【案例】金融行业的数据安全风险评估-数据安全治理之数据安全风险评估白皮书

本文基于学习数据安全治理之数据安全风险评估白皮书 2021 的内容进行整理，希望加深自身对数据安全评估体系的认识，也希望对不了解数据安全风险评估的任何人有所帮助，如存在版权问题，请及时联系我进行删除

背景

随着金融行业信息化技术的不断发展，金融服务和业务往来均已运行在信息化基础设施上了。在不同的基础设施生产运行的过程中，业务的扩大发展，会产生多种的数据资产。随着大数据、云计算、区块链等新技术的深入应用，金融数据也逐渐地从信息化资产转变为了金融生产要素。数据泄露、滥用等安全威胁的影响也从金融机构内部逐渐扩大到行业间，甚至影响了国家、社会安全与公众利益。如何在符合金融业务发展的基本需求上，保证数据安全的能力，切实防范金融风险，保障金融数据价值，是所有金融企业面临的重要问题。
由于金融数据的重要性，国家、行业等相关机构与监管部门，提供了一系列可参照的规范标准《金融数据安全数据分类分级指南》、《金融数据安全数据生命周期规范》等；另一方面，相关机构也在探索如何科学有效的指导从业企业，防控数据安全事件风险，通过体系化的方式提供有效保障。

面临的挑战

某股份制商业银行，在满足《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、行业标准规范等法律法规以及上级监管机构对数据安全的要求下，还需要提高整体的数据安全保障能力，建立健全数据处理活动下的数据安全管理制度，采取相应的技术措施和其他必要措施，全面保障数据安全。受困于落实数据安全保障工作困难重重，数据在多个业务多个环节中复杂流转，缺乏一套统一的数据安全治理落地方案指导后续的工作。
某股份制商业银行，前期利用已有实践经验，完成了部分数据安全管理的工作，但在面对大量涉及个人信息数据的合法合规经营与业务开展的问题下，缺乏有效的实践落地指导依据。

数据安全风险评估实施

参照同业实践经验与本白皮书提供的数据安全风险评估方法，针对“商业银行手机客户端App数据收集和数据使用”数据处理活动场景，进行个人信息风险评估工作，评估流程如下：

核心要素分析

数据处理角色：
数据主体：商业银行自然人客户；
数据控制者：商业银行；
数据处理者：商业银行内执行数据处理工作的组织或员工。
数据处理过程：
数据处理环境：商业银行手机客户端业务服务提供过程中需要的环境，包括：App（包括：SDK、API接口等）、移动终端操作系统、网络环境等；提供商业银行手机业务服务的服务端环境。
数据处理方式：在商业银行客户通过手机客户端，使用手机业务服务的过程中，通过终端环境和服务端环境，收集用户的个人信息、业务信息等；
收集到的信息通过网络环境传输至商业银行手机业务服务的服务端环境；
客户通过商业银行手机客户端进行业务查询的过程中，客户相关数据从商业银行服务端环境，通过网络环境传输至客户手机端App内部执行展示。
数据处理操作：
在数据收集环节，App通过让客户同意数据收集授权协议的方式，获取用户相关个人信息、业务信息等数据；
收集到的数据通过加密网络传输回业务服务的服务器端；
在数据使用环节，App提供服务的SDK或API接口等服务组件，向客户提供了数据查询和展示的功能。
处理范围：
数据类型：个人信息、业务信息；
数据量级：依据业务开展的用户数量决定；
数据主体范围：中华人民共和国境内用户信息；成人信息或者未成年人信息。
处理目的和结果
处理目的的实现：商业银行业务部门，通过手机客户端App向商业银行客户提供业务服务，在业务服务的过程中，依据数据收集授权协议，收集用户个人信息、业务信息等数据，并提供相关数据查询和展示功能；
数据流通关系变化：客户数据使用权，从客户变动到了商业银行；
数据状态发生变化：可能存在时间状态（过期存储）、地域状态（跨境）、内容状态（客户数据值等）等发生变化。

