▏摘要
为筑牢数据安全保障防线，中国工商银行搭建数据安全技术平台，围绕数据全生命周期，实现智能敏感数据识别、动态控权、统一数据脱敏引擎、数据水印溯源以及数据安全监控审计五大核心能力，为行内数据资产管理类应用、各业务系统提供数据安全标准服务，实现数据安全从局部防护到整体防护、从静态防护到动态防护、从单点防护到协同联防。
▏关键发现
• 工商银行数据安全技术平台以DSMM模型为基础，结合网络安全IPDRR模型，实现安全能力的接口标准化、模型多样化、接入易用化、策略灵活化，建设数据安全策略驱动、全生命周期风险管控的安全防护体系；
• 在安全体系中，敏感数据服务于数据分类分级，而分类分级是整个安全措施落地的基础，因此智能敏感数据识别是数据安全技术平台最重要的能力；
• 数据安全技术平台的重点应用场景是数据中台，通过统一的数据分类分级、敏感数据识别、授权访问控制、共享安全保护、全生命周周期的监控审计等，全面保障应用“入”数、“用”数、“出”数安全，实现数据中台全生命周期的用数安全，达成安全合规释放数据要素的目标。
▏分析师建议
• 在搭建数据安全技术平台前，企业应深入调研业界主流技术，与业界进行充分的学习和沟通，不能“拿来主义”，而是明确应用场景及能力建设目标，选取适合企业自身现状及发展的技术路线；
• 数据安全与信息安全不同，信息安全更多是科技侧归口，而数据安全则是与业务结合紧密，需要依托于业务场景，企业应深入挖掘企业内部用数安全痛点，以实际问题为导向，依托场景安全需求，将数据安全技术与用数场景深度融合，加强数据安全风险的管控能力。
作者：中国工商银行软件开发中心数据安全技术平台团队、沙丘社区分析师团队
01
案例企业
中国工商银行（以下简称“工商银行”）成立于1984年，连续多年获得英国《银行家》杂志全球1000家大银行榜首。
中国工商银行软件开发中心成立于1996年，作为工商银行直属机构，以科技力量推进工商银行“数字工行”建设，持续引领银行同业金融变革。
02
项目背景
十三五时期全面推进大数据发展，对数据的认知逐渐深刻，明确数据是成为我国经济转型和加快经济发展的内在动力，并将数据与劳动、资本、土地、知识、技术、管理等生产要素并行，充分肯定了数据在发展数字经济过程中的关键作用。
步入十四五时期，持续以释放数据要素价值为向导，继续打造数字经济发展新优势。释放数据价值的前提是筑牢数据安全保障防线，党的二十大提出“统筹发展和安全”，2022年底发布的数据二十条也指出“把安全贯穿数据供给、流通、使用全过程，划定监管底线和红线”。
近几年来，国家在立法层面不断完善数据安全的顶层设计，逐渐形成《网络安全法》、《数据安全法》、《个人信息保护法》三法为核心的网络法律体系，为数据时代的网络安全、数据安全、个人信息保护权益提供基础的制度保障。
同时，金融行业也从监管标准等方面加速推动机构数据安全体系落地，中国人民银行会同金融监管部门制定《数据安全分级指南》、《数据生命周期安全规范》、《数据安全评估规范》，形成金融行业数据安全规范的三大标准。数据分类分级是数据安全保护的基础，有了分类分级之后，可以实施全生命周期的保护，落地过程中进行数据安全评估。
此外，近年来数据泄露事件频发、隐私滥用事件趋增，给企业带来不可估量的负面影响，甚至对个人造成人身伤害或财产损失。
应用需求激发市场新动力，金融同业均结合自身实际建立数据安全体系，市面上各家供应商纷纷推出数据安全产品，激发数据安全技术体系化建设的市场动力。
基于上述背景，工商银行高度重视数据安全工作，面向全行数据要素，坚持安全与发展并重，围绕规模化用数、普惠用数、跨机构共享用数等日益旺盛的安全需求，搭建数据安全技术平台，实现智能敏感数据识别、动态控权、统一数据脱敏引擎、数据水印溯源以及数据安全监控审计五大核心能力，为行内数据资产管理类应用、各业务系统提供数据安全标准服务。
