商業銀行既是《中華人民共和國網絡安全法》（簡稱《網絡安全法》）的獲益者，也是《網絡安全法》的堅定貫徹者和實踐者。2017年，我們監測發現網絡上針對建行的釣魚欺詐攻擊數量五年來首次出現下降趨勢，一方面與公安部門開展“侵犯用戶個人信息犯罪”專項打擊密不可分，同時也說明法律的效力開始顯現。

中國建設銀行信息技術管理部副總經理 郭漢利

　　建設銀行作為國有大型商業銀行，始終堅持安全與發展并重，在貫徹落實《網絡安全法》的過程中，夯基礎、上水平，以保護客戶數據安全和資金賬戶安全為中心，構建全面的網絡安全保障體系。同時積極思考、主動迎接金融科技浪潮帶來的新挑戰，按照“穿透式原則”聚焦客戶數據安全保護本身，推動建立更加智能、靈活、高效的網絡安全保障體系。

管理與技術并重，強化數據全生命周期保護

　　按照《網絡安全法》及網絡安全主管部門配套印發的系列制度標準，建設銀行堅持管理和技術并重，建立了覆蓋數據全生命周期的安全管理體系、安全技術保障機制、網絡防欺詐機制，切實保護客戶數據和資金賬戶安全。

　　1.完善制度體系，優化內控環境。建設銀行建立了信息安全制度重檢機制，每年跟蹤學習國家網絡安全最新制度標準，對照修訂行內信息安全管理制度標準，使之能夠有效傳導落實最新監管要求。按照《網絡安全法》以及《國家網絡空間安全戰略》《網絡產品和服務安全審查辦法》《國家網絡安全事件應急預案》等新要求，建行不斷細化自身信息安全管理制度，進一步強化全行在信息安全管理體系、數據安全、運維安全、終端安全、風險通報信息排查與應對等管理要求。在金融數據安全保護方面，遵照國家網絡安全等級保護要求，按照信息資產損失、差錯或失效對企業、客戶及社會的影響，將數據劃分為高、中、低三個安全等級，并明確不同安全等級數據的產生、存儲、使用、傳輸、備份、銷毀等全生命周期安全保護要求。其中：對于用戶密碼、密鑰、證書、磁條等高安全等級數據必須在系統中加密存儲，任何情況下嚴禁脫離系統生產環境使用；開發測試用數據必須經過工具脫敏、匿名化后方可使用；設立數據應用需求審核崗、合規審核崗、數據操作崗、稽核審計崗，嚴格執行數據應用的合規審核和安全操作監控，禁止違規查詢、下載、復制、保存客戶數據信息和重要業務信息。通過明確責任主體、優化工作流程、加強系統機控等措施將制度要求內嵌到全行日常經營活動中，形成了“人人知曉安全、人人重視合規”的企業內控環境。

　　2.明示用戶告知，透明增進互信。人不信不立、業無信不興�！毒W絡安全法》倡導用戶實名制和收集、使用用戶信息明示告知并得到用戶同意原則。建設銀行秉持“誠實、公正、穩健、創造”核心價值觀，按照合法、正當、必要原則，厘清了收集個人信息的界限，并明示用戶個人信息收集使用規則，努力做到公開透明。在實名制方面，建行在辦理銀行卡賬戶開戶、激活、存取款、銷戶等業務時，嚴格按照實名制原則審核用戶身份證件、做好身份信息聯網核查，確�？蛻羯矸菖c系統數據一致性，切斷不法分子假冒用戶開戶實施網絡盜竊資金轉移渠道。在用戶簽約辦理業務時，以凸顯、明示、易懂方式告知用戶信息收集和使用目的、方式、范圍等，征得客戶授權同意�？紤]到手機銀行等電子渠道的數據處理方式與網點柜面等存在差異，在用戶注冊使用電子渠道時，以簡單明了的方式告知用戶收集的數據范圍、使用方式等，征得用戶同意后方可辦理業務。在運用大數據時，嚴格設計數據使用場景和控制數據訪問權限，避免數據使用超出用戶授權。

