【交易技术前沿】基金行业数据安全保障体系建设探析 / 宋晓刚 朱林 杨志明
上交所技术服务 3天前
本文选自《交易技术前沿》总第三十三期文章（2018年12月）
宋晓刚 朱林 杨志明 / 银华基金管理股份有限公司信息技术部 邮箱：zhul@yhfund.com.cn
摘要：云计算、人工智能、移动互联为基金行业带来了颠覆性的影响，支撑这些新技术应用的离不开数据的采集和深入利用，围绕数据全生命周期的利用和价值挖掘变成了一个重要的话题，目前大多数基金公司的业务系统每天产生大量的应用数据，其中高价值和敏感数据占据很大比例，这种利用数据开展业务的工作模式已经越来越普遍，但是一个不容忽视的问题越来越重要：数据安全。因此为了提高数据在产生到销毁过程中的安全性，本文结合当前基金行业的业务和数据特点，就如何保障数据安全性展开分析。
关键字：基金行业数据特点 数据分类分级 技术保障 组织保障 制度保障
一、 行业数据安全概述
根据证监会官方网站发布的信息，《证券期货业数据分类分级指引》《证券期货业机构内部企业服务总线实施规范》《期货市场客户开户数据接口》《证券发行人行为信息内容格式》等四项金融行业标准已在9月29日发布实施。
目前我国证券期货行业相关数据种类多、数量大，证监会会管单位、证券基金经营机构等各类市场主体沉淀了大量数据信息。各机构因业务发展需要，对数据应用的各类需求也不断衍生和扩展，数据产生、应用、流转、存储等各个环节不断发生变化。在此背景下，证券期货业数据安全，也成为信息安全领域的一个突出问题。
近年来国内外一系列信息安全事件表明，如果基金行业的安全防护措施没做到位，一旦发生重大事故，将给企业造成无法估量的影响，直接威胁到企业生存和发展，造成无可挽回的经济损失，甚至影响整个基金行业的发展和社会稳定。从安全角度看，近年来基金企业内的数据安全已逐步放到首要位置，包括数据的使用范围、流转、复制和篡改等。证监会关于证券基金经营机构信息技术管理办法中明确提出“证券基金经营机构应当完善网络隔离、用户认证、访问控制、数据加密、数据备份、数据销毁、日志记录、病毒防范和非法入侵检测等安全保障措施，保护经营数据和客户信息安全，防范信息泄露与损毁。”
二、 基金行业数据分类分级建议
基金行业业务种类繁多，数据呈现出复杂性高，多样性强的特点。采用规范的数据分类、分级方法，有助于基金公司厘清数据资产、确定数据重要性或敏感度，并针对性地采取适当、合理的管理措施和安全防护措施，形成一套科学、规范的数据资产管理与保护机制。
图1 行业数据分类分级依据
数据分类是数据保护工作中的一个关键部分，是建立统一、准确、完善的数据架构的基础，是实现集中化、专业化、标准化数据管理的基础。基金公司按照统一的数据分类方法，依据自身业务特点对产生、采集、加工、使用或管理的数据进行分类，可以全面清晰地厘清数据资产，对数据资产实现规范化管理，并有利于数据的维护和扩充。数据分类为数据分级管理奠定基础。
基金行业数据按照分类标准，分类范围包括但不限于：
（1）交易管理类：基金投资成交信息、基金投资委托信息、基金投资组合信息、投资者交易信息、交易业务参数信息、交易日志信息；
（2）结算管理类：估值清算、资金划转信息、银行账务信息、结算业务参数信息、结算日志信息；行情资讯类：行情数据、资讯信息；
（3）投资者管理类：投资者基本信息、投资者开户/账户信息、投资者衍生信息、投资者合约信息；
（4）交易条线：产品信息、合约信息、其他产品信息；
（5）监管条线：监管信息、合规类信息、风控类信息、稽核类审计信息；
（6）信息披露条线：披露信息（包含已公开及未公开）、研究报告（包括已公开及未公开）；
（7）其他条线：客户关系信息、客户服务信息、客户经营分析、渠道信息、市场营销推广信息、服务机构信息、服务人员信息、统计信息、规划类数据、质量管理类数据、开发类数据、测试类数据、安全管理数据、运行数据、人力数据、财务数据、办公数据、经营数据、合同信息、供应商数据、项目管理数据、战略规划数据、新产品研发、制度章程；
数据分级是以数据分类为基础，采用规范、明确的方法区分数据的重要性和敏感度差异，并确定数据级别。数据分级有助于基金公司根据数据不同级别，确定数据在其生命周期的各个环节应采取的数据安全防护策略和管控措施，进而提高机构的数据管理和安全防护水平，确保数据的完整性、保密性和可用性。
为了保证数据安全，根据数据资产敏感度建议基金公司将数据划分为4个等级：
（1）1级：数据敏感度极低或无，数据可被公开或可被公终获知、使用。
