作者
中国银行软件中心(合肥) 王旭明 栾凤 余功菊
近年来，随着数字经济的蓬勃发展与数字化应用的广泛普及，金融机构敏感数据急剧增长、业务流程日益复杂、敏感信息的暴露面不断扩大，这不仅使得数据泄露、滥用、篡改等安全问题频发，也在一定程度上制约了金融机构的稳定发展。为扫平这一阻碍，众多金融机构纷纷投身于数据安全领域的研究和探索，并着力建设数据安全治理体系，实现数据安全措施的从“无”到“有”。在此过程中，数据安全运营作为保持数据安全治理体系有效运转的关键环节，通过持续适配业务环境与风险管控要求，以及不断升级数据安全策略，致力于实现数据安全措施的从“有”到“优”。
一、金融领域数据运营现状
当前，为更高效地应对数据安全新挑战和新的法律法规要求，金融业数据安全治理不仅开始从单兵作战扩展到团队作战，且整体分工也朝着精细化运营、智能化建模、平台化管控等细分方向演进，并最终通过数据安全运营来实现对业务的输出目标。整体来看，数据安全运营的实践探索主要集中于数据分类分级、风险评估、风险识别等方面，并随着实际应用的不断深入，正逐步延伸至数据资产测绘、数据安全态势分析等领域。
在金融行业，领先金融机构纷纷以数据全生命周期为中心，从数据识别、数据防护和数据监测等方面入手，建成了支持灵活控权、数据脱敏的技术能力，并通过数据安全资产库、数据策略中心等安全服务模块快速提升整体数据处理水平；在此基础上，依托数据资产管理、安全策略管理、安全态势感知、事件响应处置等持续输出数据运营服务，并将运营管理结果反哺技术建设，完成了优化改进。从业内最佳实践来看，基于常态化的数据安全运营，金融机构将可实现数据安全从局部防护到整体防护、从静态防护到动态防护的深刻转变，进而筑牢企业数据安全保障防线。
与此同时，数据安全领域的商业化解决方案也纷纷涌现。例如，以数据资产为中心，通过建设数据安全管控工具，金融机构可构建覆盖数据资产发现、流动监测、风险分析、响应处置的数据安全闭环管控机制，实现数据流动安全监测自动化，快速满足数据资产安全管控要求。又如，通过构建数据安全综合治理平台，金融机构将可快速定位内部网络的数据服务，打造数据资产发现与梳理、数据分类分级、数据流向地图、安全事件追溯取证、安全策略联动等功能，同时引入覆盖数据全生命周期的安全管控与运营能力，实现运营分析体系化、数据资产可视化、组件管理统一化等技术目标。
二、金融领域数据安全运营痛点问题剖析
纵观金融领域的数据安全发展现状，当前多数金融机构在数据全生命周期安全和基础设施安全方面均构建了相应的技术能力，总体上侧重数据安全管理，但在数据日常运营和维护层面仍面临部分难题和挑战。
1.资产视图不明
金融行业敏感数据分布范围广泛，数据流动场景多且复杂，部分金融机构的系统内数据分布与系统间数据流转情况、数据访问关系等尚未形成清晰、动态的视图，导致其无法对敏感数据的分布、流转等进行及时有效的监控和防护，甚至难以有效控制数据泄露风险。
2.防护手段不足
当前，虽然数据库审计、日志审计、数据脱敏等安全工具已经在金融机构中广泛应用，但仍存在能力有限、单点运行等诸多问题。例如，数据库审计多聚焦于操作行为审计，缺乏对内容进行有效审计的方式方法；日志审计大多局限于粗粒度的日志分析，效用不佳；数据脱敏未实现统一的技术管控，存在“应脱未脱、脱不充分”的风险等。
3.监控预警缺失
在系统运行过程中，金融机构虽大多建设了监控预警工具，但在数据层面仍难以做到全链路动态实时监测，或未从数据业务流转场景、数据处理活动环节、数据管理流程等角度进行系统考虑和设置，导致在各模块独立监测的情况下，无法进行统一的风险实时监测与快速联动处置。
4.数据场景复杂
