近日，北京金融科技產(chǎn)業(yè)聯(lián)盟圍繞中國(guó)人民銀行印發(fā)的《金融科技發(fā)展規(guī)劃（2022—2025年）》（以下簡(jiǎn)稱《規(guī)劃》），開展了第三期解讀專題研討活動(dòng)。在《規(guī)劃》第三期解讀專題 “交流研討”環(huán)節(jié)中，天融信科技集團(tuán)就金融數(shù)據(jù)安全建設(shè)的難點(diǎn)、痛點(diǎn)以及體系化建設(shè)思路與經(jīng)驗(yàn)等，同參會(huì)單位進(jìn)行了交流與分享。

本次活動(dòng)以“充分釋放數(shù)據(jù)要素潛能”為專題，由北京金融信息化研究所承辦，北京國(guó)家金融科技認(rèn)證中心協(xié)辦。金融信息化研究所負(fù)責(zé)人習(xí)輝博士主持本期活動(dòng)并致辭，人民銀行科技司《規(guī)劃》編制組專家解讀《規(guī)劃》內(nèi)容，聯(lián)盟數(shù)據(jù)專委會(huì)主任委員單位成方金融信息技術(shù)服務(wù)有限公司、區(qū)塊鏈專委會(huì)主任委員單位中國(guó)人民銀行數(shù)字貨幣研究所介紹落實(shí)《規(guī)劃》相關(guān)工作情況。

天融信數(shù)據(jù)安全專家鐘誠(chéng)圍繞規(guī)劃中提出的“數(shù)據(jù)安全治理”和“數(shù)據(jù)安全防護(hù)”兩方面的能力要求，闡述了天融信以數(shù)據(jù)為核心的安全體系框架，以及“六步走”的建設(shè)思路，并結(jié)合在實(shí)際項(xiàng)目中碰到的難點(diǎn)、痛點(diǎn)等問題，對(duì)數(shù)據(jù)安全建設(shè)提出了參考經(jīng)驗(yàn)分享。

天融信以數(shù)據(jù)為核心的安全體系框架以及“六步走”的建設(shè)思路，緊緊圍繞數(shù)據(jù)安全治理評(píng)估、數(shù)據(jù)安全組織建設(shè)、數(shù)據(jù)安全管理制度規(guī)范建設(shè)、數(shù)據(jù)安全技術(shù)保護(hù)體系建設(shè)、數(shù)據(jù)安全運(yùn)營(yíng)管控建設(shè)、數(shù)據(jù)安全監(jiān)管建設(shè)等進(jìn)行有序、全方位展開。

金融行業(yè)數(shù)據(jù)安全建設(shè)不是單一的數(shù)據(jù)安全產(chǎn)品能力建設(shè)，而是應(yīng)該建立一套完善的數(shù)據(jù)安全體系，包含數(shù)據(jù)安全治理和數(shù)據(jù)安全防護(hù)兩個(gè)方面。通過數(shù)據(jù)安全體系化建設(shè)，實(shí)現(xiàn)管理與技術(shù)的融合、多方協(xié)作的融合、業(yè)務(wù)與安全的融合，建立起符合數(shù)據(jù)安全監(jiān)管要求的保障體系。從數(shù)據(jù)安全治理出發(fā)，建設(shè)管理組織和制度，為數(shù)據(jù)安全防護(hù)技術(shù)落地提供依據(jù)，通過不斷的數(shù)據(jù)安全運(yùn)營(yíng)，持續(xù)對(duì)數(shù)據(jù)安全建設(shè)進(jìn)行審計(jì)、分析，完成PDCA閉環(huán)化的數(shù)據(jù)安全建設(shè)，最終完成建立合規(guī)、有效的數(shù)據(jù)安全防護(hù)體系。

鐘誠(chéng)還針對(duì)項(xiàng)目實(shí)踐過程中遇到的難題，對(duì)數(shù)據(jù)安全建設(shè)提出了如下參考經(jīng)驗(yàn)。

Q：金融機(jī)構(gòu)在向監(jiān)管單位進(jìn)行數(shù)據(jù)采集報(bào)送時(shí)，如何保證既要考慮數(shù)據(jù)的真實(shí)、準(zhǔn)確、有效，又要考慮敏感數(shù)據(jù)信息不會(huì)被泄露？

A：這需要對(duì)數(shù)據(jù)資產(chǎn)進(jìn)行準(zhǔn)確分類分級(jí)，并對(duì)不同類別、級(jí)別的數(shù)據(jù)資產(chǎn)進(jìn)行合理的安全防護(hù)。鐘誠(chéng)認(rèn)為，在實(shí)際項(xiàng)目中更傾向于細(xì)化不同的場(chǎng)景需求，結(jié)合數(shù)據(jù)字段本身以及該字段會(huì)應(yīng)用的不同場(chǎng)景，綜合判斷其級(jí)別，并對(duì)不同場(chǎng)景進(jìn)行分類分級(jí)規(guī)范和策略的設(shè)計(jì)，從而更好地解決類似問題。

