型,对数据保护能力成熟度进行了定义和等级划分,并从数据生命周期安 61 GB/T 37988-2019,信息安全技术 数据安全
140、能力成熟度模型 金融数据保护治理白皮书 70 全和通用安全出发,定义了数据保护过程域体系,从组织建设、制度流程、技术工具,以及人员能力四个方面对数据安全能力成熟度进行分级阐述,提供了针对每个能力成熟度等级的具体要求和评估方法,DSMM 模型如图 2 所示。图 2 DSMM 模型示意 DSMM 模型包括以下三个维度:数据生命周期安全。数据生命周期安全。围绕数据生命周期安全(包括数据采集、传输、存储、处理、交换、销毁)和通用安全(包括数据安全策略规划、组织和人员管理、合规管理、数据资产管理、数据供应链安全、元数据管理、终端数据安全、监控与审计、鉴别与访问控制、需求分析、安全事件应急)各个关键环节,
141、提出大数据环金融数据保护治理白皮书 71 境下,以数据为中心、面向数据生命周期各阶段的数据保护过程域体系,共划分为 30 个过程域。安全能力维度。安全能力维度。基于所提出的数据保护过程域体系,将每个过程域所需要具备的数据保护能力进一步划分为四个维度,包括制度流程、人员能力、组织建设和技术工具四个维度。能力成熟度等级。能力成熟度等级。基于统一的分级标准,将数据保护能力成熟度划分为持续优化、量化控制、充分定义、计划跟踪和非正式执行五个等级,并提出了各个数据保护过程域中不同能力成熟度等级所对应的安全要求。DSMM 模型将关注视角从数据本身扩展到数据生命周期各阶段,定义了一套以数据为核心的、围绕数据生
142、命周期的能力评估模型,可以为组织开展数据保护治理实践提供参考。同时,DSMM模型也可以作为一种评估方法,用于对组织的数据保护治理能力进行客观评价,帮助组织更好地感知数据保护治理水平,明确需要持续提升的环节。(二)金融数据保护治理总体框架建议(二)金融数据保护治理总体框架建议 好的企业组织架构是企业战略级工作执行的有力基础。通过组织架构的建立适配数据保护治理工作的要求和落地,将数据治理工作的执行融合到架构建立中,才能够快速推进和保障有序开展。金融数据保护治理白皮书 72 针对数据保护治理来说,涉及公司所有部门的相关工作,从技术、业务到法律、管理、运营等等,从而需要建立相应的流程制度,规范数据的管
143、理和治理工作,并防范数据泄漏安全风险。在数据保护治理工作的过程中,离不开技术的支撑,从而实现数据保护治理的数字化转型。通过技术保障确保数据保护治理工作的高效推进,同时实现数据保护治理的可记录、可追踪、可审计。企业组织架构是数据保护治理工作的基石,流程规范是道路,技术保障是工具。三者相辅相成,共同促进数据保护治理的实现。金融数据保护治理总体框架如图 3 所示。图 3 金融数据保护治理总体框架 本章节将从组织建设、管理体系建设、技术支撑建设三个小节为金融机构提供数据保护治理建设范式。金融数据保护治理白皮书 73 (三)组织建设(三)组织建设 1.1.组织架构组织架构 依托董事会、监事会、高管层等公
144、司治理层面的精准履职、决议授权,保障组织机构职能管理的顺畅运行。建立由高管层直接领导,企业或组织内部相关部门负责人作为主要成员的数据保护工作的决策机构,名称可以是数据保护领导小组或数据保护委员会等名称。这通常是一个虚拟机构,职责是负责企业或组织的数据安全保护工作的日常决策和议事协调,根据企业或组织的经营战略和内外部信息安全形势制定数据保护目标和管理策略;总体部署数据保护工作,统筹协调数据保护的重大工作和重要任务,为任务的落实提供组织、资源和管理保障。管理层主要由数据保护的牵头管理部门的人员组成,负责对决策层的决策和监管要求进行规范和细化,推进企业或组织数据保护的日常管理工作,协调跨部门协作,开
145、展数据保护工作的考核和评估管理,直接向决策层报告工作。执行层由数据主管部门、数据使用部门、数据运维部门等执行部门组成,并在各主要部门设置数据保护工作的专职岗位。执行层各部门按照数据保护责任制落实数据保护的主体责任,在工作中严格遵守管理层发布各项规章制度,将数据保护落实到经营管理的日常工作中并做细化落地。监督层由企业或组织的风险管理部门和审计部门组成,定期对数据保护管理层和执行层的工作进行评估和审核,并将结果上金融数据保护治理白皮书 74 报给决策层。监督层的工作具有相对独立性,“3+1”层的数据保护组织架构如图 4 所示。图 4“3+1”层的数据保护组织架构 各分支机构应建立相应的数据保护组织
146、架构,负责在辖内贯彻落实数据保护的各项政策和制度。2.2.定责定岗定员定责定岗定员 对数据保护组织架构中各个层次各个部门的工作职责进行细致的分工,如数据管理部门在本部门业务数据范畴内提出数据保护需求,并对本业务条线数据保护情况进行持续监控和改进;数据采集部门按照数据保护技术规范采集数据等。明确数据工作人员的岗位职责,完善岗位职责说明书,明确数据保护工作的具体岗位,以及人员能力要求,并明确岗位互斥要求。金融数据保护治理白皮书 75 明确总部和分支机构的职能定位、工作范围和相应人员需求优化人员配置比例,制定总部和分支机构的人员交流计划和流动通道。3.3.队伍建设队伍建设 基于企业或组织发展战略与数
147、字化转型工作要求,构建与之相适应的数据保护人员资源需求,制定相应的人力资源规划,以及可行的人员补充计划。力促数据保护专职人员占到科技人员的3%,为数据保护工作提供充分的人才支撑。培养企业或组织自己的数据保护人才队伍,建设一支切实掌握理论、充分学习实践的专业复合型队伍,加强专家级人才的引进与培养。建立适合于数据保护工作特色的激励机制,拓宽人员发展空间。建立科学的管理和培训体系,快速提升人员能力素质。提高培训的专业化水平,加大专家级培训的投入,定期进行专家级人才的经验分享,不断提高人员能力;建立覆盖入职培训、在职岗位培训、专业培训的全方位培训课程体系,加强培训效果评估和跟踪,提高培训成果转化率。(
148、四)管理体系建设(四)管理体系建设 1.1.建设思路建设思路 金融行业数据安全保护管理体系依赖于制度和流程规范的建立,在建设和不断完善的过程中,应紧密贴合金融机构的组织架构,以及机构内各部门的管理职能(领域)的衔接融合,以便金融数据保护治理白皮书 76 能够共同承接顶层的数据安全保护战略。金融行业数据安全保护管理体系建设思路如图 5 所示:图 5 金融行业数据安全保护管理体系建设思路 2.2.体系介绍体系介绍 (1)框架介绍 数据安全保护管理体系包含基本制度、配套制度与流程规范,这些制度文件的层级分别对应为第一、二、三级。具体的基本制度、配套制度设计见图 6 所示:金融数据保护治理白皮书 77
149、 图 6 基本制度、配套制度设计 根据制度框架所示,数据安全保护基本制度属于一级制度,一级制度下细分了二级相关制度(在金融行业对二级制度也有细则的称谓),二级制度对应了相应的流程描述,并视需要定制规范性模板供使用参考。数据安全保护管理体系下制度流程较多,他们之间的关系描述如下:(a)基本制度涵盖各领域专门制度。(b)数据分级管理是建立统一、完善的数据生命周期安全保护框架的基础工作,能够为金融业机构制定有针对性的数据安全管控措施提供支撑。因此 数据资产分类分级管理制度 是 数据生命周期安全保护制度的前提。在数据的分类分级明确后,金融数据保护治理白皮书 78 需将不同安全级别的数据的区分对待,并融
150、入到数据生命全周期各具体场景中,这些要求应充分体现在 数据生命周期安全管理中。如上内容体现出这两个制度是 基本制度 涵盖领域的核心。(c)数据安全保护应遵从金融机构内外部的审计合规,因此需要有数据安全保护审计的制度安排。数据安全保护风险评估管理除包含合规审计风险外,更应该关注于评估不同安全级别的数据在生命周期的各环节被破坏后带来的影响/风险。而数据安全保护应急处置制度,应充分结合具体的数据风险来制定,使得应急处置具有针对性、有效性,真正达到有效缓释数据风险的目的。(d)审计合规的检查结果不仅应作为考核评价的输入参考,也应约束数据安全保护工作的自评估结果。同时,应将数据安全保护工作纳入金融机构的
151、考核评价体系中。自评估工作与考核评价应统一协调进行。数据安全保护的审计合规、考核评价、自评估之间关联、约束、协调,应分别在数据安全保护考核(处罚与奖励)数据安全保护的自评估与数据安全保护审计制度中充分体现。(e)鉴于如上制度安排的安全保护工作会不同程度、不同场景地涉及技术支撑,因此应视组织的需要来选择性制定数据安全保护技术管理制度或类似的约定。与此同时,数据安全保护技术的水平,在具备一定的技术条件下,也可纳入自评估和考核评价体系。若数据安全保护技术本身存在技术风险或导致引入金融数据保护治理白皮书 79 新的风险,应及时纳入风险评估并制定相应的风险缓释策略。制度流程之间的关系如图 7 所示。图
152、7 制度流程之间的关系(2)基本制度 基本制度即数据安全保护基本制度。主要分为总则、组织架构、涵盖领域、附则部分。(a)总则 阐述数据安全保护基本制度(简称“基本制度”)的目标、适用范围、关键术语定义等。金融数据保护治理白皮书 80 (b)组织架构 阐述管理组织架构与职责分工。(c)涵盖领域 分章节简要阐述基本制度涵盖的各领域。阐述内容主要按照如下顺序:首先:数据分类分级管理、基于数据分类分级的数据生命周期安全管理。其中,个人信息作为金融数据的一个重要子类和其重要性,需单独体现;数据出口涉及数据要素在主权(领)域外的共享或转让交易,单独体现。其次:数据安全保护风险评估、基于风险评估的应急处置。
