1、 ICS 35.240.40 A 11 JR 中华人民共和国 金融 行业标准 JR/T 0197 2020 金融数据安全 数据安全分级指南 Financial data security Guidelines for data security classification 2020 - 09 - 23 发布 2020 - 09 - 23 实施 中国人民银行 发布 JR/T 0197 2020 I 目 次 前 言 . II 引 言 . III 1 范围 . 1 2 规范性引用文件 . 1 3 术语和定义 . 1 4 目标、原则和范围 . 3 5 数据安全定级 . 4 6 重要 数据识 别 .
2、10 附 录 A（资料性附录） 数据定级规则参考表 . 11 附 录 B（资料性附录） 数据安全级别变化事宜 . 46 附 录 C（资料性附录） 重要数据 . 47 参 考 文 献 . 48 JR/T 0197 2020 II 前 言 本标准按照 GB/T 1.1 2009给出的规则起草。 本标准由 中国 人民银行 提出。 本标准由全 国金融标准化技术委员会（ SAC/TC 180）归口。 本标准起草单位 ： 中国 人民银行 科技司 、 中国银行保险监督管理委员会 统计信息与风险监测部 、 国 家金融 IC卡安全检测中心（银行卡检测中心） 、 深圳市长亮科技股份有限 公司 、 中国银行保险信
3、息技术 管理有限 公司 、 招商银行 股 份 有 限公司 、 中国平安财产保险股份有限公司 、 中国长城资产管理股份有限 公司 、 蚂蚁科技集团股份有限公司 、 平安保险（集团）股份 有限公司 、 中国 人民银行 金融信息中心 、 中 国 人民银行 数字 货币研究所 、 兴业银行股份有限公司 、 中国农业银行股份有限公司 、 中国建设银行股份 有限公司 、 中国工商银行股份有限公司 、 恒丰银行股份有限公司 、 中国银联股份有限公司 、 网联清算有 限公司 、 中国银行股份有限公司 、 平安银行股份有限公司 、 中电数据服务有限公司 ， 中国电力财务有限 公司 、 中国外汇交易中 心 、 中国
4、 人民银行 营业管理部 、 中国 人民 银行 南京分行 、 中国 人民银行 福 州 中 心 支 行 、 中国金融电子化公司 、 西南财经大学 。 本 标 准主要起草人： 李伟、 陈立吾 、沈筱彦、车珍、曲维民、昝新、夏磊 、 方怡 、 孙 衍琪、渠韶光、 陈聪、 居崑 、 杨波、 高强裔 、 熊琳、辜敏、 陈裕源 、 张曦 、 李隆春、李水旺 、 俞吴杰、刘建民 、 张小松 、 由宜、吕良玉 、 落红卫、王昕、姜永庆 、 黄飞生、王衍强 、 朱建强 、 时向一 、 狄刚、吕毅 、 栾 家阳，郭 智超 、 赵 珺、万适 、 刘静芳、刘超 、 范博文、李雯、张耀峰 、 郑超 、 吴彦涵、杨溢 、
5、强群力、郭林 、 陈 雪秀、公丽丽 、 母延燕、马鑫 、 周亚超 、 王 良浩 、 梁钰清、 缪章 娟 、 薛金川 、 任军远 、 廖学清 、 刘书 元、 侯漫丽 、 陈文 。 JR/T 0197 2020 III 引 言 随着信息技 术的发展 ，众多金融基础业务 、核心流程、行业间往来等事务和活 动 均 已运行在信息化 支撑载体之上， 金融 业机构生产运行过程中产生的信息也逐步以不同形式转化为数字资产 ， 在 不同 信息 网络 与 系统 之间 流转 。随着大数据、人工智能、云计算等新技术在金融业的深入应用，数据逐步实现了 从信息化资产到生产要素的转变，其重要性日益凸显。金融业机构 数据 安全
6、威胁的影响 范围 逐步从机构 内 扩大至行业间，甚至影响 国家 安全、社会秩序、公众利益与金融市场稳定。 金融 数据复杂多样，对 数据 实 施 分 级管理，能够 进一步 明确数据 保护对象 ，有助于 金融业机构 合理 分配数据保护 资源和成 本，是 金融业机构 建立完善的 金融 数据 生命周期 保护框架的基础 ， 也 是 有的放矢 地实施数据安全管理的前 提条件。同时，统一的数据分级管 理制度，能够促进数据在机构间、行业间的 安全共享，有利 于金融行业数据价值的挖掘与实现。 为 落实中共中央 、 国务院 加强数据资源整合和安全保护 相关 工作 要求 ，指导金融业机构合理 开展 金 融数据安全
