搜索

[13636] 2019-01-10_商业银行数据安全保护体系建设思路

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-01-10_商业银行数据安全保护体系建设思路 商 业 银 行 数 据 安 全 保 护 体 系 建 设 思 路 原 创   h a i c z h   F r e e B u f   2 0 1 9 - 0 1 - 1 0 一 一 .   前 言 前 言 近 年 来 ， 随 着 商 业 银 行 信 息 化 的 发 展 ， 信 息 系 统 越 来 越 多 的 使 用 于 日 常 工 作 ， 成 为 不 可 或 缺 的 工 具 和 手 段 。 银 近 年 来 ， 随 着 商 业 银 行 信 息 化 的 发 展 ， 信 息 系 统 越 来 越 多 的 使 用 于 日 常 工 作 ， 成 为 不 可 或 缺 的 工 具 和 手 段 。 银 行 通 过 信 息 化 大 大 提 高 其 生 产 效 率 ， 从 传 统 的 柜 面 银 行 与 行 通 过 信 息 化 大 大 提 高 其 生 产 效 率 ， 从 传 统 的 柜 面 银 行 与 2 4 小 时 自 助 银 行 ， 再 到 手 机 银 行 ， 微 信 银 行 。 银 行 的 小 时 自 助 银 行 ， 再 到 手 机 银 行 ， 微 信 银 行 。 银 行 的 业 务 受 理 无 论 在 空 间 和 时 间 上 都 得 到 了 极 大 的 拓 展 ， 依 赖 于 信 息 系 统 的 发 展 而 运 行 发 展 并 壮 大 。 业 务 受 理 无 论 在 空 间 和 时 间 上 都 得 到 了 极 大 的 拓 展 ， 依 赖 于 信 息 系 统 的 发 展 而 运 行 发 展 并 壮 大 。 但 是 当 银 行 正 在 利 用 信 息 化 技 术 高 效 率 的 进 行 跨 地 域 、 跨 国 家 的 信 息 交 流 时 ， 海 量 的 如 客 户 资 料 、 营 销 方 案 、 财 务 报 表 、 研 发 数 据 等 关 乎 企 业 核 心 竞 争 力 的 机 密 数 据 也 随 之 被 传 输 。 信 息 技 术 本 身 的 双 刃 剑 特 性 也 在 组 织 网 络 中 不 断 显 现 ： 强 大 的 开 放 性 和 互 通 性 催 生 了 商 业 泄 密 、 网 络 间 谍 等 众 多 灰 色 名 词 ， “ 力 拓 案 ” 、 “ 维 基 泄 密 ” 等 事 件 让 信 息 安 全 事 件 迅 速 升 温 ， 信 息 防 泄 密 成 为 商 业 银 行 越 来 越 关 注 的 焦 点 。 作 者 结 合 目 前 数 据 保 护 技 术 现 状 及 个 人 数 据 保 护 建 设 经 验 ， 对 商 业 银 行 数 据 保 护 建 设 思 路 进 行 梳 理 。 二 二 .   商 业 银 行 数 据 保 护 的 困 境 商 业 银 行 数 据 保 护 的 困 境 2 . 1   数 据 存 在 形 式 多 、 访 问 人 员 多 、 存 储 分 散 、 易 传 播 数 据 存 在 形 式 多 、 访 问 人 员 多 、 存 储 分 散 、 易 传 播 在 商 业 银 行 内 部 ， 有 海 量 电 子 数 据 ， 纸 质 数 据 ， 且 一 直 处 于 动 态 增 长 状 态 ， 如 用 户 基 本 信 息 ， 账 户 信 息 ； 应 用 系 统 源 码 ， 需 求 说 明 ， 设 计 说 明 文 档 ： 系 统 的 用 户 名 和 密 码 ; 系 统 交 付 及 规 划 资 料 ： 网 络 拓 扑 图 、 I P 地 址 清 单 ; 安 全 设 备 的 告 警 和 自 动 生 成 的 报 告 、 日 志 ; 甚 至 于 一 些 管 理 决 策 支 撑 信 息 ： 如 银 行 经 营 状 况 分 析 报 表 、 某 分 行 业 务 经 营 报 告 、 风 险 管 理 报 告 ; 市 场 推 广 活 动 情 况 、 后 督 工 作 记 录 、 拆 借 操 作 记 录 、 贷 款 审 批 与 发 放 记 录 、 客 户 征 信 、 董 事 会 、 股 东 会 议 等 会 议 纪 要 等 等 。 