小说排行榜,欢乐颂第一季免费阅读,小说阅读网站

國家金融監(jiān)督管理總局關(guān)于印發(fā)銀行保險機構(gòu)數(shù)據(jù)安全管理辦法的通知

發(fā)布時間：2025年01月09日發(fā)布者：管理員

國家金融監(jiān)督管理總局關(guān)于印發(fā)銀行保險機構(gòu)數(shù)據(jù)安全管理辦法的通知

金規(guī)〔2024〕24號

各金融監(jiān)管局，各政策性銀行、大型銀行、股份制銀行、外資銀行、直銷銀行、金融資產(chǎn)管理公司、金融資產(chǎn)投資公司、理財公司，各保險集團（控股）公司、保險公司、保險資產(chǎn)管理公司、養(yǎng)老金管理公司、保險專業(yè)中介機構(gòu)，各金融控股公司，各總局管理單位：

現(xiàn)將《銀行保險機構(gòu)數(shù)據(jù)安全管理辦法》印發(fā)給你們，請遵照執(zhí)行。

國家金融監(jiān)督管理總局

2024年12月27日

（此件發(fā)至監(jiān)管分局與地方法人銀行保險機構(gòu)）

銀行保險機構(gòu)數(shù)據(jù)安全管理辦法

第一章總則

第一條為規(guī)范銀行業(yè)保險業(yè)數(shù)據(jù)處理活動，保障數(shù)據(jù)安全、金融安全，促進數(shù)據(jù)合理開發(fā)利用，保護個人、組織的合法權(quán)益，維護國家安全和社會公共利益，根據(jù)《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國個人信息保護法》《中華人民共和國銀行業(yè)監(jiān)督管理法》《中華人民共和國商業(yè)銀行法》《中華人民共和國保險法》等法律法規(guī)，制定本辦法。

第二條本辦法所稱銀行保險機構(gòu)，是指在中華人民共和國境內(nèi)設(shè)立的政策性銀行、商業(yè)銀行、農(nóng)村合作銀行、農(nóng)村信用合作社、金融資產(chǎn)管理公司、企業(yè)集團財務(wù)公司、金融租賃公司、汽車金融公司、消費金融公司、貨幣經(jīng)紀公司、信托公司、理財公司、保險公司、保險資產(chǎn)管理公司、保險集團（控股）公司。

開展涉及國家秘密的數(shù)據(jù)處理活動，適用《中華人民共和國保守國家秘密法》等法律、行政法規(guī)的規(guī)定。國家有關(guān)主管部門另有規(guī)定的，應(yīng)當依法遵守其規(guī)定。

第三條本辦法所稱數(shù)據(jù)，是指以電子或者其他方式對信息的記錄。

數(shù)據(jù)處理，是指對數(shù)據(jù)的收集、存儲、使用、加工、傳輸、提供、共享、轉(zhuǎn)移、公開、刪除、銷毀等。

數(shù)據(jù)安全，是指通過采取必要措施，對數(shù)據(jù)處理活動和數(shù)據(jù)應(yīng)用場景進行管理與控制，確保數(shù)據(jù)始終處于有效保護和合法利用的狀態(tài)，以及具備保障持續(xù)安全狀態(tài)的能力。

數(shù)據(jù)主體，是指數(shù)據(jù)所標識的自然人或者其監(jiān)護人、企業(yè)、機關(guān)、事業(yè)單位、社會團體和其他組織。

個人信息，是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。

大數(shù)據(jù)平臺，是指以處理海量數(shù)據(jù)存儲、計算、分析等為目的的基礎(chǔ)設(shè)施，包括數(shù)據(jù)統(tǒng)計分析類的平臺和大數(shù)據(jù)處理類平臺（如數(shù)據(jù)湖、數(shù)據(jù)倉庫等）。

第四條國家金融監(jiān)督管理總局及其派出機構(gòu)負責銀行業(yè)保險業(yè)數(shù)據(jù)安全的監(jiān)督管理，制定并發(fā)布監(jiān)管規(guī)章制度，對銀行保險機構(gòu)履行數(shù)據(jù)安全保護義務(wù)情況進行監(jiān)督檢查。

第五條銀行保險機構(gòu)應(yīng)當建立與本機構(gòu)業(yè)務(wù)發(fā)展目標相適應(yīng)的數(shù)據(jù)安全治理體系，建立健全數(shù)據(jù)安全管理制度，構(gòu)建覆蓋數(shù)據(jù)全生命周期和應(yīng)用場景的安全保護機制，開展數(shù)據(jù)安全風險評估、監(jiān)測與處置，保障數(shù)據(jù)開發(fā)利用活動安全穩(wěn)健開展。銀行保險機構(gòu)利用互聯(lián)網(wǎng)等信息網(wǎng)絡(luò)開展數(shù)據(jù)處理活動，應(yīng)當在網(wǎng)絡(luò)安全等級保護制度基礎(chǔ)上，履行數(shù)據(jù)安全保護義務(wù)。

第六條銀行保險機構(gòu)開展數(shù)據(jù)處理活動，應(yīng)當遵守法律、法規(guī)，尊重社會公德和倫理，遵守商業(yè)道德和職業(yè)道德，誠實守信，履行數(shù)據(jù)安全保護義務(wù)，承擔社會責任，不得危害國家安全、政治安全、經(jīng)濟金融安全、公共利益，不得損害個人、組織的合法權(quán)益。

第七條銀行保險機構(gòu)應(yīng)當統(tǒng)籌發(fā)展和安全，落實國家大數(shù)據(jù)戰(zhàn)略，推進數(shù)據(jù)基礎(chǔ)設(shè)施建設(shè)，加大數(shù)據(jù)創(chuàng)新應(yīng)用力度，促進以數(shù)據(jù)為關(guān)鍵要素的數(shù)字經(jīng)濟發(fā)展，提升金融服務(wù)的智能化水平，創(chuàng)新普惠金融服務(wù)模式，增強防范化解風險的能力。

第八條銀行保險機構(gòu)應(yīng)當持續(xù)跟蹤新興數(shù)據(jù)開發(fā)利用和科技發(fā)展前沿動態(tài)，有效應(yīng)對大數(shù)據(jù)應(yīng)用與科技創(chuàng)新可能產(chǎn)生的規(guī)則沖突、社會風險、倫理道德風險，防止數(shù)據(jù)與科技被誤用、濫用。

