守“数”有责 共话数据安全建设
【编者按】
数字时代，数据已然成为核心生产要素，数据安全更是企业平稳运行、规范发展的底线与基石。“安全”没有局外人，“责任”不分主配角。公司各职能单位尽管岗位不同、职责各异，却同样肩负着数据管理、风险防控、合规运维的重要使命。本期专题，我们邀请到与数据安全管理深入接触的部分同仁，立足岗位履职实际，从管理规范、流程管控、风险防范、责任落实等多维度，畅谈数据安全工作思路、实践举措与思考感悟，剖析潜在安全隐患，探讨共治防护路径。
以言明责，以行筑防。愿以本期数据安全专题交流为契机，凝聚总分支各单位共识、压实全员安全责任，织密数据安全防护网络，共筑坚实可靠的数字安全屏障。
聚焦数据安全的实践与思考：
从处罚透视合规，以审计构筑风险防控“第三道防线”
苏银/稽核调查部
近年来，金融行业因数据安全管理问题已经导致多起监管处罚案例，处罚主体涵盖中国人民银行、国家金
融监督管理总局及其派出机构、通信管理局等权威监管部门。违规类型集中在数据安全管理不到位、网络安全与等保不合规、数据报送不及时或不真实、个人信息保护缺失等问题上，典型风险表现为数据泄露、违规收集个人信息、系统存在安全漏洞、内部人员倒卖客户信息等。例如，某农商行因“违反数据安全管理相关规定”被罚款100万元，其零售金融部与维护中心的两名直接责任人，分别被罚款14万元；某保险集团因偿付能力报告数据不准确被罚款140万元，两名责任人合计被罚款18万元等，严厉的处罚给机构带来较大的声誉与合规风险。
2026年以来，数据安全领域监管执法也在持续加码，“高额处罚”与“双罚制”（罚机构+罚责任人）已经成为常态。透过这些密集的罚单，我们可以清晰观察到监管逻辑的演变与趋严态势。险企的内部审计，作为风险防控“第三道防线”的角色定位，也正在经历从传统的“事后追责”向“前置干预与持续监测”的战略性重塑。
目前各监管部门对于数据安全审计的要求及主要的处罚要点如下：
在我司由业务部门（第一道防线）、风险合规部门（第二道防线）和内部审计部门（第三道防线）构成的风险防控体系中，内部审计凭借独立性与客观性，正在发挥不可替代的监督与纠偏作用。根据最新监管要求，数据安全必须被深度纳入全面风险管理体系。从个人工作实践来看，针对数据安全的审计，视线也必须横跨业务逻辑、底层架构与法律合规。
审计方式方面：应加速实现从“阶段性抽查”向“常态化持续审计”的跨越。面对大数据平台与分布式架构，审计人员应逐步减少人工翻阅凭证，转而利用数据防泄露（DLP）、数据库审计日志等工具，对数据的全生命周期探索自动化监控。同时，一旦发生重大数据安全事件，应当即刻开展专项审计，回溯系统漏洞与管理链条断裂点；此外，覆盖第三方合作机构的数据安全审计也应成为常态，以确保合作服务商的安全基准不低于机构自身的防护要求。
审计内容与核心要点方面：
一、狠抓审查组织架构与治理责任的实质性落地。应重点检查数据安全管理组织和机制是否有效运行，是否真正落实了“谁管业务、谁管业务数据、谁管数据安全”的核心原则，数据管理归口部门、数据安全归口部门、信息科技部门、业务部门、法律合规部门、内部审计部门之间的职责边界是否清晰。
二、紧盯数据分类分级与资产目录管理。财产险公司的数据来源广、流转快，既有客户身份、车辆、公司经营等基础信息，也有保单、缴费、批改、报案、查勘、定损、理赔、追偿等业务信息。审计应关注数据目录是否完整，重要数据和敏感数据是否分类分级且充分标注，新增系统、新增接口、新增外部合作场景是否动态纳入数据资产管理。
三、结合业务场景进行穿行测试。数据安全真正的风险，往往不在制度里，而在业务现场。例如，营销场景中客户信息是否超范围使用，理赔场景中影像资料、身份证件、病历材料是否按最小必要原则访问，测试环境是否使用真实生产数据，数据导出是否缺少审批和水印，外包人员是否存在长期账号、共享账号或权限未及时回收等。针对这些问题，审计人员应当抽取具体系统进行穿行核验，避免只看制度、不看执行。
四、持续深化技术控制。数据安全离不开技术手段的支撑。审计人员应关注身份认证、访问控制、数据脱敏、传输加密、日志审计、异常行为监测、备份恢复、接口调用管控等措施是否有效。尤其是在公司推进数智化系统建设、AI工具应用的过程中，更要关注数据调用边界、权限审批流程、日志留存等机制。同时，对第三方合作机构、外包服务商、软件厂商，应检查合同禁止条款、数据使用范围、接口权限、退出机制和安全事件报告机制，避免数据在公司边界之外失控。
在数据合规从“选择题”演变为“生存底线”的当下，监管的趋严趋细要求以及持续重拳处罚，已经释放出清晰信号：任何漠视数据生命线、流于形式的安全管理都将面临穿透式的严厉问责。内部审计的使命也绝不在于“挑毛病”，真正的价值在于帮助公司把隐患发现于未发、风险化解于日常，并持续锻造出支撑战略转型的“免疫系统”。