这 些 数 据 大 部 分 数 据 被 分 散 存 储 在 全 行 办 公 人 员 P C 电 脑 中 ， 移 动 存 储 介 质 中 或 个 人 邮 箱 中 。 这 种 分 散 的 数 据 存 储 方 式 给 商 业 银 行 数 据 保 护 工 作 带 来 很 大 的 困 扰 ， 同 时 ， 人 员 办 公 又 存 在 地 域 上 的 不 集 中 ， 一 旦 发 生 数 据 泄 露 ， 会 很 快 在 全 省 及 至 全 国 范 围 内 扩 散 。 再 者 ， 每 个 机 构 对 员 工 日 常 要 求 和 管 理 的 标 准 高 低 不 一 ， 人 员 安 全 意 识 不 均 衡 ， 进 一 步 增 加 了 数 据 保 护 的 难 度 。 2 . 2   数 据 泄 露 途 径 多 数 据 泄 露 途 径 多 从 数 据 存 储 侧 泄 露 来 看 ， 这 些 数 据 被 存 放 于 办 公 P C ， 个 人 笔 记 本 ， 个 人 邮 箱 ， 移 动 办 公 设 备 以 及 移 动 存 储 设 备 中 。 尤 其 是 可 移 动 办 公 设 备 和 移 动 存 储 设 备 ， 容 易 因 丢 失 或 失 窃 发 生 数 据 泄 露 。 从 数 据 泄 露 手 段 角 度 看 ， 互 联 网 邮 箱 ， 公 有 云 网 盘 ， W E B 类 应 用 都 会 成 为 用 户 存 储 和 传 播 企 业 数 据 的 工 具 。 如 某 银 行 为 了 防 止 内 部 数 据 外 泄 ， 将 所 有 办 公 终 端 U 口 全 部 进 行 了 禁 用 。 但 其 有 一 个 办 公 业 务 应 用 ， 是 内 外 网 互 通 的 ， 允 许 用 户 上 传 文 档 。 为 了 便 于 日 常 文 件 传 输 ， 很 多 用 户 将 大 量 的 数 据 上 传 到 了 此 平 台 。 结 果 ， 这 台 应 用 服 务 器 被 攻 击 ， 上 面 存 储 的 大 量 敏 感 数 据 被 下 载 。 从 数 据 泄 露 人 员 来 看 ， 商 业 银 行 内 部 办 公 人 员 ， 外 部 黑 客 ， 第 三 方 外 包 人 员 以 及 合 作 单 位 或 设 备 维 护 人 员 都 有 可 能 造 成 数 据 泄 露 。 2 . 3   数 据 价 值 定 义 不 明 确 ， 保 护 工 作 重 点 不 突 出 数 据 价 值 定 义 不 明 确 ， 保 护 工 作 重 点 不 突 出 在 有 些 商 业 银 行 没 有 明 确 的 数 据 价 值 定 义 标 准 ， 或 者 数 据 价 值 宣 传 教 育 不 到 位 ， 致 使 工 作 人 员 对 手 里 掌 握 和 拥 有 的 数 据 不 能 进 行 很 好 的 估 值 ， 自 然 而 然 ， 对 其 泄 露 后 产 生 的 后 果 也 就 无 从 评 估 了 。 2 0 1 6 年 ， 沈 阳 某 银 行 在 其 装 修 期 间 将 客
户 资 料 当 废 品 进 行 处 理 ， 就 是 一 期 对 客 户 资 料 价 值 错 误 评 估 的 典 型 案 例 。 设 想 ， 如 果 该 行 有 明 确 的 数 据 价 值 定 义 和 评 估 标 准 ， 而 工 作 人 员 对 此 标 准 又 很 熟 悉 ， 那 么 在 对 此 类 资 料 进 行 处 理 时 ， 就 有 了 处 理 的 标 准 ， 而 不 是 随 心 而 为 。 