近年来，伴随着数字金融的发展，经营环境的变化、客户诉求的升级，银行业不断推动数字化边界的扩展。从最早的业务经营电子化，到后来的管理流程信息化，再到最近几年的客户交互移动化，数字化的定义正在持续扩展，并迈入经营全面数据化的新阶段。数字化的全面发展也给数据安全治理提出了全新的挑战，数据安全治理的风险贯穿于数据采集、存储、传输、处理、销毁的始终。本文笔者将通过银行机构数据安全治理面临的问题，提出数据安全治理的思考和建议。

随着数字化时代的发展，银行机构积累了海量的数据，这些数据不仅是业务运营的核心资产，也是创新发展的重要驱动力。这些数据的采集、存储、传输、处理、销毁的全生命周期内都伴随着数据安全管理的重要挑战.然而，随着数据安全事件的频繁发生，数据安全也已成为银行机构面临的严峻挑战。

一、政策依据

从我国现行法律体系建设情况分析，银行的数据安全治理工作应遵循以《中华人民共和国数据安全法》《中华人民共和国网络安全法》以及《中华人民共和国个人信息保护法》为核心，以《银行保险机构数据安全管理办法》为脉络，以《金融科技发展规划》走向的体系化建设之路，并依从GDPR框架，做好涉外业务的跨境数据传输规则的建立和使用。

在法律框架的基础范围下，本文通过《银行保险机构数据安全管理办法》出台的背景，进一步分析银行机构为什么要强化数据安全治理。众所周知金融数据具有高价值和高敏感性，那么金融数据安全势必关于国家安全和金融消费者权益，也就是国家利益和公共利益，重要性不言而喻。加之，近年来银行业数字化变革加速推进，新技术、新业态不断涌现，数据合作共享日益频繁，也导致了一系列的数据安全事件频发。为此，为充分发挥监管机构的“指挥棒”作用，《银行保险机构数据安全管理办法》（以下简称《办法》）应运而生。《办法》同时单独设置“个人信息保护”章节，以进一步落实《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等上位法要求，体现保护消费者信息和权益的政策导向。明确银保机构在采集个人信息时，应按照“明确告知、授权同意”的原则实施，使用时需限于实现金融业务处理目的的最小范围，不得过度收集个人信息。处理、共享和对外提供个人信息时，应当履行必要的告知义务，并取得必要同意。不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务。发生或者可能发生个人信息泄露、篡改、丢失的，银行保险机构应当立即采取补救措施，并向监管部门报告。由此，我们可以看出，数据采集、存储、传输、处理全过程均可能产生安全隐患，一旦发生风险事件，均可能引发消费者权益受损。

二、风险事件

（一）数据采集过程中的风险事件

公开信息查询显示，2024年1月-12月期间，江阴农商银行、昆山农商银行、苏州农商银行、江苏长江商业银行、无锡农商银行、唐山银行、喀喇沁玉龙村镇银行、固阳蒙商村镇银行、达茂蒙商村镇银行、化德蒙商村镇银行、湖北银行、湖北农信等银行因开发设立的银行APP,存在违规收集个人信息、超范围收集个人信息以及强制、频繁、过度索取权限等问题,被工信部通报。同时，2024年，四川自贡农商银行、达州银行、成都双流诚民村镇银行、四川隆昌农商银行、吉林省的吉林农安农商银行、农安北银村镇银行和伊通满族自治县农村信用合作联社因违反信用信息采集、提供、查询及相关管理规定，分别被人民银行四川省分行、人银银行吉林省分行给予行政处罚。

上述因银行APP引发的一系列涉及个人隐私保护的风险问题，对于金融消费者而言，极易引发财产安全隐患。个人隐私的泄露不仅可能直接引发被诈骗风险，还可能面临诸多的被骚扰的问题。如未经用户同意收集、使用个人信息，损害了用户的知情权和选择权的同时，会引发法律纠纷，影响银行声誉。同时，还可能引发合规风险。主要源于监管政策的严格性，违规行为将面临高额罚款和业务限制，增加运营成本。尤其随着近年来金融科技的发展，手机银行已成为向客户提供金融服务的主导渠道。《2024中国数字银行调查报告》显示，2024年个人手机银行用户使用比例已达88%，相比去年增长了2个百分点。在此背景下，银行金融机构信息数据安全管理面临的挑战更为巨大。

（二）数据处理使用过程中的风险事件

2024年6月，因交通银行安全测试存在薄弱环节、运行管理存在漏洞、数据安全管理不足、灾备管理不足等违规事实，国家金融监督管理总局，依据《中华人民共和国银行业监督管理法》，对交通银行作出罚款160万的决定。经核实，交通银行主要系因未建立数据分类分级规则，核心业务系统未设置访问权限控制，导致客户交易数据存在泄露风险。从交通银行的违规事实我们也可以看到，一是数据分级分类规则及执行风险。现行法律法规明确要求企业对数据实施分类分级管理，但部分机构仅进行形式化分类，未结合业务场景动态调整。例如，未将客户身份信息与普通交易记录区分保护层级的问题。二是第三方合作风险，银行机构与外包服务商的数据共享协议中未明确安全责任边界，出现外包人员违规导出数据后转售牟利的行为，因此引发的数据安全风险最终由银行机构承担主要责任。

