JR∕T 0223—2021 金融数据安全 数据生命周期安全规范(金融).pdf

附件ICS 35.240.40CCS A 11JR中 华 人 民 共 和 国 金 融 行 业 标 准JR/T 02232021金融数据安全数据生命周期安全规范Financial data securitySecurity specification of data life cycle2021 - 04 - 08 发布2021 - 04 - 08 实施中国人民银行发 布JR/T 02232021I目次前言.II引言.III1 范围.12 规范性引用文件.13 术语和定义.14 缩略语.35 概述.46 数据安全原则.57 数据生命周期安全防护.68 数据安全组织保障.169 信息系统运维保障.21附录 A（资料性）数据采集模式.26附录 B（资料性）数据传输模式.27附录 C（资料性）数据脱敏.28附录 D（资料性）数据水印.46参考文献.51JR/T 02232021II前言本文件按照GB/T 1.12020标准化工作导则第1部分：标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中国人民银行提出。本文件由全国金融标准化技术委员会（SAC/TC 180）归口。本文件起草单位：中国人民银行科技司、中国银行保险监督管理委员会统计信息与风险监测部、国家金融IC卡安全检测中心（银行卡检测中心）、中国建设银行股份有限公司、兴业银行股份有限公司、中国农业银行股份有限公司、 招商银行股份有限公司、 恒丰银行股份有限公司、 中国银行股份有限公司、网联清算有限公司、平安银行股份有限公司、中国保险行业协会、华为技术有限公司、北京钱袋宝支付技术有限公司、蚂蚁科技集团股份有限公司、全知科技（杭州）有限责任公司、北京安华金和科技有限公司、奇安信科技集团股份有限公司、杭州安恒信息技术股份有限公司、深圳云安宝科技有限公司、哈尔滨工业大学（深圳）数据安全研究院、上海淇毓信息科技有限公司、北京天融信网络安全技术有限公司、深信服科技股份有限公司、北京神州绿盟科技有限公司、北京长亭未来科技有限公司、上海艾芒信息科技有限公司、华控清交信息科技（北京）有限公司、成方金融科技有限公司、中国人民银行广州分行、中国人民银行南京分行、中国人民银行营业管理部、中国人民银行哈尔滨中心支行、深圳市长亮科技股份有限公司、北京中金国盛认证有限公司、平安保险（集团）股份有限公司、阿里云计算有限公司。本文件主要起草人：李伟、陈立吾、沈筱彦、车珍、曲维民、昝新、夏磊、方怡、马晓伟、渠韶光、陈聪、居崑、杨波、刘静芳、刘超、栾家阳、吴远松、王照坤、赵志蛟、俞吴杰、邱斌、郑超、王福舟、陈雪秀、陈俊、郭林、母延燕、严敏瑞、康雪婷、冷杉、兰安娜、宋铮、王昕、朱通、王勰思、杨海峰、唐力、林玉波、张晨晖、周亚超、林鹭、韩培义、姚磊、刘川意、王安滨、温树海、包英明、李建彬、徐省委、訾然、张帆、马男、张帆、杜宁、王云河、王蜀洪、安鸿飞、唐辉、高强裔、侯漫丽、黎凯伦、任军远、戴辰、薛金川、曹正阳、辜敏、陈裕源、王衍强、任妍、王炤宇。JR/T 02232021III引言随着信息技术的发展，众多金融基础业务、核心流程、行业间往来等事务和活动均已运行在信息化支撑载体之上， 金融业机构生产运营产生的信息也逐步以不同形式转化为数字资产流转在金融业信息系统中。随着大数据、人工智能、云计算等新技术在金融业深入应用，金融数据逐步实现从信息化资产到生产要素的转变，其重要性日益凸显。数据泄露、滥用、篡改等安全威胁的影响逐步从机构内转移扩大至机构间和行业间，甚至影响国家安全、社会秩序、公众利益和金融市场稳定。如何在满足金融业务基本需求的基础上，强化数据保护能力，保障金融数据安全流动，已成为当前亟待解决的问题。金融数据复杂多样， 对数据实施生命周期安全管理， 能够进一步明确数据生命周期各阶段的保护要求， 有助于金融业机构合理分配数据保护资源和成本， 建立完善的数据生命周期防护机制。 同时， 合理、准确、完善的数据生命周期安全管理制度能够促进金融数据在机构间、行业间安全应用和共享，有利于数据价值挖掘与实现。为指导金融业机构合理制定和有效落实金融数据生命周期安全管理策略， 进一步提高金融业机构的数据管理和安全防护水平，确保金融数据安全应用，编制本文件。本文件凡涉及密码技术的相关内容， 按国家密码管理部门及行业主管部门有关规定实施； 凡涉及采用密码技术解决保密性、完整性、真实性、不可否认性需求的，遵循相关国家标准和行业标准。