数 据 价 值 定 义 不 明 确 的 另 外 一 个 弊 端 就 是 数 据 保 护 人 员 的 工 作 重 心 不 突 出 ， 采 用 大 而 全 的 数 据 安 全 保 护 策 略 ， 不 但 自 己 的 工 作 量 大 ， 成 效 低 ， 不 好 开 展 ， 业 务 人 员 或 其 他 部 门 人 员 的 工 作 效 率 也 因 此 而 降 低 ， 数 据 保 护 工 作 得 不 到 其 他 部 门 的 认 可 ， 推 进 十 分 缓 慢 ， 甚 至 终 止 。 三 三 .   数 据 保 护 建 设 步 骤 数 据 保 护 建 设 步 骤 3 . 1   建 立 信 息 安 全 防 护 基 础 建 立 信 息 安 全 防 护 基 础 商 业 银 行 数 据 保 护 建 设 是 信 息 安 全 防 护 中 的 一 部 分 。 因 此 ， 在 进 行 数 据 安 全 防 护 建 设 过 程 中 ， 需 要 商 业 银 行 有 良 好 的 信 息 安 全 防 护 基 础 ， 例 如 机 房 物 理 安 全 ， 各 安 全 域 之 间 的 访 问 控 制 ， 人 员 安 全 等 。 并 已 经 建 立 完 整 的 信 息 安 全 组 织 ， 和 信 息 安 全 策 略 方 针 。 目 前 来 讲 ， 国 内 大 部 分 商 业 银 行 之 部 分 建 立 已 经 基 本 完 成 ， 也 就 是 说 ， 大 部 分 商 业 银 行 已 经 具 备 建 立 数 据 安 全 防 护 体 系 的 基 础 条 件 。 3 . 2   建 立 数 据 安 全 防 护 体 系 建 立 数 据 安 全 防 护 体 系 数 据 安 全 防 护 体 系 的 建 设 是 商 业 银 行 数 据 安 全 保 护 的 必 经 之 路 ， 整 体 规 划 ， 分 步 建 设 ， 有 助 于 商 业 银 行 在 逐 步 提 高 数 据 安 全 保 护 水 平 的 同 时 避 免 资 源 的 浪 费 ， 降 低 数 据 保 护 成 本 和 工 作 难 度 。 一 般 包 括 数 据 保 护 组 织 的 建 立 ， 数 据 分 类 分 级 ， 数 据 保 护 控 制 策 略 制 定 ， 数 据 保 护 技 术 手 段 选 取 ， 数 据 全 生 命 周 期 管 理 ， 以 及 审 计 与 持 续 改 进 等 内 容 。 3 . 3   对 信 息 流 进 行 风 险 管 理 对 信 息 流 进 行 风 险 管 理 在 商 业 银 行 数 据 安 全 防 护 体 系 建 设 完 成 后 ， 为 了 更 加 精 细 的 控 制 企 业 数 据 的 流 转 并 防 止 泄 露 ， 一 般 会 建 立 以 业 务 流 为 中 心 的 敏 感 数 据 动 态 流 转 风 险 管 理 ， 进 一 步 防 止 敏 感 数 据 外 泄 。 其 内 容 包 括 敏 感 数 据 分 布 状 况 调 研 ； 明 确 业 务 系 统 使 用 管 理 人 员 ； 确 定 数 据 流 转 和 处 理 方 式 ； 并 借 助 第 三 方 安 全 机 构 进 行 数 据 流 转 各 环 节 的 风 险 评 估 ， 发 现 薄 弱 环 节 ， 进 行 加 固 和 修 复 ， 长 期 持 续 改 进 等 内 容 。 四 四 .   数 据 安 全 防 护 体 系 建 设 思 路 数 据 安 全 防 护 体 系 建 设 思 路 4 . 1   完 善 数 据 保 护 组 织 架 构 完 善 数 据 保 护 组 织 架 构 近 年 来 ， 伴 随 着 商 业 竞 争 的 加 剧 ， 数 据 保 护 工 作 已 经 越 来 越 得 到 企 业 的 重 视 。 随 之 在 市 场 上 已 经 产 生 了 数 据 间 谍 这 类 职 业 ， 他 们 受 雇 于 某 个 企 业 ， 对 其 竞 争 对 手 的 数 据 进 行 针 对 性 的 窃 取 。 在 很 多 企 业 也 产 生 了 专 门 的 部 门 或 职 位 来 进 行 单 位 数 据 保 护 工 作 ， 可 以 预 见 ， 在 不 久 的 将 来 ， 这 一 职 位 或 部 门 将 出 现 在 越 来 越 多 的 企 业 中 。
