数据安全与业务连续性¶
本页用于整理数据分类分级、数据全生命周期、备份、容灾、灾难恢复和业务连续性。
业务连续性与灾备指标¶
业务连续性管理应关注关键业务识别、单点故障、主备切换、数据备份、灾难恢复、应急预案和定期演练，并把供应商和外包管理纳入连续性安排。
RTO（Recovery Time Objective，恢复时间目标）表示系统允许中断的最长时间；RPO（Recovery Point Objective，恢复点目标）表示最多允许丢失的数据时间范围。例如 RTO 为 2 小时，表示应在两小时内恢复服务；RPO 为 15 分钟，表示最多接受丢失最近 15 分钟的数据。两者应结合关键业务影响、备份频率和灾备能力确定。
来源：专业课速记/07_银行信息科技风险管理.md
考前易错速记¶
银行信息科技风险题常从安全、稳定、合规、连续性、最小权限和审计留痕判断方案。治理上可用“三道防线”理解：业务部门承担第一道防线，风险与合规部门承担第二道防线，内部审计承担第三道防线。RTO 表示恢复时间目标，RPO 表示可接受的数据丢失时间范围，二者应结合关键业务影响、备份频率和灾备能力确定。
来源：专业课速记/09_考前必背清单.md
补充：南网大纲 VI-5 数据安全基础（定义—机制/流程—场景—边界）
- 数据安全：数据安全是通过必要措施使数据处于有效保护和合法利用状态，并具备持续安全能力；核心目标是保密性、完整性、可用性，同时兼顾可追责性。机制上先做资产盘点、数据流映射、分类分级，再按风险配置权限、加密、备份、审计和应急；适用于数据库、文件、日志、接口、模型训练集等一切数据处理活动。边界是“上了加密”不等于完成数据安全，密钥、权限、备份、供应链和处置仍需控制。
- 数据分类分级：分类按业务属性、来源、用途或数据对象归类；分级按泄露、篡改、丢失或非法利用后的危害程度确定保护强度。流程为识别数据项→确定业务场景和责任人→评估影响→标记目录与标签→匹配控制措施→变更复核。GB/T 43697-2024《数据安全技术 数据分类分级规则》为现行推荐性国家标准，实施于2024-10-01；适合做通用方法参考。边界是“敏感个人信息”“重要数据”“国家核心数据”不是同义词，最终目录和行业规则可能另有要求，不能仅凭字段名称作法律定性。
- 全生命周期：收集/生成、存储、使用/加工、传输/共享、公开/出境、归档/删除是数据生命周期。每阶段应有目的和最小范围、责任主体、授权审批、技术保护、日志记录及到期处置；适用于新建系统、数据湖、外包处理和接口调用。边界是删除业务库不等于删除备份、缓存、日志和第三方副本，应定义保留期限与可验证销毁。
- 脱敏与去标识化：脱敏是在特定展示、测试或分析场景中遮盖、替换、扰动字段；去标识化是处理后降低与特定个人关联的可识别性，通常仍可能借助额外信息识别。流程为明确用途→选择静态/动态、掩码/替换/令牌化等方式→隔离映射表→验证重识别风险→审计输出。适用于测试库、客服坐席、报表和分析。边界是脱敏不自动等于匿名化；映射表、外部数据和小样本组合可能重新识别。
- 匿名化：匿名化是个人信息经处理后无法识别特定个人且不能复原；适用于公开统计或无需个体追踪的研究。机制上要去除直接标识符并评估准标识符组合、重识别攻击和输出粒度，禁止保留可复原密钥。边界是可逆令牌化、加密、哈希或仅隐藏部分字段通常仍不是匿名化，仍应按个人信息保护要求审慎处理。
- 加密：加密用算法和密钥把明文变为密文，解密依赖密钥；传输用端到端/链路加密，存储用字段、数据库或磁盘加密，密钥管理包括生成、分发、轮换、备份、吊销和销毁。适用于高敏感字段、跨网络传输、备份介质和密钥材料。边界是哈希主要用于完整性或不可逆校验，不替代需要恢复明文的加密；加密不能阻止已获授权账号滥用，密钥与密文同处会削弱保护。
- 访问控制：访问控制是依据主体、客体、动作、环境和授权规则决定允许或拒绝；可用RBAC按角色、ABAC按属性、最小权限和职责分离组合。流程为申请→业务负责人批准→系统授予→定期复核→离岗/变更回收，特权操作应多因素认证和双人复核。适用于生产库、运维、共享目录、API和数据导出。边界是前端隐藏按钮不构成控制，必须由服务端再次鉴权；“管理员”也不应默认可读取全部业务数据。
