在數(shù)字化時(shí)代，數(shù)據(jù)已成為企業(yè)Zui寶貴的資產(chǎn)之一。在《銀行保險(xiǎn)機(jī)構(gòu)數(shù)據(jù)安全管理辦法》正式實(shí)施的背景下，M（數(shù)據(jù)安全能力成熟度模型）作為國家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)備案的評(píng)估體系，為金融機(jī)構(gòu)構(gòu)建符合“全生命周期保護(hù)、分類分級(jí)管控、風(fēng)險(xiǎn)動(dòng)態(tài)監(jiān)測”等監(jiān)管要求的安全體系提供系統(tǒng)性解決方案。

金融機(jī)構(gòu)數(shù)據(jù)安全治理面臨的難點(diǎn)痛點(diǎn)

近年來，隨著金融領(lǐng)域數(shù)據(jù)安全監(jiān)管政策的不斷加碼，金融機(jī)構(gòu)在數(shù)據(jù)安全方面持續(xù)投入，以確保數(shù)據(jù)安全防護(hù)體系的完善，但總體而言仍然道阻且長，主要難點(diǎn)在于以下方面：

（一）數(shù)據(jù)資產(chǎn)管控復(fù)雜，缺乏專項(xiàng)管理手段

金融是產(chǎn)生和積累數(shù)據(jù)量Zui大、數(shù)據(jù)類型Zui豐富的領(lǐng)域之一，金融數(shù)據(jù)更是關(guān)乎企業(yè)核心競爭力的重要資產(chǎn)。以銀行保險(xiǎn)機(jī)構(gòu)的客戶數(shù)據(jù)為例，不僅涵蓋姓名、身份證號(hào)、工作單位、家庭住址等高敏感度信息，還呈現(xiàn)結(jié)構(gòu)化、半結(jié)構(gòu)化、非結(jié)構(gòu)化數(shù)據(jù)結(jié)合的特征，類型繁多。這些數(shù)據(jù)分散在眾多系統(tǒng)中，在信貸審批、保險(xiǎn)理賠等業(yè)務(wù)環(huán)節(jié)流轉(zhuǎn)路徑復(fù)雜，風(fēng)險(xiǎn)點(diǎn)眾多?！躲y行保險(xiǎn)機(jī)構(gòu)數(shù)據(jù)安全管理辦法》明確要求建立數(shù)據(jù)安全管理組織架構(gòu)，明確崗位職責(zé)，但目前不少銀行保險(xiǎn)機(jī)構(gòu)對(duì)數(shù)據(jù)缺乏清晰完整地掌控，數(shù)據(jù)保護(hù)顆粒度較粗，缺少數(shù)據(jù)安全專職管理部門和專項(xiàng)預(yù)算。2024年，某銀行因數(shù)據(jù)安全管理不到位，存在風(fēng)險(xiǎn)隱患問題被國家金融監(jiān)督管理總局浙江監(jiān)管局罰款290萬元，其中，“數(shù)據(jù)安全管理不足”這一違法違規(guī)行為，之前已在多家銀行的罰單中出現(xiàn)，甚至有科技部主管因此被罰。這凸顯了數(shù)據(jù)安全管理組織、制度缺失在金融機(jī)構(gòu)的普遍性。

（二）數(shù)據(jù)安全保護(hù)投入大，人員技能經(jīng)驗(yàn)欠缺

各類研究機(jī)構(gòu)及行業(yè)監(jiān)管機(jī)構(gòu)發(fā)布了多種數(shù)據(jù)安全管理體系、數(shù)據(jù)安全治理體系的Zui佳實(shí)踐和國家、行業(yè)標(biāo)準(zhǔn)。然而，大多數(shù)企業(yè)難以將這些標(biāo)準(zhǔn)和Zui佳實(shí)踐有效應(yīng)用到內(nèi)部治理中。在銀行保險(xiǎn)機(jī)構(gòu)，由于員工缺乏對(duì)數(shù)據(jù)安全的深入理解和認(rèn)識(shí)，難以判斷自身行為是否符合《銀行保險(xiǎn)機(jī)構(gòu)數(shù)據(jù)安全管理辦法》的要求，導(dǎo)致數(shù)據(jù)安全工作成果僅停留在紙面上，產(chǎn)生大量安全隱患。