2024年9月，因山西农村商业联合银行股份有限公司存在数据安全管理较粗放，存在数据泄露风险，以及对网上银行外包管理不到位导致发生二级网络安全事件等违规事实，国家金融监督管理总局山西监管局，依据《中华人民共和国银行业监督管理法》，对山西农村商业联合银行作出罚款60万的决定。经核实，该行办公电脑未设置开机密码，缴费系统账号使用“123456”等弱口令，且未建立数据安全事件应急预案。山西农村商业银行被处罚也暴露出中小银行一是普遍存在制度执行不到位的问题，例如银行机构为了数据安全设置要求每季度修改系统密码，但实际执行中并未设置系统强制提醒功能，导致密码长期未修改。二是普遍存在员工合规意识薄弱的问题，例如数据安全培训流于形式，员工出现将包含客户信息的Excel表格通过公共网络传输，引发信息泄露的问题。

三、银行机构数据安全治理面临的主要问题

 一是数据分类分级不精准。许多银行机构尚未建立科学合理的数据分类分级标准，导致数据的重要性和敏感程度难以准确界定。这使得在实施数据安全保护措施时，无法做到有的放矢，可能造成资源浪费或保护不足。二是安全管理体系不完善。部分银行机构的数据安全管理组织架构不健全，职责划分不清晰，缺乏有效的协同机制。数据安全管理制度和流程也存在漏洞，执行不到位，难以形成全方位的数据安全防护网。三是技术防护能力不足。随着网络攻击手段的不断升级，银行机构现有的技术防护手段可能无法及时应对新型安全威胁。如对数据加密、访问控制、数据脱敏等关键技术的应用还不够成熟，存在技术短板。四是员工安全意识淡薄。一些员工对数据安全的重要性认识不足，在日常工作中存在违规操作的行为，如随意共享敏感数据、不按规定使用移动存储设备等，这些行为增加了数据泄露的风险。五是第三方合作风险。银行机构在与第三方合作过程中，如数据供应商、外包服务商等，可能因对第三方的监管不力，导致数据在传输、存储和使用过程中出现安全问题，如数据被第三方非法获取或滥用。

四、数据安全治理的思考

（一）建立健全数据安全管理制度和流程

一是严格遵守相关法律法规，明确数据收集、使用、存储的具体规范，并告知用户个人信息的收集、使用目的和范围，取得用户的明确同意。二是要对数据安全有统筹的管理。除组织职能上比如将数据安全纳入董事会监督范围，明确高级管理层对重大数据泄露事件承担连带责任外，还应当明确由掌握数据信息的源头管理部门作为数据安全治理的统筹管理部门，便于对数据收集、存储、处理的全生命周期统一管理和技术设防。三是规范第三方合作。在合同中明确数据安全责任归属，要求合作方提供资质证明，并定期抽查数据使用场景。同时，按照合同、协议等有关约定履行客户及合作方告知义务，严防三方合作数据泄露风险。四是加强员工培训和教育，提高员工的数据安全意识和技能水平，构建数据安全知识图谱、设计“数据泄露沙盘推演”等实战培训，例如模拟黑客攻击，测试员工应急响应能力，防范内部人员泄露数据的风险。五是建立有效的数据安全事件应急响应与处置机制。制定数据安全事件应急与处置预案，定期开展应急响应培训和应急演练。数据安全事件发生后，立即按预案规定启动处置程序，并形成有效的数据安全事件报告机制，根据事件安全等级制定报告流程。

（二）深化技术防范能力提升

一是采用加密技术、访问控制、安全审计等技术手段，保护客户信息和金融交易数据的安全，并根据业务属性如供应链上下游业务，跨境交易业务，和数据类型如身份信息，交易数据等，制定差异化保护策略，如对客户生物特征信息实施加密存储+独立服务器隔离。二是核心数据部署私有云，非敏感数据采用金融行业云，通过区块链技术实现跨云数据溯源，并记录数据流转路径，确保操作行为可追踪、不可篡改，并通过区块链技术实现跨云数据溯源。同时，采用数据脱敏技术处理测试环境信息，部署最小化的访问控制权限。三是建立第三方供应商动态评估模型，实现对三方合作的主动管、提前管。四是推动建立“零信任”安全访问平台，降低外部用户访问的风险，同时便于内部用户可以在非内部网络可以使用较大部分的内部应用，避免数据泄露。五是做好全周期管理。在新业务上线前，前置评估数据安全影响。业务平稳运行后，聘请专业机构进行合规审计，尤其关注跨境数据传输、生物信息采集等高风险环节。

（三）强化风险管理，持续跟踪监管动态

一是强化风险管理，银行机构应比照巴塞尔协议中关于数据安全管理的相关要求，定期开展安全漏洞扫描和渗透测试，以及对新兴威胁的监控，比如勒索软件、高级持续威胁（APT）等进行全面的风险评估，识别潜在的威胁和脆弱点，强化数据安全管理。二是强化落实数据分级分类管理要求。将数据分为核心（如客户生物特征）、重要（如账户交易记录）、一般（如营销活动数据）等三类，再在每类数据的基础上细分为3个等级，进行防护，落实监管机构分级分类要求。同时设立智能标签系统，即采用自然语言处理（NLP）技术自动识别敏感数据，如对身份证号、银行卡号等设置"自动脱敏+水印溯源"策略，防止数据被滥用或者泄露。三是定期向监管部门报告数据安全状况，主动了解监管机构对数据安全治理的新动向，便于主动改进技术措施、接受社会监督，共同构建安全可靠的金融数据环境。

民生银行长春分行  吕冬末