JR/T 022320211金融数据安全数据生命周期安全规范1范围本文件规定了金融数据生命周期安全原则、 防护要求、 组织保障要求以及信息系统运维保障要求，建立覆盖数据采集、传输、存储、使用、删除及销毁过程的安全框架。本文件适用于指导金融业机构开展电子数据安全防护工作，并为第三方测评机构等单位开展数据安全检查与评估工作提供参考。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 250692010信息安全技术术语GB/T 352732020信息安全技术个人信息安全规范GB 501742017数据中心设计规范JR/T 00922019移动金融客户端应用软件安全管理规范JR/T 01582018证券期货业数据分类分级指引JR/T 01712020个人金融信息保护技术规范JR/T 01972020金融数据安全数据安全分级指南3术语和定义GB/T 352732020和GB/T 250692010界定的以及下列术语和定义适用于本文件。3.1数据处理data processing自动数据处理automatic data processing数据操作的系统执行。示例：数据的数学运算或逻辑运算，数据的归并或分类，程序的汇编或编译，或文本的操作，诸如编辑、分类、归并、存储、检索、显示或打印。注：术语“数据处理”不能用为“信息处理”的同义词。来源：GB/T 5271.12000，01.01.063.2保密性confidentiality使信息不泄露给未授权的个人、实体、进程，或不被其利用的特性。来源：GB/T 250692010，2.1.1JR/T 0223202123.3完整性integrity保卫资产准确和完整的特性。来源：GB/T 250692010，2.1.42，有修改3.4可用性availability已授权实体一旦需要就可访问和使用的数据和资源的特性。来源：GB/T 250692010，2.1.203.5真实性authenticity确保主体或资源的身份正是所声称的特性。注：真实性适用于用户、进程、系统和信息之类的实体。来源：GB/T 250692010，2.1.69，有修改3.6金融数据financial data金融业机构开展金融业务、提供金融服务以及日常经营管理所需或产生的各类数据。注：该类数据可用传统数据处理技术或大数据处理技术进行组织、存储、计算、分析和管理。来源：JR/T 01972020，3.103.7个人金融信息personal financial information金融业机构通过提供金融产品和服务或者其他渠道获取、加工和保存的个人信息。注：个人金融信息包括账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息及其他反映特定个人某些情况的信息。来源：GB/T 352732020，3.1，有修改3.8个人金融信息主体personal financial information subject个人金融信息所标识的自然人。来源：GB/T 352732020，3.3，有修改3.9个人金融信息安全影响评估personal financial information security impact assessment针对个人金融信息处理活动，检验其合法合规程度，判断其对个人金融信息主体合法权益造成损害的各种风险，以及评估用于保护个人金融信息主体的各项措施有效性的过程。来源：GB/T 352732020，3.9，有修改3.10影响impactJR/T 022320213事件的后果。注：在信息安全中，一般指不测事件的后果。来源：GB/T 250692010，2.3.105，有修改3.11删除delete在金融产品和服务所涉及的系统中去除信息的行为，使其保持不可被检索、访问的状态。来源：GB/T 352732020，3.10，有修改3.12明示同意explicit consent个人金融信息主体通过书面声明或主动作出肯定性动作，对其个人金融信息进行特定处理作出明确授权的行为。注：肯定性动作包括个人金融信息主体主动勾选、主动点击“同意”“注册”“发送”“拨打”、主动填写或提供等。来源：GB/T 352732020，3.6，有修改3.13匿名化anonymization通过对个人金融信息的技术处理，使得个人金融信息主体无法被识别，且处理后的信息不能被复原的过程。