國信證券數(shù)據(jù)安全治理體系建設亮點體現(xiàn)在哪些方面？

結合行業(yè)和國信證券在數(shù)據(jù)安全治理體系建設過程中面臨的挑戰(zhàn)，總結數(shù)據(jù)安全 治理的實施路徑，可以歸納如下幾個亮點。

1.基于數(shù)據(jù)資產(chǎn)盤點落實細粒度的分類分級

在數(shù)據(jù)安全治理體系建設過程中，數(shù)據(jù)分類分級作為數(shù)據(jù)安全治理的最基本實 踐，為后續(xù)各項數(shù)據(jù)的安全運用，數(shù)據(jù)價值最大化實現(xiàn)，以及數(shù)字化應用的充分落實 奠定了安全根基。

國信證券以個人客戶數(shù)據(jù)為中心開展了數(shù)據(jù)資產(chǎn)盤點。通過問卷調(diào)研、業(yè)務訪談、 系統(tǒng)自動掃描等方式，對結構化數(shù)據(jù)、非結構化的個人客戶數(shù)據(jù)，從合規(guī)性、業(yè)務需 求、安全需求方面整理數(shù)據(jù)資產(chǎn)分布情況，匯總數(shù)據(jù)資產(chǎn)流轉及授權審批情況，為數(shù) 據(jù)分類分級及安全防護建議提供數(shù)據(jù)支撐。在梳理過程中，識別不同的業(yè)務活動、數(shù) 據(jù)活動中所涉及到的不同角色，例如數(shù)據(jù)提供方、數(shù)據(jù)所有方、數(shù)據(jù)處理方、數(shù)據(jù)合 作方等。明確在不同場景下各方角色的數(shù)據(jù)安全義務和責任，便于后續(xù)針對性的開展 后續(xù)數(shù)據(jù)安全治理工作，進行分步實施、分級治理。這一項工作的關鍵在于制定可落 地的數(shù)據(jù)的分類分級和確權策略，并借助系統(tǒng)進行敏感數(shù)據(jù)識別。項目中建設的數(shù)據(jù) 安全運營平臺通過元數(shù)據(jù)匹配、正則表達式匹配、數(shù)據(jù)內(nèi)容掃描等識別手段，結合數(shù) 據(jù)項所在庫表的業(yè)務描述以及對業(yè)務規(guī)則的組合定義，實現(xiàn)表級和字段級的數(shù)據(jù)分類 定級工作。

通過數(shù)據(jù)分類分級工作的持續(xù)運行，開啟新一代的滿足安全合規(guī)要求的數(shù)據(jù)安全 治理體系建設，從而切實保障安全貫穿數(shù)據(jù)安全治理全過程。

2.數(shù)據(jù)確權與數(shù)據(jù)分類分級流程結合奠定安全管控基礎

在國信證券的實踐中，為避免數(shù)據(jù)分類分級等安全管控流程流于形式，基于數(shù)據(jù) 安全運營平臺，建立了自動化、線上化的分類分級和確權流程，并嵌入已有開發(fā)流程 如實施前評審、上線前評審流程。對于新建系統(tǒng)上線，在分類分級環(huán)節(jié)，數(shù)據(jù)安全運 營平臺通過固化的分類分級策略和敏感數(shù)據(jù)識別功能，完成該系統(tǒng)數(shù)據(jù)庫、表和字段 的分類分級標簽。在分類分級之后，根據(jù)分類分級結果和分類分級框架，將識別出的 重要業(yè)務數(shù)據(jù)和敏感數(shù)據(jù)流轉至相應的業(yè)務歸口管理人員和技術負責人，進行分類分 級標簽的復核和數(shù)據(jù)確權。

3.數(shù)據(jù)安全運營與數(shù)據(jù)治理管控平臺融合完善數(shù)據(jù)資產(chǎn)目錄

基于前期數(shù)據(jù)治理工作開展，國信證券已經(jīng)建設了數(shù)據(jù)治理管控平臺管理了元數(shù) 據(jù)、數(shù)據(jù)標準、數(shù)據(jù)質(zhì)量等數(shù)據(jù)管理模塊，數(shù)據(jù)安全運營平臺則具備數(shù)據(jù)分類分級、 敏感數(shù)據(jù)識別、數(shù)據(jù)資產(chǎn)風險評估等功能。本項目通過將數(shù)據(jù)治理的元數(shù)據(jù)模塊和數(shù) 據(jù)安全的分類分級模塊打通，可以構建更為完整的數(shù)據(jù)資產(chǎn)目錄，同時對每個系統(tǒng)庫 級、表級、字段級的做到全量和增量的掃描、監(jiān)控和告警，在企業(yè)內(nèi)構建數(shù)據(jù)安全治 理生態(tài)。