国家金融监督管理总局有关司局负责人就《银行保险机构数据安全管理办法》答记者问

科技 2024-12-28 22:43 北京

近日，金融监管总局制定发布《银行保险机构数据安全管理办法》（以下简称《办法》）。有关司局负责人就相关问题回答了记者提问。

一、《办法》制定的背景是什么？

答：金融数据具有高价值和高敏感性，金融数据安全与国家安全和金融消费者权益密切相关。近年来，银行业保险业数字化变革加速演进，新技术、新业态不断涌现，数据合作共享日益频繁。与此同时，金融领域面临的数据安全风险形势复杂严峻，也给金融机构数据安全管理带来新的挑战。对此，有必要充分发挥监管的“指挥棒”作用，通过强化政策要求引导银行保险机构压实主体责任，完善内部机制，采取有效的管理和技术措施加强数据安全保护，确保客户信息和金融交易数据的安全。

二、《办法》的主要内容和特点是什么？

答：《办法》共9章81条。包括总则、数据安全治理、数据分类分级、数据安全管理、数据安全技术保护、个人信息保护、数据安全风险监测与处置、监督管理及附则。主要特点包括：

一是落实数据安全责任制。明确银行保险机构党委（党组）、董（理）事会对本单位数据安全工作负主体责任，机构主要负责人为数据安全第一责任人，分管数据安全的领导为直接责任人。

二是明确数据安全归口管理部门。要求银行保险机构指定数据安全归口管理部门，作为本机构负责数据安全工作的主责部门，承担制定数据安全管理制度标准、建立维护数据目录、推动数据分类分级保护、组织开展风险监测、预警及处置等职责。

三是将数据安全风险纳入全面风险管理体系。要求银行保险机构明确管理流程，主动评估风险，对数据安全风险进行有效监测，防止数据破坏、泄露、非法利用等安全事件发生。风险管理、内控合规和审计部门定期对数据安全开展审计、监督检查与评价。

四是强化数据安全评估。要求银行保险机构开展相关数据处理活动时，应事先开展安全评估。根据数据处理目的、性质和范围，分析数据安全风险和对数据主体权益影响，评估数据处理的必要性、合规性及防控措施的有效性。

五是建立数据安全保护基线。将数据纳入网络安全等级保护，对存放或传输敏感级及以上数据的机房、网络实施重点防护，在数据全生命周期内采取有效访问控制管理措施，采用安全有效的传输方式保障数据完整性、保密性、可用性。

三、《办法》在数据分类分级方面提出了哪些具体要求？

答：《办法》要求银行保险机构制定数据分类分级保护制度，建立数据目录和分类分级规范，动态管理和维护数据目录，并采取差异化的安全保护措施。在数据分类方面，对机构业务及经营管理过程中获取、产生的数据进行分类管理，具体类型包括客户数据、业务数据、经营管理数据、系统运行和安全管理数据等。在数据分级方面，银行保险机构应根据数据的重要性和敏感程度，将数据分为核心数据、重要数据、一般数据，其中一般数据细分为敏感数据和其他一般数据；当数据的业务属性、重要程度和可能造成的危害程度发生变化，导致安全级别不再适用的，及时进行动态调整。

四、《办法》规定的数据安全管理职责有哪些？

答：《办法》要求银行保险机构按照国家政策要求，根据自身发展战略，制定数据安全保护策略；根据数据处理目的、性质和范围，按照法律法规和伦理道德规范要求，对相关数据业务处理活动进行安全评估，分析数据安全风险和对数据主体权益影响，评估数据处理的必要性、合规性及防控措施的有效性；收集数据应坚持“合法、正当、必要、诚信”原则，明确数据收集和处理的目的、方式、范围、规则，保障收集过程的数据安全性、数据来源可追溯；在数据集团内部共享的过程中，应建立总行（公司）与其子公司数据安全隔离的“防火墙”，并对共享数据采取有效保护措施；《办法》还对数据加工、委托处理、共同处理、数据转移、数据跨境等具体的数据处理场景分别提出了相应安全管理要求。

