在当今大数据广泛应用、个人信息合规成为各方关注的重点的背景下，如何让个人信息在发挥数据价值的前提下保证合规变得非常关键。作为个人信息密集程度、以及个人信息监管力度均走在前列的银行保险行业，相关企业及机构面临较为严峻的安全挑战。

近日，银保监会办公厅向各银保监局，各大型银行、股份制银行、外资银行、直销银行、理财公司，各保险集团（控股）公司、保险公司下发《关于开展银行保险机构侵害个人信息权益乱象专项整治工作的通知》，要求各机构全面摸排2021年以来与消费者个人信息处理活动相关的经营行为和管理情况，深入查找本机构个人信息保护方面存在的问题，并积极整改。

01银行保险机构侵害个人信息权益乱象非常普遍

根据文件披露，银行保险机构侵害个人信息权益乱象覆盖了个人信息从收集到删除的全生命周期：

一是个人信息收集。在未取得消费者同意的情况下，利用移动互联网应用程序（App）获取手机通讯录、监测输入内容、监听语音收集消费者个人信息；未在官网、App主动披露隐私政策；通过非法途径盗取或购买消费者个人信息等。

二是个人信息存储和传输。如，电子数据存储管理混乱。违反规定下载、存储、记录消费者敏感个人信息。机构人员超职权范围将未经加密、脱敏的消费者个人敏感信息下载、存储至个人办公计算机、移动硬盘或U盘等具有存储功能的终端或介质等。

三是个人信息查询。银行账户信息查询业务操作不规范，存在未按规定留存查询授权材料、未经消费者同意私自查询、虚构理由和业务背景查询信息等问题；保险公司未对查询权限严格限制，导致不具备权限的员工可以查询完整的保单号、投保人和被保险人证件号码、联系电话、联系地址等未经脱敏处理的个人信息等。

四是个人信息使用。如，用于不当营销。私自收集或违规收集消费者信息和联系方式用于营销；在消费者明确拒绝营销后仍继续营销；规避销售系统向消费者营销产品等。

五是个人信息提供。如，未经同意向他人或外部机构提供信息。在无法定事由，且未获得消费者同意的情况下，将消费者个人信息提供给外部机构或其他个人；向外部机构或个人贩卖消费者个人信息。

六是个人信息删除。未对各类消费者个人信息电子数据和纸质材料规定保存期限和到期删除、销毁要求，未明确删除、销毁的程序和方式。

七是第三方合作。向第三方合作机构提供个人信息超出合作业务必须范围、未进行必要脱敏；未使用有效加密方式通过互联网等不安全渠道向第三方合作机构传输个人信息等。

02监管部门推进根源性整改 机构自查成为关键

对于上述乱象，文件要求各银行保险机构要深入剖析本次专项整治发现的问题，查找问题根源，以银行保险机构自查为主，监管部门适时开展抽查和督导。

目前，针对个人信息合规，各企业机构采取了不同的措施，主要可分为三类：

不清楚哪些数据是个人信息的数据，为了保证个人信息的合规，先将个人信息封存起来，不给员工使用，这种措施下，企业数据本身的价值得不到利用，对于企业来讲是严重的成本消耗，数据只有使用才能发挥价值，封存数据对企业来讲不是长久之计；

为了发挥个人信息的价值，不关注个人信息的合规，直接让员工使用数据，这种措施下，企业对个人信息失去掌控，而目前个人信息合规是立法的要求；

尝试从传统的安全手段中选择合规方法，但由于传统安全手段重在边界防护或者静态存储防护，没有针对大数据特性下的个人信息合规，企业管理者要获得大数据的价值的同时保障个人信息安全，缺乏有效的手段。

03基于数据运营安全的个人信息保护 满足合规要求与安全防护

根据以上诉求，提出基于数据运营安全的个人信息保护策略，让个人信息保护满足合规性要求，在数据使用过程中追溯个人信息的流动，对数据的全生命周期进行保护。

全类型个人信息采集分析与梳理标注。通过探针遥测内嵌入各业务单元，对个人信息进行跨业务跨域的采集、分析，为全域的个人信息保护建立基础。结合人工智能和机器学习技术，对各种类型的个人信息进行深度识别，从个人信息本体特征、行业特性、合规性等角度进行梳理。

不仅包括用户的姓名、电话、身份证等基础属性，还需要厘清与业务紧密关联的个人信息，如账户信息、财产信息、借贷信息等。与此同时，信息以结构化、半结构化、非结构化等多形态方式，或在数据库中存储，或转为办公文档方式流转，或在内部业务流转过程中进一步进行格式转换、数据的解析等等，以及暗数据、个人信息影子等驻留蛰伏的数据，都需要进行完整的挖掘和追溯。

数据链的全运营周期追溯与风险感知。对现有的数据流转路径以及新兴的数据流进行追溯管理，建立个人信息与主体的映射关系；个人信息在流动中的原文流转、变形流转的血缘关系；记录个人信息的版本、状态、位置以及轨迹，形成个人信息数据流全生命周期的流动画像，对个人信息的流转、扩散进行全视角的风险态势感知和合规性管控，从数据流的链路中保护个人信息。

追溯个人信息在组织中的流动，主要包括三方面：首先是广泛的流动，这和不同银行保险机构业务线条复杂化有关，既有一些个人信息集中式在特定业务系统中处理分析，也有一些个人信息随着不同部门、不同业务需求在网络中向不同的业务系统流动。通过对广域分布的个人信息流动进行追溯管理，感知个人信息的风险态势。

其次是基于生命周期的数据链的个人信息流动。个人信息从产生、收集、存储、使用、共享到销毁，在数据链的每个节点上，抓取个人信息的轨迹。个人信息在不同的业务流程中使用，在不同的业务服务器之间流转，以及不同域之间的流动，应该以数据与业务的运营周期为牵引，追溯个人信息，保护全数据链的流动安全。

最后是新技术下个人信息多流转路径追溯。为了挖掘数据价值，银行保险机构自身在进一步寻求打破内部业务壁垒的方式；同时，随着大数据时代、5G时代的数据开放共享，网络环境趋于开放，数据流也愈来愈多。追溯各流转路径，突破传统的数据边界，保障数据的可控性。

基于零信任架构的自适应精准防护。个人信息的保护，从用户、终端、网络、个人信息数据四个方面建立起零信任数据安全域，保护个人信息的访问、传输、存储和使用。由零信任用户、零信任终端控制访问个人信息的安全认证，防止非法用户或终端接触个人信息；个人信息数据在终端之间、终端与服务器之间传输时，由零信任网络保护个人信息；个人信息存储在终端中以及在终端中使用时，零信任终端以及对个人信息本体的零信任防护，构建安全域空间，保护数据安全。

通过数据运营全周期的特征追踪与数据分析，对个人信息进行数据分布采集、流动追溯，感知个人信息的风险态势，基于机器学习，对各类事件和风险进行分析和分诊，结合用户使用场景、安全基线以及风险活动，从响应时间到响应力度，形成适合数据运营业务安全的按需保护的响应机制。对同类或同级的个人信息的保护力度应当统一，通过对多源个人信息构建适合业务流程与个人信息安全的统一安全机制，让同类或同级的个人信息在不同源中获得一致的保护，才能真正达到保护个人信息的目标。

（本文作者：北京数安行科技有限公司 郭灵）

声明：本文来自CCIA数据安全工作委员会，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。