注：个人金融信息经匿名化处理后所得的信息不属于个人金融信息。来源：GB/T 352732010，3.14，有修改3.14特权访问安全privileged access security一种帮助企业解决特权账户相关问题的技术。3.15特权账户privileged account涉及到企业核心数据资产的账号。注：特权账号存在于服务器、应用系统、数据库、中间件等。4缩略语下列缩略语适用于本文件：ADSL：非对称数字用户线路（Asymmetric Digital Subscriber Line）AES：高级加密标准（Advanced Encryption Standard）API：应用程序接口（Application Programming Interface）APP：应用程序（Application）ATM：异步传输模式（Asynchronous Transfer Mode）CSV：逗号分隔值（Comma-Separated Values）DDN：数字数据网（Digital Data Network）JR/T 022320214DES-CBC：数据加密标准-密码块链接（Data Encryption Standard-Cipher Block Chaining）ETL：抽取-转换-装载（Extract-Transform-Load）HMAC：哈希运算消息认证码（Hash-based Message Authentication Code）IP：网际互连协议（Internet Protocol）MD5：消息摘要算法（Message-Digest Algorithm 5）MSTP：多业务传送平台（Multi-Service Transport Platform）OCR：光学字符识别（Optical Character Recognition）RSA：公钥密码算法（Rivest-Shamir-Adleman）SDH：同步数字体系（Synchronous Digital Hierarchy）SHA1：安全散列算法（Secure Hash Algorithm 1）SSID：服务集标识（Service Set Identifier）VPN：虚拟专用网络（Virtual Private Network）WEB：全球广域网（World Wide Web）WLAN：无线局域网（Wireless Local Area Network）XML：可扩展标记语言（Extensible Markup Language）5概述5.1安全框架金融数据生命周期是指金融业机构在开展业务和进行经营管理的过程中，对金融数据进行采集、传输、存储、使用、删除、销毁的整个过程。数据生命周期安全框架（见图1）遵循数据安全原则，以数据安全分级为基础，建立覆盖数据生命周期全过程的安全防护体系，并通过建立健全数据安全组织架构和明确信息系统运维环节中的数据安全需求，全面加强金融业机构数据安全保护能力。数据生命周期安全防护要求是数据生命周期安全框架的核心，针对不同安全级别的数据，明确其在采集、传输、存储、使用、删除以及销毁等数据生命周期各个环节的安全防护要求，是金融业机构开展数据安全防护工作的基本依据。结合金融数据业务规则及金融数据特点，建立覆盖金融数据生命周期全过程的安全防护机制，是金融业机构数据安全防护工作的重中之重，也是确保金融数据安全的必经之路。数据安全组织保障、信息系统运维保障也是数据生命周期安全框架必不可少的组成部分，共同构成确保数据生命周期安全防护机制能够有效落实和严格执行的基石。数据安全组织保障确保数据安全工作具有包括决策层、管理层、执行层以及监督层的完善管理体系，为数据安全相关工作的组织和落实奠定基础。在金融业机构日常运营过程中，信息系统运维过程的数据安全防控工作也不容忽视，加强在边界管控、访问控制、安全监测、安全审计、检查评估、应急响应与事件处置等过程中的数据安全风险防控能力，可有力保障数据安全防护机制的有效执行和数据安全问题的及时发现与应对。JR/T 022320215图 1数据生命周期安全框架5.2分级保护金融数据安全级别按照JR/T 01972020相关要求，根据安全性遭到破坏后的影响范围和影响程度，将金融数据安全级别由高到低划分为5级、4级、3级、2级、1级。本文件所指金融数据安全，主要是指确保金融数据在其生命周期各阶段的安全性，通过采取相应措施，将数据安全性遭受破坏可能带来的安全影响降至最低或降至可接受的范围内。