ICS 35.2 的 40 A 11 JI之 中华人民共和国金融行业标准 J R/T 0197 —2020 m o .c 金融数据安全数据安全分级指南 5 b u Fmanclal da1a securIty-Guidelmes fordata secunty c lassifica11on h t i g 2020 - 09 - 23 发布 2020 - 09 - 23 实施 中国人民银行 发布 目次 l 范围 2 炾泣性引用文件 3 术"和定义 m o .c 4 日杯．原则和范出． _3 5 数据安全定级 6 赋要数据识别 阴呆 A （资科性附录）炊据定级规则参好表 5 b u ”／录 B （资料性附录）数据安全级别变化 事宜 阴录 C （资料性附录），，要数据 参考文献 h t i g 前 本标准按"， G 凡T l 言 l-2009给出的栈则起1,,. 本标准 由 中国人民银行提出 ． 本标准 由 全国金融标准化技术女员会 (S AC门Cl8-0 ）旧口 ． 本杯准起1.， 单位中 1目 人民银行科技司、中 国 银 行保俭监督忤坪委员会统计信息与风心监测部、 ［国 众金融 I C卡安全位测 中 心（银行卡检测中心） 、 汉圳市长亮科技股份旮限公司、中国银行保险 I:，息技术 管埋打限公司、招商银行股份打限公司、 中 1可平安财产保胶 股 份打限公司 、中 国长城资产管理股份有"' m o .c 公司 、 虳蚁科技集团股份有限公司、平女保伦（从 1引）股份有限公司 中国人民银行金融信息 中心、中 闱 人民 恨行数字货币研究所 、 兴业银行股份打限公司 、 中国农业银行股份行限公司 ，''™建设银行股份 打限公司．中国工面银行胶份打限公司 、 恒－1一．，行股份打限公司、中国银联股份有限公司．网联清打打 限公司、中国银行股份 1，限公司 平安银行股份有限公司、中电数据 限务有限公司 ，中心电力队务有限 公司、中国外汇交易中心、中 国 人民银行付业管理部、 中 因人民银行南京分行、中 1． 人民银行福化中心 5 b u 支行 、 中 1日金融 电子化公司 西南川经大学 . h t i g 弓 言 泊行信息技术 的 发展 ， 众多金融基础业务 、 核心流程、行业间往米等事务和活动均已运行在 fl'；息化 支淳蚥体之 I, 金融业机构生产运行过程中产生的信息也还步以不同形式忤化为数字资产在不间们息 网络与系统之间泊仅 ．随 打大数据人工智能 、 云计算等新技术在金融业的深入应用数据心步实现了 从信息 化 资产到牛产荽索的轧变 ， 其市耍性日益凸显 ． 金融业机构数据安全威胁的影 响 范围心步从机构 内扩大至行业间 ， ＇，至礼响国家安全、杜会秩序 、 公众利益与金融市场及定 ， 金融数据及朵多祥对数据实沌分级许丹 ， 能够进 一 步明确数据保护对象 ， 打助于金融业 机肉合 垀 m o .c 分配数据保扩资说和成本 ， 处金融 J K 机构建立完善 的 金融数据生命周期保护框架的基础 ， 也是有的放矢 地实施数据安全节理的前悦朱件 ． 间叶统 一 的数据分级管理制度 ， 能够促进炊据在 机 构间 、 行业间 的 安全共享，打利于金融行业数据价位 的挖 掘与实视 ． 为萃实中共中央 ｀ 国 务院加强数斟资源整合和安全保护相关工作耍求 ． 指导金融业 机 构合理开展金 融数据女全定级工 f十 ． 有效汴实金融数枢生仑周期全过程安全管理策庄 ， 进 一 步提 石 金融业数驮管厅和 5 b u 女全防护水平 确保金融数据的安全应，甘 编制本标准． h t i g 金融数据安全数据安全分级指南 1 范围 本 标准给 出 了金融数据女全分级 的 目标队则和范团 ， 以及数据女全定级的要素 ， 规则和定级过程． 本标准心用干金融业机构／ f 展屯千数据安全分级工作 ． 井为第三方评估 机 1勾等单位／f 展数据安全检 立与评估工作提供参-';. 2 m o .c 规范性引用 文 件 下列文件对干本文件的应用是必不 可少 的 ． 凡是注日期 的 引用文件 ， 仅注日期 的 版木，，，用于本文件． 凡是 不 注日期的 引 用文件 ，其 最新版本（包括所有的＂改单）达 1flT 本 文件 ． GB/T 4254- 2012 I国民经济行业分类 I,li/T 52?1 l -2000 亿 息 技 术 叫 汇第 1 部分怂本 术 语 G8/T25069一20 1 0 GB/2 28828一2O l 2 GB/T35223一2020 3 5 b u 信息安 全 技术术让 信息安 全 技术公共及商用 Ill 务信息系统个 人 信息保护 指 南 信息安全技术个人信息安全规范 JR/T O I 刮一2018 证外期货业数据分类分级析 引 J R/T OlZl - 2020 个人 金融估息．保护技术规抡 h t i g 术语 和定 义 Gll/T 25的9一20 10 、 GB/T 35273- 20'2 界定 的 以及下 列术 治和定 义 心用于 本 文什 ． 憤 息 ， nfor 哎 tlon 关 T 客 体 （如扑实 、打i 件 、 市物 、 过程或思想 包括概念） 的 知 识 ， 在 一 定的场合 中 具打特定的意 义． 