金融行業數據分類分級實踐:筑牢數據安全防護基礎 護航數字化轉型
發布時間 2023-07-31在被動滿足合規和自主安全防護雙向驅動下,各行業數據安全建設穩步推進。在數據安全體系化建設過程中,啟明星辰貼合用戶場景探索出大量全面、高效的建設思路。數據分類分級作為數據安全體系建設的基礎,今天我們將結合金融行業數據分級分類工作實踐經驗與大家進行分享。
金融行業數據分類分級工作背景
隨著金融技術的不斷發展和應用,金融行業數字化轉型加速。數據作為金融行業數字化轉型的關鍵支撐,其重要性不言而喻。金融行業數據安全防護是確保金融安全的核心和關鍵,由于金融行業敏感度和嚴格的行業監管要求,需要對金融數據進行分類分級管理,數據安全分類分級成為數據安全防護的基礎。
金融數據復雜多樣,對數據實施分級管理,能夠進一步明確保護對象,有助于金融業機構合理分配數據保護資源和節約成本,是金融業機構建立完善的金融數據生命周期保護框架的基礎,也是關鍵性數據安全防護的前提條件。
金融數據分類分級,是開展數據全生命周期管理的基礎。在金融行業領域,目前已出臺《金融數據安全 數據安全分級指南》(JR/T 0197—2020)(下稱“《金融數據分級指南》”)及《證券期貨業數據分類分級指引》(JR/T 0158—2018)(下稱“《證券期貨數據分級指引》”)、《個人金融信息保護技術規范》(JR/T 0171 —2020)等行業標準,為金融業機構的數據資產分類分級提供了重要參考。
金融行業數據分類分級工作難點
1、數據類型維度難定義
數據分類可以有很多維度,不同維度各有價值,如何選擇一個維度對數據進行分類需要考慮數據分類的目的,分類維度的不清晰會導致后續基于分類的很多操作都出現問題。
2、數據分級標準面臨實踐挑戰
數據分級涉及定量和定性分析等工具使用,尤其涉及國家安全、公眾利益、個人隱私、企業合法權益等評價因素,在具體實踐中需要找到一個適中的級數,使得在實踐過程中達到效率和安全的平衡。定級過高會給實際使用帶來困擾,過低的級別又會使得數據管控難以準確地得到約束。
金融行業數據分類分級工作實踐
要做好數據資產識別及分類分級工作,當務之急是確定原則。選擇一個方法論,例如MECE分析法,以“相互獨立,完全窮盡”為要義,對于一個重大的議題,能夠做到不重疊、不遺漏的分類,而且能夠借此有效把握問題的核心,及解決問題的方法。
參考《金融數據安全 數據安全分級指南》JR/T0197-2020基于對組織單位自身數據資產的整體梳理情況,金融業機構可以先將金融數據分為客戶類、業務類、經營管理類和監管類的一級子類,在這一過程中,金融業機構可以對其所涉及的信息類別與信息量有一個較為科學準確的把握。然后根據信息主體或金融服務場景的不同再進行二級子類、三級子類下的細分(如作為一級子類的業務數據可再細分為賬戶信息、法定數字貨幣錢包信息、合約協議、金融監管和服務、交易信息等二級子類)。
業內已有一些提供數據云安全/管理解決方案的機構可以幫助企業在云上進行自動化、日常性的數據分類,金融業機構也可優化自身已有的數據管理系統對其金融數據類別進行整理。具體數據定級工作流程,可以參照《金融數據安全 數據安全分級指南》中定級工作流程進行。
在搭建好金融數據分類分級的框架并備好數據分類分級清單后,由于金融數據的類別、級別可能因時間變化、政策變化、安全事件發生、不同業務場景的敏感性變化或相關行業規則不同而發生改變,還需要對金融數據分類分級進行定期審核并及時調整。
自動化數據識別關鍵技術實現
啟明星辰在數據識別上積累了大量技術成果,覆蓋大量金融場景下的數據特征以及技術方法。關鍵能力清單如下:
1、系統內置識別方法
應用場景:針對身份證、護照編號等通用數據類型,系統已內置識別方法,準確性高、識別效率快。
2、正則表達式識別方法
應用場景:針對郵箱、IP、URL等內容有規則的數據類型,可以使用正則表達式識別,可根據業務靈活定義識別規則。
3、關鍵字、關鍵詞識別方法
應用場景:針對家庭住址、姓名等包含明顯關鍵字、關鍵詞組的場景,基于內置的詞庫進行識別。
4、 基于字段名、字段類型的識別方法
應用場景:針對表結構定義比較規范的場景,可通過字段名、字段類型進行數據識別,比如email為郵箱地址。
5、基于備注的識別方法
應用場景:針對表結構定義比較規范的場景,可根據備注內容進行數據識別,比如備注內容為“組織機構”。
6、 復雜文本內容識別方法
有分詞技術,通過分詞部件對文本進行分詞,結合預置的敏感數據類型關鍵詞庫,將分詞結果與關鍵詞庫進行碰撞,實現復雜文本的數據識別;有基于NER(NLP命名實體識別)技術,對文本中的數據類型盡心標記,在此基礎上進行分詞、識別。
7、 機器學習識別方法
有監督機器學習,人工對數據打標,標注數據類型(可自定義),打標后形成訓練樣本,基于訓練樣本進行模型訓練,利用訓練后的模型對其他未打標的數據進行類型識別,解決無法準確定義特征的數據的識別。
啟明星辰金融行業數據分類分級沉淀
經過多年金融行業的深耕與積累,啟明星辰分類分級工具已經內置包含金融行業的模板數十個,可以實現通過行業模板對數據進行自動掃描、識別和數據分類分級,配合人工核實確認,提高數據識別結果準確性,使得數據識別類型更加全面、更加高效、更加準確。
作為數據安全領域標桿企業,啟明星辰集團將繼續貫徹落實“場景化安全思維”,打磨數據安全管理產品和技術方案,為數據有序流通、可信共享及開發利用提供安全管控基礎,為客戶筑牢數據要素化市場安全體系,為加快建設“數據強國”貢獻力量。