7、定级 工作 ，有效 落实 金融数据生命周期 全过程 安全管理 策略 ， 进一步 提高 金融业 数据管 理和 安全防护水平，确保金融数据的 安全应用， 编制本标 准 。 JR/T 0197 2020 1 金 融 数据安全 数据安全分 级指 南 1 范围 本标准 给出 了 金融数据安全分级 的 目标、原则和 范围，以及数 据安全定级 的 要素、规则和定级过程 。 本 标 准适用于金融业机构开展电 子 数据安 全分级工作 ， 并 为第三方 评估机构等单位开展数据安全检 查与评估工作提供参考。 2 规范性引用文件 下 列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅 注日期的版本适用于本文
8、件。 凡是 不注日期的引用文件 ，其最新版本（包括 所有的修改单）适用于本文件。 GB/T 4754 2017 国民经济行业分类 GB/T 5271.1 2000 信息 技 术 词汇 第 1部分：基本术语 GB/T 25069 2010 信息 安全技术 术语 GB/Z 28828 2012 信息安全 技 术 公共及商用服务 信息系统个人信息保护指南 GB/T 35273 2020 信息安全 技术 个 人信息安全规范 JR/T 0158 2018 证券期货业数据分类分级指引 JR/T 0171 2020 个人金融 信息保护 技术规范 3 术语和定义 GB/T 25069 2010、 GB/T 3
9、5273 2017界定的以及下列术语和定义适用于本文件。 3.1 信 息 information 关于客体 （ 如 事实、事件、 事物、过程 或思想 ， 包 括概念）的知 识，在一定的场 合中具有特定的 意 义。 注： 改写 GB/T 5271.1 2000，定义 2.01.01.01。 3.2 数据 data 信息的可再解释的形式化表示， 以适用于通信、解释或处理。 注： 可以通过人工或自动手段处理。 GB/T 5271.1 2000， 定义 2.01.01.02 3.3 隐私 privacy 个 人 所具有的控制或影响与之相关信息的权限，涉及由谁收集和存储、由谁披 露。 JR/T 0197
10、 2020 2 GB/T 25069 2010， 定义 2.1.63 3.4 信息处理 information processing 对信息操作 的系统 执 行 ，包括数据处 理，也可包括诸 如数据通信和办 公自动化之类的操作。 注： 术语 “信 息处 理”不能用为 “数据处理”的同义词。 GB/T 5271.1 2000， 定义 2.01.01.05 3.5 数据处理 data processing 数据操作的系统执行。 示例： 数 据的数 学运算或逻辑运算，数据的归并或分类，程序的汇编或编译，或文本 的操作，诸如编辑、分类、归 并、存储、检索、显示或打印。 注 1： 术语“数据处理”不能用
11、为“信息处理”的同义词。 注 2： 改写 GB/T 5271.1 2000， 定义 2.01.01.06 3.6 保密性 confidentiality 使信息 不泄露 给未授权 的个人、实体、进程， 或不被其利用的特性。 GB/T 25069 2010， 定 义 2.1.1 3.7 完 整 性 integrity 保卫资产准 确 和完整 的特性。 注： 改写 GB/T 25069 2010，定 义 2.1.42。 3.8 可用性 availability 已授权实体一旦需要就可访问和使用的数据和资 源的特性。 GB/T 25069 2010， 定 义 2.1.20 3.9 安全级别 secu
