距离《关于开展金融机构数据安全管理能力提升专项行动的通知》（以下简称“93号文”）发布已近一年，其内容涵盖压实责任体系、推进数据分类分级、落实管理细节、强化安全技术能力、做好个人信息保护、完善风险监测处置六个方面，并以“自查—抽查—整改—通报—处罚”形成闭环。检查不再停留于纸面合规，而是既核查制度流程的执行，也验证技术手段的效能，更追溯数据全生命周期管控的落实情况。这也说明数据安全建设不应止步于一次性投入，而应沉淀为一套持续运转的常态化能力。

对于这场由“建起来”向“转起来”的跃迁，已有多家金融机构在主动探索。基于在金融行业的探索和实践，北京安华金和科技有限公司（以下简称“安华金和”）提炼出一套可复用的数据安全能力建设路径，为更多机构提供参考。该路径将人工智能嵌入分类分级、风险监测与日常运营等各个环节，提升单点能力，同时以统一的设计将这些节点衔接起来，使分散的能力连成体系、在运转中持续发挥作用。

机构数据安全体系面临的挑战。随着金融机构数字化转型的推进与业务规模的扩大，多数机构已运行数十乃至上百套业务系统，数据资产分散于核心系统、信贷管理系统、手机银行、数据仓库等多个平台。机构在此类IT环境中落地数据安全体系时，以下三个挑战为行业普遍关注：

海量资产难以持续梳理。数十乃至上百套业务系统，叠加持续增长的交易数据与影像文件，使资产规模不断扩大，动态更新成为长期课题。

数据流转难以精细管控。开发测试、外包运维、跨部门共享等场景中数据频繁流转，访问通道多样。难处不在“管不管”，而在“管哪里”：不掌握数据流向，管控只能一刀切，收紧了影响业务，放宽了形同虚设。流向说不清，精准便无从谈起。

常态化检查对运营效率提出了更高要求。93号文的监管要求不是一次性的，安全团队需要在有限的资源条件下，兼顾日常运营与持续迎检，压力不小。

三大挑战有一个共同之处：它们都不属于一次性的建设项目，而是需要长期维持的日常状态。资产要持续梳理，管控要持续保持精准，迎检要常有据可查。

家底包含两项内容：有哪些数据资产，各自属于什么级别。以往的资产梳理依靠人工登记，清单随业务调整即告失效。如今可通过“主动探测＋网络嗅探”双重机制，对数据库与业务系统进行持续识别，自动形成统一的数据资产清单；在发现资产的同时识别配置缺陷、权限滥用、脆弱性等潜在安全隐患，把风险识别前置到梳理环节，安全团队由此不必等到出事之后再回头排查。

针对金融机构大量存在的文档、表格、图片等非结构化数据，通过多模态大模型、OCR识别与本地规则识别等技术，自动发现其中的敏感信息并完成分类分级，进一步扩大数据安全治理覆盖范围。

家底的价值在于提供坐标。每一项分类分级结果都附有把握度，且可以逐项追溯判断依据。分类分级结果并非静态档案：它可以通过标准化接口推送至脱敏、水印、加密、审计等组件，触发相应策略。全部数据资产由此形成一张动态地图，而非一份冻结的清单，有了这张地图，管控才有准确的坐标。

家底回答“有什么”，风险则回答“流向何处、是否异常、能否追溯”。三者存在先后：流向不清，无从判断某次访问是否异常；判断不准，溯源便只能依赖人工翻检。

数据流向的还原。 从流量中测绘“应用—接口—库表—字段”的流转视图，并将账号、终端、服务器三类主体识别建档，数据从哪个系统流出、经由哪个接口、最终落于何处，均可在图上追溯。链路的另一层价值在于把技术符号还原为业务语言：为接口赋予业务化名称后，其业务含义才能看得懂。在此基础上，应用会话分析将原始账号与连接记录还原为具体的业务操作乃至具体的“人”。判定由此不再是“某账号调用了某接口”，而是“某岗位人员在办理某项业务”，同一次查询，落在核心库与落在临时表，风险等级截然不同。

异常访问的研判。 告警的价值取决于能否被准确研判。将应用侧、数据库侧与链路侧的告警汇聚关联，先行过滤确定性噪声，再依规则逻辑逐层研判；反复出现的误报沉淀为规则优化建议并回写审计策略，源头规则随之越用越准，机构也才有条件对更多系统开放监控。在此基础上，由模型对每条异常给出研判结论，并附以分析过程、命中依据、风险等级与处置建议，并标明置信度。

泄露路径的追溯。 一旦发生泄露，仅凭一个标识难以查清数据经过了哪些系统；跨系统、跨时段的记录分散各处，需人工拼接，待全貌形成，处置时机往往已经错过。可行方式是先建立模板：对自然人标识、业务身份标识与业务行为标识进行配置，选定时段即可发起追踪，自动生成事件全链路图，图中行为可标记为待定、正常或异常，形成可固化的电子证据。

前两层解决“看得清”，运营则解决“用得上、留得下”。运营层主要做两件事：把分散的能力统一纳管起来，把使用门槛降到“人人可用”。

统一纳管。 以往各系统分别运维、各自告警，同一件事在不同平台上重复呈现，运营人员需登录多个系统拼凑全貌。运营平台将分类分级、审计、脱敏、加密、运维管控等能力一并纳入，打通工具之间的壁垒，实现统一部署与统一运营；各类信号汇聚于一处做关联分析，一次数据访问从发起到落地的完整链条，在同一视图内即可看清。运营数据积累之后，平台还能反向提示：哪一环节告警最密集、哪类数据暴露面最大，策略调整由此有了依据，不必再等年度评估或凭经验判断。

智能副驾。 平台的模块越多，操作层级便越深，完成一件事所要经过的路径也就越长。智能副驾所改变的，正是这条路径。操作者无须逐层进入菜单，通过对话提出需求，即可完成取数、分析与成文；其思考过程完整呈现，每次调用了什么能力、为何调用均可追溯。反复发生的流程，经数次使用后可固化为可复用的技能，口径与历史结论亦可跨会话延续。人员交接时，能力也不会随人一起离开。

从行业实践来看，经过体系化的建设与一段时间的运营磨合，通常会在几个方面看到变化。数据资产纳管范围持续扩大，动态更新不再依赖专项推动，而是随业务变化自然发生；分类分级结果进入访问控制链路，成为策略生成的依据，而不再是独立的档案；安全运营由多点分散走向集中可视，响应效率与协同水平同步提升。这些变化的共同之处在于，它们都不是某一次行动的成果，而是体系开始自行运转之后显现的状态。

更值得关注的是重心的迁移。数据安全建设的第一阶段重在“建”，建制度、建工具、建团队，这一阶段的成果是可交付、可检查的；体系运转起来之后，重心自然转向“管”，管运转、管风险、管持续改进，这一阶段没有明确的终点，成效在长期运营中显现。从“建”到“管”，本质上是由按项目推进转向按日常运营推进：前者以交付为完成标准，后者以持续运转为衡量标准。

依托对监管政策的洞察与对金融业务场景的积淀，安华金和把这套路径沉淀为可复用的产品能力，助力客户从容应对合规检查，为其安全体系的长效运营筑牢根基。未来，安华金和将继续深耕金融领域，探索人工智能与数据安全的深度融合，为金融行业的高质量发展注入“安全力量”。