第二章數(shù)據(jù)安全治理

第九條銀行保險機構(gòu)應(yīng)當建立覆蓋董（理）事會、高管層、數(shù)據(jù)安全統(tǒng)籌、數(shù)據(jù)安全技術(shù)保護等部門的數(shù)據(jù)安全管理組織架構(gòu)，明確崗位職責和工作機制，落實資源保障。

第十條銀行保險機構(gòu)應(yīng)當建立數(shù)據(jù)安全責任制，黨委（黨組）、董（理）事會對本單位數(shù)據(jù)安全工作負主體責任。銀行保險機構(gòu)主要負責人為數(shù)據(jù)安全第一責任人，分管數(shù)據(jù)安全的高級管理人員為直接責任人，明確各層級負責人的責任，明確違規(guī)情形和責任追究事項，落實問責處置機制。

第十一條銀行保險機構(gòu)應(yīng)當指定數(shù)據(jù)安全歸口管理部門，作為本機構(gòu)負責數(shù)據(jù)安全工作的主責部門。其主要職責包括：

（一）組織制定數(shù)據(jù)安全管理原則、規(guī)劃、制度和標準；

（二）組織建立和維護數(shù)據(jù)目錄，推動實施數(shù)據(jù)分類分級保護；

（三）組織開展數(shù)據(jù)安全評估和審查；

（四）統(tǒng)籌建立數(shù)據(jù)安全應(yīng)急管理機制，組織開展數(shù)據(jù)安全風險監(jiān)測、預(yù)警與處置；

（五）組織開展數(shù)據(jù)安全宣貫培訓，提升員工數(shù)據(jù)安全保護意識與技能；

（六）建立和維護內(nèi)部數(shù)據(jù)共享、外部數(shù)據(jù)引入、數(shù)據(jù)對外提供、數(shù)據(jù)出境的統(tǒng)籌管理機制，牽頭對外部數(shù)據(jù)供應(yīng)商進行安全管理，統(tǒng)籌大數(shù)據(jù)應(yīng)用、數(shù)據(jù)共享項目的安全需求管理；

（七）向黨委（黨組）、董（理）事會、高管層報告數(shù)據(jù)安全重要事項；

（八）其他須統(tǒng)籌管理的數(shù)據(jù)安全工作事項。

第十二條銀行保險機構(gòu)應(yīng)當按照“誰管業(yè)務(wù)、誰管業(yè)務(wù)數(shù)據(jù)、誰管數(shù)據(jù)安全”的原則，明確各業(yè)務(wù)領(lǐng)域的數(shù)據(jù)安全管理責任，落實數(shù)據(jù)安全保護管理要求。

第十三條銀行保險機構(gòu)風險管理、內(nèi)控合規(guī)和審計部門負責將數(shù)據(jù)安全納入全面風險管理體系、內(nèi)控評價體系，定期開展審計、監(jiān)督檢查與評價，督促問題整改和開展問責。

第十四條銀行保險機構(gòu)信息科技部門是數(shù)據(jù)安全的技術(shù)保護主責部門，其主要職責包括：

（一）建立數(shù)據(jù)安全技術(shù)保護體系，建立數(shù)據(jù)安全技術(shù)架構(gòu)和保護控制基線，落實技術(shù)保護措施。

（二）制定數(shù)據(jù)安全技術(shù)標準規(guī)范制度，組織開展數(shù)據(jù)安全技術(shù)風險評估。

（三）組織開展信息系統(tǒng)的生命周期安全管理，確保數(shù)據(jù)安全保護措施在需求、開發(fā)、測試、投產(chǎn)、監(jiān)測等環(huán)節(jié)得到落實。

（四）建立數(shù)據(jù)安全技術(shù)應(yīng)急管理機制，組織開展數(shù)據(jù)安全風險技術(shù)監(jiān)測、預(yù)警、通報與處置，防范外部攻擊、內(nèi)外部破壞等危害數(shù)據(jù)安全活動。

（五）組織數(shù)據(jù)安全技術(shù)研究與應(yīng)用。

第十五條銀行保險機構(gòu)應(yīng)當建立良好的數(shù)據(jù)安全文化，開展全員數(shù)據(jù)安全教育和培訓，提高數(shù)據(jù)安全保護意識和水平，形成全員共同維護數(shù)據(jù)安全和促進發(fā)展的良好環(huán)境。

第三章數(shù)據(jù)分類分級

第十六條銀行保險機構(gòu)應(yīng)當制定數(shù)據(jù)分類分級保護制度，建立數(shù)據(jù)目錄和分類分級規(guī)范，動態(tài)管理和維護數(shù)據(jù)目錄，采取差異化安全保護措施。

第十七條銀行保險機構(gòu)應(yīng)當對機構(gòu)業(yè)務(wù)及經(jīng)營管理過程中獲取、產(chǎn)生的數(shù)據(jù)進行分類管理，數(shù)據(jù)類型包括客戶數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、經(jīng)營管理數(shù)據(jù)、系統(tǒng)運行和安全管理數(shù)據(jù)等。

第十八條銀行保險機構(gòu)應(yīng)當根據(jù)數(shù)據(jù)的重要性和敏感程度，將數(shù)據(jù)分為核心數(shù)據(jù)、重要數(shù)據(jù)、一般數(shù)據(jù)。其中，一般數(shù)據(jù)細分為敏感數(shù)據(jù)和其他一般數(shù)據(jù)。

核心數(shù)據(jù)，是指對領(lǐng)域、群體、區(qū)域具有較高覆蓋度或者達到較高精度、較大規(guī)模、一定深度的重要數(shù)據(jù)，一旦被非法使用或者共享，可能直接影響政治安全、國家安全重點領(lǐng)域、國民經(jīng)濟命脈、重要民生、重大公共利益。

重要數(shù)據(jù)，是指特定領(lǐng)域、特定群體、特定區(qū)域或者達到一定精度和規(guī)模的數(shù)據(jù)，一旦被泄露或者篡改、損毀，可能直接危害國家安全、經(jīng)濟運行、社會穩(wěn)定、公共健康和安全。

敏感數(shù)據(jù)，是指一旦被泄露或者篡改、損毀，對經(jīng)濟運行、社會穩(wěn)定、公共利益有一定影響，或者對組織自身或者公民個體造成重要影響的數(shù)據(jù)。