12、rity level 有关敏感信息访问的级别划分，以此级别加之安全范畴能更精细 地控制对数据的访问。 GB/T 25069 2010， 定 义 2.2.1.6 3.10 金融数据 financial data 金融业机构开展金融业务、提供金融服务以及 日 常 经营管理所需或产生的各类数据。 注： 该类数据可用传统数据处理技术或大数据处理技 术进行组织、存储、计算、分析和管理。 3.11 个人 金融 信息 personal financial information JR/T 0197 2020 3 金融业机构通过提供金融产品和服务或者其他渠道获取、加工和保存的个人信息。 注 1： 个人金融 信
13、息包括 账户信 息、鉴别信息、金融交易 信息、个人身份信息、财产信息、借贷信息及 其他反映特 定个人某些情况的 信息。 注 2： 改写 GB/T 35273 2020，定义 3.1。 3.12 个人金融信息主体 personal financial information subject 个人金融信息所标识的自然人 。 注： 改写 GB/T 352732020，定 义 3.3。 3.13 影响 impact 事件的后 果 。在信息安 全中，一般指不测事件的后果。 GB/T 25069 2010， 定 义 2.3.105 4 目标、原则和范围 4.1 数据安全定级目标 数据安全 定级 旨在 对数
14、据资 产进行 全面 梳理并 确立 适当的数据安全 分级 ， 是 金融业机构 实施 有效 数 据 分级管理 的 必要 前提和基础 。 数据分级管理是建 立统 一、 完善的数 据 生命周期安全保护框架的基础工 作，能够为 金融业机构制定 有针对性的数据安全管控措施提供支撑。 金融业 包 括 货 币金融服务 、资本市 场 服务 、保险业 等 ， 参 见 GB/T 4754 2017。本标准所述“金融业机构”是指从事上述金融业 的 相 关机 构。 4.2 数据安全定级原则 数据 安全 定级 遵循以下原则 ： a) 合法合规性原则： 满足国家法律法规及行业主管 部门有关规定。 b) 可执行性原则： 数据
15、 定级规则 避免过于复杂 ， 以 确保 数据 定级工作 的可行性。 c) 时效性原则： 数据 安全级别 具有一定 的有效期 限 ，金融业 机构 宜 按照 级别变 更策略 对数据级 别 进行及 时调整。 d) 自主性原则： 结合 金融业 机构 自身 数据管理需要（如战略需要、 业务 需要 、 风 险 接受程度等） ， 在 本 标准 的框 架下 自主确定数据 安全 级别。 e) 差异 性 原 则： 根据本机构数据的类型、敏感程度等 差异 ， 划分不同的数据安全层级，并 将 数 据 分散 至不同的级别中，不 宜 将所有数据集中划分到 其 中若干 个 级别中。 f) 客观性原则：数据 定级规则 是 客
16、观 且 可 校验 的 ，即通过数据自身 的属性和定级规则即可判定其 级别， 并 且 数据 的 定级 是 可复核和检查的。 4.3 数据安全定级范围 金融 数据安全定级 过 程 中 ， 未经电子化的 金融 数据，依据 档案文件等 有关管理规范 执行；涉及国 家 秘密的 金融数据 ，依据国家有关法律法 规执行，不在本标 准规定的 范 围之内 。证券行业数据 安全分级工 作 可 参 照 JR/T 0158 2018执行 。 其中 ， 安全定级工作 所 涉及的 金融数据 包括但不限于： 提供金 融产品 或服务过程中 直接（或间接）采集的数据，包括通过柜面以纸质协议签署或收 JR/T 0197 2020
17、 4 集，并经信息处理后在计算机系统中流转或保存的数据，以及通过信息系 统签约或收集的电 子信息 。 金融业 机构信 息系统内生成和存 储 的 数据，包括业 务数据、经营管理数 据等，其中： 业务数据指金融业 机构在提 供 金融产 品或服 务过程中 产生的 数据，如 交易信息 、统计数据 等 。 经营管理数据指金 融业 机构在履行职能与经营 管理过程中采集、产 生的数据，如 营 销 服务 数据 、运营数据、风险管理数据 、技术管理数据（如程序代码、系统以及网络等）、统 计 分析数据 、综合管理数据等。 金融 业机 构内部办公网络与办公设备（终端）中产生、交换、归档的电子数据，如机构内部 日常事