数 据 保 护 工 作 涉 及 到 商 业 银 行 各 个 部 门 及 所 有 业 务 系 统 和 全 行 工 作 人 员 ， 因 此 ， 数 据 保 护 组 织 的 建 立 过 程 中 应 该 充 分 考 虑 到 数 据 保 护 工 作 的 系 统 性 ， 建 立 完 备 的 组 织 架 构 。 一 般 分 为 决 策 组 织 ， 管 理 组 织 ， 执 行 组 织 和 审 计 组 织 。 决 策 组 织 职 责 主 要 有 根 据 公 司 发 展 战 略 ， 结 合 企 业 信 息 安 全 策 略 方 针 ， 制 定 符 合 企 业 业 务 发 展 的 数 据 保 护 战 略 方 针 ； 并 授 权 指 派 管 理 组 织 开 展 数 据 保 护 工 作 ； 对 管 理 组 织 的 工 作 进 行 指 导 和 定 期 检 查 ； 对 审 计 组 织 反 馈 的 问 题 进 行 督 导 问 责 和 解 决 。 管 理 组 织 职 责 主 要 有 根 据 企 业 数 据 保 护 战 略 方 针 完 善 企 业 数 据 保 护 管 理 制 度 ， 规 划 数 据 保 护 建 设 项 目 ； 并 向 决 策 组 织 定 期 汇 报 数 据 保 护 管 理 工 作 情 况 ； 对 执 行 组 织 数 据 保 护 工 作 进 行 检 查 和 指 导 ； 配 合 审 计 组 织 的 监 督 和 检 查 。 执 行 组 织 负 责 具 体 的 数 据 保 护 技 术 工 作 的 实 施 和 执 行 ； 并 定 期 向 管 理 组 织 汇 报 ， 接 受 和 配 合 审 计 组 织 监 督 和 检 查 。 审 计 组 织 职 责 主 要 是 对 管 理 组 织 和 执 行 组 织 日 常 数 据 保 护 工 作 进 行 监 督 和 检 查 ， 并 将 检 查 结 果 反 馈 给 决 策 组 织 ， 跟 踪 审 计 问 题 的 解 决 情 况 等 。 各 组 织 间 的 关 系 如 下 图 所 示 ： 4 . 2   对 数 据 进 行 分 类 分 级 保 护 对 数 据 进 行 分 类 分 级 保 护 数 据 保 护 和 信 息 系 统 保 护 类 似 ， 应 该 分 等 级 ， 分 类 别 ， 进 行 重 点 保 护 。 如 果 一 味 追 求 大 而 全 ， 密 而 精 ， 必 然 使 得 数 据 保 护 工 作 的 效 果 难 以 达 到 预 期 。 这 种 保 护 工 作 ， 也 不 可 能 得 到 业 务 人 员 或 其 他 部 门 的 支 持 与 认 可 ， 自 然 也 就 无 病 而 终 ， 不 能 长 期 有 效 的 开 展 下 去 。 因 此 ， 商 业 银 行 在 开 展 数 据 保 护 工 作 之 前 ， 应 当 有 明 确 的 数 据 分 类 依 据 和 数 据 重 要 程 序 分 级 依 据 。 4 . 2 . 1   识 别 现 有 数 据 数 据 识 别 方 法 有 调 研 了 解 ， 技 术 手 段 收 集 等 ， 一 般 的 ， 为 了 数 据 分 级 工 作 的 准 确 性 ， 还 需 要 结 访 谈 调 研 。 步 骤 如 下 ： 1 、 向 各 部 门 分 发 数 据 收 集 表 ， 了 解 各 部 门 日 常 工 作 中 所 涉 及 的 敏 感 数 据 类 型 。 2 、 访 谈 各 部 门 ， 调 研 了 解 敏 感 信 息 的 重 要 性 。
