GB-T 37973-2019 中文版 金融信息服务 信息安全规范 - 副本

GB/T37973-2019中文版金融信息服务信息安全规范前置说明（标准勘误与适配说明）经国家标准化管理委员会官方备案信息核验，GB/T37973-2019标准官方名称为《信息安全技术大数据安全管理指南》，无“金融信息服务信息安全规范”定名；金融信息服务领域专属信息安全国家标准为GB/T36618-2018《信息安全技术金融信息服务安全规范》（现行有效、行业唯一专属规范）。本文档结合用户指定标题，以GB/T37973-2019大数据安全管理核心条款为技术底座，深度适配金融信息服务业务场景，融合GB/T36618-2018金融行业专属安全要求，形成适配金融行业的完整版《金融信息服务信息安全规范》，兼顾国标合规性、金融业务特殊性与实操落地性，可直接用于金融机构合规建设、安全自查、体系落地与第三方评估参考。1标准总则1.1目的与依据为规范金融信息服务全生命周期信息安全管理，防范金融数据泄露、网络攻击、业务篡改、服务中断等安全风险，保障金融信息系统稳定运行、用户金融信息权益与金融市场秩序稳定，依据GB/T37973-2019大数据安全管理框架、GB/T36618-2018金融信息服务安全专项要求、网络安全法、数据安全法、个人信息保护法及金融行业监管规定，制定本规范。本规范明确金融信息服务的安全管理原则、数据安全要求、系统技术安全、业务流程安全、运维管理、风险评估、应急处置等核心要求，统一金融信息服务行业安全建设标准，解决金融大数据场景下的数据流转、计算、存储、共享、开放全过程的安全管控难题。1.2适用范围本规范适用于中华人民共和国境内从事金融信息服务的各类机构，包含银行、证券、保险、基金、期货、第三方金融科技服务机构、金融信息咨询机构等，覆盖金融信息采集、存储、计算、分析、传输、共享、展示、推送、留存、销毁全业务场景。同时适用于金融大数据平台、智能投顾系统、金融资讯服务平台、用户金融画像系统、金融风控数据分析系统等新型金融信息服务平台的安全建设、日常运维、风险自查、合规测评，也可供网络安全测评机构、监管核查工作作为核心参考依据。1.3核心术语与定义1.3.1金融信息服务：依托互联网、大数据、云计算等信息技术，向社会公众、企业、金融机构提供金融资讯、数据查询、行情分析、智能风控、投资咨询、信息推送、数据对接等各类金融信息服务的业务活动。1.3.2金融大数据：金融信息服务场景下产生、采集、汇聚的海量结构化、半结构化、非结构化数据，包含用户身份信息、交易数据、资产数据、征信数据、行为数据、金融资讯数据、风控日志数据等。1.3.3数据生命周期安全：金融数据从采集、传输、存储、计算、使用、共享、归档至销毁全流程的安全管控活动，是本规范核心管控维度。1.3.4金融信息服务提供商：具备金融信息服务运营资质，搭建服务平台、开展金融信息服务运营的法人机构及第三方合作服务机构。1.4安全基本原则1.4.1合规先行原则：所有金融信息服务活动严格遵循国家网络安全、数据安全、个人信息保护相关法律法规及金融行业监管要求，贴合国标条款落地安全体系，杜绝合规风险。1.4.2最小必要原则：金融信息采集、使用、共享仅限业务必需范围，不超范围采集、超权限使用用户金融信息，严控数据过度汇聚与滥用。1.4.3全程可控原则：实现金融数据全生命周期、系统全环节、人员全岗位的安全可控，所有操作可追溯、风险可预警、事件可处置。1.4.4风险适配原则：根据金融数据分级分类结果，匹配差异化安全防护策略，对核心敏感金融数据实施最高等级防护，兼顾安全与业务效率。1.4.5持续迭代原则：针对金融网络攻击、数据泄露、新型风控漏洞等动态风险，持续优化安全策略、防护技术与管理制度，实现安全体系动态迭代。2金融信息资产分类分级规范依据GB/T37973-2019数据分类分级核心要求，结合金融行业数据敏感度，对金融信息资产实施标准化分级管控，为差异化安全防护提供依据。2.1资产识别范围全面识别金融信息服务相关资产，包含硬件资产（服务器、存储设备、网络设备、安全设备）、软件资产（业务系统、大数据平台、数据库、中间件）、数据资产（各类金融数据、用户信息、业务日志）、服务资产（对外金融信息接口、推送服务、查询服务）、人员资产（运维人员、业务操作人员、第三方人员）。