银行数据安全管理细则

银行数据安全管理细则一、总则制度约束是数据安全防线的最后一道物理屏障，任何脱离具体执行动作的宣贯均无法抵御真实的渗透攻击。本细则旨在将《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及《银行业金融机构数据治理指引》的宏观要求，转化为一线人员可直接执行的操作步骤与判定标准。本细则适用于总行及各分支机构在业务开展、系统研发、运行维护过程中涉及数据采集、传输、存储、使用、共享与销毁的全生命周期管理。各分行及业务条线必须严格遵照执行，不得以业务效率为由降低安全管控标准。二、数据分类分级与标识数据分类分级不仅是安全基线，更是决定存储架构、加密策略及访问控制粒度的唯一依据。未定级的数据严禁在行内核心网络中流转。2.1定级标准与操作要求依据数据泄露后对客户合法权益及行内声誉的损害程度，数据划分为四个级别。数据产生部门必须在新系统上线或新产品发布前5个工作日内完成定级，并报送总行信息科技部备案。数据级别判定标准典型数据示例核心管控要求L1（公开级）预期对外公开，泄露无负面影响官网披露的金融产品说明书基础防篡改校验L2（内部级）非涉密内部管理数据，泄露造成轻微影响内部周报、部门排班表行内实名认证后访问L3（敏感级）涉及客户非鉴权敏感信息或商业秘密客户手机号、交易流水摘要传输加密、存储脱敏、授权访问L4（极敏感级）直接威胁客户资金安全或触及监管红线客户密码、生物识别特征、完整银行卡号硬件加密机计算、字段级密文存储2.2出现定级争议的处置若业务部门与科技部门就定级发生分歧，必须在2个工作日内提交至数据治理委员会仲裁。仲裁期间，涉事数据必须按L4级标准进行临时隔离管控，严禁任何部门擅自降级流转。三、数据全生命周期安全管理围绕数据的生成到消亡实施全链路阻断与监控，是防范数据外泄的实战核心。各环节必须落实“最小够用”与“权限隔离”原则。3.1数据采集业务系统在前端页面采集L3及以上数据时，必须通过醒目的复选框获取客户明示授权，授权日志须包含时间戳与客户数字签名，并同步存入独立授权日志库（保留期≥5年）。采集接口必须在前端进行长度与格式校验（如手机号必须匹配正则^1[3-9]\d{9}$若第三方渠道接入采集，必须与对方签署《数据安全补充协议》，明确对方不得缓存L3及以上数据。发现第三方违规缓存，必须在12小时内切断接口并启动违约索赔。3.2数据传输L3及L4级数据在跨网段或跨机构传输时，必须采用强加密通道。优先使用TLS1.3协议进行链路加密；若涉及与监管机构或第三方支付机构对接，则使用国密SM2/SM4算法建立专属VPN隧道；严禁通过公网明文HTTP协议传输L3及以上数据（公网嗅探可直接截获并还原报文）。对于文件形式批量传输L4级数据（如日终对账单），必须使用行内统一文件传输平台，文件本体必须使用SM4算法加密，密钥通过带外方式（如加密邮件或核心系统指令）单独分发，严禁密钥与密文同包传输。3.3数据存储与处理L4级数据严禁以明文形态落盘。系统研发时必须调用行内统一加密服务网关，在数据写入数据库前完成字段级加密。数据库管理员（DBA）在排查生产故障时，若需查看L4级字段，必须通过堡垒机提权申请，审批通过后由系统自动执行动态解密脱敏展示（如卡号显示为`6222****1234`）。严禁直接将生产环境真实数据导出至测试环境用于功能验证（真实数据脱库后将直接导致批量客户信息泄露）。替代方案为：测试环境必须使用数据脱敏平台生成的仿真数据，仿真数据的姓名、证件号、手机号必须经过不可逆哈希替换，且保留原有数据格式与表关联关系。3.4数据使用与销毁员工查询L3及以上数据时，系统必须记录查询账号、IP地址、查询时间及查询主键，日志保留期限不得少于6个月。业务人员批量导出超过1000条L3数据时，必须触发部门主管及合规专员双线审批，导出文件自动添加隐形数字水印（包含操作员工号与时间戳）。存储介质报废或数据到期销毁时，必须在总行监控室无死角监控下执行。硬盘销毁必须经过物理粉碎，粉碎后颗粒度需≤2四、访问控制与权限管理权限管控的本质是收敛爆炸半径，任何越权访问都必须在系统层和流程层双重阻断。行内系统摒弃基于角色的静态访问控制（RBAC），全面推行基于属性的动态访问控制（ABAC）。4.1权限申请与开通新员工入职或岗位调整时，直属主管必须在OA系统提交《数据访问权限申请单》，明确界定申请的库表名、字段级别及有效期限（最长不超过6个月）。审批流转至信息科技部安全处时，安全处必须在1个工作日内完成权限合规性复核。