1、附 件ICS 35.240.40CCS A 11 JR中 华 人 民 共 和 国 金 融 行 业 标 准JR/T 0223 2021金 融 数 据 安 全 数 据 生 命 周 期 安 全 规 范 Financial data security Security specification of data life cycle 2021- 0 4-08发 布 2021-04-08实 施中 国 人 民 银 行 发 布 JR/T 0223 2021 I 目 次前 言 .II引 言 .III1 范 围 .12 规 范 性 引 用 文 件 .13 术 语 和 定 义 .14 缩 略 语 .35 概 述
2、.46 数 据 安 全 原 则 .5 7 数 据 生 命 周 期 安 全 防 护 .68 数 据 安 全 组 织 保 障 .169 信 息 系 统 运 维 保 障 .21附 录 A（ 资 料 性 ） 数 据 采 集 模 式 .26附 录 B（ 资 料 性 ） 数 据 传 输 模 式 .27附 录 C（ 资 料 性 ） 数 据 脱 敏 .28附 录 D（ 资 料 性 ） 数 据 水 印 .46参 考 文 献 .51 JR/T 0223 2021 II 前 言本 文 件 按 照 GB/T 1.1 2020 标 准 化 工 作 导 则 第 1部 分 ： 标 准 化 文 件 的 结 构 和 起 草 规
3、 则 的 规 定起 草 。请 注 意 本 文 件 的 某 些 内 容 可 能 涉 及 专 利 。 本 文 件 的 发 布 机 构 不 承 担 识 别 专 利 的 责 任 。本 文 件 由 中 国 人 民 银 行 提 出 。本 文 件 由 全 国 金 融 标 准 化 技 术 委 员 会 （ SAC/TC 180） 归 口 。本 文 件 起 草 单 位 ： 中 国 人 民 银 行 科 技 司 、 中 国 银 行 保 险 监 督 管 理 委 员 会 统 计 信 息 与 风 险 监 测 部 、 国家 金 融 IC卡 安 全 检 测 中 心 （ 银 行 卡 检 测 中 心 ） 、 中 国 建 设 银 行
4、 股 份 有 限 公 司 、 兴 业 银 行 股 份 有 限 公 司 、中 国 农 业 银 行 股 份 有 限 公 司 、 招 商 银 行 股 份 有 限 公 司 、 恒 丰 银 行 股 份 有 限 公 司 、 中 国 银 行 股 份 有 限 公 司 、网 联 清 算 有 限 公 司 、 平 安 银 行 股 份 有 限 公 司 、 中 国 保 险 行 业 协 会 、 华 为 技 术 有 限 公 司 、 北 京 钱 袋 宝 支 付 技 术 有 限 公 司 、 蚂 蚁 科 技 集 团 股 份 有 限 公 司 、 全 知 科 技 （ 杭 州 ） 有 限 责 任 公 司 、 北 京 安 华 金 和 科
5、 技 有 限公 司 、 奇 安 信 科 技 集 团 股 份 有 限 公 司 、 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 、 深 圳 云 安 宝 科 技 有 限 公 司 、 哈尔 滨 工 业 大 学 （ 深 圳 ） 数 据 安 全 研 究 院 、 上 海 淇 毓 信 息 科 技 有 限 公 司 、 北 京 天 融 信 网 络 安 全 技 术 有 限 公司 、 深 信 服 科 技 股 份 有 限 公 司 、 北 京 神 州 绿 盟 科 技 有 限 公 司 、 北 京 长 亭 未 来 科 技 有 限 公 司 、 上 海 艾 芒 信息 科 技 有 限 公 司 、 华 控 清 交 信 息
