隨著數(shù)字時(shí)代步伐的加快，金融行業(yè)正經(jīng)歷著前所未有的數(shù)字化轉(zhuǎn)型，與此同時(shí)，數(shù)據(jù)安全挑戰(zhàn)也日益凸顯。據(jù)國(guó)際權(quán)威咨詢機(jī)構(gòu)Verizon發(fā)布的《2024年數(shù)據(jù)泄露調(diào)研報(bào)告》顯示，金融業(yè)年內(nèi)共記錄3348起攻擊事件，其中確認(rèn)數(shù)據(jù)泄露高達(dá)1115起，數(shù)據(jù)安全成為金融行業(yè)面臨的重大挑戰(zhàn)之一。
鑒于金融數(shù)據(jù)泄露事件的日益嚴(yán)重性，國(guó)家從多層次明確提出了金融數(shù)據(jù)安全要求，旨在通過(guò)政策引導(dǎo)全面提升行業(yè)的數(shù)據(jù)保護(hù)能力。截至目前，我國(guó)已基本形成以《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》等法律為核心，行政法規(guī)、部門規(guī)章為依托，國(guó)家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)等為指南的金融數(shù)據(jù)安全合規(guī)保障體系。
為了確保金融行業(yè)的數(shù)據(jù)安全，監(jiān)管部門也采取了多種措施。通過(guò)定期或不定期地對(duì)金融行業(yè)進(jìn)行走訪抽查和技術(shù)掃描，以檢查金融行業(yè)敏感信息的保管、使用、流轉(zhuǎn)等應(yīng)用場(chǎng)景是否符合法律法規(guī)的要求。對(duì)于發(fā)現(xiàn)的違規(guī)行為，監(jiān)管部門會(huì)依法依規(guī)進(jìn)行嚴(yán)肅處理，并多次開出高額罰單，以儆效尤。這些舉措有力地推動(dòng)了金融行業(yè)數(shù)據(jù)安全管理的規(guī)范化、制度化和專業(yè)化，為金融行業(yè)的穩(wěn)健發(fā)展提供了堅(jiān)實(shí)保障。
PART01現(xiàn)狀調(diào)研
通過(guò)對(duì)某農(nóng)信聯(lián)社和某城商行進(jìn)行深入調(diào)研，我們不難發(fā)現(xiàn)監(jiān)管部門在合規(guī)檢查中，對(duì)辦公網(wǎng)敏感信息的保護(hù)給予了極高的重視。在檢查過(guò)程中，監(jiān)管部門不僅將視線投向了日常辦公網(wǎng)絡(luò)中的各個(gè)環(huán)節(jié)，更是對(duì)敏感信息的存儲(chǔ)、應(yīng)用和外發(fā)情況進(jìn)行了細(xì)致入微的考察。
在檢查敏感信息存儲(chǔ)方面，監(jiān)管部門會(huì)通過(guò)專業(yè)的工具進(jìn)行掃描，確保信息存儲(chǔ)環(huán)境的安全性，防止信息泄露或被非法獲取。他們會(huì)評(píng)估存儲(chǔ)設(shè)備的物理安全性、訪問(wèn)權(quán)限控制以及加密措施的有效性，確保敏感信息在存儲(chǔ)階段能夠得到充分的保護(hù)。
在檢查敏感信息應(yīng)用方面，監(jiān)管部門會(huì)實(shí)際參與到應(yīng)用過(guò)程中，觀察信息的使用情況，確保信息在授權(quán)范圍內(nèi)被合理使用。他們會(huì)關(guān)注員工對(duì)敏感信息的訪問(wèn)權(quán)限、使用記錄以及操作行為，確保信息不被濫用或誤用。
在檢查敏感信息外發(fā)方面，監(jiān)管部門會(huì)對(duì)外發(fā)過(guò)程進(jìn)行嚴(yán)格的監(jiān)控，確保信息在傳輸過(guò)程中不被泄露或篡改。他們會(huì)評(píng)估外發(fā)渠道的安全性、加密措施的有效性以及接收方的可信度，確保敏感信息在外發(fā)過(guò)程中能夠得到充分的保護(hù)。
這一系列的檢查措施，不僅體現(xiàn)了監(jiān)管部門對(duì)辦公網(wǎng)敏感信息安全保護(hù)的重視，也凸顯了數(shù)據(jù)安全工作在當(dāng)前信息化社會(huì)中的核心地位。
