9.3安全監測

9.3.1數據溯源

金融業機構宜具備數據溯源能力，對數據生命周期過程中數據的采集、查詢、修改、刪除、共享等相關操作進行跟蹤，通過留存金融數據流動記錄等方式，確保金融數據相關操作行為可追溯。數據溯源安全要求如下：

a)應制定金融數據溯源的策略和機制，明確溯源數據的安全存儲、分析使用等管理制度。

b)應標識外部數據的來源合法性，并對外部數據的真實性和準確性等數據質量進行評估。

c)宜建立金融數據資產地圖，從數據類型、數據量級、數據特征等維度對金融數據進行盤點和梳理，按需對特定數據對象進行標記和跟蹤，構建和維護數據血緣關系。

d)應記錄數據操作過程及關鍵數據要素，在出現數據泄露事件后可根據泄露的數據進行溯源。

e)宜構建數據溯源的安全模型，增強數據操作的可追溯性。

f)應對關鍵溯源數據進行備份，并采取技術手段對溯源數據和備份數據進行安全保護。

g)應采取訪問控制、加密等技術措施保證溯源數據的安全性。

h)應以泄露數據為線索，建立對高安全等級數據事件記錄進行檢索溯源的機制，支持對接口、IP、賬號、時間進行溯源集中度分析，定位追蹤到相關責任人。

i)應建立以批量泄露數據、多類型數據作為線索進行溯源的能力，加強基于數據線索的數據溯源分析能力，加強數據溯源的時效性和準確率。

j)宜建立主體溯源分析能力，對涉及高安全等級數據的疑似泄露事件進行影響范圍評估，做好同范圍內尚未泄露的數據安全保護工作。

9.3.2流量分析

金融業機構業務流量分析安全要求如下：

a)宜采取流量分析技術對數據采集、傳輸、處理、分析等關鍵節點進行監測。

b)應部署以數據為中心的數據流量分析系統，識別并分析高安全等級數據流動情況，包括流動類型、流動范圍、數據載體、日均量級、數據賬號訪問情況、數據流向等信息，并對異常流量、行為等進行告警。

c)應對比分析流量中數據流動異常情況如不安全的采集設備與采集內容、非授權時段訪問高安全等級數據、未授權訪問、頻繁訪問、超量數據傳輸、多次嘗試、批量下載等，及時發現風險問題并進行處置。

d)宜對比分析數據流量變化和規律，構建數據流動流量基線和高安全等級數據流動基線，及時形成總結報告，并對安全防護措施進行針對性調整。

e)應對互聯網出口流量進行實時檢測，發現數據流量異常、數據流向未經授權等行為并及時處

9.3.3異常行為監測

金融業機構應建立日常數據泄露、數據篡改、數據竊取、數據非法使用的風險監控機制，主動預防、發現和終止數據泄露異常行為，有效防范和化解風險，異常行為檢測安全要求如下：

a)應建立異常行為監測指標，包括IP、賬號、數據、使用場景等多個維度，對異常行為事件進行識別、發現、跟蹤和監控。

b)應采取措施監測用戶數據訪問行為，防止未經授權的數據傳輸或下載。

c)宜采取措施監測數據傳輸過程，并聯動管理系統和安全防護設備，記錄并預警數據未經授權或高風險的數據下載和傳輸等行為，防止數據泄露。

d)應利用系統運行日志、上網行為、終端等安全系統日志監控資源，結合業務操作日志，對數據異常使用、用戶異常行為進行分析，形成數據安全分析報告，并對異常情況及時處置。

9.3.4態勢感知

金融業機構宜具備有效感知內部數據安全風險并準確定位響應的能力，態勢感知安全要求如下：

a)宜在內部各個關鍵節點，通過安全設備、探針等檢測相關信息，包括但不限于設備指紋、上網行為日志、管理平臺的審批日志、業務操作日志、數據庫日志、流量日志。

b)宜對賬號、IP、數據接口、數據系統、數據設備進行畫像，通過算法模型檢測內部潛在的賬戶盜用、數據濫用、數據外發、數據篡改、數據竊取、數據爬取等安全風險和威脅，并進行可視化展示各類風險和數據流動態勢。

c)宜結合實時安全漏洞資訊、錯報等信息對態勢感知平臺的底層規則進行及時更新。