文 / 中國(guó)建設(shè)銀行運(yùn)營(yíng)數(shù)據(jù)中心 姜兆龍

更廣的數(shù)據(jù)在銀行沉淀

隨著銀行同業(yè)競(jìng)爭(zhēng)不斷加劇，以用戶為中心、以數(shù)據(jù)為驅(qū)動(dòng)、以場(chǎng)景為依托、以滿足用戶需求和實(shí)現(xiàn)生態(tài)閉環(huán)為目標(biāo)的數(shù)字化經(jīng)營(yíng)日益成為銀行競(jìng)爭(zhēng)的新賽道，銀行業(yè)收集的數(shù)據(jù)，早已不局限于金融資產(chǎn)余額、賬戶變動(dòng)等金融數(shù)據(jù)，越來(lái)越多的非金融交易數(shù)據(jù)在銀行沉淀。銀行收集的數(shù)據(jù)范圍越來(lái)越廣、數(shù)據(jù)粒度越來(lái)越細(xì)，無(wú)疑成為全社會(huì)可信度最高的一類數(shù)據(jù)源。與此同時(shí)，公眾對(duì)數(shù)據(jù)安全的了解和重視程度也在不斷加深，百度指數(shù)如圖1所示，數(shù)據(jù)安全關(guān)鍵字的搜索指數(shù)近年來(lái)呈穩(wěn)步上升態(tài)勢(shì)，銀行與客戶間的各類信息泄露和隱私保護(hù)類糾紛也屢見(jiàn)不鮮，可以說(shuō)銀行數(shù)據(jù)安全能力，已成為同業(yè)競(jìng)爭(zhēng)力的重要組成部分。

圖1? 數(shù)據(jù)安全搜索指數(shù)穩(wěn)步上升

日益完善的數(shù)據(jù)安全法規(guī)

近年來(lái)，國(guó)家對(duì)數(shù)據(jù)安全的重視程度不斷加強(qiáng)，《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》《數(shù)據(jù)安全法》等一系列法律，《中國(guó)人民銀行金融消費(fèi)者權(quán)益保護(hù)實(shí)施辦法》《網(wǎng)絡(luò)安全審查辦法》等部門(mén)規(guī)章相繼頒布，《個(gè)人信息安全規(guī)范》《個(gè)人金融信息保護(hù)技術(shù)規(guī)范》《金融數(shù)據(jù)安全數(shù)據(jù)安全分級(jí)指南》《金融數(shù)據(jù)安全數(shù)據(jù)生命周期安全規(guī)范》標(biāo)準(zhǔn)規(guī)范等陸續(xù)實(shí)施。銀行業(yè)事關(guān)國(guó)計(jì)民生，一直處于嚴(yán)監(jiān)管環(huán)境中，上述法律、法規(guī)和標(biāo)準(zhǔn)的實(shí)施，無(wú)疑給銀行的數(shù)據(jù)安全提出更高要求。近兩年監(jiān)管處罰力度持續(xù)加大，僅2022年一季度就有三家商業(yè)銀行因數(shù)據(jù)違規(guī)使用問(wèn)題罰款合計(jì)超5000萬(wàn)元。

建行面臨數(shù)據(jù)安全現(xiàn)實(shí)威脅

建設(shè)銀行在2020年后按照“建生態(tài)、搭場(chǎng)景、擴(kuò)用戶”的數(shù)字化經(jīng)營(yíng)策略，強(qiáng)化C(客戶)端突圍、著力B(企業(yè))端賦能、推進(jìn)G(政府)端連接的新金融模式，在業(yè)務(wù)快速發(fā)展的同時(shí)，各類新舊數(shù)據(jù)安全威脅持續(xù)存在，主要表現(xiàn)在以下方面。

1.數(shù)據(jù)資產(chǎn)龐雜管控難度大

客戶信息中包括姓名、身份證號(hào)、工作單位、家庭住址等高敏感的結(jié)構(gòu)化信息;系統(tǒng)日志、應(yīng)用交易日志等半結(jié)構(gòu)化數(shù)據(jù);合同、票據(jù)、房產(chǎn)證等非結(jié)構(gòu)化影像信息，數(shù)據(jù)種類豐富、數(shù)據(jù)可信度極高。