在场景应用方面，数据的可复制特性使其在复杂场景或交易中面临着多重安全运营挑战，任一环节出现问题都有可能导致数据泄露，特别是相关人员的无意识行为导致的数据泄露。例如，权限管控约束、数据传输途径留痕、数据应用删除处理等过程均可能发生数据泄露。
5.人员能力薄弱
在队伍建设方面，金融机构大多聚焦于网络安全人才的培养和使用，缺少兼顾业务与技术的复合型数据安全人才。在此背景下，面对安全视角的不断变化，很多技术人员很难从网络视角快速切换到数据视角，不仅对数据敏感度不高，而且数据安全运营意识也相对薄弱，导致其综合能力难以匹配工作预期。
三、关于数据安全运营体系建设的思考
当前，数据资产视图模糊、监控防护手段缺失等痛点问题已成为阻碍数据安全运营进一步发展的现实壁垒，严重阻碍了数据安全治理体系的有效运转。对此，金融机构可通过建设数据安全运营体系，实现“符合监管要求、降低安全风险、确保数据合法利用”的发展目标。
1.确立体系框架，形成全局视角
数据安全运营旨在降低数据安全风险。因此，金融机构可参考传统的网络安全运营模式，从风险识别、安全防御、安全监测、响应处置和安全审计等五个维度构建数据安全运营体系(如图1所示)，实现闭环安全管理。在该体系中，五大能力域的灵活运转主要依赖于组织、流程、工具的强力支撑。其间，清晰的组织架构与专业的运营人才可保证安全运营能力发挥最大效用，而通过梳理安全运营中典型流程的安全产品应用，由平台对各安全工具进行统一管控、统一策略管理，并根据各安全产品日志的分析成果形成联动调度，将可有效降低整体检测风险，提升安全运营效率。
图1 数据安全运营体系
2.锚定总体思路，逐步推进建设
围绕数据安全运营体系框架，金融机构可基于“五步走”建设路线，从资产管理、安全评估、风险感知、响应处置、审计运营等维度逐步完善领域能力，并最终聚合形成数据安全运营闭环。
(1)持续完善资产管理
在资产管理方面，建立“专家+工具”的数据分级分类梳理模式，定期对业务系统进行扫描，识别新增数据资源，提供常态化、自动化分类分级服务，提高数据分级分类的时效性和准确性。定期扫描存量数据，重点识别数据内容、数据规模、应用场景等，根据最新的分级分类规则完成数据类别和级别更新。通过日常的数据分级分类梳理，形成动态的数据分类分级清单，及时输出数据资产目录，并据此对数据分级分类态势进行可视化展现。通过NLP语义理解、血缘分析、网络拓扑等技术，实时绘制企业敏感数据分布地图及全链路流转轨迹，真实准确反映系统间的数据流向。综上，通过实施清晰的数据分级分类制度与构建完整的数据链路地图，将可实现对数据资产分布及流转情况的深入了解，从而为数据安全策略制定、风险排查等提供有效输入。
(2)多维开展安全评估
在安全评估方面，全面梳理数据安全相关法律法规、行业标准、监管要求与最佳实践等外部数据，结合自身数据安全建设现状、内部要求以及数据场景特征，完成对所有标准要求项的清单化整理，形成企业级数据安全合规知识库并保持动态更新。在此基础上，以知识库内容作为输入，分解形成数据安全指标，便于业务部门开展数据安全合规检查及评估。此外，基于当前的风险形势和业务场景特征，定期梳理、更新相关安全策略要求，并将其转化为安全基线，输送至监控审计平台进行定期扫描，同时定期开展数据安全风险评估，将评估结果与安全基线进行对标分析，发现偏离基线的评估项，再通过改进业务方案或强化安全技术等方式加强风险防范。
(3)全覆盖式风险感知