五、《办法》在个人信息保护方面有哪些规定？

答：《办法》单独设置“个人信息保护”章节，以进一步落实《数据安全法》《个人信息保护法》等上位法要求，体现保护消费者信息和权益的政策导向。主要规定包括：银行保险机构处理个人信息应按照“明确告知、授权同意”的原则实施，并限于实现金融业务处理目的的最小范围，不得过度收集个人信息。处理、共享和对外提供个人信息时，应当履行必要的告知义务，并取得必要同意。不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务，处理个人信息属于提供产品或者服务所必需的除外。在开展涉及对个人权益有重大影响的个人信息处理活动时，应当进行个人信息保护影响评估。委托第三方处理个人信息时，应明确受托人对个人信息的保护义务、保护措施和期限等。发生或者可能发生个人信息泄露、篡改、丢失的，银行保险机构应当立即采取补救措施，并向监管部门报告。

六、《办法》规定的数据安全事件应急响应与处置机制包含哪些内容？

答：《办法》将数据安全事件根据影响范围和程度，分为特别重大、重大、较大和一般四个级别。要求机构建立内部协调联动机制和外部服务商、第三方机构的报告机制。具体包括：一是制定数据安全事件应急预案，定期开展应急响应培训和应急演练。二是数据安全事件发生后，立即启动应急处置，分析事件原因、评估事件影响、开展事件定级，按照预案及时采取业务、技术等措施控制事态。三是建立数据安全事件报告机制，根据事件安全等级制定报告流程，发生数据安全事件时按照规定报告，同时按照合同、协议等有关约定履行客户及合作方告知义务。四是发生数据安全事件或者使用的产品和服务存在缺陷时，立即开展调查评估，及时采取补救措施。

银行保险机构应在数据安全事件发生2小时内向总局或其派出机构报告，并在事件发生后24小时内提交正式书面报告。发生特别重大数据安全事件，银行保险机构应当立即采取处置措施，按照规定及时告知用户并向属地公安机关、金融监管机构报告。银行保险机构应当每2小时将处置进展情况上报，直至处置结束。数据安全事件处置结束后，银行保险机构应当在五个工作日内将事件及其处置的评估、总结和改进报告报送属地监管部门。

七、《办法》公开征求意见情况如何？

答：《办法》起草过程中已广泛征求了有关部门及各类银行保险机构意见，并组织部分机构召开专题会议现场听取意见建议。2024年3月至4月，总局就《办法》面向社会公开征求意见。各方反馈的相关合理化意见建议均被采纳，未采纳意见主要集中在数据审计周期、监管报送时限等方面。

来源：国家金融监督管理总局

-END-

欢迎关注我们~

网络安全和信息化

《网络安全和信息化》杂志官方所属，网络安全人员与IT运维人员的专业管理类经验、知识、资料，帮助用户提高网络安全能力建设和IT基础设施运营水平，提升IT管理人员工作能力。