只有確保敏感信息的安全，才能保障企業(yè)的正常運(yùn)營(yíng)和客戶的權(quán)益不受侵害。因此，各金融機(jī)構(gòu)和企業(yè)應(yīng)該高度重視數(shù)據(jù)安全工作，加強(qiáng)內(nèi)部管理，完善安全機(jī)制，共同維護(hù)一個(gè)安全、可靠的信息化環(huán)境。
PART02
明朝萬(wàn)達(dá)解決方案
在辦公外網(wǎng)和辦公內(nèi)網(wǎng)均部署明朝萬(wàn)達(dá)終端DLP系統(tǒng)，在辦公電腦安裝客戶端軟件。系統(tǒng)自動(dòng)同步用戶單位組織架構(gòu)，并與OA系統(tǒng)融合，形成完善、便捷的審批流程；結(jié)合目前用戶單位已有的數(shù)據(jù)存儲(chǔ)、應(yīng)用、流轉(zhuǎn)、外發(fā)流程，適當(dāng)增加技術(shù)管控手段，以滿足監(jiān)管需要、確保數(shù)據(jù)安全。
系統(tǒng)針對(duì)不同場(chǎng)景均能夠提供完美的解決方案，相關(guān)業(yè)務(wù)場(chǎng)景包括：存量數(shù)據(jù)處理、業(yè)務(wù)系統(tǒng)數(shù)據(jù)下載、數(shù)據(jù)流轉(zhuǎn)、數(shù)據(jù)外發(fā)等。
? 存量數(shù)據(jù)處理：針對(duì)分散在用戶單位各分支行辦公電腦的海量敏感數(shù)據(jù)進(jìn)行掃描，主動(dòng)發(fā)現(xiàn)敏感信息，并確定其等級(jí)，以報(bào)表方式顯示，協(xié)助用戶管理部門及時(shí)掌握敏感數(shù)據(jù)資產(chǎn)詳情，從多個(gè)緯度分析敏感數(shù)據(jù)資產(chǎn)的存儲(chǔ)、分布、應(yīng)用情況，發(fā)現(xiàn)數(shù)據(jù)違規(guī)應(yīng)用等行為。
? 數(shù)據(jù)流轉(zhuǎn)管控：敏感數(shù)據(jù)信息無(wú)論是在辦公內(nèi)網(wǎng)、辦公外網(wǎng)內(nèi)部流轉(zhuǎn)，還是在兩個(gè)網(wǎng)絡(luò)之間流轉(zhuǎn)，均可以通過(guò)透明加解密的方式。首先進(jìn)行加密處理，流轉(zhuǎn)至目的位置之后自動(dòng)解密，既可以防范數(shù)據(jù)流轉(zhuǎn)過(guò)程中的主被動(dòng)數(shù)據(jù)泄露情況，又不會(huì)對(duì)數(shù)據(jù)的應(yīng)用過(guò)程造成額外的負(fù)擔(dān)，還可以對(duì)數(shù)據(jù)的應(yīng)用權(quán)限進(jìn)行管控，有效避免數(shù)據(jù)越權(quán)使用等違規(guī)行為。
? 數(shù)據(jù)下載管控：由于業(yè)務(wù)系統(tǒng)中的數(shù)據(jù)敏感度較高，所以從業(yè)務(wù)系統(tǒng)下載數(shù)據(jù)的行為應(yīng)重點(diǎn)管控。本方案采用下載加密（落地加密）、上傳解密的方式對(duì)業(yè)務(wù)系統(tǒng)下載數(shù)據(jù)進(jìn)行保護(hù)。從業(yè)務(wù)系統(tǒng)下載數(shù)據(jù)時(shí)，數(shù)據(jù)在落地本地磁盤之前即完成加密，落地本地磁盤的數(shù)據(jù)就是密文，只有具有訪問(wèn)權(quán)限的員工才能夠訪問(wèn)，其他人員無(wú)權(quán)訪問(wèn)；上傳數(shù)據(jù)至業(yè)務(wù)系統(tǒng)時(shí)，自動(dòng)對(duì)數(shù)據(jù)進(jìn)行解密，確保不會(huì)對(duì)業(yè)務(wù)工作造成任何影響。
? 明文外發(fā)管控：針對(duì)以明文方式將敏感信息發(fā)送至受控環(huán)境的行為，系統(tǒng)采用內(nèi)容掃描、按需審批、再次加密的方式進(jìn)行管控，多重保護(hù)確保數(shù)據(jù)安全。
