金融数据能力建设，少不了数据安全这块“拼图”

想象一下，当你打开手机软件时，第一反应是什么？对于大多数人来说，应该是同意软件开发商的一切要求，尽可能快速地直接操作，而不是考虑自己究竟怎么做才能不泄露自己的隐私。因为，很多人并没有耐心去查阅一条条《用户协议》和《隐私政策》，于是就把个人隐私数据让位给了便捷的服务体验，被动接受服务商的“霸王条款”。

好在，这样的情况正在发生转变。随着技术与人们的生活和工作交织越来越紧密，从个人、企业到国家层面，数据隐私和数据安全的重要性不仅得到越来越广泛的认同，在相关法律和监管中也有所体现。比如，我国从 2021 年 9 月份开始实施的《数据安全法》，2021 年 11 月 1 号开始实施的《个人信息保护法》，以及今年宣布即将实施的《数据跨境处理办法细则》。这些法律法规以及具体实施细则的密集出台，无疑都在传递这一信号。

而对于金融行业而言，数据安全的重要性更不必说。金融数据往往涉及了大量的个人敏感信息、企业经营资金信息、社会经济活动等重要内容，一旦受到安全攻击，往小了说将影响人们的正常生活，往大了说将关乎企业运营、社会稳定。

因此，在金融数据生命周期建设过程中，数据安全必然是其中的一块重要拼图。脱离了数据安全，只谈数据能力建设，就好像在寻找如何用充满裂纹的瓶子去装更多水的方法，稍有不慎，满盘皆输。

为什么企业的数据泄露成本日益攀升？

那么，数据泄漏的影响究竟有多大呢？根据 IBM 最近发布的《2022 年数据泄露的成本报告》，在全球范围内，数据泄露事件给企业和组织造成的经济损失和影响力度达到了前所未有的水平，单个数据泄露事件给来自全球的受访组织造成平均高达 435 万美元的损失，较去年增加 2.6%，较前年增加 12.7%。研究还发现，金融是仅次于医疗受到攻击第二大的行业。

“但是这并不意味着金融行业的数据不比医疗行业值钱，金融行业数据一旦泄露，成本非常高。所谓魔高一尺、道高一丈，金融行业其实是众多行业中最重视数据安全的行业，保护措施也是最到位的。”IBM 中国科技事业部网络安全业务总经理冯靓在日前接受 InfoQ 等媒体采访时表示。

那么，具体来说，究竟有什么因素会导致企业数据容易泄露呢？冯靓总结了三点：安全系统的复杂性、云迁徙、合规的失败。

“安全系统的复杂性使得整个数据泄漏成本比较高，安全系统很多时候是孤立的，当威胁绕过了防火墙，与其他系统的信息就不再连贯了。比如说，当你出了某个地区以后，可能就是一个全新的人了，其他地方并不知道你这个人到底安不安全。其实我们的内部系统也是如此，孤岛效应比较明显，这时候就需要有一个开放和集成的平台，把这些复杂性全部管理起来。”冯靓在谈到第一个因素时说道。

换句话说，当威胁出现时，即使安全系统可以立即识别出来，但是由于系统的孤立性，不能够及时与其他系统传递消息，也无法形成联动，反而会让威胁大张旗鼓地进入到不同的系统中，蔓延开来。因此，拥有一个开放和集成的安全系统管理平台是非常必要的，这样一个平台可以帮助企业做到从系统到数据，及时、全面地把控威胁。

“第二个因素是云迁徙。云环境的复杂性，以及大家对于云环境默认它是安全的心态，现在也导致了数据泄漏成本开始变高。IBM《2022 年数据泄露的成本报告》显示，现在有 45%的数据泄漏是发生在云环境里面的，这说明云环境的安全性还没有做到像传统封闭式 IT 系统那样可靠。”冯靓表示。

进一步来看，在云原生时代，API 成为服务交付的必然手段，很多云服务提供商只是强调企业迁徙到云上有多么必要，上云可以为企业带来多少的好处，然而他们对 API 和接口或许会存在的潜在风险只字不提。

API 之所以具有很大的风险，是因为一方面它是云上内部数据与外界的唯一关联；另一方面它所承载的数据量以及数据的敏感性，随着数据总量的增加而与日俱增。因此，无论是从攻击未知上还是从价值量级上考虑，API 理所当然地成为了攻击者爬取企业数据的头号目标。

因此，云环境的复杂性加上 API 接口的风险性，让云迁徙的数据泄露成本增加。

冯靓介绍到，“第三个因素是合规的失败，这也会导致数据泄漏成本居高不下。合规有两方面，第一方面是符合国家的规范，第二方面是要完全遵守企业的安全流程。”

