银行保险机构数据安全合规，这8件事必须先做！

□作者 | 翰纬科技 张兵

□编辑 | 合规社 合规酱

□投稿邮箱 | [email protected]

在数字化浪潮的席卷下，银行保险机构的数据安全合规建设已成为行业稳健发展的基石。国家金融监督管理总局的《银行保险机构数据安全管理办法》（以下简称总局《办法》）以及中国人民银行的《中国人民银行业务领域数据安全管理办法》（以下简称人行《办法》），为行业合规建设提供了明确的行动指南。然而，面对纷繁复杂的任务清单，银行保险机构的管理者和专业人员常常陷入思考：

第二十条 银行保险机构应当按照国家数据安全与发展政策要求，根据自身发展战略，制定数据安全保护策略。银行保险机构应当制定数据安全管理办法，明确管理责任分工，建立包括数据处理全生命周期管控机制，落实保护措施。银行保险机构应当对数据外部引入或者合作共享、数据出境等，制定安全管理实施细则。

第十五条 银行保险机构应当建立良好的数据安全文化，开展全员数据安全教育和培训，提高数据安全保护意识和水平，形成全员共同维护数据安全和促进发展的良好环境。

第十三条 数据处理者应当根据岗位分工，制定业务数据安全年度培训计划，每年组织业务数据处理活动参与人员开展相关教育培训。培训内容应当包括与业务数据安全相关的制度标准、风险防范常识、岗位责任、保护措施和事件应急处置要求。

3

实施建议

相较于其他合规建设任务，数据安全培训具有较强的可实施性和即时性。银行保险机构在开展培训时，应特别关注培训的频次和内容设计。一方面，合理安排培训周期，使员工能够持续接受最新的数据安全知识更新；另一方面，根据不同岗位的风险特点和业务需求，定制个性化的培训内容，增强培训的针对性与实效性，让培训真正发挥提升员工数据安全素养的作用。

总局《办法》在第五章“数据安全技术保护” 中，对银行保险机构的数据安全技术防护提出了全面要求，涵盖了物理层、网络层、主机层、应用层、数据层。

人行《办法》第四章“全流程业务数据安全技术要求”，则进一步细化了业务数据在全流程处理过程中的技术安全标准。

3

实施建议

银行保险机构应按照数据的不同应用场景以及数据生命周期的各个阶段，系统梳理数据安全技术防护需求。重点聚焦数据分类分级、网络安全等级保护、访问控制、日志审计、加密脱敏、终端安全、接口安全等核心技术领域，加大技术研发与投入力度，构建起一套全面、高效的数据安全技术防护体系，有效抵御各类潜在的数据安全风险。

第九条 银行保险机构应当建立覆盖董（理）事会、高管层、数据安全统筹、数据安全技术保护等部门的数据安全管理组织架构，明确岗位职责和工作机制，落实资源保障。

第十条 银行保险机构应当建立数据安全责任制，党委（党组）、董（理）事会对本单位数据安全工作负主体责任。银行保险机构主要负责人为数据安全第一责任人，分管数据安全的高级管理人员为直接责任人，明确各层级负责人的责任，明确违规情形和责任追究事项，落实问责处置机制。

第十一条 银行保险机构应当指定数据安全归口管理部门，作为本机构负责数据安全工作的主责部门。其主要职责包括：（一）组织制定数据安全管理原则、规划、制度和标准；（二）组织建立和维护数据目录，推动实施数据分类分级保护；（三）组织开展数据安全评估和审查；（四）统筹建立数据安全应急管理机制，组织开展数据安全风险监测、预警与处置；（五）组织开展数据安全宣贯培训，提升员工数据安全保护意识与技能；（六）建立和维护内部数据共享、外部数据引入、数据对外提供、数据出境的统筹管理机制，牵头对外部数据供应商进行安全管理，统筹大数据应用、数据共享项目的安全需求管理；（七）向党委（党组）、董（理）事会、高管层报告数据安全重要事项；（八）其他须统筹管理的数据安全工作事项。

