

邮储银行数据安全治理体系建设与实践

数智安全行动计划

2023-07-06

导读：《数据安全法》《个人信息保护法》《金融数据安全数据安全分级指南》《金融数据安全数据生命周期安全规范》等一

《数据安全法》《个人信息保护法》《金融数据安全数据安全分级指南》《金融数据安全数据生命周期安全规范》等一系列法律法规及监管规范相继施行，对数据安全管理提出了更明确、更具体的要求。中国邮政储蓄银行（以下简称“邮储银行”）作为国有大型商业银行，积极落实国家大数据安全战略，以数据为关键要素，合理分配数据保护资源，建立完善的数据安全生命周期防护机制，提升邮储银行数据安全管理水平。

邮储银行作为一家拥有超6.5亿个人客户的大型银行，海量的客户、业务数据是得天独厚的优势，构建全面的数据安全管理能力，有效运用先进技术开展数据应用，是发挥数据价值、提高经营管理精细化水平的关键。邮储银行积极落实相关要求，将数据安全管理现状进行全面对标，提出数据安全管理总体框架，从组织架构、制度支撑、文化氛围、基础管理、全生命周期管理等方面发力，全力保障数据安全可用。

邮储银行数据安全建设实践

（1）建立数据安全管理组织架构

邮储银行在全行建立数据安全“三道防线”，明确相关部门具体职责，构建严密的数据安全管理体系。在岗位设置方面，邮储银行发布数据安全管理团队建设方案，确定数据安全专兼职岗位设置标准以及专业队伍建设要求，明确数据安全专兼职人员职责，共同推进全行数据安全各项工作扎实落地，为全行数据安全管理提供人才保障。

（2）完善数据安全制度支撑

为规范数据安全管理，邮储银行修订《中国邮政储蓄银行数据安全管理办法》，进一步明确全行数据安全职责分工、安全要求和工作流程等，为数据安全管理提供制度指导。同时，邮储银行对标《数据安全法》《个人信息保护法》等国家法律法规以及《征信业务管理办法》《金融数据安全数据安全分级指南》《金融数据安全数据生命周期安全规范》等行业政策及标准，结合行内数据安全制度建设需求，从数据安全战略、生命周期管理、基础安全管理三个方面初步建立了数据安全制度体系，对数据安全从宏观指导到微观规范，全面覆盖、层层落实，为助推邮储银行一体化数据安全管理奠定了基础。

（3）营造数据安全文化氛围

邮储银行通过多层级多频率开展数据安全培训，充分营造“数据安全人人有责”的文化氛围，促进广大员工将数据安全意识内化于心、外化于行。例如，面向全行员工组织开展数据安全法规政策解读培训，培训内容包括国内外数据安全法规标准解读以及从业人员相关要求；面向总行及各分行科技部门、系统建设部门及数据安全相关人员开展数据安全分类分级方法培训，数据安全技术培训等内容。

（4）夯实数据安全基础管理

数据安全分类分级是数据安全管理的基础性、关键性工作。邮储银行结合全行数据安全要求，统筹推进全行数据安全分类分级工作，优先在重要系统落地数据安全分级管控措施，不断提升数据安全精细化管理能力。

在加大新技术研究，增强数据安全技防能力方面，邮储银行加强加密管理，针对不同安全级别的数据采取不同的加密策略；加强终端管控，降低数据使用环节数据泄露风险；完善个人信息保护应急响应机制，最大限度保障个人客户信息安全；加强联邦学习、隐私计算等新技术研究应用，搭建多方安全计算平台。

（5）细化生命周期安全管理

邮储银行从事前防控、事中评估、事后监督三方面提升数据安全管控能力，保障金融数据安全应用。

事前防控方面，邮储银行将数据安全要求纳入业务需求及技术方案，持续加强需求分析、系统设计、系统开发、系统测试、投产上线等各阶段的数据安全管控；明确数据采集、传输、存储、使用、备份、灾备与销毁等生命周期各环节要求并推动落实。
事中评估方面，邮储银行构建了全行数据安全评估框架，全面评估、专项评估双管齐下，不断提升全行数据安全管理能力。
事后监督方面，邮储银行面向总行及各一级分行开展数据安全检查及审计，推动问题整改，形成管理闭环。

邮储银行数据安全建设亮点

邮储银行以找短板、补差距、提质效为出发点，完善数据安全管理，取得显著成效：

（1）提高数据安全机制运行效率

邮储银行初步构建了组织架构健全、职责边界清晰的数据安全管理职责体系和规范化的运行机制；不断完善顶层设计，加强自上向下协调推进力度，通过总行信息科技风险管理委员会，审议数据安全管理相关事项；通过完善数据安全制度体系，数据安全管理各项工作实现了权责清晰、有章可循、有规可依。

（2）明确数据安全相关工作责任

邮储银行通过建立数据安全队伍体系，实现了清晰的数据安全管理责任划分，明确数据安全专兼职岗位设置标准以及专业队伍建设要求，设置数据安全管理岗和数据安全专员，并明确数据安全专兼职人员职责，共同推进全行数据安全各项工作扎实落地。

（3）加快数据分类分级落实进度

邮储银行通过夯实数据安全基础管理体系，制定《中国邮政储蓄银行数据安全分级规范》，明确分类分级的方法和要求，指导全行开展数据分类分级保护工作。同时，邮储银行会同各标准权威部门，编制并发布《中国邮政储蓄银行主数据标准数据安全分类分级清单》，为后续各相关单位在开展本领域、本条线数据安全分类分级工作提供有益参考。为加快推进数据安全分类分级工作，邮储银行特成立数据安全分类分级联合工作小组，成员包括数据安全管理部门、系统建设部门以及相关业务部门。邮储银行推动全行按照涉及核心类业务系统、重要数据应用系统，以及客户基本信息、客户身份鉴别信息等安全级别较高的数据等原则，确定相关试点系统，开展数据安全分类分级工作。2023年，邮储银行将根据试点经验，由点到面向全行推广，推进重点系统数据安全分级及管控落地。

（4）提高数据生命周期管理质效

目前，邮储银行已将数据安全要求纳入业务需求及技术方案等编写模板，从源头进行安全管控。按照全行信息化建设管理规定，邮储银行将数据安全管理要求嵌入系统建设生命周期各环节，严格落实数据安全管控措施。