AI+安全
數(shù)據(jù)安全
數(shù)據(jù)基礎設施
態(tài)勢感知
云安全
基礎安全
終端安全
商用密碼
軟件供應鏈安全
網(wǎng)絡空間靶場
工業(yè)互聯(lián)網(wǎng)安全
物聯(lián)網(wǎng)安全
安全托管服務
運營管理服務
一文看懂《個人金融信息保護技術規(guī)范》（文末附完整版）
2月13日，中國人民銀行正式發(fā)布《個人金融信息保護技術規(guī)范》（JR/T 0171—2020）（以下簡稱“《規(guī)范》”）。該規(guī)范由中國人民銀行提出，全國金融標準化技術委員會歸口管理，由中國人民銀行科技司提出并負責起草，多家單位參與起草。
一、規(guī)范概述
《規(guī)范》將個人金融信息按敏感程度、泄露后造成的危害程度，從高到低分為C3、C2、C1三個類別；同時，規(guī)定了個人金融信息在收集、傳輸、存儲、使用、刪除、銷毀等生命周期各環(huán)節(jié)的安全防護要求，從安全技術和安全管理兩個方面，對個人金融信息保護提出了規(guī)范性要求。
?
01? 規(guī)范作用
有助于規(guī)范金融業(yè)機構個人金融信息保護工作，提升金融數(shù)據(jù)風險防控能力，促進我國金融市場的健康發(fā)展；
有助于提高金融機構個人賬戶信息、銀行卡信息安全管理水平，加大互聯(lián)網(wǎng)交易風險防控力度，防范各類金融交易風險，切實維護金融穩(wěn)定，保護金融消費者合法權益。
?
02? 適用機構
《規(guī)范》適用的主體包括兩大類：金融機構和獲取個人金融信息的非金融機構。
03? 基本原則
《規(guī)范》要求金融業(yè)機構應遵循“權責一致、目的明確、選擇同意、最少夠用、公開透明、確保安全、主體參與”的原則。
?
04? 內容概況
《個人金融信息保護技術規(guī)范》全文共分為范圍、規(guī)范性引用文件、術語和定義、個人金融信息概述、安全基本原則、安全技術要求、安全管理要求等七個章節(jié)。整體內容架構圖如下：
二、個人金融信息分類分級
《規(guī)范》指出，個人金融信息是指金融業(yè)機構通過提供金融產品和服務或者其他渠道獲取、加工和保存的個人信息，包括賬戶信息、鑒別信息、金融交易信息、個人身份信息、財產信息、借貸信息及其他反映特定個人某些情況的信息等7大類。
《規(guī)范》將個人金融信息按敏感程度從高到低分為C3、C2、C1三個類別。
?
|
類型 |
主要信息內容 |
危害程度 |
合規(guī)要求示例 |
|
C3（用戶鑒別信息） |
銀行卡磁道 銀行卡密碼 網(wǎng)絡支付密碼; ? 賬戶登錄密碼 交易密碼 ? 生物識別信息 ? |
一旦遭到未經(jīng)授權的查看或未經(jīng)授權的變更，會 對個人金融信息主體的信息安全與財產安全造成嚴重危害 |
不應共享、轉讓，不得委托處理 |
|
C2（可識別信息主體身份與金融狀況的個人金融信息） |
支付賬號 證件信息 手機號碼 ? 賬戶登錄名 ? 用戶鑒別輔助信息 ? 個人財產信息 信貸信息 ? 交易信息 主體照片 音視頻信息 ? |
一旦遭到未經(jīng)授權的查看或未經(jīng)授權的變更，會對個人 金融信息主體的信息安全與財產安全造成一定危害 |
除用戶鑒別輔助信息外，經(jīng)告知統(tǒng)一可以轉讓共享，可以委托處理 |
|
C1（機構內部的信息資產） |
賬戶開立時間 開戶機構 ? 支付標記信息 ? |
一旦遭到未經(jīng)授權的查看或未經(jīng)授權的變更，可能會對個人金融信息主體的信息安全與 財產安全造成一定影響 |
經(jīng)告知統(tǒng)一可以共享、轉讓，可以委托處理 |
?
三、生命周期技術要求重點內容
01? 信息收集
1）不應委托或授權無金融業(yè)相關資質的機構收集C3、C2類別信息。
2）C3類別信息，通過受理終端、客戶端應用軟件、瀏覽器等方式收集時，應使用加密等技術措施保證數(shù)據(jù)的保密性，防止其被未授權的第三方獲取。
3）《規(guī)范》中要求金融機構應當采取技術措施（如彈窗、明顯位置URL鏈接等），引導用戶查閱隱身政策，并獲得其明示同意后再開展收集個人金融信息。
?