第十一条 数据处理者应当切实履行业务数据安全保护责任，明确业务数据安全保护相关内设部门职责，配备与业务范围和服务规模相适应的数据安全专业人员，细化业务数据安全保护奖惩规程。

面向社会提供产品、服务的数据处理者应当建立便捷的投诉、举报渠道，及时受理并处理业务数据安全有关投诉、举报。

建议银行保险机构构建决策层、管理层、执行层、监督层四位一体的数据安全组织架构。决策层负责制定数据安全战略与重大决策；管理层统筹协调数据安全管理工作，确保各项决策落地实施；执行层具体执行数据安全保护措施，负责日常的数据安全运营工作；监督层则对数据安全管理工作进行全程监督与审计，及时发现并纠正潜在问题，形成权责清晰、相互制衡的数据安全管理组织体系。

第六十五条 银行保险机构应当对数据安全威胁进行有效监测，实施监督检查，主动评估风险，防止数据篡改、破坏、泄露、非法利用等安全事件发生。监测内容包括：

（一）超范围授权或者使用系统特权账号；

（二）内部人员异常访问、使用数据；

（三）对数据集中共享的系统或者平台的网络安全、数据安全威胁；

（四）敏感级及以上数据在不同区域的异常流动；

（五）移动存储介质的异常使用；

（六）外包、第三方合作中的数据处理异常或者数据泄露、丢失和篡改；

（七）客户有关数据安全的投诉；

（八）数据泄露、仿冒欺诈等负面舆情；

（九）其他可能导致数据安全事件发生的情况。

第三十九条 数据处理者应当加强业务数据处理活动风险监测，有效识别下列风险并立即采取补救措施：

（一）存在法律、行政法规禁止发布传输的信息。

（二）存在计算机病毒、木马、勒索等恶意程序，数据安全漏洞、认证口令强度偏低等缺陷。

（三）高敏感性数据项安全保护措施失效。

（四）异常的业务数据处理活动。

（五）业务数据传输或者存储承载能力不足。

第四十条 数据处理者应当加强对业务数据泄露、业务数据被非法兜售、仿冒本机构身份处理业务数据，以及其他与本机构有关的业务数据安全负面舆情的风险监测，发现相关风险时应当立即核实处置。

银行保险机构应深入分析各类数据安全风险因素，建立一套科学、完善的数据安全风险监测指标体系。借助先进的技术手段，逐步实现风险监测的自动化与智能化，提高监测效率与准确性。在此基础上，加快建设数据安全风险监测平台，对数据安全风险进行实时监控、预警与分析，为及时采取风险应对措施提供有力支持，实现对数据安全风险的主动防控。

第六十八条 银行保险机构应当建立数据安全事件应急管理机制，建立机构内部协调联动机制，建立服务提供商、第三方合作机构数据安全事件的报告机制，及时处置风险隐患及安全事件。（一）制定数据安全事件应急预案，定期开展应急响应培训和应急演练。（二）发生数据安全事件后，应当立即启动应急处置，分析事件原因、评估事件影响、开展事件定级，按照预案及时采取业务、技术等措施控制事态。（三）建立数据安全事件报告机制，根据事件安全等级制定报告流程，发生数据安全事件时按照规定报告，同时按照合同、协议等有关约定履行客户及合作方告知义务。（四）发生数据安全事件或者使用的网络产品和服务存在安全缺陷、漏洞时，应当立即开展调查评估，及时采取补救措施，防止危害扩大。网络产品和服务提供商存在安全缺陷、漏洞隐瞒不报的，银行保险机构应当责令其改正；未按要求整改或者造成严重后果的，应当取消其服务资格，按合同约定予以处罚，并向国家金融监督管理总局或者其派出机构报告。

第四十四条 数据处理者应当做好业务数据安全事件分级，发生业务数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并按照中国人民银行要求及时、准确、完整报告事件情况。

