“谁管业务、谁管业务数据、谁管数据安全”怎么落实？
【摘要】 在金融机构数字化转型的深水区，一个普遍而棘手的问题日益凸显：业务部门与科技部门在数据权责上的认知偏差与协同困境。业务部门常将“数据管理”视为科技部门的“技术杂务”，自身则聚焦于KPI与业务流程，忽视了“业务数据”作为核心资产的属性。而“谁管业务、谁管业务数据、谁管数据安全”的监管原则，在实际落地中，往往因业务部门缺乏专业能力、科技部门难以判断业务合理性而陷入僵局。这并非一个简单的责任划分问题...
在金融机构数字化转型的深水区，一个普遍而棘手的问题日益凸显：业务部门与科技部门在数据权责上的认知偏差与协同困境。业务部门常将“数据管理”视为科技部门的“技术杂务”，自身则聚焦于KPI与业务流程，忽视了“业务数据”作为核心资产的属性。而“谁管业务、谁管业务数据、谁管数据安全”的监管原则，在实际落地中，往往因业务部门缺乏专业能力、科技部门难以判断业务合理性而陷入僵局。
这并非一个简单的责任划分问题，而是一个涉及组织、流程、技术的系统性工程。要破解这一困局，必须超越简单的权责切割，构建一个业务与科技深度协同、权责清晰、标准明确的数据安全治理新范式。
一、认知重塑：从“技术支撑”到“业务主体”的权责再定义
首先，我们必须正视并重塑对数据权责的认知。传统的“业务提需求，科技来实现”的模式，在数据安全领域已难以为继。
-
业务部门的“数据资产”意识觉醒：业务部门必须认识到，数据不仅是业务流程的“副产品”，更是驱动决策、创造价值的核心资产。因此，“管业务”的内涵必须延伸，不仅要管流程、管结果，更要对所产生数据的真实性、完整性、合规性负首要责任。这并非要求业务人员成为安全专家，而是要求其作为数据的“所有者”，对数据的业务含义、使用场景和价值有清晰的界定。
-
科技部门的“赋能”角色定位：科技部门的角色应从被动的“需求实现者”转变为主动的“赋能者”。其核心职责是利用技术手段，为业务部门的数据资产管理提供安全、合规、高效的工具和平台。这包括数据加密、访问控制、风险监测等技术防护，以及通过技术手段将合规要求“内嵌”到业务流程中，实现“技术防错”。
-
风险与合规部门的“规则裁判”职能：风险与合规部门应作为“规则裁判”，负责解读监管要求，将其转化为内部可执行的管理标准，并监督业务与科技部门的执行情况。他们需要在业务的灵活性与安全的刚性之间找到平衡点，确保数据应用在合规的轨道上运行。
二、实践路径：构建“标准-确权-控制-制度-技术-文化”的六步闭环
基于上述认知，我们可以梳理出一条清晰的实践路径，将数据安全管理从理念转化为行动。
-
第一步：明确管理标准，细化数据使用场景 数据安全管理不能停留在口号上，必须有可执行的标准。首要任务是梳理企业级数据的全生命周期使用场景，例如：与外部系统的交互、内部系统的单笔查询、批量数据分析、人工导出处理等。针对每种场景，制定明确的管理标准。
-
外部交互：明确哪些数据严禁传输，哪些数据必须加密传输，传输协议的安全要求等。
-
内部查询：区分单笔查询与批量查询的审批权限、日志记录要求和频率限制。
-
数据分析：规定分析环境的隔离性、数据脱敏规则和结果输出的合规性。这些标准是后续所有工作的基石，确保管理要求有据可依。
-
第二步：聚焦核心价值，精准化数据确权“谁产生谁管理”还是“谁使用谁管理”？这是一个常见的困惑。一个务实的策略是“聚焦核心价值，缩小确权范围”。并非所有数据都需要明确业务归口部门，应将精力集中在高价值、高敏感、监管强要求的核心数据上。
-
原则：以业务属性为首要划分依据，结合系统归属进行辅助判断。
-
范围：优先对客户信息、交易数据、信贷资产等核心业务数据进行确权。
-
共识：通过跨部门（业务、科技、风险合规）的协同讨论，就核心数据的归口管理部门达成一致，明确其作为“数据管家”的职责。
-
