隨著數(shù)字化不斷加速、數(shù)字社會(huì)加快到來(lái)，強(qiáng)化對(duì)數(shù)據(jù)要素和價(jià)值的認(rèn)知已經(jīng)成為數(shù)字經(jīng)濟(jì)增長(zhǎng)的核心動(dòng)力。早在2020年，《中共中央國(guó)務(wù)院關(guān)于構(gòu)建更加完善的要素市場(chǎng)化配置體制機(jī)制的意見(jiàn)》首次將數(shù)據(jù)列為生產(chǎn)要素，明確提出加快培育數(shù)據(jù)要素市場(chǎng)。在2022年數(shù)字中國(guó)建設(shè)峰會(huì)上，也以“激活數(shù)據(jù)要素，護(hù)航數(shù)據(jù)安全”作為分論壇主題展開(kāi)討論。

銀行業(yè)收集的數(shù)據(jù)，早已不局限于金融資產(chǎn)余額、賬戶變動(dòng)等金融數(shù)據(jù)，越來(lái)越多的非金融交易數(shù)據(jù)在銀行沉淀。銀行收集的數(shù)據(jù)范圍越來(lái)越廣、數(shù)據(jù)粒度越來(lái)越細(xì)，也成為可信度最高的一類數(shù)據(jù)源。數(shù)據(jù)作為新型生產(chǎn)要素，只有流動(dòng)、分享、加工處理后才能創(chuàng)造更多的價(jià)值。

與此同時(shí)，公眾對(duì)數(shù)據(jù)安全的了解和重視程度也在不斷加深，數(shù)據(jù)安全關(guān)鍵字的搜索指數(shù)近年來(lái)呈穩(wěn)步上升態(tài)勢(shì)，銀行與客戶間的各類信息泄露和隱私保護(hù)類糾紛也屢見(jiàn)不鮮，可以說(shuō)銀行數(shù)據(jù)安全能力，已成為同業(yè)競(jìng)爭(zhēng)力的重要組成部分。

數(shù)據(jù)安全的核心在于保障數(shù)據(jù)的安全與合法有序流動(dòng)。數(shù)據(jù)安全防護(hù)技術(shù)主要對(duì)數(shù)據(jù)產(chǎn)生、采集、傳輸、存儲(chǔ)、使用、共享、銷毀等生命周期各環(huán)節(jié)進(jìn)行防護(hù)。

輸入輸出節(jié)點(diǎn)控制。終端、應(yīng)用系統(tǒng)、網(wǎng)絡(luò)邊界、主機(jī)等數(shù)據(jù)的輸入輸出節(jié)點(diǎn)是數(shù)據(jù)安全管理的關(guān)鍵點(diǎn)。在這些關(guān)鍵點(diǎn)實(shí)施適當(dāng)?shù)墓芸卮胧?，保證數(shù)據(jù)在傳輸和存儲(chǔ)時(shí)的完整性、真實(shí)性和保密性，是提高數(shù)據(jù)安全防護(hù)能力的有效手段。

實(shí)時(shí)動(dòng)態(tài)的安全監(jiān)控。傳統(tǒng)的網(wǎng)絡(luò)安全防護(hù)思路側(cè)重于基于邊界防護(hù)的靜態(tài)防御，此種策略能夠有效應(yīng)對(duì)傳統(tǒng)黑客攻擊，但無(wú)法有效防護(hù)越來(lái)越多的利用未知漏洞、拒絕服務(wù)、APT等攻擊手段。需要利用大數(shù)據(jù)分析技術(shù)，對(duì)各類設(shè)備的性能、健康情況、網(wǎng)絡(luò)流量和用戶行為進(jìn)行實(shí)時(shí)監(jiān)控和態(tài)勢(shì)感知。

身份、權(quán)限和訪問(wèn)控制。在安全防護(hù)體系中，身份、權(quán)限和訪問(wèn)控制是最基本的防護(hù)手段，同樣也適用于數(shù)據(jù)安全防護(hù)。通過(guò)對(duì)數(shù)據(jù)、用戶設(shè)置細(xì)粒度的權(quán)限，結(jié)合強(qiáng)身份認(rèn)證手段，對(duì)關(guān)鍵資源實(shí)施嚴(yán)格的訪問(wèn)控制。

亞信安全一直秉承數(shù)據(jù)安全建設(shè)方面應(yīng)遵循先“理”后“治”的循環(huán)過(guò)程。

“理”是梳理，通過(guò)落實(shí)組織、人員及制度，梳理數(shù)據(jù)的分布、數(shù)據(jù)分類分級(jí)、數(shù)據(jù)安全風(fēng)險(xiǎn)等。

“治”是治療，通過(guò)部署安全技術(shù)措施對(duì)數(shù)據(jù)處理環(huán)境和數(shù)據(jù)全生命周期提供全方位的安全保護(hù)。 經(jīng)過(guò)多行業(yè)客戶實(shí)踐，亞信安全總結(jié)出數(shù)據(jù)安全治理的框架如下：

本框架是對(duì)數(shù)據(jù)進(jìn)行安全治理的過(guò)程，分為兩個(gè)環(huán)節(jié)：

“理”：強(qiáng)調(diào)建立數(shù)據(jù)安全管理機(jī)構(gòu)、落實(shí)數(shù)據(jù)安全管理人員以及制定數(shù)據(jù)安全規(guī)章制度等管理性措施。