153、再次:基于上述领域工作开展的内部主动审计与被审计,以及内部考核评价。最后,基于数据安全能力成熟度模型等文件精神,结合自身的风险评估、应急处置、审计、考评结果,对数据安全保护能力和水平进行自评估。若涉及数据安全保护技术的评估,需重点考量技术与如上制度和场景的配套完整性和支撑度。(d)附则 要求数据资产管理应包含有数据保护,且资产分类除立足于使用、存储之外,应涵盖基于数据保护维度的资产分类方法,以便支持和呼应本制度框架。金融数据保护治理白皮书 81 (3)配套制度与流程规范 配套制度与流程规范是在基本管理制度和组织架构保障的基础上,指导管理体系具体落地、支撑数据保护策略有效实施的系列文件。其主要目
154、标是进一步提升数据管理体系的落地性,为人员更好地履行数据保护职责、执行数据保护操作提供更加具体、清晰、明确的步骤说明和操作指导。(a)数据资产分类分级管理制度 金融行业数据安全保护管理体系应充分明确被保护的对象为数据资产。因此,应紧紧围绕金融数据资产,考虑数据资产的特性,避免数据安全保护与被保护对象脱节。数据资产的分类分级管理是建立统一完善的数据全生命周期保护框架的基础工作,能够为金融业机构制定有针对性的数据安全管控措施发挥不可替代的支撑作用。其主要流程如下:识别数据资产;选定数据范围;制定定级原则;设定危害等级;收集保护需求;数据分类分级;形成通用规则;金融数据保护治理白皮书 82 探讨特性
155、规则;分类分级维护;分类分级备案。(b)数据生命周期安全保护制度 金融数据生命周期安全保护是指金融业机构在开展业务和进行经营管理的过程中,对金融数据在采集、传输、存储、使用、删除、销毁等环节对数据保护应遵守的基本操作和步骤。数据生命周期安全保护,需以数据资产的分类分级为基础,针对不同安全级别的数据,明确其在采集、传输、存储、使用、删除,以及销毁等各个环节的安全保护措施,形成覆盖全流程数据安全保护能力。主要流程如下:依据数据分类分级规则和成果,对数据全链路做贯穿式等级标识;制定从金融信息主体处、外部机构处,以及所在数据安全域直接或间接采集数据的策略;建立数据传输授权机制,明确数据范围、频次、有效
156、期。根据不同传输形式和不同传输对象,采用适当的数据传输技术(包含但不限于用户权限设置、网络协议、加密等手段),保障数据传输中的收发、登记、编号、传递、保管和销毁各环节安全;金融数据保护治理白皮书 83 权衡数据安全保护级别、重要性、量级、使用频率等诸多因素,制定数据分域分级存储策略,并将策略覆盖到数据存储、数据备份、数据恢复等活动;识别数据使用场景中(数据的访问、导出、加工、展示、开发测试、汇聚融合、公开披露、数据转让、委托处理、数据共享等活动)不同的主体角色、信用等级、业务需要、时效性等因素,制定数据使用通用保护规则,以及本机构或部门级别特色需求的保护规则;建立针对不同类型的数据设定数据保存
157、期,以及相应的删除或销毁机制。数据保存周期应严格遵循国家、行业主管部门、本机构的有关规定及与个人金融信息主体约定的时限。对于时限发生的变动,应及时响应评估并做适应性保护策略调整。(c)数据安全保护风险评估管理制度 主要流程如下:锚定数据分级规则和数据生命周期安全管理策略;识别如上规则和策略与数据安全保护能力成熟度的差距;基于风险分类建立定性与定量相结合的评估方法;依据制定的评估方法,对不同类型的风险,比对成熟度差距进行风险评估并得出风险估值(原始值),为数据安全保护应急处置提供重要参考;金融数据保护治理白皮书 84 根据应急处置方案的缓释能力估值和方案执行效果的反馈,不断修正风险评估方法和计量
158、方法。(d)数据安全保护应急处置制度 主要流程如下:锚定数据分级规则和数据生命周期安全管理策略;根据风险分类和原始估值制定应急处置策略,并对不同的风险缓释策略进行缓释能力估值;根据不同的应急处置策略及其缓释能力值,分别计算风险残值;应急处置情况通报;根据实际应急情况下采用的策略和处置效果,持续优化应急处置策略,促进风险评估方法的不断优化。(e)数据安全保护审计制度 主要流程如下:将数据安全保护审计纳入本机构审计工作;根据本机构实际情况,设定每期数据安全保护审计工作目标;执行审计并记录审计结果;与审计相关方(干系人)确认审计结果,听取审计工作建议并适应性采纳;金融数据保护治理白皮书 85 编写审
159、计报告并向管理层、决策层上报,听取领导工作指示;审计报告发布;监督审计整改效果,定期开展“回头看”。(f)数据安全保护考核(处罚与奖励)制度 主要流程如下:将数据安全保护考核纳入本机构考核工作;根据本机构实际情况,设定每期考核工作目标;执行考核并记录考核结果;与考核相关方(干系人)确认考核结果,听取采纳考核工作建议并适应性采纳;考核结果上报并听取领导工作指示;考核结果发布;定期评估考核方法提升效果,不断增强工作有效性。(g)数据安全保护自评估 主要流程如下:选定自评估范围,制定评估原则,收集评估标准;设计评估模板,编制评估标准;设定评估优先级、评估周期;执行评估;金融数据保护治理白皮书 86
160、与评估相关方(干系人)确认评估结果,听取评估工作建议并适应性采纳;评估结果上报并听取领导工作指示;评估结果发布。(i)小结 上述制度与流程规范的阐述主要从制度框架、制度关联性等专业角度来阐述。对于管理体系中的制度没有接触或接触不多的相关读者,可将上述管理体系的核心内容分为 4 类来理解,即:数据资产分级分类、数据全生命周期保护、风险合规与考核,以及通用安全基础。安全保护内容如图 8 所示:图 8 数据安全保护体系总体框架(4)管理体系的持续发展 数据安全保护管理体系在实际应用过程中不是一成不变的,需要根据具体施行情况和效果,对体系进行持续的优化完善,以金融数据保护治理白皮书 87 保证准确性、
161、有效性、及时性,和适用性。通常来讲,导致事物变化的诱因可分为外部和内部因素。外部因素包括但不局限于:数据安全能力成熟度模型、金融数据安全数据生命周期安全规范、金融业数据能力建设指引、金融数据安全分级指南、证券期货业数据分类分级指引、数据安全治理能力评估方法、金融科技(FinTech)发展规划等一切有强制/推荐执行,或者具有指导意义的文件精神,以及同行业最佳实践的经验借鉴。当前数据安全已上升至国家层面,而金融行业事关国家经济命脉,其天然是一个被强监管行业,因此金融机构对外部因素应尤其重视。内部因素包括但不局限于:本机构数据安全保护战略、组织架构、专业团队水平、数据安全保护文化,以及数据安全保护需
162、求和能力的变化。综上,需要建立针对数据安全保护体系的管理机制,包括整体规划、制定设计、评审发布、监督评价、迭代更新。数据安全保护体系的管理机制如图 9 所示 金融数据保护治理白皮书 88 图 9 数据安全保护体系的管理机制 整体规划:依据国家和本机构的数据安全保护战略,结合数据保护工作开展的实际需要,对管理体系进行整体规划,明确工作目标,规划管理体系框架。制定设计:依据整体规划阶段的成果,按照特定工作领域细化制度流程规范内容,重点关注流程规范的可操作性和落地性。评审发布:组织评审制定设计阶段的成果。评审人员可包括管理层、内外部专家、流程规范相关方等。评审结束后,根据评审结果及建议进行进一步修订
163、直至正式发布。若评审过程中涉及外部专家,应符合外部人员管理等相关规章制度。金融数据保护治理白皮书 89 监督评价:对制度流程规范具体执行过程中相关方的操作行为等进行监控、记录与审计,并可结合意见反馈、结果度量等方式,对执行成效进行监督评价。迭代更新:如本小节前文所列内外部因素,对管理体系进行持续迭代更新。需要说明的是,内部因素和外部因素并不是严格对立的,内外部因素在一定的条件下可以相互影响。正如数据安全法第九条62、第十条63所体现的精神,有关部门、行业组织乃至国家多个层面是共同提高数据安全保护水平的有机统一体。(五)技术支撑建设(五)技术支撑建设 金融数据保护治理的技术支撑应用在完整的数据生
164、命周期当中,包括金融数据的采集、传输、存储、使用、删除、销毁的整个过程,明确在不同的阶段采用对应的技术手段实现金融数据的保护治理,结合金融业务规则和数据特点,建立覆盖金融数据生命周期全过程的安全防护机制,全面加强金融机构数据安全保护能力。金融数据保护治理的关键技术按照金融数据生命周期的流程分类如图 10 所示:62 数据安全法第九条:国家支持开展数据安全知识宣传普及,提高全社会的数据安全保护意识和水平,推动有关部门、行业组织、科研机构、企业、个人等共同参与数据安全保护工作,形成全社会共同维护数据安全和促进发展的良好环境。”63 数据安全法第十条:“相关行业组织按照章程,依法制定数据安全行为规范
165、和团体标准,加强行业自律,指导会员加强数据安全保护,提高数据安全保护水平,促进行业健康发展。”金融数据保护治理白皮书 90 图 10 金融数据保护治理 关键技术分类 1.1.数据采集数据采集 数据采集是指金融业机构开展经营管理活动、提供金融产品和服务过程中,直接或间接从个人金融信息主体、企业客户,以及外部数据供应方等外部实体获取数据的过程。数据采集过程中可以采用以下技术手段防范数据泄露、数据源伪造、数据篡改等风险。(1)密文接入 对于敏感信息的采集,在信息所有者授权后,应使用加密等技术措施保证数据的保密性,并根据业务需要采取展示屏蔽等措施防止明文回显,防止信息被未授权的第三方获取。(2)数据源