　　3.加強技術應用，構建安全屏障。依托新一代安全架構建設，建設銀行大力應用國產化技術，已形成相對完備的數據安全技術保障體系。在網絡邊界防護上，實現全行辦公網與互聯網隔離，完成全行郵件和互聯網出口敏感信息防護系統部署，實時監控、阻斷外部攻擊滲透和內部敏感信息的對外發送。在內部網絡保護上，根據系統重要性劃分不同安全域，不同域之間進行有效隔離；應用終端安全組件，面向全行統一提供終端網絡安全準入、U盤管控、WIFI管控、防病毒等技術保障措施；部署應用高級可持續攻擊（APT）安全監測系統，實現終端、網絡一體化檢測，主動發現和應對惡意攻擊。在數據安全環境建設上，應用數據安全組件和本地虛擬化技術，構建安全封閉的數據使用環境，為全行數據應用提供在線安全訪問、安全傳輸、訪問控制、數據防泄漏、安全清理銷毀等功能，有效滿足各類數據應用場景的安全保護需要。通過不斷強化系統“機控”措施，實現從源頭上防控外部網絡攻擊和內部員工有意或無意泄露數據的風險。

　　4.建立防欺詐體系，保護客戶資金安全。面對愈演愈烈的外部數據泄露和網絡欺詐風險，建行率先提出“安全即服務”理念，打造融合業務和技術,平衡安全和客戶體驗的網絡防欺詐體系。通過對各個渠道的歷史交易數據、歷史安全事件和互聯網上發生的信息泄露事件進行梳理分析和數據搜集、挖掘，形成客戶賬戶分級模型，并將賬戶分級模型加載到電子銀行安全策略管理中心。由安全策略管理中心根據賬戶分級動態調整各個安全服務，結合安全監控組件對各個渠道的業務交易進行全方位監控，形成主動風險預警，聯動自動化的應對機制和人工參與等措施，在風險交易尚未導致客戶資金損失前進行處置，做到“事中”攔截風險。目前建行反欺詐平臺共涵蓋涉及欺詐賬戶、高危欺詐終端、高危欺詐位置信息5萬余個，保護疑似信息泄露賬戶300余萬個。2017年，建行主動識別并攔截欺詐事件近2萬起，避免客戶資金損失1.38億元。為打造網絡安全交易環境、保障客戶資金賬戶安全發揮了顯著作用。

主動分析與應對，直面數據安全新形勢挑戰

　　金融科技浪潮下，大數據、云計算、區塊鏈等新技術得到廣泛應用，“數據為王”成為各方競逐的戰略制高點。數據的開放共享、技術形態的多樣性、金融服務的無邊界性給客戶隱私保護、數據安全保護、數據跨境流動保護帶來嚴峻挑戰，成為深入落實《網絡安全法》要面臨解決的難題。

　　1.數據開放共享給客戶隱私保護帶來嚴峻挑戰。大數據驅動戰略下，“得數據者得市場”被廣泛接納。一方面，互聯網公司只有透過數據，才能抓住客戶需求，把握客戶喜好，對數據有天然“渴望”；另一方面，公眾、社會、組織構建“共享、共治、共贏”新型社會關系迫切需要數據共享，打破數據壟斷。但各方在追求數據價值和共享背后，是對客戶隱私的忽視，缺少數據保護“邊界”意識，給數據隱私保護帶來嚴峻挑戰。同時，第三方支付機構力推客戶使用快捷支付，留存客戶卡號及認證信息，客戶信息保護不再單純局限于金融機構內部，第三方機構數據泄露等問題也會直接威脅銀行的安全，風險管控難度進一步加大。

　　2.云技術應用給數據安全保護帶來風險和挑戰。云計算作為一種獨立而靈活的計算資源獲取平臺和數據處理模式，獲得了越來越多銀行業金融機構的青睞。但云計算技術應用改變了傳統IT服務集中性特點，機房場地分散、數據分散、系統分散、虛擬化和計算資源動態分配等特征，面臨風險威脅因素多、不確定因素高，無論是對于云服務提供商實施數據安全保護，還是對于尋求云托管的金融機構開展數據安全評估驗證、甚至對于監管部門開展云安全監管都帶來很大技術難度。此外，個別云服務公司將云數據中心建在國外，更是給系統和數據所有權、控制權、監管權界定，數據跨境流動保護帶來法律和技術挑戰。