其中，1级数据为公开数据，原则上无保密性要求，其安全防护应参考本文件有关完整性及可用性安全要求；2级至4级数据的安全防护应在平衡安全需求与业务需求的基础上，根据数据安全级别不同，有侧重地采取适当的安全防护措施，2级数据应优先考虑业务需求，4级数据应优先考虑安全需求，5级数据的保护按照国家及行业主管部门的有关要求执行。证券行业数据安全分级和数据安全保护工作按照JR/T 01582018等证券行业相关要求执行， 云环境的数据安全应符合国家和行业主管部门的相关要求。金融业机构境外分、子公司和分支机构在境外开展业务过程中采集、产生的数据，其安全定级及数据保护工作应按照数据跨境相关要求执行。涉及个人金融信息的内容，除满足本文件要求外，还应按照JR/T 01712020相关要求执行。注：本文件中未明确具体安全级别的条款，为安全级别为1级至4级数据均应满足的通用安全要求；已明确具体安全级别的条款，为该级别数据保护需执行的附加安全要求。6数据安全原则为防范和抵御金融数据安全风险，金融业机构在开展业务及日常经营管理过程中，遵循以下数据安全基本要求：a)合法正当原则：应确保金融数据全生命周期各环节数据活动的合法性和正当性。JR/T 022320216b)目的明确原则：应制定金融数据安全防护策略，明确金融数据生命周期各环节的安全防护目标和要求。c)选择同意原则：应向个人金融信息主体明示数据采集和处理的目的、方式、范围、规则等，制定完善的隐私政策，在进行数据采集和处理前征得其授权同意。d)最小够用原则：金融业机构应仅处理个人金融信息主体授权同意的金融数据，且处理的金融数据为业务所必需的最小金融数据类型和数量。e)全程可控原则：应采取与金融数据安全级别相匹配的安全管控机制和技术措施，确保金融数据在全生命周期各环节的保密性、 完整性和可用性， 避免数据在全生命周期内被未授权访问、破坏、篡改、泄漏或丢失等。f)动态控制原则：金融数据的安全控制策略和安全防护措施不应是一次性和静态的，应可基于业务需求、安全环境属性、系统用户行为等因素实施实时和动态调整。g)权责一致原则：应明确本机构数据安全防护工作相关部门及其职责，有关部门及人员应积极落实相关措施，履行数据安全防护职责。7数据生命周期安全防护7.1数据采集7.1.1概述数据采集是指金融业机构在提供金融产品和服务、开展经营管理等活动中，直接或间接从个人金融信息主体，以及企业客户、外部数据供应方等外部机构获取数据的过程。数据采集过程存在数据泄露、数据源伪造、特权账户滥用、数据篡改等安全风险。数据采集过程实现数据的采集与提取、转换与标准化、信息上传，并提供内置安全审计与监管等辅助工具。按照采集模式，可分为从外部机构和从个人金融信息主体采集数据，见附录A。7.1.2从外部机构采集数据金融业机构从外部机构采集数据，安全要求如下：a)应通过合同协议等方式，明确双方在数据安全方面的责任及义务，明确数据采集范围、频度、类型、用途等，确保外部机构数据的合法合规性和真实性，必要时提供相关个人金融信息主体的授权。b)从外部数据供应方处采集数据，应制定数据供应方约束机制，并明确数据源、数据采集范围和频度，并事前开展数据安全影响评估。注：数据安全影响评估（data security impact assessment）：针对数据处理活动，检验其合法合规程度，判断其对相关方合法权益造成损害的各种风险，以及评估相关保护措施有效性的过程。c)采集的企业客户数据应与提供的金融产品或服务直接相关，并与合同协议条款、隐私政策中约定采集的内容保持一致，不应超范围采集数据。d)应明确数据采集过程中个人金融信息和重要数据的知悉范围和安全管控措施，确保采集数据的合规性、完整性和真实性。e)通过系统批量采集的数据应采用摘要、消息认证码、数字签名等密码技术确保采集过程数据的完整性。f)应对人工批量采集数据的环境进行安全管控，并通过人员权限管控、信息碎片化等方式，防止采集过程出现数据泄露。g)采集数据时，应对数据采集设备或系统的真实性进行验证。JR/T 022320217h)应对数据采集过程进行日志记录，并采取技术措施确保信息来源的可追溯性。i)采集 3 级及以上数据时，还应结合口令密码、设备指纹、设备物理位置、网络接入方式、设备风险情况等多种因素对数据采集设备或系统的真实性进行增强验证。j)采集 4 级数据时，还应满足：1)对采集全过程进行持续动态认证，确保数据采集设备或系统的真实性，必要时可实施阻断、二次认证等操作。