- 审计溯源：审计记录主体、时间、来源、对象、动作、结果和关联工单，溯源通过统一时间、集中留存、完整性校验和检索关联还原事件链。适用于查询、导出、授权变更、密钥使用、共享和删除。边界是日志既不能记录明文密码/密钥，也不能只记录“成功”，应防篡改并设置访问权限、留存期限和告警规则。
- 数据泄露处置：发现异常后先确认范围并保全证据，再隔离账号/接口/主机、阻断扩散、修复漏洞、轮换凭据和恢复服务，同时评估个人信息、重要数据、核心业务影响，按适用规则通知用户和监管部门，最后复盘整改。适用于误发、越权导出、勒索、供应商泄露。边界是不能为“查清楚”而继续扩大暴露；报告事实、影响和已采取措施，未核实内容标注待确认，不擅自下法律结论。
- 数据共享：共享是向其他处理者提供或委托处理数据；机制为目的和最小字段论证→合法性基础/授权核验→影响评估→合同约定范围、期限、再委托、删除、事件通知→接口限流与脱敏→持续监督。适用于集团协同、客服外包、联合分析。边界是“内部共享”也可能改变处理者和用途，不能因同集团或签了保密协议就跳过必要性、权限和审计。
- 数据出境与安全评估：先判定是否向境外主体、境外系统或可被境外接收方访问，再识别个人信息/重要数据及数量，开展自评估并先核验现行豁免；不适用豁免且触发强制安全评估条件的，应申报数据出境安全评估，不得用标准合同或认证替代；仅符合相应条件时，才在个人信息出境认证、标准合同等路径间选择，并落实告知、单独同意、影响评估、合同和持续监测。适用于境外云、跨国运维、海外营销和跨境人力资源。边界是“服务器在境内”不必然排除出境；是否重要数据应以已公布/告知目录和适用规则核验，未核验不得臆判。
三组易混概念对比：
| 对比 | 关键区别 | 典型场景 | 易错边界 |
|---|---|---|---|
| 脱敏—去标识化—匿名化 | 脱敏偏展示/使用控制；去标识化降低关联性但可能复原；匿名化不可识别且不可复原 | 测试库、分析集、公开统计 | 遮住姓名或做哈希不自动成为匿名化 |
| 加密—哈希—编码 | 加密可用密钥恢复；哈希通常不可逆且用于校验/检索；编码只改变表示 | 传输/存储、口令校验、Base64传输 | Base64不是加密；哈希不能代替机密传输 |
| 个人信息—敏感个人信息—重要数据 | 个人信息指向可识别自然人；敏感个人信息泄露风险更高；重要数据以国家安全等影响判定 | 员工档案、金融账户、行业关键数据 | 三者可交叉但不等同，不能用一个标签替代另一套保护要求 |
具体场景过程链一（测试数据共享）：生产客户表→盘点字段并标记个人信息/敏感字段→删除非必要字段→静态脱敏或令牌化并隔离映射表→业务负责人和安全负责人审批→建立最小权限测试账号→通过受控接口交付→记录下载、查询和再分发日志→到期回收账号、删除测试副本及缓存→抽查重识别风险并复盘。若测试方需要回查真实客户，不能把映射表一并交付，应走单独授权和审计流程。
具体场景过程链二（疑似越权导出）：审计发现夜间批量查询→冻结异常会话并保全日志、镜像和工单→核对账号、权限、接口、数据范围和外部接收方→轮换令牌、阻断接口并检查备份/缓存/供应商副本→评估是否涉及个人信息、重要数据和业务中断→按事件级别和适用监管要求报告、通知或补报→恢复前完成漏洞修复和权限回收→事后形成根因、影响、证据、整改和责任记录。不要先删除日志或直接认定“已构成泄露”，应区分疑似访问、已读取、已导出和已扩散。
练习1：某团队将身份证号做SHA-256后放入公开样例，并保留原表与盐值在同一目录。判断是否可直接视为匿名化。解析：不能。哈希本身不等于匿名化，原表和盐值使关联或复原风险更高；公开样例还需评估准标识符组合和重识别风险，优先使用不可回查的合成数据或经过验证的匿名化结果。
练习2：境内系统拟让境外关联公司远程查询员工信息，数据不下载出境。是否一定不属于数据出境、是否一定免评估？解析：不能直接作出“一定”结论。应核验访问主体、实际可见字段、远程访问路径、个人信息数量和敏感程度、是否涉及重要数据及现行豁免；按中国官方有效规则完成自评估和适用路径判断，无法核验时只记录为“待核验”，不能以“未下载”替代合规判断。