第三步：嵌入业务流程，设置关键控制点 有了标准与确权，下一步是在数据流转的关键环节设置控制点，并配套相应的审批流程。这需要将数据安全要求“硬化”为系统中的具体操作。
-
控制点：在数据访问、导出、共享、销毁等环节设置技术卡点。
-
审批流：根据数据级别和操作类型，设计分级分类的审批流程，确保每一次敏感操作都经过授权。
-
留痕：所有操作和审批记录必须完整、不可篡改，形成可追溯的审计轨迹。
-
第四步：完善制度体系，建立常态化评估机制 将上述实践成果固化为制度，形成覆盖“责任部门、人员、流程、细则”的完整制度体系。这不仅是满足监管合规的要求，更是内部管理的需要。
-
制度分层：建立从顶层政策到具体操作手册的多层次制度架构。
-
责任到人：在制度中明确各级数据安全管理责任人，压实“谁管业务、谁管数据、谁管安全”的责任。
-
定期评估：建立常态化的内部审计与检查机制，对照监管要求和内部制度，定期评估数据安全管理的有效性，并根据评估结果持续优化制度与流程。
-
第五步：技术落地支撑，实现“人防”与“技防”协同 制度与流程的最终落地，离不开强大的技术支撑。科技部门需要将管理要求转化为具体的技术能力，融入网络安全、业务系统和运维工具的建设中。
-
安全基线：在系统开发阶段，就将数据安全保护措施与系统功能“同步规划、同步建设、同步使用”。
-
自动化工具：部署数据分类分级、敏感数据识别、异常访问监测等自动化工具，提升风险发现的效率和准确性。
-
平台化能力：建设统一的数据安全管理平台，实现数据资产地图、权限管理、风险预警等能力的集中化、可视化。
-
第六步：强化意识培训，培育全员数据安全文化 技术和管理手段再完善，人的因素始终是关键。定期的培训与考试是提升全员数据安全意识、熟悉管理要求的有效途径。
-
分层培训：针对业务人员、技术人员、管理人员设计差异化的培训内容。
-
案例教学：通过剖析真实的数据安全事件，让抽象的风险变得具体可感。
-
文化培育：将数据安全理念融入企业文化，让“保护数据就是保护业务”成为全体员工的共识。
三、回归本源：从业务与信息化关系的演进看权责本质
要深刻理解上述路径的必要性，我们不妨从业务与信息化关系的演进中寻找答案。
-
从“手工账”到“系统账”的形态变化：在没有信息化的时代，业务通过纸质单据和手工账簿完成，业务部门自行负责档案的归档与保管。信息化之后，业务痕迹被电子化留存，科技手段通过交易流水、电子签章、密码技术、区块链等，赋予了电子数据与纸质单据同等的法律效力。
-
数据留存与用途管理的权责分离：当前，电子数据与纸质单据往往并存。电子数据由科技手段提供，而纸质单据的归档则遵循业务制度。这揭示了一个核心逻辑：数据最终是为了满足业务需求。业务人员根据业务需要（如查询、分析、留存时限、丢失容忍度、补救措施）来定义数据的使用规则。
-
业务价值与技术实现的协同统一：因此，定义“数据需要满足什么业务价值”是业务部门的职责，而“如何通过技术手段让数据安全、高效地提供业务价值”则是科技部门的职责。技术是业务能力的延伸和放大器，脱离了业务谈技术，技术便失去了存在的价值。
综上所述，破解数据权责的“灰色地带”，关键在于建立一个业务与科技协同作战的治理体系。业务部门作为数据的所有者，负责定义数据的业务价值和合规边界；科技部门作为能力的提供者，负责用技术手段保障数据的安全与高效流转。唯有如此，才能在数字化浪潮中，既守住安全的底线，又释放数据的价值。
【声明】本内容来自华为云开发者社区博主，不代表华为云及华为云开发者社区的观点和立场。转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息，否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱：
cloudbbs@huaweicloud.com
- 点赞
- 收藏
- 关注作者
评论（0）