实施全链路的敏感数据访问审计

银行保险机构在外采第三方科技服务业务时，应注意选择能够全面记录敏感数据访问审计功能的产品和服务商，如全面记录数据访问路径和敏感数据上下文信息，动态构建由业务用户、业务应用、API 路径、原点用户、数据库账号、访问接入点、数据位置、敏感数据类型等节点组成的流转轨迹，同时可呈现位置、时间、次数等关联信息。基于链路节点和上下文信息自定义敏感数据访问的监督看板，提升事中监督和事后溯源效能。

建立灵活的最小权限管控机制

银行保险机构在对外提供数据、梳理外包服务商获取、留存的银行保险机构数据时，应选择支持实现数据访问控制、数据自助授权、数据动态脱敏、数据流转轨迹、数据安全审计等诸多功能的一体化产品与服务。例如能够自定义配置并执行访问控制策略， 能够允许、拒绝或告警特定用户对特定数据集的访问；能够通过访问权限自动化配置，实现审批即授权、承诺即授权。此外，能够按照应用场景配置脱敏算法和脱敏规则组合，根据不同条件配置数据交付策略；无需进行业务改造即可实现应用前端展示的敏感数据动态脱敏。

采用数据安全策略一体化架构

传统的数据安全产品往往是单点能力，多种产品组合方案提供的数据安全策略往往被割裂为不同数据安全产品上配置的多个不同策略，例如数据库防火墙中的访问控制策略、数据脱敏产品中的脱敏策略等等。银行保险机构应注意选择能够将这些安全策略整合为统一的数据安全策略的产品，通过配置统一的数据集合、数据交付策略、数据访问策略达到对不同数据源的统一安全管控，降低数据安全风险范围。

提升多租户模式数据安全管理能力

建议金融机构通过多租户模式数据安全管理能力为外包服务商赋能，外包服务商很少有专业的安全能力来保障合作过程持续满足安全合规要求，采用自建的方式不但提高外包合作成本，同时短期也无法达到预期的安全合规效果。通过采用云原生框架并支持多租户的一体化数据安全平台，为不同的外包服务商开通租户环境，从而降低外包服务商拥有安全产品能力的门槛。再配合安全厂商提供的云托管服务，进一步降低外包服务商拥有安全运维能力的门槛。最重要的是，租户环境天然满足安全管理责任隔离的同时，云托管服务使外包快速达到安全合规所必需的数据安全保障水平。

采用更为整体的数据安全管理平台

建议金融机构使用一体化的数据安全管理平台，来履行外包服务商的代监管义务。通过外包服务商的审计数据汇总，一体化的数据安全平台能够从敏感数据发现、识别、保护、监督到识别的一体化协同技术保护措施，可以统一分析潜在敏感数据泄露风险，以及数据盗用滥用风险。

完善外包合作框架协议

金融监管总局对银行保险机构提出了明确的责任要求，要求金融机构承担数据安全主体责任，统筹管理科技风险，压实外包服务商安全责任，确保委托处理的数据受加密或脱敏保护，确保受托方的数据采集与处理行为被审计，但是未对外包服务商提出明确责任要求。需要金融机构与外采科技服务供应商在合作框架中明确权责边界。例如外包服务商有责向金融机构上报委托处理的完整数据资产，并且外包服务商有责任确保监控探针与安全控制器的正确部署与稳定运行等等。