安策数据加密保护-专题研讨一：如何把握金融领域数据安全工作的重点和方向，提升安全措施实效？

研讨问题1：金融领域涉及的数据有何种特点，哪些数据属于重要数据、敏感个人信息的范畴？如何高效识别数据资产？

精彩观点如下：

金融领域的核心业务简单来说就是支持账户的交易，因此账户安全和交易安全是核心诉求，相关的数据也是需要重点保护的对象。同时，伴随开放银行的发展、金融服务生态的建设，金融领域的数据范畴也随着业务形态的变化而日益丰富，除银行以外，保险、证券、信贷等也成为其中的重要组成部分，涉及的数据类型也不断扩展。

简单来看，金融领域数据可分为以下几类：客户数据、业务数据、科技数据、办公数据、测试数据。客户数据通常包括个人账户和企业账户的信息，业务数据包括交易、支付、清算数据（如银行业）、服务过程交互数据，科技数据包括系统平台的源代码、开发文档、网络安全相关的数据等，办公数据即日常的办公产生的数据，测试数据较为特殊，是指从生产环境导出数据用于开发测试，其数据类型覆盖上述各类，鉴于金融领域对于系统的容错机制要求更为严格，开发、测试过程中需要使用到大量的已经一定程度上脱敏的数据进行模拟验证。

此外，还可以从其他较为传统的方式对数据类型进行划分，如从存储形式看，金融数据可分为结构化、半结构化、非结构化；从处理过程看，分为原始数据和衍生数据。而从法律法规的管理要求来区分，个人信息主要集中在客户数据（与个人客户相关数据）、业务数据（与个人客户相关数据），重要数据主要集中在业务数据（与业务数据的规模有关）、科技数据（可能涉及到关键信息基础设施）。测试数据具体从其去标识化的程度、数据自身的规模等出发分析其是否会被纳入到个人信息和重要数据的范畴。

《金融数据安全 数据安全分级指南》（JR/T 0197—2020）将数据分为五级，其中第5级属于重要数据范畴，即会对国家安全社会公共利益损害严重的数据。目前，金融数据按敏感级别主要分布在1~4级，而5级数据在指南中没有给出明确示例。基于实际场景来看，大量的个人信息（尤其是敏感个人信息）的汇聚所得到的分析结果、反映金融行业全局的统计性信息、数据泄露后可能对金融系统造成严重危害、或引发大规模群体权益严重受损的数据，都有可能属于重要数据的范畴。需要注意的是，除非是主管部门有了明确的界定标准，否则不宜单独以个人信息条数、数据体量等角度去判断是否属于重要数据。

从金融数据监管报送的角度来看，虽然监管报送的数据不宜直接定义为某一类重要数据、核心数据，但从监管部门汇总分析的目的出发，其汇总后的信息有可能属于该范畴，因此，作为可能构成重要数据、核心数据的“源数据”，仍需要以更严格的要求进行管理和防护。

相较于其他领域，金融领域数据分级标准制定较为详尽，也得到了较为广泛的应用，而且，金融领域对于数据资产的治理也走在了其他行业领域前列。归纳来看，其数据资产识别的经验可以归纳为以下角度：一是数据库的角度，可以通过工具实现快速的发现和扫描；二是从元数据角度，对具体数据分类的界定要更清晰，形成目录；三是基于行业标准的具体要求，能够实现对相关数据的匹配、映射。其中，“自动化”识别的能力是核心，但不同客户的需求有所不同，需要通过可定制化的服务，使用逐渐成熟的AI等技术，利用数据分类分级的专业工具，进行数据资产的测绘、识别、管理。

研讨问题2：金融领域处理的敏感个人信息场景有哪些，是否需要基于不同合法性基础予以区分，在敏感个人信息保护上是否需要考虑不同的场景、目的所带来的变化？ 精彩观点如下：