166、鉴别 采用数字签名等技术对产生数据的数据源进行身份鉴别并进行记录,防止数据仿冒和数据伪造。金融数据保护治理白皮书 91 (3)质量控制 通过数据清洗(如去重、校验)、数据转换(标准化)等方式对数据进行预处理,保证数据采集过程中收集、产生的数据的准确性、一致性和完整性。同时可以通过数据采集监控,对采集过程、结果、明细进行动态监控,及时了解采集运转情况。(4)数据识别及分类分级 对数据资产进行准确的识别和分类分级,掌握数据资产的分布情况,对后续开展数据保护治理工作将提供坚实的基础。我们可以通过数据来源、数据内容、数据用途、数据协议、用户等对采集的数据进行静态或动态的识别,进而进行分类分级,针对不同
167、级别的数据进行策略设置,对数据的去向进行标记,实现从采集环节的跟踪管理。2.2.数据传输数据传输 在数据传输环节中,有如下关键技术提供数据保护的能力支撑:(1)网络防护 不同网络区域或者安全域之间一般采取安全隔离和访问控制措施,如通过防火墙、入侵检测等安全技术或设备,确保网络边界安全;终端采取准入控制、终端鉴别等技术措施,防止非法或未授权终端接入内部网络。金融数据保护治理白皮书 92 (2)通信安全 通信双方一般通过身份认证确保安全可信;采取设立专线或 VPN 等措施确保数据传输通道安全;采用数字签名、时间戳、摘要、消息认证码等密码技术或奇偶校验、校验和等非密码技术,确保数据传输的机密性、完整
168、性和抗抵赖性。(3)密码技术 依据密码法相关规定,遵循密码管理相关国家标准,可采用商用密码技术对传输中的数据进行保护,包括但不限于密码算法、密码协议,以及软硬件密码产品等。(4)物理介质安全 通过确保物理介质安全保证数据传输的安全性,一般可以通过密钥、口令等方式控制对物理介质的访问,还可以通过加密方式确保数据在物理介质中安全存储。3.3.数据存储数据存储 数据存储是指金融业机构在提供金融产品和服务、开展经营管理活动中,将数据进行持久化保存的过程,包括但不限于采用磁盘、磁带、云存储服务、网络存储设备等载体存储数据。在数据存储环节中,有如下关键技术提供数据保护的能力支撑:(1)加密存储 加密存储可
169、以防止数据窃取和泄密。加密过的文档,未经许可及对应权限无法打开,即使被拷走,数据是密文形式,无法查看其真实内容。数据加密类型常用的分为两种:金融数据保护治理白皮书 93 (a)对称加密技术 对称加密利用一个密钥对数据进行加密,对方接收到数据后,需要用同一密钥来进行解密。这种加密技术的特点是数学运算量小,加密速度快,其主要弱点在于密钥管理困难,而且一旦密钥泄露则直接影响到信息的安全性。国内金融行业应用推荐使用国密商用密码算法 SM1、SM4 等。(b)非对称加密技术 非对称加密算法的核心是运用一种特殊的数学函数-单向陷门函数,即从一个方向求值是容易的,但其逆向计算却很困难,从而在实际上成为不可行
170、的。公开密钥加密技术不仅保证了安全性又易于管理。其不足是加密和解密的时间长。国内金融行业应用推荐使用国密商用密码算法 SM2 等。除了密码学算法本身的安全性和健壮性,一个密码系统的安全性也取决于对密钥的保护和管理。密钥管理指自密钥的产生到密钥的销毁,整个过程大致包括密钥的生成、存储、分配、启用、停用、控制、更新、撤销和销毁,其中密钥的分配和存储最为关键。密钥的管理目的是维护系统与各个实体之间的密钥关系,以抵抗各种可能的威胁,密钥管理要借助加密、认证、签名等技术手段来实现,密钥的更换采用一次一密、定期更换等方式来保证密钥安全。金融数据安全 数据生命周期安全规范要求:“3 级数据的存储应采取加密等
171、技术措施保证数据存储的保密性”,但是数金融数据保护治理白皮书 94 据从明文状态加密至密文状态的计算开销、存储开销和快速检索问题,都是对运维人员的挑战,只有解决了这一系列问题,才能保证加密存储的同时,数据安全、高效的可用。(2)分级存储 金融数据分类分级与策略定制服务是在数据资产梳理的基础之上,建立数据分类分级标准,从而对数据资产清单进行准确、标准化的分级;同时,结合金融行业机构数据的使用场景,明确制定并严格执行对不同敏感级别数据的安全管控规范。金融数据分级存储技术指根据数据不同的重要性、访问频次等指标分别存储在不同性能和安全级别的存储设备上,采取不同的存储方式。在实际落地过程中,某种敏感业务
172、类型是由数十种原子敏感数据组成的,而这些原子类型也会跨多个表来存储,这将给分级类型的识别带来困扰。这也是分类、分级逻辑上简单、但落地困难的原因,需要专业的系统感知各物理表中的敏感数据比例,充分分析整体数据存储情况来给出智能推断,辅助分类分级达到良好的落地效果。(3)分域存储 金融数据的存储按照不同的区域进行预先规划,并对不同区域之间的数据流动进行安全管控,如:根据开发测试、数据分析、生产服务等不同用途来划分不同的区域对金融数据进行存储和应用。金融数据保护治理白皮书 95 (4)备份恢复 数据安全问题中最严重的是数据的丢失和篡改,容灾备份是解决该问题最有效的方案,能够在灾难来临时,实现关键数据的
173、快速恢复,保证信息系统的正常运行及数据的一致性。金融机构需要根据数据的安全级别和数据对系统运行的影响,制定数据备份策略和恢复策略。在实施环节应注意:1)生产数据应采取实时备份与异步备份、增量备份与完全备份的方式,提供本地数据备份与恢复功能;2)采用异地备份的方式进行异地容灾;3)应定期对备份数据的有效性和可用性进行检查。4.4.数据使用数据使用 数据使用是指金融业机构在提供金融产品和服务、开展经营管理活动中,进行数据的访问、导出、加工、展示、开发测试、汇聚融合、公开披露、数据转让、委托处理、数据共享等活动。(1)访问安全 数据使用不应超出数据采集时所声明的目的和范围,数据使用过程存在数据非授权
174、访问、窃取、泄露、篡改、损毁等安全风险,需要通过访问控制来确保数据使用的安全。访问控制技术主要涉及安全模型、控制策略、控制策略的实现、授权与审计等,其中安全模型是访问控制的理论基础,其他技术则是实现安全模型的技术保障。安全模型是制定安全策略的依据,用形式化的方法来准确地描述安全的重要方面(机密性、完整性和可用性)及其与系统行为的关系。金融数据保护治理白皮书 96 安全模型应综合考虑主体角色、业务需要、时效性等因素,按最小化原则确定数据的访问权限规则。同时应根据数据的不同安全级别,制定和明确数据访问控制过程中的相关安全措施,保障金融数据在被访问过程中的保密性和完整性。(2)数据脱敏 在金融机构内
175、部进行开发测试、数据分析用途的数据应用时,可以通过数据脱敏技术,对发放到开发测试环境或分析环境的生产数据预先进行脱敏处理,确保经过脱敏后的数据不再带有敏感信息,即可以进行开发测试和数据分析。数据脱敏技术包括:静态脱敏、动态脱敏等,消除数据的信息敏感性,有效保证重要数据在分析、开发、测试等数据使用环节中的安全性。静态脱敏用于对开发或测试中的数据集而不是生产中的数据集。数据在使用之前被脱敏,因此数据在存储和随后的使用或传播过程中受到保护。动态脱敏在应用程序或个人根据授权访问数据时,实时进行脱敏操作。(3)数据水印 数据水印指从原始环境向目标环境进行敏感数据交换时,通过一定的方法向数据中植入水印标记
176、,从而使数据具有可识别分发者、分发对象、分发时间、分发目的等因素,同时保留目标环境业务所需的数据特性或内容的数据处理过程。数据水印的基本设计原则包括:可追溯性、仿真性、部分有效性、可配置性和安全性。金融数据保护治理白皮书 97 生成数据水印的具体技术方法包含:伪行水印、伪列水印、脱敏水印等,数据水印应用的两种方式是:静态水印和动态水印。数据水印需要能抵抗一定失真内的恶意攻击,并且一般的数据处理不影响水印提取,因此数据水印在实际落地应用过程中仍然需要进一步探索和实践。(4)用户与实体行为分析 UEBA(User and Entity Behavior Analytics,用户与实体行为分析)通过
177、机器学习分析来构建用户和对象(包括主机,应用程序,网络流量和数据库等)的标准配置,以及正常行为模型,相较标准基线,对异常行为的分析可以帮助用户发现安全威胁和隐患。UEBA 常用来检测恶意的内部人员和外部攻击者对企业信息系统的渗透和数据窃取。相较于传统的安全设备分析外部威胁系统,例如:SOC/SIEM(Security Operations Center/Security Information Event Management,安全运营中心/安全事件管理),UEBA 更加聚焦于“异常用户”(即特权账号被盗用)和“用户异常”(即合法的人做不合法的事),在海量告警信息中通过模型和规则分析企业内部威