2)对采集的数据进行数据加密。3)不应通过人工方式采集。7.1.3从个人金融信息主体处采集数据金融业机构从个人金融信息主体处采集数据，安全要求如下：a)APP、WEB 等客户端相关业务完成后不应留存 3 级及以上数据，并及时对缓存进行清理。b)采集的个人金融信息应与提供的金融产品或服务直接相关，并与合同协议条款、隐私政策中约定采集的内容保持一致，不应超范围采集数据。c)通过纸质表单采集数据并转换为电子数据时，满足以下要求：1)对表单的保存、查阅、复制等操作进行严格审批授权，涉及 3 级及以上数据的操作，应进行专项审批，并对表单流转的全过程进行监控与审计。2)在纸质表单电子化的过程中，应采取技术措施对电子化过程中的数据完整性、保密性进行控制。d)数据采集过程应符合 7.1.2 d）j）所述要求。e)金融业机构在停止其提供的金融产品或服务时，应立即停止数据收集活动及数据分析应用活动，相关国家及行业主管部门另有规定的按照相关规定执行。7.2数据传输数据传输是指金融业机构将数据从一个实体发送到另一个实体的过程， 存在数据传输中断、 篡改、伪造及窃取等安全风险。金融数据传输涉及与金融业机构相关联的全通信网络架构和通信方式，按照传输模式（见附录B），可分为金融业机构内部数据传输、金融业机构与外部机构或金融客户的数据传输两种形式， 不同传输形式和不同传输对象采用的数据传输技术方式也不同。 数据传输安全要求如下：a)采取措施加强数据传输过程中的网络和数据安全，满足以下基本要求：1)应加强软件开发安全管理，保障数据传输工具的安全性，工具上线前应开展必要的渗透测试、支持库漏洞查找等工作，以防止工具使用过程中遭受恶意破坏、功能篡改、信息窃取等攻击。2)应采用防火墙、入侵检测等安全技术或设备，确保数据传输网络的安全性。3)不同网络区域或者安全域之间应进行安全隔离和访问控制。4)终端应采取准入控制、终端鉴别等技术措施，防止非法或未授权终端接入内部网络。5)应对通信双方进行身份认证，确保数据传输双方是可信任的。6)应采用数字签名、时间戳等方式，确保数据传输的抗抵赖性。7)应采用密码技术或非密码技术等方式，确保数据的完整性。8)应选用安全的密码算法，禁用如 MD5、DES-CBC、SHA1 等不安全的算法。9)2 级及以上数据的内部传输，应事先经过审批授权明确当前授权的范围、频次、有效期等，避免出现一次性授权、打包授权等情况。10) 2 级及以上数据的对外传输，应事先经过审批授权并采取数据加密、安全传输通道或安全传输协议进行数据传输。JR/T 02232021811) 3 级及以上的数据内部传输，应采取数据加密、安全传输通道或安全传输协议进行数据传输。12) 3 级及以上数据原则上不应对外传输，若因业务需要确需传输的，应经过事先审批授权，并采取技术措施确保数据保密性。13) 4 级及以上数据传输，应对数据进行字段级加密，并采用安全的传输协议进行传输。14) 4 级数据中的个人金融信息原则上不应对外传输， 国家及行业主管部门另有规定的除外。15) 应在数据传输不完整时清除传输缓存数据。16) 应在数据传输完成后立即清除传输历史缓存数据。17) 应定期检查或评估数据传输的安全性和可靠性。18) 向国家机关、 行业主管和监管单位传输数据， 应按照国家及行业相关管理要求进行传输。b)通过内部无线网络传输数据，在满足 7.2 a）基本要求的基础上，还应满足以下要求：1)采用绑定设备序列号或硬件地址（MAC 地址）等管控措施对无线接入点进行准入控制，合理设置传输功率，控制无线信号的覆盖范围。2)SSID 采用规范的命名规则，不泄露机构名称、网络特性、物理位置等信息，禁止使用缺省的 SSID，生产环境应禁用 SSID 广播，避免攻击者通过扫描直接获取无线网络信息。3)采用安全、可靠的加密协议，对无线通信信道进行安全加密。4)确保无线网络设备的物理安全，禁用不必要的服务，强化无线网络设备的管理账号和口令安全，禁止使用弱口令，建立安全管理基线。5)加强无线网络用户管理，禁止多人使用同一账号，采用双因素认证方式对接入用户进行身份校验，停用长时间未登录使用无线网络的账号。6)采取措施控制移动智能终端在内网和互联网交叉使用的风险，加强应用安全和数据泄露防护，防范恶意代码传播。7)明确短期使用及临时搭建的无线网络使用期限，期满后应及时拆除或关闭。