6、 科 技 （ 北 京 ） 有 限 公 司 、 成 方 金 融 科 技 有 限 公 司 、 中 国 人 民 银 行 广 州 分行 、 中 国 人 民 银 行 南 京 分 行 、 中 国 人 民 银 行 营 业 管 理 部 、 中 国 人 民 银 行 哈 尔 滨 中 心 支 行 、 深 圳 市 长 亮 科技 股 份 有 限 公 司 、 北 京 中 金 国 盛 认 证 有 限 公 司 、 平 安 保 险 （ 集 团 ） 股 份 有 限 公 司 、 阿 里 云 计 算 有 限 公 司 。本 文 件 主 要 起 草 人 ： 李 伟 、 陈 立 吾 、 沈 筱 彦 、 车 珍 、 曲 维 民 、 昝 新
7、、 夏 磊 、 方 怡 、 马 晓 伟 、 渠 韶 光 、陈 聪 、 居 崑 、 杨 波 、 刘 静 芳 、 刘 超 、 栾 家 阳 、 吴 远 松 、 王 照 坤 、 赵 志 蛟 、 俞 吴 杰 、 邱 斌 、 郑 超 、 王 福 舟 、陈 雪 秀 、 陈 俊 、 郭 林 、 母 延 燕 、 严 敏 瑞 、 康 雪 婷 、 冷 杉 、 兰 安 娜 、 宋 铮 、 王 昕 、 朱 通 、 王 勰 思 、 杨 海 峰 、唐 力 、 林 玉 波 、 张 晨 晖 、 周 亚 超 、 林 鹭 、 韩 培 义 、 姚 磊 、 刘 川 意 、 王 安 滨 、 温 树 海 、 包 英 明 、 李 建 彬 、
8、徐 省 委 、 訾 然 、 张 帆 、 马 男 、 张 帆 、 杜 宁 、 王 云 河 、 王 蜀 洪 、 安 鸿 飞 、 唐 辉 、 高 强 裔 、 侯 漫 丽 、 黎 凯 伦 、任 军 远 、 戴 辰 、 薛 金 川 、 曹 正 阳 、 辜 敏 、 陈 裕 源 、 王 衍 强 、 任 妍 、 王 炤 宇 。 JR/T 0223 2021 III 引 言随 着 信 息 技 术 的 发 展 ， 众 多 金 融 基 础 业 务 、 核 心 流 程 、 行 业 间 往 来 等 事 务 和 活 动 均 已 运 行 在 信 息 化支 撑 载 体 之 上 ， 金 融 业 机 构 生 产 运 营 产 生
9、的 信 息 也 逐 步 以 不 同 形 式 转 化 为 数 字 资 产 流 转 在 金 融 业 信 息 系统 中 。 随 着 大 数 据 、 人 工 智 能 、 云 计 算 等 新 技 术 在 金 融 业 深 入 应 用 ， 金 融 数 据 逐 步 实 现 从 信 息 化 资 产 到生 产 要 素 的 转 变 ， 其 重 要 性 日 益 凸 显 。 数 据 泄 露 、 滥 用 、 篡 改 等 安 全 威 胁 的 影 响 逐 步 从 机 构 内 转 移 扩 大至 机 构 间 和 行 业 间 ， 甚 至 影 响 国 家 安 全 、 社 会 秩 序 、 公 众 利 益 和 金 融 市 场 稳 定 。
10、 如 何 在 满 足 金 融 业 务 基本 需 求 的 基 础 上 ， 强 化 数 据 保 护 能 力 ， 保 障 金 融 数 据 安 全 流 动 ， 已 成 为 当 前 亟 待 解 决 的 问 题 。金 融 数 据 复 杂 多 样 ， 对 数 据 实 施 生 命 周 期 安 全 管 理 ， 能 够 进 一 步 明 确 数 据 生 命 周 期 各 阶 段 的 保 护 要求 ， 有 助 于 金 融 业 机 构 合 理 分 配 数 据 保 护 资 源 和 成 本 ， 建 立 完 善 的 数 据 生 命 周 期 防 护 机 制 。 同 时 ， 合 理 、准 确 、 完 善 的 数 据 生 命 周 期
11、 安 全 管 理 制 度 能 够 促 进 金 融 数 据 在 机 构 间 、 行 业 间 安 全 应 用 和 共 享 ， 有 利 于 数 据 价 值 挖 掘 与 实 现 。为 指 导 金 融 业 机 构 合 理 制 定 和 有 效 落 实 金 融 数 据 生 命 周 期 安 全 管 理 策 略 ， 进 一 步 提 高 金 融 业 机 构 的数 据 管 理 和 安 全 防 护 水 平 ， 确 保 金 融 数 据 安 全 应 用 ， 编 制 本 文 件 。本 文 件 凡 涉 及 密 码 技 术 的 相 关 内 容 ， 按 国 家 密 码 管 理 部 门 及 行 业 主 管 部 门 有 关 规 定
