《北京金融科技產業聯盟：2023金融業數據分類分級與保護應用研究報告（73頁）.pdf》由會員分享，可在線閱讀，更多相關《北京金融科技產業聯盟：2023金融業數據分類分級與保護應用研究報告（73頁）.pdf（73頁珍藏版）》請在三個皮匠報告上搜索。

1、金融業數據分類分級與保護應用研究 北京金融科技產業聯盟 2023 年 11 月 版權聲明 本報告版權屬于北京金融科技產業聯盟，并受法律保護。轉載、編摘或利用其他方式使用本報告文字或觀點的，應注明來源。違反上述聲明者，將被追究相關法律責任。編制委員會 編委會成員：何 軍 聶麗琴 高鴻升 編寫組成員：沈蓓瑾 武利娟 華桊興 項子林 趙 亮 馮德亮 韓 杰 王舒倩 梁駿峰 成 燕 張海燕 唐 輝 趙春華 高強裔 李子達 張 澍 郭麗穎 李建彬 鐘 誠 肖 松 羅家鑄 劉敬謙 郭瑞峰 李克鵬 陳 明 劉 妍 陳 聰 張艷君 楊 波 趙 瑩 丁克凎 陳 豪 何穎琪 劉 弦 康和意 編 審：黃本濤 郭 棟

2、 劉寶龍 1 參編單位：北京金融科技產業聯盟秘書處 中國工商銀行股份有限公司 平安銀行股份有限公司 中國銀行股份有限公司 上海浦東發展銀行股份有限公司 北京國家金融科技認證中心有限公司 北京天融信網絡安全技術有限公司 藍象智聯（杭州）科技有限公司 騰訊云計算（北京）有限責任公司 國家金融科技測評中心 深圳壹賬通智能科技有限公司 同盾科技有限公司 2 目 錄 前言.1 一、背景情況.2（一）國家戰略和頂層規劃.2（二）立法及金融管理體系.5（三）標準規范.10 二、發展概況.14（一）數據分類分級發展概況.14（二）數據保護發展概況.16 三、挑戰與對策.19（一）海量金融數據分類分級打標面臨成

3、本與時效的挑戰與措施.19（二）數據生命周期安全保護全覆蓋和有效性存在的挑戰與措施.20（三）數據分類分級結果準確性的挑戰與措施.22（四）客戶信息敏感數據使用的挑戰與措施.23（五）個人信息敏感數據保護的挑戰與措施.25 四、未來展望.27（一）技術趨勢.27（二）應用趨勢.29（三）策略聯動.30（四）發展建議.31 附錄 A：金融機構數據分類分級與保護實踐案例.33 案例一：工商銀行數據分類分級實踐.33 案例二：中國銀行數據分類分級實踐.36 案例三：平安銀行數據分類分級實踐.41 案例四：浦發銀行數據分級運用實踐場景.47 附錄 B：科技公司數據分類分級與保護實踐案例.50 案例一：

4、騰訊數據分類分級實踐.50 案例二：壹賬通在某集團數據分類分級的實踐.52 案例三：天融信在某銀行基于敏感數據識別與分類分級技術的探索與實踐.54 案例四：天融信在某消費金融開展數據分類分級與風險評估與實踐.57 案例五：藍象智聯普惠金融聯邦定制的風險評估方案.61 案例六：同盾在某大型國有銀行數據安全項目的實踐.65 1 前言前言 數據安全法1個人信息保護法2已正式實施一年多，各金融機構在數據安全體系建設中積累了豐富經驗的同時也遇到了一些問題和挑戰。通過該課題的研究，希望聯盟各金融機構共同分享數據分類分級體系建設的經驗，探索存在的問題和挑戰，促進金融業數據安全發展。報告從金融業數據分類分級與

5、保護的發展概況、挑戰與對策、未來展望、實踐案例四個方面展開論述。其中，發展概況主要介紹了數據安全相關的國家戰略、立法體系、規范標準、分類分級和保護的發展現狀等，挑戰與對策總結了各機構在數據分類分級和保護的工作開展過程中遇到的共性問題及應對策略，未來展望則對數據分類分級與保護的技術趨勢和管理機制的發展做了展望，實踐案例部分匯集了參編單位在金融領域開展數據分類分級與保護工作落地實踐案例介紹。該課題選取數據分類分級與保護這一典型數據安全領域總結典型實踐案例經驗，對于推進金融機構完善數據分類分級保護機制、加強數據全生命周期管理閉環、促進數據要素流通和進一步釋放數據價值具有重要意義。1 中華人民共和國數

6、據安全法已由中華人民共和國第十三屆全國人民代表大會常務委員會第二十九次會議于 2021 年 6 月 10 日通過，自 2021 年 9 月 1 日起施行。2 中華人民共和國個人信息保護法已由中華人民共和國第十三屆全國人民代表大會常務委員會第三十次會議于 2021 年 8 月 20 日通過，自 2021 年 11 月 1 日起施行。2 一、一、背景情況背景情況（一）國家戰略和頂層規劃（一）國家戰略和頂層規劃 當前，數據已成為重要的生產要素，大數據產業作為以數據生成、采集、存儲、加工、分析、服務為主的戰略性新興產業，是激活數據要素潛能的關鍵支撐，是加快經濟社會發展質量變革、效率變革、動力變革的重要

7、引擎。數字技術的快速發展深刻改變了經濟發展、社會治理和個人生活的方方面面，全球經濟逐步由工業經濟向數字經濟轉型，“十三五”以來，我國高度重視數字經濟發展，先后出臺了一系列政策文件，以促進傳統經濟與數字經濟深度融合，實現數字化轉型；“十四五”時期，我國數字經濟轉向深化應用、規范發展、普惠共享的新階段。1.1.國家關于金融數據發展整體規劃國家關于金融數據發展整體規劃 國家關于金融數據發展的規劃立足新發展階段、貫徹新發展理念、構建新發展格局，統籌問題導向和目標導向，統籌短期目標和中長期目標，統籌全面規劃和重點部署，聚焦突出問題和明顯短板，充分激發數據要素價值潛能，夯實產業發展基礎，構建穩定高效產業鏈

8、，統籌發展和安全，培育自主可控和開放合作的產業生態，打造數字經濟發展新優勢，為建設制造強國、網絡強國、數字中國提供有力支撐。主要有以下幾點：釋放數據要素價值。釋放數據要素價值。我國金融數據發展整體規劃堅持數據要素觀，以釋放數據要素價值為導向，推動數據要素價值 3 的衡量、交換和分配，加快大數據容量大、類型多、速度快、精度準、價值高等特性優勢轉化，支撐數據要素市場培育，激發產業鏈各環節潛能，以價值鏈引領產業鏈、創新鏈，推動產業高質量發展。完善數字經濟治理體系。完善數字經濟治理體系。新業態、新模式的不斷涌現，宏觀政策重點需要主動順應新形勢、新規律和新要求，更加強調發展與規范并重，在鼓勵繼續發展壯大

9、的同時，系統排除隱患和風險，統籌發展與安全，確保數字經濟行穩致遠。筑牢數據安全保障防線。筑牢數據安全保障防線。加強數據安全管理能力。推動建立數據安全管理制度，制定相關配套管理辦法和標準規范，組織開展數據分類分級管理，制定重要數據保護目錄，對重要數據進行備案管理、定期評估與重點保護。建設數據安全監測系統，形成敏感數據監測發現、數據異常流動分析、數據安全事件追蹤溯源等能力?？茖W制定實施數字化轉型戰略?？茖W制定實施數字化轉型戰略。加強頂層設計和統籌規劃，圍繞服務實體經濟目標和國家重大戰略部署，科學制定和實施數字化轉型戰略，將其納入機構整體戰略規劃，明確分階段實施目標，長期投入、持續推進。積極發展產業

10、數字金融。積極發展產業數字金融。積極支持國家重大區域戰略、戰略性新興產業、先進制造業和新型基礎設施建設，打造數字化的產業金融服務平臺，圍繞重大項目、重點企業和重要產業鏈，加強場景聚合、生態對接，實現“一站式”金融服務。4 2.國家關于數據金融相關舉措國家關于數據金融相關舉措“在十四五”時期，我國數字經濟轉向深化應用、規范發展、普惠共享的新階段。為應對新形勢新挑戰，把握數字化發展新機遇，拓展經濟發展新空間，推動我國數字經濟健康發展，國家制定以下相關舉措為建設制造強國、網絡強國、數字中國提供有力支撐。加強數據“高質量”治理。加強數據“高質量”治理。圍繞數據全生命周期，通過質量監控、診斷評估、清洗修

11、復、數據維護等方式，提高數據質量，確保數據可用、好用。完善數據管理能力評估體系，實施數據安全管理認證制度，持續提升企事業單位數據管理水平。強化數據分類分級管理，推動數據資源規劃，打造分類科學、分級準確、管理有序的數據治理體系，促進數據真實可信。強調數據“多樣性”處理。強調數據“多樣性”處理。提升數值、文本、圖形圖像、音頻視頻等多類型數據的多樣化處理能力。促進多維度異構數據關聯，創新數據融合模式，提升多模態數據的綜合處理水平，通過數據的完整性提升認知的全面性。建設行業數據資源目錄，推動跨層級、跨地域、跨系統、跨部門、跨業務數據融合和開發利用。金融大數據“高質量”利用。金融大數據“高質量”利用。金

12、融大數據是通過大數據精算、統計和模型構建，助力完善現代金融管理體系，補齊監管制度短板，在審慎監管前提下有序推進金融創新。優化風險識別、授信評估等模型，提升基于數據驅動的風險管理能力。5 深化數字技術金融應用。深化數字技術金融應用。健全安全與效率并重的科技成果應用體制機制，不斷壯大開放創新、合作共贏的產業生態，打通科技成果轉化“最后一公里”。健全安全高效的金融科技創新體系。健全安全高效的金融科技創新體系。搭建業務、技術、數據融合聯動的一體化運營中臺，建立智能化風控機制，全面激活數字化經營新動能。（二）立法（二）立法及及金融金融管理管理體系體系 數據作為一種新型生產要素，其流動為科技產業、社會經濟

13、發展帶來了巨大的動能與創新。同時數據安全也面臨著前所未有的挑戰。近年來，全球數據泄露事件層出不窮，致使公眾深受個人隱私曝光與騷擾詐騙的困擾，相關企業面臨資產與聲譽的重大損失，甚至危害到社會穩定與國家安全。數據保護成為世界各國的共同需求，各國對此高度重視，紛紛通過立法保障數據安全，開展數據治理，維護國家、社會與個人權益。1.國際數據保護相關立法國際數據保護相關立法 早在二十世紀，歐盟與美國就開啟了個人隱私保護立法進程。進入到大數據時代，世界各國圍繞數據安全與個人信息保護，相繼發布了一系列相關法律。其中最具有代表性的是歐盟于 2016 年發布的通用數據保護條例3（以下簡稱 GDPR），其為個人數據

14、創造了一套具體的保護與監管制度，成為大數據監管新時代的標志。歐盟各成員國基于 GDPR，結合本國國情制定或修訂本國的個 3 通用數據保護條例是在歐盟法律中對所有歐盟個人關于數據保護和隱私的規范，涉及了歐洲境外的個人數據出口。在 2018 年 5 月 25 日強制執行。6 人數據保護法，如德國聯邦數據保護法、法國個人數據保護法等。美國聯邦與各州立法各成體系，聯邦立法如美國數據隱私和保護法案4（討論稿）澄清境外數據的合法使用法（云法案）等，各州立法如加州消費者隱私法案科羅拉多州隱私法案等。英國早在 1998 年發布數據保護法，為加強數據經濟時代的個人數據保護，2018 年發布了新的數據保護法201

