2019.12 /
83
银行业上中下游数据安全治理
文│ 上讯信息ADM 产品线研发总监  李玉亮
2018年5月21日，中国银行保险监督管理委员会正式印发了《银行业金融机构数据治理指引》，指导银行业金融机构加强数据治理，保护数据安全，提升经营管理能力。
银行中的数据按场景可以分为上游数据、中游数据和下游数据。上游数据是指银行的生产数据，存在于银银行为什么用db2数据库
行的生产业务系统数据库，是其他场景中使用的数据的源头。中游数据指上游数据在拷贝到下游之前处于临时处理状态中的数据。典型的中游数据是进行敏感信息处理即数据脱敏中的数据。下游数据指开发测试和数据分析等场景中使用的数据，一般是原始的生产数据或者经过脱敏的生产数据。
银行中的数据随着使用需求在不同的场景中进行流动，所以银行业进行数据安全治理既需要根据不同的场景进行静止的分析，也需要根据数据的流动方向进行动态的分析。
银行业上游数据安全治理需要解决的主要问题是上游生产数据库的访问权限管理。根据《银行业金融机构数据治理指引》中“明确数据访问与拷贝等权限，监控数据访问与拷贝等行为”的规定，以及等保2.0中对于访问控制的新要求，银行业数据访问控制需要建立一套基于属性的数据动态访问控制系统。
基于属性的数据动态访问控制系统需要实现如下两点。数据访问权限的集中配置管理：银行业金融机构需要建立一套集中的数据访问权限控制系统，通过权限访问控制系统实现数据库访问权限的集中配置和管理，实现数据访问的细粒度授权。数据访问过程的实时事中控制：银行业通过检测数据库的访问SQL 语句实现高危操作的检测和敏感字段的访问检测，对于危险的操作进行实时的告警和阻断，从而实现数据运维过程的安全保护。
银行业中游数据安全治理主要涉及从上游提供数
据到下游使用环境的过程中对于数据准备、数据识别、数据脱敏和数据推送的安全治理。银行业金融机构主要的下游供数场景是从生产环境往测试环境交付测试数据。
目前银行业使用的测试数据交付流程包括如下几步：生产数据准备、敏感数据识别、敏感数据脱敏、测试数据推送。由于当前银行业的中游数据处理流程存在较多的人工介入和安全隐患，银行的运维部门和安全部门需要合作建立一套自动化的集中中游数据处理流程，通过制定的数据处理策略进行自动化的生产数据准备、敏感数据扫描、敏感数据脱敏和测试数据
推送，提高中游数据准备的效率和安全性，实现数据的留痕处理。
银行业的下游数据安全治理最大的场景是开发测试环境下的测试数据的管理。由于银行对于软件产品质量的要求和系统运行的稳定性要求比较高，所以会存在多个不同的测试环境，包括功能测试、SIT 测试、UAT 测试和准生产测试等。每一个测试环境都需要使用生产的数据进行模拟生产环境，这样的话原本生产
环境中的一份数据就会在测试环境中创建出多个，甚至十几个数据副本，每一个副本都是独立存在的数据孤岛，无法进行统一管理。
虽然大多数的测试数据都是使用的脱敏之后的生产数据，但是目前脱敏的主要是个体信息，也就是从任
何一份脱敏的数据中无法识别出个人隐私信息，所以生产数据中包含的银行的经营信息依然存在，而这些信息对银行来说依然非常重要，需要进行严格的保护。
为了解决测试数据副本使用过程中存在的问题，银行业可以基于数据库虚拟化技术构建一套集中的测试数据副本交付和管理平台，实现测试数据副本的集中按需创建、实时使用监控和到期自动回收，从而保证测试环境下数据副本的安全和高效使用。