注 ，改 写GB/T S27l. l -2OOO ，定义 2.O l OI Ol 3.2 数据 da t a 信息 的 可诃觯释的形式化农示 ，以心 用于通信 鲜释 或 处理． 注 ，可以通过人工或打动 ．＂？处丹 [ GB/T5271 ］ 一 20-00 , 定义 2.0 1. 0 1.02 ] 隐 私 p rl vacy 个 人 所具有的控劓 或 比晌与之相关信息的权限 涉及由谁收集和存 储、 由诽披盂 ． [GB/T25069一20IO, 定义 2. 1 63] 信息 处理 ， nfo r 叩 t l on p”ce ssmg 对 信 9 橾作 的系 统执行 ， 包括数捂处理，也可包括沾如玫据通信和办公 自 动化之类的找作 令 注 术 ”“4 信息 处埋 “ 不舵用为 4 数拭处埋 ＂ 的 卜订义词 ， [GB/T527 1. 1 -2000 , 定 义 2.01.01.05] 数据处理 d3ta pr 心essing 数 据操作的 系 统执 行 ． 示例 贮斟的炊牛比算戎逻辑还算．灼据的归并成分类 ． 井 、存忱 注 1 程疗的汇编戏编汗 ． 改文本的 操什 ． 才如编扣 分类 ． 归 m o .c 位东 、 品示成打印 ． 术语 “ 数据处电“不能／II 为叮计 息处．＂的同义识 ． 注 2 ： 改丐 6RIT S2?i l-2＠． 定 义？ Ol O, OO 5 b u 保密性 conf,d e nt,o l ,ty 使信息不 i．贷给未授权的 个人、 实体 、 进程 ， 或不被其利用的持性 ． [GB/T 25069-20,0 , 定义 2 完整性 mte, r ,ty 保卫资产准 漪 和 完整 的 特性， l l] h t i g 注 ： 改丐Gl,/T ，勺户2一为讥 定义' ' " · 可用性 av8 , lab, l,ty 已授权实体一旦需疫就 可访问和使用的数据和资说的特性 ． [GB/T25069-20IO , 安全级和」 secu r ,ty 定义 2 l 2O] leve l 打火敏 感信 息访问的级别划 分 ，以此级别加 之女全沧畴能更精细 地 控制 对 数据的访 1，'I ． [GB/T 25069-20,0 , 金 融 数据 f , nanc,.l 定义 2 2 l 6] data 金融 J K 机 构开展金 融 jk 务 提供金融朕务以及日常经甘管理所衍或产生的各类数据 ， 注 妀类数觅可用 传 饮数锯处咒技 术 成大数锯处咒技 术 进行组织存化 个人金 融信患 p e 心onal f m.nc,al,nfo r 叩 t,on 寸算 分析和行 吧， 金融业 机内通过提 供金融产品和历务或扦其 他 织迅获收 加工和保存的个人信息 ， 注 1 个人金 融仇儿 包括账户 信息 ，鉴 别仇凡 ， 金融交易仇息 ， 个人身份信息 财产仿息．借贷信息及其他反映竹 定个 人 ．些情况的信息 ， 注 2 改耳 CB/, 352?3一2 位, . 足义 3. ， 个人金 犯涫息主 体 oe rsonal fmanmal,nfor 四t,on subJ ect 个人 金融忙息．所 标识的 自然 人 ， 注， 改飞GB/T 35273一 2020 ． 定义 3. 3. 影响，叹 act m o .c 寸中的 后 果 ．在忙息安全 中 一 败指 不 测事 件的后果． [ GB/T2 5的9一201B, 4 4 1 定义 2 .31 05] 目标，院则和范图 5 b u 数据安 全定级目标 数据安全定级日在对数据资产进行全由椋丹井尚立适当的数据安全分级 ， 比金融业 机 构实施有效数 拟分级管理 的必 要前提和基础 ， 数据分级节理是建立统 － ． ；j 苦 的 数据生令周期安全保护框荣的基础 工 ith 作 ， 能够为金融业 机构 制定有针 对 性的数据安全管控措施提供支撑 ． 金融业包括货币金融服务 ，资木 市 场服务 保险业等，参见邸／T 47 5 4一2017 , 本 标准 所述 “ 金融 jk 机 构 构， 4 2 数据安全定级原则 g 数据安全定级趋伯以下原则 是指从牡上述金融业的相关机 a）合法合规性原 则 沿足国家法律法规及行业土管部门打关炾定 ． bl 可执行性炽 则 数斟定级规则避免过干复杂 ，以 确保数斟定 级工作 的 可行性 ． c）时效性悦则 ： 数据安 全 级别 J\ 打 一定的打 效期限 金融业 机 构订按照级别变 更策略对 数据级别 进行及时 调整 ， di 自主性原则 结合金 融业机 构自 9 数据管埋斋姿 （ 如战 略带婓 、 业务斋姿 ， 风险接受程度芍） 在本 标准的框从 下自土确还数据女全级 别， el 饺异性臣则 根帖本机构数括的类型 、 敏书程度芍控异 ，划 分不同的数据安全 JA 级 ， 井将 数 据 分 散 至不同的级别中 ， 不宜将所打数据床 中划 分到其中若干 个 级别中 ． f）客观性队则 数据足级规 则是客 观且可校粒 的． 级别 4 3 即通过数据 fI9 的 风性 和止级规则即可，,归 J t 并且数据的定级是可复核和检行