政策解读丨三未信安解析《中国人民银行业务领域数据安全管理办法》

2025年5月9日，中国人民银行发布了《中国人民银行业务领域数据安全管理办法》（以下简称《办法》），该《办法》自2025年6月30日起施行。

《办法》根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《中华人民共和国中国人民银行法》、《网络数据安全管理条例》等法律、行政法规制定，旨在充分发挥监管“指挥棒”作用，通过强化政策要求引导相关机构压实主体责任，明确合规底线，完善管理机制，采取有效管理和技术措施加强数据安全保护，确保业务领域数据安全。

《办法》共七章五十六条，包括：总则、业务数据分类分级与总体要求、全流程业务数据安全管理要求、全流程业务数据安全技术要求、业务数据安全风险与事件管理、法律责任及附则七个章节。《办法》明确了适用范围、管理原则以及工作机制，规定了数据资源目录、分类分级、制度建设及操作规程，强化了流程与安全管理及技术应用，同步将业务安全风险与事件管理纳入管理体系，为数据构建了一个多维度、立体化的数据安全管理框架。

结合《办法》要求及同业先进实践，机构对于业务领域数据安全管理可从以下八个方面进行：

一是紧扣责任主体，精准锚定安全目标与原则。严格遵循《办法》“谁管业务，谁管业务数据，谁管数据安全” 的核心准则，清晰界定各业务条线数据安全管理责任边界。在此基础上，系统性构建覆盖数据全生命周期的安全策略与制度体系，为数据安全管理筑牢制度根基，确保数据安全工作有章可循、权责明晰。

二是严格对标央行分类分级保护标准，构建全链条数据管理体系。数据处理者需以业务应用及数据管理为中心，制定精细化制度与标准化操作规程。同时，建立高效的申报机制，严格把控数据分级流程，确保数据分类的准确性与规范性，为实施差异化数据安全防护策略、筑牢数据安全防线奠定坚实基础。

三是织密数据安全管理结构，打造权责明晰、运转有序的安全管理体系。建立健全覆盖数据收集、传输、存储、使用、销毁全生命周期的管理制度，明确各部门在数据安全管理中的 “责任田”，通过专人专岗，确保管理无死角。首先需制定精细化操作规程，规范数据处理全流程动作；其次要构建严格的内部审批授权规程，强化数据访问权限管控。此外，还需同步设立科学的奖惩规程，激发全员参与数据安全管理的积极性与责任感，推动数据安全管理制度从 “纸面” 落到 “地面”，切实保障业务数据安全。

四是构建 “人防 + 技防” 双轮驱动的安全管控体系，全方位扎紧数据安全 “篱笆”。一方面，强化账号权限精细化管理，对特权账号和业务处理账号实施分级授权与动态管控，严格限制高敏感性数据访问权限；另一方面，以教育培训为抓手，制定培训计划，通过理论授课、案例分析、实操演练等多样化形式，开展覆盖全员的数据安全教育培训，切实提升人员安全意识与专业技能，从源头上降低人为操作风险，为数据安全管理注入持久动能。

五是构建数据全生命周期的 “防护矩阵”，对数据流转各环节实施精细化、差异化管控。在数据收集环节，通过完备的授权机制与来源核验流程，确保每一条数据 “有源可溯”；在传输、存储环节，建立分级策略，针对高敏感性数据采用加密传输、存储、隔离管理等强化措施，并以清晰的保存期限制度规避数据冗余风险；使用环节中，对高敏感性数据实施 “最小化导出” 管理，严控数据使用范围与场景。同时，在数据加工、公开、删除等环节，分别制定匹配业务特性与安全需求的管控细则，让数据在全生命周期内的流转都有规可循、有制可依，全方位筑牢数据安全防线。

六是构建全方位、多层次的技术防护屏障，以国产密码技术为数据安全保驾护航。在数据收集、传输、存储、加工使用、删除、销毁等环节，综合运用国产密码算法、安全传输协议、访问控制、数据脱敏等技术，为数据筑牢安全 “保险箱”。其次，通过建立完善的数据备份体系，采用定期备份、异地容灾等策略，确保数据在面临突发状况时可快速恢复，为数据安全与可靠运行提供坚实保障。

七是构建 “监测 - 预警 - 处置” 一体化的数据安全风险防控体系，精准识别与高效应对数据安全风险。通过建设数据智能监测平台，对数据处理活动进行实时、全方位监测，及时捕捉异常行为；建立分级预警机制，根据风险程度发出相应级别的预警信号，确保风险信息快速传递。定期开展风险评估与审计工作，全面排查潜在隐患，确保数据安全管理无死角。同时，明确数据安全事件分级标准，制定科学、规范的响应处置流程，一旦发生安全事件，能够迅速启动应急预案，高效开展处置工作，将损失与影响降到最低限度。

八是高悬监管利剑、压实法律责任，构建数据安全治理的刚性约束机制。一方面，中国人民银行及其分支机构强化全流程监督管理，通过定期检查、专项审计、随机抽查等多样化手段，对数据处理者落实安全保护义务情况进行“穿透式”核查；另一方面，机构本身亦需明确划定法律责任红线，针对数据处理者违规收集、滥用、泄露数据等行为，制定阶梯式惩处措施，从责令整改、行政处罚到追究刑事责任层层递进。通过“监督 + 问责”的组合拳形成强大威慑力，确保《办法》落地生根，刚性执行，推动数据处理者主动筑牢数据安全防线。