最新文章

第二批汽车数据处理4项安全要求检测情况通报发布

四问+一图，读懂《关于开展万兆光网试点工作的通知》

安全跟我学｜事关个人信息，这些你可以拒绝！

Gartner：目前仅8%的中国企业将生成式人工智能部署在生产环境中

重点防范境外恶意网址和恶意IP（续三）

三部门印发《国家数据基础设施建设指引》

国家网信办就《个人信息出境个人信息保护认证办法（征求意见稿）》公开征求意见

专家解读｜构建个人信息出境个人信息保护认证制度保障个人信息跨境安全有序流动

专家解读｜推动个人信息出境个人信息保护认证制度落地促进个人信息高效便利安全跨境流动

一图读懂｜《网络数据安全管理条例》自2025年1月1日起施行

《网络数据安全管理条例》解读二：核心规则设计的变化与延续（上）

《网络数据安全管理条例》解读三：核心规则设计的变化与延续（下）

网信部门严厉打击整治网络水军问题

《网络安全和信息化》杂志2025年第1期目录

收到这类短信，速删！

2024年1—11月我国软件业务收入122903亿元同比增长10.7%

22款APP及SDK存在侵害用户权益行为被通报

赛迪科创Pre独角兽（2024）发布

19项密码行业标准发布，自2025年7月1日起实施

六部门印发《关于促进数据产业高质量发展的指导意见》

数据领域常用名词解释（第一批）

《网络数据安全管理条例》解读一：条例出台的必要性与重要性

小型语言模型：AI领域的新热点

国家金融监督管理总局发布《银行保险机构数据安全管理办法》

国家金融监督管理总局有关司局负责人就《银行保险机构数据安全管理办法》答记者问

“搬运”已公开的个人信息，构成侵权吗？

五部门印发《关于促进企业数据资源开发利用的意见》

2024“鼎信杯”信息技术发展论坛在京成功举行

数据安全保护不容忽视！浙江某软件科技公司被公安机关行政处罚

五问+一图，读懂《制造业企业数字化转型实施指南》

大数据环境下数据要素隐私保护研究

构建数据保护的知识产权规则

停个车，个人信息怎么就泄露了？

起底美国网攻窃密的不法行径

近期多发！多名“抖音”网民中招！

我国数字经济核心产业企业总量突破450万家

2025年我国网络安全发展形势展望

筑牢数字安全防线 Fortinet防火墙到SASE的安全网络变革

警惕｜“银狐”木马病毒再次出现新变种并更新传播手法

微信紧急提醒：警惕社交平台传播木马病毒

《网络安全标准实践指南—— 一键停止收集车外数据指引》发布

《网络安全标准实践指南——生成式人工智能服务安全应急响应指南（征求意见稿）》公开征求意见

《网络安全标准实践指南——移动互联网未成年人模式技术要求（征求意见稿）》公开征求意见

网信部门从严打击网上侵害未成年人合法权益行为

数据要素跨境流动中的网络安全风险与应对策略

促进数据跨境有序流动

AI时代下，医疗领域数据安全问题不容忽视

2024年全球加快推进人工智能监管

全部封了！微信出手整治“AI明星”

@所有人 2024“鼎信杯”信息技术发展论坛报名正式开启！

分类

时事

民生

政务

教育

文化

科技

财富

体娱

健康

情感

旅行

百科

职场

楼市

企业

乐活

学术

汽车

时尚

创业

美食

幽默

美体

文摘

原创标签

时事社会财经军事教育体育科技汽车科学房产搞笑综艺明星音乐动漫游戏时尚健康旅游美食生活摄影宠物职场育儿情感小说曲艺文化历史三农文学娱乐电影视频图片新闻宗教电视剧纪录片广告创意壁纸头像心灵鸡汤星座命理教育培训艺术文化金融财经健康医疗美妆时尚餐饮美食母婴育儿社会新闻工业农业时事政治星座占卜幽默笑话独立短篇连载作品文化历史科技互联网

发布位置

广东北京山东江苏河南浙江山西福建河北上海四川陕西湖南安徽湖北内蒙古江西云南广西甘肃辽宁黑龙江贵州新疆重庆吉林天津海南青海宁夏西藏香港澳门台湾美国加拿大澳大利亚日本新加坡英国西班牙新西兰韩国泰国法国德国意大利缅甸菲律宾马来西亚越南荷兰柬埔寨俄罗斯巴西智利卢森堡芬兰瑞典比利时瑞士土耳其斐济挪威朝鲜尼日利亚阿根廷匈牙利爱尔兰印度老挝葡萄牙乌克兰印度尼西亚哈萨克斯坦塔吉克斯坦希腊南非蒙古奥地利肯尼亚加纳丹麦津巴布韦埃及坦桑尼亚捷克阿联酋安哥拉