15、8。2022 年英國通過了 數據保護和數字信息法案5（“143號法案”），是對英國現有多個法案的改革。日本于 2003年發布個人信息保護法，并在 2021 年 5 月發布修訂案。韓國于 2020 年發布“數據三法”個人信息保護法信息通信網利用促進及信息保護法及信用信息的利用及保護法。印度于 2018 年發布個人數據保護法案據統計，全球已有一百多個國家出臺了數據保護相關法律。2.我國數據保護立法體系我國數據保護立法體系 與國際上發達國家及地區相比，我國在數據保護立法方面起步較晚。近年來，隨著數據要素市場化建設，我國數據保護立法取得突飛猛進的進展。在基礎性法律方面，網絡安全法6數據安全法 個人信息

16、保護法共同構筑了我國數據安全與個人信息保護的 4 2022 年 6 月 3 日，美國眾議院和參議院發布了美國數據隱私和保護法案討論稿，這是首個獲得兩黨兩院支持的全面的聯邦隱私立法草案，內容涉及國會近 20 年來隱私辯論的方方面面。5 2022 年 7 月 8 號，英國下議院提交數據保護和數字信息法案，法案對數據保護框架進行了更新，使其更利于保護國家利益，保護公民權益。6 中華人民共和國網絡安全法已由中華人民共和國第十二屆全國人民代表大會常務委員會第二十四次會議于 2016 年 11 月 7 日通過，自 2017 年 6 月 1 日起施行。7 頂層設計框架。網絡安全法對網絡運營者收集、使用個人信

17、息作出了規范，并首次提出重要數據的概念。數據安全法要求建立一系列數據安全保護制度，如數據分級分類保護制度、數據安全審查制度等。個人信息保護法聚焦于可識別自然人的個人信息保護，建立了權責明確、保護有效、利用規范的個人信息保護機制。除此之外，未成年人保護法民法典等多項法律文件也對數據與個人信息保護進行了相關規定。如表 1 列舉了我國主要的數據保護相關基礎性法律文件。表 1 我國數據保護相關基礎性法律 發布時間 文件名稱 相關內容 1991 年首次發布 未成年人保護法 未成年人個人信息保護 2015 年 7 月 國家安全法 重要領域信息系統及數據保護 2016 年 11 月 網絡安全法 網絡數據安全

18、及個人信息保護 2020 年 5 月 民法典 個人信息、數據權益保護 2021 年 6 月 數據安全法 數據安全保護 2021 年 8 月 個人信息保護法 個人信息保護 在基本法律框架的基礎上，網信辦、工信部等各領域主管部門發布行政法規與部門規章，對基礎性法律中建立的一系列數據保護制度，如數據分類分級保護、關鍵信息基礎設施保護、數據安全審查等，進行落實、細化與補充，詳見表2。表 2 我國數據保護相關法規規章 發布機構 發布時間 文件名稱 相關內容 國務院 2018 年 3 月 科學數據管理辦法 科學數據安全保護 2021 年 7 月 關鍵信息基礎設施安全保護條例 關鍵信息基礎設施安全保護 20

19、18 年 12 月 金融信息服務管金融信息安全、個人信息 8 國 家 互 聯網 信 息 辦公室 理規定 保護 2019 年 5 月 數據安全管理辦法（征求意見稿）在境內利用網絡開展數據處理活動以及數據安全的保護與監督管理 2020年4月首次發布，2021 年 12 月發布修訂版 網絡安全審查辦法 網絡平臺運營者開展數據處理活動的安全審查 2021 年 8 月 汽車數據安全管理若干規定（試行）汽車數據安全保護與合理開發利用 2021 年 11 月 網絡數據安全管理條例（征求意見稿）個人信息保護、重要數據安全、數據跨境安全 2022 年 7 月 數據出境安全評估辦法 數據跨境安全保護、數據出境安全

20、評估 工 業 和 信息化部 2022 年 12 月 工業和信息化領域數據安全管理辦法（試行）工業和信息化領域數據安全分類分級保護 證監會 2023 年 3 月 證券期貨業網絡和信息安全管理辦法 證券期貨業網絡和信息安全管理 在區域性數據保護立法方面，貴州省最先發布了貴州省大數據發展應用促進條例 貴州省大數據安全保障條例等法規，之后深圳、上海、天津、重慶和浙江等二十多個省市的數據條例接連出臺。其中，深圳經濟特區數據條例比較具有代表性，該條例是我國數據領域首部基礎性、綜合性地方立法，其內容涵蓋了個人數據、公共數據、數據要素市場、數據安全等方面，依據上位法中的數據保護規則做出進一步的規范。數據安全法

21、個人信息保護法的實施標志著我國數據保護的基本法律框架已搭建完成。在此基礎上，金融、互聯網、工信、汽車等行業的數據政策接連發布。同時，各地區也在持續推進相關立法工作。我國數據保護立法體系日趨完善。9 3.金融數據安全金融數據安全管理管理體系體系 目前，我國尚未制定專門的金融數據管理相關法律法規，相關的保護規定散落在數據安全法個人信息保護法等前一小節所述的法律文件以及金融行業主管部門發布的相關政策中。表 3 列出了中國人民銀行、原銀保監會和證監會發布的金融數據安全相關的監管政策。表 3 我國金融數據安全管理政策 發布機構 發布時間 文件名稱 相關內容 中國人民銀行 2011年5月 中國人民銀行關于

22、銀行業金融機構做好個人金融信息保護工作的通知 做好個人金融信息收集、使用、對外提供等安全保護。2015年7月 關于促進互聯網金融健康發展的指導意見 保護客戶資料和交易信息安全，不得非法買賣、泄露客戶個人信息。2020年9月 金融消費者權益保護實施辦法 保障消費者信息安全權等權利，規制金融機構信息收集處理行為。2021年9月 征信業務管理辦法 保護信息主體合法權益，保障信息安全，防范信息安全風險 2021年12 月 金 融 科 技 發 展 規 劃（2022-2025 年）做好數據安全保護，嚴格落實數據安全法律法規、標準規范，建立健全數據全生命周期安全管理長效機制和防護措施。原銀保監會 2018年

23、5月 銀行業金融機構數據治理指引 加強數據治理，建立數據安全策略與標準，依法合規采集、應用數據，依法保護客戶隱私，劃分數據安全等級，完善數據安全技術，定期審計數據安全。2020年9月 關于規范保險公司健康管理服務的通知 尊重客戶知情同意權、保護客戶隱私權，確保相關數據和信息安全。2021年12 月 銀行保險機構信息科技外包風險監管辦法 保障信息科技外包時的信息安全，加強重要數據和個人信息保護。10 2022年12 月 銀行保險機構消費者權益保護管理辦法 建立消費者個人信息保護機制，對消費者個人信息實施全流程分級分類管控。證監會 2012年8月 證券期貨業信息安全保障管理辦法 開展信息安全工作，

24、保護投資者交易安全和數據安全。2022年4月 證券期貨業網絡安全管理辦法（征求意見稿）按規定履行數據安全管理責任，采取技術手段保障數據安全，處理重要數據、核心數據應明確負責人并指定管理機構。2022年4月 關于加強在境外發行證券與上市相關保密和檔案管理工作的規定修訂 加強境內企業境外上市相關保密和檔案管理工作，明確上市公司信息安全責任，維護國家信息安全，妥善管理涉密和敏感信息。隨著我國數據安全與個人信息保護相關法律法規的出臺以及行業主管部門各項金融數據政策的發布，金融數據安全管理體系初步形成。金融數字化轉型程度不斷加深，對金融機構的數據安全保護能力提出更高要求，同時也對金融數據安全管理體系的建

25、立健全提出迫切需求。行業主管部門將持續響應相關法律法規要求，制定更為具體和完善的監管措施，推動金融機構數據安全能力建設，實現數據要素在金融行業的有效保護和合法利用。（三）標準規范（三）標準規范 金融數據具有數據體量大、數據價值高的顯著特征，需要對金融數據中的高價值、高敏感程度數據進行重點保護，因此金融領域十分重視金融數據的分類分級和安全保護。當前，全國信息安全標準化技術委員會與全國金融標準化技術委員會已發布多項數據分類分級與保護相關的標準，如信息安全技術 個人信息安全規范（GB/T 35273-2020）、信息 安 全 技 術 個 人 信 息 安 全 影 響 評 估 指 南 （GB/T 11

26、39335-2020）、個人金融信息保護技術規范（JR/T 0171-2020）、金融數據安全 數據安全分級指南（JR/T 0197-2020）以及金融數據安全 數據生命周期安全規范（JR/T 0223-2021）等，相關領域還有多項處于研制階段的國家與行業標準，如信息安全技術 網絡數據分類分級要求（征求意見稿）信息安全技術 重要數據識別指南（征求意見稿）以及金融數據安全 數據安全評估規范（征求意見稿）。表 4 列出了現有標準分別從全量個人信息、個人信息安全影響、個人金融信息、金融業數據、數據生命周期、網絡數據、重要數據以及數據安全評估的維度對金融數據分類分級與保護做出的規定。表 4 國家、金

27、融行業數據安全相關標準 序號 標準名稱 發布時間 發布機構 重點內容 1 信息安全技術 個人信息安全規范 2020 年 3月 國 家 市 場監 督 管 理總局；國家標 準 化 管理委員會 規范中要求各類處理個人信息的組織與個人信息控制者，在個人信息收集、儲存、使用作出了明確規定，在各個信息處理環節明確了個人信息處理需權責一致、目的明確、選擇同一、最小必要、公開透明、確保安全、主體參與的要求。2 信息安全技術 個人信息安全影響評估指南 2020年11 月 國 家 市 場監 督 管 理總局；國家標 準 化 管理委員會 指南給出了個人信息安全影響評估的價值、用途、責任主體、基本原理與實施要素，并從評

28、估必要性、評估準備工作、數據映射分析、風險源識別、個人權益影響分析、安全風險綜合分析、報告編寫、風險處置和持續改進、報告發布策略等維度提出評估實施的流程指導。3 個人金融信息保護技術規范 2020 年 2月 中 國 人 民銀行 規范規定了個人金融信息在收集、傳輸、存儲、使用、刪除、銷毀等全生命周期各環節的安全防護要求，從安全技術和安全管理兩方面對個人金融信息保護提出規范性要求。4 金融數據安全 數據安全分級指2020 年 9月 中 國 人 民銀行 指南從金融數據安全分級的目標、原則和范圍，以及數據安全定級的要素、規 12 序號 標準名稱 發布時間 發布機構 重點內容 南 則和定級過程指導金融機

29、構開展電子數據安全分級工作。5 金融數據安全 數據生命周期安全規范 2021 年 4月 中 國 人 民銀行 規范規定了金融數據生命周期安全原則、防護要求、組織保障要求以及信息系統運維保障要求，建立覆蓋數據采集、傳輸、存儲、使用、刪除及銷毀過程的安全框架，并針對不同安全級別的數據，明確其在數據生命周期各個環節的安全防護要求，是金融業機構開展數據安全防護工作的基本依據。6 信息安全技術 網絡數據分類分級要求（征求意見稿）2022 年 9月 國 家 市 場監 督 管 理總局；國家標 準 化 管理委員會 文件給出了網絡數據分類分級的原則、框架和方法，并適用于指導數據處理者開展數據分類分級工作，也可為主

30、管部門進行數據分 類分級管理提供參考。7 信息安全技術 重要數據識別指南（征 求 意 見稿）尚 未 發布 國 家 市 場監 督 管 理總局；國家標 準 化 管理委員會 指南為重要數據安全保護提供支撐，幫助數據處理者識別其掌握的重要數據，并對重要數據識別基本原則、識別因素，以及描述格式提出要求。8 金融數據安全 數據安全評估規范（征 求 意 見稿）尚 未 發布 中 國 人 民銀行 規范規定了金融數據安全評估觸發條件、原則、參與方、內容、流程及方法，明確了數據安全管理、保護、運維三個主要評估域及其安全評估主要內容和方法。各項技術標準中對金融數據分類分級與保護提出了較為相似的原則性要求，一是合法合規