目前建行沉淀有PB級(jí)的歷史數(shù)據(jù)，日均新增的結(jié)構(gòu)化數(shù)據(jù)就達(dá)GB級(jí)。并且在信息化持續(xù)推進(jìn)的過(guò)程中，系統(tǒng)交互和數(shù)據(jù)流轉(zhuǎn)路徑日益復(fù)雜，敏感數(shù)據(jù)分布廣泛、數(shù)據(jù)組合場(chǎng)景日益普遍，數(shù)據(jù)安全風(fēng)險(xiǎn)點(diǎn)大量出現(xiàn)，管控難度持續(xù)加大。

2.敏捷開(kāi)發(fā)對(duì)數(shù)據(jù)安全形成新挑戰(zhàn)

為快速滿足客戶不斷變化的需求，建行業(yè)務(wù)系統(tǒng)快速迭代、敏捷開(kāi)發(fā)模式日益普及。如何在開(kāi)發(fā)測(cè)試過(guò)程中落實(shí)數(shù)據(jù)安全，如何在快速迭代的業(yè)務(wù)下平衡數(shù)據(jù)保護(hù)與數(shù)據(jù)價(jià)值的關(guān)系，如何在遵循各類法律法規(guī)技術(shù)標(biāo)準(zhǔn)的基礎(chǔ)上實(shí)現(xiàn)數(shù)據(jù)安全和數(shù)據(jù)價(jià)值雙贏，成為了一個(gè)難點(diǎn)問(wèn)題。

3.黑產(chǎn)活躍持續(xù)威脅生產(chǎn)運(yùn)行態(tài)數(shù)據(jù)安全

銀行作為高價(jià)值目標(biāo)，一直是各類黑產(chǎn)的攻擊重點(diǎn)。并且攻擊目的已經(jīng)從炫技到竊取資金和敏感數(shù)據(jù)。根據(jù)相關(guān)安全公司估算2021年我國(guó)數(shù)據(jù)黑色交易的市場(chǎng)規(guī)模已經(jīng)超過(guò)1500億元，從業(yè)人員規(guī)模近200萬(wàn)人。開(kāi)源軟件、業(yè)務(wù)上云、API接口使用日益廣泛，各類漏洞頻發(fā)。各類業(yè)務(wù)邏輯類漏洞難以自動(dòng)化發(fā)現(xiàn)，運(yùn)行態(tài)數(shù)據(jù)安全持續(xù)承壓。

根據(jù)Verizon數(shù)據(jù)泄露調(diào)查報(bào)告顯示，2018年全球數(shù)據(jù)泄露事件為2216起，2019年為2013起，2020年這一數(shù)據(jù)高達(dá)3950起，泄露總記錄數(shù)達(dá)到360億，其中43%為個(gè)人信息泄露。根據(jù)IBMSecurity的一項(xiàng)全球研究發(fā)現(xiàn)，企業(yè)平均每起數(shù)據(jù)泄露事件成本為424萬(wàn)美元，創(chuàng)下17年以來(lái)的歷史新高，較前一年上升10%，給企業(yè)帶來(lái)巨大損失。國(guó)內(nèi)安全廠商調(diào)查報(bào)告顯示，國(guó)內(nèi)金融行業(yè)(38%)、教育行業(yè)(15%)的泄露事件占比高達(dá)53%。

建行數(shù)據(jù)安全建設(shè)實(shí)踐

面對(duì)強(qiáng)監(jiān)管的背景、日益復(fù)雜的數(shù)據(jù)安全形勢(shì)，建設(shè)銀行堅(jiān)守合規(guī)底線，通過(guò)構(gòu)建機(jī)制細(xì)化流程、數(shù)據(jù)安全與信息系統(tǒng)同步建設(shè)、提升數(shù)據(jù)資產(chǎn)治理水平、完善網(wǎng)絡(luò)及數(shù)據(jù)安全防護(hù)體系、持續(xù)評(píng)估改進(jìn)數(shù)據(jù)安全管理能力，構(gòu)建企業(yè)級(jí)的數(shù)據(jù)安全治理體系，如圖2所示。通過(guò)上述措施平衡業(yè)務(wù)發(fā)展和安全風(fēng)險(xiǎn)的關(guān)系，具體來(lái)說(shuō)包含以下方面。

