银行保险机构数据安全管理办法

银行保险机构的数据安全管理迎来新规！《银行保险机构数据安全管理办法》明确了数据分类分级、个人信息保护、技术保护等关键措施，要求机构建立全面的数据安全治理体系。每年1月15日前需向监管机构报送风险评估报告，并将数据安全纳入全面风险管理体系。违规情形将严格追究责任，委托审计不得使用其产品与服务，确保安全标准在信息系统中一致执行。重要数据的共享、处理、转让等操作需严格监管，个人信息处理遵循“明确告知、授权同意”原则，保障用户隐私安全。

银行保险机构数据安全管理办法

• 一、总则
  • 1. 制定目的
    • 规范数据处理活动
    • 保障数据安全与金融安全
  • 2. 适用范围
    • 境内各类银行保险机构
    • 涉及国家秘密的特殊规定
  • 3.名词解释
    • 数据处理
    • 数据安全
    • 数据主体
    • 个人信息
    • 大数据平台
  • 监督管理
    • 总局及其派出机构负责数据安全的监督管理，制定并发布监管规章制度，对机构履行数据安全保护义务情况进行监督检 查。
  • 总体要求
    • 建立与本机构业务发展目 标相适应的数据安全治理体系
    • 建立健全数据安全管理制度
    • 构建覆盖数据全生命周期和应用场景的安全保护机制
    • 开展数据安全风险评估、监测与处置
    • 利用互联网等信息网络开展 数据处理活动，在网络安全等级保护制度基础上，履行 数据安全保护义务。
  • 社会责任
    • 遵法守德
    • 落实国家大数据战略
    • 关注科技动态防范数据与科技误用滥用
• 二、数据安全治理体系
  • 1. 建立组织架构
    • 建立覆盖董(理)事会、高 管层、数据安全统筹、数据安全技术保护等部门的数据安全 管理组织架构
  • 2.建立数据安全责任制
    • 党委、董事会对数据安全负主体责任
    • 机构主要负责人为第一责任人
    • 分管数据安全高级管理人员为直接责任人
    • 明确责任、违规情形、责任追究，问责机制
  • 3.指定数据安全归口管理部门
    • 主责部门
  • 4.“谁管业务、谁管业 务数据、谁管数据安全”明确业务领域的数据安全管理责任。
  • 5.将数据安全纳入全面风险管理体系、内控评价体系，定期开展审计监督检查和评价。
  • 6.信息科技部门是数据安全的技术保护主责部门
• 三、数据分类分级
  • 1. 机构应制定数据分类分级保护制度，建立数据目录和分类分级规范，差异化保护
  • 2.分类分级
    • 1.分类
      • 客户数据
      • 业务数据
      • 经营管理数据
      • 系统运行和安全管理数据等
    • 2.分级
      • 核心数据
        • 直接影响政治安全、国家安全重点 领域、国民经济命脉、重要民生、重大公共利益。
      • 重要数据
        • 直接危害国家安全、经济运行、社会稳定、公共健康和安全。
      • 一般数据
        • 敏感数据
          • 对经济运行、社会稳定、公共利益有一定影响，或者对组织自身或者公民个体造成重要影响的数据。
        • 其他一般数据
      • 加强数据安全级别的时效管理，建立动态调整审批机制
• 四、数据安全管理
  • 1. 制定数据安全管理办法
    • 明确管理责任分工
    • 数据处理全生命周期管控机制
    • 落实保护措施
  • 2.建立企业级数据架构，全域数据资产登记管理
  • 3.处理敏感级及以上数据应事先开展数据安全评估
    • 分析数据安全 风险和对数据主体权益影响
    • 评估数据处理的必要性、合规性
    • 评估数据安全风险及防控措施的有效性
  • 4.建立企业级数据服务管理体系
  • 5.数据收集
    • 收集数据应当坚持“合法、 正当、必要、诚信”原则
    • 向其他银行保险机构收集行业重要级及 以上数据，需经国家金融监督管理总局同意。
    • 信息系统为数据收集 的主要渠道
    • 应当制定外部数据采购、合 作引入的集中审批管理制度
  • 6.敏感级及以上数据
    • 采用匿 名化、去标识化或者其他必要安全措施保护数据主体权益
    • 按照“业务必要授权” 原则，对敏感级及以上数据严格实施授权管理
    • 向外部提供敏感级及以上数 据，应当取得数据主体同意
