全局 | 银行数据安全治理痛点与整体应对思路

当数据产生价值，觊觎的目光便如影随形！数据的价值越高，面临的安全威胁就越大！

银行，不只存放着“金钱和财富”，还在每时每刻产出新的“价值”——数据。作为银行经营发展的核心IT资产，充分利用这些数据的意义重大。随着互联网与信息科技的高速发展，银行开展多样化业务变为可能，网上银行、掌上银行...不论个人、企业或组织机构客户，时间和空间的限制对其进行申请、查询、管理、转账等银行业务操作的影响正在快速消失，服务方式虚拟化、业务边界模糊化、经营环境开放化现已成为主流。

然而，事物的发展总有其两面性，银行数据的价值也不例外！存在于银行数据“使用”与“安全”之间的众多矛盾问题，让一切便捷与发展“如履薄冰”。黑客攻击、“内鬼”窃密、操作失误、管理疏忽等问题层出不穷，数据泄露、丢失、损坏等问题似乎无可避免，一旦发生很可能对银行造成无法挽回的经济、声誉损失，甚至威胁到银行客户的人身财产安全，后果难以估量。想要解决纷繁复杂的数据安全问题，就需要银行着眼“全局”，部署数据安全治理的整体解决方案，从而确保在外部防护与内部管控执行到位的同时，满足国家及行业提出的一系列合规性要求。

理清思路

“着眼全局，不打无准备之仗”

从银行经营战略的角度出发，对数据安全的管理范畴和人员职责进行定义；同时，对银行数据安全管理提出八项基本原则：分级分类、确保安全、同步推进、统一实施、充分利用、目的明确、最少沟通、责任明确。
在此基础之上，先要摸清客户的数据资产及安全现状，再按照银行业相关合规标准对数据资产进行梳理，从而构建起以数据全生命周期为核心的，具备及时发现、主动防护、有效稽核等准确、高效、稳定的动态数据安全防护体系；同时，以“统一标记、统一认证、统一授权、统一审计”为原则，通过有针对性的技术手段与流程机制不断完善数据安全管控体系建设，最终实现对银行数据安全的整体治理。

分析痛点

“着眼全局，要摸清敌我虚实”

1

来自互联网的攻击渗透等威胁

当前，绝大多数银行均已推出网上银行、手机银行App等移动/互联网服务平台。更多客户获得便利的同时，也给了不法分子可乘之机——通过互联网对电子银行进行试探，继而利用SQL注入等技术手段非法入侵银行数据库系统，实施包括窃取、篡改、破坏系统数据等有目的的金融犯罪行为。

2

因数据底账不清造成管理困难

银行的分支机构和数据库普遍较多，对保护这些数据库中的敏感信息造成管理上的困难；而不同分支机构数据库运维、管理、开发、测试等人员的流动，也让银行对自身数据库中敏感信息的状况不明；“不清不楚”的运行并使用这些数据库以及其中的敏感数据，其风险可想而知。

3

软件开发测试环境的数据脱敏

为满足业务部门与日俱增的IT需求、缩短产品研发周期，银行的很多信息系统引入了IT软件外包模式；而在利益的驱使下，外包人员可能利用职务之便，搜集银行在软件开发、测试环境中使用到的客户银行卡号、姓名、金额、联系方式等大量未经脱敏的真实数据，从而导致银行面临因数据泄露造成的经济损失、信誉危机以及相关法律制裁。

4

对合法人员的非授权访问控制

在银行内部，DBA等合法人员同样存在针对银行核心数据库进行违规操作的可能，例如：非授权访问敏感数据、非工作时间访问核心业务表、非工作场所访问数据库、运维误操作、高危指令（delete、update等）操作…以上种种行为，都可能存在重大安全隐患。

5

特定场景下的数据库运维需求

由于银行的特殊性，在对众多数据库进行安全防护时需要做出差异化处理，例如：当银行临时需要进行审计工作或上级单位紧急需要一份数据时（相关数据平时是禁止访问的），现有数据安全产品不能针对这种随机时间、随机操作的需求执行有效的差异化防护策略。