178、胁,更侧重于关注用户的行为,从另一视角去发现问题。UEBA 的分析方法包括:有监督的机器学习、贝叶斯网络、无监督学习、强化/半监督机器学习、深度学习等。金融数据保护治理白皮书 98 (5)联邦学习 在金融数据应用于融合多方外部数据的建模应用时,为了保护金融数据的隐私安全,可以借助联邦学习技术实现“数据可用不可见”的机器学习模型训练。联邦学习技术使不同的数据拥有方的私有数据不出数据方定义的私有边界内,可以在不交换彼此私有数据的情况下,训练一个共有模型。这个共有模型的效果与聚合各方数据建立的模型效果相接近。以包含两个数据方的联邦学习为例,双方各自拥有一个数据集,按照数据集的分布可分为:(a)两个数
179、据集的特征空间重叠部分较大,而样本重叠部分较小或没有重叠部分,对应的学习模式为横向联邦学习(跨样本联邦学习);(b)两个数据集的样本重叠部分较大,而特征空间重叠部分较小或没有重叠部分,对应的学习模式称为纵向联邦学习(跨特征联邦学习);(c)两个数据集的样本与特征空间重叠部分都较小或没有重叠部分,对应的学习模式称为联邦迁移学习。(6)多方安全计算 不同机构的数据以不同的存储方式存储在不同的 IT 基础设施之上,通常所说的数据融合需要将不同机构的数据融合在一起,存在极大的行业监管风险。多方安全计算技术可以使金融数据在逻辑上与外部区域的数据进行融合关联,物理上数据仍存在各自金融数据保护治理白皮书 9
180、9 机构中,实现安全多方联合计算,进而保障各个合作机构的合规安全,为科学分析、预测和决策提供底层数据能力支持。多方安全计算主要研究针对无可信第三方情况下,安全地进行多方协同的计算问题。即在一个分布式网络中,多个参与实体各自持有秘密数据,各方希望以这些数据为输入共同完成对某函数的计算,而要求每个参与实体除计算结果、预期可公开的信息外均不能得到其他参与实体的任何输入信息。5.5.数据删除数据删除 数据删除是指在系统及设备中去除数据,使其保持不可被检索、访问的状态。(1)安全删除 超过国家及行业主管部门有关规定、内部规章、合同协议,以及与个人金融信息主体约定的数据保存时限的情况下,金融数据应执行数据
181、删除操作。在金融机构内部作为开发测试、数据分析用途的金融数据在按需应用结束后,同样需要采取删除操作。金融数据的删除过程可通过金融产品和服务的业务系统进行,通过严格的权限控制、流程审批保证删除操作的安全执行,删除的目标数据范围准确无偏差,确保数据在删除之后,无法在业务系统、数据库系统、文件系统,以及其他相关系统上再次被检索和访问。金融数据保护治理白皮书 100 (2)匿名化处理 当金融机构的产品或服务停止对外服务时,应对在提供金融产品或服务过程中收集的个人金融信息做删除或匿名化处理。法律、行政法规规定的保存期限尚未届满,或者删除个人信息从技术上难以实现的,个人信息处理者应当停止除存储和采取必要的
182、安全保护措施之外的处理。匿名化处理技术可移除或修改个人身份信息;经过匿名化处理的数据无法用来与任何个人关联到一起。数据匿名化处理的代表 技 术 有 k-匿 名 化(k-anonymization)和 差 分 隐 私(Differential Privacy)。k-匿名技术通过扰动和泛化的方法使得每一个准标识符都至少对应 k 个实例,这样就不能唯一识别,从而保护了用户的数据隐私。差分隐私是一种向数据中添加数学噪声的技术,保证数据集中任意个体的变化对最终的统计结果几乎没有影响,使处理过后的数据,无法确定任何个人是否属于某数据集。匿名化处理技术的研究工作主要集中在保护隐私信息的同时,提高数据的可用性
183、,这两个方面的平衡是技术实际落地应用的难点。(3)过程记录与复核 较为重要的金融数据在进行数据删除的同时,需要保证删除过程被完整记录,同时建立有效性复核机制,定期通过对应的金融产品或服务业务前台系统或管理后台,进行是否可以访问删除数据的探查操作。金融数据保护治理白皮书 101 6.6.数据销毁数据销毁 数据销毁是指金融机构在停止业务服务、数据使用,以及存储空间释放再分配等场景下,对数据库、服务器和终端中的剩余数据,以及硬件存储介质等采用数据擦除或者物理销毁的方式确保数据无法复原的过程。(1)安全擦除 安全擦除指使用预先定义的无意义、无规律的信息多次反复写入存储介质的存储数据区域,进行数据覆写确
184、保介质中的数据不可再被恢复或者以其他形式被利用。数据覆写是将非保密数据写入以前存有敏感数据的硬盘簇的过程,使用预先定义的无意义、无规律的信息反复多次覆盖硬盘上原先存储的数据,就无法获知原始数据,达到安全擦除的目的。根据数据覆写时的具体顺序,可将其分为逐位覆写、跳位覆写、随机覆写等模式。根据时间、密级的不同要求,可组合使用上述模式。在完成安全擦除之后,需要通过数据恢复工具或数据发现工具进行数据的尝试恢复及检查,验证安全擦除结果。(2)物理销毁 当存储数据的介质不再使用时,采用不可恢复的方式对介质本身进行销毁处理。物理销毁指采用物理破坏的方法是存储介质彻底失效,具体方法分为:消磁、焚化、粉碎等方式
185、。消磁是磁介质被擦除的过程,对硬盘施加瞬间强磁场,磁性颗粒就会沿场强方向一致排列,变成了清一色的“0”或“1”,失去了数据记金融数据保护治理白皮书 102 录功能。焚化、粉碎指由专门机构通过熔炼工具、粉碎工具对物理介质进行销毁处理。较为重要的金融数据的存储介质不能移作他用,在销毁时应采用物理销毁的方式对其进行销毁处理。(3)云环境销毁 如待销毁数据曾保存在云存储、云计算等云服务平台中,需要根据云上存储的数据类型、存储方式、管控手段等,使用云服务平台提供的数据销毁机制彻底清除和销毁云平台中存储的数据。金融数据保护治理白皮书 103 五、发展展望 数据保护治理是个系统性的工程,需要国家立法部门、政
186、策制定部门、监管部门引导和组织相关企业相互协作,合力应对数字经济时代的数据安全风险和挑战,尽快为我国建立和发展数据安全保护的生态体系,保障数字经济健康有序发展。我们提出如下展望:(一)聚焦实操问题,加快数据保护实施标准建设(一)聚焦实操问题,加快数据保护实施标准建设 聚焦数据权属界定、数据保护技术等实操问题,鼓励企业实质性参与数据保护等实施标准的制修订工作,研制可操作性强、量化指标明确、与实际技术发展水平衔接紧密,更具参考价值的标准。例如在数据归属权方面,根据个人信息保护法,个人信息不包括匿名化64处理后的信息,即带有自然人标识的信息或者可被复原的自然人信息归属权为“自然人”,采集和使用均需征
187、求“自然人”的同意;匿名化后的数据则归属权为“个人信息处理者”(例如金融机构)。但在实际操作落地过程中,“匿名化”的实施标准,以及相关技术操作指引尚不明确,进一步导致了在实操层面个人信息权属难以界定的问题。此外,建议国家及相关监管部门积极开展数据领域国际交流与合作,充分借鉴国外在数据保护方面的先进实践经验,促进我国数据保护标准体系的不断完善。64 匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程 金融数据保护治理白皮书 104 (二)优化数据保护技术,推动数据共享良性循环(二)优化数据保护技术,推动数据共享良性循环 鉴于数据要素资产的特殊属性,需要大力跟进和推动以下新技术的研发和迭
188、代,保证数据提供方、使用方、监管方的利益和诉求,推动数据共享交流的良性循环。一是建议持续优化“数据识别与分类分级”、“匿名化”、“脱敏”等技术,为金融数据分类分级及保护提供有效技术支撑。二是建议持续推进同态加密、多方安全计算、联邦学习等隐私计算技术的发展与应用,实现数据使用上的“可用不可见”,“开放不共享”,保障金融机构间跨实体的数据流通安全。三是大力发展可信区块链技术、数据水印和数据血缘技术。其中,利用区块链不可篡改,可追溯的特点,提供可信的数据上线、认证、使用和交易平台,支持开放透明的数据共享和交易监管;利用数据水印与血缘分析保证数据流转和衍生数据的可追溯性,保障数据提供者和使用者的权益,
189、提供有效的监管支持。(三)强化数据安全评估,建立闭环式管控体系(三)强化数据安全评估,建立闭环式管控体系 金融数据安全 数据生命周期安全规范(JR/T 0223-2021)要求金融机构建立数据安全评估、个人金融信息安全影响评估,以及内外部数据安全检查与评估制度。同时该规范中提到了 30余处安全评估建议,例如“在数据汇聚融合阶段,汇聚融合的数据不应超出采集时所声明的使用范围,汇聚融合前应根据汇聚融合后可能产生的数据内容、所用于的目的、范围等开展数据安全影响评估,并采取适当的技术保护措施。”此类安全评估要求囊金融数据保护治理白皮书 105 括了数据采集、传输、存储、使用、销毁,以及第三方机构管理的
190、各个实施环节,目前金标委已发布金融数据安全 数据安全评估规范(征求意见稿),并向各机构征求意见,该标准旨在推动金融机构落实金融业数据安全管理要求,提升金融业数据安全保护工作的规范化和标准化程度,同时为金融业机构制定防范措施及应对安全事件提供科学依据和指导。建议各家金融机构聚焦用数场景加紧对标,助力金融行业数据安全评估体系的落地,建立闭环式的数据安全管控机制。金融数据保护治理白皮书 106 附录 A:金融业数据保护治理实践案例 案例一:工商银行数据保护治理实践案例一:工商银行数据保护治理实践 1 1.案例背景案例背景 为了应对数字化时代的到来,工商银行积极拥抱科技变革,加速推进以大数据为生产要素