18、务处理信息、政策法规与部门规章、业务终端临时存储的业务或 经营管理数据、电子 邮件信息等 。 金融业机构原纸质文件经 过 扫 描或其他电子化手段 形成的电子数 据 。 其他 宜 进行分级的金融数据 。 5 数据 安 全定级 5.1 定级要素 5.1.1 概 述 安全性（保 密性、完整 性、可用性）是信息安全风险评估 中的 重要参考属性。数据安全性遭到破坏 后可能 造成的影响（ 如 可 能造成的 危害、损失或潜在风险等） ，是确定数据安全级别的重要判断依据 ， 主要 考虑影响对象与影响程度两 个要素。 5.1.2 影响对象 影响对象指金融业机构数据 安全性 遭受破坏后受到影响的对象，包括国家安全
19、、公众权益、个人隐 私、企业合法权益等。影响对象的确定 主要 考虑以下内容 ： 影响对象为 国家安全的 情况，一般指数据的安全性遭到破 坏 后 ，可能对 国家 政权稳固、领土 主权、民族团结 、 社会和金融市场稳定 等 造成影响 。 影 响 对象为公众权益 的情况， 一般指 数据的安 全性遭到 破坏后 ，可能对 生产经营、教学科研、 医疗卫生、公共交通等社会秩序 和 公众的政治权利、人 身自由、经济权 益等造成影响 。 影响对象为 个人隐私 的 情 况 ， 一 般指 数据的安全 性遭到破坏 后，可 能对个人金融信息主体的 个人 信息、私人活动和私有领域 等造成影响 。 影响对象为企业合法 权益
20、的情况，一般指 数据的安全性遭到破坏后，可能对 某 企业或其他组 织 （可能是金融业机构 ，也可能是其他行业 机构）的生产运营、声誉形象、公信力等 造 成 影 响。 5.1.3 影响程度 影响程度指 金融业机构 数 据 安全性遭到破坏后 所产生影响的大小 ， 从高到低划分为 严 重 损害 、 一般 损害 、 轻微 损害 和 无 损害 ， 相关说明如表 1所示 ，可作为影响程度 判定的参 考 。影响程度的 确定 宜 综合 考虑 数据类型 、数据特征与数据规 模等因素，并结 合金融业务属性 确定数 据安全性遭到破坏 后 的 影响程 度， 例如： 数据安全性遭到 破坏后，客户的 个人自然信息 产生的
21、影响程度通常要高于单 位基本信息 。 数据安全性遭到破 坏后，身份鉴别信 息 产生的影响程度通常要高于个人 基本概 况 信息 。 JR/T 0197 2020 5 交易信息 中对实时 性要求较高的数据，其安全性遭到破坏产生 的 影 响程度通常要高于 实时性 要求 较低 的数据 等。 表 1 影响 程度 说明 影 响 程度 参考说明 严重 损害 1.可能导致危及国家安全的重大事件，发生危害国家利益或 造成重大损失的情 况。 2.可能导致严重 危害社会秩序和 公共利益， 引发公众广泛诉讼 等事件，或者导 致 金融市场秩序遭到 严重破坏等情况。 3.可能导致金融业机 构遭到监管部门严 重处罚，或者影
22、响重要 /关键业务无法正 常开 展的情况。 4.可能导致重大个人信息安全风 险、侵犯个人隐私等 严重危害个人 权益的事件。 一般损害 1.可能导致危害社会秩序和公共利益的事件，引发区域性集体诉讼 事 件 ，或者导致金融市场秩序遭 到破坏 等情况。 2.可能导致 金 融业机构 遭到监 管部门处罚 ，或者影响 部分业务无法正常开展的情况。 3.可能导致一定规模的个人信息泄 漏、滥用等安全 风 险 ，或对 个人权 益可能造 成一定影响的事 件。 轻微损害 1.可能导致 个别诉讼事件 ， 使 金融业机构经济利益、声誉等轻微受损 。 2.可能导致金融 业机构部分业务临 时性中断 等 情况 。 3.可能导
23、致超出个人客 户授权加工、处理、使用 数据 等 情况，对个人权 益造成部分或潜 在影 响。 无 损害 对 企业合法权益和个人隐私等 不 造成 影响 ， 或仅 造成 微弱 影响 但 不会影响国家安全、 公 众 权益 、 金融市场秩序或者金融业 机构各项业务正常开展。 5.2 要素 识别 5.2.1 安全影响评估 安全 影响 评估 宜 综合考虑数据类型、数据内容、数据规模、数据来源、 机构职能和业务特点等因素， 对数据安全性 （保密性、完整 性、可用 性）遭 受破坏后 所 造成的影响 进 行 评估 。评估 过程中 ， 根据实际 情况识别 各项 安全 性在影响评定中的优先级，分别进行保 密 性 、完
