數據是銀行的重要資產，也是其安全防護的重要對象?！吨腥A人民共和國數據安全法》《網絡數據安全管理條例（征求意見稿）》等法律法規規定了數據處理者的數據安全保護責任?！禞R/T 0223-2021金融數據安全 數據生命周期安全規范》和《T/NIFA 21—2023金融數據安全技術防護規范》進一步提出金融業機構應建立統一的金融數據安全管理制度體系，并明確各層級部門與相關崗位數據安全工作職責，規范工作流程。
在此背景下，建立一套科學有效的數據安全管理制度保護銀行數據安全已勢在必行。本文將從銀行數據安全管理制度的建設需要進行分析，給出切實應對策略，以幫助落實銀行數據安全保護要求。
銀行數據安全管理制度建設需求
1、合規性需求
監管部門會對銀行進行監督和檢查，因此銀行在制定數據安全管理制度時必須嚴格遵守相關法規和法律要求，并建立符合行業標準的數據安全管理制度，以確保滿足監管要求。
2、數據安全和隱私保護需求
銀行數據非常敏感，大量的金融數據在網絡中傳輸和存儲。任何數據的泄露或篡改都可能對用戶個人隱私和財產安全以及銀行聲譽造成嚴重影響。
3、員工安全意識培訓需求
盡管許多銀行已經意識到員工是數據安全的一個重要環節，但仍然有部分員工的數據安全意識較為薄弱，需要加強員工的安全意識培訓。
4、制度落實需求
盡管有些銀行已經制定了數據安全管理制度、規范和操作標準，但缺乏技術監管手段，如何有效落地執行仍然是一個挑戰。
銀行數據在創造價值的同時，也帶來了新的安全風險和挑戰。為確保銀行數據的安全，需要綜合考慮多方面的安全需求，并建立完善的數據安全管理制度。
銀行行業數據安全管理制度特色
銀行機構應用系統數量非常多，其架構設計嚴密，一般按照分層架構模式設計，從面向客戶提供服務的角度，將應用分為不同的層次，不同層的應用定位和作用不同，安全要求也不同。
銀行數據應用場景多種多樣且涉及信息系統多，具有更新頻繁、數據規模龐大、數據類型多樣、數據分布復雜、數據分析難度大等特點。
因此，銀行在數據全生命周期所面臨的威脅也因其特殊的行業數據而有所不同，如過度收集數據、網間傳輸風險、數據未脫敏、數據未加密、數據跨境流通等。
銀行數據安全管理制度建設應對策略
啟明星辰針對銀行特定的數據安全管理制度建設需求，提供銀行數據安全管理制度咨詢與建設服務，結合法律法規、相關標準、行業要求及實踐經驗，建設合理、完善、具有銀行特色的數據安全管理制度。
制度文檔體系結構分為四層，各層級之間相互關聯。一級文檔為方法總綱類文檔，作為整體數據安全方針策略；二級文檔為管理制度、管理辦法類文檔；三級文檔為操作流程、規范、作業指導書、模板文件類文檔；四級文檔為計劃、表格、報告、各種運行記錄/檢查記錄、日志文件等記錄類文檔。
1、數據生命周期安全管理制度
參考《GB/T 41479-2022 信息安全技術 網絡數據處理安全要求》《JR/T 0223-2021 金融數據安全 數據生命周期安全規范》《T/NIFA 21—2023金融數據安全技術防護規范》及其它對于數據生命周期的安全保護的相關標準和政策，結合銀行實際情況進行設計和編制。
在數據采集中，銀行從外部機構和個人信息主體采集數據，外部機構數據和個人主體數據通過人工或系統采集的方式收集，經過數據預處理的清洗、轉換等流程后進行存儲。
在數據傳輸中，銀行數據傳輸涉及與金融業機構相關聯的全通信網絡架構和通信方式，按照傳輸模式可分為機構內部數據傳輸、機構與外部機構或客戶的數據傳輸兩種形式，應采用相應的傳輸加密、通道加密、安全傳輸協議等保護銀行數據在傳輸過程中的安全。
在數據存儲中，銀行會涉及采用磁帶、磁盤、云存儲、網絡存儲等方式進行數據的存儲，應保證存儲的安全性，必要時要采用數據加密、權限控制、數據備份恢復等方式保護數據在存儲過程中的安全。
在數據使用中，不應超出數據采集時所聲明的目的和范圍，數據使用過程存在數據非授權訪問、竊取、泄漏、篡改、損毀等安全風險。
在數據刪除中，因為銀行數據高敏感度的特殊性，在刪除數據時要保證其有效性和不可恢復性，保證數據被完全刪除，防止銀行數據的丟失。
在數據銷毀中，銀行可能會因為機構停止業務服務、數據使用以及存儲空間釋放再分配等場景而進行數據銷毀，在銷毀過程中要保證銷毀流程規范及銷毀的有效性和不可恢復性。
2、個人信息保護制度
參考《GB/T 35273-2017 信息安全技術 個人信息安全規范》、《JR/T 0171-2020 個人金融信息保護技術規范》等個人信息保護相關的標準和政策及銀行實際對于個人信息的涉及情況進行設計和編制。
銀行個人信息包括反映特定個人金融信息主體某些情況的信息，可根據信息遭到未經授權的查看或未經授權的變更后所產生的影響和危害，將銀行個人信息按敏感程度從高到低分為C3、C2、C1三個級別，并采取相應的安全技術手段進行對個人信息的保護。
3、重要數據保護制度
參考《信息安全技術 重要數據處理安全要求》（征求意見稿）、《JRT 0197-2020 金融數據安全 數據安全分級指南》等國家和行業相關標準以及結合銀行自身實際情況進行建設。
需明確銀行重要數據有哪些，根據重要數據情況與相關標準要求設計重要數據保護制度。整體分為數據處理活動安全和運行與管理安全兩個模塊，每個模塊對應相關安全保護要求和具體安全措施，保護銀行重要數據安全。
4、數據分類分級制度
參考《信息安全技術 網絡數據分類分級要求（征求意見稿）》《JRT 0197-2020 金融數據安全 數據安全分級指南》《JR/T 0158-2018 證券期貨業數據分類分級指引》《JR/T 0171-2020 個人金融信息保護技術規范》及相關標準和政策進行建設。
在數據分類中銀行可按照數據業務應用維度進行分類，基于數據產生主體和數據權屬等分類要素，銀行數據可劃分為客戶類數據、業務類數據、經營管理類數據和監管類數據等。
在數據分級中可根據銀行數據安全性遭受破壞后的影響對象和所造成的影響程度，將數據安全級別從高到低劃分為5級、4級、3級、2級、1級。
整體數據安全管理制度的建設需要從客戶的實際情況出發，綜合考慮合規要求和制度合理性等進行設計和編制。
建立健全數據安全管理制度有助于銀行數據風險防控和規范化管理。啟明星辰提供銀行數據安全管理制度咨詢與建設服務，從銀行客戶的實際情況出發，在滿足合規需求的同時，幫助厘清內外部數據管理策略，以從容應對不斷變化的數據安全風險，并為銀行數據的應用和共享夯實制度基礎，全面提升銀行數據應用的合規性、安全性。
Copyright ? 啟明星辰 版權所有 京ICP備05032414號 
京公網安備11010802024551號
