一、项目背景

随着金融业信息化深度渗透，各大中小银行在产品创新、服务优化、营销支持、业务运营、风险管控及分析决策等全经营链条中，积累了海量高价值业务数据。这些数据已不仅是业务运转的基础资源，更成为驱动数字化转型、挖掘客户需求、构筑市场竞争壁垒的核心战略资产。然而，此类数据一旦发生丢失、损坏或泄露，不仅可能导致客户金融信息泄露、核心业务系统中断，更将引发巨额经济损失，甚至对金融机构造成法律追责、信用崩塌及品牌声誉重创等不可逆转的负面影响，数据安全已成为金融业稳健经营的生命线。

与此同时，国家数据治理法治化进程持续加速，数据安全规制体系形成“国家法律+监管制度+行业标准”的三层架构：《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》已于2021年正式施行，从国家层面确立数据安全与个人信息保护的基本准则；金融监管部门同步出台专项规章强化实操管控，2024年12月27日国家金融监督管理总局发布《银行保险机构数据安全管理办法》（金规〔2024〕24号）；2025年5月中国人民银行发布《中国人民银行业务领域数据安全管理办法》（央行令〔2025〕第3号）。此外，《JR/T0171—2020个人金融信息保护技术规范》、《JR/T0197—2020金融数据安全数据安全分级指南》、《JR/T0223—2021金融数据安全数据生命周期安全规范》等行业标准，为数据安全、数据分级提供技术支撑。

在此背景下，全面建设我行数据安全体系，推进数据分类分级工作，既是防范数据安全风险、保障客户权益的必然选择，更是响应多层级监管要求、支撑数字化转型可持续发展的关键举措。

二、项目方案

项目以数据安全评估、数据资产盘点为两条线逐步开展工作。

（1）数据安全评估：开展数据安全现状调研，输出数据安全风险评估报告及风险项，统筹全行规划整改；完善我行数据安全组织架构，修订数据安全相关管理制度、优化流程、落实数据安全管控措施，满足监管及我行数据安全管理要求。

（2）数据资产盘点：对全行数据资产进行盘点，形成数据资产目录，并依托工具对数据资产开展分类分级工作；根据数据的不同级别，采取相应的管控保护措施，满足监管对数据“差异化防护”的要求。

二、创新点

（1）以数据安全评估为切入点，体系化检查与重点提升工作相结合。

本次项目从组织架构建设、制度体系建设、人员流程管理、文化宣贯等方面，围绕数据采集、传输、存储、使用、删除、销毁的全生命周期，调研我行数据安全建设现状，全方位对标监管要求，开展体系化检查；按照风险等级，整改难度，对风险项进行梳理排序，规划2025-2027年数据安全能力提升路径，针对重点风险项优先规划整改，确保数据安全提升工作有序开展，有效推进。

（2）系统工具高度智能化，融合四大核心能力：规则驱动、智能分析、机器学习与安知智能体。

本次项目分类分级系统基于内置行业标准，借助多层次的策略钻取能力、多样化的策略配置条件内置了丰富的分类分级标识策略。系统可以根据模板已定义好的规则，或在内置的分类分级模板中，添加数据特征、表名、字段名等规则，设定完全匹配、模糊匹配、正则等自定义规则，智能识别敏感数据并标识，自动完成分类分级。

另外还支持自动定时扫描发现数据源，基于策略的快速分类分级，基于机器学习的模型智能分类分级处理，备注关键字自动匹配，敏感数据识别，一键生成规则策略，“智能分析”协助处理无业务属性字段，相似表一键同步等智能化功能，依靠机器学习预训练模型，智能体技术进行高效分类预测，提供清晰的分类结果释义，增强结果可信度与可理解性，业务导向优化，确保结果贴合实际应用场景。