24、整性及可用性 评估，并综合考虑 保密 性、完整性及可用性的评估结果，形成 最终安全影响评估。 保密性 评估： 通过评价数据 遭受未经授权 的披露 所造成 的影响，以及机构继续使用这些数据可 能产生的影响， 进行数据保密 性 评 估。评估 的内容包括但不限于： 数据未经授权的披 露，可能 对 国家安 全、公 众权益、个人 隐私 及 企业合法权益 造成的损害， 以及损害的 严重 程度 。 数据被非授权对象获取或利用，可能对 国家安全、 公众权益、 个人隐 私 及 企业 合法 权益 造 成 的 损 害，以及损害 的 严重 程度 。 数据 被 非授权对 象利用进行窃 密、篡改、销 毁或拒绝服务等攻击，
25、可能对 国 家 安全、公众 权益、 个人隐私 及 企业合 法权益 等 造成的损害，以及损害的 严重 程度 。 数据的未经授权披露或传 播是否违反国家法律 法规、行业主管部门 有关规定或机构内部 管 理 规定。 完整性评估： 通过评价数据遭受未经授权 的 修 改或损 毁所造成的影响，以及机 构继续使用这些 数据可能 产生 的影响， 进行数据完整性评估 。评估的内容包括但不限于： 数据未经授权修改或损毁，可能对 国家安全、公众权益、个人隐私 及 企业合法 权益 造成的 损害， 以及损害 的 严 重 程度 。 数据未经授权修 改或损毁，可 能对其他组织或 个人 造成的损害 ，以及损害 的 严重 程度
26、 。 数据未经授权 修 改 或损毁 ，可能对 机构 职能 、公信力造 成的损害，以及损害 的 严重 程度 。 JR/T 0197 2020 6 数据未经授权修改或损毁是否违反国家 法律法规、行业主 管部门有关规定或机构 内部管理 规定。 可用性评估： 通过评价数据及其经组合 /融合后形成的各 类 数 据出现访问或使用中断所造成的 影响，以及机构无法正常使用 这些数据 可能产生 的影响， 进行数据可用性评估。评估的内容包 括但不限于： 数据的访问或使用中断，可能对 国家安全、公众权益、个 人隐私 及 企业合法权 益 造成的 损 害， 以及损害 的 严重 程度 。 数据 的 访问或 使用 中断，
27、可 能 对机 构职能、 公 信 力造成的损害，以及损害的 严重 程度 。 数据的访问或使用中断 ， 可能对其他 组织或 个人 造成的损害，以及损害的 严重 程度 。 数据的访问或使用中断是否 违反国家法律法 规、行业主管部门有关规 定或机构内部管理 规 定。 5.2.2 定级要素识别 通过综合考虑保密性、完整性和 可 用 性的 影响评估结果，识别数据安 全 定级 关键要素，即 作为 最终 数据安全 级别评定 时所使用的主 要影响对象及影响程度，并根据 5.3定级规则进行数据安全级别的评定。 定级要素识别 宜 至少 满足 ： 因不 同数 据 在 安全 性 （ 保密性 、完整 性 、 可用 性 ）
28、 方面 有不同 侧重， 以 所 侧 重 的安全性 评估结 果 ，作为 相应 数据安全 定级 的 主要依据 。 数据的保密性、 完 整 性和可用性 要求基本一 致 的 ，则 重点 以保 密性评估所确定的定级要素为主 要定级依据。 5.3 定级规则 5.3.1 安全级 别概述 本标准根据金 融业机构数据 安全性遭受 破坏后的影 响对象和所造成的影响程度，将数据安全级别从 高到低划 分 为 5级、 4级、 3级、 2级、 1级 ， 一般 具有如下 特征 ： 5 级 数 据特征 如下： 重要数据，通常 主要用于 金融 业 大型或特大型机构、金融交易过程中重要核心节点类机构 的关键业务使用，一般针对特定
29、人 员公开，且仅 为必须知 悉的 对象访问 或 使 用 。 数 据安 全性 遭到破坏 后， 对 国家安全 造成影响 ，或对 公众权益造成 严重 影响。 注： “必须知悉”是指 对 数 据确定知悉范 围，只有 对数据知 悉有 明确的必要性时， 该对象才能对数据 知悉。一般情 况下遵循 工作需要原则和最小化原则，前者 指因工作必须才可知悉， 后者指知 悉的范围满足最小够用即可。 4 级数据特 征如下： 数据 通 常 主要用于 金融 业 大型或特大型机构、金融交易过程中重要核 心节点类机构 的重要 业务使 用，一 般针对特定人员公开，且仅为必须知悉的对象访问或使用 。 个人金融信息中的 C3 类信息
