一、项目背景及目标

广东南粤银行随着数字化转型，数据的规模和价值不断提升，数据安全问题日益凸显，个人敏感信息泄露的风险也随之增加。根据《数据安全法》《个人信息保护法》等法律法规及监管部门的要求，银行需建立健全数据管理制度，确保合法、合规、安全地收集、存储、处理用户信息，从而进一步强化个人信息保护，有效避免因滥用个人信息而导致的侵害,保障公民的隐私权。同时，银行作为金融机构，拥有大量的客户个人信息，保障这些信息的安全至关重要。为了应对日益复杂的网络攻击，银行必须采取有效措施确保个人敏感信息的安全。

目前我行已建立由安全责任、安全策略规划、安全工作管理、安全能力建设、安全制度建设、安全落地执行、安全运营管理、安全教育培训多个层面结合的数据安全体系。为在数据安全落地执行、运营管理方面切实加强邮件外发数据安全管理，防止商业秘密及客户信息泄漏和盗用，通过对邮件内容、附件以及发送行为的实时监控，识别潜在的泄漏风险，阻止敏感信息的外泄，从而有效避免因邮件误发送、错误配置等导致的泄漏事件，并在全行范围启用邮件外发审批机制，保护我行数据安全。

同时，为了积极响应国产化的背景，我行已在邮件系统、邮件防护系统完成国产化替换，构建基于信创架构的“融数合智”邮件数据流动风险控制系统。该系统是行内在邮件安全的技术细分再一次实现国产化落地。系统需采用软硬件一体机设计，具备高可靠、可扩展等特性，支持灵活扩容与全生命周期管理。结合银行业监管要求、同业实践及我行IT规划，在降本增效基础上，打造符合《网络安全法》、适配信创体系且可深度防护的“融数合智”邮件数据流动风险控制系统，保障行内邮件系统安全运营。

二、创新点

1.AI能力赋能邮件安全管控

在串联部署邮件DLP并引入AI赋能DLP扫描引擎，依托其毫秒级实时阻断能力（延迟 < 5ms）构建了全链路防护体系。系统串联于邮件传输路径，通过智能语义识别与多模态检测，精准识别客户信息及行内商业敏感信息、金融报表等1000+类敏感数据，变体表述识别准确率提升40%。结合UEBA行为基线建模，实时拦截非工作时段高频外发等异常操作，恶意泄露拦截率达98.3%。

2.数据分类分级管控

系统通过将目标文档实时传输至私有化部署的AI智能体，AI智能体凭借强大能力深度分析文档内容并快速给出分类识别结果。同时，平台的样本分类知识库为AI智能体提供大量专业标注验证的样本知识经验以保障分类准确性。在检索增强生成（RAG：Retrieval-Augmented Generation）管理模块中，对多种格式的数据样本集进行分类管理，通过辅助自动分类功能，结合文件服务器资源与本地上传数据，不断完善知识库。

系统通过接口与数据治理类的平台实时同步分级标签，将静态分类结果转化为动态管控策略——高敏感数据外发自动触发多级审批，普通内部数据则简化流程，实现“一级一策”；另一方面，构建 “识别-管控-审计”全链路机制，作为安全能力因子，为行内数据分类分级落地提供“管控基座”。

3.信创架构

“融数合智”邮件数据流动风险控制系统深度兼容海光、鲲鹏国产芯片、麒麟国产操作系统，以及达梦、北京东方通科技股份有限公司中间件产品（简称：东方通中间件）等国产化中间件，支持国密 SM2 椭圆曲线公钥密码算法（SM2：National Secret Algorithm 2）、SM3 密码杂凑算法（SM3：National Secret Algorithm 3）、SM4 分组密码算法（SM4：National Secret Algorithm 4）加密传输，对接信创邮件系统、信创办公自动化系统，满足金融行业信创替代要求。

三、项目技术方案

1.银行业中普遍存在的痛点难点

（1）日常安全运营风险：内部误操作与恶意行为——员工对外发送的邮件中，可能包含客户敏感信息、公司商业秘密等，缺乏针对邮件内容识别的技术手段，无法做到邮件外发内容识别与数据分类分级使用审批；

（2）外部攻击与恶意邮件渗透：业内存在黑客伪装成客户或合作伙伴发送含恶意链接的邮件，诱导员工点击后窃取账户权限；

（3）传统产品监测能力不足：仅依赖关键字和正则表达式形成规则的传统检测引擎，远远无法满足现在数据安全的要求；

（4）效率与安全的平衡：邮件外发的过程中，无AI、NLP、多模态识别、动态行为分析等新型检测技术，所有邮件依赖人工审批，导致流程繁琐、审批工作量大、业务响应延迟。