数据接收方、委托处理受托人发生与数据处理者所提供业务数据相关的数据安全事件的，数据处理者应当开展调查评估，督促相关机构立即采取补救措施并向有关主管部门报告。

银行保险机构可结合网络安全事件应急演练，同步开展数据安全事件应急演练，实现资源共享与协同增效。在演练过程中，注重模拟真实场景下的数据安全事件，检验应急预案的科学性与有效性，发现问题及时优化完善。通过常态化的应急演练，提升机构在面对数据安全事件时的快速响应能力、协同处置能力和恢复能力，最大限度降低数据安全事件造成的损失与影响。

第六十九条 数据安全事件发生2小时内，银行保险机构应当向国家金融监督管理总局或者其派出机构报告，并在事件发生后24小时内提交正式书面报告。发生特别重大数据安全事件，银行保险机构应当立即采取处置措施，按照规定及时告知用户并向国家金融监督管理总局或者其派出机构、属地公安机关报告。银行保险机构应当每2小时将处置进展情况上报，直至处置结束。数据安全事件处置结束后，银行保险机构应当在五个工作日内将事件及其处置的评估、总结和改进报告报送国家金融监督管理总局或者其派出机构。其他法律、行政法规对数据安全事件应急处置作出规定的，银行保险机构应当执行。

第四十四条 数据处理者应当做好业务数据安全事件分级，发生业务数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并按照中国人民银行要求及时、准确、完整报告事件情况。

数据接收方、委托处理受托人发生与数据处理者所提供业务数据相关的数据安全事件的，数据处理者应当开展调查评估，督促相关机构立即采取补救措施并向有关主管部门报告。

近期，多家监管单位相继发布了数据安全事件报告的具体要求，银行保险机构在编制内部管理制度时，务必充分考虑这些监管要求，将数据安全事件的报告流程、报告内容、报告时限等关键要素明确纳入制度范畴，在事件发生时能够迅速、合规地完成报告工作，有效避免因制度不完善而引发的违规风险。同时，加强对员工的数据安全事件报告培训，提高员工对报告要求的认知与执行能力，保障数据安全事件管理工作的高效开展。

第七十四条 银行保险机构应当于每年1月15日前向国家金融监督管理总局或者其派出机构报送上一年度数据安全风险评估报告，报告内容包括数据安全治理、技术保护、数据安全风险监测及处置措施、数据安全事件及处置情况、委托和共同处理、数据出境、数据安全评估与审查情况、数据安全相关的投诉及处理情况等。

第四十二条 重要数据的处理者应当自行或者委托第三方评估机构，每年对业务数据开展一次风险评估，并于每年1月15日前向中国人民银行或者住所地中国人民银行省级分支机构报送上一年度风险评估报告。除法律、行政法规已明确应当评估的内容外，风险评估报告还应当包含与存储重要数据信息系统相关的人员培训与日常管理情况，与业务数据相关的岗位职责落实情况、网络安全等级保护测评和整改情况、保护措施执行情况、本年度风险监测和事件处置情况，以及中国人民银行要求的其他评估内容。

3

实施建议

根据监管处罚公示信息，多家机构因未按时提交数据安全风险评估报告而受到监管处罚。因此，银行保险机构务必高度重视此项工作，严格依据总局和人行两个办法以及其他监管机构的要求，结合自身业务特点与数据安全状况，科学开展数据安全风险评估工作，并按时提交高质量的风险评估报告。通过定期的风险评估，全面梳理机构数据安全管理中存在的问题与隐患，为持续优化数据安全管理策略提供有力依据，推动机构数据安全水平不断提升。

以上基于人行《办法》第四十九条对银行保险机构数据安全合规建设重点任务的深入分析，清晰地呈现了监管部门对机构数据安全体系化、全面化建设的殷切期望。数据分类分级作为数据安全管理的基础性工作，贯穿于各项优先任务之中，是实现有效数据安全保护的前提。银行保险机构应紧密参照监管要求，全面评估自身的数据安全成熟度，以数据分类分级为切入点，有序开展数据安全风险评估、规划制定、体系建设等一系列工作，持续投入资源提升数据安全能力，在保障数据安全的前提下，充分释放数据价值，为行业的稳健发展奠定坚实基础。