93号文倒计时：留给金融机构数据安全的窗口期，不多了

网御星云

2026年10月13日 16:30
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

这场考试，不看制度写了多少，只看能否拿出证据。

2025年12月17日，国家金融监督管理总局办公厅印发《关于开展金融机构数据安全管理能力提升专项行动的通知》（金办发〔2025〕93号），金融机构数据安全管理能力提升专项行动正式启动。

这次专项行动释放出的信号非常明确：

金融数据安全监管，正在从“有没有制度”，走向“有没有能力”；从“有没有建设”，走向“能不能验证”。

专项行动按照“发现一批、整改一批、通报一批、处罚一批”的思路推进，并通过自查整改、现场检查、交叉检查等方式，进一步检验金融机构数据安全管理能力。

时间表已经明确。

对于金融机构而言，真正需要关注的已经不是：

“我们的制度有没有写？”

而是：

“监管真正问起来，我们能不能拿出证据？”

*这次监管，真正考的是什么？*

过去的数据安全建设，很容易形成一种“重制度、轻落地”的状态：

有制度、有办法、有责任人、有管理要求。

但真正落到业务现场，却可能出现：

• 数据在哪里，不清楚；
• 哪些数据敏感，不清楚；
• 谁访问过，不清楚；
• 数据有没有被下载，不清楚；
• 生产数据有没有进入测试环境，不清楚；
• 接口把数据传给了谁，不清楚；
• 发生泄露以后，谁带走的，不清楚。

这就是金融数据安全核心的矛盾：

制度解决“应该做什么”，技术能力解决“到底做没做、做得怎么样、出了问题能不能查”。

所以，这一次监管检查真正关注的，不只是制度文件，而是：

有没有系统？有没有策略？有没有日志？有没有记录？有没有报告？有没有整改闭环？

一句话：监管要看的，不只是纸面承诺，而是可验证的落地事实。

这也意味着，金融机构的数据安全建设正在进入一个新的阶段：

从制度合规，走向能力合规。

最容易卡住金融机构的，是“技术保护”这一关

数据安全涉及治理、制度、人员、流程、技术等多个方面。

但在实际自查整改过程中，有一类问题尤其容易出现：

制度可以补，流程可以改，责任可以重新明确，但技术能力不是一纸制度就能补上的。

例如：

• 敏感数据怎么保护？
• 生产数据进入测试环境前怎么处理？
• 谁访问过敏感数据？
• 数据泄露后怎么追溯？
• 接口数据流向哪里？
• 高风险操作能不能及时发现和控制？

这些问题最终都会落到一个核心：

有没有真正落地的数据安全技术能力。

因此，从金融机构自查整改和实际建设角度看，以下六类能力尤其值得关注。

六类关键能力，接住监管的每一次追问

1.数据分类分级：先把“家底”摸清

金融机构数据安全建设的首要门槛，不在于买什么安全产品，而是先回答：

“我的数据到底在哪里？”

AI+数据分类分级系统可以自动发现数据库、文件等数据资产，结合金融行业分类分级规则，对数据进行智能识别、分类、分级和标签化管理，形成：

数据资产清单 + 敏感数据清单 + 分类分级结果。

分类分级的价值，不只是“分完级”。

因为后续的脱敏、水印、访问控制、流转监测，都需要以数据敏感程度为依据。

先把数据家底摸清，后面的安全防护才有“靶心”。

2.数据脱敏：让数据“能用”，更要“不可见”

金融机构大量数据安全风险，并不发生在非法访问，而发生在合法使用过程中。

生产数据进入测试环境、数据分析、业务查询、数据展示……都可能涉及敏感信息暴露。

静态脱敏解决：

生产数据进入测试、开发、分析环境时的安全处理。

动态脱敏解决：

业务人员正常访问数据时，根据人员、账号、系统、场景等条件动态隐藏敏感信息。

最终实现：

业务需要数据，但不必看到完整敏感信息。

让“数据可用不可见”，真正落到业务场景。

3.数据水印与溯源：出了问题，不能只问“谁干的”

防止数据泄露很重要，但发生泄露之后，更重要的是回答：

• 数据从哪里出来？
• 谁接触过？
• 什么时候流出？
• 哪一批数据被泄露？

数据水印通过在数据库、文件、页面等数据载体中嵌入可识别标识，为数据建立可追溯的“身份”。

一旦发生泄露，通过水印提取与关联分析，可以进一步定位数据来源和责任主体。

防得住，是第一道防线；查得清，是最后一道底线。

4.数据流转监测：真正危险的，往往是“数据怎么出去的”