c)通过运营商网络传输数据，在满足 7.2 a）基本要求的基础上，2 级及以上数据还应采用专线或 VPN 等技术确保传输通道的安全，确保数据传输的安全性。d)通过物理介质批量传递 3 级及以上数据时应对数据进行加密或脱敏，并由专人负责收发、登记、编号、传递、保管和销毁等，传递过程中可采用密封、双人押送、视频监控等确保物理介质安全到位，传递过程中物理介质不应离开相关责任人、监控设备等的监视及控制范围，且不应在无人监管情况下通过第三方进行传递，国家及行业主管部门另有规定的除外。7.3数据存储7.3.1概述数据存储是指金融业机构在提供金融产品和服务、开展经营管理等活动中，将数据进行持久化保存的过程，包括但不限于采用磁盘、磁带、云存储服务、网络存储设备等载体存储数据。数据存储过程，可能存在数据泄露、篡改、丢失、不可用等安全风险。7.3.2存储安全数据存储的安全要求如下：a)数据存储不应因存储形式或存储时效的改变而降低安全保护强度。b)应根据安全级别、重要性、量级、使用频率等因素，将数据分域分级存储。c)应依据最小够用原则存储数据，不应以任何形式存储非业务必需的金融数据，存储时间应为业务必需的最短时间，国家及行业主管部门另有规定的除外。JR/T 022320219d)应定期对数据存储过程中可能产生的影响进行风险评估，并采取相应安全防护措施。e)脱敏后的数据应与用于还原数据的恢复文件隔离存储，使用恢复原始数据的技术应经过严格审批，并留存相关审批及操作记录。f)应采取一定措施确保数据存储的完整性，存储 3 级及以上数据时，应采用密码技术、权限控制等技术措施保证数据完整性。g)2 级及以上数据应采取技术措施保证存储数据的保密性，必要时可采取多因素认证、固定处理终端、固定处理程序或工具、双人双岗控制等安全策略。h)3 级数据的存储应采取加密等技术措施保证数据存储的保密性。i)保存 3 级及以上数据的信息系统，其网络安全建设及监督管理宜满足网络安全等级保护 3 级要求。j)文件系统中存放含有 3 级及以上数据的文件，宜采用整个文件加密存储方式进行保护。k)4 级及以上数据应使用密码算法加密存储。l)在我国境内产生的金融数据原则上应在我国境内存储， 国家及行业主管部门另有规定的除外。m)在我国境内产生的 5 级数据应仅在我国境内存储。n)应对数据存储区域进行规划，并对不同区域之间的数据流动进行安全管控。7.3.3备份和恢复数据备份与恢复工作安全要求如下：a)根据数据的安全级别和数据对系统运行的影响，制定数据备份策略和恢复策略，备份策略应至少指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法、备份周期或频率、备份范围等。b)生产数据应采取实时备份与异步备份、增量备份与完全备份的方式，提供本地数据备份与恢复功能。c)应建立同城与异地数据备份中心的远程数据备份与恢复功能，利用通信网络将关键数据定时批量传送至备用场地。d)数据备份应基于多冗余策略，可采用磁带、磁盘镜像、磁盘冷备、热备、双活等技术实现，备份频度及保存期限不低于相关监管和业务使用要求。e)应定期开展灾难恢复演练，应对技术方案中关键技术应用的可行性进行验证测试，并记录和保存验证测试的结果。f)应定期对备份数据的有效性和可用性进行检查，定期对主要备份业务数据进行恢复验证，根据介质使用期限及时转储数据，确保数据可用性。g)生产数据备份存放环境及其物理设施的安全保护等级应按照 GB 501742017 的要求执行。h)大数据平台应提供数据整体迁移功能，并具备迁移数据的完整性检测能力。7.4数据使用7.4.1概述数据使用是指金融业机构在提供金融产品和服务、开展经营管理等活动中，进行数据的访问、导出、加工、展示、开发测试、汇聚融合、公开披露、数据转让、委托处理、数据共享等活动。数据使用不应超出数据采集时所声明的目的和范围，数据使用过程存在数据非授权访问、窃取、泄漏、篡改、损毁等安全风险。7.4.2数据访问JR/T 02232021107.4.2.1基本要求数据访问指金融业机构内外部各类主体对数据进行查询和变更的过程，数据访问控制安全要求如下：a)应综合考虑主体角色、信用等级、业务需要、时效性等因素，按最小化原则确定 2 级及以上数据的访问权限规则。b)3 级及以上数据访问应建立访问权限申请和审核批准机制，并宜通过访问控制组件或访问控制代理技术对访问的终端设备、系统进行控制，以及实际操作和申请操作进行验证，保证实际操作与申请并审批的操作是一致的。