（2）2级：数据敏感度低，数据用于一般业务使用，一般针对受限对象公开，一般指内部管理且不宜广泛公开的数据。
（3）3级：数据敏感度中等，数据用于重要业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。
（4）4级：数据敏感度高，数据用于关键业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。
图2 基金公司数据分级思路
数据分级对应业务条线数据说明举例：
三、 数据安全保障手段
（一） 数据安全能力框架
基于《信息安全技术 数据安全能力成熟度模型》标准能力成熟度等级3级要求，数据安全能力建设可参考以下实施框架：
图3 数据安全能力框架愿景
整体来看，数据安全能力建设是以法律法规监管要求和业务发展需要为输入，结合数据安全在组织建设、制度流程和技术工具的执行要求，匹配相应人员的具体能力，组织的数据安全能力建设结果最终以数据生命周期各个过程域来综合体现。下面对合规和业务需求及三个保障维度的框架设计进行概要说明：
合规和业务需求：数据安全最终是为基金公司的业务发展服务的，不能游离于业务之外或独立存在。在满足法律法规要求的前提下，数据安全能力建设须切合业务发展需要来开展。
组织建设：指数据安全组织的架构建立、职责分配和沟通协作。组织可分为决策层、管理层和执行层等三层结构。
制度流程：指数据安全具体管理制度体系的建设和执行，包括数据安全方针和总纲、数据安全管理规范、数据安全操作指南和作业指导，以及相关模板和表单等。
技术工具：指与制度流程相配套并保证有效执行的技术和工具，可以是独立的系统平台、工具、功能或算法技术等。需要综合所有安全域进行整体规划和实现，且要和组织的业务系统和信息系统等进行衔接。包括适用于所有安全域的通用技术工具，和部分阶段或安全域试用的技术工具。
（二） 组织保障
数据安全能力建设是一个复合型、需多方联动型的工作，在开展组织架构建设时，需要考虑组织层面实体的管理团队及执行团队，同时也要考虑虚拟的联动小组，其中业务部门、研发部门、HR、IT、法务等部门均需要参与数据安全建设当中。成立数据安全组织其目的是明确数据安全的政策、落实和监督等工作，以确保数据安全能力建设的有效执行。
同时，需要数据安全管理层制定与各部门之间的数据安全工作机制，目的是为了保障数据安全工作顺利开展，过程中的争议得到解决，如数据安全安全团队与业务方、法务以及合作伙伴之间的日常工作交流、争议与问题解决等事项。
（三） 技术保障
数据生命周期中所有安全域涉及到的技术工具，可以是独立的系统平台、工具、功能或算法技术等，在规划设计时不用单独针对某个安全域，需要整体考虑。尤其涉及到通用的技术工具，需要整合，且和组织的业务系统和信息系统等进行衔接。
1、 数据脱敏管理平台
数据脱敏(Data Masking),又称数据漂白、数据去隐私化或数据变形。指对某些敏感信息通过脱敏规则进行数据的变形，实现敏感隐私数据的可靠保护。在涉及客户安全数据或者一些商业性敏感数据的情况下，在不违反系统规则条件下，对真实数据进行改造并提供测试使用，如身份证号、手机号、卡号、客户号等个人信息都需要进行数据脱敏。
按照数据使用场景，将数据脱敏分为静态数据脱敏(Static data masking-SDM )与动态数据脱敏(Dynamic data masking-DDM )。
2、 数据库审计系统
数据库安全审计系统主要用于监视并记录对数据库服务器的各类操作行为，通过对网络数据的分析，实时地、智能地解析对数据库服务器的各种操作，并记入审计数据库中以便日后进行查询、分析、过滤，实现对目标数据库系统的用户操作的监控和审计。
3、 统一身份认证及权限管理平台
身份认证，就是判断一个用户是否为合法用户的处理过程。最常用的简单身份认证方式是系统通过核对用户输入的用户名和口令，看其是否与系统中存储的该用户的用户名和口令一致，来判断用户身份是否正确。复杂一些的身份认证方式采用一些较复杂的加密算法与协议，需要用户出示更多的信息(如私钥)来证明自己的身份，如动态口令身份认证、数字证书身份认证等。
权限管理主要功能有:成员站点对用户的权限控制、用户对成员站点的权限控制、成员站点对成员站点的权限控制。用户向某成员站点申请分配权限时，需向该成员站点提供他的某些信息，这些信息就是用户提供给成员站点的权限，而成员站点通过统一身份认证系统身份认证后就可以查询用户信息，并给该用户分配权限，获得权限的用户通过统一身份认证系统身份认证后就可以以某种身份访问该成员站点。
4、 数据防泄漏系统
