网数小课堂丨从个人金融信息保护看《金融数据安全数据生命周期安全规范》
免费
吴丹君
时长/课时：14分钟/0.32课时
1个月之前
2021年4月，中国人民银行正式发布《金融数据安全数据生命周期安全规范》（JR/T 0223-2021）（以下简称“《规范》”）。该标准在根据《金融数据安全 数据安全分级指南》（JR/T 0197-2020）（以下简称“《数据安全分级指南》”）及《个人金融信息保护技术规范》（JR/T 0171-2020）相关要求进行金融数据安全级别分级的基础上，结合金融数据特点，梳理金融数据生命周期安全原则、防护要求、组织保障要求以及信息系统运维保障要求，建立覆盖数据采集、传输、存储、使用、删除及销毁全周期的金融数据安全管理框架，该标准适用于指导金融业机构开展电子数据安全防护工作，并为第三方测评机构等单位开展数据安全检查与评估工作提供参考。
个人金融信息保护是金融数据生命周期安全管理工作的重要组成部分。2021年3月，因涉及客户信息保护体制机制不健全、客户信息收集环节管理不规范等四项违法违规行为，中国银保监会消费者权益保护局对中信银行处以450万元罚款。处罚信息提及中信银行“未经客户本人授权查询并向第三方提供其个人银行账户交易信息”。[1]据悉，2020年5月，脱口秀演员“池子”（本名：王越池）曾发布微博称，中信银行上海虹口支行未获本人授权，将其个人账户流水提供给上海笑果文化传媒有限公司。这一事件再次将个人金融信息保护问题暴露在公众面前。
[1]中国银保监会消费者权益保护局：《中国银行保险监督管理委员会行政处罚信息公开表（银保监罚决字〔2021〕5号）》 (2021-03-19)[2021-04-21].http://www.cbirc.gov.cn/cn/view/pages/ItemDetail.html?docId=971766&itemId=4113.
问 应当对所有个人金融信息采取同样的保护措施吗？
答
对数据实施分级管理，能够进一步明确数据保护对象，有助于金融业机构合理分配数据保护资源和成本，对个人金融信息实施数据生命全周期保护亦是如此。
《个人金融信息保护技术规范》“4.2个人金融信息类别”细化《网络安全法》第二十一条的“数据分类”管理要求，根据信息遭到未经授权的查看或未经授权的变更后所产生的影响和危害，将个人金融信息按敏感程度从高到低分为C3、C2、C1三个类别，并设置相应安全技术要求与安全管理要求。
《数据安全分级指南》根据金融业机构数据安全性遭到破坏后的影响对象和所造成的影响程度，将数据安全级别从高到低划分为5级至1级。其中，个人金融信息中的C3类信息一般被划分为4级，C2类信息一般被划分为3级，而C1类信息一般被划分为2级。
需注意，两种或两种以上的低敏感程度类别信息经过汇聚融合等活动后可能会导致敏感程度上升，个人金融信息的安全级别亦会产生变动，需提升相应的安全保障手段。因此，《规范》7.4.7要求，汇聚融合前应根据汇聚融合后可能产生的数据内容、所用于的目的、范围等开展数据安全影响评估，并采取适当的技术保护措施。
问个人金融
个人金融信息的采集有何特殊要求？
答
《规范》7.1对金融业机构从外部机构及个人金融信息主体处采集数据的安全要求进行了详细规定。由于个人金融信息主体（以下简称“信息主体”）的“同意”是数据采集的主要合法性基础，《规范》特别强调，《规范》采集的个人金融信息应与提供的金融产品或服务直接相关，并与合同协议条款、隐私政策中约定采集的内容保持一致，不应超范围采集数据。从外部机构采集个人金融信息时亦需注意外部机构将该数据提供给金融业机构时是否已获得信息主体的同意或者符合相应法律要求，以确保数据来源的合法性。
此外，《规范》还要求金融业机构从个人金融信息主体处采集信息时，APP、WEB等客户端相关业务完成后不应留存3级及以上数据，并及时对缓存进行清理。结合《个人金融信息保护技术规范》，3级及以上的个人金融信息一般包括C3类信息与C2类信息：
问 传输不同安全级别的个人金融信息的安全要求有何不同？