此外，開展數(shù)據(jù)資產(chǎn)梳理是落實(shí)數(shù)據(jù)分類分級(jí)的基礎(chǔ)，根據(jù)數(shù)據(jù)資產(chǎn)的不同類別和級(jí)別制定不同的安全防護(hù)策略，在數(shù)據(jù)安全治理過程中，通過對(duì)機(jī)構(gòu)現(xiàn)狀的全面的摸底，掌握機(jī)構(gòu)當(dāng)前的數(shù)據(jù)安全現(xiàn)狀，再結(jié)合《GBT 37988-2019 信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》，開展差距性分析，根據(jù)差距評(píng)估結(jié)果來建立針對(duì)性的改進(jìn)建議。

Q：數(shù)據(jù)只有流動(dòng)才能使數(shù)據(jù)價(jià)值和數(shù)據(jù)要素潛能得到全面釋放，伴隨著數(shù)據(jù)的流動(dòng)，如何對(duì)數(shù)據(jù)全生命周期過程的安全風(fēng)險(xiǎn)進(jìn)行識(shí)別、防護(hù)、檢測(cè)、響應(yīng)？

A：鐘誠(chéng)認(rèn)為，當(dāng)前基于數(shù)據(jù)全生命周期進(jìn)行識(shí)別、防護(hù)、檢測(cè)、響應(yīng)，不是單一的安全防護(hù)產(chǎn)品就可以實(shí)現(xiàn)的，需要對(duì)多個(gè)安全防護(hù)手段進(jìn)行統(tǒng)一、協(xié)同管理，并將數(shù)據(jù)安全治理融入到數(shù)據(jù)生命周期各個(gè)過程中。比較現(xiàn)實(shí)可落地的措施是建立起支撐數(shù)據(jù)安全治理的集中運(yùn)營(yíng)管控，在完成數(shù)據(jù)全生命周期定義和風(fēng)險(xiǎn)定義后，通過建設(shè)數(shù)據(jù)安全智能管控平臺(tái)，納管所有數(shù)據(jù)安全組件，完成全生命周期的風(fēng)險(xiǎn)全面管控，并從數(shù)據(jù)資產(chǎn)管理、分類分級(jí)管理、風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)處置、安全審計(jì)等多個(gè)方面建立一套完善的運(yùn)營(yíng)體系，為金融機(jī)構(gòu)提供長(zhǎng)期的安全運(yùn)營(yíng)能力。

數(shù)據(jù)安全智能管控技術(shù)架構(gòu)

目前，天融信已參與國(guó)標(biāo)《GB/T 37988-2019 信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》、金融行標(biāo)《JR/T 0223-2021金融數(shù)據(jù)安全 數(shù)據(jù)生命周期安全規(guī)范》以及《JR/T 0071—2020金融行業(yè)網(wǎng)絡(luò)安全等級(jí)保護(hù)實(shí)施指引》等金融等保2.0系列標(biāo)準(zhǔn)的制定。天融信作為國(guó)內(nèi)數(shù)據(jù)安全領(lǐng)域的先導(dǎo)者，將在金融行業(yè)主管單位相關(guān)政策要求的引領(lǐng)下， 積極參與金融行業(yè)數(shù)據(jù)安全咨詢、建設(shè)、運(yùn)營(yíng)維護(hù)、培訓(xùn)等工作。此外，天融信還積極支撐中國(guó)信息安全測(cè)評(píng)中心進(jìn)行CISP-DSG和CISP-DPO數(shù)據(jù)安全專項(xiàng)人才培養(yǎng)課程的開發(fā)，深化數(shù)據(jù)安全專業(yè)人才培養(yǎng)。

TOPSEC

天融信作為國(guó)內(nèi)數(shù)據(jù)安全領(lǐng)域的先導(dǎo)者，從率先提出“以數(shù)據(jù)為中心的安全技術(shù)架構(gòu)”，到“以數(shù)據(jù)安全治理為基礎(chǔ)、數(shù)據(jù)全生命周期為核心、數(shù)據(jù)安全防護(hù)為手段、數(shù)據(jù)安全運(yùn)營(yíng)為支撐”的方法論，一直致力于數(shù)據(jù)安全建設(shè)。未來，天融信將持續(xù)深耕數(shù)據(jù)安全領(lǐng)域，助力我國(guó)金融數(shù)據(jù)全生命周期管理體系建設(shè)，推動(dòng)數(shù)字化轉(zhuǎn)型高質(zhì)量發(fā)展。