除以上數(shù)據(jù)之外的，為其他一般數(shù)據(jù)。

第十九條銀行保險機構(gòu)應(yīng)當加強數(shù)據(jù)安全級別的時效管理，建立動態(tài)調(diào)整審批機制，當數(shù)據(jù)的業(yè)務(wù)屬性、重要程度和可能造成的危害程度發(fā)生變化，導致原安全級別不再適用的，應(yīng)當及時動態(tài)調(diào)整。

第四章數(shù)據(jù)安全管理

第二十條銀行保險機構(gòu)應(yīng)當按照國家數(shù)據(jù)安全與發(fā)展政策要求，根據(jù)自身發(fā)展戰(zhàn)略，制定數(shù)據(jù)安全保護策略。銀行保險機構(gòu)應(yīng)當制定數(shù)據(jù)安全管理辦法，明確管理責任分工，建立包括數(shù)據(jù)處理全生命周期管控機制，落實保護措施。

銀行保險機構(gòu)應(yīng)當對數(shù)據(jù)外部引入或者合作共享、數(shù)據(jù)出境等，制定安全管理實施細則。

第二十一條銀行保險機構(gòu)應(yīng)當建立企業(yè)級數(shù)據(jù)架構(gòu)，統(tǒng)籌開展對全域數(shù)據(jù)資產(chǎn)登記管理，建立數(shù)據(jù)資產(chǎn)地圖，以數(shù)據(jù)分類分級為基礎(chǔ)明確數(shù)據(jù)保護對象，圍繞數(shù)據(jù)處理活動實施安全管理。

第二十二條銀行保險機構(gòu)在處理敏感級及以上數(shù)據(jù)的業(yè)務(wù)活動時，或者開展數(shù)據(jù)委托處理、共同處理、轉(zhuǎn)移、公開、共享等對數(shù)據(jù)主體有較大影響的活動時，應(yīng)當事先開展數(shù)據(jù)安全評估。數(shù)據(jù)安全評估應(yīng)當根據(jù)數(shù)據(jù)處理目的、性質(zhì)和范圍，按照法律法規(guī)和倫理道德規(guī)范要求，分析數(shù)據(jù)安全風險和對數(shù)據(jù)主體權(quán)益影響，評估數(shù)據(jù)處理的必要性、合規(guī)性，評估數(shù)據(jù)安全風險及防控措施的有效性。

第二十三條銀行保險機構(gòu)應(yīng)當建立企業(yè)級數(shù)據(jù)服務(wù)管理體系，制定數(shù)據(jù)服務(wù)規(guī)范，建立專職數(shù)據(jù)服務(wù)團隊，統(tǒng)籌內(nèi)外部數(shù)據(jù)加工、分析，實施數(shù)據(jù)服務(wù)需求分析、服務(wù)開發(fā)、服務(wù)部署、服務(wù)監(jiān)控等活動。

第二十四條銀行保險機構(gòu)收集數(shù)據(jù)應(yīng)當堅持“合法、正當、必要、誠信”原則，明確數(shù)據(jù)收集和處理的目的、方式、范圍、規(guī)則，保障收集過程的數(shù)據(jù)安全性、數(shù)據(jù)來源可追溯。銀行保險機構(gòu)不得超出數(shù)據(jù)主體同意的范圍向其收集數(shù)據(jù)，法律、行政法規(guī)另有規(guī)定的除外。

銀行保險機構(gòu)向其他銀行保險機構(gòu)收集行業(yè)重要級及以上數(shù)據(jù)，需經(jīng)國家金融監(jiān)督管理總局同意。

第二十五條銀行保險機構(gòu)應(yīng)當以信息系統(tǒng)為數(shù)據(jù)收集的主要渠道，限制或者減少其他渠道、臨時性數(shù)據(jù)收集。

銀行保險機構(gòu)停止金融業(yè)務(wù)或者服務(wù)后，應(yīng)當立即停止相關(guān)數(shù)據(jù)收集或者處理活動，法律、行政法規(guī)另有規(guī)定的除外。

第二十六條銀行保險機構(gòu)應(yīng)當制定外部數(shù)據(jù)采購、合作引入的集中審批管理制度，納入外包風險管理體系進行統(tǒng)籌管理，統(tǒng)籌建立數(shù)據(jù)需求、安全評估、收集引入、數(shù)據(jù)運維、登記備案和監(jiān)督評價管理機制，對數(shù)據(jù)來源的真實性、合法性進行調(diào)查，評估數(shù)據(jù)提供者的安全保障能力及其數(shù)據(jù)安全風險，明確雙方數(shù)據(jù)安全責任及義務(wù)。

第二十七條銀行保險機構(gòu)開展敏感級及以上數(shù)據(jù)清洗轉(zhuǎn)換、匯聚融合、分析挖掘等數(shù)據(jù)加工活動時，應(yīng)當采用匿名化、去標識化或者其他必要安全措施保護數(shù)據(jù)主體權(quán)益，法律、行政法規(guī)另有規(guī)定的除外。數(shù)據(jù)匯聚融合衍生敏感級及以上數(shù)據(jù)，或者導致數(shù)據(jù)安全級別變化的，應(yīng)當及時評估、調(diào)整安全保護措施。

第二十八條銀行保險機構(gòu)應(yīng)當按照“業(yè)務(wù)必要授權(quán)”原則，對敏感級及以上數(shù)據(jù)嚴格實施授權(quán)管理，制定數(shù)據(jù)訪問閉環(huán)管理機制，并對數(shù)據(jù)訪問行為實施審計。確因業(yè)務(wù)需要從生產(chǎn)環(huán)境提取數(shù)據(jù)的，應(yīng)當建立嚴格的審批程序，并明確數(shù)據(jù)使用或者保存期限。

銀行保險機構(gòu)利用互聯(lián)網(wǎng)等信息網(wǎng)絡(luò)開展數(shù)據(jù)處理活動時，要落實網(wǎng)絡(luò)安全等級保護、關(guān)鍵信息基礎(chǔ)設(shè)施安全保護、密碼保護等制度要求。

