銀行業數據安全挑戰及建行應對實踐
更廣的數據在銀行沉淀
隨著銀行同業競爭不斷加劇，以用戶為中心、以數據為驅動、以場景為依托、以滿足用戶需求和實現生態閉環為目標的數字化經營日益成為銀行競爭的新賽道，銀行業收集的數據，早已不局限于金融資產余額、賬戶變動等金融數據，越來越多的非金融交易數據在銀行沉淀。銀行收集的數據范圍越來越廣、數據粒度越來越細，無疑成為全社會可信度最高的一類數據源。與此同時，公眾對數據安全的了解和重視程度也在不斷加深，百度指數如圖1所示，數據安全關鍵字的搜索指數近年來呈穩步上升態勢，銀行與客戶間的各類信息泄露和隱私保護類糾紛也屢見不鮮，可以說銀行數據安全能力，已成為同業競爭力的重要組成部分。
圖1 數據安全搜索指數穩步上升
日益完善的數據安全法規
近年來，國家對數據安全的重視程度不斷加強，《數據安全法》《個人信息保護法》《數據安全法》等一系列法律，《中國人民銀行金融消費者權益保護實施辦法》《網絡安全審查辦法》等部門規章相繼頒布，《個人信息安全規范》《個人金融信息保護技術規范》《金融數據安全數據安全分級指南》《金融數據安全數據生命周期安全規范》標準規范等陸續實施。銀行業事關國計民生，一直處于嚴監管環境中，上述法律、法規和標準的實施，無疑給銀行的數據安全提出更高要求。近兩年監管處罰力度持續加大，僅2022年一季度就有三家商業銀行因數據違規使用問題罰款合計超5000萬元。
建行面臨數據安全現實威脅
建設銀行在2020年后按照“建生態、搭場景、擴用戶”的數字化經營策略，強化C（客戶）端突圍、著力B（企業）端賦能、推進G（政府）端連接的新金融模式，在業務快速發展的同時，各類新舊數據安全威脅持續存在，主要表現在以下方面。
1.數據資產龐雜管控難度大
客戶信息中包括姓名、身份證號、工作單位、家庭住址等高敏感的結構化信息；系統日志、應用交易日志等半結構化數據；合同、票據、房產證等非結構化影像信息，數據種類豐富、數據可信度極高。
目前建行沉淀有PB級的歷史數據，日均新增的結構化數據就達GB級。并且在信息化持續推進的過程中，系統交互和數據流轉路徑日益復雜，敏感數據分布廣泛、數據組合場景日益普遍，數據安全風險點大量出現，管控難度持續加大。
2.敏捷開發對數據安全形成新挑戰
為快速滿足客戶不斷變化的需求，建行業務系統快速迭代、敏捷開發模式日益普及。如何在開發測試過程中落實數據安全，如何在快速迭代的業務下平衡數據保護與數據價值的關系，如何在遵循各類法律法規技術標準的基礎上實現數據安全和數據價值雙贏，成為了一個難點問題。
3.黑產活躍持續威脅生產運行態數據安全
銀行作為高價值目標，一直是各類黑產的攻擊重點。并且攻擊目的已經從炫技到竊取資金和敏感數據。根據相關安全公司估算2021年我國數據黑色交易的市場規模已經超過1500億元，從業人員規模近200萬人。開源軟件、業務上云、API接口使用日益廣泛，各類漏洞頻發。各類業務邏輯類漏洞難以自動化發現，運行態數據安全持續承壓。
根據Verizon數據泄露調查報告顯示，2018年全球數據泄露事件為2216起，2019年為2013起，2020年這一數據高達3950起，泄露總記錄數達到360億，其中43%為個人信息泄露。根據IBMSecurity的一項全球研究發現，企業平均每起數據泄露事件成本為424萬美元，創下17年以來的歷史新高，較前一年上升10%，給企業帶來巨大損失。國內安全廠商調查報告顯示，國內金融行業（38%）、教育行業（15%）的泄露事件占比高達53%。
建行數據安全建設實踐
面對強監管的背景、日益復雜的數據安全形勢，建設銀行堅守合規底線，通過構建機制細化流程、數據安全與信息系統同步建設、提升數據資產治理水平、完善網絡及數據安全防護體系、持續評估改進數據安全管理能力，構建企業級的數據安全治理體系，如圖2所示。通過上述措施平衡業務發展和安全風險的關系，具體來說包含以下方面。
圖2 建行數據安全治理體系
1.構建機制細化流程壓實責任
制定數據資產管理辦法和數據安全分級標準，明確數據資產的范圍，數據安全的目標、原則和范圍，規定數據安全分級依據和規則等。為進一步規范個人金融信息分級要求，制定個人金融信息數據安全分級標準。修訂數據安全管理辦法和實施細則，對數據的全生命周期管理進行了細化要求。上述標準、辦法和細則，使數據安全有規可依。
為進一步落實數據全生命周期的管理責任，明確業務部門和機構對數據安全負首要責任，在客戶信息的收集、使用過程中需嚴格落實數據安全各項制度要求；數據和科技管理部門，需保證數據傳輸、存儲、使用、加工、整合過程中的數據安全，定期對數據安全態勢進行研判分析。
2.數據安全建設與項目建設同步