12、实 施 ； 凡 涉 及 采用 密 码 技 术 解 决 保 密 性 、 完 整 性 、 真 实 性 、 不 可 否 认 性 需 求 的 ， 遵 循 相 关 国 家 标 准 和 行 业 标 准 。 JR/T 0223 2021 1 金 融 数 据 安 全 数 据 生 命 周 期 安 全 规 范1 范 围本 文 件 规 定 了 金 融 数 据 生 命 周 期 安 全 原 则 、 防 护 要 求 、 组 织 保 障 要 求 以 及 信 息 系 统 运 维 保 障 要 求 ，建 立 覆 盖 数 据 采 集 、 传 输 、 存 储 、 使 用 、 删 除 及 销 毁 过 程 的 安 全 框 架 。本 文
13、件 适 用 于 指 导 金 融 业 机 构 开 展 电 子 数 据 安 全 防 护 工 作 ， 并 为 第 三 方 测 评 机 构 等 单 位 开 展 数 据安 全 检 查 与 评 估 工 作 提 供 参 考 。2 规 范 性 引 用 文 件下 列 文 件 中 的 内 容 通 过 文 中 的 规 范 性 引 用 而 构 成 本 文 件 必 不 可 少 的 条 款 。 其 中 ， 注 日 期 的 引 用 文 件 ， 仅 该 日 期 对 应 的 版 本 适 用 于 本 文 件 ； 不 注 日 期 的 引 用 文 件 ， 其 最 新 版 本 （ 包 括 所 有 的 修 改 单 ） 适用 于 本 文
14、件 。GB/T 25069 2010 信 息 安 全 技 术 术 语GB/T 35273 2020 信 息 安 全 技 术 个 人 信 息 安 全 规 范GB 50174 2017 数 据 中 心 设 计 规 范JR/T 0092 2019 移 动 金 融 客 户 端 应 用 软 件 安 全 管 理 规 范JR/T 0158 2018 证 券 期 货 业 数 据 分 类 分 级 指 引JR/T 0171 2020 个 人 金 融 信 息 保 护 技 术 规 范JR/T 0197 2020 金 融 数 据 安 全 数 据 安 全 分 级 指 南3 术 语 和 定 义GB/T 35273 2020
15、和 GB/T 25069 2010界 定 的 以 及 下 列 术 语 和 定 义 适 用 于 本 文 件 。 3.1 数 据 处 理 data processing自 动 数 据 处 理 automatic data processing数 据 操 作 的 系 统 执 行 。示 例 ： 数 据 的 数 学 运 算 或 逻 辑 运 算 ， 数 据 的 归 并 或 分 类 ， 程 序 的 汇 编 或 编 译 ， 或 文 本 的 操 作 ， 诸 如 编 辑 、 分 类 、归 并 、 存 储 、 检 索 、 显 示 或 打 印 。注 ： 术 语 “ 数 据 处 理 ” 不 能 用 为 “ 信 息 处
16、理 ” 的 同 义 词 。来 源 ： GB/T 5271.1 2000， 01.01.063.2 保 密 性 confidentiality使 信 息 不 泄 露 给 未 授 权 的 个 人 、 实 体 、 进 程 ， 或 不 被 其 利 用 的 特 性 。 来 源 ： GB/T 25069 2010， 2.1.1 JR/T 0223 2021 2 3.3 完 整 性 integrity保 卫 资 产 准 确 和 完 整 的 特 性 。来 源 ： GB/T 25069 2010， 2.1.42， 有 修 改 3.4 可 用 性 availability已 授 权 实 体 一 旦 需 要 就 可
