JR-T 0197-2020 金融数据安全 数据安全分级指南 - 副本

JR/T0197-2020金融数据安全数据安全分级指南前言本文件为中华人民共和国金融行业推荐性标准（JR/T0197-2020），由中国人民银行于2020年9月23日正式发布，2020年12月1日起实施，是我国金融行业数据安全分级的基础性、纲领性专属标准。为落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及金融行业数据安全监管要求，解决金融领域数据类型繁杂、敏感层级模糊、防护标准不统一、分级落地无依据、防护资源错配等行业痛点，规范金融数据全生命周期分级保护行为，统一银行业、证券业、保险业、支付机构等全金融业态的数据安全分级规则、判定逻辑与防护基线，构建“分级分类、精准防护、风险适配、动态管控”的金融数据安全治理体系，特制定本指南。本标准核心确立了金融数据安全分级的目标、原则、维度、判定规则、分级清单、动态管理、落地要求，区别于通用数据分级标准，深度适配金融数据高敏感、高价值、高风险、强监管的行业特性，是金融机构开展数据安全治理、合规建设、风险评估、等级保护、监管自查、专项督查、数据生命周期防护的核心权威依据，同时配套支撑金融重要数据识别、个人金融信息保护、数据共享流转、数据脱敏、应急处置等全场景合规工作。本文件与《JR/T0198-2020金融数据安全数据生命周期安全规范》形成配套体系，共同构成金融数据安全治理的核心标准矩阵，为金融机构精细化、体系化、常态化数据安全管理提供标准化支撑。1范围1.1本文件规定了金融数据安全分级的总体目标、核心原则、分级维度、分级判定规则、安全级别划分、分级实施流程、动态管理要求及分级落地配套规范。1.2本文件适用于各类金融机构，包含银行、证券、基金、期货、保险、信托、支付机构、金融科技公司、地方金融组织等开展金融数据处理活动的市场主体，覆盖金融数据采集、传输、存储、使用、共享、公开、销毁全生命周期场景。1.3本文件覆盖金融机构生产运营、客户服务、业务办理、风控审计、运维管理、第三方合作、数据共享交换等所有场景产生、处理、流转的全域金融数据，包含个人金融信息、金融业务数据、机构运营数据、风控合规数据、核心经营数据等全部数据类型。1.4本文件为金融数据安全分级的通用基准，各金融细分行业可结合自身业务特性、监管要求，在本标准基础上细化专项分级细则，但不得低于本标准规定的最低分级防护基线。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新有效版本（含所有修改单）适用于本文件。GB/T22239-2019信息安全技术网络安全等级保护基本要求GB/T35273-2020信息安全技术个人信息安全规范GB/T37973-2019信息安全技术大数据安全管理指南JR/T0198-2020金融数据安全数据生命周期安全规范《金融数据安全管理办法》《个人金融信息保护技术规范》《银行业金融机构数据治理指引》3术语和定义3.1金融数据金融机构在开展金融业务、经营管理、风险防控、客户服务、技术运维等活动中，依法采集、产生、汇聚、存储、处理、传输、共享、销毁的各类电子化数据资源的总称，涵盖个人金融信息、金融业务交易数据、机构运营管理数据、风险管控数据、监管报送数据等。3.2数据安全分级依据金融数据的敏感程度、数据价值、泄露篡改损毁风险、对个人权益、机构权益、社会秩序及国家安全的危害程度，对金融数据进行等级划分，匹配差异化安全防护策略的合规管理行为。3.3数据安全影响维度判定金融数据安全级别的核心依据，包含数据敏感度、数据规模、影响范围、危害程度、业务重要性五大核心维度，是分级判定的核心量化指标。3.4动态分级管理针对金融数据业务用途、流转场景、聚合状态、监管要求的变化，动态调整数据安全级别及防护策略的常态化管理机制。4数据安全分级总体目标与核心原则4.1总体目标通过标准化、规范化的数据安全分级，精准识别金融数据资产风险等级，厘清不同数据的安全防护边界，解决金融数据“一刀切”防护、高价值数据防护不足、低价值数据过度防护的问题，实现数据分级精准、风险识别精准、防护策略精准、资源配置精准，构建适配金融行业高安全要求的精细化数据安全治理体系，全面防范数据泄露、篡改、滥用、非法流转等安全风险，保障金融业务稳定运行、客户合法权益及金融市场安全稳定。