31、性原則，金融機構需滿足國家法律法規及行業主管部門有關規定，并充分考慮與銜接已有管理要求和行業特色；二是可執行性原則，金融機構開展數據分類分級與保護時應避免規則過于復雜，并明確本機構數據安全防護工作相關部門及其職責，確保落實相關措施，履行數據安全防護職責；三是選擇同意原則，若涉及個人金融信息，應向個人金融信息主體明示數據采集和處理的目的、方式、范圍、規則等，并制定完善的隱私政策，在進行數據采集和處理前征得其授權同意；四是最小必要原則，13 金融業機構應僅處理信息主體授權同意的金融數據，且處理的金融數據為業務所必需的最小金融數據類型和數量，目的達成后，應及時刪除該信息；五是定量定性原則，以定量與定

32、性相結合的方式識別數據，并根據具體數據類型、特性不同采取定量或定性方法，確保數據保護情況可復核與檢查。金融業機構在經營過程中產生和收集的金融數據主要包括個人數據、機構數據、經營管理數據、業務數據等，金融數據具備復雜多樣、敏感級別高等特點，對金融數據進行分類分級、分層保護，不同安全級別的數據采取不同的保護措施，有助于金融業機構合理分配數據保護成本。同時大型金融業機構實行統一的數據分級管理制度，有利于促進金融數據的價值挖掘和有效利用，進一步提高金融業數據管理和安全防護水平，確保金融數據的安全應用。14 二、二、發展概況發展概況（一）數據分類分級發展概況（一）數據分類分級發展概況 1.1.數據分類分

33、級的起因數據分類分級的起因 隨著信息技術的飛速發展，20 世紀 90 年代開始數據庫技術日益成熟，各行各業憑借計算機技術的支撐，在日常經營運作的過程中產生了海量數據，包括政務數據、公共數據、金融數據、地理信息數據、刑事司法數據、企業數據等，數據已然成為新技術環境下的關鍵生產要素。量變引發質變，龐大體量的數據中蘊含的商業價值或可為企業帶來可觀的收益。然而其中隱藏的數據安全問題日益凸顯，如何保護數據挖掘技術不被濫用，如何保護公眾隱私不隨意泄露等等問題求解成了當務之急。近年來，全球經濟數字化發展力度持續加強，以大數據、人工智能等新技術為代表的數字經濟規模持續擴大，企業數字化轉型趨勢逐步升溫。金融數據

34、的安全應用關系到廣大人民群眾的切身利益，涉及大量個人信息，是黑產組織、電信詐騙團伙等不法分子密切關注的領域。由于不同類型的數據其價值和影響程度均不同，對其采取的管理保護措施和付出成本也不盡相同。數據分類分級管理是推動數據安全治理的重要前提，也是安全防護的基礎，可有針對性地對數據采取保護措施。對數據進行分類分級有利于加強金融消費者個人信息保護、企業機構內部合理規劃數據保護資源和成本、企業或行業之間共享數據資源以及提升國家數據安全保護能 15 力。國家層面對數據安全的高度重視，可以追溯到 1994 年頒布的計算機系統安全保護條例7，提出了信息安全保護的概念。隨著信息實踐操作的不斷發展，逐漸產生了數

35、據分級保護的理念，2007 年公安部發布的信息安全等級保護管理辦法將信息安全分為五個等級。2008 年我國建立了信息安全技術 信息系統安全等級保護基本要求（GB/T 22239-2008），針對不同的等級提出了相應的技術要求。近幾年頒布的網絡安全法數據安全法個人信息保護法等明確要求建立數據分類分級制度，從立法的角度，建立起數據分級保護制度體系。2.2.數據分類分級的方法數據分類分級的方法 為落實數據分類分級保護的理念，政府、金融管理部門等發布了一系列數據分類分級方法指引指南，詳見表 4。對于金融行業的數據分類分級，2011 年原中國銀保監會發布了銀行監管統計數據質量管理良好標準(試行)，其中提

36、出了對監管統計信息合理分類的要求；2018 年進一步修訂為銀行業金融機構數據治理指引，并對數據加總內容進行了分類，表明了數據分類是提高數據加總能力的前提；2020 年 9 月中國人民銀行發布了金融數據安全 數據安全分級指南，明確了數據分級管理的要求，為金融行業提供了數據分類分級的標準和參考。7 計算機信息系統安全保護條例是為了保護計算機系統的安全，促進計算機的應用和發展，保障社會主義現代化建設的順利進行而制定的法規。16 3.3.數據分類分級的落地數據分類分級的落地 在數據自動分級工具出現前，企業確定數據分類分級標準后，會通過梳理資產數據，提煉重要數據字段，由人工為其進行敏感度打標，制定具體的

37、參考對照表。在數據使用規劃的過程中，參照分級表開展工作?？傮w來說，過去依賴人工對標，工作量大，誤差較高，效率較低。目前針對數據分類分級的實施，國內部分企業基于行業規范標準結合企業自身情況，制定有詳細的分類分級策略，開發了數據分類分級平臺，集合自動數據庫掃描、模型匹配、數據統計、機器學習等技術，進行數據發現、數據含義識別、業務類型確認、數據分類分級、多維結果輸出，以提升數據發現和分類分級的準確性、規范性和時效性。（二）數據保護發展概況（二）數據保護發展概況 1.1.傳統安全保護的發展傳統安全保護的發展 2000 年，數據安全主要放眼于本機數據的防護，如何避免本地數據泄露成為那時的技術焦點。200

38、5 年，數據安全關注于互聯網環境企業內部數據的安全防護。2008 年，由于移動存儲設備的趨于完善，數據安全保護逐漸著眼于移動存儲設備帶來的數據泄露風險。2012 年之后，隨著 IT 發展帶來的更多新興技術，大數據、區塊鏈、云計算等等，尤其是發展數字經濟的當下，數據作為數字經濟時代的一種核心生產要素，只有在廣泛的使用中才能最大限度發揮數據資產的價值，然而這也為后續數 17 據安全帶來新的安全風險。2.2.數字時代下的數據保護數字時代下的數據保護 隨著以大數據、人工智能等為代表的數字技術的大規模應用，我們由信息時代進入數字時代。數字化的本質是以信息技術為驅動，通過對數據的采集、分析、應用，實現業務

39、模式和管理模式的提升或根本性變革，有效提高組織機構的價值創造能力和運行效率。但是，隨著數據的快速流動、大規模應用，數據泄露、濫用、誤用等風險也在大幅度增加。如何在利用數據創造價值的同時，對數據進行有效保護成為我們必須面對的問題。數字時代下的數據保護特點，可以概括為以下三個方面：一、從合規走向合法。近幾年，國家密集出臺了數據安全相關法律法規，從而在數據安全領域構建了完整的法律體系。在數字化與數據要素快速發展階段，數據安全治理先行的要求，迫使數據安全工作亟須從合規走向合法。二、從靜態保護走向動態保護。傳統數據安全主要對存儲數據的載體進行靜態保護。但是，在數字時代，流動是數據的常態，需要關注數據從采

40、集、傳輸、存儲、使用到最后刪除銷毀的全生命周期動態保護。三、數據融合技術創新。在統籌發展與安全的大背景下，既要數據流通釋放價值，又要保護個人隱私、公眾利益、企業合法權益、國家安全不受侵害，守住安全底線。以隱私計算為代表的創新數據融合技術應運而生，隱私計算的特點是“數據可用不可見，數據不動價值動”，在釋放數據價值 18 的同時，保障各參與方的權益。19 三、三、挑戰與對策挑戰與對策（一）海量金融數據分類分級打標面臨成本與時效的（一）海量金融數據分類分級打標面臨成本與時效的挑挑戰戰與與措施措施 1.挑戰挑戰 數據安全分類分級的對象需要細化到字段級，才能夠滿足數據生命周期各階段對數據進行分級管控和保

41、護的要求。金融行業的內外部數據歷來都是海量的，這是由金融企業客戶的普遍性、產品與服務的豐富性、業務與管理的線上化所決定的。面對百萬級數據表和千萬級的數據項，且每日都有驚人增量的背景下，如果采用傳統的人工方法實施數據安全打標，勢必長期投入大量人工，且無法在短期內完成。因此，海量的金融數據實施分類分級打標面臨成本與時效的巨大挑戰。要解決數據分類分級貫標困難的問題，就必須從源頭制定對策。2.應對措施應對措施 在工具方面，可以借助工具提高打標效率，目前國內外廠商已研發出相對成熟的系統層面字段發現分級打標工具。Netwrix 數據分類平臺是美國一家信息安全網絡公司的數據發現和分類工具產品。平臺能夠結合自

42、定義的分類標準對結構化和非結構化數據識別分類，展示統計結果。平臺采用機器學習、語義算法等自動分析數據內容，為其分類并計算分類規則的關聯度，設置有精確度可調節的功能。與此同時，20 國內部分廠商也具備相關產品服務能力。主要圍繞系統層面對接，發現數據資產，內嵌多種監管分級標準并結合企業自身分級要求，使用正則表達式、關鍵字等自動化分類分級，形成數據分類分級結果表，實現數據敏感度可視化及風險監測等后續應用。另外，部分金融機構借助自身研發能力，結合自身數據安全分類分級策略，研發數據分類分級打標和服務平臺，充分利用本單位數據治理成果，采用正則表達式、模式匹配、機器學習算法等技術，實現海量數據的自動化分類分

43、級打標，并向數據生命周期安全保護提供打標結果服務。在打標模式上，可以采取自下而上和自上而下的雙向打標模式。所謂自下而上打標是使用人工智能算法模型，采用機器掃描進行自動化打標，利用的是高效平臺的能力。所謂自上而下打標是將打標融入系統開發設計過程，在數據模型設計階段，由建模人員打標，利用的是建模人員對理解數據的專業能力。（二）數據生命周期安全保護全覆蓋和有效性存（二）數據生命周期安全保護全覆蓋和有效性存在在的的挑挑戰戰與與措施措施 1.挑戰挑戰 一個龐大的金融企業，有著大量的信息系統，數萬甚至數十萬的員工隊伍，千萬級甚至數億級的客戶群。如何在數據采集、傳輸、存儲、加工、使用、退役銷毀等眾多環節及

44、21 成千上萬的應用場景中，實現對數據保護的全覆蓋，并保證有效性，絕對不是一件容易的事情。實現這一目標可能要采取全方位的、立體的多項措施，以下闡述的是一種可供參考的方式。2.應對措施應對措施 在落實數據分類分級保護策略時，首先應該建立完善的數據安全組織架構，明確在數據安全領域中的各方責任；其次通過開展分類分級，明確金融機構自身數據的類別和級別；再結合金融機構自身的保護要求和金融數據安全 數據生命周期安全規范對不同生命周期根據不同類別和級別的保護要求，制定不同的安全保護策略；接下來將安全保護策略通過部署的安全保護設備以及各類應用系統中實現真正落地。在這一過程中，不但需要多部門的協同配合，也需要在

45、不斷地安全保護過程中，對發現的問題加以改進，不斷進行 PDCA8地循環，來保證數據分類分級保護策略持續有效且能夠真正落地執行。為落實企業級數據集中統一安全保護策略，對數據的全生命周期實施安全保護，可以構造一個“數據安全分類分級保護矩陣”。矩陣的每一行是一個數據安全標簽，每一個標簽具有標簽名稱、業務含義、數據分類等分類信息，有敏感等級、數據安全等級等分級信息，有全生命周期各階段保護措施的描述，以及版本號、生效時間、管理人員等管理信息?！皵祿踩诸惙旨壉Ｗo矩陣”為企業提供一套統一的數據 8 PDCA：Plan（計劃）、Do（執行）、Check（檢查）和 Action（處理）的第一個字母，PDCA