（1） 內(nèi)容掃描：對(duì)待外發(fā)的敏感信息進(jìn)行內(nèi)容掃描，并根據(jù)掃描結(jié)果執(zhí)行不同的管控動(dòng)作，包括直接外發(fā)、審計(jì)、審批等。
（2） 按需審批：系統(tǒng)支持自定義審批流程，包括串行審批、并行審批、OA結(jié)合等審批方式進(jìn)行審批，每一步審批均有詳細(xì)的日志記錄。針對(duì)完成審批的文件，系統(tǒng)會(huì)自動(dòng)添加智能標(biāo)簽，當(dāng)該文件在辦公外網(wǎng)落地后，能夠再次被系統(tǒng)加密，完全滿足監(jiān)管需要，且在辦公外網(wǎng)明文外發(fā)時(shí)，系統(tǒng)檢測(cè)到標(biāo)簽后，將不執(zhí)行審批流程，以減輕審批工作量。
（3） 再次加密：通過(guò)審批、以明文方式外發(fā)的數(shù)據(jù)文件，在離開受控環(huán)境之前，系統(tǒng)可以根據(jù)策略設(shè)定，自動(dòng)以Zip、Rar等方式對(duì)文件進(jìn)行壓縮加密，并反饋給責(zé)任人加密密碼，責(zé)任人可以通過(guò)其他方式將密碼傳送接收人，進(jìn)一步提升明文外發(fā)的安全性。
PART03
方案價(jià)值
在充分考慮業(yè)務(wù)需求和遵循合規(guī)監(jiān)管的前提下，本方案滿足了用戶的數(shù)據(jù)安全需求，確保不會(huì)對(duì)用戶的業(yè)務(wù)工作造成任何額外負(fù)擔(dān)。目前，該方案已在多家銀行成功部署并投入實(shí)際應(yīng)用，收獲了業(yè)界與用戶的一致好評(píng)，證明了其高效性與實(shí)用性。
分類分級(jí)：
采用智能分類分級(jí)技術(shù)和成熟的策略集，對(duì)文檔信息進(jìn)行掃描定級(jí)，并根據(jù)分類分級(jí)結(jié)果實(shí)現(xiàn)按需管控，在有效減輕數(shù)據(jù)安全管控壓力的同時(shí)，還滿足了《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》、《個(gè)人信息保護(hù)法》以及央行《中國(guó)人民銀行業(yè)務(wù)領(lǐng)域數(shù)據(jù)安全管理辦法（征求意見(jiàn)稿）》等法律法規(guī)對(duì)數(shù)據(jù)分類分級(jí)工作的要求。
源頭管控：
對(duì)主動(dòng)發(fā)現(xiàn)的敏感信息，采用透明加解密、賦權(quán)管理等方式，從產(chǎn)生源頭開始管控，有效避免因主被動(dòng)原因產(chǎn)生的數(shù)據(jù)泄露。
全面管控：
針對(duì)數(shù)據(jù)的存儲(chǔ)、應(yīng)用、流轉(zhuǎn)、外發(fā)等應(yīng)用場(chǎng)景，均有安全、便捷的管控措施，管控的同時(shí)不影響業(yè)務(wù)工作開展。針對(duì)合規(guī)監(jiān)管關(guān)注的數(shù)據(jù)安全問(wèn)題，方案中均有合理的、可操作的管控措施。
審計(jì)溯源：
數(shù)據(jù)訪問(wèn)行為均有詳細(xì)的日志，配合智能標(biāo)簽等技術(shù)，實(shí)現(xiàn)數(shù)據(jù)快速溯源、數(shù)據(jù)安全隱患和風(fēng)險(xiǎn)點(diǎn)主動(dòng)分析發(fā)現(xiàn)等。
自糾自查：
通過(guò)重要敏感數(shù)據(jù)發(fā)現(xiàn)，提供常態(tài)化數(shù)據(jù)安全自查自糾能力，有效提升數(shù)據(jù)安全能力，在配合監(jiān)管部門安全檢查前能夠提前知曉自身的數(shù)據(jù)安全實(shí)際情況，并及時(shí)做出相應(yīng)的整改措施
安全意識(shí)：
通過(guò)“人控”和“技控”相結(jié)合的方式，能夠使員工在日常工作中得到最大的保護(hù)，避免因數(shù)據(jù)安全事件引起的各類問(wèn)題和責(zé)任，同時(shí)提升員工的數(shù)據(jù)安全意識(shí)，從根本上提升用戶單位的數(shù)據(jù)安全能力。