    • 敏感级及以上数据不得公开
    • 重点防护，加强备份管理，备份数据生产数据分开保存，控制访问权限，验证备份数据完整有效、业务可恢复。
  • 7.数据使用
    • 应当对数据共享使用进行集中安全管控
    • 在委托处理数据时，应当明确 所涉数据外部使用和处理的条件、场景、方式。
    • 应当将数据委托处理纳入信 息科技外包管理范围
    • 与第三方机构进行数据共同处理时，应当按照“业务必要授权”原则制定方案，并以合同协议方式明确双方在数据处理过程中的数据安全责任和义务。
    • 因合并、分立等需要转移数据的，应当明确数据转移内容，通过协议、承诺等方式约定数据接收方全面承接对应数据的安全保护义务，通过公告等方式告知数据主体。
    • 应当建立对外公开披露数据的审批机制
    • 向境外提供重要数据和个人信息，应当承担数据安全主体责任
  • 8.数据销毁
    • 应当制定数据销毁管理制度
    • 委托数据处理终止时， 应当要求服务提供商及时删除数据
• 五、数据安全技术保护
  • 1.建立数据安全技术架构，明确数据保护策略方法， 采取技术措施，保障数据安全。
  • 2.将数据纳入网络安全等级保护
    • 划分网络逻 辑安全域，建立分区域数据安全保护基线
    • 实施有效的安全控制，包括内容过滤、访问控制和安全监控
    • 存放或者传输敏感级及以上数据的机房、 网络应当实施重点防护
      • 物理安全保护区域
      • 网络边界、重要网络节点进行安全监控与审计
  • 3.敏感级及以上数据纳入信息系统保护
    • 数据访问
      • 制定用户对数据的访问策略
      • 有效的用 户认证和访问控制技术措施
      • 操作应当进行日志记录
        • 核心数据操作日志不低于三年
        • 重要数据、敏感数据操作日志不低于一年
        • 定期对数据操作行为进行审计，审计周期不超过六个月
    • 数据传输
      • 敏感级及以上数据传输应当 采用安全的传输方式
    • 数据存储
      • 敏感级及以上数据采 取安全存储措施
        • 勒索病毒
        • 木马后门等
      • 个人身 份鉴别数据不得明文存储、传输和展示
      • 敏感级及以上数据 应当实施数据容灾备份，定期验证。
    • 数据销毁
      • 敏感级及以上数据达到使用或者保存期限后，应及时删除或者销毁。
      • 终端和移动存储介质内的敏感级及以上数据应当采取技 术保护措施
  • 4.应当开展数据安全的技术基础设施建设
    • 用户身份管理
    • 数据匿名化
    • 行为监测
    • 日志审计
    • 数据虚拟化等
    • 保障安全标准在信息系统中执行的一致性。
  • 5.系统建设要求
    • 系统开发、测试
      • 明确 系统拟处理的数据及其安全级别、访问规则、保护需求
      • 投产前开展安全测试
      • 测试环境预生产环境隔离
      • 敏感级以上数据未脱敏不得进入测试环境。
    • 大数据平台建设
      • 采取高可用设计、安全加固、数据备份等措施进行重点保护
      • 动态监测与审计大数据访问行 为
    • 人工智能
      • 对开发应用进行统一管理，建立模型算法准入机制
      • 投产前应开展数据安全审查
        • 数据与模型使用的合理性、正当性、可解释性
      • 开展业务时，应当就数据对决策结果影响进行解释说明和信息披露
      • 建立人工智能应用的风险缓释措施
        • 制定退出人工智能应用的替代方案
        • 对 安全威胁制定应急方案并开展演练
    • 开展第三方合作
      • 实现自身与外部的安全风险隔 离
      • “业务必需、最小权限”原则
      • 采取有效措施对接口设计、开发、服务、运行等进行集中安 全保护管理
• 六、个人信息保护
  • 1.按照“明 确告知、授权同意”的原则
  • 2.收集个人信 息应当限于实现金融业务处理目的的最小范围
  • 3.个人信息处理
    • 应当制定个人信息处理规则
    • 处理个人信息前应履行告知
      • 处理目的
      • 处理方式
      • 处理的个人信息种类
