中国建设银行信息技术管理部
副总经理 郭汉利
商业银行既是《中华人民共和国网络安全法》（简称《网络安全法》）的获益者，也是《网络安全法》的坚定贯彻者和实践者。2017年，我们监测发现网络上针对建行的钓鱼欺诈攻击数量五年来首次出现下降趋势，一方面与公安部门开展“侵犯用户个人信息犯罪”专项打击密不可分，同时也说明法律的效力开始显现。
建设银行作为国有大型商业银行，始终坚持安全与发展并重，在贯彻落实《网络安全法》的过程中，夯基础、上水平，以保护客户数据安全和资金账户安全为中心，构建全面的网络安全保障体系。同时积极思考、主动迎接金融科技浪潮带来的新挑战，按照“穿透式原则”聚焦客户数据安全保护本身，推动建立更加智能、灵活、高效的网络安全保障体系。
管理与技术并重，强化数据全生命周期保护
按照《网络安全法》及网络安全主管部门配套印发的系列制度标准，建设银行坚持管理和技术并重，建立了覆盖数据全生命周期的安全管理体系、安全技术保障机制、网络防欺诈机制，切实保护客户数据和资金账户安全。
1.完善制度体系，优化内控环境。建设银行建立了信息安全制度重检机制，每年跟踪学习国家网络安全最新制度标准，对照修订行内信息安全管理制度标准，使之能够有效传导落实最新监管要求。按照《网络安全法》以及《国家网络空间安全战略》《网络产品和服务安全审查办法》《国家网络安全事件应急预案》等新要求，建行不断细化自身信息安全管理制度，进一步强化全行在信息安全管理体系、数据安全、运维安全、终端安全、风险通报信息排查与应对等管理要求。在金融数据安全保护方面，遵照国家网络安全等级保护要求，按照信息资产损失、差错或失效对企业、客户及社会的影响，将数据划分为高、中、低三个安全等级，并明确不同安全等级数据的产生、存储、使用、传输、备份、销毁等全生命周期安全保护要求。其中：对于用户密码、密钥、证书、磁条等高安全等级数据必须在系统中加密存储，任何情况下严禁脱离系统生产环境使用；开发测试用数据必须经过工具脱敏、匿名化后方可使用；设立数据应用需求审核岗、合规审核岗、数据操作岗、稽核审计岗，严格执行数据应用的合规审核和安全操作监控，禁止违规查询、下载、复制、保存客户数据信息和重要业务信息。通过明确责任主体、优化工作流程、加强系统机控等措施将制度要求内嵌到全行日常经营活动中，形成了“人人知晓安全、人人重视合规”的企业内控环境。
2.明示用户告知，透明增进互信。人不信不立、业无信不兴。《网络安全法》倡导用户实名制和收集、使用用户信息明示告知并得到用户同意原则。建设银行秉持“诚实、公正、稳健、创造”核心价值观，按照合法、正当、必要原则，厘清了收集个人信息的界限，并明示用户个人信息收集使用规则，努力做到公开透明。在实名制方面，建行在办理银行卡账户开户、激活、存取款、销户等业务时，严格按照实名制原则审核用户身份证件、做好身份信息联网核查，确保客户身份与系统数据一致性，切断不法分子假冒用户开户实施网络盗窃资金转移渠道。在用户签约办理业务时，以凸显、明示、易懂方式告知用户信息收集和使用目的、方式、范围等，征得客户授权同意。考虑到手机银行等电子渠道的数据处理方式与网点柜面等存在差异，在用户注册使用电子渠道时，以简单明了的方式告知用户收集的数据范围、使用方式等，征得用户同意后方可办理业务。在运用大数据时，严格设计数据使用场景和控制数据访问权限，避免数据使用超出用户授权。
3.加强技术应用，构建安全屏障。依托新一代安全架构建设，建设银行大力应用国产化技术，已形成相对完备的数据安全技术保障体系。在网络边界防护上，实现全行办公网与互联网隔离，完成全行邮件和互联网出口敏感信息防护系统部署，实时监控、阻断外部攻击渗透和内部敏感信息的对外发送。在内部网络保护上，根据系统重要性划分不同安全域，不同域之间进行有效隔离；应用终端安全组件，面向全行统一提供终端网络安全准入、U盘管控、WIFI管控、防病毒等技术保障措施；部署应用高级可持续攻击（APT）安全监测系统，实现终端、网络一体化检测，主动发现和应对恶意攻击。在数据安全环境建设上，应用数据安全组件和本地虚拟化技术，构建安全封闭的数据使用环境，为全行数据应用提供在线安全访问、安全传输、访问控制、数据防泄漏、安全清理销毁等功能，有效满足各类数据应用场景的安全保护需要。通过不断强化系统“机控”措施，实现从源头上防控外部网络攻击和内部员工有意或无意泄露数据的风险。
4.建立防欺诈体系，保护客户资金安全。面对愈演愈烈的外部数据泄露和网络欺诈风险，建行率先提出“安全即服务”理念，打造融合业务和技术,平衡安全和客户体验的网络防欺诈体系。通过对各个渠道的历史交易数据、历史安全事件和互联网上发生的信息泄露事件进行梳理分析和数据搜集、挖掘，形成客户账户分级模型，并将账户分级模型加载到电子银行安全策略管理中心。由安全策略管理中心根据账户分级动态调整各个安全服务，结合安全监控组件对各个渠道的业务交易进行全方位监控，形成主动风险预警，联动自动化的应对机制和人工参与等措施，在风险交易尚未导致客户资金损失前进行处置，做到“事中”拦截风险。目前建行反欺诈平台共涵盖涉及欺诈账户、高危欺诈终端、高危欺诈位置信息5万余个，保护疑似信息泄露账户300余万个。2017年，建行主动识别并拦截欺诈事件近2万起，避免客户资金损失1.38亿元。为打造网络安全交易环境、保障客户资金账户安全发挥了显著作用。