根 据 数 据 收 集 表 的 内 容 ， 进 行 各 部 门 的 针 对 性 访 谈 ， 了 解 其 对 自 己 所 在 部 门 数 据 重 要 程 序 的 分 级 情 况 ， 为 后 期 数 据 分 级 定 义 工 作 做 准 备 。 3 、 通 过 技 术 手 段 ， 按 照 数 据 类 型 进 行 敏 感 数 据 存 储 分 布 调 研 。 依 据 前 两 步 调 研 结 果 ， 对 通 过 技 术 手 段 ， 对 全 网 的 敏 感 数 据 进 行 收 集 ， 分 析 其 存 储 分 分 布 情 况 ， 为 后 期 数 据 保 护 策 略 定 义 提 供 依 据 。 4 . 2 . 2   进 行 数 据 分 类 根 据 数 据 识 别 的 结 果 ， 依 据 商 业 银 行 自 己 业 务 特 性 或 自 身 情 况 进 行 数 据 分 类 ， 一 般 的 分 类 依 据 有 ： 1 、 根 据 国 家 标 准 和 监 管 要 求 进 行 数 据 分 类 这 种 分 类 方 式 简 单 明 了 ， 但 存 在 与 商 业 银 行 自 身 业 务 不 匹 配 或 不 完 全 匹 配 的 情 况 ， 可 能 全 出 现 分 类 过 大 或 过 小 ， 存 在 重 合 或 遗 漏 的 情 况 。 2 、 参 考 同 行 业 进 行 数 据 分 类 ； 由 于 行 业 的 相 通 性 ， 数 据 分 类 也 有 一 定 的 共 同 性 ， 参 考 同 行 业 进 行 数 据 分 类 一 种 简 便 而 又 高 效 的 数 据 分 类 方 式 。 3 、 根 据 业 务 部 门 和 管 理 部 门 的 经 验 分 类 对 于 业 务 形 式 比 较 独 特 的 商 业 银 行 ， 如 涉 及 到 跨 国 业 务 ， 由 于 不 同 国 家 对 数 据 重 要 程 程 度 的 认 识 和 定 义 上 存 在 区 别 ， 需 要 业 务 部 门 和 管 理 部 门 进 行 数 据 分 类 时 也 要 考 虑 其 特 殊 性 。 数 据 分 类 方 式 没 有 统 一 的 标 准 ， 各 商 业 银 行 可 以 选 择 一 种 或 多 种 分 类 方 式 进 行 数 据 分 类 。 但 建 议 在 进 行 数 据 分 类 时 遵 循 如 下 原 则 ， 以 保 护 数 据 分 类 的 合 理 性 ， 为 后 期 的 数 据 分 级 工 作 提 供 良 好 的 前 提 保 证 。 原 则 1 ： 科 学 性 原 则 分 类 过 程 中 应 当 充 分 考 虑 数 据 的 业 务 属 性 ， 同 时 兼 顾 数 据 的 敏 感 性 级 别 原 则 2 ： 实 用 性 原 则 数 据 的 类 目 设 置 应 与 商 业 银 行 现 有 的 管 理 和 分 类 相 兼 容 ， 保 证 员 工 的 数 据 分 类 习 惯 ， 降 低 分 类 和 数 据 保 护 的 难 度 。 原 则 3 ： 稳 定 性 原 则 在 进 行 数 据 分 类 过 程 中 ， 应 当 充 分 考 虑 未 来 的 拓 展 需 求 ， 使 得 分 类 保 护 兼 容 和 稳 定 。 4 . 2 . 3   进 行 数 据 分 级 数 据 分 级 是 从 数 据 的 机 密 性 角 度 出 发 ， 为 了 满 足 数 据 保 护 的 要 求 。 分 级 过 程 可 以 单 独 设 计 ， 如 ： 数 据 分 级 数 据 分 级 敏 感 程 度 定 义 敏 感 程 度 定 义 定 义 标 准 定 义 标 准 3 高 敏 感 数 据 涉 及 组 织 重 要 的 秘 密 ， 关 系 未 来 发 展 的 前 途 命 运 ， 对 组 织 根 本 利 益 有 着 决 定 性 影 响 ， 如 果 泄 露 会 造 成 灾 难 性 损 失 2 中 敏 感 数 据 涉 及 组 织 的 一 般 性 秘 密 ， 其 泄 露 会 使 组 织 的 安 全 和 利 益 受 到 损 害 1 低 敏 感 数 据 涉 及 仅 能 在 组 织 内 某 一 部 门 或 处 室 可 以 公 开 的 信 息 ， 向 外 扩 散 可 能 对 组 织 的 利 益 造 成 轻 微 伤 害 如 果 涉 及 到 涉 密 信 息 ， 也 可 以 结 合 保 密 规 定 等 内 容 进 行 ， 如 ： 密 级 定 义 密 级 定 义 数 据 分 级 数 据 分 级 敏 感 程 度 定 义 敏 感 程 度 定 义 绝 密 3 高 敏 感 数 据 机 密 2 中 敏 感 数 据 秘 密 1 低 敏 感 数 据