2.广东南粤银行解决方案

（一）应对传统规则引擎失效的效果

传统规则引擎依赖关键词匹配和正则表达式，难以识别变体表述、上下文隐含的敏感信息（如“客户编号”替换为“CustID”）或语义模糊的场景（如通过隐喻披露商业机密）。通过引入NLP 智能语义引擎实现深度内容理解：

（1）上下文关联分析：引擎自动解析邮件正文、附件（含 PDF、Excel 等）的上下文逻辑，结合行业知识库（如金融领域的 “保单号”“客户健康档案” 等）识别敏感语义。例如，在某保险公司项目中，系统能通过 “被保险人姓名 + 出生日期 + 理赔金额” 的组合识别隐性客户隐私，而传统规则仅能单独匹配字段；

（2）动态语义模型优化：内置的AI模型持续学习新出现的敏感数据模式（如新型金融产品术语），并通过主动防御闭环机制自动更新检测策略。例如，当系统拦截到某类变体表述的敏感信息时，会将其纳入训练集优化模型，逐步降低漏报率；

（3）对抗式攻击防御：针对 AI 生成的恶意内容（如 WormGPT 构造的伪装邮件），邮件防泄漏系统通过对抗样本训练AI引擎，提升模型鲁棒性，确保即使攻击者通过同义词替换、语序调整等手段绕过传统规则，仍能被语义引擎精准识别。

（二）多模态识别技术

破解非结构化数据防护难题，传统规则引擎对图片、二维码、嵌套压缩文件等非结构化数据检测能力有限。项目引入多模态融合技术实现全场景覆盖：

（1）OCR 图文解析与二维码穿透：对邮件附件中的扫描件、截图进行 OCR 光学字符识别，提取隐藏在图片中的身份证号、银行卡信息等敏感数据。例如，某基金公司通过该技术识别出员工将客户信息截图嵌入 PPT 背景的行为，阻断率提升 300%；

（2）文件指纹与嵌套检测：通过建设广东南粤银行文档指纹库快速比对附件内容，识别与内部敏感文档高度同源的外发文件。例如，通过指纹比对发现员工将信贷评估模型代码压缩加密后外发，传统规则因文件类型变更未能拦截；

（3）支持对 RAR、ZIP 等多层嵌套文件的深度解析：穿透压缩包检测内层文件内容，解决传统 DLP 对嵌套文件漏检的问题；

（4）多格式协议解析：支持简单邮件传输协议（SMTP：Simple Mail Transfer Protocol）、互联网邮件访问协议（IMAP：Internet Message Access Protocol）、邮局协议版本 3（POP3：Post Office Protocol Version 3）等邮件协议的全流量解析，同时兼容Microsoft Exchange 邮件系统（简称：Exchange 邮件系统）、IBM Lotus Notes 邮件系统（简称：Lotus Notes 邮件系统）等主流邮件系统，确保对加密传输（如：传输层安全协议：TLS：Transport Layer Security）和非标准端口通信的有效监控。

（三）动态行为分析

传统规则引擎缺乏对用户行为的全局感知，无法识别 “合法账号恶意操作” 或 “缓慢数据泄漏” 等隐蔽风险。系统通过引入UEBA（用户与实体行为分析）技术实现行为基线建模：

（1）动态风险评分机制：为每个用户建立行为基线，包括历史外发频率、附件类型、收件人分布等维度。可实现高频外发含敏感关键词的邮件时，系统会触发风险评分跃升，并自动阻断外发。结合部门、群组基线进行关联分析，识别异常协同行为。例如，多个员工同时外发同一类敏感数据时，系统会判定为团伙泄密风险，启动二级预警；

