近年来，银行信息化建设取得了突出的成就，但在银行利用信息化技术高效率处理业务、信息交流时，海量的核心机密数据存在的“价值”也引起内部或外部的不法分子的觊觎。

为了保护银行系统的安全，银行投了大量人力、物力、财力，进行了相应的网络安全、边界安全、终端安全等，还包括国家要求的网络安全等级保护合规建设。

现在，“数据”被定义为第五生产要素。为了加强数据安全，充分发挥数据价值，提升经营管理水平，国家和行业主管部门相继出台了一系列的法律法规。国家层面的《数据安全法》、《关键信息基础设施保护条例》、《个人信息保护法》等，银保监会发布的《银行业金融机构数据治理指引》，人民银行发布的《个人金融信息保护技术规范》等，都对银行业数据安全治理提出了更高的要求。

银行数据安全困境

银行数据安全治理思路

银行数据安全治理，是要从顶层设计，覆盖数据所有使用环节和应用场景安全，可以按照：整体规划、分步建设的思路进行建设，有助于银行在逐步提高数据安全保护水平的同时避免资源的浪费、降低数据保护成本和工作难度。一般包括：数据安全管理组织及制度的建设、数据资产的梳理和分类分级定义、数据安全技术手段建设等。

银行数据安全治理方案

1、完善数据安全管理组织及制度建设

数据安全保护工作涉及到银行各个部门及所有业务系统和全行工作人员，因此，数据安全管理组织的建立过程中应该充分考虑到数据安全管理工作的系统性，建立完备的组织架构。一般分为领导团队、管理团队、执行团队和审计团队。

各组织间的关系

2、完善数据资产梳理及分类分级定义

数据保护应该分类别、分等级，采用重点保护策略，如果采用大而全的策略，必然使得数据保护工作投入大，且效果难以达到预期。银行在开展数据保护工作之前，应当对全行的数据资产进行梳理及分类分级定义。

对于数据资产梳理及分类分级可以采用访谈调研和技术工具相结合的方式，制定访谈调研表，对各部门进行有针对性访谈调研，了解各部门重要数据的存储分布情况、权限设置情况和分类分级情况等。

经过数据资产梳理及分类分级，对全行的数据资产分布状况、敏感数据分布状况、数据库权限状况、数据库归属状况等形成管理台账，为数据安全治理打下基础

3、数据安全技术手段建设

从数据安全治理出发，数据安全的技术手段建设可以结合银行的具体应用场景来进行考虑。

1）数据库自身安全

数据库作为数据管理的主体，如果存在自身漏洞、安全配置缺陷、弱口令等安全漏洞，将会被内部或外部非法人员利用，造成敏感数据的泄露。实际工作中，虽然DBA会对所管理的数据库进行安全检查，但人为的管理手段局限于其自身能力、工作效率等，可利用数据库漏洞扫描系统对数据库的漏洞、安全配置、弱口令等进行自动的扫描、监控，以弥补DBA人工管理手段上的不足。

2）数据库运行状态监控

数据库如果在运行过程中发生死锁、会话阻塞、性能不足等情况，会影响到业务系统的正常运行。银行业务作为关乎民生的业务系统，银监会针对银行业务系统的中断有专门的规定和处罚措施。

利用数据库运行状态监控系统可以对数据库的运行状态、资源使用情况进行实时监控，提前预判，及时处理。

3）敏感数据的保护

经过数据资产梳理和分类分级定义后，可以明确银行数据中的敏感数据，例如用户信息、账户信息、征信信息、分析报表等。在敏感数据的使用和共享交换中，要考虑对敏感数据进行保护，以防敏感数据被泄露；在泄露后，还需要尽快的进行定位溯源，以降低数据泄露的影响。

传统敏感数据脱敏处理是DBA通过SQL语句对敏感字段进行手动覆盖，存在效率低、脱敏处理不全面的弊端。数据脱敏系统可通过静态脱敏或动态脱敏方式对敏感数据自动发现、自动脱敏，高效、全面的对敏感数据进行保护。

数据水印可以在不影响数据正常使用的前提下，添加隐藏的水印信息，当数据泄露后，可以一键溯源，定位到泄露源头。

4）运维高危操作的防范

在实际生产运维过程中，运维人员一般都有高权限的特权账号，有时会存在通过运维工具直连数据库，或者执行无条件删除数据、完全拷贝数据、修改数据等高危操作行为。

数据库审计系统，可以对操作数据库的行为进行分析，如有异常指令或账号异常，进行实时告警；数据库防火墙，可以在特权账号进行高危操作时，启用审批流程，先审批再操作，审批通过则允许操作，审批不通过则不允许操作；有效监测并防止特权账号的危险行为。

5）数据安全能力的联防联控

数据安全技术手段的建设可以提升对数据的安全防护，但各种能力单元都是各自为战，独立运行，形成了安全孤岛。数据安全综合治理平台，通过采集各能力单元的数据，利用AI智能、大数据能力，统一分析，将优化后的策略下发到各能力单元，实现联防联控。

银行数据保护是一个系统工程，需要多方面的协调与配合，既涉及到管理组织的建立、制度规范的制定、技术手段的建设，更需要长期的进行人员数据安全教育与培训。