17、 访 问 和 使 用 的 数 据 和 资 源 的 特 性 。来 源 ： GB/T 25069 2010， 2.1.203.5 真 实 性 authenticity 确 保 主 体 或 资 源 的 身 份 正 是 所 声 称 的 特 性 。注 ： 真 实 性 适 用 于 用 户 、 进 程 、 系 统 和 信 息 之 类 的 实 体 。来 源 ： GB/T 25069 2010， 2.1.69， 有 修 改 3.6 金 融 数 据 financial data金 融 业 机 构 开 展 金 融 业 务 、 提 供 金 融 服 务 以 及 日 常 经 营 管 理 所 需 或 产 生 的 各 类 数
18、 据 。注 ： 该 类 数 据 可 用 传 统 数 据 处 理 技 术 或 大 数 据 处 理 技 术 进 行 组 织 、 存 储 、 计 算 、 分 析 和 管 理 。来 源 ： JR/T 0197 2020， 3.103.7 个 人 金 融 信 息 personal financial information金 融 业 机 构 通 过 提 供 金 融 产 品 和 服 务 或 者 其 他 渠 道 获 取 、 加 工 和 保 存 的 个 人 信 息 。 注 ： 个 人 金 融 信 息 包 括 账 户 信 息 、 鉴 别 信 息 、 金 融 交 易 信 息 、 个 人 身 份 信 息 、 财 产
19、 信 息 、 借 贷 信 息 及 其 他 反 映 特定 个 人 某 些 情 况 的 信 息 。来 源 ： GB/T 35273 2020， 3.1， 有 修 改 3.8 个 人 金 融 信 息 主 体 personal financial information subject个 人 金 融 信 息 所 标 识 的 自 然 人 。来 源 ： GB/T 35273 2020， 3.3， 有 修 改 3.9 个 人 金 融 信 息 安 全 影 响 评 估 personal financial information security impact assessment针 对 个 人 金 融 信 息
20、 处 理 活 动 ， 检 验 其 合 法 合 规 程 度 ， 判 断 其 对 个 人 金 融 信 息 主 体 合 法 权 益 造 成 损害 的 各 种 风 险 ， 以 及 评 估 用 于 保 护 个 人 金 融 信 息 主 体 的 各 项 措 施 有 效 性 的 过 程 。 来 源 ： GB/T 35273 2020， 3.9， 有 修 改 3.10影 响 impact JR/T 0223 2021 3 事 件 的 后 果 。注 ： 在 信 息 安 全 中 ， 一 般 指 不 测 事 件 的 后 果 。来 源 ： GB/T 25069 2010， 2.3.105， 有 修 改 3.11删 除
21、delete在 金 融 产 品 和 服 务 所 涉 及 的 系 统 中 去 除 信 息 的 行 为 ， 使 其 保 持 不 可 被 检 索 、 访 问 的 状 态 。来 源 ： GB/T 35273 2020， 3.10， 有 修 改 3.12明 示 同 意 explicit consent个 人 金 融 信 息 主 体 通 过 书 面 声 明 或 主 动 作 出 肯 定 性 动 作 ， 对 其 个 人 金 融 信 息 进 行 特 定 处 理 作 出 明确 授 权 的 行 为 。 注 ： 肯 定 性 动 作 包 括 个 人 金 融 信 息 主 体 主 动 勾 选 、 主 动 点 击 “ 同 意