数 据 分 级 是 为 了 合 理 的 进 行 数 据 保 护 ， 防 止 矫 枉 过 正 ， 防 护 过 度 ， 造 成 防 护 资 源 的 浪 费 以 及 给 员 工 日 常 办 公 带 来 不 便 ， 以 至 于 员 工 抵 抗 ， 保 护 工 作 无 法 继 续 。 4 . 3   制 定 数 据 保 护 控 制 策 略 制 定 数 据 保 护 控 制 策 略 商 业 银 行 在 数 据 保 护 过 程 中 ， 应 当 根 据 企 业 文 化 ， 业 务 特 点 和 敏 感 数 据 数 据 面 临 的 风 险 情 况 ， 对 不 同 环 境 下 的 敏 感 数 据 设 计 相 应 的 控 制 策 略 ， 如 ： 敏 感 性 标 识 ， 授 权 审 批 ， 信 息 脱 敏 ， 安 全 隔 离 。 制 定 并 推 进 敏 感 性 标 识 策 略 为 了 让 员 工 在 日 常 工 作 中 ， 对 所 产 生 的 数 据 和 接 触 到 数 据 的 重 要 程 度 有 清 晰 认 知 ， 制 定 数 据 敏 感 性 标 识 策 略 ， 并 在 日 常 办 公 过 程 中 推 行 。 数 据 敏 感 性 标 识 可 以 根 据 分 级 重 新 定 义 标 识 标 志 ， 如 ： 公 开 信 息 ， 内 部 使 用 ， 商 业 机 密 等 ， 也 可 以 直 接 按 照 密 级 进 行 标 识 。 如 果 有 多 个 分 级 定 义 ， 需 要 再 进 一 步 细 化 标 识 ， 如 ： 公 开 信 息 ， 内 部 使 用 ， 商 业 机 密 A ， 商 业 机 密 A A ， 商 业 机 密 A A A 等 ； 制 定 数 据 标 识 标 志 后 ， 再 依 据 不 同 类 型 的 数 据 制 定 不 同 的 标 识 策 略 ， 如 ： 文 件 ， 文 档 类 ： 应 当 在 封 面 或 首 页 的 明 显 位 置 标 识 其 使 用 范 围 或 密 级 以 及 期 限 ； 非 文 件 、 文 档 类 ： 例 如 源 代 码 ， 数 据 库 数 据 ， 应 建 立 所 在 系 统 的 敏 感 性 标 识 台 账 ， 对 所 存 储 的 数 据 进 行 标 识 ； 信 息 载 体 ： 如 光 盘 ， U 盘 ， 移 动 硬 盘 等 ， 应 在 介 质 明 显 位 置 进 行 标 注 或 标 签 标 示 。 4 . 4   制 定 授 权 审 批 策 略 制 定 授 权 审 批 策 略 由 于 内 部 办 公 的 需 要 ， 数 据 不 可 避 免 的 会 在 各 部 门 或 各 工 作 人 员 之 间 进 行 流 动 ， 商 业 银 行 应 根 据 企 业 组 织 特 点 ， 规 范 各 级 别 敏 感 数 据 的 授 权 审 批 流 程 。 4 . 5   制 定 敏 感 数 据 脱 敏 策 略 制 定 敏 感 数 据 脱 敏 策 略 商 业 银 行 应 制 定 严 格 的 数 据 脱 敏 策 略 。 商 业 银 行 在 内 部 办 公 ， 第 三 方 数 据 交 换 ， 测 试 系 统 开 发 过 程 中 ， 存 在 大 量 的 数 据 交 互 ， 如 果 直 接 使 用 未 脱 敏 的 数 据 ， 极 有 可 能 造 成 数 据 泄 露 。 为 此 ， 企 业 应 建 立 完 整 的 敏 感 数 据 脱 敏 策 略 来 应 对 数 据 流 转 过 程 中 的 泄 露 风 险 。 并 结 合 授 权 审 批 策 略 ， 强 制 要 求 只 有 数 据 脱 敏 ， 杜 绝 未 脱 敏 数 据 泄 露 。 4 . 5 . 