在數(shù)據(jù)資產(chǎn)梳理中，需要明確這些數(shù)據(jù)如何被存儲(chǔ)，數(shù)據(jù)被哪些系統(tǒng)、人員使用的？以及如何使用？對(duì)于數(shù)據(jù)梳理可采用亞信安全數(shù)據(jù)資產(chǎn)地圖產(chǎn)品進(jìn)行自動(dòng)化的數(shù)據(jù)識(shí)別，而對(duì)于人員的角色梳理，則需要選擇現(xiàn)場(chǎng)調(diào)研及人工核實(shí)等方式進(jìn)行。根據(jù)企業(yè)的實(shí)際情況，制定數(shù)據(jù)分類分級(jí)條例，選取自動(dòng)化工具+人工標(biāo)注等方式進(jìn)行數(shù)據(jù)分類分級(jí)，明確重要數(shù)據(jù)的分布及被使用情況。在數(shù)據(jù)風(fēng)險(xiǎn)分析環(huán)節(jié)，采取工具掃描+專家現(xiàn)場(chǎng)評(píng)估方式，全面發(fā)現(xiàn)用戶數(shù)據(jù)存儲(chǔ)（主機(jī)、數(shù)據(jù)庫(kù)）存在的安全隱患和風(fēng)險(xiǎn)，并根據(jù)數(shù)據(jù)資產(chǎn)價(jià)值評(píng)估、脆弱性評(píng)估和威脅性評(píng)估，最終形成數(shù)據(jù)存儲(chǔ)的風(fēng)險(xiǎn)評(píng)估。

“治”：主要采用技術(shù)措施對(duì)數(shù)據(jù)進(jìn)行保護(hù)，分為數(shù)據(jù)處理環(huán)境安全及數(shù)據(jù)生命周期安全。

數(shù)據(jù)處理環(huán)境安全，包括物理環(huán)境、平臺(tái)環(huán)境、終端環(huán)境的安全，物理環(huán)境安全強(qiáng)調(diào)機(jī)房環(huán)境安全，平臺(tái)環(huán)境安全的重點(diǎn)是云平臺(tái)的安全，終端環(huán)境安全確保辦公終端的全面安全防護(hù)（防病毒、防泄密、終端準(zhǔn)入等）；數(shù)據(jù)生命周期安全包括采集安全、傳輸安全、存儲(chǔ)安全、處理安全、交換安全、銷毀安全，采集安全關(guān)注數(shù)據(jù)分類分級(jí)、數(shù)據(jù)源鑒別及數(shù)據(jù)治理管理，數(shù)據(jù)傳輸安全關(guān)注數(shù)據(jù)傳輸加密及網(wǎng)絡(luò)可用性管理，數(shù)據(jù)存儲(chǔ)安全關(guān)注存儲(chǔ)介質(zhì)安全、邏輯存儲(chǔ)安全及數(shù)據(jù)備份和恢復(fù)，數(shù)據(jù)處理安全關(guān)注數(shù)據(jù)脫敏、數(shù)據(jù)分析安全、數(shù)據(jù)正當(dāng)使用及數(shù)據(jù)處理環(huán)境安全，數(shù)據(jù)交換安全關(guān)注數(shù)據(jù)導(dǎo)入導(dǎo)出安全、數(shù)據(jù)共享安全、數(shù)據(jù)發(fā)布安全及數(shù)據(jù)接口安全，數(shù)據(jù)銷毀安全關(guān)注數(shù)據(jù)及介質(zhì)銷毀處置。

而數(shù)字化轉(zhuǎn)型過(guò)程中，所面臨的安全威脅不止于“數(shù)據(jù)”，亞信安全認(rèn)為整體化的安全防護(hù)思路更應(yīng)植根于“云、網(wǎng)、邊、端”的防護(hù)需求。在端點(diǎn)側(cè)，亞信安全終端、服務(wù)器、云主機(jī)安全方面有著突出的技術(shù)優(yōu)勢(shì)，形成“防護(hù)+運(yùn)營(yíng)”為一體的安全防護(hù)平臺(tái)方案；在網(wǎng)絡(luò)側(cè)，基于新一代的安全威脅檢測(cè)及分析引擎能力，亞信安全構(gòu)建起深度內(nèi)容安全的防毒安全網(wǎng)關(guān)；對(duì)于威脅的治理，基于自適應(yīng)框架的XDR高級(jí)威脅治理方案及UAP平臺(tái)，通過(guò)產(chǎn)品的精密編排及聯(lián)動(dòng)，形成高級(jí)威脅治理的閉環(huán)全覆蓋，從而構(gòu)建面向“數(shù)字化”需求的安全防護(hù)體系。

“網(wǎng)絡(luò)安全和信息化是一體之兩翼、驅(qū)動(dòng)之雙輪，要以安全保發(fā)展、以發(fā)展促安全”。金融機(jī)構(gòu)以數(shù)字化轉(zhuǎn)型為契機(jī)，強(qiáng)化網(wǎng)絡(luò)安全治理，積極推動(dòng)網(wǎng)絡(luò)安全轉(zhuǎn)型，進(jìn)一步促進(jìn)網(wǎng)絡(luò)安全模式向“動(dòng)態(tài)防御、安全內(nèi)生、剛性管控”演進(jìn)，構(gòu)建快速響應(yīng)和檢測(cè)、威脅情報(bào)共享和多方協(xié)作的高效運(yùn)營(yíng)模式。從總體網(wǎng)絡(luò)安全觀的視角和體系化建設(shè)的思路，將數(shù)據(jù)安全管理融入網(wǎng)絡(luò)安全的轉(zhuǎn)型，構(gòu)建適應(yīng)新形勢(shì)、新戰(zhàn)略、新架構(gòu)的數(shù)據(jù)安全管理體系。