      • 保存期限等
    • 对个人权益有重大影响的应当进行个人信息保护影响评估
      • 个人信息保护影响评估报告 和处理情况记录应当至少保存三年
    • 共享个人信息，及向外部提供个人信息，应当履 行向个人告知及取得其同意等相关事项的义务
    • 委托第三方处理个人信息，应当在合同或者协议条款进行约束
    • 算法设计、训练数据选择 和模型生成时，应当采取有效措施，保障个人合法权益
  • 4.发生或可能发生个人信息泄露、篡改、 丢失的处理
    • 采取补救措施
    • 通知个人并报送监管机构
• 七、数据安全风险监测与处置
  • 1.数据安全风险应纳入全面风险管理体系
  • 2.对数据安全威胁进行有效监测
    • (一)超范围授权或者使用系统特权账号；
    • (二)内部人员异常访问、使用数据；
    • (三)对数据集中共享的系统或者平台的网络安全、数 据安全威胁；
    • (四)敏感级及以上数据在不同区域的异常流动；
    • (五)移动存储介质的异常使用；
    • (六)外包、第三方合作中的数据处理异常或者数据泄 露、丢失和篡改；
    • (七)客户有关数据安全的投诉；
    • (八)数据泄露、仿冒欺诈等负面舆情；
    • (九)其他可能导致数据安全事件发生的情况。
  • 3.数据安全风险评估与审计
    • 每年开展一次数据安全风险评估
    • 至少每三年开展一次数据安全全面审计
    • 重大数据安全事件后进行专项审计
    • 委托审计不得使用其产品与其他服务
  • 4.数据安全事件
    • 数据被篡改、泄露、破坏、非法获取、非法利用等，造成负面影响的事件。
      • 特别重大
      • 重大
      • 较大
      • 一般
    • 建立数据安全事件应急管理机制
      • 制定事件应急预案，定期培训、演练
      • 事件发生后，按照预案及 时采取业务、技术等措施控制事态
      • 建立数据安全事件报告机制
      • 对产品、服务进行动态完善，加强服务商管理
    • 数据安全事件报告
      • 事件发生后2小时想监管报告
      • 事件发生24小时内向监管提交书面报告
      • 发生特别重大事件
        • 告知用户，并向监管、属地公安机关报告
        • 每2小时更新处置进展，直至处置结束。
        • 五个工作日内向监管报送相关材料
• 八、监督管理
  • 1.总局及派出机构进行监督管理
    • 非现场监管
    • 现场检查
    • 纳入监管评级评估体系
  • 2.重要数据目录
    • 监管机构制定重要数据目录，指导机构开展分类分级管理和数据保护
    • 应当按要求向监管机构报送重要数据目录，并动态更新
  • 3.批量敏感级及以上数据的数据共享、 委托处理、转让交易、数据转移
    • 应当在处理、 合同签署前二十个工作日向监管机构报告
  • 4.每年1月15日前向监管机构报送数据安全风险评估报告
    • 报告内容包括数据安全治理、技术保护、 数据安全风险监测及处置措施、数据安全事件及处置情况、 委托和共同处理、数据出境、数据安全评估与审查情况、数 据安全相关的投诉及处理情况等。
  • 5.违反本管理办法情形
    • 监管措施
      • 对机构
        • 依法采取风险提示、监管谈话、监管通报、责令改正 等监管措施
      • 度第三方机构
        • 责令银行保险机构暂缓或 者停止合作
      • 对系统或应用
        • 责令暂停或者终止服务
    • 处罚
      • 对机构
        • 责令改正， 并处以二十万以上五十万以下罚款
        • 情节特别严重或者逾期不改正的，可以责令停业整顿或者吊销其经营许可证
      • 对个人
        • 责令对直接负责的董事、高级管理人员和其他直接责任人员给予纪律处分
        • 不构成犯罪的，对直接负责的董事、高级管理 人员和其他直接责任人员给予警告，处五万元以上五十万元 以下罚款
        • 取消直接负责的董事、高级管理人员一定期限直至终身的任职资格，禁止直接负责的董事、高级管理人员和 其他直接责任人员一定期限直至终身从事银行业工作。
        • 构成 犯罪的，依法追究刑事责任