（三）金融業(yè)務(wù)數(shù)字化進(jìn)程加快，數(shù)據(jù)安全風(fēng)險(xiǎn)升級(jí)

當(dāng)前、金融機(jī)構(gòu)數(shù)字化轉(zhuǎn)型加速，線上業(yè)務(wù)類型復(fù)雜多樣，數(shù)據(jù)安全風(fēng)險(xiǎn)尤其是個(gè)人信息保護(hù)風(fēng)險(xiǎn)顯著增加?！躲y行保險(xiǎn)機(jī)構(gòu)數(shù)據(jù)安全管理辦法》規(guī)定銀行保險(xiǎn)機(jī)構(gòu)在處理敏感級(jí)及以上數(shù)據(jù)的業(yè)務(wù)活動(dòng)，或開展數(shù)據(jù)委托處理、共享等活動(dòng)時(shí)，需事先開展數(shù)據(jù)安全評(píng)估。但不少銀行保險(xiǎn)機(jī)構(gòu)缺乏風(fēng)險(xiǎn)評(píng)估的能力和經(jīng)驗(yàn)，對(duì)數(shù)字化業(yè)務(wù)中新生的數(shù)據(jù)安全風(fēng)險(xiǎn)認(rèn)識(shí)不足，在處理大量涉及個(gè)人信息數(shù)據(jù)的業(yè)務(wù)時(shí)，缺少有效的風(fēng)險(xiǎn)評(píng)估落地指導(dǎo)依據(jù)。

M 認(rèn)證對(duì)金融機(jī)構(gòu)的價(jià)值

數(shù)據(jù)安全能力成熟度（M）認(rèn)證是國內(nèi)首個(gè)數(shù)據(jù)安全治理領(lǐng)域的認(rèn)證，受到國家及行業(yè)的廣泛認(rèn)可。

（一）構(gòu)建有效的數(shù)據(jù)安全保護(hù)體系

數(shù)據(jù)安全防護(hù)體系的建設(shè)應(yīng)以法律法規(guī)為依據(jù)，以金融監(jiān)管為指引，以合規(guī)為基本底線，以數(shù)據(jù)資產(chǎn)為保護(hù)對(duì)象，Zui終達(dá)到保障業(yè)務(wù)發(fā)展、賦能數(shù)據(jù)資源開發(fā)利用的目標(biāo)。M成熟度體系包含通用安全以及數(shù)據(jù)全生命周期兩大評(píng)估模塊，共涵蓋 30 個(gè)過程域和 570 多項(xiàng)Zui佳實(shí)踐，涉及企業(yè)數(shù)據(jù)安全所面臨的風(fēng)險(xiǎn)和威脅的方方面面。參照《銀行保險(xiǎn)機(jī)構(gòu)數(shù)據(jù)安全管理辦法》，通過評(píng)估分析，可以幫助銀行保險(xiǎn)機(jī)構(gòu)建立與自身發(fā)展戰(zhàn)略相匹配的數(shù)據(jù)防護(hù)能力體系，完善組織體系，明確各層級(jí)的數(shù)據(jù)安全責(zé)任；健全制度體系，制定符合監(jiān)管要求的數(shù)據(jù)安全管理制度；構(gòu)建標(biāo)準(zhǔn)體系，依據(jù)數(shù)據(jù)分類分級(jí)規(guī)范進(jìn)行管理；打造工具和技術(shù)體系，加強(qiáng)數(shù)據(jù)安全技術(shù)保護(hù)，全面構(gòu)建數(shù)據(jù)安全“防火墻”。

（二）提出數(shù)據(jù)安全能力提升路徑

M 從低到高定義了數(shù)據(jù)安全能力的 1 - 5 級(jí)，從 L1 非正式執(zhí)行到 L5 持續(xù)優(yōu)化，每個(gè)等級(jí)解決的目標(biāo)問題各不相同，例如2 級(jí)計(jì)劃跟蹤級(jí)是以核心系統(tǒng)為評(píng)估目標(biāo)，解決數(shù)據(jù)安全保護(hù)體系有無的問題；而 4級(jí)量化控制級(jí)主要是解決量化指標(biāo)，以量化的標(biāo)準(zhǔn)進(jìn)行管理。評(píng)估專家依據(jù)自身豐富的經(jīng)驗(yàn)和行業(yè)Zui佳實(shí)踐，結(jié)合《銀行保險(xiǎn)機(jī)構(gòu)數(shù)據(jù)安全管理辦法》，為銀行保險(xiǎn)機(jī)構(gòu)量身定做具有針對(duì)性的數(shù)據(jù)安全能力提升路徑，從搭建基礎(chǔ)架構(gòu)到精細(xì)化管理，為一步步提升數(shù)據(jù)安全能力打下堅(jiān)實(shí)基礎(chǔ)。

