下载｜《金融数据安全 数据生命周期安全规范》重要内容解读

2021年4月8日全国金融标准化技术委员会正式公布了，由中国人民银行发布的JR/T 0223-2021 《金融数据安全 数据生命周期安全规范》标准（以下简称“数据安全规范”或“此规范”）,并于即日实施。

（注：文末可获取规范全文内容）

安恒信息作为此规范的起草单位之一，总结出标准中一些需要关注的重点，以飨读者。

标准适用范围

此规范适用于金融业机构开展电子数据安全防护使用，适用范围与JR/T 0171-2020《个人金融信息保护技术规范》基本一致，需要注意的是证券期货业可以参照JR/T 0158-2018 《证券期货业数据分类分级指引》等证券行业标准开展数据安全分级和保护工作。

标准间的联系

JR/T 0171-2020《个人金融信息保护技术规范》、JR/T 0197-2020《金融数据安全 数据安全分级指南》和此标准之间存在的联系如下图：

安全原则变化

上图对比了GB/T 35273-2020中个人信息安全基本原则与此规范之间的差异，引起这些差异的主要原因是金融数据的范围和内涵都大于个人金融信息，必然带来原则有所不同，尤其是对个人金融信息中的公开透明原则和主体参与原则，虽然在处理个人金融信息时依旧适用，但并不能广泛适用于所有的金融数据。

数据生命周期安全

此规范在制定过程中，结合金融行业实践，在金融数据生命周期的定义中，与GB/T 37988-2019《信息安全技术 数据安全能力成熟度模型》略有不同，见下图：

此规范将数据共享作为数据使用中的一个场景，而没有作为单独的过程域；又将GB/T 37988-2019中的数据销毁过程域拆分为数据删除和数据销毁，更加符合业务实践。数据使用被细分为10个场景，并对每个场景都提出具体的安全要求，将在后续标准深度解析文章中进行详细介绍。

数据安全组织保障

数据安全组织保障从组织结构、制度体系、人员管理、第三方机构管理四个方面进行规范，为数据安全相关工作的组织和落实奠定基础。

金融业机构应建立由决策层、管理层、执行层、监督层四级架构建立数据安全组织架构，必须有明确的数据安全管理部门，必须有明确的数据安全管理岗位人员。

金融业机构应建立方针政策、管理规定、操作手册指南、工作表单建立四级数据安全管理体系。并形成涵盖数据安全生命周期的规范和制度，并定期审核和更新。

金融业机构应识别数据安全关键岗位，对关键岗位人员加强保密、岗位变动、离职管理，加强关键岗位人员技能和意识培训，建立关键岗位人员与高安全定级数据间的对应关系，定期分析访问行为，对数据库管理进行职责分离，必要时设立双人双岗。

金融业机构还需强化对参与数据生命周期过程的第三方机构和人员的安全管理，明确权责，评估其数据安全保护能力、意愿，监督保护措施的执行情况，如使用第三方具有数据处理功能的产品和服务时，应要求其满足本规范的要求，进行技术测试和检查，监控其运行。

信息系统运维保障

信息系统运维过程的数据安全防控工作也不容忽视，加强在边界管控、访问控制、安全监测、安全审计、检查评估、应急响应与事件处置等过程中的数据安全风险防控能力，可有力保障数据安全防护机制的有效执行和数据安全问题的及时发现和应对。

在边界控制部分，除要求按照“最小权限”原则进行区域划分、技术隔离、终端管控外，尤其强调应用防护、API网关、数据库防护等应用层防护技术在数据安全防护中的应用。

在访问控制部分，要求按照“业务必需、最小权限、职责分离”的原则，制定访问控制策略，从物理环境、信息系统与介质、数据存储系统三个方面做好身份鉴别、权限控制、授权审批等安全控制措施。

在安全监测部分，要求具有数据溯源、流量分析、异常行为监测、态势感知的安全能力。其中数据溯源要求对数据生命周期过程中数据的采集、查询、修改、删除、共享等相关操作进行跟踪，通过留存金融数据流动记录等方式，确保金融数据相关操作行为可追溯。要实现数据溯源，需要保证溯源数据安全，并具备溯源分析、行为建模、影响评估等一系列能力。

在安全审计部分，要求审计覆盖范围广、日志内容全、审计数据不可更改、审计过程不能终止、审计数据不能泄露，并要求对包含高级别数据的日志进行更好保护。

在检查评估部分，要求建立数据安全检查评估机制和计划，定期开展数据安全检查评估工作，当合规、业务、IT系统发生重大变化时开展数据安全评估。

在应急响应与事件处置部分，要求制定数据安全应急响应预案，定期进行演练，数据安全事件应分级管理，发生数据安全事件及时向金融主管部门上报等。

附录A 数据采集模式

金融数据采集流程实现对数据的采集与提取、数据转换与标准化、信息交换与上传，并提供内置安全审计与监管等辅助工具。按照采集模式，可分为从外部机构和从个人金融信息主体处采集数据。见下图：

附录B数据传输模式

金融数据传输涉及与金融业机构相关联的全通信网络架构，按照传输模式，可分为金融业机构内部数据传输和金融业机构与外部机构间的数据传输两种形式，不同传输形式和不同传输对象间所采用的数据传输技术方式也不同，见下图：

各传输方式应采取“7.2数据传输”中要求的措施，保证数据传输安全。

附录C数据脱敏

为金融行业数据脱敏制定“有效性、高效性、可重现、关联性、可配置性”五大基本原则，为个人金融信息和金融重要数据的常见脱敏算法和场景进行定义和举例，并将数据脱敏应用分为静态脱敏和动态脱敏两类，按照技术场景和业务场景进行数据脱敏应用的示例，见下图：

此规范还对以下数据提供各技术场景下的脱敏示例:

Ø 联系人姓名

Ø 企业户名

Ø 身份证号码

Ø 护照号码

Ø 地址

Ø 车牌号码

Ø 固定电话

Ø 手机号码

Ø 电子邮箱

Ø 密码

Ø 金融账号

Ø 银行卡号码

Ø 存折账号

Ø 增值税税号

附录D数据水印

为结构数据的数据水印技术提供定义和基本原则，列举伪行水印、伪列水印、脱敏水印这三种最常见的水印技术，并将数据水印应用分为静态水印和动态水印两类，按照技术场景和业务场景进行应用的示例。

JR/T 0223-2021 《金融数据安全数据生命周期安全规范》结合金融行业应用场景特点，深度剖析金融数据的防护需求，建立覆盖金融数据生命周期各阶段的安全防护框架，有助于金融行业机构实现数据资源保护和成本的优化配置；有助于金融业机构建立统一、标准化的数据安全管理体系；有助于金融数据在机构间、行业间的安全共享；有助于金融行业数据价值的挖掘与实现。本文仅能对此规范进行概述和重点内容的解读，安恒信息将持续推出此规范的系列深度解读，敬请期待。

安恒信息为金融客户提供包含数据安全咨询规划、数据安全防护体系建设、数据安全运营服务的数据安全治理体系建设方案；近期更发布了业内领先的CAPE数据安全能力框架，为数字经济保驾护航。

如何获取规范内容

扫描下方二维码

即可获取