“誰的業務數據就應該存在誰那兒，以后業務側出了問題，金融機構不能賴

“誰的業務數據就應該存在誰那兒，以后業務側出了問題，金融機構不能賴賬。”一位大行信息科技部門負責人向記者表示。

隨著第三方外包數據與網絡安全管理趨嚴，最近困擾銀行保險機構的一個難題是，企業微信、釘釘、飛書等即時通訊軟件的本地化部署與數據遷移。

(資料圖)

6月初，國家金融監督管理總局下發《關于加強第三方合作中網絡和數據安全管理的通知》（以下簡稱《通知》），點名企業微信服務風險情況，要求銀行保險機構開展風險自查并就企業微信合作情況向監管方面報告。

對于銀行、保險、理財子公司等金融機構而言，即時通訊軟件是客戶營銷、財富管理等業務板塊的必備工具，但在客戶經理與用戶的交流記錄中往往隱含著多類客戶個人敏感數據。盡管目前大型金融機構已建立了自己的數據中心與私有云，但部分中小型金融機構以及部分大行業務板塊仍有相關數據在供應商提供的公有云上留存。

對金融機構來說，一場數據和系統的私有化遷移潮正悄然展開。

第三方網絡數據安全遇嚴監管

《通知》顯示，某微信代理商為多家銀行提供企業微信相關服務，將600余萬條銀行客戶經理與客戶的會話存檔數據存檔于公有云，并將數據私自用于模型訓練，提供給關聯公司，導致客戶敏感數據泄露引發消費者維權投訴。

監管在《通知》中通報的這起企業微信服務風險情況，引發銀行保險機構對供應鏈數據安全的全面自查。

《通知》指出，這一案例體現了兩個主要風險，一是銀行保險機構對數字生態場景合作情況底數不清，缺乏統籌管理。在開展數字生態合作時，銀行保險機構外包風險主管部門、科技和數據管理部門未參與，缺乏數據安全風險評估、監控管理等機制，存在突出風險隱患。二是銀行保險機構對合作中數據安全風險和責任識別劃分不清。數字化轉型合作業務場景連接，技術渠道相互嵌入，數據存儲、交互情況復雜，銀行保險機構對業務、技術、數據等方面的風險識別不清晰，責任劃分不明確，存在數據收集使用不合規、安全責任交叉、數據保護存在盲區等問題。

值得關注的是，在相關通知中，除了開展風險自查、加強科技風險統籌管理、加強非駐場外包風險監測和監管報告以外，監管要求銀行保險機構采取針對性安全保護措施，其中提到：銀行保險機構對外提供數據應按“業務所需、最小權限”原則進行，系統和數據應優先在銀行保險機構本地化部署。加強邊界防護和傳輸保護，建立與外包服務商的隔離防火墻，不通過即時通訊、網盤、互聯網郵箱等不安全渠道傳輸數據。

從SaaS到私有化部署

金融機構即時通訊軟件等系統的私有化部署節奏正在加速。

“之前我們用的都是騰訊公有云的SaaS服務，現在按照相關要求我們需要做私有化部署。”某理財子公司科技部門人士告訴記者。

對于金融機構來說，其業務數據儲存的方式主要有公有云、私有云、本地化部署等三種。

儲存在公有云的數據相當于住在酒店里，由第三方服務商提供相關服務，機構可通過運營商網絡訪問相關數據，在算法層面進行數據加密；儲存在私有云的數據相當于住在租的公寓里，機構可以租用云服務商提供的服務器，在此基礎上搭建自己的系統，只能通過內部網絡調用數據；進行本地化部署的數據相當于住在自建房中，需要機構自建機房、數據中心等硬件設施，數據只能儲存在本地。

據21世紀經濟報道記者從多位受訪人士處了解到，對于科技投入受限的機構來說，目前金融機構的系統的私有化遷移主要是由公有云遷移至私有云。

過去企業微信、釘釘、飛書等即時通訊軟件為金融機構提供的SaaS產品，由第三方公司提供系統和服務器，金融機構購買賬號以開通相應賬戶接口權限。在這個模式下金融機構通過軟件開展的相關業務數據留存在第三方服務商提供的公有云上。

“如果實現數據和系統的私有化部署，就是在前端使用即時通訊軟件，后端數據儲存在銀行本地服務器或我們自己的私有云上。”某大行科技部門領導表示。

有金融機構科技子公司領導告訴記者，其所在單位已完成了即時通訊軟件的完全私有化部署與信創改造，主要用于協同辦公。

公有云“下云”難題待解

對于金融機構而言，“上云”一直是數字化轉型的必經之路，但在數據安全管理趨嚴的背景下，部分在公有云上部署系統的機構“下云”之路卻不好走。

在2022年IBM發布的《IBM企業轉型指數：云現狀》中提到，80%的企業已經考慮或正在考慮將已部署到公有云上的工作負載遷回私有的基礎設施，其考慮“云回遷”共有四大原因：第一是為了改善性能與減少延遲，第二是出于安全與合規的考慮，第三是為了避免與供應商鎖定，第四是為了降低成本，其中金融服務業就是出于安全原因率先考慮遷出公有云的行業。

“我們目前遇到的問題是相關軟件無法把歷史數據從公有云遷移至私有云，包括好友、聊天記錄、群組等等，對理財子公司交易業務溝通對接影響很大。”前述理財子科技部門人士向記者指出，對于中小金融機構而言，一方面系統遷移需要投入更高的成本，另一方面歷史數據無法遷移的問題現在亟需突破。

一位曾擔任國有大行資深業務架構師的專家向記者介紹，很多大行在很早以前就實現了即時通訊軟件的私有化部署，他認為對于金融機構而言相關系統的私有化痛點主要不在于軟硬件成本，而在于歷史數據遷移。

21世紀經濟報道記者了解到，機構“下云難”的原因有兩個方面：一是歷史數據的單向加密導致解密存在困難，二是由于供應商鎖定導致遷移困難。

“存在部分數據單向加密后無法解密遷移的問題。”前述科技子公司領導告訴記者，其目前的解決方案是歷史數據在過去的服務商公有云上用于備查，新的數據以私有化部署落地的形式使用，但這對業務體驗會大打折扣，現在還在尋找新的解決方案。記者了解到，為保證存儲在第三方云平臺上的數據，云服務商會對敏感數據使用加密算法，使用公鑰對數據進行加密，接收者使用私鑰進行解密，而部分數據存在單向加密情況。

也有銀行CIO告訴記者，歷史數據向私有云遷移在技術上可以實現，但是廠商方面不配合支持相關服務，導致銀行在沒有密鑰的情況下無法單向解密。