极盾故事|“咨询+产品+运营”：某金融机构数据安全防护体系建设

数据安全建设，不是单纯的产品功能的堆砌，也不是一蹴而就的一次性项目。

极盾科技助力某金融机构，以“咨询＋产品＋运营”的方式，构建了从决策层到技术层，从管理制度到工具支撑，自上而下贯穿整个组织架构的完整链条，打造以“数据和人”为对象构建的数据治理、防护、流转、运营的双闭环体系，帮助机构形成扎实可靠的综合数据安全能力。

需求：数据安全整体防护体系

数据安全建设，绝非仅仅是产品功能的简单堆砌，它更是一种深入细致的战略布局和持续性的完善过程。这不仅仅涉及技术层面的部署，更需要在组织架构、管理流程、人员意识等多个维度上进行全面考量与整合。

数据安全建设也不是一蹴而就的短期项目，而是一项需要长期投入、持续迭代和不断优化的系统工程。它要求机构在不断变化的数字环境中，始终保持敏锐的洞察力和前瞻性，以确保数据资产的安全、完整和可用性。

某金融机构希望，基于数据安全合规要求、用户的业务发展需要和风险承受能力等多重因素，通过平衡业务需求与风险，制定数据安全策略，对数据分级分类，对数据的全生命周期进行管理，从技术到产品、从策略到管理，提供完整的产品与服务支撑，实现业务与安全的深层融合。

该金融机构提出的具体需求包括：

·对现有重要应用系统进行全面的数据安全评估，识别潜在的安全风险；

·建立数据安全的流程和制度，响应监管整改要求；

·建立支撑用户自动化数据安全需求的模型、指标、规则；

·实现实时的数据安全管控能力，包含但不限于：实时的敏感数据识别、数据使用安全策略分析、数据水印、敏感数据动态脱敏、安全预警、安全风险溯源等。

解决：“咨询＋产品＋运营”

针对客户需求，采用了“咨询+产品+运营”的综合服务模式，为该金融机构量身定制了一套数据安全防护体系。

咨询阶段

组建由安全专家和金融行业顾问组成的团队，对客户现有重要应用系统进行现状调研、资产梳理、数据安全风险评估、体系设计、建设规划。

分析识别出数据安全管理的薄弱环节和潜在风险点，并制定相应的风险应对策略，结合行业标准和最佳实践，为客户提供数据安全管理咨询建议和改进方案。

1、数据安全制度建设

根据数据安全管理制度建设方法，结合该金融机构数据安全现状，为该金融机构建设数据安全相关管理制度如下：

2、数据分类分级

参考《JRT 0197-2020金融数据安全 数据安全分级指南》，利用数据分类分级工具，进行4类5级的整体架构搭建，形成数据分级分类字典表，并对数据仓库等系统进行了数据分类分级的落地实践；

同时明细完善数据分类分级原则、数据融合级别确定原则、数据分类分级方法及保护策略等，形成数据分类分级规范。

3、数据安全风险评估与规划

对该金融机构的数据安全管理现状进行调研，分析数据安全管理现状，提炼出数据安全建设的总体目标、主要方向和具体工作思路，提出相应的改进方向与工作建议，制定数据安全管理能力评估模型，规划数据安全体系建设。

主要产出有：《数据安全整体现状分析报告》、《数据安全合规评估报告》（对标DSMM或JR/T 0223）、《数据全生命周期风险评估报告》、《数据安全合规整改方案》、《核心系统及场景数据安全评估报告》。

产品阶段

根据咨询阶段的分析结果，整体项目建设包括数据安全管控平台以及底层数据库静态安全能力两部分。

底层数据库静态安全能力：数据库存储加密、数据静态脱敏、数据分类分级

数据安全管控平台-“极盾·觅踪”：按照四维一体的防御的方式进行分层构建，即：数据收集、资产梳理、安全分析、安全运营四个层面的能力建设，覆盖重要系统数据使用过程实现全面防护。

数据安全管控平台通过引入敏感数据识别、数据使用安全策略分析、数据水印、敏感数据动态脱敏、安全预警、安全风险溯源等相关能力，从事前、事中、事后三个方面进行数据使用安全保护，确保重要系统数据的使用安全。

运营阶段

建立专业的安全运营团队，定期对客户数据安全状况进行风险评估，基于应用系统及场景风险的数据安全运营服务，从应用、账号、接口、权限、敏感数据暴露面等角度进行全面的数据分析，以发现数据安全风险、进行策略优化以及提出管控建议，并阶段性的生成数据安全评估报告（下图为2024年4月的评估报告），持续提升企业数据安全水位，响应并符合监管要求。

通过咨询、产品部署和运营实施相结合的方式，该金融机构成功构建了一个全面的数据安全防护体系。这不仅提升了金融机构的数据安全管理水平，还为机构带来了显著的经济和社会效益。

未来，我们将不断优化和升级数据安全防护体系，构建一个更加强大、灵活和智能的安全屏障，以应对日益复杂和不断演变的数据安全挑战。

— 报告推荐 —