22、 ” “ 注 册 ” “ 发 送 ” “ 拨 打 ” 、 主 动 填 写 或 提供 等 。来 源 ： GB/T 35273 2020， 3.6， 有 修 改 3.13匿 名 化 anonymization通 过 对 个 人 金 融 信 息 的 技 术 处 理 ， 使 得 个 人 金 融 信 息 主 体 无 法 被 识 别 ， 且 处 理 后 的 信 息 不 能 被 复原 的 过 程 。注 ： 个 人 金 融 信 息 经 匿 名 化 处 理 后 所 得 的 信 息 不 属 于 个 人 金 融 信 息 。来 源 ： GB/T 35273 2010， 3.14， 有 修 改 3.14特 权 访 问
23、安 全 privileged access security 一 种 帮 助 企 业 解 决 特 权 账 户 相 关 问 题 的 技 术 。3.15特 权 账 户 privileged account涉 及 到 企 业 核 心 数 据 资 产 的 账 号 。注 ： 特 权 账 号 存 在 于 服 务 器 、 应 用 系 统 、 数 据 库 、 中 间 件 等 。4 缩 略 语下 列 缩 略 语 适 用 于 本 文 件 ：ADSL： 非 对 称 数 字 用 户 线 路 （ Asymmetric Digital Subscriber Line）AES： 高 级 加 密 标 准 （ Advanced
24、 Encryption Standard）API： 应 用 程 序 接 口 （ Application Programming Interface） APP： 应 用 程 序 （ Application）ATM： 异 步 传 输 模 式 （ Asynchronous Transfer Mode）CSV： 逗 号 分 隔 值 （ Comma-Separated Values）DDN： 数 字 数 据 网 （ Digital Data Network） JR/T 0223 2021 4 DES-CBC： 数 据 加 密 标 准 -密 码 块 链 接 （ Data Encryption Standa
25、rd-Cipher Block Chaining）ETL： 抽 取 -转 换 -装 载 （ Extract-Transform-Load）HMAC： 哈 希 运 算 消 息 认 证 码 （ Hash-based Message Authentication Code）IP： 网 际 互 连 协 议 （ Internet Protocol）MD5： 消 息 摘 要 算 法 （ Message-Digest Algorithm 5）MSTP： 多 业 务 传 送 平 台 （ Multi-Service Transport Platform）OCR： 光 学 字 符 识 别 （ Optical Ch
26、aracter Recognition）RSA： 公 钥 密 码 算 法 （ Rivest-Shamir-Adleman）SDH： 同 步 数 字 体 系 （ Synchronous Digital Hierarchy）SHA1： 安 全 散 列 算 法 （ Secure Hash Algorithm 1）SSID： 服 务 集 标 识 （ Service Set Identifier）VPN： 虚 拟 专 用 网 络 （ Virtual Private Network）WEB： 全 球 广 域 网 （ World Wide Web） WLAN： 无 线 局 域 网 （ Wireless Lo