第二十九條銀行保險機構(gòu)應(yīng)當對數(shù)據(jù)共享使用進行集中安全管控，明確企業(yè)級數(shù)據(jù)共享策略，評估數(shù)據(jù)共享使用的必要性、合規(guī)性、安全性及倫理道德規(guī)范的符合度。

銀行保險機構(gòu)應(yīng)當建立銀行母行、保險集團或者母公司與其子行、子公司數(shù)據(jù)安全隔離的“防火墻”，并對共享數(shù)據(jù)采取有效保護措施。銀行保險機構(gòu)與其母行、集團，或者其子行、子公司共享敏感級及以上數(shù)據(jù)，應(yīng)當獲得數(shù)據(jù)主體的授權(quán)同意，法律、行政法規(guī)另有規(guī)定的除外。不得以數(shù)據(jù)主體拒絕同意共享敏感數(shù)據(jù)而終止或者拒絕單家子行、子公司對其提供金融服務(wù)，所共享數(shù)據(jù)屬于提供產(chǎn)品或者服務(wù)所必需的除外。

第三十條銀行保險機構(gòu)在委托處理數(shù)據(jù)時，應(yīng)當明確所涉數(shù)據(jù)外部使用和處理的條件、場景、方式。委托處理數(shù)據(jù)時，應(yīng)當以合同協(xié)議方式約定委托處理的目的、期限、處理方式、數(shù)據(jù)范圍、保護措施、雙方的數(shù)據(jù)安全責任和義務(wù)，以及受托方返還或者刪除數(shù)據(jù)的方式等，對數(shù)據(jù)處理活動進行記錄和審計，可對外公開披露的數(shù)據(jù)除外。銀行保險機構(gòu)應(yīng)當要求受托方在未取得其同意時，不得轉(zhuǎn)委托其他主體處理數(shù)據(jù)，不得對外共享數(shù)據(jù)，不得加工、訓練、挪用數(shù)據(jù)，或者采取其他形式處理數(shù)據(jù)以謀取合同或者協(xié)議約定以外的利益。

第三十一條銀行保險機構(gòu)應(yīng)當將數(shù)據(jù)委托處理納入信息科技外包管理范圍，在實施過程中不得將信息科技管理責任、數(shù)據(jù)安全主體責任外包，涉及信息科技戰(zhàn)略管理、信息科技風險管理、信息科技內(nèi)部審計及其他有關(guān)信息科技核心競爭力的職能不得外包。供應(yīng)鏈服務(wù)中涉及敏感級及以上數(shù)據(jù)處理的，銀行保險機構(gòu)應(yīng)當加強對供應(yīng)商的準入和安全管理。

第三十二條銀行保險機構(gòu)與第三方機構(gòu)進行數(shù)據(jù)共同處理時，應(yīng)當按照“業(yè)務(wù)必要授權(quán)”原則制定方案并采取有效管理和技術(shù)保護措施確保數(shù)據(jù)安全，并以合同協(xié)議方式明確雙方在數(shù)據(jù)處理過程中的數(shù)據(jù)安全責任和義務(wù)。

第三十三條銀行保險機構(gòu)因合并、分立、解散、被宣告破產(chǎn)等需要轉(zhuǎn)移數(shù)據(jù)的，應(yīng)當明確數(shù)據(jù)轉(zhuǎn)移內(nèi)容，通過協(xié)議、承諾等方式約定數(shù)據(jù)接收方全面承接對應(yīng)數(shù)據(jù)的安全保護義務(wù)，通過公告等方式告知數(shù)據(jù)主體。數(shù)據(jù)轉(zhuǎn)移應(yīng)當采用安全可靠方式進行，并確保轉(zhuǎn)移過程可追溯。

第三十四條銀行保險機構(gòu)向外部提供敏感級及以上數(shù)據(jù)，應(yīng)當取得數(shù)據(jù)主體同意，法律、行政法規(guī)另有規(guī)定的除外。除國家機關(guān)依法履職外，銀行保險機構(gòu)核心數(shù)據(jù)跨主體流動應(yīng)當按照國家相關(guān)政策要求通過風險評估、安全審查。

第三十五條銀行保險機構(gòu)應(yīng)當建立對外公開披露數(shù)據(jù)的審批機制，研判可能產(chǎn)生的影響，數(shù)據(jù)公開應(yīng)當在機構(gòu)官方渠道進行發(fā)布，確保數(shù)據(jù)真實、準確、防篡改，記錄審批和發(fā)布情況。

敏感級及以上數(shù)據(jù)不得公開，法律、行政法規(guī)另有規(guī)定或者取得數(shù)據(jù)主體授權(quán)同意的除外。

第三十六條銀行保險機構(gòu)向境外提供在中華人民共和國境內(nèi)運營中收集和產(chǎn)生的重要數(shù)據(jù)和個人信息，應(yīng)當承擔數(shù)據(jù)安全主體責任，并按照國家有關(guān)政策要求進行安全評估。

第三十七條銀行保險機構(gòu)應(yīng)當采取技術(shù)措施，對敏感級及以上數(shù)據(jù)加強重點防護。加強數(shù)據(jù)備份，制定備份策略，備份數(shù)據(jù)和生產(chǎn)數(shù)據(jù)應(yīng)隔離分開保存，嚴格管理備份數(shù)據(jù)的訪問權(quán)限。制定備份驗證計劃，確保備份數(shù)據(jù)完整有效、業(yè)務(wù)可恢復(fù)。

第三十八條銀行保險機構(gòu)應(yīng)當制定數(shù)據(jù)銷毀管理制度，按照國家、行業(yè)有關(guān)規(guī)定及與數(shù)據(jù)主體的約定進行數(shù)據(jù)刪除或者匿名化處理。銀行保險機構(gòu)委托數(shù)據(jù)處理終止時，應(yīng)當要求服務(wù)提供商及時刪除數(shù)據(jù)，并采取現(xiàn)場檢查等有效監(jiān)督措施，確保數(shù)據(jù)被銷毀、不可恢復(fù)。

第五章數(shù)據(jù)安全技術(shù)保護

第三十九條銀行保險機構(gòu)應(yīng)當建立針對大數(shù)據(jù)、云計算、移動互聯(lián)網(wǎng)、物聯(lián)網(wǎng)等多元異構(gòu)環(huán)境下的數(shù)據(jù)安全技術(shù)保護體系，建立數(shù)據(jù)安全技術(shù)架構(gòu)，明確數(shù)據(jù)保護策略方法，采取技術(shù)措施，保障數(shù)據(jù)安全。