6

重要敏感信息泄露与非法交易

银行业务等系统中存有大量的重要敏感数据，例如：银行账户、身份证号、联系方式等企业或个人客户的隐私信息；而这些信息在各类中介、保险、理财机构眼中“含金量”很高，利益的驱使造成数据信息非法交易活动泛滥、屡禁不止。

7

全面准确的安全审计追责定责

数据库系统遭受入侵和非授权操作时，无法对黑客或其他非法人员的破坏或泄露行为进行准确追溯和定位，对事后稽核部门调查取证造成严重阻碍；而传统网络安全产品，如防火墙、IDS和漏扫等产品，仅能解决上述状况中的部分问题，对于像内部用户主动或被动泄露敏感信息等问题的成效则不大。

创新应对

“着眼全局，做整体解决方案”

1

充分平衡业务需求和安全风险

安华金和数据安全治理整体解决方案可以帮助银行客户建立数据安全管理制度，并制定各部门数据安全管理职责：一方面，确保业务部门数据收集与数据使用工作的正常进行，依据数据安全管理制度与技术标准，推动相关部门建立针对数据全生命周期的安全管理操作流程；另一方面，帮助银行科技、内审等部门针对数据使用过程中的安全状况及使用效果进行准确的检查、评估并督促整改，从而保障数据安全工作的有效落地。此外，方案中所提出的技术实施工作，无需对银行原有数据库、应用系统进行改造，因而能够快速、无缝地融合到银行现行信息系统之中。

2

围绕数据生命周期，建立完整的数据安全管控流程

为了解决银行数据库在防攻击、防篡改、防丢失、防泄漏、防超级权限等方面遇到的难题，安华金和提出针对数据安全的三维角度，构建涵盖“事前-事中-事后”全生命周期的数据安全防护体系；严格执行数据分级分类，全程监控数据安全状况：

“严格执行”数据分级分类· 通过自动嗅探或动态梳理等方式对银行数据资产进行自动发现；· 对银行存量数据的敏感字段（如身份信息、短信提示、护照证件等）进行准确、高效、可持续的自动识别并打标签；
“全程监控”数据安全状况· 在数据采集过程中，对新产生的敏感数据进行梳理；· 在数据传输过程中，进行安全检查；· 在数据存储过程中，进行数据加密；· 在数据使用过程中，进行数据梳理、数据外发检查等，确保能够对数据做到追根溯源；

3

强化产品技术支撑，满足更多场景及需求

· 通过数据安全治理咨询服务，实现数据的分级分类与策略定制；· 通过数据库安全评估系统和数据资产梳理系统，实现事前安全巡检与敏感数据梳理，建立数据库安全使用环境；· 通过数据库安全防护系统强大的特征库及漏洞防御库，建立数据库安全主动防护机制；通过黑白名单对敏感数据访问进行控制；通过定义非法用户行为的方式建立安全策略，防止外部黑客利用数据库漏洞进行SQL注入等非法入侵行为；· 通过数据库运维管理系统，实现对数据库安全运维的细粒度审批及管理，有效避免来自内部或第三方运维人员的非法操作，让数据库运维工作有审核、有依据；· 通过数据脱敏系统，防止生产库中的敏感信息被用于非生产环境的测试和分析，从而避免真实数据经开发、测试人员手中泄露；· 通过数据库加密系统，防止黑客“拖库”等安全事件的发生；· 通过数据库安全审计系统，实现“异动数据监控+应用用户准确关联+银行业务语言识别”。

扩展阅读

· 安华金和银行业创新解决方案“突出重围”！· 复杂场景下的银行数据库安全审计实践· 无忧放行！银行信用卡中心外发数据脱敏实践· 银行数据脱敏场景需求与解决思路· 没那么简单！银行业敏感数据管理思路· 差异化需求 | 好的静态数据脱敏产品应具备哪些能力？