选自公众号：安全村SecUN

原文链接：问题导向，实战指引，守护金融数据安全｜大湾区金融安全专刊·安全村

（一）偷偷转运数据到“外宅”直接泄密

金融机构在经营过程中，常涉及将数据传输到外部的情况。此类数据传输不少是短促行为，易发生业务部门“八仙过海”，将数据私搬至“外宅”的情况，带来安全风险。因此，加强内部管理、做好外部监控，控好“外宅”，是金融机构控制数据外传过程中泄漏风险的重要手段，具体包括：

1.常态化内部管理，杜绝业务私设“外宅”

（1）落实数据外传报备：金融机构应建立对外数据交换管理规范及报备机制，涉敏数据的外传都须事前报备。

（2）签署数据安全协议：为加强约束管理，控好“外宅”，对于涉敏数据传输，金融机构应要求对方签署数据安全协议，为数据接收方戴上“紧箍咒”。

（3）强化数据外传事后监督：金融机构还应定期开展数据外传专项检视，严查私设“外宅”搬运数据。

2.动态化外部监测，防范数据偷偷“搬家”

一是建设互联网资产监测与管理平台，建立外部合作互联网资产台账，并与采购环节关联，收集互联网资产涉及的合作供应商信息，挖出“偷搬”线索。

二是在邮件网关、终端、互联网等关键出口设置监控平台，配置监控规则，就未授权的敏感数据传输行为进行监控、告警及处置，反向推动数据受控外传。

（二）业务合作好兄弟，可能泄密

金融机构在业务实施过程中，不可避免与外部厂商进行业务合作。由于服务商安全能力高低不平，部分业务合作的好兄弟，很有可能成为泄漏我方数据的“猪队友”，对于此类情况，管控思路如下：

1.以自有系统为方向，主动防御，减少高敏数据外传

数据外传到合作方不可避免会增加数据安全风险。因此应提前识别业务合作关键内容及所涉数据的类型及安全等级，精准了解业务合作过程的高敏数据。对于存在高敏数据的业务合作，应以建设、使用自有系统为优先推进方向，可将涉及到的数据在系统中统一收口，控制合作方人员使用企业自有系统进行数据处理，避免数据离开内部环境。同时，将数据安全能力嵌入到自有系统作业流程中，如使用明水印增加威慑，使用暗水印用于追踪数据泄漏事件，对敏感信息掩码处理，对下载行为监测审计等。

2.以接口管理为抓手，精准保护，管好合作方数据交互

建设对外数据交换申报管理及评审平台，依托此平台与接口管理平台对接，实现数据交互类接口上线前的卡点，并通过卡点阶段对接口的风险评估，达成管理接口数据交互风险的目的。此外，还应利用平台实时监控接口网络流量，以发现异常数据访问、失活无效数据接口；通过提前预设规则，识别及记录非法操作、异常攻击；对数据接口访问进行监控，自动识别字段级别数据传输，并依托敏感数据管理系统对敏感数据使用、流转、解密情况进行分析，提高数据接口服务的安全性。

3.以真查实抓为方法，联防联控，督促合作方能力提升

金融机构与服务商的业务合作通常长达1-3年甚至更多的时间，在这样的时间跨度下不论是外部环境还是内部情况都足以发生较大变化。因此，在合作期间应该设置周期性信息安全检查的机制，并通过警示、罚款等措施督促合作方进行整改，提升其能力。

（三）勤奋工作的好员工，可能泄密？

随着技术的成熟以及“随时”、“随地”、“随性”远程办公“内卷”文化的兴起，勤奋工作的好员工越来越不满足只在职场工作，而希望能在任何时间、任何地点、任何情况接入系统、访问数据、处理工作。但这种突破数据保护边界的远程办公模式，在便利的同时，也给敏感数据保护带来新的挑战。

1.限权限、限设备，让“勤奋”落到点子上

一是限员工帐号权限，提前划分员工角色、系统类别、数据类别及数据安全级别，动态维护数据清单-系统清单-角色清单间的权限匹配关系，依据最小化原则控制不同角色的操作权限和数据权限，定期清理权限，使得员工除工作所需外，不该看的数据看不到。

二是限远程访问系统范围，预先建立评审机制，对远程访问需求进行安全评审，以“先评审、后开放”为原则，从技术安全、数据安全等维度对远程访问方案、系统安全性、数据敏感性进行评审，只有符合安全要求的系统、数据才允许远程访问。

三是限数据暴露面权限，通过云桌面、受控APP程序等方式远程访问数据，限制远程下载；通过应用控制，禁止应用下载功能；通过前端展示控制，屏蔽展示的敏感信息。让数据“看的到，摸不着”、“用得到，拿不着”。

四是是强制要求所有VPN访问使用双因素认证方式，对于办公终端的远程访问要求配置远程访问证书，仅允许受信任的人员登录远程访问系统。

五是采取零信任技术，在员工家庭电脑安装客户端，并基于可信用户、可信设备和可信应用的可信身份三要素验证，仅允许受信任设备远程访问，非白名单设备无法入网。

2.盯操作、盯访问，让可疑事件无所遁形

为监控员工可疑的操作、访问，及时发现、拦阻数据安全事件，金融机构应在多层面部署监控、分析、拦截系统。

在终端层面部署DLP客户端,实时监控敏感信息终端操作行为；在网络边界部署网络DLP，对敏感信息上传行为进行监测阻断；在邮件系统部署邮件DLP，所有外发邮件内容及附件经敏感信息识别和阻断；在数据中心边界，部署文件摆渡平台，监控出数据中心文件；针对文件打印进行敏感信息检测，打印敏感信息需安全审批；对存在敏感信息展示和下载的应用系统进行日志埋点，记录访问和下载行为。

此外，为将有限的资源优先关注“真正有风险的员工”，应结合员工“动机”、“意愿”及“信息泄露的可能性”建立UEBA 终端用户行为分析智能平台，通过机器学习模型、员工画像、系统画像等分析手段，基于不同业务场景，实现对员工风险行为的识别、预警，并输出可疑的风险事件进行查追踪。

平安银行数据防泄漏场景及实践

网络安全AI说

平安银行数据防泄漏场景及实践