46、 循環就是按照這樣的順序進行質量管理，并且循環不止地進行下去的科學程序。22 安全保護標準，包括全套的數據安全標簽、與安全標簽匹配的分類分級信息，以及與安全標簽匹配的全生命周期各階段保護措施。矩陣信息被存儲和維護在企業級的管理平臺，企業所有數據分類分級保護場景統一調用平臺提供的服務，從而確保企業數據安全保護措施的一致性和有效性。（三）數據分類分級結果準確性的挑戰（三）數據分類分級結果準確性的挑戰與與措施措施 1.挑戰挑戰 近些年來，伴隨著全球數字經濟的高速發展，金融行業的業務領域不斷擴大，網絡系統規模不斷增加，資產分布越來越廣。因此，容易導致存在掃描死角，敏感數據潛藏在眾多臟數據、非結構化數據

47、的包圍之中。從而導致資產探測周期長、效率低的問題，進而導致數據字段識別不完整，數據打標不全面的情況。同時，在對數據進行分類分級時，有些數據可能同時屬于多個類別，如果在進行數據分類時維度不清晰，可能會導致分類分級結果出錯，影響后續基于分類分級結果的管控措施。2.應對措施應對措施 首先，通過人工+技術工具的形式開展數據資產梳理工作，將散落在各個異構系統中，數據結構、數據類型、存儲形式、敏感級別、重要程度各不相同的數據進行梳理，利用技術工具消除人工方式容易出錯的風險，降低人工分類分級的成本。同時，由于業務的不斷變化，數據也隨之變化。因此，分類分級目錄是動態的，還需要利用技術工具支持分類 23 分級的

48、持續性。再次，通過采用主被動結合的多樣化信息采集方式，全面獲取網絡資產各類信息，構建全網網絡資產基礎信息庫。主動探測是通過目標網絡內的一個節點進行探測數據包的收發和響應分析實現，相比于傳統人工統計方法便捷且高效；被動探測通過采集目標網絡的流量，對流量中應用層HTTP、FTP、SMTP 等協議數據包中的特殊字段進行分析，從而實現對網絡資產信息的被動探測。為了達到對信息系統中全部資產探測識別，可以通過分布式部署對信息系統中全部網絡資產進行探測識別，從而提高資產探測效率，實現信息系統的目標網絡資產主被動高效探測發現能力。針對數據分類維度不清晰問題，可以在對數據進行分類時，除了參照金融行業金融數據安全

49、 數據安全分級指南中對數據分類的建議外，充分梳理、摸清數據使用場景等。在標準分類建議的基礎上，細化出適合自身的數據類別。（四）客戶信息敏感數據使用的（四）客戶信息敏感數據使用的挑戰與措挑戰與措施施 1.挑戰挑戰 客戶信息包括用戶身份和鑒別信息、用戶數據及服務內容信息、用戶服務相關信息等三大類。而在這三類信息中，又包含了身份標識、基本資料、鑒別信息、使用數據、消費信息等諸多不同類型的數據。這就導致在實際工作落地中，金融融合業務往往很難進行全量的識別，致使對這些客戶信息進行管理時，無法進行全部監控，因而不能在第一時間發現風險。當前網絡中都應用了加密等先進技術，一定程度上 24 加強了客戶敏感信息的

50、管理，但這種單一的方式，往往還存在一些漏洞，使敏感信息依然存在安全隱患。2.應對措施應對措施 隨著數據安全法個人信息保護法等法規的頒布，各行業對于個人信息的隱私保護要求逐漸嚴格。隱私計算技術已成為數據脫敏、數據保護的一道關鍵防線和合規化落地應用的實踐，同時也是一項可以調和個人隱私泄露的高風險與數據價值的充分挖掘之間的矛盾的技術。隱私計算是面向隱私信息全生命周期保護的計算理論和方法，是隱私信息的持有權、加工使用權、運營權分離時隱私度量、隱私泄漏代價、隱私保護與隱私分析復雜性的可計算模型與公理化系統。隱私計算本質上是一種由兩個或多個參與方聯合計算的技術和系統，參與方在不泄露各自數據的前提下通過協作

51、對他們的數據進行聯合機器學習和建模，安全地實現多源數據的跨域合作，破解數據保護與融合應用的難題。隱私計算不是單一的技術，而是綜合應用了大數據、人工智能、區塊鏈、密碼學等多領域技術，達到信息隱私保護的目的?；诿艽a學的隱私計算方法能夠實現金融業數據要素流通“可用不可見”?！翱捎谩斌w現在數據要素計算價值的無損性方面，即具有與原始明文數據相同的計算價值和效果；“不可見”體現在其具有嚴格的密碼學安全證明，保證原始數據不被泄露和復制。隱私計算通過數據持有權和加工使用權分離，即數據是可用不可見的，解決了數據隱私保護和安 25 全流動問題。（五）個人信息敏感數據保護的挑戰與措施（五）個人信息敏感數據保護的挑

52、戰與措施 1.挑戰挑戰 在數據安全被國家政府、金融管理部門、行業組織頻繁提及的背景下，金融業已成為社會的重點關注對象。在我國經濟市場中，金融行業與全國人民的日常生活息息相關。大量的金融活動也產生了大量的個人信息數據，主要包括個人客戶信息、對公客戶的員工信息等等。這些數據真實度高，覆蓋面廣，實時性強，價值高。這也導致境內外不法分子想要利用金融企業數據安全保護漏洞，非法獲取這些數據。因此，金融業個人信息數據的保護是每一家金融企業的重中之重。如何滿足監管要求，如何在共享使用個人數據的同時做好保護工作，如何在企業內部冗長的數據加工鏈路中落實法律法規要求，是所有金融企業面臨的重要挑戰。2.2.應對措施應

53、對措施 首先，需要設置相應的組織架構，成立相應的領導團隊，推動企業個人信息安全保護工作?？梢越M織建立個人信息保護委員會，委員包括安全、業務、開發、運維、財務、合規、人力、審計等部門相關人員，共同推進個人信息安全保護工作。其次，需要制定相應的規章制度，建立健全多階個人信息保護相關規范、章程。針對個人信息，制定保護原則、牽頭部門、敏感信息處理要求等等。明確各部門職責，做到權 26 責清晰，各司其職。再次，搭建個人數據安全保護平臺，提供個人信息授權、分類分級、使用權限申請、數據脫敏處理、數據使用行為審計等服務。在分類分級的前提下，實現數據全生命周期精準保護，例如，數據采集時，建立用戶知情書條款模板，

54、清楚透明地告知用戶數據采集的內容，采取場景及將會采取的保護措施等；數據使用時，進行與密級相對應的權限控制，包括脫敏處理、監控審計等。再次，建立應急響應措施，制定相應的多級應急事件處置流程規范。對于數據泄漏情況，評估影響程度，啟動對應事件級別的應急策略。針對個人信息的應急處理，應做到“高級別、高效率、高質量”的三高要求。定期對出現的問題進行復盤，情況較嚴重的問題成立專項檢查組，由專人推進整改，定期反饋整改進度，整改完成后委派專人驗收整改效果。最后，鼓勵數據安全保護創新文化。對員工定期開展數據安全宣導，鼓勵數據安全保護機制、手段、技術的創新，建立企業內部個人數據安全保護文化。例如，建立“吹哨人獎勵

55、機制”，給予發現內部個人信息保護方面重大漏洞并及時上報者，進行企業內部獎勵。27 四、四、未來展望未來展望（一一）技術趨勢）技術趨勢 1.1.數據安全標簽數據安全標簽 數據標簽是一種用數據內容來描述數據的手段，隨著近年大數據和數據挖掘等應用的發展，數據標簽的使用也在不斷擴展。利用數據標簽可提供基于業務規則的數據集劃分方式，配合機器學習，自動適應業務邏輯和管理需求，實現輔助建立數據治理體系；可使數據與業務緊密聯系，方便反映數據的分布流轉情況，增進數據的理解與應用；有效支撐數據供需對接，幫助非法共享數據增加可追溯性，加強數據共享安全；有助于快速識別提取數據，作為分析維度幫助數據挖掘建模。數據標簽依

56、賴數據標注師對原始采集的數據進行分類標注，這也是人工智能、機器學習的基礎工作。隨著數據呈指數式暴增，僅靠人工標注的方式已難以滿足需求，機器協助或代替人工已成發展趨勢。以圖像標注為例，“流體標注”作為一種自動根據類別進行識別打標的技術，可輔助標注者大大提高效率，是近年來標注自動化的一個探索性信號。標注模型會生成多個類別標簽和置信度分數的圖像片段，將置信度最高的片段交給人工做進一步標記。未來，在流體標注的基礎上通過優化邊界和擴展類別，可實現更高效的自動化標注。28 2.2.自動化分類分級工具平臺自動化分類分級工具平臺 雖然當前無論從國家層面還是金融行業自身層面都提出了分類分級相關指導建議，但是在金

57、融行業開展分類分級工作時，仍存在不少難點。其中，最突出的一個問題是來自當前金融行業業務發展迅速所帶來的系統眾多，數據量龐大，單純依靠人工去進行數據資產的梳理以及分類、定級，不但需要耗費相當大的人工成本，而且在準確度上也面臨挑戰。因此，通過專業的數據安全治理人員與智能化、輕量化的自動分類分級工具相結合的方式開展分類分級的落地，是未來重點的發展方向。然而，目前的技術手段較多的是對單個數據項進行分類分級，分級的匹配精確度尚待優化。匹配過程依賴人工對數據庫中字段的語義轉化，規則庫也需要定期人為更新。此外，不同場景下，相同數據的級別不盡相同，組合數據的敏感度如何判定等問題都亟須解決。目前的技術手段未實現

58、全流程自動化，大多屬于半人工半智能的分級模式。如何讓工具在匹配時自動對數據開展語義分析、根據數據在不同場景下判定級別，以及后續業務自適應應用等，將是未來自動化分類分級的重點研究方向。因此，未來自動化分類分級工具平臺將有望向數據庫自動嗅探識別技術發展。根據實際業務環境，對多種類型數據庫中的靜態數據、動態數據、結構化數據、非結構化數據進行主動探測發現，識別數據資產的位置以及數據內容。通過自動分類分級工具內置的數據域，靈活配置不同的數據識別 29 規則，結合金融行業的數據特征庫，以主動掃描為主、人工手動配置為輔的方式，實現數據的自動化分類分級。同時，利用機器學習建立知識算法，對業務進行識別、分析，并

59、通過不斷學習來調整模型參數，通過往復地循環，解決在業務開展過程中持續產生、流轉、加工的數據，實現自動化的數據分類分級。（二二）應）應用趨勢用趨勢 不同類型不同安全級別的數據，其價值和影響程度完全不同，對其采取的管理保護措施和付出成本也不盡相同。數據分級有助于企業開展數據治理工作，是管理數據的重要基礎支撐。就金融業而言，海量客戶信息既是企業的關鍵生產要素，為企業帶來經濟效益，也賦予了企業嚴峻的管理保護責任。數據安全分級可以使數據管理者有的放矢地制定對應措施，將足夠的資源投入到高價值高敏感的數據中，使合規管理的效能最大化。除了企業自身數據管理、數據合規保護的應用外，數據的分類分級將有助于機構間數據

60、共享及不同行業間數據互通，在提高轉化效率的同時保障數據安全。另外，人工智能、機器學習、數據挖掘等新興技術的迅猛發展，能夠幫助開發分類分級自動化工具，為分類分級落地提供技術支持。當前金融業數據的分類分級范圍大多集中在網絡數據，包括且不限于文本數據、圖片數據、聲音數據、視頻數據等。但是對機構中現有的非結構化數據和動態數據，及融合后的數據特別是機構內外部融合后新產生的數據在分類分級開 30 展中仍需更多地關注。（三三）策略聯動）策略聯動 數據分類分級是數據安全治理體系建設的重要前提。數據分類分級最大的意義也是為了實現后續的精細化、差異化安全防護策略的落地。就金融行業而言，在已分類分級的基礎上，目前數