（3）实现从底层硬件到上层软件的全链路自主可控。

我行系统服务器采用鲲鹏CPU，搭载麒麟V10操作系统，搭配自研中间件与基于MYSQL定制化的数据库，从根源规避第三方组件潜在的安全漏洞风险，有效强化分类分级过程中敏感数据（如个人信息、业务核心数据等）在存储、传输及处理环节的安全性；在保障高安全性的同时，还实现了整体性能提升20%，既能依托精准的敏感数据识别与分类分级能力，满足绿色金融业务的数据合规管控要求，又能以更优的成本与性能支撑业务数据的动态治理，切实为绿色金融业务的安全运营与合规发展提供坚实的技术支撑。

三、项目技术方案

分类分级系统是数据分类分级的核心工具，本项目工具融合数据资产管理、分类分级与数据库风险漏洞管理能力，基于网络嗅探、机器学习及安知智能体技术，支持GoldenDB、openGauss等信创主流国产数据库及Hive、HBASE等大数据组件，可自动发现数据库、识别常规/特殊敏感数据，借内置0197规则库与预训练模型实现智能分类分级（支持自定义规则，自动补齐元数据描述），还能扫描数据库漏洞（含DBMS漏洞、弱口令等，附修复建议）、梳理账户权限等。

在部署上支持旁路物理部署与虚拟化部署，其中旁路物理部署适配高吞吐量、高性能敏感度、高稳定性的业务系统，虚拟化部署可在VMware、KVM等虚拟环境中实现，两种部署方式为系统适配不同业务场景，提高灵活性，保障系统的可用性、兼容性与安全性。

四、项目过程管理

需求分析阶段：2024.06-2024.12

设计立项阶段：2025.1-2024.2

项目启动：2025.2

调研访谈阶段：2025.2-2025.3 评估整改阶段：2025.4-2025.7

资产分级阶段：2025.5-2025.7

五、运营情况

随着第一阶段数据资产的梳理完成，数据分类分级工作将进入运营阶段。分类分级系统上线后，已完成了对新核心、新信贷、ECIF、数仓标准层、报表层等重要系统数据库的扫描，完成数据资产盘点，资产清单共计4650张表，13万个字段。分类分级结果将生成新的调优模型，高度匹配我行数据特性，为新增数据资产盘点和分类分级提供更加准确、高效的支持。系统从开始运行至今，整体运行稳定，无重大风险漏洞事件和重大业务风险，整体性能满足3-5年内的业务发展要求，后续将添加更多系统的数据源，逐步强化分类分级流程。

数据资产的分类分级运营是一项持续且长期的工作。业务的快速变化，数据资产也在不断的产生变化，有新的数据资产产生，也有旧的数据资产清退。为此，我行已设立专人专岗，定期开展数据资产的盘点以及分类分级的优化工作，逐步建立数据资产运营机制，这将进一步推动我行数据安全体系的不断完善。

六、项目成效

1.数据安全能力显著提升

通过本次项目，本行已构建完善的数据安全管理制度体系，操作流程规范化程度显著提高。通过精准识别数据安全风险点，制定并执行有效的控制策略，数据安全风险得到有效控制，数据泄露、篡改等安全事件的发生率将大幅降低。同时，对风险点及整改措施进行跟踪记录，确保整改措施稳步推进，切实增强数据安全防护能力。

2.数据安全意识得到加强

在项目实施过程中，全行各部门均深度参与。从高层领导到各部门的数据安全管理员，都积极投入到调研与访谈工作中。数据安全部门通过组织相关部门对数据安全风险项进行梳理分析；各部门内部讨论，总结整改方案，组织各分支机构进行全面整改。通过这一系列举措，全行上下逐步形成良好的数据安全文化，全行员工的数据安全意识得到了显著提升，为后续工作的顺利开展奠定了坚实基础。

七、经验总结

本次数据安全治理项目成果显著，成功降低了数据泄露、篡改等安全事件风险，增强了数据资产保护能力。项目实施中，全员参与机制、持续沟通推动、基于风险的治理思维及数据资产盘点分类分级等经验值得总结推广。这些经验不仅提升了数据安全能力和员工意识，还为未来类似项目提供了宝贵参考，助力全行业务稳健发展。