02? 信息傳輸
1）通過公共網(wǎng)絡傳輸時，C2、C3類別信息應使用加密通道或數(shù)據(jù)加密的方式進行傳輸，保障個人金融信息傳輸過程的安全。
2）C3類別中的支付敏感信息，其安全傳輸技術控制措施應符合有關行業(yè)技術標準與行業(yè)主管部門有關規(guī)定要求。
?
03? 信息存儲
1）C3類別信息應采用加密措施確保數(shù)據(jù)存儲的保密性。
2）未取得信息主體與賬戶管理機構的授權，金融業(yè)從業(yè)機構不得留存非本機構的用戶鑒別信息（C3類）。
?
04? 信息使用
信息展示：處于未登錄狀態(tài)時，不應展示與個人金融信息主體相關的C3類別信息；處于已登陸狀態(tài)時，除銀行卡有效期外的C3類別信息不應明文展示。
共享和轉讓：C2類別中的支付賬號及其等效信息在共享、轉讓時應當進行脫敏處理；C3類別信息及C2類別中的用戶鑒別輔助信息不應共享、轉讓。
公開披露：C3類別信息及C2類別中的用戶鑒別輔助信息不應公開披露；人生物識別信息，包括C3類別信息中的用于用戶鑒別的個人生物識別信息，一律不得公開披露。
委托處理：C3類別及C2類別中的用戶鑒別輔助信息，不應委托給第三方機構進行處理；對委托行為，需要確保受委托者具備足夠的數(shù)據(jù)安全能力，且提供了足夠的安全保護措施。
加工處理：可參照等保及相關標準，對個人金融信息的特殊保護應建立相關規(guī)范和機制，并能夠對個人金融信息加工處理操作記錄，對個人金融信息濫用行為進行有效的識別、監(jiān)控和預警。
匯聚融合：匯聚融合的數(shù)據(jù)不能超出在信息收集時對主體所聲明的使用范圍；開展個人金融信息安全影響評估，并采取有效的技術保護措施。
開發(fā)測試：開發(fā)環(huán)境、測試環(huán)境不應使用真實的個人金融信息，如果測試需要應進行脫敏，可使用數(shù)據(jù)脫敏軟件或編寫脫敏規(guī)則進行脫敏。
?
05? 刪除與銷毀
1）個人金融信息刪除與銷毀的區(qū)別，區(qū)分刪除與銷毀的關鍵即在于個人金融信息能否被恢復。
2）金融機構在委托第三方處理個人金融信息時，在委托關系解除后，金融機構應當要求受托方銷毀所處理的個人金融信息。
?
四、安全運行技術要求重點內容
網(wǎng)絡安全要求：承載與處理個人金融信息的信息系統(tǒng)應滿足國家等級保護及金融行業(yè)等級保護的基本要求，并且存儲個人金融信息的數(shù)據(jù)庫應處于金融業(yè)機構可控網(wǎng)絡內，設置有效的訪問控制措施。
WEB應用和客戶端軟件安全要求：涉及C2、C3類別信息的Web應用應具有防篡改和防web攻擊的措施，并具備對處理個人金融信息的系統(tǒng)組件進行實時監(jiān)測的能力；要求處理個人金融信息相關的 Web 應用系統(tǒng)與組件上線前應進行安全評估。
五、安全管理要求重點內容
《規(guī)范》的安全管理要求共5大類10個子類，從安全準則、安全策略、訪問控制、安全監(jiān)控和風險評估、安全事件處置五方面進行了安全管理要求。重點包括對個人金融信息收集、存儲、使用的安全管理要求，對個人金融信息安全管理的制度、組織、人員、訪問控制、安全事件的安全管理要求。除相對傳統(tǒng)的安全管理外，比較特殊的管理準則包括：
01? 收集
1)? 收集渠道：柜面、信息系統(tǒng)、金融自助設備、受理終端、客戶端應 用軟件等渠道。
2)? 向個人金融信息主體明示收集與使用個人金融信息的目的、方式、范圍和規(guī)則等，獲得個人金融信息主體的授權同意。
?
02? 存儲
1)? 滿足國家法律法規(guī)與行業(yè)主管部門有關規(guī)定要求。
2)? 并符合個人金融信息 主體授權使用的目的所必需的最短時間要求。
3)? 超過期限后，應對收集的個人金融信息進行刪除或匿名化處理。
?
03? 使用
1)? 原則上不應共享、轉讓、公開披露其收集的個人金融信息。
2)? C3類別信息以及 C2類別信息中的用戶鑒別輔助信息不應共享、轉讓、公開披露。
3）境內收集的個人金融信息應在境內存儲、處理和分析。
?
六、安恒信息解決方案
1、個人金融信息整體防護框架
2、個人金融信息生命周期技術防護體系
3、個人金融信息技術防護架構（安恒信息）
4、個人金融信息管理制度體系
5、個人金融信息保護工作開展流程