4.2核心分级原则4.2.1危害导向原则以数据发生安全事件后的危害程度为核心判定依据，优先考量对国家安全、金融秩序、社会公共利益、个人合法权益、金融机构经营安全的影响范围与损害程度，而非单一依据数据业务属性分级。4.2.2最小颗粒度原则以数据字段、数据条目、数据子集为最小分级单元，杜绝以系统、业务模块笼统分级，实现单条数据、单个字段的精准定级，保障分级粒度精细化、防护精准化。4.2.3就高从严原则多字段聚合、多类型数据融合场景下，若包含高等级数据，整体数据集合按照最高安全级别定级；同一数据在不同流转场景产生更高风险的，按最高风险场景定级，从严落实防护要求。4.2.4动态适配原则数据安全级别并非静态固定，随数据聚合规模、流转范围、使用场景、监管政策、业务属性变化动态调整，实现分级与风险实时匹配。4.2.5合规适配原则分级规则严格贴合国家数据安全法律法规及金融行业监管要求，兼顾通用性与行业特殊性，确保分级结果可直接适配监管检查、合规测评、体系认证。5数据安全分级判定维度与判定规则5.1核心判定维度金融数据安全级别判定依托五大核心维度综合评定，各维度相互约束、联动判定，杜绝单一维度片面定级：1.数据敏感程度：数据是否包含个人隐私、核心交易信息、机构商业秘密、风控核心数据、监管涉密数据，以及数据被非法利用的难易程度与危害程度。2.数据影响范围：数据发生泄露、篡改、损毁后，影响的客户数量、机构范围、区域范围、行业范围，是否具备全域扩散风险。3.数据危害程度：风险事件引发的个人权益损害、机构经营损失、金融秩序扰动、社会舆情风险、国家安全风险等级。4.数据聚合规模：单条零散数据与批量聚合数据风险差异，海量数据聚合后风险叠加升级的判定标准。5.业务依赖程度：数据是否支撑核心金融业务、关键风控流程、监管报送工作，数据失效是否引发业务中断、风控失效、合规违规。5.2通用判定规则1.单一低敏感数据零散流转时按基础级别定级，多维度敏感数据聚合后自动升级；2.公开可查询、无隐私无风险的通用金融公示数据，按最低安全级别管理；3.涉及客户资金安全、身份核心隐私、交易核心凭证的数据，直接判定为高安全等级；4.支撑金融宏观调控、行业监管、系统性风险防控的核心行业数据，从严定级；5.数据对外共享、跨机构流转、互联网暴露场景，级别适度上调，强化防护。6金融数据安全五级分级标准（核心章节）本标准将金融数据安全级别从低到高划分为一级（公开数据）、二级（内部数据）、三级（敏感数据）、四级（高敏感数据）、五级（极高敏感核心数据）五个等级，逐级明确数据定义、数据范围、风险危害、防护基线，实现分级落地有据可依。6.1一级数据：公开数据6.1.1定义：可对外公开披露、无隐私风险、无商业秘密、泄露后不会对个人、机构及行业造成任何损害的金融公开性数据。6.1.2数据范围：金融机构公开公示的基本信息、业务公示公告、产品公开介绍、行业公开统计数据、政策公示文件、无脱敏风险的公开经营公示信息等。6.1.3风险危害：数据泄露、公开、流转无任何安全风险与负面影响，不侵害任何主体合法权益，不影响金融秩序。6.1.4防护基线：无需加密、脱敏、权限严控，仅落实基础访问管控，规范公开披露流程，杜绝虚假、篡改公示信息即可。6.2二级数据：内部数据6.2.1定义：仅限金融机构内部使用、不得对外公开，泄露后仅对机构局部经营造成轻微影响，不损害客户权益、不引发行业风险的内部常规数据。6.2.2数据范围：机构内部普通运维日志、内部办公通知、非核心业务台账、内部流程记录、无敏感字段的内部统计数据、普通合作单位基础备案信息等。6.2.3风险危害：数据泄露仅造成机构内部管理信息外泄，影响局部办公秩序，无客户隐私泄露、无资金风险、无行业舆情风险，危害程度极低。6.2.4防护基线：落实内部权限管控、基础日志留存、禁止对外公开，内部最小范围共享，杜绝违规外传，无需高强度加密脱敏。6.3三级数据：敏感数据6.3.1定义：包含客户一般个人金融信息、机构常规业务敏感数据，泄露后会损害个人合法权益、对机构经营造成一定影响，但不会引发重大资金风险、系统性风险的核心常规敏感数据。6.3.2数据范围：客户基础身份信息、常规业务办理记录、非核心交易流水、普通账户基础信息、无支付权限的客户资料、常规风控台账、普通业务审核记录等个人金融敏感信息。6.3.3风险危害：数据泄露易引发客户隐私泄露、精准营销骚扰、个人信息滥用等问题，损害客户权益，对金融机构造成声誉风险、合规风险，无重大资金安全风险。