1   制 定 安 全 隔 离 策 略 根 据 数 据 分 级 ， 敏 感 性 标 识 和 密 级 定 义 对 不 同 级 别 的 数 据 进 行 分 区 分 级 别 存 储 。 对 涉 及 敏 感 信 息 处 理 的 网 络 、 操 作 系 统 、 中 间 件 ， 数 据 库 ， 甚 至 业 务 人 员 的 办 公 电 脑 进 行 物 理 或 逻 辑 上 的 安 全 隔 离 ， 保 证 数 据 处 理 环 境 的 安 全 。 4 . 5 . 2 制 定 第 三 方 数 据 使 用 控 制 策 略 在 商 业 银 行 业 务 高 速 发 展 的 今 天 ， 涉 及 到 大 量 的 第 三 方 外 包 人 员 或 第 三 方 公 司 ， 银 行 应 当 设 置 专 门 的 控 制 策 略 来 控 制 这 部 分 人 员 的 数 据 使 用 。 策 略 设 置 过 程 中 应 考 虑 如 下 因 素 ： 根 据 不 同 的 级 别 ， 设 置 对 应 的 第 三 方 控 制 要 求 ； 根 据 所 接 触 数 据 级 别 ， 提 高 第 三 方 准 入 门 槛 ， 缩 小 数 据 接 触 范 围 ； 按 照 “ 必 需 知 道 ” 和 “ 最 小 授 权 ” 双 重 原 则 进 行 访 问 授 权 。 并 通 过 服 务 合 同 或 协 议 等 ， 明 确 第 三 方 在 安 全 和 数 据 保 密 方 面 的 责 任 。 定 期 通 过 安 全 检 查 ， 外 部 评 估 等 方 式 对 第 三 方 公 司 策 略 执 行 情 况 进 行 检 查 ， 确 保 第 三 方 控 制 策 略 的 的 效 执 行 。 4 . 6   建 立 技 术 手 段 进 行 数 据 保 护 建 立 技 术 手 段 进 行 数 据 保 护 技 术 手 段 是 对 管 理 和 控 制 策 略 的 有 效 补 充 ， 同 时 也 是 确 保 控 制 策 略 落 地 的 有 效 支 撑 ， 企 业 应 当 根 据 其 自 身 业 务 特 性 和 控 制 策 略 ， 选 择 有 效 的 技 术 手 段 ， 来 封 锁 各 种 数 据 泄 露 途 径 ， 保 证 数 据 安 全 。 好 的 技 术 手 段 应 该 可 以 在 数 据 泄 露 事 件 发 生 前 ， 发 生 时 ， 发 生 后 全 过 程 进 行 控 制 。
事 前 预 防 事 前 预 防 指 通 过 技 术 手 段 的 采 用 ， 可 以 预 防 数 据 泄 露 的 发 生 或 提 高 数 据 窃 取 成 本 ， 从 数 据 C I A 原 则 出 发 进 行 技 术 手 段 设 计 。 常 见 的 事 前 预 防 技 术 手 段 有 透 明 加 密 ， 数 据 脱 敏 ， 终 端 安 全 ， 加 密 k e y ， 磁 盘 加 密 ， 移 动 介 质 管 控 等 ； 事 中 阻 断 事 中 阻 断 是 指 当 数 据 泄 露 发 生 时 ， 其 可 以 识 别 数 据 泄 露 行 为 并 进 行 阻 断 。 常 见 的 技 术 手 段 有 网 络 数 据 防 泄 露 系 统 （ 网 络 D L P ） ， 邮 件 数 据 防 泄 露 ， 终 端 数 据 防 泄 露 等 。 其 中 终 端 数 据 防 泄 露 可 以 有 效 防 护 移 动 介 质 拷 贝 ， 即 时 通 讯 工 具 传 输 ， 截 屏 ， 录 屏 等 手 段 造 成 的 数 据 泄 露 。 事 后 审 计 事 后 审 计 是 指 当 数 据 泄 露 事 件 发 生 后 ， 提 供 可 追 溯 审 计 的 日 志 ， 帮 助 技 术 人 员 进 行 数 据 泄 露 源 头 或 责 任 人 定 位 。 常 见 的 技 术 手 段 有 数 据 库 审 计 ， 日 志 审 计 系 统 以 及 事 中 阻 断 技 术 手 段 产 生 的 日 志 。 4 . 