191、、以科技为生产工具的新的金融发展格局,金融行业用数规模,以及用数生态随之发生了前所未有的变化。规模化用数、“普惠”用数、跨机构共享用数等需求日益旺盛,同时国内外对数据共享合作的管理要求日趋细化严格,各金融机构亟需尽快构建安全合规的用数生态。在此背景下,工商银行开展了新一轮的数据保护治理工作,面向全行数据要素,坚持安全与发展并重,既充分发挥数据价值,促进数据要素市场化,又避免数据隐私、数据泄露、数据滥用、数据损失等方面带来的安全问题。2 2.安全对策安全对策 工商银行结合全行发展战略,把数据保护治理纳入战略规划目标,构建全面的数据保护治理体系,以及数据全生命周期的风险管理机制。在数据保护治理工作
192、中,重点开展组织建设、制度流程规范建设,以及技术支撑体系建设等工作。金融数据保护治理白皮书 107 (1)组织建设:组织建设:依托现有数据治理的组织架构,明确各机构的数据保护治理职责。(2)制度流程规范建设制度流程规范建设:在现有数据治理的制度规范体系中纳入数据保护相关内容,规范数据保护治理工作机制。(3)技术支撑体系建设:技术支撑体系建设:强化科技支撑,重点开展技术平台能力建设。工行数据保护框架如图 11 所示:图 11 工行数据保护框架 3 3.保护治理实践保护治理实践 工商银行依托数据治理工作,建立了完善的数据安全组织架构及流程规范体系,分别从业务制度和技术控制两个角度合力开展数据保护治
193、理工作。金融数据保护治理白皮书 108 (1)业务制度:积极贯彻国家法律法规及行业标准,完善各类内部制度及审批管理流程,包括数据安全分级分类、对外合作客户信息安全、集团内部客户信息共享、个人客户信息安全等数据保护相关的管理办法和实施细则。(2)技术控制:秉承业界全生命周期数据安全能力建设范式,工商银行结合自身数据安全发展情况,梳理形成围绕数据资产管理、数据生命周期安全、基础安全及监测响应四个方面的全局数据安全能力视图。依托该能力视图,对安全能力进行整体统筹规划和落地实现,前期已通过搭建数据资产管理平台、加密服务平台、身份认证与集中授权平台、合作方共享服务平台、安全运营中心等大量专业技术平台为数
194、据保护治理工作提供技术支撑,如图 12 所示。图 12 工行数据保护治理技术支撑体系 为满足规模化用数、“普惠”用数、跨机构共享用数等日益旺盛的安全需求,工商银行持续提升数据保护治理能力,围绕当下数据安全热点问题,倾力打造数据安全技术平台、联邦学习平金融数据保护治理白皮书 109 台、多方安全计算平台等,全面夯实全生命周期的数据安全技术能力,为数据要素价值的释放提供安全服务保障。例如:打造数据安全技术平台,沉淀智能敏感数据识别、动态控权、统一数据脱敏引擎、数据水印溯源、全生命周期用数监控审计五大核心功能,提升数据安全服务的供给能力。工行数据安全技术平台核心功能如图 13 所示。图 13 工行数
195、据安全技术平台核心功能 智能数据识别与分类分级。提供智能数据精准识别能力,通过工具对数据库实体表抽样扫描,自动完成打标,大幅降低人工打标成本,提升敏感数据识别质量,有效支撑数据资产的分类分级工作。动态控权。为各类用数场景提供细粒度的数据访问控制能力,根据人员及数据分类分级结果,提供敏感数据动态脱敏能力,有效支持各类人员的用数需求。金融数据保护治理白皮书 110 统一数据脱敏引擎。针对不同用数场景,沉淀灵活多样的脱敏算法,为各类静态、动态脱敏场景提供统一的脱敏引擎。大幅提升数据脱敏策略的布控效率,以及脱敏数据的可用性。数据水印溯源。针对结构化数据文件、各类文档、图片等多媒体提供数据泄露后的溯源能
196、力,保护外部共享数据,有助于构建安全合规的用数生态。全生命周期用数监控审计。提供全生命周期用数监控视图,包括敏感信息访问行为异常监控、风险预警等功能,快速形成数据全生命周期的用数保护能力。4 4.总结分析总结分析 工商银行在数据安全体系建设实践过程中形成如下总结建议:组织建设、制度流程建设、技术工具建设、人员能力建设是企业级数据安全体系建设的基础,需作为数据保护治理工作的首要任务。在开展数据安全能力提升过程中,需研读各种政策、法规,将各项监管要求与企业自身业务相关联,明确应用场景及能力建设目标,同时选取适合企业自身现状及发展的技术路线。深入企业各类用数场景,将数据安全技术与用数场景深度融合,加
197、强数据安全风险的管控能力,以点带面,逐步迭代,落地数据安全技防实体。金融数据保护治理白皮书 111 建立企业级应用数据安全能力标准化评价体系,全面评估各个业务条线、业务场景的数据安全风险,实现企业数据安全的全面合规可控。案例二:光大银行数据保护治理实践案例二:光大银行数据保护治理实践 1 1.案例背景案例背景 随着我国数字化转型速度加快,更多数据保护相关风险随之浮现:来自外部的威胁包括利用应用系统网络漏洞进行数据窃取、篡改、破坏、删除,及其他各类新型黑客攻击手段等;来自内部的风险包括内部员工有意或无意的不当操作造成数据泄露,高权限业务人员对内部数据使用不当等;同时,互联网、大数据、生物识别、公
198、有云技术等大大增加了数据的使用频率,随之带来更多风险。为提升数据保护治理能力,光大银行正致力于研究推进“以数据为中心”的全维度、全覆盖、全生命周期的数据保护治理体系,并在数据安全和数据合规领域开展了全面细致的落地工作,包括加强组织建设、丰富管理办法、打造安全名品、营造安全文化。以上工作初见成效,日后将持续为光大银行数字化转型升级提供保障。2 2.安全对策安全对策 针对目前数据保护治理现状与痛点,围绕“打造以数据为中心的保护治理体系,保障数字化转型升级”的工作目标,光大银金融数据保护治理白皮书 112 行数据保护治理小组推进“全维度、全覆盖、全生命周期”的三维立体数据保护工作方案框架,如图 14
199、 所示。图 14 三维立体数据保护治理体系框架图“全维度”包含四个层次。依据银行业金融机构数据治理指引中提出的“银行业金融机构应当结合自身发展战略、监管要求等,制定数据战略并确保有效执行和修订。”的要求,紧密结合光大银行组织架构现状,重点围绕组织建设、制度流程、技术工具、基础保障四个层次构建光大银行数据保护治理体系。“全覆盖”包含四个环境。结合数据保护中风险产生的环境,全面覆盖光大银行生产、开发、测试、办公四个数据环境。“全生命周期”包含六个阶段。针对数据泄露防护面临的问题,建立以数据保护为核心的动态保护机制。光大银行在数据生命周期的采集、加工、传输、使用、存储和销毁六个阶段建构和落地数据保护
200、治理要求,保障数据使用环境的生态健康。金融数据保护治理白皮书 113 3 3.保护治理实践保护治理实践 在数据保护治理工作目标的指引下,光大银行从组织架构、管理制度、技术手段到人员培养等多方面构建数据保护体系,围绕“打造一流财富管理银行”的战略愿景,全面助力光大银行数字化转型。明确数据保护治理工作组织架构。明确数据保护治理工作组织架构。光大银行已建立信息科技与数据管理委员会、数据管理工作小组、各部门及其数据保护岗的三层数据保护组织结构。丰富数据安全管理制度。丰富数据安全管理制度。光大银行为加强数据保护管理,提升数据保护合规管理能力,依据 中华人民共和国网络安全法、金融数据安全 数据安全分级指南
201、 金融数据安全 数据生命周期安全规范等法律法规及国家标准规定,制定了数据保护管理办法 明确四个环境的保护治理第一责任人及各部门数据安全岗职责;形成覆盖六个阶段的全生命周期管理。针对数据保护处理建立了保护技术标准数据保护处理技术规范。针对重要且泄露风险较高的办公环境,光大银行建立了办公环境保护管理细则。针对其他管理制度提出数据保护治理要求,将数据保护治理和隐私保护要求落实到全行各管理环节中。打造数据安全名品。打造数据安全名品。光大银行通过打造“四大名品工具”,将数据保护治理要求落地:一是数据侦探名品,推进实现办公环境敏感数据“零存放”;二是数据安全合规管理与分析系统名品,推进敏感数据识别与监控,
202、构建数据保护体系基础设施;三是多金融数据保护治理白皮书 114 方安全计算平台名品,依托产学研一体化,通过联合查询、联合统计及联合建模,实现数据在共享中的“可用不可见”;四是办公环境数据安全防护系统名品,通过数据安全分级、加密存储、权限控制等安全管理,建设办公环境数据保护系统。加强加强数据共享安全管理。数据共享安全管理。光大银行构建全方位的数据共享管理体系:一是促进共享合规。根据法律法规要求签订与海外分行、光大集团的数据共享协议,完善第三方合作协议模板;二是落地共享管理机制。全面梳理归纳数据共享合规要点,将安全要求落实于第三方合作、外包管理、委托处理等各个业务场景。三是探索多方安全计算场景下的
203、合规。通过推进多方业务场景的落地实施,探索新技术下的数据安全合规实施路径,为数据融合场景提供合规保障。培养数据保护文化。培养数据保护文化。光大银行注重数据保护文化建设,通过多渠道、多形式落实数据保护宣传,培养员工数据保护意识,为光大银行营造一个保障业务良好运转的数据保护环境。在具体操作层面,光大银行已经建立了从网络宣传、行内集中培训到现场数据安全检查等三位一体的数据保护宣传检查机制。4 4.总结分析总结分析 近年来,光大银行在数据保护治理框架的指导下,持续开展数据保护治理相关工作,已搭建起较为完善的数据保护体系,取得初步成效。金融数据保护治理白皮书 115 一是全面贯彻落实监管要求,紧密配合监