61、據的保護策略主要按照數據的全生命周期開展，在采集、傳輸、存儲、使用、銷毀等環節上從數據類別和敏感級別的角度制定相應的保護措施和安全規范。中國人民銀行近年發布了金融數據安全 數據生命周期安全規范和個人金融信息保護技術規范，其中數據保護策略是基于金融數據安全 數據安全分級指南的分類分級標準和個人金融信息類別，為數據安全保護提供了基于分類分級的策略基礎。隨著信息技術的日新月異，數據保護策略的范圍有著極大的擴充空間。此外，除生命周期維度，業務場景維度也是近期企業數字化轉型的新方向。結合場景分析，數據分類分級能夠更貼近真實生產條件下的情形，幫助企業細化管理，優化技術策略。無論分級維度如何更新，離不開兩個

62、層面的雙管齊下管理和技術。管理層面根據分級結果制定策略；技術層面參照要求實現策略，開展自動庫表掃描、分級標準匹配、語義識別、業務自適應、機器學習等自動化技術，保持分類分級和策略的強聯動。策略的聯動不只是與其他數據安全防護設備之間的聯動，也要考慮與這些安全防護設備之上的安全管理平臺之間 31 的聯動。通過統一的安全管理平臺實現對全部安全防護設備的統一管控，利用統一的策略配置、統一的策略下發、統一的策略執行、統一的執行反饋，實現分類分級保護策略的多方聯動和閉環管理，從而實現數據分類分級的真正價值。（四）（四）發展發展建議建議 1.1.建立健全數據治理體系建立健全數據治理體系 隨著數據安全領域法律體

63、系的逐漸完善，金融機構作為數據擁有方，在數據保護方面面臨全方位的挑戰應建立健全治理體系。一是從組織架構層面，金融機構需要設置數據保護負責人和管理機構，并在資金投入方面提供充足的支撐。同時二是，機構內部需要建立數據保護與合規管理制度保障數據保護活動順利和有效執行。三是配合管理制度的制定與落地，機構還應制定數據保護培訓教育制度以及數據保護監測制度等事前防范保障。四是數據保護在機構中的執行效果應通過數據保護風險評估制度、數據合規審計制度的編制和定期執行，持續保證數據保護活動執行的優化和提升。2.2.分場景開展分場景開展數據保護數據保護 金融業數據的運用場景紛繁復雜，包括業務場景、開發測試場景、運維場

64、景、內部分析場景等。在不同場景下，數據具有不同的業務價值，將面臨不同的安全問題，數據安全保障需要配置相應的安全策略和技術措施。無論何種場景，訪問數據的必要性和安全性是首要面臨的問題，根據角色授權的權限管控是必不可少的手段。在此基礎上的角色分配管理依據，則需要企業機構在數據治理和運用中找出解決場景 32 化數據安全保護的體系化措施，從而兼顧成本安全和效能。3.3.加強數據溯源加強數據溯源 對于數據保護而言，除了做好事前分析、預防和事中的安全防護以外，在未來，還應構建一個完善的、覆蓋完整的數據處理過程的動態數據溯源技術機制。通過對數據處理過程的數據流轉路徑進行還原、對數據流轉各階段數據處理行為進行

65、溯源以及數據血緣分析技術能力，實現數據流動全路徑的監測，并將數據溯源能力逐步覆蓋金融機構主流業務場景，同時以可視化的方式呈現數據流動全路徑和操作行為。通過動態數據溯源能力與數據資產發現、數據安全檢測驗證等能力相結合，全面地增強金融機構對抗數據安全風險的能力，保障金融機構數據全生命周期安全。33 附錄附錄 A：金融：金融機構機構數據分類分級與保護實踐案例數據分類分級與保護實踐案例 案例一：工商銀行數據分類分級實踐案例一：工商銀行數據分類分級實踐 1.背景與目標背景與目標 隨著數據安全法個人信息保護法的正式發布及施行，對數據安全與個人信息保護的要求已經從合規層面走向了合法。數據安全法第二十一條明確

66、提出數據分類分級保護的要求，同時人行發布的金融數據安全 數據安全分級指南，也明確了金融數據安全分類分級的目標、原則、范圍、流程等，為金融行業數據分類分級提供了指導。我行積極響應國家及金融行業要求，開展數據安全分類分級工作，建立統一的數據安全分級管理機制，促進數據共享，服務數據價值最大化。2.實踐內容及路徑實踐內容及路徑 2.1 2.1 標準先行，明確分類分級的標尺標準先行，明確分類分級的標尺 工商銀行參考金融數據安全 數據安全分級指南和個人金融信息保護技術規范，制定全行統一的數據分級分類規范和針對客戶信息的敏感分級分類規范，為行內數據安全分類分級治理提供了依據。在數據分類方面在數據分類方面，遵

67、循系統性、規范性、穩定性、適用性、擴展性五大原則，并結合自身數據標準分類框架，將數據安全分類依次分為四層：一級子類、二級子類、三級子類、四級子類。其中，一級子類與工行基礎數據標準分類框架的主題域基本保持一致，二級子類參考工行基礎數據標準分類框架的標準大類，三級子類、34 四級子類是基于上級子類的數據進行細分。在數據分級方在數據分級方面面，遵循合法合規性、可執行性、時效性、差異性、客觀性五項原則，根據數據安全性遭受破壞后的影響對象和所造成的影響程度，將數據安全級別從高到低劃分為 5 級、4 級、3 級、2 級、1 級。其中，對于個人金融信息相關數據，在數據安全定級過程中從高考慮。2.2 2.2

68、厘清流程，有序推進分類分級工作厘清流程，有序推進分類分級工作 為保障分類分級制度規范有效落地，有序推進數據安全分類分級工作，工行優化現有敏感信息識別標記流程，形成“標準統一”“科技業務雙復核”“三階段協同”的實施流程，實現對數據資產安全等級的完整、準確識別。一是統一。一是統一標準標準，將工行“分類分級模板”和“數據特征模板”內置進數據分級自動標識服務，實現分類分級統一線上標準。二二是是科技業務雙復核科技業務雙復核，形成科技人員復核、業務人員最終核準的識別標記機制。三是三階段協同三是三階段協同，優化現有流程，在原敏感信息識別標記流程的基礎上，新增需求階段及生產運行階段的分類分級推薦與確認流程，如

69、圖 1 所示。35 圖 1 數據安全分類分級實施流程 2.3 2.3 技術支撐，實現自動化數據分類分級技術支撐，實現自動化數據分類分級 “君欲善其事，必先利其器”，數據安全分類分級也是如此。數據分類分級工作，可以從自動化、一體化兩個方面打造數據分類分級管理工具。一是借助自動化識別工具，提一是借助自動化識別工具，提高數據打標效率高數據打標效率。通過工具對數據庫實體表抽樣掃描，自動完成打標，大幅降低人工打標成本，提升敏感數據識別質量，有效支撐數據資產的分類分級工作。二是依托企業級數據治二是依托企業級數據治理平臺，實現分類分級發起、審核、變更流程線上一體化管理平臺，實現分類分級發起、審核、變更流程線

70、上一體化管理理，并從數據安全分級分類維護、數據安全級別打標、權限審批管理、共享知識庫四個方面全面提升數據安全治理水平，從安全管理制度的制定、實施、管理、共享四個角度指導行內數據安全防護工作。36 3.實踐效果和價值實踐效果和價值 當前已完成數據湖內部分應用的打標試點工作。在實際分類分級的過程中，持續完善數據安全分級分類相關制度，明確數據分類分級的日常管理流程和操作規程，以及分級分類結果的確定、評審、批準、發布和變更機制。案例二：案例二：中國銀行中國銀行數據分類分級實踐數據分類分級實踐 1.1.背景與目標背景與目標 1.11.1 分類分級背景分類分級背景 隨著信息技術的發展，眾多金融基礎業務、核

71、心流程、行業間往來等事務和活動均已運行在信息化支撐載體之上。金融業機構生產運行過程中產生的信息也逐步以不同形式轉化為數字資產，在不同信息網絡與系統之間流轉。隨著大數據、人工智能、云計算等新技術在金融業的深入應用，數據逐步實現了從信息化資產到生產要素的轉變，其重要性日益凸顯。金融業機構數據安全威脅的影響范圍逐步從機構內擴大至行業間，甚至影響國家安全、社會秩序、公眾利益與金融市場穩定。銀行的業務數據復雜多樣，對數據實施分級管理，能夠進一步明確數據保護對象，有助于合理分配數據保護資源和成本，是建立完善的金融數據生命周期保護框架的基礎，也是有的放矢地實施數據安全管理的前提條件。同時，統一的數據分級管理

72、標準，能夠促進數據在同業間安全共享，有利于數據價值的挖掘與實現。在此背景下，中國銀行對數據進行安全分類分級，并實施與數據安全級別相匹配的安全管理 37 機制和技術措施，保障數據的保密性、完整性和可用性，避免數據被未授權訪問、破壞、篡改、泄漏或丟失等。1.21.2 分類分級目標分類分級目標 建立統一、完善的數據安全分級體系，對數字資產確立適當的數據安全級別，為建立數據安全管理措施提供基礎，以符合法律要求、滿足行業標準規范。依托數據字典的安全分類級別，明確數據保護對象，并對數據保護對象確立適當的數據安全級別，更精細地控制數據訪問的過程。2.2.實踐內容及路徑實踐內容及路徑 2.12.1 方案實踐內

73、容方案實踐內容 (1)(1)組組織建設織建設 1)成立總行數字資產管理部，負責組織開展數據安全分級管理工作，牽頭制定數據安全分級管理制度，牽頭審議、及時發布數據安全分級結果，牽頭組織對全行數據安全分級管理的落實情況進行監督檢查與考核評價，負責指導總行各部門、各機構開展數據安全分級管理工作。2)總行各業務部門作為數據業務主管方，依據數字資產管理部關于數據安全分級的管理要求，對本部門主管數據進行安全分級，配合相關部門進行安全分級確認，按照“高級別為優”原則進行定級，并在本條線業務系統、所轄數據中及時落實數據安全分級的相關要求；對數據安全分級的落實執行情況開展自查、重檢和監督、評價。3)總行信息科技

74、部門負責制定數據安全分級的相關技術實施規范，落實全行數據安全分級管理要求，為數據安全 38 分級管理的各個環節提供技術支持；負責為數據安全分級管理策略實施、數據安全分級管理工具建設等提供技術支持。(2)(2)保障體系建設保障體系建設 制定中國銀行股份有限公司數據安全管理辦法，加強數據安全管理工作，明確數據安全管理責任，完善數據安全管理機制；根據中國銀行股份有限公司數據安全管理辦法等規定，制定中國銀行股份有限公司數據安全分級管理指引，規范數據安全分級工作，完善數據安全分級體系，推動數據安全分級工作持續有效地運行。(3)(3)分類分級策略及原則分類分級策略及原則 1）合法合規性原則。數據安全分級應

75、滿足國家法律法規及行業主管部門有關規定。2）可執行性原則。數據安全分級規則避免過于復雜，以確保數據定級工作的可行性。3）時效性原則。數據安全級別具有一定的有效期限，應按照級別變更策略對數據級別及時進行調整。4）自主性原則。各部門應結合自身數據管理需要（如戰略需要、業務需要、對風險的接受程度等），在本指引框架下自主確定數據安全級別。5）差異性原則。各部門應根據所轄數據的類型、敏感程度等差異，劃分不同的數據安全級別，并將數據分散至不同的級別中，不宜將所有數據集中劃分到其中若干個級別中。6）客觀性原則。數據定級規則應是客觀且可校驗的，39 即通過數據自身的屬性和定級規則即可判定其級別，并且數據的定級