金融机构的数据流转并不只发生在数据库，还广泛存在于文件、API等数据通道。

传统方式往往是不同链路分别建设审计能力，数据记录分散，很难形成统一的数据流转视图。

数据流转监测系统，将数据库、文件、API等多类数据流转场景纳入统一监测，实现数据访问、使用和流转行为的统一分析。

重点回答：

• 谁在访问？
• 访问了什么？
• 数据流向哪里？
• 有没有异常？
• 出了问题能不能追溯？

最终形成：

数据库 + 文件 + API，一套系统看清多类数据流转。

让数据流转从“分散可见”走向“全局可视”，从“出了问题再查”走向“风险提前发现”。

看清数据流向，才能真正管住数据流向。

5.数据访问与下载管控：最危险的不是“看”，而是“带走”

金融机构典型的高风险场景之一，就是：运维人员取数。

传统方式可能是：

登录数据库 → 查询数据 → 导出 → 下载到本地 → 再处理、再传输。

一旦数据离开受控环境，后续风险就很难控制。

因此，需要把：身份认证 → 授权 → 运维操作 → 数据访问 → 数据下载 → 文件使用串成一条完整链路。

堡垒机管住“谁能进入、进入后做了什么”；文档安全管控管住“数据能不能下载、下载后还能做什么”。

通过在线访问、审批下载、水印及权限控制等方式，减少敏感数据直接落地终端。

把“下载以后再管”，变成“数据离开之前就管住”。

6.数据安全运营：工具部署不少，风险是否真正下降？

分类分级、脱敏、水印、审计、访问控制……工具越来越多，金融机构还需要回答一个更重要的问题：

“我们的数据安全风险，到底有没有真正下降？”

这就需要从单点产品走向数据安全运营。

通过汇聚数据资产、风险、告警和合规等信息，形成：

资产可见 → 风险可感知 → 问题可定位 → 整改可跟踪 → 结果可验证。

让分散的安全工具真正形成一套数据安全能力体系。

不是“买了多少工具”，而是“形成了多少能力”。

距离交卷，还有多少时间？

对金融机构而言，现在真正该问的已经不是：

“我们的制度写完了吗？”

而是：

“如果监管明天来检查，我们能拿出什么？”

一张分类分级清单？

一套脱敏策略？

一批审计日志？

一份风险报告？

一次完整的溯源结果？

还是一套能够从发现问题到整改闭环的数据安全能力？

因为：

制度可以修改，流程可以调整，责任可以重新明确。

但数据资产需要盘点，分类分级需要落地，脱敏策略需要配置，监测能力需要部署，访问控制需要改造，安全运营需要持续开展。

能力建设，需要时间。

不必等监管问起，才着手补齐答案

金融数据安全正在从“合规要求”变成一场真正的“能力考试”。

• 制度，回答的是“应该做什么”；
• 技术，回答的是“能不能做到”；
• 日志和证据，回答的是“到底有没有做到”。

93号文带来的真正变化，不是让金融机构再增加一份制度、再采购一个平台。

而是推动金融机构重新审视：

• 数据在哪里？
• 风险在哪里？
• 谁在使用？
• 数据怎么流转？
• 出了问题能不能追溯？
• 监管来了能不能证明？

窗口期正在倒计时。

与其等监管追问时再补证据，不如现在就把“制度要求”变成“看得见、管得住、查得清、能举证”的数据安全能力。

93号文不是终点，而是金融数据安全从“制度合规”走向“能力合规”的一个重要节点。

小贴士：网御星云能力拆解

产品能力全

从数据分类分级，到动/静态数据脱敏、数据水印、数据流转安全监测、数据访问控制，再到数据安全治理与运营，各项能力按“发现→识别→防护→监测→溯源→运营”的逻辑衔接成体系，可依据金融机构的实际场景灵活搭配、组合落地，不必一步到位。

金融实践深

长期服务银行、保险、证券、期货等金融客户，对金融数据安全的难点有切身体会，可结合不同机构的实际场景提供针对性的落地参考。

合规落地强

数据安全不止于解决技术问题，更要支撑金融机构完成：对标标准 → 开展整改 → 建设能力 → 持续运营 → 监管举证，把监管要求真正转化为可验证的数据安全能力。