▏摘要
为了建立健全合作方数据安全管理体系，中原消费金融从制度、技术、人员、组织四个维度进行合作方数据安全闭环管理能力建设，确保数据安全和合规性，降低了来自合作方数据泄漏和滥用的风险。
▏问题
一方面，金融机构合作伙伴数据泄露事件频繁发生，公司数据通过合作方途径泄露的风险日益增大，另一方面，金融行业对数据安全和个人隐私保护的合规要求非常严格，金融机构需要投入必要的资源来建立健全公司合作方数据安全管理体系。
▏行动
• 在建设合作方数据安全管理能力时，中原消费金融着重解决如下问题：合作方信息管理、合作方安全评估设计、合作方API接口动态安全测试和合作方数据安全持续监督；
• 中原消费金融针对不同环节分析风险类别和风险描述从而针对性采取管控措施，在风险识别后，从制度、技术、人员、组织4个维度进行数据体系建设，并形成合作方管理机制；
• 通过建设API安全管理平台，中原消费金融将原本手动梳理的过程变成自动化梳理，将API脆弱性评估从分散变成全覆盖过程，从被动防护变成主动防御。
▏结果
• 通过合作方数据安全闭环管理项目，中原消费金融强化一二道风险防御职能，覆盖合作方的准入、测试、运行、监控、退出的全生命周期，确保数据安全和合规性，降低了来自合作方数据泄漏和滥用的风险。
分享专家：杨显哲，中原消费金融数据安全高级工程师
作者：沙丘社区分析师团队
01 案例企业
河南中原消费金融股份有限公司 （简称“中原消费金融”)于2016年底成立，是经国家金融监督管理总局 （原中国银保监会）批准成立的全国性非银行金融机构。
秉承“合规先行、风险防控、科技驱动”的发展理念，依托股东雄厚的资金实力、务实的管理团队以及严谨的风控能力，中原消费金融公司深挖与居民生活密切关联的细分行业，围绕衣、食、住、行、用等消费场景和重点目标市场，合理利用股东和第三方资源，致力于通过技术创新、渠道整合大数据应用等手段，面向个人消费者提供消费贷款+消费分期服务，构建消费金融生态圈，满足广大客户美好生活品质的需要,以全新的消费金融场景让消费者获得良好的消费体验，以实际行动践行“普惠金融”。
02 项目背景
数据安全已经成为金融机构的关键挑战，不仅关系到客户隐私保护，也维护着企业的声誉与合规性。近日，国家数据局等17部门联合印发《“数据要素×”三年行动计划（2024-2026年）》，鼓励企业将数据在合理合规的范围内流动，而数据在流动的过程中需要满足合规要求。
金融是强监管行业，2023年国家金融监督管理总局发布了《关于加强第三方合作中网络和数据安全管理的通知》，通知指出，近期一些银行和保险机构的外包服务商发生了多起安全风险事件，这些事件暴露出金融机构在外包服务管理上存在的突出风险问题。同时要求金融机构严格审查合作伙伴的数据和网络安全措施，深入排查供应链风险隐患，并加强整改措施。
鉴于同行业机构合作伙伴数据泄露事件的频繁发生，公司数据通过合作方途径泄露的风险日益增大。为了应对这一风险，中原消费金融对合作方数据安全管理给予了高度重视，将其作为公司数据安全工作的核心。同时，金融行业对数据安全和个人隐私保护的合规要求非常严格，因此中原消费金融根据行业监管要求，投入了必要的资源来建立健全公司合作方数据安全管理体系。
在建设合作方数据安全管理能力时，需要解决如下问题：合作方信息管理、合作方安全评估设计、合作方API接口动态安全测试和合作方数据安全持续监督。
2022年，中原消费金融启动数据治理项目，从数据安全、数据标准、数据质量三个方面进行全面数据治理工作，其中数据安全的目标为“让数据价值安全释放”，并设立数据安全管理组织架构，包括领导层、监督层、管理层和执行层，明确各层的角色职责，加强高层领导的参与，为后续的数据安全管控工作提供了制度组织上的重要支持。
03 解决方案
在数据处理全生命周期中，皆可能涉及数据合作，中原消费金融针对不同环节分析风险类别和风险描述，从而针对性采取管控措施。
在风险识别后，中原消费金融从制度、技术、人员、组织4个维度进行数据体系建设，其中人员和组织依托于公司数据治理项目提供保障，合作方数据安全管理更多是完善和补齐制度和技术手段。
合作方信息管理是确保合作方数据安全闭环管理的基础，后续过程中的管理和技术措施高度依赖于这些基础数据。
在管理规范上，中原消费金融制定《合作机构全面风险管理指引》和《合作平台管理办法》，明确了相关部门职责，并按照管理规范对合作方信息进行管理。针对合作方安全管理规范，制定了《合作方数据安全管理办法》，明确在合作业务开展过程中业务部门、法务部、安全部的职责。