第四十條銀行保險機構(gòu)應(yīng)當將數(shù)據(jù)安全保護納入信息系統(tǒng)開發(fā)生命周期框架，針對敏感級及以上數(shù)據(jù)明確安全保護要求，實現(xiàn)數(shù)據(jù)安全保護措施與信息系統(tǒng)的同步規(guī)劃、同步建設(shè)、同步使用。

第四十一條銀行保險機構(gòu)應(yīng)當將數(shù)據(jù)納入網(wǎng)絡(luò)安全等級保護。銀行保險機構(gòu)應(yīng)當根據(jù)數(shù)據(jù)安全級別，劃分網(wǎng)絡(luò)邏輯安全域，建立分區(qū)域數(shù)據(jù)安全保護基線，實施有效的安全控制，包括內(nèi)容過濾、訪問控制和安全監(jiān)控等，確保相關(guān)措施滿足處理和存儲最高級別數(shù)據(jù)的網(wǎng)絡(luò)安全策略和數(shù)據(jù)安全保護策略要求。存放或者傳輸敏感級及以上數(shù)據(jù)的機房、網(wǎng)絡(luò)應(yīng)當實施重點防護，設(shè)立物理安全保護區(qū)域，對網(wǎng)絡(luò)邊界、重要網(wǎng)絡(luò)節(jié)點進行安全監(jiān)控與審計。

第四十二條銀行保險機構(gòu)應(yīng)當將敏感級及以上數(shù)據(jù)納入信息系統(tǒng)保護。在數(shù)據(jù)全生命周期內(nèi)采取有效的訪問控制管理措施，對于不同區(qū)域流轉(zhuǎn)和共享中的數(shù)據(jù)，應(yīng)當實施同等水平的安全防護措施。多來源敏感級及以上數(shù)據(jù)匯聚集中后，應(yīng)當采取加強性或者至少不低于集中前最高級別數(shù)據(jù)保護強度的安全措施。

第四十三條銀行保險機構(gòu)應(yīng)當嚴格實施對敏感級及以上數(shù)據(jù)的管理，制定用戶對數(shù)據(jù)的訪問策略，采取有效的用戶認證和訪問控制技術(shù)措施，規(guī)范數(shù)據(jù)操作行為，用戶對數(shù)據(jù)的訪問應(yīng)當符合業(yè)務(wù)開展的必要要求并與數(shù)據(jù)安全級別相匹配。敏感級及以上數(shù)據(jù)的操作應(yīng)當進行日志記錄，包括操作時間、用戶標識、行為類型等，核心數(shù)據(jù)操作日志及其備份數(shù)據(jù)保存時間不低于三年，重要數(shù)據(jù)、敏感數(shù)據(jù)操作日志及其備份數(shù)據(jù)保存時間不低于一年，如涉及委托處理、共同處理的數(shù)據(jù)操作日志及其備份數(shù)據(jù)保存時間不低于三年。應(yīng)當定期對數(shù)據(jù)操作行為進行審計，審計周期不超過六個月。

第四十四條銀行保險機構(gòu)敏感級及以上數(shù)據(jù)傳輸應(yīng)當采用安全的傳輸方式，保障數(shù)據(jù)完整性、保密性、可用性。

銀行保險機構(gòu)之間進行數(shù)據(jù)交換時，參與數(shù)據(jù)交換的相關(guān)機構(gòu)應(yīng)當采取有效措施保障信息數(shù)據(jù)傳輸和存儲的保密性、完整性、準確性、及時性、安全性。

第四十五條銀行保險機構(gòu)應(yīng)當對敏感級及以上數(shù)據(jù)采取安全存儲措施，防止勒索病毒、木馬后門等攻擊。個人身份鑒別數(shù)據(jù)不得明文存儲、傳輸和展示。敏感級及以上數(shù)據(jù)應(yīng)當實施數(shù)據(jù)容災(zāi)備份，定期進行數(shù)據(jù)可恢復(fù)性驗證。

第四十六條敏感級及以上數(shù)據(jù)達到使用或者保存期限后，應(yīng)當采取技術(shù)措施及時刪除或者銷毀，確保數(shù)據(jù)不可恢復(fù)。終端和移動存儲介質(zhì)內(nèi)的敏感級及以上數(shù)據(jù)應(yīng)當采取技術(shù)保護措施，確保受控安全訪問，介質(zhì)報廢或者重用時，其存儲空間數(shù)據(jù)應(yīng)當完全清除并不可恢復(fù)。

第四十七條銀行保險機構(gòu)應(yīng)當開展數(shù)據(jù)安全的技術(shù)基礎(chǔ)設(shè)施建設(shè)，支持用戶身份管理、數(shù)據(jù)匿名化、行為監(jiān)測、日志審計、數(shù)據(jù)虛擬化等功能的組件化、服務(wù)化，保障安全標準在信息系統(tǒng)中執(zhí)行的一致性。

第四十八條銀行保險機構(gòu)開發(fā)信息系統(tǒng)時，應(yīng)當明確系統(tǒng)擬處理的數(shù)據(jù)及其安全級別、訪問規(guī)則、保護需求，并實施有效的系統(tǒng)安全控制。系統(tǒng)投產(chǎn)上線前應(yīng)當開展安全測試，確保各項安全要求落實，有效防范數(shù)據(jù)安全風險。測試環(huán)境應(yīng)當與生產(chǎn)系統(tǒng)隔離，敏感級及以上數(shù)據(jù)原則上未經(jīng)脫敏處理不得進入測試環(huán)境，防止數(shù)據(jù)泄露。

第四十九條銀行保險機構(gòu)應(yīng)當對大數(shù)據(jù)平臺采取高可用設(shè)計、安全加固、數(shù)據(jù)備份等措施進行重點保護。應(yīng)當建立大數(shù)據(jù)服務(wù)訪問授權(quán)機制，動態(tài)監(jiān)測與審計大數(shù)據(jù)訪問行為。

第五十條銀行保險機構(gòu)開展自動化決策分析、模型算法開發(fā)、數(shù)據(jù)標注等活動，應(yīng)當保證數(shù)據(jù)處理透明度和結(jié)果公平合理。銀行保險機構(gòu)應(yīng)當對人工智能模型開發(fā)應(yīng)用進行統(tǒng)一管理，建立模型算法產(chǎn)品外部引入的準入機制，對模型研發(fā)過程進行主動管理，實現(xiàn)模型算法可驗證、可審核、可追溯。