　　3.數據跨境需求增長給數據安全主權保護帶來挑戰。經濟全球化帶來了數據跨境業務需求不斷增加，數據跨境流動已成常態化，范圍愈來愈廣、規模愈來愈大、內容愈來愈多。數據的跨境流動不僅會削弱數據主體對自身數據的控制權，難以保護自身合法權益，而且一旦企業關鍵數據資源泄露可能危及企業的生存發展。大數據背景下基于規模化局部信息的加工分析，還有可能形成對國家安全的細微洞察，給國家安全帶來危害。《網絡安全法》雖然為我們開展跨境數據安全保護提供有力遵循，但在具體操作執行層面還有很多規則需要明確和細化。

持續優化與改進，建立更加智能靈活的數據安全保障體系

　　針對上述安全挑戰，建設銀行將以《網絡安全法》及配套法律法規為指引，堅持“穿透性原則”，聚焦數據安全保護本質，持續加大客戶個人隱私保護和云安全技術應用，建立更加智能靈活的數據安全保障體系，全面履行保障客戶數據安全社會責任。

　　1.強化客戶隱私保護機制。參考《信息安全技術個人信息安全規范》（GB/T35273—2017）以及國內外最佳實踐，不斷完善客戶隱私保護機制，實現對個人客戶信息采集、存儲、使用等提供更加動態、靈活的安全技術支撐。重視加強第三方業務合作管理，把好合同簽訂和履約關，在合同中明確個人數據信息保護要求，同時把好數據風險評估和技術檢測關，動態評估衡量第三方數據安全保障水平，明確保護標準，限定去標識化、最小化數據交互范圍，定期檢測跟蹤，防范潛在客戶信息泄露風險。推進應用生物特征識別、人工智能技術，不斷完善電子銀行智能風控體系，實現電子銀行后臺對客戶賬戶、設備、位置、行為、關系、偏好等進行綜合分析，精準識別賬戶所有者，保障只有合法用戶才能正常使用業務。

　　2.加強公有云數據安全保護設計與實現。建設銀行在推出住房租賃等基于云計算的公有云項目之初，即將數據安全作為首要考慮納入規劃，已有成功應用經驗。目前建設銀行正在推進公有云平臺技術輸出，依托國內頂級金融數據中心和新一代安全架構，構建關鍵核心應用等級保護四級的云安全服務平臺，打造金融級、智慧型、主動型的云安全保障體系。在云端自動化部署虛擬加密機，為租戶應用提供彈性、高可用、高性能的虛擬化加密服務，實現多租戶數據加密隔離、存儲和安全傳輸。除租戶外，其他任何人都無法窺探租戶業務數據，有效保護云上數據的隱私和機密，滿足租戶在數據安全方面的監管合規要求。同時部署智能的安全態勢感知系統，及時發現并主動防控外部攻擊，綜合運用數據安全組件、數字水印、內容風險識別、數據庫行為審計等技術，做到云端數據安全保護的安全評估和驗證。

　　3.積極開展跨境數據保護安全實踐。建設銀行堅持數據主權原則，兼顧數據自由流動與安全保護，參考借鑒國內外最佳實踐，根據數據的不同類型、性質制定差異化管理要求，明確數據本地化存儲使用范圍,限定數據跨境傳輸條件。對涉及社會公共利益和國家安全等特定種類的關鍵敏感數據必須境內存儲,嚴禁跨境傳輸；對商用數據進行安全評估后再行決定是否對外傳輸；對個人數據境內留存，經數據主體同意后方對外傳輸。在定期開展的系統風險評估中，加強跨境數據分析評估和落實，保障關鍵數據安全，維護數據主權。

　　落實《網絡安全法》已有很好的開端，但未來仍任重道遠，只要全社會戮力同心，我國的網絡空間和數據治理環境一定會更加安全、開放、高效、有序。

（文章來源：金融電子化雜志）

掃碼即可手機
閱讀轉發此文