（三）提供的數(shù)據(jù)安全合規(guī)證明

在銀行保險(xiǎn)機(jī)構(gòu)中，數(shù)據(jù)安全治理人才需求貫穿于各個(gè)部門，部門在組織自身數(shù)據(jù)安全能力建設(shè)時(shí)，同樣離不開數(shù)據(jù)安全專業(yè)人員的支持。在參與項(xiàng)目投標(biāo)時(shí)，M認(rèn)證證書可大大提高中標(biāo)率，也是企業(yè)申請(qǐng)信息安全服務(wù)資質(zhì)的必備證書，有助于銀行保險(xiǎn)機(jī)構(gòu)在滿足《銀行保險(xiǎn)機(jī)構(gòu)數(shù)據(jù)安全管理辦法》合規(guī)要求的同時(shí)，提升市場競爭力。

金融機(jī)構(gòu)如何參與 M 認(rèn)證

①　評(píng)估準(zhǔn)備階段

評(píng)估機(jī)構(gòu)與金融機(jī)構(gòu)依據(jù)評(píng)估標(biāo)準(zhǔn)進(jìn)行初步溝通，銀行保險(xiǎn)機(jī)構(gòu)對(duì)照能力等級(jí)標(biāo)準(zhǔn)的相關(guān)要求，梳理本機(jī)構(gòu)數(shù)據(jù)管理的相關(guān)制度、執(zhí)行過程文檔、數(shù)據(jù)管理平臺(tái)和工具的相關(guān)資料，填寫自評(píng)估問卷。

②　評(píng)估策劃階段

評(píng)估機(jī)構(gòu)受理評(píng)估申請(qǐng)，與委托機(jī)構(gòu)針對(duì)金融機(jī)構(gòu)自評(píng)估結(jié)果分析評(píng)估需求并制定評(píng)估計(jì)劃。評(píng)估團(tuán)隊(duì)針對(duì)機(jī)構(gòu)所申請(qǐng)成熟度等級(jí)進(jìn)行貫標(biāo)培訓(xùn)。

③　現(xiàn)場評(píng)估階段

評(píng)估組依據(jù)認(rèn)證依據(jù)和評(píng)估方案實(shí)施評(píng)估，運(yùn)用合適的方法及工具對(duì)文件資料、人員、環(huán)境等開展現(xiàn)場評(píng)估，對(duì)評(píng)估過程中發(fā)現(xiàn)的不符合項(xiàng)和建議項(xiàng)應(yīng)開具不符合項(xiàng)和建議項(xiàng)報(bào)告。

④　復(fù)審確認(rèn)階段

對(duì)審核中發(fā)現(xiàn)的不符合項(xiàng)，金融機(jī)構(gòu)組織分析原因，并采取糾正措施。在組織完成整改或達(dá)到整改期限后，審核組對(duì)所采取的糾正和糾正措施及其結(jié)果的有效性進(jìn)行驗(yàn)證。

⑤　認(rèn)證監(jiān)督階段

金融機(jī)構(gòu)向認(rèn)證機(jī)構(gòu)提交認(rèn)證申請(qǐng)，認(rèn)證機(jī)構(gòu)依據(jù)評(píng)估結(jié)果給出認(rèn)證決定，認(rèn)證決定人員對(duì)于符合要求或完成復(fù)核的受審項(xiàng)目，頒發(fā)認(rèn)證證書。對(duì)獲得認(rèn)證證書的機(jī)構(gòu)，認(rèn)證機(jī)構(gòu)將開展相應(yīng)監(jiān)督審查工作。金融機(jī)構(gòu)獲得證書后可通過國家市場監(jiān)督管理總局全國認(rèn)證認(rèn)可信息公共服務(wù)平臺(tái)查詢證書詳情，并核查驗(yàn)證證書的有效性。