第五十一條銀行保險機構(gòu)信息系統(tǒng)、模型算法投入使用前，應(yīng)當開展數(shù)據(jù)安全審查，審查數(shù)據(jù)與模型使用的合理性、正當性、可解釋性，以及數(shù)據(jù)利用對相關(guān)主體合法權(quán)益的影響、倫理道德風險及防控措施有效性等。

第五十二條銀行保險機構(gòu)使用人工智能技術(shù)開展業(yè)務(wù)時，應(yīng)當就數(shù)據(jù)對決策結(jié)果影響進行解釋說明和信息披露，實時監(jiān)測自動化處理與系統(tǒng)運行結(jié)果，建立人工智能應(yīng)用的風險緩釋措施，包括制定退出人工智能應(yīng)用的替代方案，對安全威脅制定應(yīng)急方案并開展演練。

第五十三條銀行保險機構(gòu)在建設(shè)開放銀行、金融生態(tài)或者與第三方數(shù)據(jù)合作時，要實現(xiàn)自身與外部的安全風險隔離，與外部機構(gòu)的數(shù)據(jù)交互應(yīng)當通過集中管理的外聯(lián)平臺或者應(yīng)用程序接口實施，依據(jù)“業(yè)務(wù)必需、最小權(quán)限”原則，采取有效措施對接口設(shè)計、開發(fā)、服務(wù)、運行等進行集中安全保護管理。

第六章個人信息保護

第五十四條銀行保險機構(gòu)處理個人信息應(yīng)當按照“明確告知、授權(quán)同意”的原則實施，法律、行政法規(guī)另有規(guī)定的除外，并在信息系統(tǒng)中實現(xiàn)相關(guān)功能控制。

第五十五條銀行保險機構(gòu)處理個人信息應(yīng)當具有明確、合理的目的，并應(yīng)當與處理目的直接相關(guān)，收集個人信息應(yīng)當限于實現(xiàn)金融業(yè)務(wù)處理目的的最小范圍，不得過度收集個人信息。不得利用所收集的個人信息從事違法違規(guī)活動。

第五十六條銀行保險機構(gòu)處理個人信息前，應(yīng)當真實、準確、完整地向個人告知其個人信息的處理目的、處理方式、處理的個人信息種類、保存期限，個人行使其信息權(quán)利的申請受理和處理程序，以及法律法規(guī)規(guī)定應(yīng)當告知的其他事項。

銀行保險機構(gòu)應(yīng)當制定個人信息處理規(guī)則，個人信息處理規(guī)則應(yīng)當公開展示、易于訪問、內(nèi)容明確、清晰易懂。

第五十七條銀行保險機構(gòu)不得以個人不同意處理其個人信息或者撤回同意為由，拒絕提供產(chǎn)品或者服務(wù)，處理個人信息屬于提供產(chǎn)品或者服務(wù)所必需的除外。

第五十八條銀行保險機構(gòu)在開展涉及對個人權(quán)益有重大影響的個人信息處理活動時，應(yīng)當進行個人信息保護影響評估，評估內(nèi)容包括個人信息處理的合法性、必要性，對個人權(quán)益的影響及安全風險，所采取的保護措施合法性、有效性以及是否與風險程度相適應(yīng)。個人信息保護影響評估報告和處理情況記錄應(yīng)當至少保存三年。

第五十九條銀行保險機構(gòu)與其母行、集團，或者其子行、子公司共享個人信息，及向外部提供個人信息，應(yīng)當履行向個人告知及取得其同意等相關(guān)事項的義務(wù)。

第六十條銀行保險機構(gòu)向中華人民共和國境外提供個人信息的，除滿足第三十六條、第五十九條規(guī)定的要求外，還應(yīng)當向個人告知其向境外接收方行使信息權(quán)利的方式和程序等事項，法律、行政法規(guī)另有規(guī)定的除外。

第六十一條銀行保險機構(gòu)委托第三方處理個人信息的，應(yīng)當在合同或者協(xié)議條款內(nèi)明確受托人對個人信息的保護義務(wù)、保護措施和期限等，并嚴格監(jiān)督受托人以約定的處理目的、處理方式等處理個人信息，與第三方傳輸個人敏感數(shù)據(jù)必須確保安全，防范數(shù)據(jù)濫用和泄漏風險。未經(jīng)銀行保險機構(gòu)同意，受托人不得轉(zhuǎn)委托他人處理個人信息。

第六十二條銀行保險機構(gòu)在算法設(shè)計、訓練數(shù)據(jù)選擇和模型生成時，應(yīng)當采取有效措施，保障個人合法權(quán)益。利用個人信息進行自動化決策，應(yīng)當保證決策的透明度和結(jié)果公平、公正。

第六十三條發(fā)生或者可能發(fā)生個人信息泄露、篡改、丟失的，銀行保險機構(gòu)應(yīng)當立即采取補救措施，同時通知個人并報送國家金融監(jiān)督管理總局或者其派出機構(gòu)。通知應(yīng)當包括下列事項：

（一）發(fā)生或者可能發(fā)生個人信息泄露、篡改、丟失的信息種類、原因和可能造成的危害；

（二）銀行保險機構(gòu)采取的補救措施和個人可以采取的減輕危害的措施。

銀行保險機構(gòu)采取措施能夠有效避免信息泄露、篡改、丟失造成危害的，可以不通知個人；監(jiān)管部門認為可能造成危害的，有權(quán)要求銀行保險機構(gòu)通知個人。

第七章數(shù)據(jù)安全風險監(jiān)測與處置

第六十四條銀行保險機構(gòu)應(yīng)當將數(shù)據(jù)安全風險納入本機構(gòu)全面風險管理體系，明確數(shù)據(jù)安全風險監(jiān)測、風險評估、應(yīng)急響應(yīng)及報告、事件處置的組織架構(gòu)和管理流程，有效防范和處置數(shù)據(jù)安全風險。