数据安全技术平台五大核心能力围绕数据全生命周期展开：
• 智能敏感数据识别：为资产管理类系统提供智能敏感数据精准识别能力，从而降低人为敏感数据打标难度，提升数据安全资产维护质量。
• 动态控权：为各类用数场景提供细粒度的数据访问控制能力，根据人员及数据分类分级结果，提供敏感数据动态脱敏能力。
• 统一数据脱敏引擎：针对不同用数场景，沉淀灵活多样的脱敏算法，为各类静态、动态脱敏场景提供统一的脱敏引擎。
• 数据水印溯源：针对结构化数据文件、各类文档、图片等多媒体提供数据泄露后的溯源能力。
• 全生命周期用数监控审计：提供全生命周期用数监控视图，包括敏感信息访问行为异常监控、风险预警等功能。
03
解决方案
工商银行数据安全技术平台秉承统筹规划、制度先行、统一平台、务实有效的建设原则，分六个步骤建设：
第一，前瞻研究。结合全行业务发展战略和外部合规要求，梳理明确数据安全管理痛点和需求。
第二，高阶规划。开展行业调研，对标业界实践经验和优秀案例，完成高阶规划。
第三，平台建设。项目分批实施，不断迭代完善。
第四，流程定制。将数据安全管控要求纳入研发项目流程管理。
第五，试点验证。结合数据中台用数场景开展平台能力试点验证。
第六，全面推广。依托研发项目流程管控，全面推广数据安全技术能力。
在建设过程中，工商银行采取了五大亮点措施：
第一，深度分析外部合规要求，明确数据安全管理需求；
第二，充分开展行业调研，结合自身业务特点，取长补短；
第三，以快速原型法为指导，推动需求的快速确认和定稿；
第四，项目采用多轮迭代的模式，开展敏捷研发；
第五，建立研发项目流程数据安全管控，为平台能力快速推广应用提供驱动力。
工商银行数据安全技术平台以DSMM模型为基础，结合网络安全IPDRR模型，实现安全能力的接口标准化、模型多样化、接入易用化、策略灵活化，建设数据安全策略驱动、全生命周期风险管控的安全防护体系。
平台具有五大核心能力：数据识别、灵活控权、数据脱敏、数据水印和监控审计。具体来看：
（1）智能敏感数据识别
建立规则引擎灵活化、识别模型智能化的数据识别能力。在安全体系中，敏感数据服务于数据分类分级，而分类分级是整个安全措施落地的基础，因此智能敏感数据识别是平台最重要的能力。
数据识别能力采用自然语言处理技术，结合正则匹配、关键词匹配、文本分类相似度模型等，首先采集各业务系统中的数据，然后依据分类分级策略自动识别出敏感数据和分类分级结果，识别结果可以应用于安全打标、数据控权、数据脱敏、行为审计等场景。
在建立数据识别能力之前，数据识别工作主要由研发人员在录入时进行人工打标，成本非常高且质量难保证，引入智能识别后，可以对实体表进行抽样扫描，自动完成打标，大幅降低打标成本。数据安全法要求企业对所有数据进行分类分级，数据体量庞大，数据识别工具变得尤其重要。
目前，数据识别工具已在全行广泛推广应用，可支撑全行各类型结构化数据的识别工作，积累千余条通用识别规则，节省大量人工成本。
（2）灵活控权
建立授权多样、鉴权精准的数据控权能力。为总分行应用提供面向自然人访问的灵活授权、控权能力，覆盖上万张表，保障工行上万名分析师的用数安全。
过去，工行采用视图技术进行控权，灵活度不高，控权能力有限。灵活控权基于SQL改写技术，提供库、表、字段、行级访问控制能力，外部可以输入授权信息，动态控权根据权限信息实施权限鉴别、SQL语句改写、SQL语句解析等，实现细粒度、精准的控权。
（3）数据脱敏
提供统一、丰富的数据脱敏服务，适配工行用数场景，支持数据脱敏需求，赋能数据资产的对内使用与对外流通。内置大量扰乱、泛化、抑制、有损算法，针对不同场景提供不同的数据脱敏能力，例如扰乱算法适用于需要保留数据特征的场景，泛化和抑制算法对应用性有破坏，更适合于需要脱敏展示的场景。
（4）数据水印