27、cal Area Network）XML： 可 扩 展 标 记 语 言 （ Extensible Markup Language）5 概 述5.1 安 全 框 架金 融 数 据 生 命 周 期 是 指 金 融 业 机 构 在 开 展 业 务 和 进 行 经 营 管 理 的 过 程 中 ， 对 金 融 数 据 进 行 采 集 、传 输 、 存 储 、 使 用 、 删 除 、 销 毁 的 整 个 过 程 。 数 据 生 命 周 期 安 全 框 架 （ 见 图 1） 遵 循 数 据 安 全 原 则 ， 以数 据 安 全 分 级 为 基 础 ， 建 立 覆 盖 数 据 生 命 周 期 全 过 程 的
28、安 全 防 护 体 系 ， 并 通 过 建 立 健 全 数 据 安 全 组 织架 构 和 明 确 信 息 系 统 运 维 环 节 中 的 数 据 安 全 需 求 ， 全 面 加 强 金 融 业 机 构 数 据 安 全 保 护 能 力 。数 据 生 命 周 期 安 全 防 护 要 求 是 数 据 生 命 周 期 安 全 框 架 的 核 心 ， 针 对 不 同 安 全 级 别 的 数 据 ， 明 确 其在 采 集 、 传 输 、 存 储 、 使 用 、 删 除 以 及 销 毁 等 数 据 生 命 周 期 各 个 环 节 的 安 全 防 护 要 求 ， 是 金 融 业 机 构 开 展 数 据 安 全
29、 防 护 工 作 的 基 本 依 据 。 结 合 金 融 数 据 业 务 规 则 及 金 融 数 据 特 点 ， 建 立 覆 盖 金 融 数 据 生 命周 期 全 过 程 的 安 全 防 护 机 制 ， 是 金 融 业 机 构 数 据 安 全 防 护 工 作 的 重 中 之 重 ， 也 是 确 保 金 融 数 据 安 全 的必 经 之 路 。数 据 安 全 组 织 保 障 、 信 息 系 统 运 维 保 障 也 是 数 据 生 命 周 期 安 全 框 架 必 不 可 少 的 组 成 部 分 ， 共 同 构成 确 保 数 据 生 命 周 期 安 全 防 护 机 制 能 够 有 效 落 实 和 严
30、 格 执 行 的 基 石 。 数 据 安 全 组 织 保 障 确 保 数 据 安 全工 作 具 有 包 括 决 策 层 、 管 理 层 、 执 行 层 以 及 监 督 层 的 完 善 管 理 体 系 ， 为 数 据 安 全 相 关 工 作 的 组 织 和 落实 奠 定 基 础 。 在 金 融 业 机 构 日 常 运 营 过 程 中 ， 信 息 系 统 运 维 过 程 的 数 据 安 全 防 控 工 作 也 不 容 忽 视 ， 加强 在 边 界 管 控 、 访 问 控 制 、 安 全 监 测 、 安 全 审 计 、 检 查 评 估 、 应 急 响 应 与 事 件 处 置 等 过 程 中 的 数
31、据 安全 风 险 防 控 能 力 ， 可 有 力 保 障 数 据 安 全 防 护 机 制 的 有 效 执 行 和 数 据 安 全 问 题 的 及 时 发 现 与 应 对 。 JR/T 0223 2021 5 图 1 数 据 生 命 周 期 安 全 框 架5.2 分 级 保 护金 融 数 据 安 全 级 别 按 照 JR/T 0197 2020相 关 要 求 ， 根 据 安 全 性 遭 到 破 坏 后 的 影 响 范 围 和 影 响 程度 ， 将 金 融 数 据 安 全 级 别 由 高 到 低 划 分 为 5级 、 4级 、 3级 、 2级 、 1级 。本 文 件 所 指 金 融 数 据 安 全
32、 ， 主 要 是 指 确 保 金 融 数 据 在 其 生 命 周 期 各 阶 段 的 安 全 性 ， 通 过 采 取 相 应措 施 ， 将 数 据 安 全 性 遭 受 破 坏 可 能 带 来 的 安 全 影 响 降 至 最 低 或 降 至 可 接 受 的 范 围 内 。 其 中 ， 1级 数 据 为公 开 数 据 ， 原 则 上 无 保 密 性 要 求 ， 其 安 全 防 护 应 参 考 本 文 件 有 关 完 整 性 及 可 用 性 安 全 要 求 ； 2级 至 4级数 据 的 安 全 防 护 应 在 平 衡 安 全 需 求 与 业 务 需 求 的 基 础 上 ， 根 据 数 据 安 全 级