第六十五條銀行保險機構(gòu)應(yīng)當對數(shù)據(jù)安全威脅進行有效監(jiān)測，實施監(jiān)督檢查，主動評估風險，防止數(shù)據(jù)篡改、破壞、泄露、非法利用等安全事件發(fā)生。監(jiān)測內(nèi)容包括：

（一）超范圍授權(quán)或者使用系統(tǒng)特權(quán)賬號；

（二）內(nèi)部人員異常訪問、使用數(shù)據(jù)；

（三）對數(shù)據(jù)集中共享的系統(tǒng)或者平臺的網(wǎng)絡(luò)安全、數(shù)據(jù)安全威脅；

（四）敏感級及以上數(shù)據(jù)在不同區(qū)域的異常流動；

（五）移動存儲介質(zhì)的異常使用；

（六）外包、第三方合作中的數(shù)據(jù)處理異常或者數(shù)據(jù)泄露、丟失和篡改；

（七）客戶有關(guān)數(shù)據(jù)安全的投訴；

（八）數(shù)據(jù)泄露、仿冒欺詐等負面輿情；

（九）其他可能導致數(shù)據(jù)安全事件發(fā)生的情況。

第六十六條銀行保險機構(gòu)應(yīng)當每年開展一次數(shù)據(jù)安全風險評估。審計部門應(yīng)當每三年至少開展一次數(shù)據(jù)安全全面審計，發(fā)生重大數(shù)據(jù)安全事件后應(yīng)當開展專項審計。銀行保險機構(gòu)委托專業(yè)機構(gòu)進行數(shù)據(jù)安全審計時，不得使用該機構(gòu)提供的產(chǎn)品和其他服務(wù)。

第六十七條數(shù)據(jù)安全事件是指銀行保險機構(gòu)數(shù)據(jù)被篡改、泄露、破壞、非法獲取、非法利用等，對個人或者組織合法權(quán)益、行業(yè)安全、國家安全造成負面影響的事件。根據(jù)其影響范圍和程度，分為特別重大、重大、較大和一般四個事件級別。

第六十八條銀行保險機構(gòu)應(yīng)當建立數(shù)據(jù)安全事件應(yīng)急管理機制，建立機構(gòu)內(nèi)部協(xié)調(diào)聯(lián)動機制，建立服務(wù)提供商、第三方合作機構(gòu)數(shù)據(jù)安全事件的報告機制，及時處置風險隱患及安全事件。

（一）制定數(shù)據(jù)安全事件應(yīng)急預(yù)案，定期開展應(yīng)急響應(yīng)培訓和應(yīng)急演練。

（二）發(fā)生數(shù)據(jù)安全事件后，應(yīng)當立即啟動應(yīng)急處置，分析事件原因、評估事件影響、開展事件定級，按照預(yù)案及時采取業(yè)務(wù)、技術(shù)等措施控制事態(tài)。

（三）建立數(shù)據(jù)安全事件報告機制，根據(jù)事件安全等級制定報告流程，發(fā)生數(shù)據(jù)安全事件時按照規(guī)定報告，同時按照合同、協(xié)議等有關(guān)約定履行客戶及合作方告知義務(wù)。

（四）發(fā)生數(shù)據(jù)安全事件或者使用的網(wǎng)絡(luò)產(chǎn)品和服務(wù)存在安全缺陷、漏洞時，應(yīng)當立即開展調(diào)查評估，及時采取補救措施，防止危害擴大。網(wǎng)絡(luò)產(chǎn)品和服務(wù)提供商存在安全缺陷、漏洞隱瞞不報的，銀行保險機構(gòu)應(yīng)當責令其改正；未按要求整改或者造成嚴重后果的，應(yīng)當取消其服務(wù)資格，按合同約定予以處罰，并向國家金融監(jiān)督管理總局或者其派出機構(gòu)報告。

第六十九條數(shù)據(jù)安全事件發(fā)生2小時內(nèi)，銀行保險機構(gòu)應(yīng)當向國家金融監(jiān)督管理總局或者其派出機構(gòu)報告，并在事件發(fā)生后24小時內(nèi)提交正式書面報告。發(fā)生特別重大數(shù)據(jù)安全事件，銀行保險機構(gòu)應(yīng)當立即采取處置措施，按照規(guī)定及時告知用戶并向國家金融監(jiān)督管理總局或者其派出機構(gòu)、屬地公安機關(guān)報告。銀行保險機構(gòu)應(yīng)當每2小時將處置進展情況上報，直至處置結(jié)束。數(shù)據(jù)安全事件處置結(jié)束后，銀行保險機構(gòu)應(yīng)當在五個工作日內(nèi)將事件及其處置的評估、總結(jié)和改進報告報送國家金融監(jiān)督管理總局或者其派出機構(gòu)。其他法律、行政法規(guī)對數(shù)據(jù)安全事件應(yīng)急處置作出規(guī)定的，銀行保險機構(gòu)應(yīng)當執(zhí)行。

第八章監(jiān)督管理

第七十條國家金融監(jiān)督管理總局及其派出機構(gòu)對銀行保險機構(gòu)數(shù)據(jù)安全保護情況進行監(jiān)督管理，開展非現(xiàn)場監(jiān)管、現(xiàn)場檢查，將數(shù)據(jù)安全管理情況納入監(jiān)管評級評估體系，依法對銀行保險機構(gòu)數(shù)據(jù)安全事件進行處罰和處置，實施對數(shù)據(jù)安全管理的持續(xù)監(jiān)管。

第七十一條國家金融監(jiān)督管理總局按照國家數(shù)據(jù)分類分級要求，制定銀行業(yè)保險業(yè)重要數(shù)據(jù)目錄，提出核心數(shù)據(jù)目錄建議，監(jiān)督指導銀行保險機構(gòu)開展數(shù)據(jù)分類分級管理和數(shù)據(jù)保護。銀行保險機構(gòu)應(yīng)當按要求向國家金融監(jiān)督管理總局或者其派出機構(gòu)報送重要數(shù)據(jù)目錄。重要數(shù)據(jù)目錄發(fā)生重大變化應(yīng)當及時報備更新后的數(shù)據(jù)目錄。