c)应根据数据的不同安全级别，制定和明确数据访问控制过程中的相关安全措施，保障金融数据在被访问过程中的保密性和完整性，包括但不限于：1)2 级及以上的数据访问应进行身份认证，对访问者实名认证，将数据访问权限与实际访问者的身份或角色进行关联，防止数据的非授权访问。2)2 级及以上的数据访问过程应留存相关操作日志，操作日志应至少包含明确的主体、客体、操作时间、具体操作类型、操作结果等。3)3 级及以上的数据访问应实现多因素认证或二次授权，并应结合业务需要对数据采取脱敏和控制访问数据行数的技术措施，以满足最小化原则要求。d)应对数据的访问权限和实际访问控制情况进行定期审计，至少每半年 1 次对访问权限规则和已授权清单进行复核，及时清理已失效的账号和授权。e)应通过访问控制等措施限制频繁查询数据人员的数据访问频率，如柜员、客户经理、客服人员等确需批量查询的应通过相应审批并留存相关记录，并宜提供访问控制组件与审批结果的自动联动能力。7.4.2.2特权访问安全要求特权访问指不受访问控制措施限制的数据访问，例如使用数据库管理员权限访问数据，或使用可在信息系统内执行所有功能、访问全量数据的特权账号等。特权访问的安全要求如下：a)特权账号应明确安全责任人，严格限定特权账号的使用地点，并配套多因素认证措施对使用者进行实名认证。b)应预先明确特权账号的使用场景和使用规则，并配套建立审批授权机制。c)可访问 3 级及以上数据的特权账号，在每次使用前应进行审批授权，并宜采取措施确保实际操作与所获授权的操作是一致的，防止误执行高危操作或越权使用等违规操作。d)应详细记录特权账号的访问过程和操作记录，配备事后审计机制，并确保特权账号无法对操作日志进行修改和删除。7.4.3数据导出数据导出是指数据从高等级安全域流动至低等级安全域的过程， 如数据从生产系统至运维终端、移动存储介质等情形。数据导出安全要求如下：a)金融业机构应根据最小够用原则，确定数据导出场景、导出数据范围和相应的权限规则。b)2 级及以上的数据导出操作应明确安全责任人，配备安全、完善的身份验证措施对导出操作人进行实名认证。c)2 级及以上的数据导出应有详细操作记录，包括操作人、操作时间、操作结果、数据类型及安全级别等，留存时间不少于 6 个月。d)3 级及以上数据的导出操作还应有明确的权限申请和审核批准机制。JR/T 0223202111e)3 级及以上数据的导出操作前应使用多因素认证或二次授权机制，并将操作执行的网络地址限制在有限的范围内。f)3 级及以上的数据导出应使用加密、脱敏等技术手段防止数据泄露，国家及行业主管部门另有规定的除外。g)4 级数据原则上不应导出，确需导出的，除上述要求外，还应经金融业机构高级管理层批准，并配套数据跟踪溯源机制。7.4.4数据加工数据加工是金融业机构基于市场分析、业务优化、风险管控等需求，对数据进行清洗、转换、分析、挖掘等操作。数据加工安全要求如下：a)应明确原始数据数据加工过程中的数据获取方式、访问接口、授权机制、逻辑安全、处理结果安全等内容。b)3 级及以上数据加工之前应进行数据安全评估，并采用加密、脱敏等技术措施，保证数据加工过程的数据安全性。c)除业务必须外，不应对 4 级数据进行加工。d)应对数据加工过程进行必要的监督和检查，确保加工过程的数据安全性。e)应完整记录数据加工过程的操作日志。7.4.5数据展示数据展示是指金融业机构通过业务运营平台、运维终端、客户端应用软件、银行卡受理设备、自助终端设备等界面显示数据的过程。数据展示安全要求如下：a)数据展示前，应事前评估展示需求，包括展示的条件、环境、权限、内容等，确定展示的必要性和安全性。b)数据展示时，应确保展示数据的安全性，具体要求如下：1)对应用系统桌面、移动运维终端、柜面受理设备等界面展示增加水印，水印内容应最少包括访问主体、访问时间。2)禁用展示界面复制、打印等可将展示数据导出的功能。3)业务系统对 2 级及以上数据明文查询实现逐条授权、 逐条查询， 或具备对查询相关授权、次数、频率、总量等指标的实时监测预警功能，并留存相关查询日志。c)数据展示后，应及时将展示数据从本地缓存中清除。d)2 级数据的展示应事先通过审批授权后方可展示。e)3 级数据的展示应在审批的基础上采用屏蔽等技术措施防止信息泄露。f)4 级及以上数据不应明文展示，国家及行业主管部门另有规定的除外。7.4.6开发测试开发测试是指金融业机构使用金融数据完成软件、系统、产品等开发和测试的过程。