6.3.4防护基线：落实访问权限管控、操作全程审计、传输存储加密、对外共享强制脱敏、留存操作日志、定期风险排查，严格管控数据导出与外传行为。6.4四级数据：高敏感数据6.4.1定义：直接关联客户资金安全、核心隐私、核心交易权限的高敏感金融数据，泄露滥用将直接造成客户财产损失、重大隐私泄露、机构重大合规风险，属于金融核心保护数据。6.4.2数据范围：客户银行卡完整卡号、支付密码、交易密钥、短信验证码、资金划转凭证、完整交易流水、信贷核心资料、客户生物识别信息、账户核心权限信息等。6.4.3风险危害：数据泄露可直接被非法利用，开展盗刷、套现、诈骗、资金挪用等违法操作，造成客户直接财产损失，引发重大客户投诉、舆情风险、监管处罚风险，严重影响金融机构经营秩序。6.4.4防护基线：实行最高等级精细化管控，落实全程加密、强制脱敏、专项审批、最小权限、双人复核、实时监测、操作全程溯源、批量操作熔断、定期安全复盘，严格禁止原始数据对外共享。6.5五级数据：极高敏感核心数据（金融重要核心数据）6.5.1定义：支撑金融行业稳定、系统性风险防控、宏观金融监管、核心风控体系运行的顶级核心数据，属于金融行业战略性、关键性数据，泄露、篡改、损毁将危害金融秩序、社会公共利益甚至国家安全。6.5.2数据范围：金融机构系统性风控数据、行业核心监管报送数据、大额资金流转监控数据、金融风险研判核心数据、关键金融基础设施运行数据、海量聚合脱敏后仍可逆向识别的全域客户数据集合等。6.5.3风险危害：数据异常将引发金融风控失效、系统性金融风险研判失误、行业监管失真、金融市场秩序紊乱，危害社会公共利益与金融安全，属于最高风险等级金融数据。6.5.4防护基线：实行专项最高等级防护，专人专职管控、物理逻辑双重隔离、全链路国密加密、7×24小时实时态势监测、零对外共享、专属应急预案、月度专项风险审计、最高权限准入管控，纳入机构核心资产重点保护。7数据分级实施流程7.1资产梳理与清单摸排金融机构需全面摸排全域数据资产，覆盖所有业务系统、数据库、文件数据、接口流转数据、离线数据、第三方共享数据，梳理数据字段、数据用途、流转场景、存储位置、使用主体，建立完整数据资产台账，杜绝隐形数据、僵尸数据未定级风险。7.2逐字段精准定级以最小数据字段为单元，对照五级分级标准、判定维度、就高从严原则，完成所有数据的初次定级，标注数据安全级别、敏感标签、防护要求、适用场景，形成《金融数据安全分级清单》，明确各级数据边界与管控标准。7.3分级审核与备案数据定级结果需经过业务部门、技术部门、合规安全部门三级审核，校验定级准确性、完整性、合规性，修正错定、漏定、低定问题，最终定级台账纳入机构合规备案管理，留存审核记录，以备监管核查。7.4防护策略匹配落地依据数据安全级别，自动匹配差异化的权限管控、加密脱敏、传输存储、共享流转、审计监测、销毁归档防护策略，实现一级数据基础管控、五级数据极致防护，杜绝防护资源错配、风险管控缺位。8数据分级动态管理机制8.1常态化动态复核金融机构每年至少开展一次全域数据分级复盘复核，针对新增业务数据、迭代字段、新增流转场景，及时完成新增定级；对数据聚合、场景升级、风险变化的数据，动态调整安全级别，更新防护策略。8.2触发式即时调整出现以下场景必须立即启动数据级别复核与调整：数据由内部流转转为对外共享、零散数据聚合为批量数据、数据用途变更、监管新规调整、数据风险等级上升、业务场景迭代升级。8.3变更台账追溯管理所有数据级别新增、调整、注销操作，需留存变更申请、审核记录、调整依据、策略更新记录，建立分级变更台账，全程可追溯、可审计、可追责，保障动态管理合规闭环。9分级配套安全管理要求9.1分级权限管理严格按照数据级别配置最小权限，级别越高权限管控越严格；四级、五级高等级数据实行专属权限、双人双岗、权限分立、限时生效、定期清零机制，杜绝超权限、超范围访问高敏感数据。9.2分级脱敏与加密管理一级、二级数据无需脱敏加密；三级敏感数据对外流转强制脱敏、传输加密；四级、五级高敏感数据实现存储、传输、使用、流转全链路加密，对外共享必须不可逆脱敏，严禁原始数据外流。9.3分级审计与监测管理一级、二级数据常规日志留存；三级数据全程操作审计、定期核查；四级、五级数据实行实时态势监测、异常行为秒级告警、高危操作自动阻断、全行为溯源取证。9.4分级留存与销毁管理依据数据级别设定差异