76、是可復核和檢查的。(4)(4)開展分類分級開展分類分級 第一步對我行的業務數據進行盤點、梳理與分類，形成統一的數據資產清單企業級數據字典，并進行數據安全定級合規性相關準備工作。第二步，依托我行的企業級數據字典開展數據安全分級：1）基礎數據字典項安全級別以業務主管方的分級結果為依據；2）指標數據字典項、數據產品（含標簽、報表、數據集、數據分析結果、微服務、算法模型等）的安全級別，綜合考慮涉及基礎數據的業務主管方與指標數據、數據產品業務主管方的分級結果確定，按照“高級別為優”原則進行定級；3）外部數據字典項以采購需求提出部門的分級結果為依據；4）技術數據字典項的業務主管方為信息科技部門，其安全級別

77、以信息科技部門的分級結果為依據。數據安全級別按照數據安全性遭受破壞后的影響對象和所造成的影響程度進行劃分，從高到低分為 5 級、4 級、3級、2 級、1 級。數據業務主管方須結合外部監管要求和業務發展需要，及時開展安全分級結果的重檢和更新，并將重檢情況及更新內容提交至總行數字資產管理部。由總行數字 40 資產管理部牽頭組織，各部門配合，定期對數據安全級別進行全面檢查，依據檢查情況開展安全級別的重檢與更新。(5)(5)技術支撐技術支撐 建設全集團一套的數據字典平臺，提供數據字典管理和數據安全管理相關功能，依托數據字典平臺對各類數據字典進行數據安全的分類分級；建立全行統一的數據資產目錄和數據訪問授

78、權機制，為數據的分級分類提供安全保障。2.22.2 實施路徑實施路徑 我行數據安全分級工作以企業級數據字典為對象開展，安全級別作為數字資產的重要屬性，在企業級數據字典中記錄。數據安全分級過程包括分級確定、分級發布、分級更新：(1)(1)分級確定分級確定 新增數據（含對已有數據進行分級變更時，下同）由業務主管方評估數據對應的影響對象、影響程度，結合數據安全定級規則 確定數據的安全級別，通過數據需求管理流程實現。存量數據由數字資產管理部進行安全級別的初始化，各業務主管方結合業務實際對安全級別進行確認。(2)(2)分級發布分級發布 由數字資產管理部通過數據字典平臺對數據的安全級別進行發布。(3)(3

79、)分級更新分級更新 數據安全級別的變更可由數據業務主管方或數字資產管理部發起。在出現下列情形之一時，應及時對相關數據的安全級別進行更新：41 1)數據內容發生變化，導致原有數據的安全級別不適用。2)數據內容未發生變化，但因數據時效性、數據規模、數據應用場景、數據加工處理方式等發生變化，導致原定的數據安全級別不再適用。3)因數據匯聚融合，使得原有的數據安全級別不適用，應重新進行安全級別判定。4)因國家或行業主管部門要求，導致原定的數據安全級別不再適用。3.3.實踐效果和價值實踐效果和價值 (1)符合國家相關法律法規和行業監管要求，遵循行業主管部門數據安全相關制度規范及數據安全分類分級的管理要求。

80、(2)初步實現了數據安全分級分類的目標，為下一步數據的安全使用和更精細的數據控制奠定基礎。案例三：案例三：平安銀行數據分類分級實踐平安銀行數據分類分級實踐 1.背景與目標背景與目標 數據安全分類分級是數據安全的一項基礎性工作，是對數據實施保護與充分應用的前提條件。鑒于金融行業數據量迅速增長，必須對數據本身進行分類，并在分類基礎上分級，按照不同級別落實不同管控策略，在安全可靠與方便應用之間，以及安全成本與數據價值之間得到最佳平衡。平安銀行作為一家成立多年的股份制商業銀行，銀行產品和服務全面而豐富，所有業務實現了全面線上化。在多年的發展運營中，積累了大量數據。系統數量上千，數據庫表 42 幾百萬張

81、，數據字段幾千萬項。與此同時，隨著新業務、新產品日新月異，新增業務系統和存量業務系統功能不斷擴張，內部數據快速增長。除了前述業務系統產生的基礎數據，近年來隨著風險管控、客戶營銷等場景對外部數據的引入和應用，以及各類數據分析和數據挖掘的發展，又產生大量外部數據和分析數據，使得銀行數據總量直線上升，給數據保護帶來巨大挑戰。面對國家和監管對銀行數據安全的嚴格要求，面對銀行自身發展對數據安全必須承擔的義務和責任，面對銀行復雜多樣的業務和海量的數據，如何做好數據分類分級這個數據安全最基礎的工作，成為一道必答題。經過充分學習和領會國家及行業數據安全法律和標準，調研業界先進實踐經驗，經過不斷探索和實踐，我們

82、認為必須回答好如下幾個問題：（1）數據分類怎么分，依據什么原則分，誰來分？（2）安全等級如何定，有沒有參考依據，準確性怎么保證？（3）面對海量數據，如何在成本可控的前提下完成分類分級？2.內容與路徑內容與路徑 2.12.1 數據安全分類分數據安全分類分級保護矩陣級保護矩陣 首先是制定標準，一套細化到數據項（字段級）的分類分級標簽，以及與之對應的全生命周期各環節的保護措施。數據安全分類分級保護工作首先需要制定數據安全分類分級的判斷標準和指導原則。參考金融數據安全 數據安全 43 分級指南和個人金融信息保護技術規范，結合我行數據內容，梳理形成數據項+安全級別+保護措施的全方位數據安全分類分級保護矩

83、陣，指導全行數據安全分類分級保護體系落地。矩陣內容如圖 2 所示。圖 2 數據安全分類分級保護矩陣 2.22.2 自上而下與自下而上雙向打自上而下與自下而上雙向打標標 平安銀行數據分類分級采用自上而下和自下而上相結合的打標方式，具體架構圖見圖 3。自上而下：數據庫模型設計階段，從邏輯模型進行打標，對應物理表繼承安全標簽。自下而上：掃描物理表數據，對物理表字段進行分類分級打標。44 圖 3 數據安全雙向打標架構圖 2.32.3 自下而上打標自下而上打標 平安銀行的數據安全分類分級按照五步走的路徑開展：首先是制定標準，一套細化到數據項（字段級）的分類分級標簽，并明確與之對應的全生命周期各環節的保護

84、措施。其次是對全量數據的自動采集與匯聚，以及全量數據元數據的完善和補充。第三步是訓練一個強大的數據安全標簽 AI 分類模型，通過機器掃描實現對海量數據項的高效識別并打標。第四步加上人工復核，這是鑒于機器掃描的結果雖然已經達到 80%準確率，但確實存在一些偏差，通過熟悉數據的開發人員或者業務人員進行人工復核糾正。第五步是把復核后的數據安全標簽打標結果在數據資產管理平臺上架，向各類用數場景提供數據安全分類分級服務。上述五步不是單向的，我們通過信息反饋機制不斷完善前面環節的質量，比如，把復核確認后的打標結果反饋到 AI模型進行補充訓練，持續提升模型準確率；通過不斷檢視全 45 量數據項打標結果，發現

85、一些新的數據分類分級標簽，反饋到第一步持續補充完善標準。2.42.4 自上而下自上而下數據安全打標數據安全打標 自上而下的數據安全打標方案是管控增量數據庫表進行數據安全打標的重要手段。在各系統進行數據庫建模階段，由該庫表的設計人員進行數據安全打標。因為設計人員對該庫表即將存儲的數據最為清楚，也是數據庫表產生的“第一站”。自上而下打標既保證了數據安全標簽的準確性，又保證了數據安全保護措施在整個數據全生命周期的可落地性。2.2.5 5 鷹眼智能打標平臺鷹眼智能打標平臺 面對行內大量數據字段需要進行數據安全分類分級的現狀，人工打標成本高昂，費時費力。為此，數據治理團隊聯合安全團隊及模型實驗室團隊聯合

86、上線自主研發智能化數據安全分類分級“鷹眼”打標平臺，支撐數據安全精細化管控，完成 272 個數據安全標簽的自動化打標全覆蓋，打標準確率由人工打標 80%提高至 90%，滿足合規要求的同時，大幅減少人工打標、復核工作量，如圖 4 所示。46 圖 4 平安銀行數據安全分類分級鷹眼打標系統 3.實踐效果和價值實踐效果和價值（1）覆蓋全打標范圍全面覆蓋。雙向打標方案不分數據庫類型，無論是關系型數據庫還是大數據平臺，該打標策略可覆蓋全行所有系統，實現“存在即打標”的目標。（2）時效快打標時效與資產上架同步。雙向打標的措施具備時效快的特點，自上而下打標：數據庫表落地即實現資產上架，資產上架即意味著數據安全

87、標簽的正式生效。自下而上打標：機器自動掃描，每天實現跑批任務，T+1可實現數據安全標簽上架和服務的提供。（3）成本低打標成本低廉可控。自上而下打標方案中，由設計人員在庫表設計之初進行數據安全打標，繼承到整個數據全生命周期安全保護流程中，避免后續返工。自下而上的數據安全打標策略由 AI 智能模型進行打標，只需部署跑批任務即可實現打標，極少人工介入成本。47 （4）質量高打標質量滿足要求。自上而下打標中數據庫表設計人員打標，保證數據安全準確率。自下而上由智能打標模型進行打標后，人工復核，實現高質量打標。（5）可持續模型優化良性循環。雙向打標后的打標成果，在實現全覆蓋和高質量的情況下，將打標結果反哺

88、給 AI 智能打標模型，實現良性循環，數據安全管理可持續。同時，自上而下打標模式融入開發設計之中，實現開發治理一體化。案例四：案例四：浦發銀行數據分級運用實踐場景浦發銀行數據分級運用實踐場景 1.背景與背景與目標目標 數據分類分級是數據治理的關鍵基礎支撐工作。隨著國家監管對個人信息的保護日益重視，金融機構對個人金融信息的保護也在不斷加強。浦發銀行內大量系統都涉及個人信息，系統層面的數據分類分級極其必要。針對系統涉及的字段實施征集匯總，系統負責團隊和業務團隊提供字段語義，明確業務場景。依托數據標準落地，在字段梳理和語義場景都具備的基礎上，按照分類框架和分級標準為每一個字段做好分類并打上安全等級。

89、在日常工作中，涉及客戶敏感信息的場景很大一部分集中在系統前端的展示、下載、導入導出等系統層面的功能。除了對各業務人員的訪問權限設置了管控措施，員工的操作風險和異常行為也急需甄別的技術手段，以達到及時發現及時阻斷的告警管控目標。48 2.內容與路徑內容與路徑 開展企業數據分級。通過企業級數據標準的推進實施，按照人行分級指南要求，以系統為維度，對數據庫字段進行分類分級，在數據標準分類框架中增加數據安全屬性。在數據全生命周期過程中，不同敏感級別的數據有著各類規范要求，加強對系統建設過程中合規要求的把握。做好菜單級敏感數據操作識別。為了使業務部門全面了解個人金融信息保護的情況，及時識別并處理相關的權限

90、、做好行為異常事件處置、實現管理需求，根據個人金融信息保護技術規范中個人金融信息類別，對各系統頁面中的字段進行關鍵字識別，匹配對應的級別，如頁面涉及敏感個人金融信息，則將其標記為涉敏頁面。針對離崗調崗、崗權不匹配等權限異常的賬號，涉敏頁面如發生展示和查詢等情況，做好日志審計記錄，進一步開展事件調查、權限關閉等措施。同時，針對權限正常，但非辦公時間高頻查詢、下載、導出等異常行為，也將被日志記錄，并流轉至相關部門進行排查核實，如圖 5、圖 6 所示。圖 5 權限異常示意圖 圖 6 行為異常示意圖 3.實踐效果和價值實踐效果和價值（1）通過梳理系統字段，形成初步定級。打標后的字段集存放在企業數據的管