在管理平台建设方面，中原消费金融通过建设合作方API安全管理平台对合作方基本信息、API接口对接信息、交互敏感数据情况进行梳理记录，数据字段信息与数据分类分级资产清单进行关联，之后便于安全监控与审计告警规则的制定。安全部门通过项目需求安全评估得知合作方信息的新增及更新需求，并与业务方确认合作业务场景进而维护合作方清单信息。
通过建设API安全管理平台，将原本手动梳理的过程变成自动化梳理，将API脆弱性评估从分散变成全覆盖过程，从被动防护变成主动防御。金融行业早在2020年2月就已发布商业银行应用接口安全规范，但对非银机构没有强制性要求。随着金融监管的不断加强，要求非银机构加强对API的安全管控。因此，中原消费金融参考商业银行接口规范建立API安全管理平台。
在生产环境和测试环境，分别部署了API安全管理平台。在测试网采用Agent代理镜像模式，生产网主要在汇聚层通过APT交换机引流的方式进行部署，未来规划通过服务端部署Agent的方式实现拦截，既不影响现有项目的推进，也能为后续的技术管控提供保障。
生产环境引流过程中会面临加密层的加解密问题，中原消费金融通过SSL卸载的方式，在互联网区直接采取相应动作，除了传输层卸载，在业务应用层也会加密，需要对数据包层解密。中原消费金融将相关工作放到API管理平台处理，但对于有条件的企业可以考虑规划时在前端进行解密服务器的部署，在性能、管控上更加规范。
通过组织、人员、制度和技术的完善，中原消费金融形成合作方管理机制，将合作方安全管理分为事前、事中、事后三个阶段。事前以准入为主，通过评估数据合作方安全能力，通过技术手段检测、人工复验，评估复核，签署合作协议等，主要是判断合作方是否有条件进行后续合作；事中和事后结合API管理平台工具以及权限管控等手段完成。
合作方数据信息管理平台，包括合作方API接口、弱点、数据等维度并记录日志，及时发现数据接口异常行为。对敏感数据的使用情况和传输情况进行统计分析，形成敏感数据的外部数据地图和监控大盘，掌握各类敏感数据的分布和流向，为后续的分级管控奠定基础。
合作方数据安全评估流程如下，包括合作方商务场景了解、信息安全调查填报、安全合规建设评估、安全管理体系评估、数据安全与个保评估、数据安全事件响应评估、API接口安全评估、输出安全评估结论。
通过API安全管理平台，对API进行全面的动态安全检测，弥补静态安全测试方面的不足，确保身份认证、Get请求传输密码、请求信息未加密、无鉴权返回敏感信息、参数可遍历、XSS注入漏洞等方面得到有效管理。通过提前发现风险点，避免因API自身缺陷导致的安全事件发生，确保业务上线后的稳定运行。
通过舆情监控补齐持续监督能力，通过各类主流渠道收集关于合作方的数据安全舆情信息，包括社交媒体、新闻网站、论坛等。同时对收集到的数据进行深入分析，包括趋势分析、敏感数据分析、关键信息提取等，帮助组织全面了解合作方的数据安全外部表现和舆情风险情况。
04 价值与效果
中原消费金融合作方数据安全闭环管理项目通过建立统一的合作方信息管理制度，明确各部门的职责，并在此基础上制定合作方数据安全管理制度和风险控制管理制度，强化一二道风险防御职能，覆盖合作方的准入、测试、运行、监控、退出的全生命周期，确保数据安全和合规性，降低了来自合作方数据泄漏和滥用的风险。此外，该管理机制具有较强的可复制性，可为其他机构提供重要的实践落地参考。
05 实践总结
在技术层面：
第一，报文二次解密最好由自己的解密网关或其他方式进行解密，密钥放在API平台会增加人员工作量；
第二，API流量远超预期，需要提前做好流量大小的预估以及缓存的时间，再做硬盘的选型，避免后期临时进行扩容；
第三，提前规划部署架构，硬件部署或云平台部署，规划接入流量的业务系统，提前进行测试。
在管理层面：
第一，合作方数据安全管理对内涉及不同部门之间的协调、对外涉及不同数据主体的数据安全水平的差异，要协调事务和考虑的业务场景会很多，需要持续的投入精力去完善和优化安全合规与业务效率之间的平衡；
第二，在理论上可以将网络安全和数据安全进行分层拆解，但实际上它们之间的交织非常密切。数据的传输、存储、处理都需要涉及网络，因此在实践中，数据安全和网络安全的方法和能力通常是相辅相成的。然而数据安全会更加深入贴近业务侧，从而更加凸显出其价值。
文章来源：“数据安全推进计划”微信公众号