为什么会没有满足国家的规范？典型情况是发生在外部数据的引用时。如果外部数据没有按监管规则进行合法引用，而是在未确认数据来源的情况下，就通过第三方机构获取数据，这样极易将第三方合作机构的数据风险转接至金融机构内部，从而带来巨大的数据安全隐患。

另一方面，如果企业没有完全遵守金融机构的安全流程，比如在数据处理过程中，没有按照脱敏规则对个人信息、商业机密等进行加密、变形，那么，很大程度上就无法实现对隐私数据的保护，用户在使用数据的过程中不经意便会泄露重要的信息。

对于这些问题，究竟怎样才能缓解和降低这些数据泄露的成本呢？

冯靓引用报告中的数据与发现，提出第一点是使用人工智能的安全平台，这是对降低整个数据泄漏成本最有效的手段。第二点是采用 DevSecops，也可以大大降低数据泄漏成本。第三点是一定要建立一个 Incident Response（事件响应）团队，也就是说一定要有事后响应与防范的系统，并且不断地去演练。这样能够大大降低出事之后修补的成本。

报告数据显示，部署了专注于安全的 AI 和自动化的组织，其数据泄露平均成本要低 305 万美元。也就是说，科技的力量加上事前的准备，能够有效降低数据泄露的成本。

如何从“被动防御”转向“主动防御”？

所谓“事前的准备”，意味着企业必须从过去的“被动防御”转变为“主动防御”。而“零信任策略”是目前比较流行的一种“主动防御”策略，相比防火墙等传统的被动防御办法，“零信任”的核心理念在于默认任何用户和进程都不应该被信任，并据此验证每一位用户、设备、应用程序。

但是，《2022 年数据泄露的成本报告》显示，45%的数据泄漏发生于云环境，并且来自于关键性基础设施组织。其中，将近 80% 的基础设施组织的受访者表示，他们并没有采用零信任策略。“这些关键性基础设施‘过度信任’网络环境，往往会造成非常大的安全风险面，因为威胁者可以通过攻击这些关键性基础设施组织，来破坏与之相依存的全球供应链，而这些关键性基础设组织施涉及金融服务、工业、运输和医疗卫生等领域。”

为什么没有采取零信任策略，会带来如此大的风险？

冯靓举了个例子：“打个比方，三年前去机场的时候，无需验证乘客体温、疫苗接种情况和核酸 72 小时的有效期，假定进来的这个人是没有威胁的，这是基于信任的准入机制。但是今天外部的环境改变了，有了传染性极强的新冠病毒，那么现在要进入一个密集的公共区域，我们采取的安全策略就是每个人都必须证明自己是没有威胁的、没有被传染的。零信任安全策略就是类似的逻辑，因为如今的网络安全环境已经改变，威胁无处不在、无孔不入、如影随形，所以在整个 IT 环境里面，我们必须采取零信任的策略。”

简言之，企业应该时刻保持警惕，不要怀着侥幸的心态认为，系统之前没有遭受到攻击，便意味着以后也不会。因为，黑客的攻击行为是以商业价值为导向，只要企业的数据存在商业价值，就可能成为他们的攻击对象。

对此，冯靓提出了企业应该采取正确的策略加以应对，并且总结了零信任策略的四大原则：严控特权访问、从不信任、永远验证、假设有漏洞。

“我们一直和客户讲特权访问应该放在最小的范围里，只有在非常有必要的情况下，才会下放这样的查阅权限。”在她看来，在非必要的情况下，应该尽可能的减少使用数据的权限。这样可以从源头上降低数据泄露的可能性。

现实中，无论是最近频发的安全事件也好，还是各种各样的合规要求也罢，其实很多企业的安全团队是从原来信任自己的系统，到现在慢慢变成不那么信任，但是，这距离零信任还是有一些差距需要去弥补的。

对此，冯靓建议要想实现零信任策略，这四点是必须要做的：

第一，要专注于检测。一定要假设攻击已经发生了，然后不断地去修补系统里面的漏洞；

第二，要去做主动的威胁狩猎。威胁狩猎和威胁检测是有区别的，狩猎是要主动出击，不是说等到攻击打到村口了，再去反击。而是要作为一个猎手，主动出击，把攻击消灭在防线之外；

第三，要注意MFA多因子认证技术。最简单的就是通过多种手段来确认，比如说在用户输入密码以后可能还要再加一个指纹识别，或者在电脑端输入密码之后，要加一个手机 APP 端的确认、或者是短信的验证；