91、理平臺中，字段打標結果可供系統 49 開發測試人員參考，加強對系統建設過程中合規要求的把握。（2）通過個人金融信息管理平臺，對已產生的異常訪問及時告警并開展處置，進一步加強個人金融信息的風險管理。50 附錄附錄 B：科技科技公司公司數據分類分級與保護實踐案例數據分類分級與保護實踐案例 案例一：案例一：騰訊數據分類分級實踐騰訊數據分類分級實踐 1.背景與目標背景與目標 數據安全已成為國家安全領域的熱門話題，國家頒布的數據安全法為規范數據處理活動、保障數據安全指明了方向。針對金融行業，中國人民銀行先后發布了金融數據安全 數據安全分級指南金融數據安全 數據生命周期安全規范 等行業標準，對金融機構的數

92、據安全管理進行規范。數據分類分級工作旨在安全合規的基礎上更便捷、高效地實現數據共享、價值挖掘并釋放數據潛能，更好地服務用戶。2.實踐內容及路徑實踐內容及路徑 騰訊的數據分類分級在元數據管理平臺基礎上展開，整體分為兩個階段：完成對數據表字段的分類，結合規范要求維護字段分類和表分級的匹配策略，最終完成分級結果的初始化和審批。具體執行過程中，增量數據由“人工主導、模型輔助”完成字段分類，存量數據分類由“模型主導+高等級人工審核”來完成。騰訊的數據分類分級方案的整體思路，如圖 7 所示。51 圖 7 數據分類分級整體方案 在數據表建模過程中，首先提供安全分類選擇入口，由建表負責人填寫具體字段所屬的分類

93、信息。然后，結合規則和模型來實現字段分類，字段內容有顯著特征的類別采用正則表達式識別，其余的分類結合實驗數據表現，選擇不同的信息輸入和分類方法。分類結果判定后，基于字段血緣關系做一個驗證和糾正，結合已標注的測試集數據，對分類結果做類別覆蓋度和準確率的量化，輔助持續迭代。再基于行業標準規范等要求，梳理字段分類到表分集的映射關系，沉淀在平臺上。最后，將數據表安全分級的結果落地存儲，并展示在數據安全平臺中。由數據責任人在分級確認頁面查看與確認、更新，數據安全負責人審批后在元數據管理頁面中呈現結果。3.實踐效果和價實踐效果和價值值 基于數據分類分級，可以實現如下的價值：（1）數據權限審計：可以實現對高

94、敏感等級數據表的 52 例行化權限審計，識別非必要授權、高風險授權，基于數據安全等級的差異化權限審批流程、權限時間周期、權限續期回收策略設定等。（2）數據下載控制：基于數據安全分級，能夠落實數據下載事先限制、事后審計工作，收斂數據泄露風險。（3）個人信息保護：基于數據安全分類識別的個人信息相關字段，對數據表實現相關合規保護策略。（4）數據安全監測：基于數據安全分級，實現對于高敏感等級數據表、高敏感等級數據報表的數據訪問監測、數據更新監測、數據刪除監測、數據跨主體訪問、反常訪問識別等策略。案例二：案例二：壹賬通在某集團數據分壹賬通在某集團數據分類分級的實踐類分級的實踐 1.1.背景與目標背景與目

95、標 數據是數字經濟發展的核心生產要素，是國家的重要資產和基礎戰略資源，也是企業關注的重要資產。因此，數據的安全性越來越受到重視，而數據分類分級工作在數據安全戰略中具有極其重要的地位，國家、行業和企業層面都對數據分類分級管理提出要求。以下將介紹壹賬通對某集團數據進行分類分級的實踐。2.2.實踐內容及路徑實踐內容及路徑 某集團從制度、流程、工具三方面著手，開展數據分類分級落地探索，構建了完善的數據分級分類管理體系。在制度上，建立協調一致的標準規范，充分吸收行業數據分類分級的相關標準規范，并結合其業務特點，形成方法和思路統一 53 的規范指引；在流程上劃分為三個階段，定義各階段關鍵節點，保證分類分級

96、工作有序開展。在技術上，構建以敏感數據管理平臺、數據分類分級系統、數據資產管理平臺為核心的工具平臺，實現數據的自動化采集、分類分級和統一的企業數據資產目錄的資產全生命周期管控。同時參考金融數據安全 數據安全分級指南和個人金融信息保護技術規范中數據分級的相關規定，總結了數據分類分級工作開展的關鍵步驟，主要包括建立組織、數據資產梳理、標準模板制定、識別策略開發、分類分級打標、結果復核、識別策略優化、分類分級清單輸出等步驟，如圖8 所示。圖 8 數據分類分級流程 3.3.實踐效果和價值實踐效果和價值 通過對本次數據分類分級工作的階段性總結，認為目前已取得如下實踐效果：54 (1)已形成一套包含制度、

97、流程、工具相對完善的數據分類分級管理體系，并總結形成數據分類分級工作方法論，可在集團內部推廣。(2)構建了數據分類分級系統，為數據分類分級自動化打標，提升工作效率奠定了基礎。(3)選擇兩家專業公司進行試點，完成 7000 余張表、20余萬個字段的數據分類分級。案例三：案例三：天融信在某銀行基于敏感數據識別與分類分級天融信在某銀行基于敏感數據識別與分類分級技術的探索與技術的探索與實踐實踐 1.背景與目標背景與目標 隨著信息化的不斷發展，數據已經日益成為金融機構的重要資產。為落實相關法律法規、行業監管對個人信息保護及重要數據保護的要求，需要做好某銀行重要數據安全保護工作，完善數據安全技術防護體系設

98、計，掌握數據資產分布情況，做好數據安全分級，全面掌握數據流向及安全防護情況，落實數據安全技術防護策略，加強數據安全防護。2.實踐內容及路徑實踐內容及路徑 本項目根據金融管理部門要求和某銀行自身發展的需要，采用科學的方法論為某銀行開展數據安全治理咨詢服務，內容包括敏感數據識別、制定數據安全管理制度及數據分類分級標準、完成對業務數據的分類分級、識別敏感數據面臨的風險、優化數據安全策略并完善數據安全控制措施等?；谙到y重要性和敏感數據分布，本項目選取包含產品 55 服務、管理分析、基礎管理、渠道外聯等不同類型的共計十套系統作為試點。前期調研前期調研 通過信息的收集整理、人員訪談、問卷調查、現場調研等

99、手段，對數據進行完整地梳理、分析，了解數據的特性及依存關系，掌握數據安全保護措施及不足，進行風險分析和安全成熟度評估，形成相關成果報告。數據安全治理體系設計數據安全治理體系設計 按相關標準和行業最佳實踐，提供完善的數據安全治理方案，提供具有可執行性的、合理的、合規的改進建議。在調研的基礎上，協助某銀行制定數據安全治理體系，主要內容包含：建立管理組織結構、梳理完善數據安全保護管理制度框架，明確數據的分類分級原則，通過全面的數據梳理及安全評估，確定重要、敏感數據的分布、使用情況；查找現有數據安全保護措施的差距；對網絡及數據安全的保護措施、策略進行統一規劃；制定數據采集、傳輸、存儲、處理、交換、銷毀

100、等全生命周期的數據保護實施方案。數據資產梳理數據資產梳理 對某銀行應用系統的結構化數據、非結構化數據進行梳理，明確數據所有部門、維護部門、使用部門，了解數據采集、數據傳輸、數據存儲、數據處理、數據交換、數據銷毀等狀態信息，實現格式識別、內容識別、元數據抽取。數據流向梳理及敏感數據梳理數據流向梳理及敏感數據梳理 在對十套系統進行敏感數據發現時，制定科學的數據梳 56 理方案。方案的維度要包含合規要求，安全要求等，方案的維度與范圍要合理（包括十套系統的全部數據庫），確保能真實反映某銀行的敏感數據分布，確保不出現遺漏或評估不足現象。采用有效的方法識別敏感數據在已選定的十套系統內的靜態分布和動態流轉。

101、數據分類分級數據分類分級 制定某銀行數據分類分級標準，完成對數據的分類分級。數據類型包括但不限于：生產運行數據、業務數據、客戶敏感數據、決策指標類數據和行內員工數據等，采用有效的方法識別敏感數據在已選定的十套系統內的靜態分布和動態流轉，并且保證方法適于推廣使用。數據安全審計數據安全審計 設計和完善信息科技部門數據安全審計能力，協助某銀行根據歷史的整改建議與要求進行問題整改；協助某銀行梳理數據安全審計制度、數據安全審計方法和流程、數據安全審計培訓資料。數據安全風險評估數據安全風險評估 根據自查梳理得到的資產清單，按照資產安全級別由高到低的優先順序，基于數據全生命周期進行風險分析排查工作。數據安全

102、管控措施數據安全管控措施 識別十套系統的數據安全保護技術和工具的需求，明確對技術和工具在功能上和性能上的具體要求，包括但不限于數據傳輸平臺的訪問控制需求、數據庫審計系統的訪問控制 57 需求、終端數據防泄漏系統的訪問控制需求；結合數據流向、分類分級試點，形成數據安全管控流程框架，規范數據的使用與管理。策略調整策略調整 完成敏感客戶數據在數據防泄漏系統的配置。完善敏感客戶數據脫敏工具的方案。制定某銀行的新建應用系統關于數據安全保護方面的防護策略。3.實踐效果和價值實踐效果和價值 通過項目的建設，提高了某銀行數據安全防護能力，重點是對敏感數據識別和監測保護；協助某銀行建立數據安全策略與標準，依法合

103、規采集、應用數據，依法保護客戶隱私，定期審計數據安全；協助某銀行落實信息安全專項規劃并做好日常信息安全服務工作，持續降低信息安全風險隱患，為某銀行業務和信息化發展提供有力支持。案例四：天融信在某消費金融案例四：天融信在某消費金融開展數據分類分級與風險開展數據分類分級與風險評估評估與實踐與實踐 1.背景與目標背景與目標 隨著金融創新的快速發展，金融機構積累的數據量呈現幾何倍數增長，同時由于金融行業自身業務的價值，金融數據正在成為不法分子緊盯的重點對象，數據安全問題正日益凸顯。在此形勢之下數據安全法個人金融信息保護技術規范金融數據安全 數據安全分級指南等數據安全相關法律法規標準規范陸續出臺，隨著對

104、數據安全相關標準 58 的不斷完善，加強數據安全建設已是法律所要求的責任和義務。當前，該消費金融搭建了運用分布式技術建設的高容量、可擴展的大數據服務平臺，實現海量數據存儲，提供存儲全、質量準、采集快、使用易的企業級大數據能力。但是，對于數據安全還未形成一套成熟的保護體系。2.實踐內容及路徑實踐內容及路徑 2.1 2.1 痛點痛點分析分析 （1）頂層規劃有待加強 隨著數據安全法個人信息保護法等數據安全相關法律法規的陸續出臺以及數據安全相關標準的不斷完善，加強數據保護等數據安全建設已是法律所要求的責任和義務；同時，在數據安全業務層面，缺乏統一的頂層設計和統籌規劃，對于敏感數據的分類分級、數據全生命

105、周期的安全管控、數據安全風險預警及應急處置等缺乏統一的規范和指導，尚未形成一套有效的數據安全體系化的建設。（2）管理體系不夠健全 當前，該消費金融公司存在管理組織架構不明確、數據安全管理權責邊界不清晰的問題。同時，在管理制度方面，缺乏完整的安全管理機制、制度和標準規范。數據安全各項管理制度不健全，安全策略、管理制度和操作規程等未能落實到數據生命周期的各個管控環節。從而導致在實際業務中，數據安全管理過程缺少管理規范和相關審批流程，具體工作落實無規可依。59 （3）技術保障覆蓋不全 現階段，該消費金融公司數據中心數據安全防護技術主要依賴傳統網絡安全技術體系，針對數據的采集、傳輸、存儲、處理、交換、

