IBM-分条析理，安全有道：分类分级成为企业数据安全差异化管理的先驱者-2021.2-10页_1mb

数据分类分级在证券期货行业的安全管理实践总结

核心内容

数据分类分级是证券期货行业数据安全管理的重要基础性工作，不仅是满足监管合规要求的关键手段，更是实现数据安全共享与价值发挥的前提。随着数据泄露事件频发，监管要求日益严格，金融机构需建立系统化的数据分类分级体系，以应对数据安全挑战。

主要观点

1. 数据分类分级的重要性

   • 数据分类分级既是合规要求，也是企业数据安全防护的起点。
   • 它有助于实现对敏感数据的差异化管理和保护，从而在确保安全的前提下促进数据的合规共享。

2. 数据分类分级的挑战

   • 缺乏整体解决方案，导致企业难以系统开展分类分级工作。
   • 缺少专业人才，难以准确识别和管理数据的安全属性。
   • 审批流程缺乏依据，容易流于形式，无法有效保护数据。

3. 监管背景与合规要求

   • 《网络安全法》和《个人信息保护法（草案）》等法律法规对数据分类分级提出了明确要求。
   • 证监会发布的《证券期货业数据分类分级指引》为行业提供了详细的分类分级标准与方法。

4. 数据分类分级的实施路径

   • 从整体规划、清单建设、物理映射到技术工具应用，形成闭环管理。
   • 强调逻辑梳理、权威保障、物理映射与技术工具的结合。

关键信息

数据分类分级的三大维度

• 业务空间：交易、资本中介、融资中介、投资研究、自营投资、OTC市场等。
• 管理空间：人力、合规、风控、财务等内部管理数据。
• 服务空间：与外部投资者、融资机构等交互产生的数据。

数据特点

• 体量大：尤其是交易所和结算公司，汇聚多家机构数据。
• 敏感程度高：涉及投资者的基本信息、账户信息、财务信息等。
• 重要程度高：包括交易数据、风控数据、经营管理数据等。

数据分类分级的四个抓手

1. 权威保障

   • 引用行业标准与法规，确保分类分级工作的正确性与合规性。

2. 逻辑梳理

   • 构建分类框架、定级规则和数据项清单，明确数据分类与级别。

3. 物理映射

   • 将逻辑层面的数据项与业务系统字段进行关联，实现落地。

4. 技术工具

   • 采用AI等技术手段提升效率，降低人工成本，支持数据分类分级的持续管理。

数据审批流程优化

• 引入数据分类分级后，审批流程应基于数据级别进行差异化设计。
• 对包含高级别数据的申请，应设置更严格的审批机制，如加密、脱敏、权限控制等。

数据定级规则

• 数据安全级别通常分为四级，以保密性为主要定级依据。
• 数据级别可根据使用场景（如脱敏、公开披露）进行动态调整。

实施案例：海通证券

• 海通证券与IBM合作，构建了2大类5层级的分类框架，4层级的定级规则，近1200项的分类分级清单。
• 采用逻辑数据模型作为参考，确保分类结构的稳定性与实用性。
• 通过AI技术快速识别和定位客户重要信息，提升效率与准确性。

总结

数据分类分级是数据安全管理体系的起点，通过系统规划、清单建设、物理映射与技术工具的结合，能够有效提升数据管理的规范性与安全性。在监管日益严格的背景下，金融机构需重视数据分类分级工作，建立完善的组织保障、制度流程与系统支持，以实现数据的合规使用与价值释放。

行动计划

1. 整体规划

• 审视现状，明确管理目标。
• 分析差距，制定详细工作计划。

2. 清单建设

• 构建数据分类分级逻辑清单。
• 完成物理映射，将逻辑数据项与系统字段关联。

3. 采取保护措施

• 对高级别数据实施加密、脱敏、权限控制等措施。
• 根据数据特征制定差异化保护策略。

4. 系统支持

• 部署数据安全监控平台、脱敏工具、审计系统等。
• 实现数据分类分级信息的统一管理与维护。

参考资料

1. IBM发布《2020年数据泄露成本报告》
2. 证券公司客户信息被泄露
3. 中华人民共和国网络安全法
4. 个人信息保护法草案首次亮相
5. 证券期货业数据分类分级指引

合作建议

• 选择具备专业能力与行业经验的合作伙伴，如IBM，以高效推进数据分类分级工作。
• 通过专业团队和先进工具，帮助企业实现数据分类分级的系统化与智能化。