第四，要采用人工智能以及自动化技术，当企业的安全人员不足时，尤其是安全服务人员，他们很难做到 24 小时不间断地、保持同样的服务质量去检测安全事件的情况，这时候一定要利用人工智能与自动化的工具去完善安全系统。

除了零信任策略以外，她还强调，想要确保数据安全，整个过程并不是一蹴而就的。

她举了一个关于农牧型企业的例子：“这家农牧型企业的现代化程度其实已经非常高了，大型农场的很多工作是基于物联网的技术进行控制，几乎见不到工作人员了。然而此时需要采用数据业务中台、智慧农场等新的技术去高效规划企业，其中就会存在非常多的安全威胁。当时，从这家企业的领导人到整个业务团队、IT 团队都达成了共识，确定了他们企业安全战略的核心就是不断地去增强主动安全防御的能力。在这个过程中，技术支撑也要跟上，我们具体帮他们搭建了把 IT 域和 OT 域集成起来的 QRadar 智能分析平台，从而落实谋定而后动、规划先行的安全策略。”

冯靓认为，从企业安全管理流程考虑，需要进行事件模拟、对手模拟和事件响应系统演练，这些都是应对攻击的前提策略；从技术架构方式考虑，需要采取开放集成式的架构来降低系统复杂度。

“其实我们很多安全措施都是比较零散的，或者烟囱式的系统，中间只要有一点没有被顾及到就可能会出现很大的纰漏。因此，开放集成式的架构方法，一方面，可以打破系统孤岛，有助于企业云上所有零散的安全信息；另一方面，集成平台也可以更好地同步管理安全策略。”冯靓说道。

所以，企业想要确保数据安全、要实现零信任策略，不仅仅是一句口号，而是应该在策略上，流程上、技术上全面规划并且践行。

如何从制度文化到技术流程贯彻数据安全思想？

事实上，数据安全不仅仅是一个技术问题，“零信任策略”实际上是对意识和流程的改变。虽然不同行业有着它们特定的思维方式，但是毫无疑问，数据必然是所有网络攻击最终的目标。那么金融机构如何不断提升自己的数据安全能力呢？

以银行为例，数据已经被视为一种资产，在业务运营过程中发挥着越来越重要的作用。而冯靓认为，如果企业把数据当作资产，就一定要搞清楚资产的状况。“但是在现实中，即便是银行这样的头部金融机构，对于数据资产的安全防护仍然是有待改善的。我们曾经和银行交流，询问他们最重要的数据资产在哪里、有几个备份、此时此刻有多少个用户可以接触到这些资产？我们发现，很多人都回答不了这些问题。”

冯靓强调，确保数据安全不仅仅是 IT 人员的工作，而是需要从企业领导人到一线员工的通力协作。把零信任策略严格从意识到制度与文化，再到技术与流程规范上切实落实。

这一理念在建设银行的数据治理方面得到了充分的验证。和大多数金融机构类似，银行几乎所有的员工都会接触到数据，无论是通过系统查询数据，还是处理数据。因此，建设银行主要通过数据安全文化、数据合规文化、数据风险的奖惩机制这三种体系，将数据安全融入到组织保障中。

具体来看，每当员工遇到了数据安全问题，确切的说是处于数据风险的关键时刻时，究竟他们是及时规避掉了数据风险？还是事不关己的任由数据风险持续扩大？这些都是可以通过激励与惩罚机制进行调控。做得好的有奖励，做得差的有惩戒，由此便可以激发员工的主观能动性与自律责任心。对于建设银行来说，这三套体系也可以看做是数据安全的三道基础防线，是必须要在银行组织文化层面落实践行的。

通常而言，所有的银行员工，无论是数据的生产者、使用者还是管理者都会接触到数据。而数据安全问题，尤其是数据泄露，可能出现在数据流通中的任意一个环节。比如内部工作人员利用便捷的数据访问权限偷取数据、买卖数据，这些现象在过去时有发生。

针对这个情况，冯靓认为：“我们做数据安全的第一步，就是要对银行的数据资产做一个摸排梳理，也就是经常说的数据分级分类。就好比，想要给家里上个保险，首先要盘点清楚家里有多少资产，有多少值钱的东西，值钱的东西放在哪里。”此外，她认为银行每一位员工都要以正确的身份、用正确的方式、正确地访问数据并且正确地使用数据，这四个正确也是数据安全流程必不可少的要素。

而建设银行在实际的数据管理流程里面，就梳理了银行的资产，确定好了数据安全的分级、分类。除此之外，建设银行还很清晰的定义出谁能看到什么数据，以及他们应该承担的责任和义务，这也就是冯靓说的严控特权访问。换句话说，当一个人想要使用数据时，他的权利和责任一定是并存的。