答
《规范》7.2根据不同的传输形式和不同的传输对象对金融数据的传输作出了不同的安全要求，《个人金融信息保护技术规范》6.1.2亦对个人金融信息的传输提出一定要求：
C1类及以上 （2级及以上） | C2类及以上 （3级及以上） | C3类 （4级及以上） | |
内部传输 | 事先经过审批授权明确当前授权的范围、频次、有效期等，避免出现一次性授权、打包授权等情况 | ||
采取数据加密、安全传输通道或安全传输协议进行数据传输 | 对数据进行字段级加密，并采用安全的传输协议进行传输 | ||
外部传输 | 应事先经过审批授权并采取数据加密、安全传输通道或安全传输协议进行数据传输 | 原则上不应对外传输，若因业务需要确需传输的，应经过事先审批授权，并采取技术措施（加密通道或数据加密等）确保数据保密性 | |
| 因业务需要确需对外传输的，应对数据进行字段级加密，并采用安全的传输协议进行传输 | |||
| 4级数据中的个人金融信息原则上不应对外传输，国家及行业主管部门另有规定的除外 | |||
| 对于C3类别中的支付敏感信息，其安全传输技术控制措施应符合有关行业技术标准与行业主管部门有关规定要求 | |||
当金融业机构因金融产品或服务的需要，将个人金融信息提供给第三方机构时，不仅需满足以上与传输相关的安全要求，还需注意不得超出信息主体的授权范围向第三方机构提供个人金融信息，并不得将信息主体授权或者同意其将个人金融信息用于对外提供等作为与信息主体建立业务关系的先决条件，但该业务关系的性质决定需预先做出相关授权或者同意的除外。
《规范》7.4.10对金融业机构委托处理数据行为的安全要求做出了明确规定，其中针对个人金融信息，《规范》特别提出应事先对个人金融信息采用数据脱敏等方式防止个人金融信息泄露（因业务确需，以及国家及行业主管部门另有规定的除外），并进行个人金融信息安全影响评估，以采取相应的有效保护措施。
问 如何设置合理的数据访问制度？
答
数据访问是数据使用的基本方式，实践中也出现了多例因未设置合理数据访问制度而招致行政处罚的案例。比如2019年12月30日，中国银保监会江苏监管局对南京银行股份有限公司大厂支行的“员工违规代保管客户重要资料”等行为处以罚款30万元的行政处罚。
《规范》指出，金融业机构应综合考虑主体角色、信用等级、业务需要、时效性等因素，按最小化原则确定2级及以上数据的访问权限规则，并提出了数项制度建设要求：
制度建立 | 制度内容 |
访问权限申请和审核批准机制 | 3级及以上数据访问应建立访问权限申请和审核批准机制，并宜通过访问控制组件或访问控制代理技术对访问的终端设备、系统进行控制，以及实际操作和申请操作进行验证，保证实际操作与申请并审批的操作是一致的 |
多因素认证或二次授权制度 | 3级及以上的数据访问应实现多因素认证或二次授权，并应结合业务需要对数据采取脱敏和控制访问数据行数的技术措施，以满足最小化原则要求 |
身份认证制度 | 2级及以上的数据访问应进行身份认证，对访问者实名认证，将数据访问权限与实际访问者的身份或角色进行关联，防止数据的非授权访问 |
操作日志留存制度 | 2级及以上的数据访问过程应留存相关操作日志，操作日志应至少包含明确的主体、客体、操作时间、具体操作类型、操作结果等 |
批量查询审批制度 | 通过访问控制等措施限制频繁查询数据人员的数据访问频率，如柜员、客户经理、客服人员等确需批量查询的应通过相应审批并留存相关记录，并宜提供访问控制组件与审批结果的自动联动能力 |
定期审计制度 | 对数据的访问权限和实际访问控制情况进行定期审计，至少每半年1次对访问权限规则和已授权清单进行复核，及时清理已失效的账号和授权 |
问 如何防范工作人员的数据泄露风险？
答
