近日，中国人民银行发布《金融业数据能力建设指引》（JR/0218-2021）（下称“指引”），旨在为金融机构开展金融数据能力建设提供指导。指引主要覆盖数据战略、数据治理、数据架构、数据范围、数据保护、数据质量、数据应用以及数据生存周期管理等八个方面的能力域，及二十八个具体能力项来引导整体数据能力建设的目标和思路。

本文主要聚焦能力域中的数据保护问题，以数据保护策略、数据保护管理和数据保护审计三个具体能力项进行梳理。笔者结合《信息安全技术 数据安全能力成熟度模型》（GB/T 37988-2019），从组织建设、制度流程、技术工具以及人员能力四个维度，归纳数据保护的具体工作措施。

一、金融业数据保护策略

金融业数据保护策略是数据保护的核心内容，要求企业在制定的过程中结合企业本身的管理需求，同时结合金融行业不同分支部门的监管要求以及相关制度规范等统一制定相关金融行业数据保护的策略，如银行、证券、债券等分支部门数据保护的策略。

值得注意的是，《指引》在具体的工作措施中强调了“釆用或提供云服务时制定相应的数据保护策略”。提醒金融从业者及金融云的服务商注意，在云计算模式下更为复杂的安全风险，尤其是当金融数据纳入云计算后，采取更有针对性的安全保护手段则更加迫切和必要。

云计算安全及应用等相关标准包括，《云计算技术金融应用规范--技术架构》（JR/T 0166—2020）、《云计算技术金融应用规范--安全技术要求》（JR/T 0167—2020）、《云计算技术金融应用规范--容灾》（JR/T 0168—2020）、《信息技术 云计算 云服务采购指南》（GB/T 37734-2019）、《信息技术 云计算 云服务运营通用要求》（GB/T 36326-2018）、《信息技术 云计算 云存储系统服务接口功能》（GB/T 37732-2019）、《云计算服务安全评估办法》、《信息安全技术 云计算服务安全指南》（GB/T 31167-2014）和《信息安全技术 云计算服务安全能力要求》等。

根据《信息技术 云计算 云服务交付要求》（GB/T 37741-2019）的指引，云服务使用者可主动或委托第三机构对云服务提供者的交付能力进行认定和做出评价。

二、金融业数据保护管理

数据保护管理将会采取数据保护等级划分、数据访问权限控制、用户身份认证和访问行为监控、数据安全风险防护、数据隐私保护等管理工作的手段，根据金融业不同行业的特性及监管要求，对不同的金融行业的数据保护量身定制数据保护管理制度。

金融行业的企业需要根据自身企业制定的保护策略提供数据收集、传输、存储、使用、删除、销毁等全生命周期的保护。根据《信息安全技术 数据安全能力成熟度模型》（GB/T 37988-2019））的规定，在上述所提及的6个生命周期内，进一步细分，划分出30个过程域，分为生存周期安全过程和通用安全过程，其中生存周期安全的部分过程域贯穿于整个数据生命周期。在对数据授权管理时参考下图对数据生命周期细分进行管理。

引自《信息安全技术 数据安全能力成熟度模型》

三、金融业数据保护审计

金融数据保护审计是一项控制活动，由金融企业内部或外部专项审计人员负责定期分析、验证、讨论、改进数据保护管理相关的策略、规范和活动。它是企业数据合规的重要组成部分，尤其对金融业数据合规管理是必不可少的，对推动数据保护规范和数据保护策略的优化具有重要的意义。

《指引》在数据保护审计，也特别提及了云服务场景下的审计要求，即应当对云服务提供者和云服务使用者在远程管理时执行的特权命令进行审计。

云服务提供者的审计要求，可按照《信息安全技术 云计算服务安全能力要求》（GBT31168-2014）的第11条中审计的规定具体执行，覆盖审计的各个流程，包括策略与规程，审计的审查、分析、报告，审计的记录与留存。

而对于云服务客户，则需要采购“可审计性”的云服务。参照《信息技术 云计算 云服务采购指南》（GB/T 37734-2019），云服务客户需要确定云服务使用过程中的审计要求和策略，包括有计费、安全、运维等审计要求，具体审计内容要涵盖服务及相关资源的用法、环境、可用性和性能相关的数据和证明的可用性等。

总之，金融企业是国家命脉、国之重器，金融业数据保护能力的建设是重中之重，直接关乎国家安全。2020年7月3日，全国人大常委会发布的《数据安全法（草案）》将数据活动和数据治理提升至专项立法的高度，对包括金融业在内的重要数据的合法及合规奠定了重要的法律基础。而近日发布的《金融业数据能力建设指引》更是在前期立法、国家及行业标准、最佳实践等基础上，为金融企业提供了具体的方向，有助于金融业不断提升数据能力，加强业务竞争力，增强抗风险能力。