第七十二條國家金融監(jiān)督管理總局建立銀行業(yè)保險業(yè)數(shù)據(jù)安全監(jiān)測預(yù)警、通報處置機制，持續(xù)監(jiān)測數(shù)據(jù)安全風險，向行業(yè)發(fā)布風險提示，制定銀行業(yè)保險業(yè)數(shù)據(jù)安全事件應(yīng)急預(yù)案，處置數(shù)據(jù)安全風險事件。與國家數(shù)據(jù)安全管理部門建立聯(lián)防聯(lián)控管理機制，實施數(shù)據(jù)安全信息共享、風險監(jiān)測預(yù)警及數(shù)據(jù)安全事件處置。

第七十三條涉及批量敏感級及以上數(shù)據(jù)的數(shù)據(jù)共享、委托處理、轉(zhuǎn)讓交易、數(shù)據(jù)轉(zhuǎn)移，銀行保險機構(gòu)應(yīng)當在處理、合同簽署前二十個工作日向國家金融監(jiān)督管理總局或者其派出機構(gòu)報告，法律、行政法規(guī)另有規(guī)定的除外。

第七十四條銀行保險機構(gòu)應(yīng)當于每年1月15日前向國家金融監(jiān)督管理總局或者其派出機構(gòu)報送上一年度數(shù)據(jù)安全風險評估報告，報告內(nèi)容包括數(shù)據(jù)安全治理、技術(shù)保護、數(shù)據(jù)安全風險監(jiān)測及處置措施、數(shù)據(jù)安全事件及處置情況、委托和共同處理、數(shù)據(jù)出境、數(shù)據(jù)安全評估與審查情況、數(shù)據(jù)安全相關(guān)的投訴及處理情況等。

第七十五條國家金融監(jiān)督管理總局及其派出機構(gòu)對銀行保險機構(gòu)數(shù)據(jù)安全保護情況進行現(xiàn)場檢查、事件調(diào)查，對于發(fā)現(xiàn)涉嫌違法違規(guī)事項的有關(guān)單位和個人，依法開展調(diào)查。現(xiàn)場檢查、事件調(diào)查可以委托國家、行業(yè)有關(guān)專業(yè)技術(shù)機構(gòu)或者審計機構(gòu)予以協(xié)助。

第七十六條銀行保險機構(gòu)違反本辦法要求的，國家金融監(jiān)督管理總局或者其派出機構(gòu)根據(jù)其違規(guī)情況，對銀行保險機構(gòu)依法采取風險提示、監(jiān)管談話、監(jiān)管通報、責令改正等監(jiān)管措施；對涉及違規(guī)處理行為的系統(tǒng)或者應(yīng)用，責令暫?；蛘呓K止服務(wù)；對有重大違法違規(guī)情形，或者遲報、瞞報數(shù)據(jù)安全事件和案件，或者產(chǎn)生重大數(shù)據(jù)安全風險、事件、案件的第三方機構(gòu)進行行業(yè)通報，責令銀行保險機構(gòu)暫緩或者停止合作。

第七十七條銀行業(yè)金融機構(gòu)違反本辦法要求的，國家金融監(jiān)督管理總局及其派出機構(gòu)可以依據(jù)《中華人民共和國銀行業(yè)監(jiān)督管理法》相關(guān)規(guī)定，責令銀行業(yè)金融機構(gòu)改正，并處以二十萬以上五十萬以下罰款；情節(jié)特別嚴重或者逾期不改正的，可以責令停業(yè)整頓或者吊銷其經(jīng)營許可證。根據(jù)違規(guī)情況，可以責令銀行業(yè)金融機構(gòu)對直接負責的董事、高級管理人員和其他直接責任人員給予紀律處分；銀行業(yè)金融機構(gòu)的行為尚不構(gòu)成犯罪的，對直接負責的董事、高級管理人員和其他直接責任人員給予警告，處五萬元以上五十萬元以下罰款；取消直接負責的董事、高級管理人員一定期限直至終身的任職資格，禁止直接負責的董事、高級管理人員和其他直接責任人員一定期限直至終身從事銀行業(yè)工作。構(gòu)成犯罪的，依法追究刑事責任。

保險業(yè)金融機構(gòu)違反本辦法要求的，國家金融監(jiān)督管理總局及其派出機構(gòu)可以依據(jù)《中華人民共和國保險法》相關(guān)規(guī)定，責令保險業(yè)金融機構(gòu)改正，處五萬元以上三十萬元以下的罰款；情節(jié)嚴重的，限制其業(yè)務(wù)范圍、責令停止接受新業(yè)務(wù)或者吊銷業(yè)務(wù)許可證。根據(jù)違規(guī)情況，對其直接負責的主管人員和其他直接責任人員給予警告，并處一萬元以上十萬元以下的罰款；情節(jié)嚴重的，撤銷任職資格。構(gòu)成犯罪的，依法追究刑事責任。

實施過程中如遇《中華人民共和國銀行業(yè)監(jiān)督管理法》《中華人民共和國保險法》修訂，以修訂后的規(guī)定為準。

第七十八條中國銀行業(yè)協(xié)會、中國保險行業(yè)協(xié)會等行業(yè)社團組織應(yīng)當通過宣傳、培訓、自律、協(xié)調(diào)、服務(wù)等方式，協(xié)助引導會員單位提高數(shù)據(jù)安全管理水平。

第九章附則

第七十九條本辦法由國家金融監(jiān)督管理總局負責解釋和修訂。

第八十條國家金融監(jiān)督管理總局批準設(shè)立的其他銀行業(yè)金融機構(gòu)、保險業(yè)金融機構(gòu)、金融控股公司以及總局管理單位參照適用本辦法。地方金融管理部門批準設(shè)立的金融組織參照適用本辦法。

第八十一條本辦法自公布之日起施行，《銀行保險機構(gòu)數(shù)據(jù)安全辦法》（銀保監(jiān)辦發(fā)〔2022〕118號）同時廢止。

附件：數(shù)據(jù)安全事件分級

1.國家金融監(jiān)督管理總局發(fā)布《銀行保險機構(gòu)數(shù)據(jù)安全管理辦法》

https://www.nfra.gov.cn/cn/view/pages/ItemDetail.html?docId=1192305&itemId=915

2.國家金融監(jiān)督管理總局有關(guān)司局負責人就《銀行保險機構(gòu)數(shù)據(jù)安全管理辦法》答記者問

https://www.nfra.gov.cn/cn/view/pages/ItemDetail.html?docId=1192306&itemId=915

文章來源：國家金融監(jiān)督管理總局網(wǎng)站