《个人信息保护法》中对敏感个人信息作出明确界定，金融领域中的金融账户信息属于敏感个人信息，从字面意思以及结合敏感个人信息的主要特点来看，金融账户信息需与账户安全、个人权益直接相关且影响巨大的，通常属于敏感个人信息的范畴，主要包括：支付相关的高敏感度信息（支付口令、银行卡磁道信息等），以及金融账户（账号、卡号等），账户余额、交易记录等中敏感度信息；而开户时间、开户机构等信息可能敏感程度偏低。因此，并非所有的金融领域的个人信息均为敏感个人信息的范畴，但是，如身份证信息（包括拍摄的身份证照片等）等对用户来说可能造成较大权益影响的，建议采取等同于敏感个人信息的安全措施。

金融领域有大量履行法定义务（比如反洗钱、反电诈等）、履行合同所必需（比如开户、转账等过程）、维护个人财产安全（比如账户登录安全、交易过程安全）等情形，因此很大一部分的数据处理的合法性基础并非来源于用户同意，因此在区分个人信息和其他数据的基础上，还可以将个人信息从该角度进一步区分管理，使其能与后续所配套的安全策略、措施、保障个人权益的机制等能够更好衔接，这也是金融领域的一大典型特色。

对敏感个人信息的处理，也需根据不同的场景确定相应的处理规则，比如依据最小必要的原则，确定是否需要使用原始数据、局部数据或去标识化数据等，一方面尽可能避免使用原始数据从而降低数据处理的风险，另一方面非原始数据的敏感程度可能更低从而拓宽了合规措施的思路。 

金融领域的数据处理场景关联性强、涉及角色多，通常所处理的并非单项的敏感个人信息，而是多种级别的集合，伴随多级别数据的聚合，敏感和重要程度可能进一步增加，对个人权益的影响也随之增加。因此，应当采取与之相适应的、覆盖数据处理各环节的安全措施，通过个人信息保护影响评估工作可以对安全措施的有效性进行评价。

研讨问题3：金融领域应当关注哪些典型的数据安全风险，如何采取有效的手段监测、阻断、追溯数据安全风险和事件？ 

从一些金融领域的数据安全事件案例来看，信息系统被恶意人员直接攻克的情形较少，而数据被内部人员非授权使用、滥用、甚至泄露的情形偏多。如违规查询个人的数据用于信用评分，客户经理账户权限较高，可查信息范围较广容易诱发内鬼窃取数据等。

从金融领域特点出发，金融服务链条长、相关方多、新业务新活动等推出频繁，数据接口大量向合作伙伴、客户、公众开放，其中接口是否“最小授权”，数据传输是否“最小必要”成为了关键风险点。其次，金融领域从业人员众多，业务员使用的智能终端、App端等也成为潜在的数据安全风险点，如果安全措施不足，容易成为被恶意人员攻克的对象和违规使用数据的源头。

针对上述常见的数据安全风险，既需要从数据处理全生命周期角度部署相应的安全策略和措施，也需要建立有针对性的风险监测、预警和防范的能力。比如，在业务员使用的端侧，需要做好身份认证（如数字证书）和行为审计，还可使用云桌面等方式促进端侧的策略统一下发和管理；在数据汇集侧，使用数据防泄露（DLP）、数据脱敏（或去标识化）、数据库审计等措施有良好的效果；在与合作伙伴的数据接口侧，可通过API风险监测防止数据被超范围拉取。此外，零信任等新技术的应用也有助于对数据安全风险的精细化的管控。

版权声明: SafePloy安策利用网络资源获取的信息安全资料加上公司技术人员的理解整理产出的技术交 流文档，如有版权意见，请及时告知安策公司，我们将及时查证纠正错误，谢谢支持。有问题请及时电邮 market@ SafePloy.com

来源：安策信息、安策加密技术部 | 关键词：数据加密  敏感数据加密  金融数据  金融行业数据安全   | 受欢迎指数（）