204、管机构推动数据确权、共享、跨境流动等难题的研究与实践。从 2020 年开始,国家陆续出台法律法规,监管机构在数据安全及个人信息保护领域持续加大监管与指导力度,为商业银行推动数据安全合规工作提供了有力抓手。光大银行深入研究并落实了监管机构在个人金融信息保护、金融数据安全分级、数据共享安全、生物识别等方面各项要求,为全面建设奠定坚实的基础。二是加速数据安全与个人信息保护的顶层设计,推动银行业数据治理组织职责优化与完善。数据安全与个人信息保护本质上是一个以数据为对象,基于国家、企业与个人主体数据权利,除数据管理与技术外还运用法律、道德伦理等多种手段的治理体系。商业银行在数据安全合规的战略目标与顶层框
205、架、组织架构、职责分工等方面需不断优化与调整。三是积极推进数据安全创新技术产学研合作交流,加大创新投入与力度。自十九大中央提出数据是生产要素后,为促进数据要素依法有序地自由流动,构建数字化生态,以隐私计算为代表的数据安全创新技术得到了迅猛发展。与技术厂商、高等院校等成立联合创新实验室,将研究成果快速在实际场景落地实施,提升转化效率,确保数据流动中的安全合规,加快创新技术的开发与应用。金融数据保护治理白皮书 116 案例三:中国人寿数据保护治理实践案例三:中国人寿数据保护治理实践 1 1.案例背景案例背景 中国人寿以构建贯穿数据全生命周期的安全体系为总体目标,将数据保护工作纳入网络安全整体工作框
206、架内展开。集团公司积极推进全集团数据保护体系的建设规划,形成数据保护相关制度,包括中国人寿数据治理工作管理办法数据治理成熟度专项提升工作方案中国人寿网络安全管理办法(试行)等。通过制度体系的建设与完善,一是明确了数据保护治理相关部门职责、管理规范及标准等;二是确立了数据全生命周期安全管理机制,建立了数据从收集、加工、存储、交换、使用的流程规范,做到事前事中可控、事后可审计;三是指导各成员单位建立数据保护应急预案,组织开展应急演练,确保系统服务异常时数据的完整、准确和连续;四是要求各成员单位加强互联网业务的数据保护管理,构建完善的防火墙、入侵检测、数据加密及灾难恢复等互联网信息安全管理体系。经过
207、多年的数据保护治理实践,中国人寿在数据保护方面取得了明显进展。在取得进步的同时,公司在数据分级分类保护方面也存在相关工作落实不到位、不全面,对于关键、重点、敏感、客户隐私等相关数据缺少专项防护要求和保护措施的问题,需从数据角度进一步健全安全防护体系。金融数据保护治理白皮书 117 2 2.安全对策安全对策 为进一步完善公司数据保护体系建设,中国人寿参照金融数据安全 数据安全分级指南(JR/T 0197-2020)个人金融信息保护技术规范(JR/T 0171-2020)等金融行业标准,制定了 中国人寿保险(集团)公司数据分类分级管理办法(以下简称 办法),明确了各成员单位需建立数据保护体系,制定
208、数据分类分级保护制度,明确和细化各类数据的属主部门,压实数据保护主体责任,落实数据分类分级保护措施等各环节工作内容,实现数据在采集、传输、存储、使用、销毁等全生命周期的分级安全防护。3.3.保护治理实践保护治理实践 办法规定,数据保护级别从高到低共分为 5 个级别。其中,5 级数据一般指影响国家安全的数据。4 级数据共 4 类,包括:个人身份鉴别信息中的传统鉴别信息(密码等)、弱隐私生物特征信息(声纹等)、强隐私生物特征信息(指纹、虹膜等);特殊风险标的信息(航空、航天、核电站等项目数据)。办法要求对 4 级数据执行严格的安全管理,如在数据库中需要进行报文级加密存储,数据传输需要信道加密,在个
209、人电脑非必要不存储,使用完成后应及时予以清除等。3 级数据共 42 类,包括客户类信息 11 项、业务类信息 10 项、经营管理类信息 17 项、监管数据报送信息 4 项。对 3 级数据实行较为严格的安全管理,如 3级数据对外传输应获得数据归属部门审批同意,传输过程需要进金融数据保护治理白皮书 118 行报文级加密,系统展示需脱敏处理,并采取多因素认证或二次授权认证等机制。此外,办法还对共 119 类 2 级数据、共 17类 1 级数据及其安全管控要求进行了具体规定。办法还明确了数据保护管理的基本原则,包括:依法合规原则。依法合规原则。数据的采集和应用应满足国家法律法规、行业标准及监管政策等有
210、关规定,确保数据采集和使用的合法性和正当性。选择同意原则。选择同意原则。在向个人主体进行数据采集和处理前,征得其授权同意,并明示数据采集和处理的目的、方式、范围、规则等。最小化原则。最小化原则。数据的采集应遵循最小必要原则;数据的存储应根据内外部管理要求满足最小时限要求;数据的使用应遵循满足开展业务所必需的最小权限。全程可控原则。全程可控原则。应通过与数据保护级别相匹配的安全管控机制和技术措施,确保数据在全生命周期各阶段的保密性、完整性及可用性,避免数据在全生命周期里的未授权访问、破坏、篡改、泄露或丢失等。动态控制原则。动态控制原则。数据的安全控制策略和安全防护措施不应是一次性和静态的,应可基
211、于业务需求、安全环境属性、系统用户行为等因素实施实时的和动态的调整。权责一致原则。权责一致原则。明确数据保护防护工作的相关部门及其职责,有关部门和人员应积极落实相关措施,履行数据安全职责。金融数据保护治理白皮书 119 4 4.总结分析总结分析 办法的出台,为中国人寿各成员单位建立数据分类分级管理制度和标准、深入开展数据保护工作提供了指导性意见,如寿险公司开展了客户信息的三级分类工作,广发银行按照高敏、敏感和一般三个等级开展全行数据分级安全管控,中国人寿全集团数据保护体系得到进一步巩固和完善。案例四:蚂蚁集团数据保护治理实践案例四:蚂蚁集团数据保护治理实践 1 1.案例背景案例背景 数据保护治
212、理作为企业数据安全的重要工作内容,近年来愈发得到重视。蚂蚁集团在企业数据保护治理实践中总结发现,当前数据安全保护治理工作主要存在如下难点与挑战:一是缺少来自组织高层的战略级重视。一是缺少来自组织高层的战略级重视。组织层面的重视程度不够,导致各类监管合规要求难以充分对标,数据保护管理职责不明确、问责不清晰,制度流程趋同化、落地性差,数据保护各方面资源支持不到位,严重影响数据保护工作开展。二是数据保护管理能力存在缺失。二是数据保护管理能力存在缺失。主要体现在:流程规范追求大而全,内容过于宽泛不具有落地性;教育培训流于形式、效果差,人员意识提升难;管理手段一刀切,缺少对实际执行成效的感知;安全设计理
213、念缺失导致规划建设阶段未充分考虑数据保护需求,需要大量依赖事后补救和改造;数据保护治理体系一成不变,难以应对持续变化的新要求,数据保护治理缺少评估与持续提升的能力。金融数据保护治理白皮书 120 三是数据保护技术精细度不够。三是数据保护技术精细度不够。首先,由于数据本身的多样性和复杂的流转关系等,对于数据资产和流转的准确刻画难。其次,对于大规模数据使用过程中复杂的访问和调用关系,难以做到精细粒度的确权、鉴权与管控。此外,数据合作和共享场景下,数据依法合规安全利用也需要一定的技术突破来保障。四是数据保护运营和风险差异化治理能力四是数据保护运营和风险差异化治理能力不足。不足。企业数据保护治理工作繁
214、杂,不能过度依赖人工治理,需要加强数据保护平台化运营能力建设,提升治理效率和准确性。此外,针对内外部不同风险场景不能仅依靠同质化的管理和技术手段,需要在治理实践中形成差异化的治理机制。2 2.安全对策安全对策 为有效应对企业数据保护治理实践中的难点痛点问题,蚂蚁集团不断提升数据保护治理水平、总结经验,逐渐形成了一套完备、易落地、可度量、持续提升的数据保护复合治理模式,从数据保护战略、数据保护运营管理、数据保护治理科技三个方面建设与强化企业数据保护治理能力,如图 15 所示。金融数据保护治理白皮书 121 图 15 蚂蚁集团数据保护复合治理模式(1 1)数据保护战略)数据保护战略:成立了蚂蚁集团
215、隐私保护及数据安全委员会,从集团层面明确数据保护对于企业生存发展的战略性意义,制定企业数据保护方针,对数据安全制度流程、组织架构、人员配备等进行不断优化完善,持续加强技术研究与关键能力储备。(2 2)数据保护运营管理:)数据保护运营管理:强调数据的关键驱动作用,提升人员的主动参与效应,依托于基线设定、心智运营、原生设计、安全度量、可证溯源、红蓝对抗、测评认证等丰富的治理环节,从不同的侧重领域加强数据安全管理工作,实现数据保护治理效果可度量,利用各环节的串联、互补、联动与反馈,促进数据保护治理能力的复合叠加、持续优化。金融数据保护治理白皮书 122 (3 3)数据保护治理科技:)数据保护治理科技
216、:以安全平行切面、密码基础设施、安全可信环境、终端安全等系统能力,数据资产识别、数据血缘图谱、异常访问检测等算法能力,以及准实时精准检索、压缩索引、异构数据提取等数据能力作为底层基础能力,从全息资产画像、深度安全防护、智能安全运营、隐私保护与隐私计算等领域构建全方位、体系化的产品能力,为数据安全复合治理提供技术支撑。数据保护复合治理强调系统性、落地性,通过对治理框架搭建中战略、管理和技术进行统筹规划设计,并强化治理过程的联动,实现了安全与业务复合、管理与技术复合,发生化学反应,形成治理合力,充分发挥复合协同效能。3 3.保护治理实践保护治理实践 数据安全运营管理是蚂蚁集团数据保护治理模式的关键
