⸢ 肆 ⸥ ⤳ 默认安全：安全建设方案 ➭ a.信息安全基线

独立系统

（如单台服务器/网络设备）

全企业视角

（数字银行整体架构）

🔧 系统加固记录

📌 事件响应报告
🔑 权限审核日志

根据企业情况，采集合规评估组可能包括：信息安全部门、合规部门、法务部门等。评估流程中会判断多方面内容的合规性，包括但不限于:

· 敏感数据的类别（如用户个人身份信息、企业内部敏感数据、外部机构共享数据）

· 敏感数据的名称、含义
· 数据是否存储及存储方式
· 数据采集渠道(如接口名称)

· 数据采集频率
· 数据采集目的和业务线归属
· 数据采集范围与声明范围一致性检查
· 数据采集时长
· 以上数据采集情况是否获得用户、合作方授权        

根据企业情况，对高敏感数据的采集行为可能有额外安全要求，包括但不限于：

· 数据源身份动态认证

· 采集数据落盘前加密

· 即时清除缓存等

若数据采集渠道为第三方接口，接入数据前，需要有关部门(如信息安全部)进行外部数据引入安全评估，包括但不限于：

业务背展、引入方式、域名、流量、接口洋情、数据字段、数据使用范用等

根据行业合规、企业规范的要求，明确禁止各类存储介质(客户端、大数据库、日志等)存储某些非必需的敏感数据(或需要交易完成后即刻清除缓存、使用后即刻本地擦除等)，包括但不限于：

· 非本银行发行的银行卡信息(卡号、磁条信息、PIN、CVN、有效期等)
· 用户的支付信息(生物识别信息样本、CVN、交易密码等)
为整改不合规的内容存储，需要相应的自动周期性扫描识别能力;

若某些场景下有数据存储的必要，需要获得客户、外部机构或管理结构的授权，执行相应的审批授权流程

· 根据数据分级分类标准，大于一定敏感等级(如C3以上)的用户个人信息，包括个人金融信息，在落盘大数据系统时应当默认开启存储加密或字段加密功能，作为数据防泄密的其中一道保护屏障。

· 存储介质不限于存储桶、关系型/非关系型数据库、日志系统等。并且，算法安全等级应不低于某一级别(如AES-128级别)应采用符合行业标准的加密、签名算法，如国密SM2/3/4。

企业办公应用应集中接入权限管理系统，进行统一的认证与授权管理，以及对敏感数据资产的权限管理；
· 在设计用户角色时，应根据业务需求设置不同的角色，一个角色可以包含相同工作场景的多个用户。

· 一个用户可能绑定一个或多个不同种类或级别的工作角色。
· 在配置角色权限时，应授予用户可以完成任务所需的最小权限角色:

· 定期审计清理应用系统中不活跃、离职、转岗、冗余的权限，对于高风险类权限,尽量将权限细化至最小功能点粒度

· 严禁在应用、系统、日志中以明文形式输出用户个人敏感信息及系统安全凭证。对敏感数据(如用户个人数据、用户密码等)的访问，包括前端页面展示、数据库查询、API接口查询、日志记载等形式，均需要对返回结果进行脱敏处理。

· 脱敏规则应遵循企业统一的脱敏规范，包括敏感信息的范围、各类别字段的具体脱敏规则、员工角色与脱敏规则的绑定关系
· 用户个人敏感信息包括但不很于：个人身份信息(如姓名、证件号码、手机号码、邮箱)、个人设备信息(如设备唯一识别号)、个人金融信息(如银行账号、交易密码、验证码CVV)、系统安全凭证(密码、口令、密钥)等

