國信證券數據安全治理體系建設背景及思路是什么？

下面我來簡單介紹一下國信證券數據安全治理體系建設背景及思路。

1. 國信證券數據安全治理體系建設背景

（1）數據資產價值凸顯，數據安全風險日益嚴峻

隨著數據成為數字經濟發展的核心生產要素，各種新興技術如云計算、人工智能、 區塊鏈、聯邦學習快速發展，對數據價值的挖掘成為雙刃劍，個人客戶信息等重要數 據信息化后，既可以得到快速、便捷、有效的利用，也面臨著被非法收集、竊取、泄 露、篡改、破壞等風險。 證券行業作為典型的數據規模巨大、數據價值高、數據應用場景復雜的行業，面 向個人投資者提供著眾多金融產品和服務，對數據安全治理有著天然的訴求。然而， 在開展數據安全和個人信息保護政策的落地時，往往面臨著一系列問題和挑戰，例如 多法并軌下數據安全實施細則尚不完善、越來越多的個人客戶信息泄露來源于內部人 員、海量數據導致資產梳理和分類分級難度大、數據的職責權屬尚不明確、缺乏長期 有效的運營機制來持續保障等。

（2）數據安全相關法律法規相繼發布實施，監管要求日益嚴格

我國于 2021 年先后發布了《數據安全法》、《個人信息保護法》，從國家層面 確立了數據安全和個人信息保護的原則、責任和義務。為了數據安全法、個人信息保 護法的配套落地，一些上級機關和地方政府單位，也先后發布了相關制度，例如中央 網信辦也起草或者發布了《網絡數據安全管理條例》、《數據出境安全評估辦法》， 深圳市政府發布了《深圳經濟特區數據條例》，中國證券監督管理委員會也于 2022 年 11 月發布了《證券期貨業數據安全管理與保護指引》。可以預見，在短期的未來， 各級單位和各行各業也將不斷地完善各級法律法規和政策制度，推動統一公平、競爭 有序、成熟完備的數據經濟市場發展。證券行業屬于強監管行業，數據安全與合規是 業務經營、內控管理的底線。

為落實數據安全保護和個人信息保護義務，保證數據在業務中的合規性使用及流 轉，提升數據價值以及滿足監管要求，國信證券開展了數據安全治理項目，以個人客 戶數據為切入點，建設數據安全治理體系，對數據資產開展分類分級管理、風險評估 以及落地整改。

2. 國信證券數據安全治理體系建設思路

（1）以個人客戶數據為抓手開展數據安全治理工作

數據安全治理是一個持續性的工作，需要分階段從管理、技術和運營三個方面， 建立有效的數據安全治理體系，推動企業內外部數據的合規使用、有序開放和共享。

國信證券本期項目以交易類重要系統的個人客戶數據為中心，開展數據資產盤 點、數據確權、數據分類分級、數據安全風險評估、數據安全培訓宣貫等工作，制定 數據全生命周期安全管控制度和流程，并建設數據安全運營平臺實現數據安全管理工 作的常態化運行，構建公司數據安全管理體系。待平臺逐步推廣后，可基于分類分級 結果實施數據全生命周期安全防護，完善數據安全技術體系和運營體系。

（2）結合國家、行業監管要求構建數據安全管理體系

在數據安全治理的管理層面，國信證券深入結合國家、行業監管和企業自身發展 的訴求，制定公司數據安全戰略、成立數據安全組織、發布數據安全管理制度。

數據安全戰略指明了企業數據安全工作的愿景、目標、規劃、和工作框架，是開 展數據安全工作的綱領。數據安全戰略要求保障公司內各類數據資產全生命周期的安 全，避免遭到泄露或者非法篡改破壞，保障數據的機密性、完整性和可用性，踐行企 業社會責任，保障客戶、企業和員工的利益。

基于自上而下、統籌管控的治理思路，國信證券在前期數據治理工作中已經成立 了決策層—管理層—執行層三層數據治理組織架構，本次通過完善數據治理組織職責 來明確數據安全治理組織。決策層由公司數據安全最高負責人、各業務、職能部門和 信息化分管領導擔任，負責對公司數據安全數據安全戰略、范圍、重大事項進行決策。 管理層由數據安全管理團隊組成，負責數據安全治理體系的規劃、建設、持續運營、 推廣和培訓。執行層由各個業務、職能和 IT 部門的成員組成，執行層是數據安全各 項制度、策略和流程規范的主要執行者，也多是數據的提供方和消費方。他們最能發 現數據安全管理的漏洞和潛在風險，也直接關系著數據安全治理體系是否能有效落地 和持續保障。

基于數據安全戰略和組織架構，數據安全管理制度也分為三級，分別是數據安全 總則、管理辦法和各項細則。數據安全管理總則與數據安全戰略相契合， 是通過決策層審定的數據安全工作的指導文件。數據安全管理辦法明確了數據安全的 組織與人員、數據確權、各生命周期的保護策略、應急響應、監控預警、審計評估、 培訓宣導等制度。數據安全各項細則屬于流程規范性文件，偏向流程落地和操作指引， 包括數據分類分級模板、敏感數據申請流程、數據安全事件響應工單等流程模板和表 單文件。

（3）建設數據安全運營平臺支撐數據安全管控流程落地

國信證券建設了數據安全運營平臺，通過平臺的自動發現、數據 錄入等方式對公司內數據庫資產進行管理，構建起個人客戶數據資產梳理、自動分類 分級、安全策略管理、數據確權、持續風險分析到響應處置的動態、閉環管控體系。

平臺主要提供數據資產采集、數據分類分級以及后續運營管理功能支撐。同時也 能提供安全可視化界面，如數據資產視圖、敏感數據地圖、分類分級報告和安全評估 報告。并且在公司內部與 IDM/SSO/ 數據管控平臺對接，共同構建數據安全治理生態。

在數據安全治理運營層面，主要基于數據安全管理框架和各種技術平臺落實數據 安全各項管控措施，持續開展數據資產梳理、安全風險監測、應急事件響應、培訓宣 貫四方面的工作。

首先，在數據資產梳理方面，主要是借助數據安全運營平臺的數據分類分級、敏 感數據識別功能，基于前期調研梳理制定的數據分類分級策略，對數據庫表、字段、 數據文件進行自動掃描，記錄和統計敏感數據、重要數據的分布、流向，打上分類分 級標簽，并對數據項的歸屬部門、責任人等信息進行權責歸屬登記。

在安全風險監測方面，通過數據流量監測、數據庫賬號監測等手段，持續監測數 據流轉和使用風險，針對異常事件進行告警和記錄，方便事前、事中和事后的風險溯 源和處置。

在應急事件響應方面，基于數據安全應急工單和流程，定期開展數據安全應急演練，并對每一個工單形成數據安全應急事件報告，歸檔并作為數據安全知識清單和培 訓材料。

在培訓宣貫方面，通過郵件、企業 OA、線上培訓視頻或者會議、線下培訓等多 種方式，以定期或者不定期的方式展開。培訓內容包括內外部數據安全規章制度、數 據安全管控流程、個人客戶信息保密意識和手段、數據安全事件宣貫等，培訓對象既 可以是各個業務部門的業務和一線人員，也可以是職能內控部門和 IT 人員。數據安 全合規是底線，通過不間斷的培訓宣貫工作，才能在人人心中樹立起安全意識，保護 好企業和客戶的數據。