217、创新,其强调充分发挥数据的关键驱动作用,提升人员的主动参与效应,通过可执行安全基线、互动式心智运营、原生式数据保护、全景式安全度量、可自证溯源处置、测评认证、红蓝演练各环节,从不同侧重领域解决数据保护治理的各类难点问题。同时,通过各环节之间的串联、互补、联动与反馈,促进数据保护运营管理能力的持续提升,数据保护运营管理如图 16 所示。金融数据保护治理白皮书 123 图 16 数据保护运营管理(1)可执行安全基线在安全制度和规范的基础上,针对组织重点关注的安全要求,通过清晰、明确、无歧义的规则化表达和指标化映射方式,建立可执行、可度量的安全基线。(2)互动式心智运营侧重于对人员安全心智和能力的提
218、升,通过运营目标拆解、运营渠道有效触达以及设置激励机制等方式,提升心智运营的交互式体验,将被动的知识灌输转变为安全意识与能力的主动提升,帮助人员形成良好的数据安全心智。(3)原生式数据保护侧重于在产品研发过程中,通过设置管理流程机制和安全技术能力等方式将数据保护要求前置,保证产品发布前已采取必要充分的数据保护措施,满足数据安全风险可控的要求,推动数据安全成为产品的原生能力。(4)全景式安全度量通过设计安全度量指标、度量模型、度量算法等,建立覆盖重点安全要求和安全基线的安全度量体系,对人员、系统、数据资产等的安全风险态势与安全要求符合程度金融数据保护治理白皮书 124 进行准确度量,实现安全态势
219、持续监测、安全风险准确定位和安全水位直观呈现,并面向不同风险关注群体从不同视角呈现度量结果,为安全决策提供参考。(5)可自证溯源处置基于应急响应、安全审计等工作机制,强化溯源过程可证能力建设,加强对于安全事件和责任人员的应急处置与审计问责,形成数据安全风险与事件的闭环处置。(6)测评认证通过开展内部安全认证与外部测评认证工作,对组织的数据安全能力进行评估。首先,强化组织内部认证体系建设,包括针对特定角色/岗位/权限人员的专项认证、针对数据处理产品组件的产品认证,以及面向业务的安全认证等。同时,通过组织和开展第三方测评认证,对数据保护治理能力和水平等进行客观评价,为数据保护治理的持续改进提供重要
220、依据。(7)红蓝演练通过开展以数据为主体的红蓝演练,以定制化攻击的方式检验安全防护能力与水平,从攻防视角验证数据安全防护体系的有效性,促进未知安全风险的及时排查,达到以攻促防、攻防相长的效果。最后,数据保护运营管理的各环节不是彼此孤立的,环节间可以形成有效的串联、联动、互补和反馈。例如,依托于安全心智,可以对安全基线进行持续的全员意识宣传和能力建设;通过对人员、系统等的安全度量,可以对安全基线、安全心智等的实际效果进行感知;溯源处置环节的经验总结,可以为安全基线的制定和安全心智的建设提供很好的输入和反馈等。金融数据保护治理白皮书 125 4 4.总结分析总结分析 通过应用数据保护复合治理模式,
221、从数据保护战略出发,强化数据保护运营管理机制落实,加大数据保护治理技术研发与应用,蚂蚁集团取得了良好的数据保护治理成效:(1)数据保护战略得到集团层面的充分重视,数据保护治理组织架构基本完善,数据保护重要性已凝聚成全员共识。(2)通过数据保护运营管理的深入实施,数据保护治理能力得到了持续提升,在以下几方面充分体现:安全基线的规则化定义有效降低了理解和执行层面的偏差,提升制度落地性,数据保护和安全合规得到充分保障。强制全员通过数据安全认证,安全心智水平不断提升,数据违规操作、人员异常行为等发生频率显著降低。安全理念贯穿了管理流程与安全能力设计,产品在规划、设计、开发和运营全周期需满足安全要求、集
222、成安全模块、通过安全评审,实现了安全能力的有效融合,避免了不必要的事后补救和改造。通过安全度量对数据保护水位进行全方位衡量,实现了系统、人员、应用、数据资产等安全风险的准确感知和快速定位,度量结果显示数据保护总体水位得到了明显持续的提升。通过溯源处置能力的持续建设,安全策略定义更加充分、更加贴近场景,安全事件发现能力、处置效率、经验总结与提升等均得到了明显加强,各类安全事件的发生频次明显降低。金融数据保护治理白皮书 126 测评认证、红蓝演练等的开展,从认证和攻防的全局角度对数据保护水平进行客观准确的评价,通过不断的迭代反馈,未知风险发现能力显著提升,安全薄弱环节持续改进。数据保护治理科技不断
223、提升,数据资产与流转刻画、数据安全防护与管控、隐私保护与隐私计算等数据保护技术按照技术路线规划持续推进。以安全度量环节中面向全体员工的量化评价机制安全基线分为例,通过对人员的数据保护意识与水位进行准确刻画,帮助员工更直观地感知数据保护要求与责任。从安全基线分的实际应用结果来看,安全基线分对于员工数据保护意识的提升起到了较大的推动作用。首先,全员安全基线分的平均分稳步上升,呈现向满分不断趋近的态势。同时,低分数段人员(80 分及以下)数量下降趋势明显,半年内总体下降幅度超过 85%。安全基线分运营成效如图 17 所示。图 17 安全基线分运营成效 金融数据保护治理白皮书 127 附录 B:其他行
224、业数据保护治理实践案例 案例一:沪杭甬高速工业互联网数据保护治理方案案例一:沪杭甬高速工业互联网数据保护治理方案 1 1.案例背景案例背景 交通运输是国民经济中的服务性、基础性、战略性和引领性产业,建设交通基础设施数字信息化平台,提升交通基础设施的全要素、全周期数字化水平是交通运输产业发展的大势所趋。在完成沪杭甬高速系统数字信息化平台建设后,针对平台中海量数据的采集、汇总和使用等场景,需要在数据泄露、数据隐私保护、数据权限控制等关键环节进一步建设和提升数据保护能力。2 2.安全对策安全对策 沪杭甬高速公路系统对交通事件、路网运行状态、紧急事件、气象状态、高速公路运营状况、高速公路养护状况、交通
225、流量、收费数据等进行了海量数据的采集,并实施了决策分析,实现人、车、路网及周边环境智能协同运转,达到“保障安全,提高效率、改善环境、节约能源”的目标。同盾团队在实施过程中,产生的数据安全问题进行了逐一解决,在数据采集、数据传输、数据存储、数据处理、数据交换共享与安全披露、数据销毁等重要环节进行了数据保护。(1)数据采集 安全问题:数据收集过程存在丢失、不完整风险,以及泄漏等风险。金融数据保护治理白皮书 128 安全措施:提供对数据包的进/出网络接口、协议(TCP、UDP、ICMP,以及其他非 IP 协议)、源地址、目的地址、源端口、目的端口,以及时间、用户、服务(群组)的访问过滤与控制功能,对
226、进入或流出的数据进行安全检查,只允许符合安全策略的数据包通过,同时对连接网络的流量、内容过滤,对采集过程和采集结果进行校验、监控。边界安全隔离与可信数据交换,可完成指挥信令的双向流动,例如国地税数据单向流入沪杭甬本地数据库的安全隔离与控制。采用两头落地的“数据交换”模式,实现省厅与各级地市之间基于文件和数据库同步的数据安全交换和高强度隔离。(2)数据传输 安全问题:网络不稳定导致数据缺失,网络被攻击导致数据被窃取或篡改。安全措施:设置流量安全检测机制,对进出流量进行全量、双向分析,重点对 TCP、UDP、HTTP 流量中的异常行为、攻击行为进行检测和防御。并通过分析,能够展示业务的访问情况、W
227、EB 攻击情况、访问者来源情况,以及流量图等重要信息。数据传输完整性与机密性保护,通过在不可信信道上构建安全可靠的虚拟专用网络,为数据传输提供机密性和完整性保护,以及数据源认证、抗重放攻击等安全保障,并且支持采用身份认金融数据保护治理白皮书 129 证、访问控制,以及终端安全控制技术,为云端数据仓建立安全屏障。提供全方位的加解密和数字签名体系,可供数据方自主选择针对隐私数据的加解密安全措施。支持国密算法和国际标准算法。(3)数据存储 安全问题:机器或机房故障导致数据丢失或不可用风险,恶意查询或拖库导致数据泄漏风险。保护措施:提供数据自动容灾备份机制。基于数据多副本备份、自动存储容错、系统错误监
228、控、故障自动迁移等技术,确保数据的安全性,数据可用性达到 99.99%。支持租户资源隔离,包括 CPU、内存等,确保不同租户间数据的安全;支持基于 ACL 的用户权限管理,可以配置灵活的数据访问控制策略,防止数据越权访问;支持 LDAP、Kerberos 协议,基于访问控制列表 ACL 支持灵活的基于角色或用户的安全控制。提供物理文件透明加密机制,保障数据的物理层安全,有效防范拖库攻击,即便发生拖库攻击或操作系统级攻击(OS-level attacks),攻击者在无密钥的情况下也无法读取出数据明文。(4)数据处理 安全问题:系统不稳定、权限控制不到位、处理过程执行不当等可能造成数据丢失、错误及
229、泄漏等安全风险。保护措施:金融数据保护治理白皮书 130 限制对系统具有管理权限的人员采用虚拟桌面接入系统管理平台进行操作以保障系统资源安全。虚拟桌面将具体操作人员与系统资源有效隔离,通过定义策略可控制操作人员权限,避免操作人员对系统资源造成毁灭性破坏。通过虚拟桌面可有效记录管理员所有操作,并实时汇总至安全审计和控制模块,起到事中控制、事后追溯的目的。建立一套完整的安全运维服务机制,通过定期对系统运维发现并修复信息系统中所存在的安全隐患,降低安全隐患被非法利用的可能性,并在安全隐患被利用后及时加以响应。统一管理安全审计系统、接入认证系统、身份认证系统、网络防病毒系统、漏洞扫描系统、应用安全防护