106、銷毀的全生命周期尚未具備體系的數據安全技術保障措施，缺乏金融數據各個場景下應用以及開放共享的安全保障方案。2.2 2.2 建設過程建設過程 以金融數據為核心，建立健全數據安全治理體系、構建數據安全技術保障能力和智能可視的數據安全運營能力，使該消費金融公司形成“基礎強、管理嚴、技術優、制度全、責任清、情況明、處置快”的數據安全保護工作機制，持續保障業務系統的數據安全，并能指導公司各部門有序開展數據安全建設工作。開展數據安全治理咨詢服務是建立該消費金融公司數據安全保障工作的首要環節。通過開展數據安全資產現狀梳理、數據安全能力成熟度評估、數據安全分類分級建設、數據安全保障體系建設等工作，建立該消費金

107、融公司的數據安全管理組織架構，健全數據安全相關標準及指南，明確金融數據安全保護措施體系，指導公司各部門開展數據安全建設工作。3.實實踐效果和價值踐效果和價值（1）規范金融數據安全工作制度流程 從金融數據全生命周期安全保障需求、數據安全風險控制需要及法律法規合規性要求等幾個方面進行梳理，確定數 60 據安全防護的目標、管理策略及具體的標準、規范、程序等。進一步完善金融數據分類分級制度、金融數據安全風險評估、金融數據全生命周期安全保護制度、金融數據安全監督檢查等方面制度要求，實現數據安全各項工作實施過程有制 可循、有據可依，如圖 9 所示。圖 9 數據安全治理咨詢實施階段（2）落實金融數據安全分類

108、分級制度 數據安全分類分級是開展數據安全建設的基礎，通過數據安全分類分級的實施，確定各類型金融數據的類別以及重要程度，從而對數據采取更有針對性、更有效的保護措施，保證金融數據開放共享同時兼顧安全與效率。（3）覆蓋金融數據全生命周期、全場景的數據安全保障 本次項目的安全管理規范，圍繞金融數據采集、傳輸、存儲、處理、共享、銷毀的全生命周期。覆蓋金融數據在開放共享、開發測試、存儲分析、應用訪問等各業務場景下安全，為后續建設全場景的數據安全防護技術能力提供依據。61 案例五：藍象智聯普惠金融聯邦定制的風險評估方案案例五：藍象智聯普惠金融聯邦定制的風險評估方案 1.1.背景與目標背景與目標 隨著數字化的

109、發展，金融服務線上化占比逐漸加大。銀行業傳統以線下服務為主模式下的經驗轉到線上化后普遍面臨用戶數據不足，無法支持精準的風險評估及授信。當前，線上金融服務主要集中在個人客戶，對公業務仍是短板，最為突出的如小微企業融資難問題。用戶風險評估的核心是數據。當前信用風險評估普遍以征信數據以及行內數據為主，對于用戶他行交易、生活消費、產品持有、日常偏好、收入、水電、稅務等數據維度存在缺失，用戶風險刻畫維度缺失導致行方在評判用戶風險準確度上存在不足。為了提升信用風控的精準度，金融行業通常都會使用聯合建模的方式將多方數據聯合分析，傳統的聯合建模在執行過程中有很大制約。在建模過程中數據源和數據使用方雙方數據要見

110、面，需要一方在線下帶著數據到另一方，有數據泄露風險。在某些場景中，數據使用方也擔心自己的模型部署到數據源時有模型信息泄露風險。另外，由于聯合建模需要雙方在線下進行，涉及差旅等問題，成本較高。銀行等金融機構在客戶全生命周期的數據化運營的過程中，比如精準營銷、風險控制、合規管理等環節，經常需要使用外部數據進行內部應用。但由于數據安全的問題，金融機構的數據無法出本地、外部數據無法開放更多的緯度，導致建模性能差、效率低且不安全。62 2.2.實踐內容及路徑實踐內容及路徑 （1）依托隱私計算，打破信息互通壁壘，確保外部數據使用合規安全。本方案應用業界前沿的隱私計算技術，通過聯邦學習平臺，在數據不出行、保

111、障信息安全的情況下，打破了信息互通壁壘，實現“銀行+銀聯”數據融合，有效解決隱私保護與大數據運用之間的矛盾，開創了與外部機構信息交互合作的先河。（2）實現數據融合，充分利用銀聯信息，構建全新場景模型及風控體系。本方案通過結合銀聯支付交易特征信息，以及行內已有的征信、流水等信息，進一步豐富風險畫像，構建全新場景風控體系。在入口端，優化商戶違約預測模型，風險識別效果提升 20%；深入分析商戶收單特征，打造“刷單套現”精準識別模型，有效防范欺詐風險。在閘口端，基于知識圖譜技術，補充借款人同名跨行及關聯交易的資金流向分析，打造全新的資金流向違規領域探測模型，提升貸后監測覆蓋面及精準度。（3）創新業務模

112、式，打造開放式融資服務方案，實現全線上智能運維管理。本方案基于模型風險評估，結合業務經驗，制定了綜合化授信、差異化定價等精細化應用策略，實現全線上智能運維管理。同時，以業務發展為導向，創新打造面向小微商戶的開放式融資服務新模式，將服務群體拓展至數千萬銀聯收單商戶，進一步擴大服務面，提升金融普惠性?？蛻艨稍诰€主動申請業務，由系統開展自動審批，實現最快“三分鐘申請、一分鐘放款”，大幅提高業務辦理效 63 率和客戶體驗。聯邦學習的方案及效果如圖 10、圖 11 所示。圖10 聯邦學習方案 圖 11 聯邦學習效果 3.3.實踐效果和價值實踐效果和價值 聯邦學習技術能夠有效解決各方數據都不用出本地便可進

113、行信息交互，在數據“可用不可見”的前提下聯合分析雙方數據，既不用擔心數據泄露，又可以充分挖掘數據的價值。64 在實際小微企業的風險模型刻畫過程中，會涉及營銷響應模型、貸前風險模型、貸中風險模型、全鏈路風險模型等四大域、十一小域的模型體系，這部分模型的建模建立會由行方完成，但到了瓶頸之后只能通過外部數據的引入來進一步提升性能，如圖 12 所示。圖 12 小微企業風險模型 聯邦定制分產品針對金融行業不同場景（從營銷獲客、反欺詐、貸前準入評估、授信額度和貸中貸后預警等），對接豐富、深度且高質量的外部數據源，如三大運營商（中國移動、中國聯通、中國電信）和中國銀聯，覆蓋全國 14 億+用戶，20 億+設

114、備，上千維深度特征。且基于金融級隱私計算平臺，全流程確?！皵祿怀鰩?、數據不落庫”的情況下聯合多數據源深度建模得到聯邦定制分。該評分分值在0,1之間，該評分越高，風險越高；評分越低，風險越低。該聯邦定制分產品可用于金融機構信用卡、小微企業普惠金融、消費金融等場景的營銷獲客、反欺詐、貸前準入評估、授信額度和貸中貸后預警等環節。目前已經在金融、運營商等多個行業有商業應用落地，如某四大行基于聯邦定制分的小微商戶普惠金融服務，KS提升13%，實現戶均授信提高30%；65 某農商行基于聯邦定制分的個人信用貸服務，KS 提升 20%。案例六：同盾在某大型國有銀行數據安全項目的實踐案例六：同盾在某大型國有銀

115、行數據安全項目的實踐 1.1.背景與目標背景與目標 2019 年黨在十九屆四中全會上，中共中央將“數據”定義成為一項生產要素，預計到 2025 年，大數據產業測算規模將突破 3 萬億元，數據安全作為大數據產業的重要保障，在支撐大數據要素價值實現中舉足輕重。工信部發布的 “十四五”大數據產業發展規劃中提出，要筑牢數據安全保障防線，開展數據安全鑄盾行動，號召加強數據安全管理能力，推動建立數據安全管理制度，制定相關配套管理辦法和標準規范，組織開展數據分類分級管理，制定重要數據保護目錄，對重要數據進行備案管理、定期評估與重點保護。為貫徹落實國家數據安全管理政策，某大型國有銀行積極開展數據安全管理領域建

116、設，特設立數據安全管理系統建設項目，維護宣貫數據安全管理制度、管理辦法和標準規范，開展數據分級分類落地管理工作。從數據分級分類標準分類、安全分類分級標識實施落地、數據使用分級安全管理保障、數據安全智能工具、數據安全文化指導等五個方面提升行內數據安全管理能力，為該行數據要素價值的發揮提供安全保障。2.2.實踐內容及路徑實踐內容及路徑 結合項目背景和客戶當前的痛點，按照以下步驟進行數據分級分類實施：(1)現狀分析與評估：通過解讀現狀政策，結合行內的數據安全現狀調研，分析行內數據資產和數據湖數據分布情 66 況，總結現狀差異及評估結果。(2)建立關鍵要素設計/管理機制：全面梳理關鍵要素及敏感信息識別

117、規則，設計數據安全分級分類和個人敏感信息分級分類，梳理形成信息映射規則；優化數據安全分類分級管理辦法，設計制定敏感信息管理辦法和策略。(3)落地迭代實施：將信息映射規則落地形成 AI 數據分類分級規則庫，迭代實現對 5 個重點系統的數據安全分級分類和敏感信息雙達標。(4)策略建議發布及推廣：發布數據分類分級信息管理機制和敏感信息管理機制，并針對相關平臺及工具提出優化建議。(5)應用聯邦學習平臺新工具新方法，解決集團信息共享中信息安全管理問題。隨著國內外監管機構對客戶數據安全要求趨嚴，集團與子公司之間如何實現業務合規，達到數據共享要求，需要通過引入新工具（如聯邦學習、多方安全計算等）來實現數據可

118、用不可見，在數據共享應用的同時，行內客戶信息又不直接流轉到行外。3.3.實踐效果和價值實踐效果和價值 通過對本次數據分類分級工作的階段性總結，認為目前已取得如下實踐效果：(1)構建了全面的數據安全治理體系，形成了全行級數據分類分級和敏感信息管控機制和流程。金融數據復雜多樣，對數據實施分級管理，能夠進一步明確數據保護對象，有助于金融業機構合理分配數據保護資源和成本，是金融業 67 機構建立完善的金融數據生命周期保護框架的基礎，也是有的放矢地實施數據安全管理的前提條件。同時，統一的數據分級管理制度，能夠促進數據在機構間、行業間的安全共享，有利于金融行業數據價值的挖掘與實現。該項目數據安全整體方案，

119、構建起端到端的數據安全分類分級體系、敏感信息管理體系，和與之對應的分級保護策略。在充分滿足外部監管和內部合規要求的前提下，設計行內個性化的、可落地一系列框架體系。(2)沉淀了自動化數據分類分級打標規則，且規則的識別率和準確率都達到較高水平。項目實施過程中沉淀了接近5000+條金融數據分類分級規則，包括金融場景下的當事人信息、產品信息、協議信息、事件信息、賬戶信息、渠道信息、資源項信息、介質信息、通用信息等九大類通用規則和個性化的業務規則。有效地實現了自動化數據分類分級在各系統中的落地打標，讓數據安全的管控力度能夠涉及每個系統、每張表以及每個字段。此次，數據分類分級落地打標，為后續全面開展數據安全分級管控提供了基礎且關鍵的保障。(3)利用隱私計算技術，在數據安全保護的前提下，實踐多個數據使用的場景。當今互聯網時代出現了兩種普遍的現象，一個是數據孤島現象，一個是隱私換便利現象。而隨著數據安全合規的監管日益嚴格，突破這兩種現象造成的壁壘必然需要技術的創新?？蛻舴皆趯で髷祿摹肮堋焙汀坝谩钡钠胶恻c時，利用聯邦學習平臺，嘗試構建多種場景。例如：68 跨法人的信息驗證場景、聯合建模的場景等，并通過這些場景的建設、運行和反饋，探索出在數據分級管控下，數據使用和數據價值釋放的渠道、方式、方法和效果，具有重要的指導意義。