据《中国证券报》8月9日晚间报道，银监会办公厅近日向各银监局、大型银行、股份制银行、外资银行、直销银行、理财公司、保险集团公司、保险公司下发《关于开展银行业保险机构侵犯个人信息权益专项整治工作的通知》。
侵犯个人信息权益，乱象丛生，促治本整改
《通知》要求各机构全面梳理2021年以来与消费者个人信息处理活动相关的业务行为和管理情况，彻底查找本机构个人信息保护存在的问题，列出问题清单。
银监会披露的银行、保险机构侵犯个人信息权益的乱象主要有:
第一，个人信息收集。未经消费者同意，使用App获取手机通讯录、监听输入内容、监听语音、收集个人信息；未能在官方提案中披露隐私政策；通过非法手段窃取或购买个人信息等。
二是个人信息的存储和传输。例如非法下载、存储和记录敏感的个人信息。组织会将未加密和脱敏的个人敏感信息下载并存储到个人办公电脑、移动硬盘等。超越职权范围。
是个人信息查询。银行账户信息查询业务操作不规范，存在未保存查询授权材料、未经同意查询等问题。保险公司没有严格限制查询权限，让没有权限的员工查询脱敏的个人信息等。
四是个人信息的使用。如私下或非法收集消费者联系信息进行营销；消费者明确拒绝后继续营销；避免销售系统向消费者推销产品等。
五是个人信息的提供。如未经同意向他人或外部机构提供信息；未经同意向外部机构或其他个人提供个人信息；向外部机构或个人出售个人信息。
六是删除个人信息。对各类个人信息、电子数据、纸质资料的保存期限、删除和销毁没有要求。
第七，第三方合作。向第三方提供个人信息超出了合作业务的必要范围，没有进行必要的脱敏；它通过不安全的信道传输给第三方，没有有效的加密等。
对于上述乱象，《通知》要求强化整改问责。要深入分析此次专项整治中发现的问题，找出问题的根源，坚持边查边改。
银行保险机构自查是阶段性整改的主要方式。
通知称，专项整治工作主要是银行、保险机构自查，监管部门适时进行抽查和监管。确保全面覆盖与消费者个人信息处理相关的业务环节、员工行为和管理流程。补救分为三个阶段:
自查整改。2022年8月至9月，各银监局组织辖内银行、保险机构认真开展对照自查，在自查的基础上及时完成整改。
监督抽查。2022年9月至11月，各银行保监局在机构自查的基础上开展了监管抽查。抽查对象和抽查数量由各银行保监局根据辖区情况确定，突出重点机构和业务。
总结报告。各银行保监局应于2022年12月2日前，向中国银行业监督管理委员会消费者权益保护局报送银行保险机构信息权益专项整治情况报告。
违反相关法律法规的，要依法依规严肃查处问题；对自查问题整改到位的机构，可结合违规行为的程度和造成的后果，依法从轻、减轻或不予处罚；对自查不到位、瞒报的机构，要严肃追究责任，严惩不贷。
保险机构应该如何自查？
银行和保险机构作为数据密集型行业，掌握着海量的个人信息数据，涉及的业务非常广泛。在前述的收集、传输和存储、查询、使用、提供、删除、合作等环节中。，容易存在安全隐患。据多家银行DSO实验室的安全专家介绍，在个人信息的整个生命周期中，银行保险机构普遍面临以下安全挑战:
不了解个人信息资产的全貌。由于数据量大、增长快、地点广、形式多样，银行和保险机构无法完全掌握敏感个人信息在机构内的分布情况以及面临的安全风险。这使得无法为数据使用合规性提供完整的资产列表和风险评估。
无法跟踪数据流的路径。保险机构大部分业务都需要访问个人信息，交互场景复杂。例如，终端计算机从业务系统下载敏感数据，终端计算机中数据的内容和版本不断变化，终端用户之间的敏感数据交换。这就导致数据流通无序，跨域驻留和隐写分析，导致数据流通链条失去追踪，一旦泄露无法追溯。
无法平衡业务和安全。不仅仅是业务运营，底层的数据运营也涉及到大量的运维、分析、协作。安全控制不能影响数据开发利用的效率，但同时也不能为了效率和创新而放弃对敏感数据的保护，这对安全策略的实施和控制的粒度提出了更细化的要求。
针对上述痛点，点行倡导了DataSecOps的概念，在数据操作过程中嵌入安全属性，构建了AI驱动的零信任数据操作安全平台。按照“数据清查、风险评估、安全防护”的分步建设原则，为银行和保险机构提供自动数据价值发现和数据安全服务。
首先，对敏感数据资产进行全面清点。平台内置基于银行、保险行业数据分类分级标准的敏感数据深度识别模型，支持数万种基于内容的数据格式识别，覆盖所有数据类型。不仅是个人信息，具体到组织的业务数据也会基于少量的数据样本，通过小数据机器学习技术进行智能分类。形成完整的敏感数据资产列表，支持文件内容、个人信息、数据血缘关系等多维度快速检索。
其次，持续追踪敏感数据，评估风险。通过平台轻量级终端安全代理，无需修改映射终端敏感数据操作流程，自动标记敏感数据，跟踪数据状态变化过程，可以对不同格式的数据进行敏感信息识别和标记；跟踪敏感数据在业务系统与终端之间、不同终端之间的运行和流转轨迹，完整追溯敏感数据的流转过程；感知敏感数据扩散和滥用的风险，快速识别和应对敏感数据流出业务范围和未经授权访问等风险。
最后，敏感数据得到自适应、准确的保护。该平台基于零信任数据安全架构，对使用敏感数据的用户和设备进行持续的身份认证和风险评估，针对不同业务部门、数据角色、数据分类和不同数据安全风险等级实施细粒度的访问控制策略。为数据分析师、开发者、运维人员等提供数据安全沙盒运行环境。防止敏感数据的传播和滥用。
#数据安全性#