30、 。 数据安全性遭到破坏后， 对公众权益造成 一般 影 响， 或对 个人 隐私 或企业合法 权益造成 严 重 影响， 但 不 影 响国 家安全 。 3 级数据特征如下： 数据 用 于 金融业机构关键或重要 业务使用，一 般针对特定人员公开，且仅为必须知悉的对 象 访问或 使用 。 个人金融信息中的 C2 类信息 。 数据的安全性遭到破坏后， 对公众权益造成 轻微 影 响 ， 或 对个人隐 私或企业合法权益造 成 JR/T 0197 2020 7 一般 影响， 但 不 影响国家安全。 2 级数据特征如下： 数据用于金融业机构一般业务使 用， 一般 针对受限对象公开，通 常为内部管理且不宜广泛 公
31、开的数据 。 个 人 金融信息中的 C1 类信息 。 数据的安全性遭到破坏后，对 个人隐私或企业合法权益 造成 轻微 影响， 但不影响国 家安全 、 公众权益 。 1 级 数 据特征如下： 数据一般可被公开或 可 被 公众获知、使用 。 个 人 金融信息主 体 主动公开的信息 。 数据的 安全性遭 到破坏后 ， 可能对个人隐私 或企业合法权益 不 造成 影 响 ， 或仅 造成 微弱 影 响 但 不影响国家安全、公众权益。 5.3.2 定级 通用 规则 金融数据安全级别划分的通用规则包括但不限于 ： 重要 数据 1)的 安全等级 不 可 低于本标准所述 5 级 。 个人金融信息相关数 据 参照
32、JR/T 0171 2020 进行定级 ，并在 数据安 全定级过 程中从高考 虑 。 对于数据体量大，涉及的客 户（包 含个人客户和单位客户）多、涉及 客户（包含个人客户和单 位客户 ）资金量大、涉及多行业 及 多 机构客户的情况，影响程度 宜 从高确定 。 综上所述，数据安全级别划定规则如表 2所示。根据本标准 所述定级规则 ， 本标准 给出了金融 业典 型数据类型 及 其 建议划分的最低安全级别， 参见 附录 A， 供各金融业机构在数据资产梳理及定 级过程中 参考。 表 2 数据安全定级规则 参考表 最 低 安全 级别参考 数据定级要 素 数据一般特征 影响对象 影响程度 5 国家安全 严
33、 重 损害 /一般损害 /轻 微 损害 重要 数据 ，通常主要 用于 金融 业 大 型或特大型机构、金融交易过 程 中重 要核心节点类机构的关键业务使用，一般针对特定人 员公开，且仅 为必须 知悉的对象访问或使 用 。 数据安全性遭到破坏后 ， 对 国家安全 造成影响 ，或对 公众权益 造成 严重 影响。 5 公众权益 严 重 损害 4 公众权益 一般 损害 数据通常主要用于 金融 业 大 型或特大型机构、金 融交易过程中 重 要核 心节点类机构的重要业务使用， 一般针对特定人员公开， 且仅为 必须知悉的对象 访 问 或使 用 。 个人金 融信息 中的 C3 类信息 。 数据安全性遭到破坏 后
34、 ， 对公众权益造成 一般 影 响， 或对 个人 隐私 或企业合法 权益造成 严 重 影响， 但 不 影 响国 家安全 。 4 个人隐 私 严重 损害 4 企业合法权益 严重 损害 3 公众权益 轻微 损害 数据用于金融业机构 关键或重要业务使用 ，一般针 对特定人员 公开，且仅为必须知悉的 对象访问或使 用 。 个人金融信息中的 C2 类信息 。 数据的安全性遭到破坏后， 对公众权益造成 轻微 影响 ， 或对个 3 个人隐私 一般 损害 3 企业 合法 权 益 一般 损害 1) 重要数据的 内容及范围参照国家及行业主管部门有关规定执行。 JR/T 0197 2020 8 最 低 安全 级别参