在风险感知方面，针对关键链路部署数据安全监测设备，并依托网络流量探针、数据库审计工具等技术手段，实时采集数据全生命周期各阶段的数据流向、数据交互等信息；建立统一的数据安全监控运营平台，通过对采集数据进行处理分析，及时发现安全漏洞、异常数据、异常行为等，实现全生命周期的安全风险实时监测；构建风险分析和预警模型对采集数据的内容、事件、用户、行为等进行关联分析和综合评估，获取当前网络局部或整体的数据安全态势信息，并可视化展示数据资产分布、敏感数据实时流向和使用情况、数据泄露事件、数据源使用状态和趋势、数据访问权限变化趋势、高危操作活动状态和趋势等全量信息。在此基础上，使用专业模型对上述各项操作行为信息隐藏的数据风险程度和未来趋势进行深入研判，并据此对后期需着重关注的风险事项加以标识与排序，增强对异常事件潜在风险的预警分析能力，从而帮助安全运营人员快速、直观、清晰地了解数据安全情况，实时掌控总体态势。
(4)快速进行响应处置
在响应处置方面，制定数据安全事件应急预案，由统一的数据安全监控运营平台进行策略下发，包括对潜藏的风险漏洞进行提前修正，对正在发生的数据安全攻击、数据安全威胁、违规操作行为等进行紧急处置，保证在第一时间阻断风险；同时，通过保存应用、API、账号对敏感数据的访问和操作信息，并下钻告警信息进行全局搜索，有效收窄安全事件排查范围，还原事件发生轨迹，使安全运营人员能及时发现数据违规操作，快速锁定涉事主体。
(5)常态化开展安全审计
在安全审计方面，将审计运营作为常态化工作持续推进，包括定期开展数据安全制度规范审计、数据安全人才建设审计、数据库使用审计、数据资产审计、账号权限管理审计、数据安全事件应急响应审计、数据全生命周期安全审计等；在此基础上，通过对数据安全运营体系进行常态化审计，及时发现组织架构、制度规范、人才培养、运营管理中的薄弱环节以及数据全生命周期中的潜在风险，并以此反哺于数据安全运营体系建设，为数据安全工作的持续优化蓄势赋能。
四、总结与展望
伴随金融数字化转型的逐步加快，金融业数据资产规模也随之不断累积和扩增，如何在不影响数据业务流程正常运行的情况下有效保护企业内数据资产，同时快速阻断敏感数据的泄露及滥用风险，已成为金融机构保证业务持续运营和提升安全能力的重中之重。为加速破局、稳固发展，金融机构可重点关注多法共治、业数融合、持续运营等工作目标。
1.注重数据安全多法共治下的工作衔接
现阶段，金融机构需同步满足多个监管文件的不同要求。例如，《银行保险机构数据安全管理办法》进一步规范了银行保险行业数据处理活动，有效保证数据安全、金融安全，促进数据合理开发利用。《中国人民银行业务领域数据安全管理办法》则更加细化了金融领域数据安全监管细则，为金融数据安全划定了清晰“红线”。对此，受到不同监管文件交叉约束的金融机构如何实现不同规定之间的统一衔接，进而充分满足国家与行业领域的合规要求，将成为其持续推进数据安全工作的“必答题”。
2.推动数据安全治理与业务发展的深度融合
当前，技术创新与业务变革已使得安全和业务的边界日益模糊，如分类分级、加密、脱敏等安全技术已然融入日常业务，并促使数据安全模式由“被动防护”转向“主动安全”。但是，目前的数据安全产品多专注于满足合规需求，在业务融合方面力有不逮。对此，金融机构可通过不断提升安全领域的规划、运营和评估能力，持续优化全体系产品布局与打造全流程综合服务，从而在满足多种业务场景需求的同时，推动数据安全和业务应用不断融合、相互促进。
3.实现数据安全保障体系的持续运营
对于金融机构而言，数据安全保障体系需要提供长期、稳定的服务，其中管理办法、技术工具等是手段，而核心关键则在于如何运营。对此，金融机构可通过以组织架构、制度流程、技术工具为框架支撑，不断加强整体能力建设，并从风险识别、安全监测、响应处置等维度构建运营能力域，有效实现事前识别与防御、事中监测与响应、事后恢复与追责，进而逐步建成高效运转、持续服务的数据安全运营体系，确保数据全生命周期的安全可控和闭环防护。
本文刊于《中国金融电脑》2025年第10期
声明：本文来自中国金融电脑，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
