银行业数据安全白皮书（全文）

　　金融科技作为现代金融运行不可或缺的组成部分，关系到国家安全、社会稳定、经济发展各个层面。银行业信息化建设已经走在各个行业前列，而作为国家发展的重点基础保障服务之一，银行业也无时无刻不在面临网络安全问题，其中数据作为银行业服务核心资源面临的问题尤为突出，数据威胁事件时有发生，造成的社会影响也非常负面。

　　为加强银行业网络安全防护水平，提升银行业数据安全保障能力，中国产业互联网发展联盟携手腾讯安全、启明星辰、天融信、北信源、飞天诚信等机构对于银行业数据安全状况进行研究，并撰写本次《银行业数据安全白皮书》。本次《白皮书》以银行业安全发展环境、数据安全现状、存在的问题以及未来趋势为主线，配合主要网络安全公司解决方案进行论述，力求尽量全面的介绍银行业数据安全防护体系，为银行业数据安全建设提供决策支持。

　　银行业数据安全发展状况

　　(一) 线上数据业务规模稳步增长，提升银行业网络安全需求提升

　　随着互联网的普及以及银行信息化建设的稳步推进,中国银行业用户规模以及交易规模持续增长。用户方面，截至2020年3月，我国网络支付用户规模达7. 68亿，较2018年底增长1. 68亿，占网民整体的85. 0%，其中，手机网络支付用户规模达7.65亿，较2018年底增长1.82亿，占手机网民的85. 3%;与此同时， 网上交易数量持续提升。2019 年，我国银行业金融机构网上银行交易笔数达1637. 84亿笔，同比增长7. 42%，交易金额达1657. 75万亿元;手机银行交易笔数达1214. 51亿笔,交易金额达335. 63万亿元,同比增长38. 88%; 全行业离柜率高达89.77%。庞大的用户群体以及交易规模对于网络安全需求明显提升。

　　(二) 银行性质及服务规模差异,个性化网络安全服务要求加大

　　我国银行总数量在3800余家，按照职能及所有权结构可以划分为六类，具体包含政策性银行、国有商业银行、股份制银行、城市商业银行、农村商业银行以及外资银行。从威胁角度分析，受到服务主体规模、网络覆盖规模的影响，国有商业银行以及股份制银行面临的外部网络风险较为严重;政策性银行安全风险相对较低，但网络攻击与僵尸网络事件依然存在。总体而言，银行类型的多样以及遭受安全事件等多方面影响，导致针对银行业的网络安全服务也有所差异，其中商业银行、股份制银行由于服务规模较大，安全需求更为明显，本次研究内容也将以该类银行为主体进行数据安全分析。

　　(三)银行业网络安全体系完善，数据安全体系建设相对滞后

　　银行业的信息化水平处于领先地位，安全能力水平表现为参差不齐。大型商业银行的网络安全体系较为完善，但数据安全体系的建立相对滞后，总体缺乏数据安全治理措施，重管控、轻管理现象比较普遍。而对于中小型银行而言，数据安全体系多数为缺失状态。究其原因，主要有两个方面:在安全建设方面，大多数还在参考等级保护制度进行建设;而在数据安全层面，也仅是以数据安全管控工具为主要手段，缺乏与数据安全配套的组织架构、管理体系、制度、治理评估等方面的建设内容。

　　(四)银行业网络安全事件频发， 攻击类型及手段覆盖多个层面

　　银行业作为金融行业的基础保障，网络安全较其他行业一直处于领先位置，但依然无法杜绝网络安全事件发生，甚至呈现愈演愈烈的趋势。2018年-2019年，科技金融领域针对客户资料及企业重要业务数据的安全事件比例高达44%"。其中客户资料泄露与企业敏感信息泄露各占一半。与此同时, DDoS攻击与病毒、木马等传统网络攻击形势依然严峻，银行遭受比例分别为21%和20%。从总体情况分析，数据安全与客户隐私成为未来网络安全保障的重中之重。

　　(五)数据成为银行业生产要素，数据安全成为银行安全保障核心

　　在当前银行业务应用中，信息资产特别是个人信息更有着显著的财产和资源属性，在个人隐私、财产利益、信息安全、经济发展等诸多方面都产生了深刻的影响。银行业金融机构的业务数据，是银行最本质、最核心、最关键的生产要素，银行业金融机构的数据安全，除保密、完整、可靠、可用之外，也关系到金融行业的资金安全以及大数据时代来临对数据的增值分析、利用而带来的衍生价值。银行业机构涉及众多业务敏感数据，面临着严峻的数据安全风险。近年来由于数据库漏洞、内部员工非法出售用户资料等原因引起的数据泄露事件频发，数据安全领域规范化和标准化方面的滞后性越发突出。未来的银行业网络安全建设必然将围绕以数据安全为中心的架构实施。