圖2 建行數(shù)據(jù)安全治理體系

1.構(gòu)建機(jī)制細(xì)化流程壓實(shí)責(zé)任

制定數(shù)據(jù)資產(chǎn)管理辦法和數(shù)據(jù)安全分級(jí)標(biāo)準(zhǔn)，明確數(shù)據(jù)資產(chǎn)的范圍，數(shù)據(jù)安全的目標(biāo)、原則和范圍，規(guī)定數(shù)據(jù)安全分級(jí)依據(jù)和規(guī)則等。為進(jìn)一步規(guī)范個(gè)人金融信息分級(jí)要求，制定個(gè)人金融信息數(shù)據(jù)安全分級(jí)標(biāo)準(zhǔn)。修訂數(shù)據(jù)安全管理辦法和實(shí)施細(xì)則，對(duì)數(shù)據(jù)的全生命周期管理進(jìn)行了細(xì)化要求。上述標(biāo)準(zhǔn)、辦法和細(xì)則，使數(shù)據(jù)安全有規(guī)可依。

為進(jìn)一步落實(shí)數(shù)據(jù)全生命周期的管理責(zé)任，明確業(yè)務(wù)部門(mén)和機(jī)構(gòu)對(duì)數(shù)據(jù)安全負(fù)首要責(zé)任，在客戶信息的收集、使用過(guò)程中需嚴(yán)格落實(shí)數(shù)據(jù)安全各項(xiàng)制度要求;數(shù)據(jù)和科技管理部門(mén)，需保證數(shù)據(jù)傳輸、存儲(chǔ)、使用、加工、整合過(guò)程中的數(shù)據(jù)安全，定期對(duì)數(shù)據(jù)安全態(tài)勢(shì)進(jìn)行研判分析。

2.數(shù)據(jù)安全建設(shè)與項(xiàng)目建設(shè)同步

將數(shù)據(jù)安全防護(hù)貫穿分析設(shè)計(jì)、開(kāi)發(fā)、測(cè)試、生產(chǎn)運(yùn)營(yíng)的全生命周期，系統(tǒng)性地提升單系統(tǒng)數(shù)據(jù)安全能力，降低數(shù)據(jù)安全的修復(fù)成本。具體包括以下方面。

構(gòu)建全行統(tǒng)一的開(kāi)發(fā)測(cè)試流水線和工具鏈，實(shí)現(xiàn)對(duì)敏捷開(kāi)發(fā)模式的有效支持，在各開(kāi)發(fā)責(zé)任主體，均配置有安全專員和敏捷教練。在分析設(shè)計(jì)階段，將業(yè)務(wù)系統(tǒng)的法律法規(guī)技術(shù)標(biāo)準(zhǔn)要求、運(yùn)行場(chǎng)景、用數(shù)規(guī)模、數(shù)據(jù)敏感級(jí)別、數(shù)據(jù)流向等進(jìn)行綜合論證，形成數(shù)據(jù)安全建模分析。在開(kāi)發(fā)階段，考察法律法規(guī)技術(shù)標(biāo)準(zhǔn)中對(duì)卡密磁道、生物特征、敏感信息相關(guān)要求落實(shí)情況，檢查運(yùn)行場(chǎng)景下對(duì)登錄保護(hù)、身份篡改、流程繞過(guò)等常見(jiàn)對(duì)數(shù)據(jù)安全構(gòu)成威脅的網(wǎng)絡(luò)攻擊類型應(yīng)對(duì)實(shí)現(xiàn)情況。對(duì)項(xiàng)目組引入的開(kāi)源和商業(yè)軟件進(jìn)行安全性約束限制、檢查編碼中SQL注入、XSS等常見(jiàn)對(duì)數(shù)據(jù)安全構(gòu)成威脅的網(wǎng)絡(luò)安全攻擊類型的應(yīng)對(duì)情況。在測(cè)試階段，采用自動(dòng)化、半自動(dòng)化的工具針對(duì)數(shù)據(jù)安全的測(cè)試用例開(kāi)展測(cè)試工作。并且在系統(tǒng)正式部署前，針對(duì)重要系統(tǒng)增加滲透測(cè)試，通過(guò)人工檢查結(jié)合工具掃描的方式驗(yàn)證風(fēng)險(xiǎn)是否已經(jīng)修復(fù)。在此環(huán)節(jié)，需要特別注意的是如需要基于生產(chǎn)數(shù)據(jù)開(kāi)展測(cè)試，則需在數(shù)據(jù)灌入開(kāi)發(fā)測(cè)試環(huán)境前完成數(shù)據(jù)脫敏工作。