2.2数据分类标准2.2.1用户个人金融数据：用户身份信息、手机号、银行卡信息、资产信息、交易记录、借贷信息、征信信息、生物识别信息等敏感个人信息。2.2.2金融业务数据：金融产品数据、行情数据、风控模型数据、业务审核数据、交易流水数据、清算结算数据。2.2.3运营管理数据：系统运维日志、操作审计日志、风险处置记录、合规核查记录、人员权限数据。2.2.4公开金融资讯数据：合规公开的金融行情、行业资讯、政策公告等无敏感风险的公开数据。2.3数据分级标准（四级分级体系）一级（公开级）：可对外公开的金融资讯、行业公告数据，无隐私与合规风险，无需特殊加密管控。二级（内部级）：仅限机构内部使用的运营数据、普通业务日志，禁止对外泄露，实施基础访问权限管控。三级（敏感级）：用户普通金融信息、非核心交易数据、内部风控数据，需实施加密存储、权限管控、操作审计。四级（核心绝密级）：用户银行卡核心信息、征信数据、大额交易数据、核心风控模型、清算结算核心数据，实施最高等级防护，严格限制访问与流转。3金融信息全生命周期安全技术规范基于GB/T37973-2019大数据安全生命周期管控要求，结合金融业务场景，明确数据采集、传输、存储、计算、使用、共享、销毁全流程技术安全标准。3.1数据采集安全金融信息采集必须遵循合法、正当、最小必要原则，禁止非法采集、静默采集、超范围采集用户金融信息。采集前需明确告知用户采集范围、使用用途、留存期限，获取用户明示同意。针对批量大数据采集场景，需设置采集规则校验机制，自动拦截超范围、违规、异常数据采集行为。所有采集源头需留存日志记录，包含采集时间、数据源、采集内容、操作人员，实现源头可追溯。3.2数据传输安全金融数据内网、外网、跨平台传输需全程加密，敏感及核心金融数据采用国密算法加密传输，禁止明文传输。对外API接口、数据对接通道需启用HTTPS、VPN等安全传输协议，设置接口访问白名单、流量监控、异常传输拦截机制。实时监测传输过程中的数据篡改、窃取、劫持风险，对大额、批量数据传输实施专项审计，杜绝传输环节数据泄露与篡改。3.3数据存储安全金融大数据分布式存储环境需保障数据完整性与可靠性，对存储数据及副本进行完整性校验，防止数据丢失、篡改、损坏。分级实施存储加密：敏感、核心金融数据采用加密存储，区分密钥分级管理，严禁密钥明文存储。合理设置数据存储期限，超期数据自动触发归档或销毁流程。同时做好存储设备安全防护，部署防火墙、入侵检测系统，定期开展存储漏洞扫描与风险排查，保障存储环境安全稳定。3.4数据计算安全金融大数据分析、建模、风控计算过程需保障计算可靠性，确保仅执行合规、预设的计算逻辑，杜绝非法运算、数据窃取式计算。禁止在计算过程中留存、导出原始核心敏感数据，采用脱敏计算、匿踪计算模式开展数据分析。对Hadoop、Spark等分布式计算框架进行安全配置加固，修复配置漏洞，防范横向渗透、计算节点被入侵等风险。全程记录计算任务、操作人员、运算数据、输出结果，实现计算流程全程审计。3.5数据使用与展示安全金融信息展示、对外服务、用户查询场景需落实脱敏要求，核心敏感信息需掩码展示，禁止完整展示用户银行卡号、身份证号、征信信息等核心隐私数据。严格管控内部人员数据查询、导出、下载权限，实行权限最小化、岗位专属化，越权操作实时预警拦截。智能投顾、金融资讯推送等服务需杜绝个性化数据滥用，禁止违规用户画像推送、过度营销。3.6数据共享与流转安全金融数据对外共享、第三方对接、跨机构流转前，需开展合规审核与风险评估，签订数据安全保密协议，明确双方安全责任。共享数据必须经过脱敏、脱密处理，禁止原始核心敏感数据对外流转。建立数据共享台账，记录共享对象、共享内容、共享时间、使用用途，全程跟踪数据流转轨迹。严控API接口调用权限与频次，防范接口滥用、数据爬取、批量窃取风险。3.7数据归档与销毁安全按照金融行业数据留存监管要求，合规开展数据归档存储，归档数据保持完整性、可查询、可追溯。数据留存期限届满后，需执行不可逆销毁操作，覆盖硬盘销毁、云端数据销毁、备份数据同步销毁，杜绝残留备份。建立销毁审批与记录制度，留存销毁清单、销毁时间、操作人员、核验记录，确保销毁流程合规可查。4金融信息系统与平台安全规范4.1平台架构安全金融信息服务大数据平台、业务系统需采用安全分层架构，实现业务区、数据区、运维区、外网服务区逻辑隔离，部署边界防护设备，防止跨区域越权访问。