（2）异常行为深度溯源：对偏离基线的行为（如非工作时段外发、跨部门敏感数据传输）进行多维验证：

内容验证：通过AI引擎分析邮件内容的敏感等级；

路径验证：检查邮件是否通过非授权渠道（如个人邮箱）转发；

操作验证：回溯用户近期登录登录互联网协议地址（IP：Internet Protocol Address）、设备变更等操作日志、设备变更等操作日志；

（3）策略动态适配：根据用户风险评分自动调整管控策略；

（4）低风险用户：仅需基础内容扫描；

（5）高风险用户：强制触发多级审批，并对后续邮件进行全内容审计；

（6）支持策略热加载：无需重启系统即可实时更新规则。实现发现新型钓鱼模板后，5分钟内完成策略升级，响应速度较传统系统提升80%。

（四）合规闭环管理

传统规则引擎难以满足《数据安全法》《个人信息保护法》等法规对数据全生命周期管控的要求。系统通过合规驱动的技术架构实现合规性与安全性的统一：

（1）分级管控与动态脱敏：依据金融行业数据分类分级标准（如《数据安全分类分级指南》），对邮件数据自动标注密级（公开 / 内部 / 机密），并匹配差异化管控策略：

机密级数据：强制加密传输并全程审计；

内部级数据：触发智能审批流程；

可明文外发数据：对经审批的明文外发数据，系统自动添加智能标签，并在其离开受控环境时二次加密，确保即使数据泄露也无法被非法利用。

（2）全链路审计与证据固化：采用数字水印技术为每封外发邮件添加隐形标识，包含发送者 ID、时间戳等信息，实现泄密路径秒级定位。

（五）“融数合智”邮件数据流动风险控制系统部署架构

串联部署，将邮件 DLP 逻辑串联在邮件服务器和邮件安全网关之间，当企业邮件进入到邮件服务器后，邮件服务器上游邮件传输代理（MTA：Mail Transfer Agent）将邮件转发给邮件DLP，邮件 DLP 根据事先设置好的策略进行内容匹配，最终决定是否放行、审计、审批和阻断等管控。需要放行的邮件，邮件 DLP 再转发给下游邮件安全网关，由邮件安全网关直接发送到银行外部。

“融数合智”邮件数据流动风险控制系统由数据防泄漏综合管理平台、审批模块和邮件DLP网关组成。管理系统负责策略的制定与下发，以及事件的处理与存储。同时审批系统与管理服务器交互事件信息及审批结果，对邮件相关的安全事件进行审批，阻断或放行。

四、运营情况

1.运营情况

“融数合智”邮件数据流动风险控制系统自上线以来，系统运行状态良好，基础设施资源均处于正常工作状态，系统整体运行平稳，邮件处理情况稳定。

2.运行数据

“融数合智”邮件数据流动风险控制系统上线后共接收分析邮件13万+封，安全外发或经审批外发的邮件10万+封，涉敏邮件21000+封，含加密附件邮件400+封，内容违例拦截13334封。有效防御了我行敏感数据通过邮件进行外发导致泄密的通道，提升邮件防泄漏能力，持续维护我行安全稳定的邮件通讯环境。

五、项目成效

（1）风险防控价值：邮件作为银行内外部数据交互的核心通道，承载着客户身份证号、银行卡号、资产状况等海量敏感信息，一旦泄露不仅会引发电信诈骗、账户盗刷等恶性事件，更可能使银行面临监管处罚、客户集体投诉乃至民事诉讼。通过建设“融数合智”邮件数据流动风险控制系统，银行可构建全流程风险防控体系，有效杜绝客户信息泄露事件，避免客户投诉等法律合规风险；

（2）运营效率提升：通过AI语义分析+多模态检测技术，有别于传统规则型安全管控产品，误报率降低减少90%无效审核工作量，策略自动化更新节省60%规则维护成本；

（3）合规成本优化：构建「AI+信创」双轮驱动的邮件安全体系，合规成本较行业基准降低40%，监管检查通过率达100%；信创替代避免国外厂商服务溢价，长期运维成本降低30%-50%；

（4）银行业数据分类分级的落地探索：在数据安全分类分级体系中，“融数合智”邮件数据流动风险控制系统作为场景化落地枢纽，通过“识别-标记-管控-审计”四链合一，将抽象的分类规则转化为可执行的技术动作，成为数据安全管控架构中承上启下的核心能力节点。该系统的审计日志反向滋养分类分级体系：通过分析高频外发的 “客户咨询记录”发现，其中83%实际含L3级联系电话，推动银行修订分类标准，将 “客户联系方式”从L2升级为L3。这种“实战驱动分类”的运营模式，使“融数合智”邮件数据流动风险控制系统不仅是执行工具，更成为数据安全能力进化的“训练场”。

六、经验总结

广东南粤银行通过建设“融数合智”邮件数据流动风险控制系统，从“被动合规”到“主动合规”、“AI驱动的动态防御”、“邮件应用的全栈信创国产化”、“银行业数据分类分级落地途径”等多种方向作出创新性的建设，证明中小银行亦可在细分领域打造具有行业标杆意义的安全能力，为华南等周边地区银行业同行带来“投入可控、效果可见、合规可证”的实践样本。