数据泄密（泄露）防护（DLP），又称为“数据丢失防护”。数据防泄漏系统是以统一策略为基础，采用深层内容分析、对静态数据、动态数据及使用中的数据进行即时的识别、监控、保护的相关技术。
目前，数据泄漏的途径可归类为三种：在使用状态下的泄密、在存储状态下的泄密和在传输状态下的泄密。一般企业可通过安装防火墙、杀毒软件等方法来阻挡外部的入侵，但是事实上97%的信息泄密事件源于企业内部，所以就以上三种泄密途径分析，信息外泄的根源在于：
1、使用泄漏；1）操作失误导致技术数据泄漏或损坏；2）通过打印、剪切、复制、粘贴、另存为、重命名等操作泄漏数据。
2、存储泄漏：1） 数据中心、服务器、数据库的数据被随意下载、共享泄漏；2）离职人员通过U盘、CD/DVD、移动硬盘随意拷走机密资料；3）移动笔记本被盗、丢失或维修造成数据泄漏。
3、传输泄漏：1）通过email、QQ、MSN等轻易传输机密资料；2）通过网络监听、拦截等方式篡改、伪造传输数据。
5、 数据共享传输平台
建立数据共享安全管理平台，或者与在统一的用户认证平台、权限管理平台，流程审批平台，监控审计平台中支持数据共享的安全控制功能，并结合数据脱敏等数据保护技术保护敏感数据。数据共享安全工具对于共享资源的数据目录或者数据资产进行安全管理，确保共享数据的规范性和安全性。
6、 数据备份系统
数据备份是指为了防止由于操作失误、系统故障等人为因素或意外原因导致数据丢失，而将整个系统的数据或者一部分关键数据通过一定的方法从主计算机系统的存储设备中复制到其它存储设备的过程。当主计算机系统的数据由于某种原因丢失或不可用时，可以利用复制的数据进行恢复，从而保持数据的完整与业务的正常进行。因此，可以说，数据备份主要解决的是数据的可用性问题。
7、 数据加密系统
数据加密的基本过程就是对原来为明文的文件或数据按某种算法进行处理，使其成为不可读的一段代码，通常称为“密文”，使其只能在输入相应的密钥之后才能显示出本来内容，通过这样的途径来达到保护数据不被非法人窃取、阅读的目的。该过程的逆过程为解密，即将该编码信息转化为其原来数据的过程。
文档加密是数据加密中的一种主流技术，采用透明加解密技术，对数据进行强制加密，不改变用户原有的使用习惯；此技术对数据自身加密，不管是脱离操作系统，还是非法脱离安全环境，用户数据自身都是安全的，对环境的依赖性比较小。市面上的文档加密主要的技术分为磁盘加密、应用层加密、驱动级加密等几种技术。
（四） 制度保障
制度流程需要从组织层面整体考虑和设计，并形成体系框架。制度体系需要分层，层与层之间，同一层不同模块之间需要有关联逻辑，在内容上不能重复或矛盾。一般按照分为四级：
图4 数据安全制度体系设计层级
一级文件：方针和总纲是面向组织层面数据安全管理的顶层方针、策略、基本原则和总的管理要求，包括数据安全管理的目标、愿景和方针，数据资产定义、基本原则、违规处理等；
二级文件：数据安全管理制度和办法，是指数据安全通用和各生命周期阶段中某个安全域或多个安全域的规章制度要求，包括数据资产管理、质量管理、安全合规等；
三级文件：数据安全各生命周期及具体某个安全域的操作流程、规范，及相应的作业指导书或指南，配套模板文件等。
四级文件：指执行数据安全管理制度产生的相应计划、表格、报告、各种运行/检查记录、日志文件等。
四、 总结
随着金融行业全面迈入大数据时代，更多的基金公司已经享受到了大数据技术带来的红利。数据是金融行业的命脉，但基金公司面临内部及外部的数据安全风险也将极大的制约对于数据价值的发挥，随着数据量飞速增长，数据管理系统日益复杂，基金公司必将主动引入数据安全管理体系，提升数据安全能力水平，强化数据安全保护意识，完善数据安全管理制度，为数据价值发挥最大化保驾护航；通过本文对数据安全保障体系的分析和建议可以为基金行业提供参考。
五、 参考文献
《网络安全等级保护基本要求》送审版
《证券基金经营机构信息技术管理办法》
《证券期货业信息系统审计规范》第6部分：基金管理公司
《证券期货业数据安全标准规划》
《证券期货业数据分类分级指引》
《数据安全能力建设实施指南》
免责声明
本公众号内容仅供参考。对任何因直接或间接使用本公众号内容而造成的损失，包括但不限于因有关内容不准确、不完整而导致的损失，本公众号不承担任何法律责任。如有问题请反馈至tech_support@sse.com.cn。
上海证券交易所为证券公司、基金管理公司等市场参与者及相关行业机构提供交易技术支持与服务，包括日常交易技术支持、技术交流研讨、市场调查反馈、证券信息技术知识库、测试等服务。
点击"阅读全文"了解详情
阅读原文