33、 别 不 同 ， 有 侧 重 地 采 取 适 当的 安 全 防 护 措 施 ， 2级 数 据 应 优 先 考 虑 业 务 需 求 ， 4级 数 据 应 优 先 考 虑 安 全 需 求 ， 5级 数 据 的 保 护 按 照 国家 及 行 业 主 管 部 门 的 有 关 要 求 执 行 。证 券 行 业 数 据 安 全 分 级 和 数 据 安 全 保 护 工 作 按 照 JR/T0158 2018等 证 券 行 业 相 关 要 求 执 行 ， 云 环境 的 数 据 安 全 应 符 合 国 家 和 行 业 主 管 部 门 的 相 关 要 求 。 金 融 业 机 构 境 外 分 、 子 公 司 和 分
34、 支 机 构 在 境 外 开 展 业 务 过 程 中 采 集 、 产 生 的 数 据 ， 其 安 全 定 级 及 数 据 保 护 工 作 应 按 照 数 据 跨 境 相 关 要 求 执 行 。涉 及 个 人 金 融 信 息 的 内 容 ， 除 满 足 本 文 件 要 求 外 ， 还 应 按 照 JR/T 0171 2020相 关 要 求 执 行 。注 ： 本 文 件 中 未 明 确 具 体 安 全 级 别 的 条 款 ， 为 安 全 级 别 为 1级 至 4级 数 据 均 应 满 足 的 通 用 安 全 要 求 ； 已 明 确 具 体 安全 级 别 的 条 款 ， 为 该 级 别 数 据 保
35、护 需 执 行 的 附 加 安 全 要 求 。6 数 据 安 全 原 则为 防 范 和 抵 御 金 融 数 据 安 全 风 险 ， 金 融 业 机 构 在 开 展 业 务 及 日 常 经 营 管 理 过 程 中 ， 遵 循 以 下 数 据安 全 基 本 要 求 ：a) 合 法 正 当 原 则 ： 应 确 保 金 融 数 据 全 生 命 周 期 各 环 节 数 据 活 动 的 合 法 性 和 正 当 性 。 JR/T 0223 2021 6 b) 目 的 明 确 原 则 ： 应 制 定 金 融 数 据 安 全 防 护 策 略 ， 明 确 金 融 数 据 生 命 周 期 各 环 节 的 安 全 防
36、 护 目标 和 要 求 。c) 选 择 同 意 原 则 ： 应 向 个 人 金 融 信 息 主 体 明 示 数 据 采 集 和 处 理 的 目 的 、 方 式 、 范 围 、 规 则 等 ，制 定 完 善 的 隐 私 政 策 ， 在 进 行 数 据 采 集 和 处 理 前 征 得 其 授 权 同 意 。d) 最 小 够 用 原 则 ： 金 融 业 机 构 应 仅 处 理 个 人 金 融 信 息 主 体 授 权 同 意 的 金 融 数 据 ， 且 处 理 的 金 融数 据 为 业 务 所 必 需 的 最 小 金 融 数 据 类 型 和 数 量 。e) 全 程 可 控 原 则 ： 应 采 取 与
37、金 融 数 据 安 全 级 别 相 匹 配 的 安 全 管 控 机 制 和 技 术 措 施 ， 确 保 金 融 数据 在 全 生 命 周 期 各 环 节 的 保 密 性 、 完 整 性 和 可 用 性 ， 避 免 数 据 在 全 生 命 周 期 内 被 未 授 权 访 问 、破 坏 、 篡 改 、 泄 漏 或 丢 失 等 。f) 动 态 控 制 原 则 ： 金 融 数 据 的 安 全 控 制 策 略 和 安 全 防 护 措 施 不 应 是 一 次 性 和 静 态 的 ， 应 可 基 于业 务 需 求 、 安 全 环 境 属 性 、 系 统 用 户 行 为 等 因 素 实 施 实 时 和 动 态