建立水印嵌入、水印溯源的数据水印能力，为内部共享、合作方共享场景提供数据防泄漏基础能力，通过文本隐写、文档隐写、伪列伪行等技术对数据文件进行标记，并在数据文件泄露后，对文件进行水印解析、溯源分析。过去与外部第三方共享数据时主要通过合同，很难对数据泄露行为进行约束，通过数据水印能力，有助于构建安全合规的用数生态。
（5）用数行为监控审计
建立统一的、覆盖全生命周期的监控与审计能力，基于应用标准日志，为应用系统提供敏感数据访问情况、用数行为分析等监控、审计服务。
（6）策略中心
实现不同场景的策略灵活化管控，依托资产、用户、场景三维的“安全策略矩阵”以及“配置”、“管控”两个服务，通过外部安全策略的配置驱动各项防护能力，为应用提供从数据资产识别到鉴权、管控、审计的一站式解决方案。
数据安全技术平台建成后，首期推广的重点场景是数据中台场景，将数据安全能力与工行数据中台场景深度融合，通过统一的数据分类分级、敏感数据识别、授权访问控制、共享安全保护、全生命周周期的监控审计等，全面保障应用“入”数、“用”数、“出”数安全，实现数据中台全生命周期的用数安全，达成安全合规释放数据要素的目标。
后续，工商银行数据安全技术平台将进一步向四个方向提升：
第一，重点提升平台策略引擎灵活性，以快速响应落地监管合规要求。
第二，重点提升用数风险感知能力，在海量用数过程中充分挖掘风险数据，防范应用绕过风险，持续沉淀和丰富数据风险挖掘模型。
第三，重点服务安全治理流程，以技术创新（如AI与数据安全能力的融合应用）实现管理的降本增效。
第四，最大程度降低应用接入门槛，进一步提升平台易用性，为规模化应用提供夯实基础。
04
价值与效果
通过建设企业级数据安全技术平台，工商银行破解局部防控、静态防护、单点防护等数据安全难题，实现数据安全“整体防控、动态防护、协同联防”，支撑全行海量数据安全使用。具体来看：
第一，从局部防护到整体防护。过去各应用负责自己数据的使用安全，通过企业级数据安全技术平台，实现安全能力接口标准化、模型多样化、接入易用化、策略灵活化，提供可规模化应用的统一数据安全技防体系。
第二，从静态防护到动态防护。过去的数据安全主要是面向数据载体的静态数据防护，强调数据要素价值释放的前提是数据必须流动起来，数据流动过程中就需要实时动态防护，通过企业级数据安全技术平台，以数据为中心，覆盖数据流动过程中数据生命周期各环节的安全。
第三，从单点防护到协同联防。过去各项安全能力独立对外提供服务，例如单独调取灵活控权、脱敏组件等，通过企业级数据安全技术平台，可以由安全策略驱动各项能力，起到协同的作用。
数据安全技术平台为工商银行带来如下价值：
第一，成效显著。工商银行数据安全技术平台支撑全行数据安全战略，有效落实企业级制度规范管理要求，实现数据安全管理能力质效双增，数据安全管理成本下降70%、数据安全管理成效提升30%、数据安全管理效率提升50%。
第二，应用广泛。工商银行数据安全技术平台目前有数万名使用用户、覆盖上万+家机构、应用场景丰富，包括分类分级、分析师用数、邮件外发、页面水印、云上控权等。
第三，平台强大。工商银行数据安全技术平台覆盖全业务数据资产，功能体系完备，并且通过DCMM最高等级认证，具备较强的技术领先性。
05
经验借鉴
在数据安全技术平台建设过程中，工商银行总结如下实践经验：
第一，明确应用场景及能力建设目标，深入调研业界主流技术，与业界进行充分的沟通和学习交流，不能“拿来主义”，而是选取适合企业自身现状及发展的技术路线。
第二，深入挖掘企业内部用数安全痛点，数据安全与信息安全不同，信息安全更多是科技侧归口，而数据安全与业务结合紧密，需要依托于业务场景，企业应以实际问题为导向，依托场景安全需求，将数据安全技术与用数场景深度融合，加强数据安全风险的管控能力。
第三，形成标准化数据安全能力，适配各类数据安全保护需求与场景，降低企业数据安全技术能力落地的整体建设成本。
上一篇