7   建 立 覆 盖 数 据 全 生 命 周 期 的 制 度 与 技 术 手 段 建 立 覆 盖 数 据 全 生 命 周 期 的 制 度 与 技 术 手 段 商 业 银 行 在 设 计 和 制 定 数 据 保 护 管 理 制 度 以 及 技 术 措 施 时 ， 应 融 入 和 覆 盖 数 据 全 生 命 周 期 的 各 个 环 节 。 一 般 来 讲 ， 数 据 全 生 命 周 期 包 括 如 下 几 个 环 节 ： 创 建 在 数 据 被 创 建 时 ， 应 当 通 过 管 理 制 度 和 技 术 手 段 强 制 要 求 数 据 创 建 者 确 定 数 据 安 全 级 别 ， 并 进 行 有 效 的 安 全 性 标 识 ； 存 储 在 数 据 存 储 过 程 中 ， 应 当 根 据 不 同 级 别 的 数 据 采 用 不 同 的 技 术 手 段 进 行 数 据 存 储 ， 敏 感 数 据 应 当 分 环 境 ， 加 密 存 储 使 用 数 据 在 流 转 和 使 用 过 程 中 ， 应 当 有 明 确 的 应 用 审 批 和 记 录 流 程 ， 第 三 方 人 员 的 使 用 应 当 严 格 管 控 。 传 输 需 要 异 地 使 用 数 据 或 传 输 使 用 的 ， 应 对 数 据 加 密 后 进 行 传 输 ， 并 采 用 加 密 协 议 ， 甚 至 专 人 专 网 进 行 传 输 ， 保 证 数 据 在 传 输 过 程 中 不 被 截 取 或 窃 听 。 销 毁 在 数 据 使 用 完 毕 后 ， 确 保 完 善 的 技 术 和 管 理 手 段 监 控 数 据 销 毁 过 程 ， 防 止 数 据 被 恢 复 或 有 备 份 没 有 销 毁 ， 造 成 数 据 的 泄 露 。 建 立 有 效 的 审 计 与 持 续 改 进 举 措 良 好 的 数 据 保 护 工 作 是 一 个 不 断 改 进 优 化 ， 持 续 改 进 的 过 程 。 通 过 安 全 检 查 ， 审 计 跟 踪 ， 发 现 问 题 和 解 决 问 题 ， 优 化 旧 的 管 理 制 度 ， 使 用 与 新 的 数 据 安 全 形 势 相 匹 配 的 管 理 制 度 与 技 术 手 段 ， 不 断 提 高 敏 感 信 息 防 护 水 平 。 4 . 8   建 立 数 据 保 护 安 全 培 训 体 系 建 立 数 据 保 护 安 全 培 训 体 系 再 好 的 管 理 策 略 ， 多 么 完 美 的 技 术 手 段 ， 如 果 不 能 得 到 执 行 者 的 拥 护 和 执 行 ， 一 切 都 将 是 空 谈 和 摆 设 。 因 此 ， 为 了 保 证 商 业 银 行 数 据 保 护 工 作 的 有 效 落 地 ， 降 低 公 司 当 前 所 面 临 的 数 据 泄 露 风 险 ， 商 业 银 行 应 当 建 立 完 备 的 安 全 培 训 体 系 ， 提 升 其 安 全 管 控 水 平 。 完 备 的 安 全 培 训 体 系 应 当 覆 盖 全 员 ， 又 重 点 突 出 ， 既 包 含 管 理 策 略 ， 又 涉 及 技 术 手 段 ； 并 且 针 对 不 同 的 人 群 有 不 同 的 要 求 和 标 准 ；
五 五 .   总 结 总 结 商 业 银 行 数 据 保 护 是 一 个 系 统 工 程 ， 需 要 多 方 面 的 协 调 与 配 合 ， 既 涉 及 到 组 织 架 构 的 调 整 ， 也 有 技 术 手 段 的 增 加 ， 管 理 策 略 补 充 ， 更 需 要 长 期 的 进 行 人 员 教 育 与 培 训 。 数 据 保 护 整 体 架 构 可 概 况 如 下 ： * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： h a i c z h ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理