· 员工查询用户个人数据，需要有明确工作场景的支持，并留下工单记录或审计日志。

· 数据查询也应遵循最小化策略，即员工完成业务需求所需的最小数据范围。

· 严格控制后台开放式查询功能，限制批量明细查询场景(如限制敏感数据的返回量阈值识别异常数据访问请求量级)，降低数据批量泄露风险。

· 原则上不允许员工在线上系统擅自下载导出数据，尤是是下载到本地

· 数据下载行为需要对接统一的下载分发系统,对各数据平台下载操作分别设置独立的权限码，严格控制员工的下载相关权限授权流程，非业务必需场景禁止下载。

· 增加数据下载审计功能，全量接入审计日志，做到人员操作可溯源

当应用系统展示包含敏感信息的文档、报表、配置、接口等形式的信息时，应当添加不同形式的水印标志，包括但不限于：

· 网页水印、图片明水印、数据暗水印等。

· 水印内容应包括：数据访问者识别信息，方便事后追溯(如信息泄露源头)。

· 水印质量应考虑鲁棒性，使水印内容难以篡改、删除

合规性涉及多方面评审，包括但不限于：

· 应用系统是否可开放外网数据传输

· 传输流程报备(传输的数据内容、接口名称、域名或IP等)

· 并留有工单以备审计

若数据接收侧IP地址定位在中国境外，则须事前报备到法务、合规侧审核，完成跨境安全性及合规性审批，与业务方确认传输场景、接收方、数据内容等，进行相应安全加固或接口下线。

遵守行业数据跨境管理规范。对于境外接收方为外部机构的应对机构进行安全尽职调查

· 禁止在未经安全审批报备的情况下，将任何企业内部文件(包括但不限于用户个人数据、内部工作文档、生产测试数据、代码配置文件等）通过任何渠道(包括但不限于邮件、IM软件、可移动设备、无线设备、云同步、接口等)，外发至员工个人非办公设备、外部机构甚至境外机构

· 对禁止的外发渠道须进行必要的关闭与安全监控，做到事前预防、事中响应、事后溯源。若通过API接口形式外发交换数据，接口应对接服务鉴权能力、使用安全的传输协议、完成安全能力评估等，以降低公网暴露风险

根据企业要求，对不同敏感等级的数据进行外发管控。比如，

· 高敏感数据：禁止外发

· 中低敏感数据：外发前须完成脱敏处理、加密处理或水印处理中的一项或多项

用户申请权限

(黑名单)

通过配置系统策路，默认拒绝外包人员对基础设施运维生产环境权限申请的发起。如：

· 外包人员不能发起线上环境log、admin、root权限申请;

· 外包账号不能发起线上业务系统管理员权限申请;

· 技术人员账号不能发起线上业务系统权限申请;

· 外包账号不能发起部分重要提作申请，如系统配置权限等；

· 外包人员不能发起全局类基础设施权限申请;

· 业务人员不能发起技术数据订正类权限申请。

用户申请权限

(白名单)

业务外包人员账号申请业务系统权限的授权时长不能超过N天;

用户对重要/敏感权限的授权使用时长不能超过N天

用户申请普通权限：审批节点包含主管和权限owner;

用户申请重要/敏感权限：审批节点包含主管、权限owner、部门权限管理员/部门负表人;

对于未填写具体申请原因的权限申请，系统默认自动拒绝申请;

对于用户访问环境(IP、终端ID、浏览器版本、网络访问类型、撰作时间、访问位置)异常的权限

申请，额外增加安全审批节点。

特殊情况登录增加二次身份验证：

· 如浏览器版本与上次访问不一致

· 凌晨2:00~5:00访间应用系统

· 访问安全等级比较高的业务系统

· 当日密码连续错误锁定2次及以上账号登录验证

· 公共账号访问应用系统

· 终端ID信息与上次访问不一致

· 系统管理员访问相应系统等

· 下载敏感/重要数据超过N次/周

· 下载敏感/重要数据超过X条

· 下载敏感/重要数据超过M/位

· 连续下载失败次数超过N次

· 累计下载失败次数超过M次

· 删除用户授权关系

· 删除/锁定用户账号

· 删除/冻结应用系统权限配置数据

· 删除用户授权关系

· 删除/锁定用户账号

· 删除/冻结应用系统权限配置数据连续超过N次，累计超过M次

· 激活账号失败;

· 连续登录失败超过N次，累计登录失败超过M次;

· 添加用户授权关系失败