在实践中，金融业机构工作人员私自访问、保存并违法对外提供个人金融信息是导致数据安全事件的一大原因。比如舟银保监罚决字〔2020〕5号行政处罚决定显示，中国银保监会舟山监管分局于2020年4月14日因银行人员王旭亮对岱山农商银行违规泄露客户信息负有主要责任而根据《银行业监督管理法》第四十八条对其处以“禁止从事银行业工作3年”的行政处罚；2020年1月15日，中国人民银行西安分行对兴业银行股份有限公司西安分行的“未及时停用已离职工作人员用户”等三项违法行为作出罚款38.5万元的行政处罚。
金融业机构可按照员工管理的不同阶段，采取相应管理手段降低数据泄露风险：
岗位设置 | 1.识别数据安全关键岗位； 2.数据库管理员、操作员及安全审计人员等岗位应设立专人专岗，并实行职责分离；必要时特权账户所有者、关键数据处理岗位等数据安全关键岗位应设立双人双岗，强化数据安全管理。 |
录用 | 1.录用员工前，进行必要的背景调查； 2.对数据安全关键岗位制定统一的保密协议，并与可接触机构3级及以上数据的员工以及从事数据安全关键岗位的员工签署保密协议； 3.与数据安全关键岗位员工签署数据安全岗位责任协议。 |
调岗 | 1.立即完成相关人员数据访问、使用等权限的配置调整，并明确有关人员后续的数据保护管理权限和保密责任； 2.若有关人员调整后的岗位不涉及数据的访问与处理的，明确其继续履行有关信息的保密义务要求。 |
离职 | 与员工终止劳动合同时，立即终止并收回其对数据的访问权限，明确并告知其继续履行有关信息的保密义务要求，并签订保密承诺书。 |
日常培训 | 1.制定数据安全相关岗位人员的安全专项培训计划，定期开展数据安全意识教育与培训，并对培训结果进行评价、记录和归档； 2.对密切接触高安全等级数据的人员定期开展数据安全意识教育和培训，培养办公数据定期删除意识，并定期开展数据删除自查工作； 3.每年至少对数据安全管理专职与关键岗位人员进行1次数据安全专项培训； 4.至少每年1次或在隐私政策发生重大变化时，对数据安全关键岗位上的人员开展专业化培训和考核，确保人员熟练掌握隐私政策和相关规程。 |
外部人员访问 | 1.对允许被外部人员访问的系统和网络资源建立数据存取控制机制、认证机制，列明所有外部用户名单及其权限； 2.加强对外部人员的数据安全要求和培训； 3.必要时签署保密协议。 |
作者：吴丹君律师 张振君律师助理
来源：微信公众号“大数据法律研究”
公司决议下次，股东是否打赏的卡死了肯德基阿里
声音
- 情感童声
- 性感男声
- 特别男声
- 普通男声
- 普通女声
语速
- 0.7X
- 1.0X
- 1.5X
- 2X
- 3X
- 4X
字号
- 特大
- 大
- 标准
- 小
作者
- 文章156
- 读者52w
- 关注25
- 点赞435
观韬中茂上海办公室合伙人，律商联讯LexisNexis网络安全合规专家、首席数据官联盟专家组成员及法律顾问、深圳市大数据研究与应用协会法律专家。
专注于互联网、数据信息合规领域，就网络安全和数据信息的合规事项为客户提供咨询及全流程合规整改服务。精耕于网络安全合规领域.
执业领域:
互联网|数据信息、兼并收购、外商直接投资、酒店等
曾为众多跨国公司和外国公司的在华投资、并购以及日常运营提供法律服务。
我也要当作者思想共享 知识变现
猜你喜欢
换一换作者推荐
换一换
常见问题
-
1、“点读”是什么？
点读是点睛网APP中的一款全民学法的人工智能（AI）新产品。它能“识字”和“朗读”，它使“读屏”变“听书”，解放读者的眼睛和颈椎。它使“讲课”变“写作”，解放讲师的时间和身心。
-
2、“点读”的作者？
在点睛网PC或APP端注册，登录点睛网PC端个人后台，点击“我的文章”，填写作者信息并上传文章。当第一篇文章通过编辑审核后，即成为点睛网的正式作者。
-
3、“点读”的文章？
作者在点睛网个人中心发布文章，编辑审核合格的才能呈现给读者。作者只能发布自己写的文章，不能发布或转发他人的文章。更不能发布有违法律法规、政府规定，或公序良俗、文明风尚、社会和谐等文章。
-
4、“点读”的审核？
作者文章上传后，编辑将在工作日最晚不超过24个小时、非工作日最晚不超过48个小时内完成审核。审核未通过的，说明理由。文章评论的审核，参照以上周期。