开发测试安全要求如下：a)应采取技术措施，实现开发测试环境数据与生产环境数据的有效隔离。b)应通过安全运维管理平台或数据提取专用终端获取数据，专用终端应事先经过审批授权后方可开通，原则上不应涉及 4 级数据。c)通过管理平台或专用终端获取 3 级及以上数据时，应通过技术手段控制数据的获取范围，包括对象、数据量等，并能对获取的数据按照策略进行脱敏处理，保证生产数据经过脱敏处理后才能被提取。JR/T 0223202112d)开发测试等过程的数据，应事先进行脱敏处理，防止数据处理过程中的数据泄露，国家及行业主管部门另有规定的除外。e)使用外部的软件开发包、组件、源码等开展开发测试工作前应进行数据安全评估。f)接入开发测试环境的内外部终端设备应进行统一安全管理， 宜安装统一的终端安全管理软件。g)应制定开发测试安全审核流程，对数据源、需求进行审核，以确保数据分析目的、分析操作等方面的正当性与合法性。h)应对开发测试过程进行日志记录，并定期进行安全审计。i)非本机构设备接入开发测试环境应经过开发部门以及设备使用部门审批，存储有开发测试数据的设备、介质带离金融业机构前应经过开发部门以及设备使用部门审批。7.4.7汇聚融合汇聚融合是指金融业机构因提供金融产品和服务、开展经营管理等活动，在机构内部不同部门之间或本机构与外部机构之间，进行多源或多主体的数据汇集、整合等产生数据的过程。数据汇聚融合安全要求如下：a)汇聚融合的数据不应超出采集时所声明的使用范围，因业务需要确需超范围使用个人金融信息的，应事先再次征得个人金融信息主体明示同意。b)汇聚融合前应根据汇聚融合后可能产生的数据内容、所用于的目的、范围等开展数据安全影响评估，并采取适当的技术保护措施。c)涉及第三方机构合作的，应以合同协议等方式明确用于汇聚融合的数据内容和范围、结果用途和知悉范围、各合作方数据保护责任和义务，以及数据保护要求等，并采用技术手段如多方安全计算、联邦学习、数据加密等技术降低数据泄露、窃取等风险。d)4 级数据原则上不应用于汇聚融合，因业务需要确需汇聚融合的，应建立审批授权机制并具备数据跟踪溯源能力后方可汇聚融合。e)应对脱敏后的数据集或其他数据集汇聚后重新识别出个人金融信息主体的风险进行识别和评价，并对数据集采取相应的保护措施。f)汇聚融合后产生的数据以及原始数据的衍生数据，应重新明确数据所属单位和安全保护责任部门，并确定相应数据的安全级别。7.4.8公开披露公开披露是指金融业机构在提供金融产品或服务的过程中， 因国家有关规定、 行业主管部门规章，以及金融产品或服务业务需要，在其指定渠道公开数据的行为。数据公开披露安全要求如下：a)应依据国家有关规定与行业主管部门规章，在金融业机构官方渠道披露数据。b)数据公开披露前，应依据金融业机构有关制度要求，对拟披露数据审核与审批，具体要求如下：1)数据安全管理部门会同有关业务部门，对拟披露数据的合规性、业务需求、数据脱敏方案进行审核。2)机构业务部门对披露渠道、披露时间、拟公开数据的真实性，以及数据脱敏效果进行确认，披露时间指永久或固定时间段。3)依据机构有关程序执行数据公开披露审批程序，其审批过程和记录留档。c)应采取技术措施对金融业机构公开披露数据的真实性与完整性进行安全防护， 具体要求如下：1)通过金融业机构官方网站披露数据时，采取包括网页防篡改等技术措施，防范披露数据篡改风险。2)通过金融业机构客户端应用软件披露数据时，按照 JR/T 00922019 相关要求执行。JR/T 0223202113d)3 级及以上数据原则上不应公开披露，国家及行业主管部门另有规定的除外。e)应准确记录和保存数据的公开披露情况，包括公开披露的日期、规模、目的、范围等。7.4.9数据转让数据转让指金融业机构将数据移交至外部机构，不再享受该数据相关权利和不再承担该数据相关义务的过程。数据转让安全要求如下：a)除以下情况外，原则上不应转让数据：1)满足国家与行业主管部门要求。2)已通过合同协议等有关约定获得数据转让相关授权的。3)在金融业机构出现收购、兼并、重组等情形时，依照国家及行业有关规定履行义务。b)因机构收购、兼并、重组等情况，金融业机构主体变更而发生数据转让时，具体安全要求如下：1)金融业机构将其提供的金融产品或服务移交至其他金融业机构时，应通过逐一传达或公告的方式向个人金融信息主体等履行告知义务。2)承接其金融产品或服务的金融业机构，应对其承接运营的金融产品或服务继续履行数据安全保护责任；如变更其在收购、兼并、重