权限开通由自动化运维平台执行，严禁DBA手工执行GRANT语句干预权限分配。开通后系统自动发送验证工单至申请人直属主管，主管必须在48小时内确认权限范围无误，超时未确认系统将自动冻结该账号。4.2权限回收与定期清查员工离职当日17:00前，人力资源部必须通过系统接口触发离职流程，科技部自动化平台在接收到离职信号后15分钟内必须完成该员工所有行内系统账号的封禁及动态令牌的吊销。若因未及时回收账号导致离职人员登录系统，按重大安全事件追究HR与科技部接口人责任。每季度首月5日前，各系统负责人必须导出本系统特权账号（如root、sa、sysadmin）清单，与运维主管签字核对。发现“僵尸账号”（连续30日未登录）必须在24小时内强制锁定。4.3风险演化与阻断机制若管理员账号密码泄露，黑客利用该账号横向渗透获取DBA权限后，将能够直接下载全行客户流水数据并在暗网出售，引发监管停业整顿。阻断点设计：特权账号必须绑定动态口令令牌（OTP）并限制仅能通过堡垒机跳板登录；堡垒机开启命令拦截策略，一旦检测到全表SELECT或mysqldump导出无WHERE条件的命令，立即阻断连接并告警至安全运营中心（SOC）。五、数据安全风险与应急响应面对已发生的安全事件，快速定级与切断传播途径是止损的绝对核心，迟疑1分钟都可能引发系统性灾难。5.1事件分级与启动权限依据数据泄露规模及对资金安全的影响，安全事件划分为三级。事件级别判定标准启动权限处置时限三级（一般）单一非核心系统非敏感数据泄露，影响<1000科技部安全处负责人2小时内控制二级（较大）核心业务系统L3数据泄露，或影响1000∼分管科技副行长1小时内阻断一级（重大）L4级数据泄露或影响>10000行长及数据治理委员会30分钟内响应5.2应急处置三步法1.隔离阻断（为什么：防止攻击者持续拉取数据）：接报后，安全运营中心值班人员必须在10分钟内切断涉事系统的外网访问通路。若涉及数据库拖库，直接拔除涉事数据库交换机网线（替代方案为在核心交换机下发黑名单ACL，但物理断网最彻底）。2.取证留存（为什么：为后续追责及监管举证提供完整证据链）：在隔离前，严禁重启涉事服务器（内存中的攻击进程与网络连接信息会因断电丢失）。必须先对系统内存进行镜像导出，并提取系统日志、Web访问日志、数据库审计日志至独立取证服务器。3.通报上报（为什么：满足监管强制报告时限要求）：一级事件发生后1小时内，合规部必须向国家金融监督管理总局及公安机关网安部门初报事件概况；24小时内上报包含原因研判及处置进展的书面报告。5.3闭环改进（PDCA）事件平息后5个工作日内，科技部必须组织召开复盘会议，产出《数据安全事件根因分析报告》。报告必须明确漏洞触发点、责任归属及整改措施，整改措施必须在1个月内完成系统修复与代码发版，由安全处复测验收闭环。六、监督检查与违规处罚没有量化考核与刚性追责的规则等同于一纸空文，必须通过高频审计倒逼一线执行。6.1常规检查机制科技部安全处每月随机抽取20个业务系统账号，核查其权限审批记录与实际数据访问日志是否匹配。每季度组织一次针对研发环境的数据安全扫描，重点检查测试代码库中是否硬编码了生产库连接串。6.2违规处罚判定•严禁员工将行内客户数据通过个人微信、外部邮箱发送。一经技术后台审计发现或举报查实，直接解除劳动合同，不予经济补偿，并依法移送公安机关追究侵犯公民个人信息罪的刑事责任。•业务部门主管若未按期清理本部门离岗转岗人员权限，导致账号被他人盗用越权访问L3数据的，对主管全行通报批评，扣减当季绩效奖金的30%•外包开发人员若擅自将脱敏测试数据导出至个人电脑，必须在12小时内追回数据，外包公司需支付违约金人民币10万元，并将该人员列入行内供应商黑名单，永久禁入。七、附则与执行工具将管理要求转化为标准化工具，是确保一线人员按统一标准操作的唯一手段。下述表单与检查表为强制执行附件。附件一：生产数据导出审批单（SOP）申请要素填写内容要求示例参考导出目的必须关联具体Jira缺陷号或需求号Jira-20231024-001数据范围明确至表名、字段名，严禁整库导出TCUSTINFO:姓名,手机号数据量级精确至条数，超过1万行需特批5000条脱敏要求明确字段级脱敏规则（掩码/哈希替换）手机号保留前3后4销毁承诺必须勾选“排查结束后24小时内删除本地文件”已勾选附件二：核心系统账号权限核对检查表•检查日期：____检查人：__复核人：____•1.特权账号列表导出时间：______（核验是否为当天导出）•2.随机抽查5个系统账号