將數據安全防護貫穿分析設計、開發、測試、生產運營的全生命周期，系統性地提升單系統數據安全能力，降低數據安全的修復成本。具體包括以下方面。
構建全行統一的開發測試流水線和工具鏈，實現對敏捷開發模式的有效支持，在各開發責任主體，均配置有安全專員和敏捷教練。在分析設計階段，將業務系統的法律法規技術標準要求、運行場景、用數規模、數據敏感級別、數據流向等進行綜合論證，形成數據安全建模分析。在開發階段，考察法律法規技術標準中對卡密磁道、生物特征、敏感信息相關要求落實情況，檢查運行場景下對登錄保護、身份篡改、流程繞過等常見對數據安全構成威脅的網絡攻擊類型應對實現情況。對項目組引入的開源和商業軟件進行安全性約束限制、檢查編碼中SQL注入、XSS等常見對數據安全構成威脅的網絡安全攻擊類型的應對情況。在測試階段，采用自動化、半自動化的工具針對數據安全的測試用例開展測試工作。并且在系統正式部署前，針對重要系統增加滲透測試，通過人工檢查結合工具掃描的方式驗證風險是否已經修復。在此環節，需要特別注意的是如需要基于生產數據開展測試，則需在數據灌入開發測試環境前完成數據脫敏工作。
3.提升數據資產治理水平
數據資產治理是全局性的構建數據安全能力的重要底座，為此，建行基于數據資產平臺，實現數據整合、識別及分類、可視化展示和血緣親疏，如圖3所示。
圖3 層次化的數據資產管理平臺
盤點建行的數據資產及其分布情況，做好數據資產的統一集成是進行數據資產管控的基礎。建行依據企業級數據模型和“面向用戶、結合場景、服務導向”的層次建設數據資產分類體系，以數據倉庫為核心，開展基礎數據資產、集成數據資產、應用數據資產、數據規范資產的梳理、盤點，構建企業級數據資產目錄體系。
敏感數據自動識別，測繪敏感數據的分布，是進行數據資產管理的核心。通過模式識別、基于人工標注的人工智能學習方法，識別結構化數據中的各類敏感數據，并重視算法的可解釋性；通過使用包括聚類、Key-Value識別等算法，識別日志等半結構化數據中的各類敏感信息；在圖片預處理基礎上，調用OCR算法提取文本信息，再通過文本匹配進行精細化的敏感圖片數據分類分級。
自動化追蹤數據加工邏輯和數據流向，構建數據血緣關系是數據資產管理的重要目標，是發現數據未授權使用、數據濫用、數據超范圍輸出、數據遍歷等數據異常流動情況的主要手段。通過血緣關系的建立，可以明確敏感數據的來龍去脈，并為數據的權限管理提供重要依據。
4.完善數據安全生產防護體系
在生產運營過程中，加強控制、監測和預警能力建設，并構建各類應急預案，實現事前預防、事中阻斷、應急有據。其中控制側，部署沙箱、DLP、EDR、終端水印、數據脫敏等安全產品，提升數據脫離辦公及生產運行環境的技術成本。在監測側，構建包含防火墻、waf、數據庫審計、旁路檢測設備，實現對網絡攻擊的有效檢測和阻斷。并且通過將告警日志與業務日志相結合，對通用敏感數據和企業自有敏感數據定義的方法，構建起數據異常檢測的大腦。在預警側，與安全生態廣泛合作，及時獲取各類公開漏洞情報，降低業務系統被遠控的風險；及時發現論壇、暗網等對銀行數據的交易買賣，以及針對銀行系統的詐騙網站、仿冒APP等。
5.持續性的評估改進數據安全治理能力
通過半月度的安全例會、季度IT風險梳理報告，數據管理部門和IT部門定期回顧建行在數據安全趨勢和潛在風險，展開針對性的風險化解工作。通過年度的內控審計，審計部門對全行數據安全管理制度、流程及人力保障落實情況進行監督審查，并重點對數據管理部、數據中心及金科公司等部門進行現場審查。APP個人信息保護監管愈發嚴格的背景下，建行持續加大支持力度與資源投入，在全行范圍內組織多次宣貫、培訓、考試和開展滲透測試工作，并引入APP安全知名公司進行咨詢，不斷提升APP個人信息保護工作。
數據安全的未來趨勢
API安全方興未艾，面臨的威脅也逐漸凸顯，2021年API流量已經占全網流量的83%。以開放銀行為代表的API應用日益成為銀行與第三方商業合作的重要手段，但API自身面臨憑據失陷、越權訪問、數據篡改、違規爬取、數據泄露等一系列安全問題。據以色列Salt Security公司統計數據顯示，2021年有90%的Web應用程序以API而非UI的形式面對網絡攻擊，其占比遠遠高于當前2019年的40%，增長迅速。
隱私計算蓬勃發展，隱私計算能夠在處理和分析計算數據的過程中保持數據不透明、不泄露、無法被計算方和其他未授權方獲取。在此框架下，參與方的數據不出本地，可以在保證數據安全的前提下實現多源數據的跨組織、跨機構合作，在銀行的營銷、交易反欺詐、反洗錢等領域，已經有落地場景。
未來，銀行業將會持續面臨新的數據安全威脅，需不斷引入新的方法和技術，趨利避害，在支撐業務發展的同時做好數據安全防護工作。