3.提升數(shù)據(jù)資產(chǎn)治理水平

數(shù)據(jù)資產(chǎn)治理是全局性的構(gòu)建數(shù)據(jù)安全能力的重要底座，為此，建行基于數(shù)據(jù)資產(chǎn)平臺(tái)，實(shí)現(xiàn)數(shù)據(jù)整合、識(shí)別及分類、可視化展示和血緣親疏，如圖3所示。

圖3 層次化的數(shù)據(jù)資產(chǎn)管理平臺(tái)

盤(pán)點(diǎn)建行的數(shù)據(jù)資產(chǎn)及其分布情況，做好數(shù)據(jù)資產(chǎn)的統(tǒng)一集成是進(jìn)行數(shù)據(jù)資產(chǎn)管控的基礎(chǔ)。建行依據(jù)企業(yè)級(jí)數(shù)據(jù)模型和“面向用戶、結(jié)合場(chǎng)景、服務(wù)導(dǎo)向”的層次建設(shè)數(shù)據(jù)資產(chǎn)分類體系，以數(shù)據(jù)倉(cāng)庫(kù)為核心，開(kāi)展基礎(chǔ)數(shù)據(jù)資產(chǎn)、集成數(shù)據(jù)資產(chǎn)、應(yīng)用數(shù)據(jù)資產(chǎn)、數(shù)據(jù)規(guī)范資產(chǎn)的梳理、盤(pán)點(diǎn)，構(gòu)建企業(yè)級(jí)數(shù)據(jù)資產(chǎn)目錄體系。

敏感數(shù)據(jù)自動(dòng)識(shí)別，測(cè)繪敏感數(shù)據(jù)的分布，是進(jìn)行數(shù)據(jù)資產(chǎn)管理的核心。通過(guò)模式識(shí)別、基于人工標(biāo)注的人工智能學(xué)習(xí)方法，識(shí)別結(jié)構(gòu)化數(shù)據(jù)中的各類敏感數(shù)據(jù)，并重視算法的可解釋性;通過(guò)使用包括聚類、Key-Value識(shí)別等算法，識(shí)別日志等半結(jié)構(gòu)化數(shù)據(jù)中的各類敏感信息;在圖片預(yù)處理基礎(chǔ)上，調(diào)用OCR算法提取文本信息，再通過(guò)文本匹配進(jìn)行精細(xì)化的敏感圖片數(shù)據(jù)分類分級(jí)。

自動(dòng)化追蹤數(shù)據(jù)加工邏輯和數(shù)據(jù)流向，構(gòu)建數(shù)據(jù)血緣關(guān)系是數(shù)據(jù)資產(chǎn)管理的重要目標(biāo)，是發(fā)現(xiàn)數(shù)據(jù)未授權(quán)使用、數(shù)據(jù)濫用、數(shù)據(jù)超范圍輸出、數(shù)據(jù)遍歷等數(shù)據(jù)異常流動(dòng)情況的主要手段。通過(guò)血緣關(guān)系的建立，可以明確敏感數(shù)據(jù)的來(lái)龍去脈，并為數(shù)據(jù)的權(quán)限管理提供重要依據(jù)。

