浅谈数据安全

现代信息化科技建设的大力发展下，银行和金融机构在日常经营活动中积累了大量数据，充分挖掘这些数据资产的使用价值, 可以为金融生产带来极大的经济效益和竞争优势。然而, 一旦这些业务数据丢失、损坏或泄露, 则有可能造成巨大的经济损失, 或在社会、法律、信用、品牌上对银行造成严重的不良影响。在金融机构转型和发展的过程中，平衡数据使用的便捷性和安全性成为极大的挑战。

《网络安全法》及《数据安全法》从法律制度层面对数据安全相关信息防护进行了要求。《银行业金融机构数据治理指引》、《证券基金经营机构信息技术管理办法》、《证券期货业数据分类分级指引》、《个人金融信息保护技术规范》等行业法规则根据行业特点对本行业数据安全相关工作进行了规定。而国家相关部委、信息安全委员会则发布了《网络安全等级保护条例》、《中央企业商业秘密保护暂行规定》、《信息安全技术数据安全能力成熟度模型》等国家标准。政策法规、行业标准、国家规范共同组成了数据安全的相关规章体系。相关机构要想实现安全的管理和运营，就必须满足国家上级监管机构要求的数据安全合规性建设。

数据安全划分成三个时代，分别代表了不同的含义。

1、数据安全的1.0时代

数据安全的1.0时代，更关注于数据平台的安全，即DBMS层面的安全。DBMS安全是以数据库管理系统为安全目标。举个例子，这就类似于我们会对居住房屋进行加固，最传统的就是在家里安装防盗门、防盗窗。如果住宅更高级一些，可能会有社区监控。核心是保护边界，防止外部的入侵，对外部进行监管。这是一种系统安全的思想，需要保护的是系统，强调边界防护和防止黑客入侵。Database紧紧的被包裹在一个非常好的外延里面。DBMS安全忽视了数据在不同场景不同环境下的安全。数据平台的安全不代表数据安全，在大数据环境下，谁对数据持有保护责任？数据在哪？谁在应用？流动中的数据如何保护？这些环节中，数据均处于安全状态才是真正的数据安全！

2、数据安全的2.0时代

以数据为中心的2.0时代，我们把对数据的防护向人的视角来做类比。作为社会中的人，要运动、社交、旅游，在不同的场景下，会分出很多新种类的防护性产品，这些防护类产品可以突破房屋的物理边界，比如我们在运动的时候需要用到头盔；开车的时候有气囊；战场上有防弹衣；这样会使人的安全的延展性跟需求性更为全面。我们将此定义为场景化的安全，即数据所应用场景的安全。数据安全2.0时代的核心理念在于保证业务系统正常使用。由此可见，数据安全2.0时代是一种针对场景化提供有效技术的时代。

3、数据安全的3.0时代

数据安全3.0时代进入到体系化的数据安全治理时代，数据上升到资产、基础设施层面。好比人类发展到需要考虑公共安全的阶段，不可能再通过气囊、头盔这样的单一的个体防护方式。在面临更大的风险威胁的时候，我们会建立组织、出台政策规范等来予以保证。数据安全3.0时代最关键的特征就是体系化安全。安全不再是一个纯产品技术上的安全，实际上是组织规范+技术的完美整合，以呈现整体的安全。

总体思路以“数据安全”为核心，从数据安全顶层设计、数据安全技术体系、数据安全组织体系和数据制度规范体系四个方面，实现数据全生命周期安全。

1、建立数据安全顶层设计体系

在公司战略与架构层面，建立数据安全战略，支持公司发展战略，满足监管合规要求。建立数据分类分级标准，实现数据精细化管理。建立度量库，实现指标的标准化管理。

2、建立数据全生命周期安全技术体系

建设数据统一访问控制和审计系统，实现数据入口访问安全；建设数据脱敏系统，确保敏感数据的安全访问；建设数据加解密系统，解决数据流通过程中的数据文件泄露、数据随意转发、无法找到数据泄露源头等安全问题；建设数据安全网关系统，确保数据输出内容安全合规，成为公司对外数据输出唯一出口；建设数据安全监测与审计系统，以用户操作行为为核心，通过全网全程追踪、关联分析，实现数据资产操作安全监测与审计。

3、建立标准化与制度化的数据安全制度体系

在《网络安全法》《数据安全法》等国家法律、行业法规的要求下，对标ISO27001国际信息安全管理体系标准和国家网络安全等级保护要求，建立规范健全的数据安全制度体系，作为数据安全技术防护体系的配套措施，为数据各类安全防护手段和审计措施提供了标准依据，使数据安全有法可依、有法必依。

4、建立弹性的数据安全组织体系

建立横跨多个部门的数据生产、服务、安全管控组织架构，实现“开放、合作、高效”的数据生产服务，通过必要的安全组织实现“安全”和“开放”的平衡。高度重视数据安全人才培养，重视数据产学研相结合，建立起一支具备渗透测试、漏洞分析和修复、安全开发能力的数据安全人才队伍。

通过安全管理和安全技术深度结合，切实有效地解决企业数据资产不清、数据访问权限不明、敏感数据无法共享、数据无法追踪溯源等实际安全问题；提升公司数据安全能力，有效防止信息泄露事件的发生，降低数据安全风险，在有效保护国家数据安全和用户隐私的前提下，取得良好的经济效益和社会效益。

随着数字经济蓬勃发展，数据已经成为当之无愧的关键生产要素，是基础性资源和战略性资源。数据安全防护任重道远，只有通过有效的技术手段和相关政策法规等相完美结合，才能解决数据安全与数据泄露的保护问题。

浅谈数据安全 留言区

• 不用数据库非好汉，不懂索引也遗憾
• 开源云编排引擎Cloudify功能介绍
• 网络知识拓展小课堂–NQA及雾计算网络
• 一种视图与逻辑分离的前端项目研究与实践
  

欢迎关注EBCloud！

作者 | 梁志合