38、 调 整 。g) 权 责 一 致 原 则 ： 应 明 确 本 机 构 数 据 安 全 防 护 工 作 相 关 部 门 及 其 职 责 ， 有 关 部 门 及 人 员 应 积 极落 实 相 关 措 施 ， 履 行 数 据 安 全 防 护 职 责 。 7 数 据 生 命 周 期 安 全 防 护7.1 数 据 采 集7.1.1 概 述数 据 采 集 是 指 金 融 业 机 构 在 提 供 金 融 产 品 和 服 务 、 开 展 经 营 管 理 等 活 动 中 ， 直 接 或 间 接 从 个 人 金融 信 息 主 体 ， 以 及 企 业 客 户 、 外 部 数 据 供 应 方 等 外 部 机 构 获
39、取 数 据 的 过 程 。 数 据 采 集 过 程 存 在 数 据 泄露 、 数 据 源 伪 造 、 特 权 账 户 滥 用 、 数 据 篡 改 等 安 全 风 险 。数 据 采 集 过 程 实 现 数 据 的 采 集 与 提 取 、 转 换 与 标 准 化 、 信 息 上 传 ， 并 提 供 内 置 安 全 审 计 与 监 管 等辅 助 工 具 。 按 照 采 集 模 式 ， 可 分 为 从 外 部 机 构 和 从 个 人 金 融 信 息 主 体 采 集 数 据 ， 见 附 录 A。7.1.2 从 外 部 机 构 采 集 数 据金 融 业 机 构 从 外 部 机 构 采 集 数 据 ， 安
40、全 要 求 如 下 ： a) 应 通 过 合 同 协 议 等 方 式 ， 明 确 双 方 在 数 据 安 全 方 面 的 责 任 及 义 务 ， 明 确 数 据 采 集 范 围 、 频 度 、类 型 、 用 途 等 ， 确 保 外 部 机 构 数 据 的 合 法 合 规 性 和 真 实 性 ， 必 要 时 提 供 相 关 个 人 金 融 信 息 主体 的 授 权 。b) 从 外 部 数 据 供 应 方 处 采 集 数 据 ， 应 制 定 数 据 供 应 方 约 束 机 制 ， 并 明 确 数 据 源 、 数 据 采 集 范 围和 频 度 ， 并 事 前 开 展 数 据 安 全 影 响 评 估
41、。注 ： 数 据 安 全 影 响 评 估 （ data security impact assessment） ： 针 对 数 据 处 理 活 动 ， 检 验 其 合 法 合 规 程 度 ， 判 断其 对 相 关 方 合 法 权 益 造 成 损 害 的 各 种 风 险 ， 以 及 评 估 相 关 保 护 措 施 有 效 性 的 过 程 。c) 采 集 的 企 业 客 户 数 据 应 与 提 供 的 金 融 产 品 或 服 务 直 接 相 关 ， 并 与 合 同 协 议 条 款 、 隐 私 政 策 中约 定 采 集 的 内 容 保 持 一 致 ， 不 应 超 范 围 采 集 数 据 。d) 应
42、明 确 数 据 采 集 过 程 中 个 人 金 融 信 息 和 重 要 数 据 的 知 悉 范 围 和 安 全 管 控 措 施 ， 确 保 采 集 数 据的 合 规 性 、 完 整 性 和 真 实 性 。e) 通 过 系 统 批 量 采 集 的 数 据 应 采 用 摘 要 、 消 息 认 证 码 、 数 字 签 名 等 密 码 技 术 确 保 采 集 过 程 数 据的 完 整 性 。 f) 应 对 人 工 批 量 采 集 数 据 的 环 境 进 行 安 全 管 控 ， 并 通 过 人 员 权 限 管 控 、 信 息 碎 片 化 等 方 式 ， 防止 采 集 过 程 出 现 数 据 泄 露 。g) 采 集 数 据 时 ， 应 对 数 据 采 集 设 备 或 系 统 的 真 实 性 进 行 验 证 。 JR/T 0223 2021 7 h) 应 对 数 据 采 集 过 程 进 行 日 志 记 录 ， 并 采 取 技 术 措 施 确 保