数据处理活动合法合规评估

《中华人民共和国个人信息保护法》要求，数据处理活动中，需要明示数据采集目的、采集数据类型、存储位置、获取用户授权等情况；
商业银行客户，需要通过商业银行手机客户端所提供的确认服务，执行确认隐私协议工作，且不允许替用户默认勾选。这个过程中，涉及合规性风险里，违规采集风险；
商业银行，需要记录客户的确认授权采集操作，保存确认记录以备查阅；采集到的客户数据需要境内存储；采集客户数据需遵循最小化原则；提供的隐私告知协议，需要包含：采集目的等相关信息。涉及合规性风险里，采集目的、最小授权、跨境存储、传输保护；
商业银行提供的查询服务，在客户端App内展示的数据，需保证是经过客户授权的数据。这些数据需要保证是通过合法合规的渠道收集。

数据处理活动安全性评估

商业银行手机客户端App数据收集和数据使用场景下的安全性风险评估：

处理方式安全评估
使用权限安全风险：处理方式提权、处理范围提权、使用类型提权等；
数据使用安全风险：服务接口被DDos攻击、数据非授权访问、数据越权访问等；
API数据接口安全风险：接口非授权数据访问、接口非授权数据爬取等。
处理操作安全评估
操作越权安全风险：数据使用未授权、数据使用范围未授权；
操作抵赖安全风险：数据操作行为冒充；
操作滥用安全风险：数据被滥用、数据操作冒充他人等；
操作泄漏安全风险：数据使用过程中恶意留存、恶意篡改数据等。

解决方案：

在商业银行手机客户端App数据收集和数据使用场景下，依据上面评估识别的数据安全风险情况，具体的解决方案分为合法合规解决方案和安全性解决方案。

合法合规解决方案
针对《中华人民共和国个人信息保护法》、行业相关标准规范等要求，在数据收集环节，对数据采集目的、采集类型、存储位置等信息，需要对用户明示，可通过隐私授权协议的方式获得用户的许可，且不可默认替用户勾选。针对客户数据中涉及操作和存储合法性风险，需保证中华人民共和国境内数据存储，数据采集最小化，并保存授权协议、采集记录和相关操作记录，以备后续检查机构核查。针对客户端内展示用户数据，需符合隐私协议和采集协议的要求，保证数据采集渠道的合法性。
安全性解决方案
针对商业银行手机客户端App数据收集和数据使用场景下的安全性风险，主要包括：处理环境、处理方式、处理操作等安全性风险。以上风险需要与已有安全防护措施相结合，需要考虑的数据安全技术手段包括但不限于：
终端需要App加固、反破解反爬虫；
网络传输需要加密；
敏感数据需要本体加密；
数据处理权限需要审计；
数据操作情况需要监测和审计；
数据分类分级；
数据使用鉴权；
数据服务接口鉴权；
数据脱敏/加密后在App展示；
做好自身服务的网络安全防控；
预防服务被攻击不可用的风险；

实践总结

金融行业相关企业面临的数据安全风险并不一致。特别是由于金融行业的特殊性，不管是业务数据还是客户数据，均存在极高的商业价值。近些年屡屡发生数据安全事件问题（如大量客户数据泄露），给相关机构带来了巨大的行业影响和声誉影响。
在具体的评估实践过程中，由于数据管理工作的特殊性，不仅仅是跨部门甚至涉及跨区域部门共同协作。尤其落实数据安全管理工作，更是对责任与业务部门都提出了更高要求。大多数机构内部安全管理，均倾向于通过发现客观实际存在的风险，推动业务相关部门整改需求的方式，并提高整体的数据安全风险防控水位。这也意味着，数据安全风险评估工作需要评估方法与评估工具的融合，通过使用工具发现风险问题客观存在的角度，推动业务整改执行。
本文基于学习数据安全治理之数据安全风险评估白皮书 2021 的内容进行整理，希望加深自身对数据安全评估体系的认识，也希望对不了解数据安全风险评估的任何人有所帮助，如存在版权问题，请及时联系我进行删除