4.完善數(shù)據(jù)安全生產(chǎn)防護(hù)體系

在生產(chǎn)運(yùn)營(yíng)過(guò)程中，加強(qiáng)控制、監(jiān)測(cè)和預(yù)警能力建設(shè)，并構(gòu)建各類應(yīng)急預(yù)案，實(shí)現(xiàn)事前預(yù)防、事中阻斷、應(yīng)急有據(jù)。其中控制側(cè)，部署沙箱、DLP、EDR、終端水印、數(shù)據(jù)脫敏等安全產(chǎn)品，提升數(shù)據(jù)脫離辦公及生產(chǎn)運(yùn)行環(huán)境的技術(shù)成本。在監(jiān)測(cè)側(cè)，構(gòu)建包含防火墻、waf、數(shù)據(jù)庫(kù)審計(jì)、旁路檢測(cè)設(shè)備，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)攻擊的有效檢測(cè)和阻斷。并且通過(guò)將告警日志與業(yè)務(wù)日志相結(jié)合，對(duì)通用敏感數(shù)據(jù)和企業(yè)自有敏感數(shù)據(jù)定義的方法，構(gòu)建起數(shù)據(jù)異常檢測(cè)的大腦。在預(yù)警側(cè)，與安全生態(tài)廣泛合作，及時(shí)獲取各類公開(kāi)漏洞情報(bào)，降低業(yè)務(wù)系統(tǒng)被遠(yuǎn)控的風(fēng)險(xiǎn);及時(shí)發(fā)現(xiàn)論壇、暗網(wǎng)等對(duì)銀行數(shù)據(jù)的交易買賣，以及針對(duì)銀行系統(tǒng)的詐騙網(wǎng)站、仿冒APP等。

5.持續(xù)性的評(píng)估改進(jìn)數(shù)據(jù)安全治理能力

通過(guò)半月度的安全例會(huì)、季度IT風(fēng)險(xiǎn)梳理報(bào)告，數(shù)據(jù)管理部門(mén)和IT部門(mén)定期回顧建行在數(shù)據(jù)安全趨勢(shì)和潛在風(fēng)險(xiǎn)，展開(kāi)針對(duì)性的風(fēng)險(xiǎn)化解工作。通過(guò)年度的內(nèi)控審計(jì)，審計(jì)部門(mén)對(duì)全行數(shù)據(jù)安全管理制度、流程及人力保障落實(shí)情況進(jìn)行監(jiān)督審查，并重點(diǎn)對(duì)數(shù)據(jù)管理部、數(shù)據(jù)中心及金科公司等部門(mén)進(jìn)行現(xiàn)場(chǎng)審查。APP個(gè)人信息保護(hù)監(jiān)管愈發(fā)嚴(yán)格的背景下，建行持續(xù)加大支持力度與資源投入，在全行范圍內(nèi)組織多次宣貫、培訓(xùn)、考試和開(kāi)展?jié)B透測(cè)試工作，并引入APP安全知名公司進(jìn)行咨詢，不斷提升APP個(gè)人信息保護(hù)工作。

數(shù)據(jù)安全的未來(lái)趨勢(shì)

API安全方興未艾，面臨的威脅也逐漸凸顯，2021年API流量已經(jīng)占全網(wǎng)流量的83%。以開(kāi)放銀行為代表的API應(yīng)用日益成為銀行與第三方商業(yè)合作的重要手段，但API自身面臨憑據(jù)失陷、越權(quán)訪問(wèn)、數(shù)據(jù)篡改、違規(guī)爬取、數(shù)據(jù)泄露等一系列安全問(wèn)題。據(jù)以色列Salt Security公司統(tǒng)計(jì)數(shù)據(jù)顯示，2021年有90%的Web應(yīng)用程序以API而非UI的形式面對(duì)網(wǎng)絡(luò)攻擊，其占比遠(yuǎn)遠(yuǎn)高于當(dāng)前2019年的40%，增長(zhǎng)迅速。

隱私計(jì)算蓬勃發(fā)展，隱私計(jì)算能夠在處理和分析計(jì)算數(shù)據(jù)的過(guò)程中保持?jǐn)?shù)據(jù)不透明、不泄露、無(wú)法被計(jì)算方和其他未授權(quán)方獲取。在此框架下，參與方的數(shù)據(jù)不出本地，可以在保證數(shù)據(jù)安全的前提下實(shí)現(xiàn)多源數(shù)據(jù)的跨組織、跨機(jī)構(gòu)合作，在銀行的營(yíng)銷、交易反欺詐、反洗錢(qián)等領(lǐng)域，已經(jīng)有落地場(chǎng)景。

未來(lái)，銀行業(yè)將會(huì)持續(xù)面臨新的數(shù)據(jù)安全威脅，需不斷引入新的方法和技術(shù)，趨利避害，在支撐業(yè)務(wù)發(fā)展的同時(shí)做好數(shù)據(jù)安全防護(hù)工作。

(欄目編輯：張麗霞)

來(lái)源： 金融電子化