230、系统、数据安全防护系统和安全管理平台等,实现实时监控、统计分析、配置管理、密钥管理、统一身份认证、资源授权及访问控制管理、网络安全审计、主机安全审计、数据库安全审计、应用系统安全审计等一系列功能的集中分析和展现。(5)数据交换共享与公开披露 安全问题:数据获取过程管理不善、数据获取范围过大、数据利用方式错误、数据服务遭遇恶意攻击等造成严重的数据泄漏风险。保护措施:金融数据保护治理白皮书 131 实施访问隔离措施,实施数据安全等级划分,提供数据访问授权模型,提供全局数据视图和私有数据视图,提供从应用层到数据层统一的权限访问控制。监视以下攻击行为:端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓
231、冲区溢出攻击、IP 碎片攻击和网络蠕虫攻击等。设置审计机制,提供对被授权人员和系统的网络行为进行解析、分析、记录、汇报的功能,以帮助用户事前规划预防、事中实时监控、违规行为响应、事后合规报告、事故追踪回放,保障网络及系统的正常运行。设置探测器,可对内部网络中出现的内部用户未通过准许私自联到外部网络,以及外部用户未经许可违规接入内部网络的行为进行检查和控制。(6)数据归档与销毁 安全问题:对数据缺少妥善的分类和管理,造成重要数据缺少保障甚至导致数据泄漏风险。保护措施:在对系统中海量数据形态、数据分布、数据处理流、网络访问行为、安全事件等综合分析的基础上,构建的全局的、可视的数据安全展示与管理平台
232、,定期审计、处理数据的归档及过期销毁。金融数据保护治理白皮书 132 采用可视化技术对系统中海量数据分类、数据特征、数据分布、敏感数据热点区域、访问热点区域、异常区域、数据防护体系作用次数进行可视化展示,便于管理者充分了解系统中数据资源的全局态势。3 3.总结分析总结分析 从数据保护战略出发,强化数据保护闭环管理机制落实,加大数据保护治理技术研发与应用,良好地保护了客户的数据。在客户数据的全生命周期里,对各个环节可能出现的数据保护问题进行有效的数据保护工作。由于高速系统数字信息化平台有多个公司共同参与建设,在数据保护策略的制定上缺乏组织建设和制度流程建设方面的经验。对于如高速这类工业互联网的行
233、业,数据保护治理和措施仍处于初步探索阶段。案例二:基于隐私计算技术的政务数据保护和应用案例二:基于隐私计算技术的政务数据保护和应用 1 1.案例背景案例背景 近年来,随着电子政务建设的不断发展,政府部门在履行行政职能、管理社会公共事务的过程中,已积累了大量与公众的生产、生活息息相关的数据。政府向公众开放其所拥有的数据,特别是公共服务类数据的开放,不仅有利于全社会更广泛、更高效地利用政务数据创造社会经济价值,还能帮助政府提高自身透明度,提升执政治理能力和效率。因此,国家部委先后出台促进金融数据保护治理白皮书 133 大数据发展行动纲要关于推进公共信息资源开放的若干意见等指导文件,要求政府数据开放
234、、扩大信息公开。但另一方面,近年来数据安全攻击与事件层出不穷,数据安全总体形势空前严峻。我国相继出台了数据安全法个人信息保护法等一系列法律法规,旨在从国家立法层面更好地应对隐私数据非法泄露和滥用问题。如何在政务数据安全合规与开放利用之间取得更好的平衡,是促进政务数据应用的核心需求。2 2.安全对策安全对策 为了更高效地利用政务数据创造社会经济价值,在扩大开放力度的同时保障政务数据的数据安全,某地市地方金融局、金融机构和地方政府部门基于隐私计算技术,共同构建了银政企中小微企业金融服务平台。以优化中小微企业融资环境为目标,以市场需求为导向,以聚焦服务实体经济、聚力机制技术创新、聚合资源有效供给为抓
235、手,实现了政务数据应用与融资一体化的大型综合性服务平台,如图 18 所示。图 18 基于隐私计算技术的政务数据保护和应用 金融数据保护治理白皮书 134 为有效解决政务数据开发过程中的数据安全治理难点问题,整体平台的构建遵循国家、地方、行业相关法规和标准,贯彻等级保护和分域保护的原则;管理与技术并重,互为支撑,互为补充,相互协同,形成有效的综合防范体系:一是一是在技术策略方面在技术策略方面。按照确定的安全策略实施强制性的安全保护,使数据信息免遭非授权的泄露和破坏,保证较高安全的系统服务。政务数据以不同的存储方式存储在不同的政府部门,通常所说的数据融合需要将不同机构的数据融合在一起,存在极大的隐
236、私泄露风险,通过隐私计算技术在逻辑上将不同区域的数据进行融合关联,物理上数据仍存在各自机构中,结合零知识证明、不经意传输、隐私求交等多种技术思想,在保证数据信息不被泄漏的情况下,实现数据的关联和计算,保障各个合作机构的合规安全,为科学分析、预测和决策提供底层数据能力支持。二是二是在管理策略方面在管理策略方面。建立完整的信息系统安全管理体系,对安全管理过程进行规范化的定义。根据实际安全需求,成立安全管理机构,配备专职的安全管理人员,实行专项工作专人负责的责任制度。针对政务数据的密级和开放额目标,制定数据分类分级制度,将政务数据类别、分类分级制度映射到对应的系统平台开放能力上,构建从制度到技术相结
237、合的综合管理路径。3 3.保护治理实践保护治理实践 以银政企中小微企业金融服务平台为基础,金融机构、政府部门等各参与方将需要的数据资源与平台各自的安全计算节点金融数据保护治理白皮书 135 进行对接后,银行机构(数据需求机构,拥有标签数据)发起模型训练项目,其他数据提供方配置待训练的特征维度数据,基于平台提供的算法进行模型训练和规则计算,完成金融产品定制模型的设计。金融机构通过跨层级、跨部、跨地域的信用信息互联互通,健全优化金融机构与企业信息对接机制,实现资金供需双方线上高效对接,提高企业金融服务的可得性、覆盖率和满意度,为营造金融机构“敢贷、愿贷、能贷”氛围夯实信用基础。一是数据隐私安全的银
238、行一是数据隐私安全的银行+政府多方联合建模。政府多方联合建模。银行机构作为机器学习模型需求方,基于企业金融信贷记录数据(y),政府提供企业在工商、税务等政务数据能力(x),结合外部商业化数据,多方机构在平台上进行联合机器学习建模。在隐私计算提供的数据安全保护能力之上,政府和与银行机构原始数据不出私域,更加安全合规;银行利用政务数据的底层原始数据加工特征,数据维度更丰富、信息价值损失更少,建立的模型效果更好。同时,利用平台的可视化交互界面完成机器学习模型的自动训练、部署、调用与迭代,大大缩短了银行机构与政务数据的对接周期,提高了数据应用环节的工作效率。银行机构基于政务数据打造了定制化的金融产品,
239、服务当地目标中小微企业。二是政务数据安全联合统计分析。二是政务数据安全联合统计分析。为了辅助政府决策,提升公共服务水平,政府部门需要把原来分散在各部门的碎片化的数据聚合在一起,深层次挖掘数据价值后,反作用于政府决策支撑,进一步提升社会治理和公共服务水平。数据分析、挖掘的过程中金融数据保护治理白皮书 136 需要和外部数据相结合,提高统计分析的效果,但数据源方无法共享出其原始数据,数据隐私安全的联合统计分析可以使得在不透露数据源方原始数据的情况下,完成数据的联合统计。政府机构、各委办局、外部数据提供机构共同完成安全多方计算任务,由需求发起方发送计算任务申请认证与计算指令,参与计算的数据将以密文的
240、形式,结合秘密分享、不经意传输等多种技术传输和计算。计算结束时,各方汇聚得出计算结果,保证在传输和使用过程中隐私数据信息不被泄漏。4 4.总结分析总结分析 平台基于隐私计算技术实现了政务数据的保护和开发,践行普惠金融,助力实体经济,进一步提高了金融服务质量及效率。基于隐私计算技术,政务数据将在服务国家战略、服务改革、服务实体经济、服务民生、服务社会治理等领域创新应用,进一步促进数字经济发展,建立健全公共信用信息和市场信用信息的融合共享、开发和监管机制,确保政务数据共享和市场化应用工作的安全可控。金融数据保护治理白皮书 137 附录 C:数据出域相关法律法规标准 法律法规 中华人民共和国网络安全
241、法 中华人民共和国数据安全法 中华人民共和国个人信息保护法 中华人民共和国电子商务法 中华人民共和国反洗钱法(修订草案征求意见稿)网络安全审查办法(修订草案征求意见稿)儿童个人信息网络保护规定 银行业金融机构数据治理指引 国家标准 GB/T 35273-2020 信息安全技术 个人信息安全规范 GB/T 35274-2017 信息安全技术 大数据服务安全能力要求 GB/T 36073-2018 数据管理能力成熟度模型 GB/T 37932-2019 信息安全技术 数据交易服务安全要求 GB/T 37988-2019 信息安全技术 数据安全能力成熟度模型 GB/T 38667-2020 信息技术 大数据 数据分类指南 行业标准 JR/T 0171-2020 个人金融信息保护技术规范 JR/T 0197-2020 金融数据安全 数据安全分级指南 JR/T 0218-2021 金融业数据能力建设指引 JR/T 0223-2021 金融数据安全 数据生命周期安全规范 地方标准 DB52/T 1557-2021 大数据开放共享安全管理规范 DB33/T 2351-2021 数字化改革 公共数据分类分级指南