主动分析与应对，直面数据安全新形势挑战
金融科技浪潮下，大数据、云计算、区块链等新技术得到广泛应用，“数据为王”成为各方竞逐的战略制高点。数据的开放共享、技术形态的多样性、金融服务的无边界性给客户隐私保护、数据安全保护、数据跨境流动保护带来严峻挑战，成为深入落实《网络安全法》要面临解决的难题。
1.数据开放共享给客户隐私保护带来严峻挑战。大数据驱动战略下，“得数据者得市场”被广泛接纳。一方面，互联网公司只有透过数据，才能抓住客户需求，把握客户喜好，对数据有天然“渴望”；另一方面，公众、社会、组织构建“共享、共治、共赢”新型社会关系迫切需要数据共享，打破数据垄断。但各方在追求数据价值和共享背后，是对客户隐私的忽视，缺少数据保护“边界”意识，给数据隐私保护带来严峻挑战。同时，第三方支付机构力推客户使用快捷支付，留存客户卡号及认证信息，客户信息保护不再单纯局限于金融机构内部，第三方机构数据泄露等问题也会直接威胁银行的安全，风险管控难度进一步加大。
2.云技术应用给数据安全保护带来风险和挑战。云计算作为一种独立而灵活的计算资源获取平台和数据处理模式，获得了越来越多银行业金融机构的青睐。但云计算技术应用改变了传统IT服务集中性特点，机房场地分散、数据分散、系统分散、虚拟化和计算资源动态分配等特征，面临风险威胁因素多、不确定因素高，无论是对于云服务提供商实施数据安全保护，还是对于寻求云托管的金融机构开展数据安全评估验证、甚至对于监管部门开展云安全监管都带来很大技术难度。此外，个别云服务公司将云数据中心建在国外，更是给系统和数据所有权、控制权、监管权界定，数据跨境流动保护带来法律和技术挑战。
3.数据跨境需求增长给数据安全主权保护带来挑战。经济全球化带来了数据跨境业务需求不断增加，数据跨境流动已成常态化，范围愈来愈广、规模愈来愈大、内容愈来愈多。数据的跨境流动不仅会削弱数据主体对自身数据的控制权，难以保护自身合法权益，而且一旦企业关键数据资源泄露可能危及企业的生存发展。大数据背景下基于规模化局部信息的加工分析，还有可能形成对国家安全的细微洞察，给国家安全带来危害。《网络安全法》虽然为我们开展跨境数据安全保护提供有力遵循，但在具体操作执行层面还有很多规则需要明确和细化。
持续优化与改进，建立更加智能灵活的数据安全保障体系
针对上述安全挑战，建设银行将以《网络安全法》及配套法律法规为指引，坚持“穿透性原则”，聚焦数据安全保护本质，持续加大客户个人隐私保护和云安全技术应用，建立更加智能灵活的数据安全保障体系，全面履行保障客户数据安全社会责任。
1.强化客户隐私保护机制。参考《信息安全技术个人信息安全规范》（GB/T35273—2017）以及国内外最佳实践，不断完善客户隐私保护机制，实现对个人客户信息采集、存储、使用等提供更加动态、灵活的安全技术支撑。重视加强第三方业务合作管理，把好合同签订和履约关，在合同中明确个人数据信息保护要求，同时把好数据风险评估和技术检测关，动态评估衡量第三方数据安全保障水平，明确保护标准，限定去标识化、最小化数据交互范围，定期检测跟踪，防范潜在客户信息泄露风险。推进应用生物特征识别、人工智能技术，不断完善电子银行智能风控体系，实现电子银行后台对客户账户、设备、位置、行为、关系、偏好等进行综合分析，精准识别账户所有者，保障只有合法用户才能正常使用业务。
2.加强公有云数据安全保护设计与实现。建设银行在推出住房租赁等基于云计算的公有云项目之初，即将数据安全作为首要考虑纳入规划，已有成功应用经验。目前建设银行正在推进公有云平台技术输出，依托国内顶级金融数据中心和新一代安全架构，构建关键核心应用等级保护四级的云安全服务平台，打造金融级、智慧型、主动型的云安全保障体系。在云端自动化部署虚拟加密机，为租户应用提供弹性、高可用、高性能的虚拟化加密服务，实现多租户数据加密隔离、存储和安全传输。除租户外，其他任何人都无法窥探租户业务数据，有效保护云上数据的隐私和机密，满足租户在数据安全方面的监管合规要求。同时部署智能的安全态势感知系统，及时发现并主动防控外部攻击，综合运用数据安全组件、数字水印、内容风险识别、数据库行为审计等技术，做到云端数据安全保护的安全评估和验证。
3.积极开展跨境数据保护安全实践。建设银行坚持数据主权原则，兼顾数据自由流动与安全保护，参考借鉴国内外最佳实践，根据数据的不同类型、性质制定差异化管理要求，明确数据本地化存储使用范围,限定数据跨境传输条件。对涉及社会公共利益和国家安全等特定种类的关键敏感数据必须境内存储,严禁跨境传输；对商用数据进行安全评估后再行决定是否对外传输；对个人数据境内留存，经数据主体同意后方对外传输。在定期开展的系统风险评估中，加强跨境数据分析评估和落实，保障关键数据安全，维护数据主权。
落实《网络安全法》已有很好的开端，但未来仍任重道远，只要全社会戮力同心，我国的网络空间和数据治理环境一定会更加安全、开放、高效、有序。
声明：本文来自金融电子化，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