35、考 数据定级要 素 数据一般特征 影响对象 影响程度 人隐 私或企业合法权益造 成 一般 影响， 但 不 影响国家安全。 2 个人隐私 轻微损害 数据用于金融业机构一 般 业 务 使用 ，一 般针 对受 限对象公开 ， 通常为内部管 理且不宜广 泛 公 开的数据 。 个人金融信息中 的 C1 类信息 。 数据的安全性遭到破坏后，对 个人隐私或企业合法权益 造成 轻 微 影响， 但不影响国 家安全 、公众权益 。 2 企业合法权 益 轻微损害 1 国家安全 无损害 数据一般可被公开或可被 公众获知、使用 。 个人金融信息主体 主动 公开的信息 。 数据的 安全性遭 到破 坏后 ， 可能对个人隐私
36、或企业合法权益 不 造成 影 响 ， 或仅 造成 微弱 影响 但不 影响国家安全、公众权益。 1 公众权益 无 损 害 1 个人隐私 无损害 1 企业合法 权益 无损害 5.4 定级过 程 5.4.1 组织保障 确定 数据安全管理 最高决策组织 ， 设立并明确 相 关 部 门 （或组 织）及 其职责， 包括但不限于： 本机构数 据 分 级工 作的领导组织及其负责人 ，主要 负责 统筹 、 规划 数据安全分级 工作 。 本机构数据分级工作的管理 部门（或组织）及其负责人 ，主要负责数据分级相关工作的组织、 协调、管理、审 核、评审等 工作 。 本机构信 息科技部门及其负 责 人在数据安全分级工
37、作中的角色，主要负责落实数据安全分级有 关要求，并主导数据安全 分级实施工作 。 本机构业务部门（ 和 /或数据属 主 部 门）及其负责人在数据安 全分级工作中的角色，主要负 责 落实数据 安 全 分级有 关要求 ， 并协同开展数据安全分级实施工作 。 本机构其他相关部 门在 数据 安全 分级 工作中的角 色、职责及 负责 人。 5.4.2 制度 保 障 建立数据分级工 作的相关制 度，明 确并落实相关工作 要求，包括但不限于 ： 数据分级的目标和原则 。 数据分级工作涉及的角 色、部门及相关职责 。 数据分 级的方法和具体要求 。 数据分级 的日常管 理流程和操作规程，以及分 级 结果的确定
38、、评审、批准、发布和变更机制 。 数据分级管理相关绩效 考核 和评价机制 。 数据分级结果的发布、备 案和管理 的相关规 定 。 数据分级清单审核与修订的原则和周期。 5.4.3 定级流程 金 融 数据安全 定 级 过程 包括数据资产梳理、数据安全定级准备、数据安全级别判定、数据安 全级 别 审 核及 数据 安全级别批 准，具体工作流 程如 图 1所 示 。 JR/T 0197 2020 9 图 1 数据安 全定级 工作流程 数据定级 流程基本 步骤如下： 数据 资产 梳理： 第一步：对数据 进行盘点、梳理与分类，形成统一的 数据资产清单，并进行数据安全定级 合 规性相 关准备工作。 数据安全
39、 定 级准备： 第二步：明确数据 定 级的颗粒度（如库文件 、表、字段等） 。 第三步 ：识别 数 据 安全定级关 键 要 素。 数据安全级别判定： 第四步：按照 5.3所述 数据定级规 则 ， 结合国 家 及行业有关法律法规、部门规章，对数据安全等级 进行初步判定 。 第五步： 综合考虑 数据规 模、 数据时效性 、数据形态 （ 如 是否经汇总、加工、统计、脱 敏或匿 名化 处理等）等因素，对数据安 全级别 进行复 核，调整形成数据安 全级别评定结果及定级清单 。 数据安全级 别审核： 第六步：审核数据安全级别评定过程和 结果， 必要时重复第 三 步及其后工作 ， 直至安全级别的划定 与本机
40、构数据安全保护目标 一致。 数据安全级别批准： JR/T 0197 2020 10 第七步： 最终由 数 据安全 管理 最高决策组织 对 数 据安全分级 结 果 进行审 议批准。 5.5 级别变更 数据 安全 定级完成后 ， 出 现 下列 情形 之 一 时，金融业机构 宜 对相关数据的安全级别进行变更 （ 相关 示例 参 见附录 B） ， 并按照 5.4.3数据定 级 流程 实施。 数据内容发 生 变 化，导 致原有数据的安全级别 不适用 变化后的数据 。 数据内容未 发生变化 ，但因数 据时效性、数据规 模、数据 使用 场景、数据加 工处理方式等 发生 变化，导致原定的数据 安全 级别不再适