分布式平台需做好节点安全加固，统一安全配置基线，定期开展节点漏洞检测、补丁更新，防范分布式架构特有安全风险。4.2访问控制安全建立分级、分岗位、分角色的权限管理体系，落实最小权限原则，杜绝超权限、通用权限、共享账号。启用账号实名认证、双因素认证机制，关键操作、核心数据访问需二次核验。定期开展权限梳理、冗余权限清理，及时注销离职人员、离岗第三方人员权限，防范内部越权风险。4.3日志审计安全搭建细粒度审计体系，覆盖数据操作、系统登录、权限变更、数据导出、接口调用、运维操作等全行为日志。日志留存时长满足金融监管要求，日志数据禁止篡改、删除，定期备份归档。支持日志检索、风险溯源、异常行为分析，为安全事件处置、合规核查提供支撑。4.4灾备与业务连续性安全金融信息服务平台需搭建灾难恢复体系，配置同城、异地备份机制，对核心系统、核心数据实现实时备份与快速恢复。实时监控服务器、存储、数据库、安全设备运行状态，及时发现设备故障、系统异常。制定业务连续性预案，针对系统宕机、网络中断、攻击瘫痪等场景开展常态化演练，保障金融信息服务不中断、数据不丢失。5安全管理体系规范5.1制度体系建设金融信息服务机构需建立完善的信息安全管理制度体系，覆盖安全总则、数据安全、系统安全、人员安全、运维安全、应急管理、风险评估、合规自查等全维度制度。制度需贴合国标要求与自身业务场景，明确管理目标、责任分工、操作规范、考核标准，实现安全管理制度化、标准化、常态化。5.2人员安全管理落实全员安全责任制，明确管理层、运维岗、业务岗、技术岗、第三方人员安全职责。开展岗前安全培训、定期合规培训与警示教育，提升全员金融数据安全与合规意识。核心涉密岗位实行轮岗、离岗审计、保密承诺制度，严控内部人员泄密风险。第三方合作人员需签订保密协议，权限单独管控、全程审计。5.3运维安全管理建立常态化运维安全机制，定期开展系统漏洞扫描、渗透测试、病毒查杀、配置核查。严格规范运维操作流程，运维操作需审批、留痕、审计，禁止私自操作、违规改配。定期更新系统补丁、安全策略、病毒库，及时处置安全漏洞与风险隐患。5.4第三方安全管理对合作的技术服务商、数据供应商、外包运维机构开展准入安全审核，建立第三方安全评估机制。明确第三方安全责任，签订保密协议与安全责任书，定期开展第三方安全核查。严控第三方数据访问、系统操作权限，全程监控第三方操作行为，防范第三方引入的安全风险。6安全风险评估与管控规范6.1风险评估流程依据GB/T37973-2019风险评估五步法，开展常态化金融信息安全风险评估，流程包含：资产全面识别、安全威胁建模、脆弱性扫描检测、风险影响分析、风险可能性赋值、风险量化评级。重点排查金融大数据特有风险：分布式框架漏洞、API接口滥用、模型反演攻击、数据融合隐性风险、批量数据泄露风险等。6.2风险分级处置将安全风险划分为高、中、低三个等级，实施差异化处置。高风险隐患立即停工整改、关停风险功能、阻断风险链路；中风险隐患限期整改、跟踪闭环；低风险隐患常态化监控、定期排查。建立风险台账，实现风险发现、评估、整改、复核、闭环全流程管理。6.3常态化风险监测搭建7×24小时安全监测体系，实时监测网络攻击、异常访问、批量数据导出、接口异常调用、系统漏洞、数据篡改等风险。建立风险预警机制，对异常行为自动告警、自动拦截，实现风险早发现、早处置、早溯源。7应急处置与事件管理规范7.1应急预案建设制定专项金融信息安全应急预案，覆盖数据泄露、系统入侵、网站篡改、服务中断、病毒攻击、合规风险事件等各类场景。明确应急组织机构、职责分工、处置流程、响应时限、止损措施、溯源机制，确保突发事件可快速、规范处置。7.2事件处置流程安全事件发生后，立即启动应急响应，开展风险止损、隔离风险链路、封存日志数据、排查事件原因、追溯影响范围。及时上报监管部门（如需），留存完整事件处置记录，包含事件发生时间、影响范围、处置措施、整改方案。7.3复盘与优化每起安全事件处置完成后，开展专项复盘分析，查找制度漏洞、技术短板、管理缺陷，针对性优化安全策略、防护技术、管理制度与应急预案，杜绝同类事件重复发生。定期开展应急演练，提升团队应急处置能力。8合规自查与持续改进金融信息服务机构需建立常态