41、用 。 因 数据 汇聚融合 ， 导致 原有 数据 安全 级 别 不 再 适用 汇聚融合 后的数据 。 因国家或行业主管部门要求 ，导致原定的数据 安全 级别不 再 适用 。 需要对数据 安全 级别进行 变更的 其他 情 形 。 6 重要数据识别 金融业机构所承载重要数据的识别和 认定工作 宜 遵 照 国家及行业主管部门 有关规定执行。 重要数据 的性质和内容 相关描述参见 附录 C，仅供 金融业 机构开展 数据安全分级工 作时参考使 用 。 重要数据的安 全级别 不宜 低于 本标 准 中确定的 5级。 JR/T 0197 2020 11 附 录 A （资料性附 录） 数据定级规则参考表 金融业
42、机构典型数据的定 级规则参考如表 A.1所示，实际应用过程中，各金融业机构 宜 根 据 其所管辖数据的类型 、特性、规模 以 及机构特性等因 素， 综合 考虑本机构数据安全管 理的总体目标 和安全策略要 求，按照一 定的颗粒度 对数据资产进行合理的梳理 、归类和细分 ， 最 终确定数 据的安全级别划分清单。此 外， 金融业机构 所承载重要 数 据 的安全级别 宜 不低于 本标准 确定的 5级 。 重要数据的识别、认定及保护 工作 依 据 国家及 行业主 管部门有 关规定和要求执 行。 表 A.1 金融业机构典型数据定级规则 参考表 数据归类和细分 安全级别 备注 一级 子类 二级 子类 定义
43、说明 三级 子类 定义说明 四级子类 内容 最低安全 级别参考 客户 个 人 指金融业机 构 提供各种 业务 服 务 的 自 然人 对象相关的各 类信息。 个人自 然信息 指个人的 自然属性 信息，即个人本 身 具有的属性， 而非 在金融业机构业务 开展 过程中产生的 属 性 信息。 个人基本概况信 息 指个人 基本情况数 据，如个人 姓名、性 别 、 国籍 、海外账户纳税法案 （ FATCA） 有关个人身份数据 、民族、婚 姻状况 、 证 件类型、证件 号码、 证件生效 日期 、 证 件到 期日 期、家庭住址等。 3 个人财产信息 指个人的财产 数据，如个人 收入状况 、拥有的不动产状况、拥
44、 有的车辆状况、纳税额、公积金缴存金额、个人社保与医保存 缴金额等。 3 个人联系 信 息 指个人各类通信联系方式数据，如手机、固定电话 、 电子 邮 箱地址、微信号等。 3 个人健康生理信 息 指 个 人生病医 治 过 程 中产生 的相关记录数据，如病症、住 院志、医嘱 单、 检验报 告、 手 术 及麻醉记录、护理记录、用药记录、药物食物过敏信息、 生育信息、 以往病史、 诊治情况 、 家族病史、现 病史、传染病 史 等， 以 及 与个 人身 体健康 状况相关 的其他 信息，如 吸烟史等。 4 个人地理位 置信 息 指 描述 能具体定 位到个人 的地理位置数据，如包含所在国家、城市、区域、
45、街道、经纬度 等维度 信息 下的常在位置和当前 位 置 等 。 3 JR/T 0197 2020 12 数据归类和细分 安全级别 备注 一级 子类 二级 子类 定义 说明 三级 子类 定义说明 四级子类 内容 最低安全 级别参考 个人就学信息 指个人受教育情况的记录数据， 如入学日期、毕业日期、 就学的 学校名称、就学 的学校院系 、 学 历、学位及学科信息等。 2 个人职业 信息 指个 人就 职的历 史 记 录 数据，如工作单位、工作开始日期、工作结束日期、职位、工 作地点、 收入情况（含收 入值）等。 2 个人 资质 证书信 息 指个 人获 得 资质证书的 记 录数据，如资质证书的编 号、
46、颁发机构、生效日 期、到期日期等。 2 个人党政信息 指个人政治面貌相关数据，如党派所属 、加入党派时间等。 2 个人身 份鉴别 信息 指个人身份鉴别依 赖的信息，该类信 息一旦遭到未经授 权的查看或未经授 权的变 更，会对个 人金融信息 主 体的 信息 安 全 与 财 产安 全造成严重危害。 传统鉴别信息 指各类常规个 人身份鉴别 技术手段所 依 赖 的数据，如银行卡磁道 （ 或芯片 等效信息 ） 、卡片验证码 （ CVN 和 CVN2） 、卡片有 效期、银 行卡密 码、 支 付 密码 、账 户 （ 包 括 但不限于支付账号 、网络 支付业务系统 中个人金融信 息主体登录 用户、证券账户、 保险 账户
