标准规范下载简介

JR／T 0197-2020 金融数据安全 数据安全分级指南.pdf

金融数据安全数据安全分级指南

本标准给出了金融数据安全分级的目标、原则和范围，以及数据安全定级的要素、规则和定级过程， 本标准适用于金融业机构开展**数据安全分级工作，并为第三方评估机构等单位开展数据安全检 查与评估工作提供参考。

下列文*对于本文*的应用是必不可少的。凡是注日期的引用文*，仅注日期的版本适用于本文*。 凡是不注日期的引用文*，其最新版本（包括所有的修改单）适用于本文*。 GB/T4754一2017*民经济行业分类 GB/T5271.1一2000信息技术词汇第1部分：基本术语 GB/T25069—2010 信息安全技术术语 GB/Z28828—2012 信息安全技术公共及商用服务信息系统个人信息保护指南 GB/T35273—2020 信息安全技术个人信息安全规范 JR/T0158—2018 证券期货业数据分类分级指引 JR/T0171—2020 个人金融信息保护技术规范

JR/T0197—2020[GB/T25069—2010，定义2.1.63]3. 4信息处理informationprocessing对信息操作的系统执行，包括数据处理，也可包括诸如数据通信和办公自动化之类的操作。注：术语“信息处理”不能用为“数据处理”的同义词。[GB/T5271.1—2000，定义2.01.01.05]3.5数据处理dataprocessing数据操作的系统执行。示例：数据的数学运算或逻辑运算，数据的归并或分类，程序的汇编或编译，或文本的操作，诸如编辑、分类、归并、存储、检索、显示或打印。注1：术语“数据处理”不能用为“信息处理”的同义词。注2：改写GB/T5271.1—2000，定义2.01.01.063. 6保密性confidentiality使信息不泄露给未授*的个人、实体、进程，或不被其利用的特性，[GB/T25069—2010，定义2.1.1]3. 7完整性integrity保卫资产准确和完整的特性。注：改写GB/T25069—2010，定义2.1.42。3.8可用性availability已授*实体一旦需要就可访问和使用的数据和资源的特性[GB/T25069—2010，定义2.1.20]3. 9安全级别securitylevel有关敏感信息访问的级别划分，以此级别加之安全范畴能更精细地控制对数据的访问。[GB/T25069—2010，定义2.2.1.6]3.10金融数据financialdata金融业机构开展金融业务、提供金融服务以及日常经营管理所需或产生的各类数据。注：该类数据可用传统数据处理技术或大数据处理技术进行组织、存储、计算、分析和管理。3.11个人金融信息personalfinancialinformation2

Q／CR 807-2020 隧道喷射混凝土用液体无碱速凝剂.pdf1.1数据安全定级目标

数据安全定级旨在对数据资产进行全面梳理并确立适当的数据安全分级，是金融业机构实施有效数 据分级管理的必要前提和基础。数据分级管理是建立统一、完善的数据生命周期安全保护框架的基础工 作，能够为金融业机构制定有针对性的数据安全管控措施提供支撑。金融业包括货币金融服务、资本市 场服务、保险业等，参见GB/T4754一2017。本标准所述“金融业机构”是指从事上述金融业的相关机 构。

4.2数据安全定级原则

数据安全定级遵循以下原则： a）合法合规性原则：满足**法律法规及行业主管部门有关规定。 b）可执行性原则：数据定级规则避免过于复杂，以确保数据定级工作的可行性。 c）时效性原则：数据安全级别具有一定的有效期限，金融业机构宜按照级别变更策略对数据级别 进行及时调整。 d）自主性原则：结合金融业机构自身数据管理需要（如战略需要、业务需要、风险接受程度等）， 在本标准的框架下自主确定数据安全级别。 e）差异性原则：根据本机构数据的类型、敏感程度等差异，划分不同的数据安全层级，并将数据 分散至不同的级别中，不宜将所有数据集中划分到其中若干个级别中。 f）客观性原则：数据定级规则是客观且可校验的，即通过数据自身的属性和定级规则即可判定其 级别，并且数据的定级是可复核和检查的。

4.3数据安全定级范围

金融数据安全定级过程中，未经**化的金融数据，依据档案文*等有关管理规范执行；涉及** 必密的金融数据，依据**有关法律法规执行，不在本标准规定的范围之内。证券行业数据安全分级工 作可参照JR/T0158一2018执行。其中，安全定级工作所涉及的金融数据包括但不限于： 提供金融产品或服务过程中直接（或间接）采集的数据，包括通过柜面以纸质协议签署或收

JR/I 01972020

集，并经信息处理后在计算机系统中流转或保存的数据，以及通过信息系统签约或收集的* *信息。 金融业机构信息系统内生成和存储的数据，包括业务数据、经营管理数据等，其中： ·业务数据指金融业机构在提供金融产品或服务过程中产生的数据，如交易信息、统计数据 等。 经营管理数据指金融业机构在履行职能与经营管理过程中采集、产生的数据，如营销服务 数据、运营数据、风险管理数据、技术管理数据（如程序代码、系统以及网络等）、统计 分析数据、综合管理数据等。 一金融业机构内部办公网络与办公设备（终端）中产生、交换、归档的**数据，如机构内部 日常事务处理信息、*策法规与部门规章、业务终端临时存储的业务或经营管理数据、** **信息等。 金融业机构原纸质文*经过扫描或其他**化手段形成的**数据。 其他宜进行分级的金融数据。

安全性（保密性、完整性、可用性）是信息安全风险评估中的重要参考属性。数据安全性遭到破 能造成的影响（如可能造成的危害、损失或潜在风险等），是确定数据安全级别的重要判断依据 考虑影响对象与影响程度两个要素

影响对象指金融业机构数据安全性遭受破环后受到影响的对象，包括**安全、公众*益、个人隐 企业合法*益等。影响对象的确定主要考虑以下内容： 一影响对象为**安全的情况，一般指数据的安全性遭到破坏后，可能对****稳固、领土 主*、民族团结、社会和金融市场稳定等造成影响。 一影响对象为公众*益的情况，一般指数据的安全性遭到破坏后，可能对生产经营、教学科研、 医疗卫生、公共交通等社会秩序和公众的*治*利、人身自由、经济*益等造成影响。 影响对象为个人隐私的情况，一般指数据的安全性遭到破坏后，可能对个人金融信息主体的 个人信息、私人活动和私有领域等造成影响。 影响对象为企业合法*益的情况，一般指数据的安全性遭到破坏后，可能对某企业或其他组 织（可能是金融业机构，也可能是其他行业机构）的生产运营、声誉形象、公信力等造成影 响。

影响程度指金融业机构数据安全性遭到破环后所产生影响的大小，从高到低划分为严重损害、一般 损害、轻微损害和无损害，相关说明如表1所示，可作为影响程度判定的参考。影响程度的确定宜综合 考虑数据类型、数据特征与数据规模等因素，并结合金融业务属性确定数据安全性遭到破坏后的影响程 度，例如： 数据安全性遭到破坏后，客户的个人自然信息产生的影响程度通常要高于单位基本信息 数据安全性遭到破坏后，身份鉴别信息产生的影响程度通常要高于个人基本概况信息

交易信息中对实时性要求较高的数据，其安全性遭到破坏产生的影响程度通常要高于实时性 要求较低的数据等

5.2.1安全影响评估

安全影响评估宜综合考虑数据类型、数据内容、数据规模、数据来源、机构职能和业务特点等因素， 对数据安全性（保密性、完整性、可用性）遭受破坏后所造成的影响进行评估。评估过程中，根据实际 情况识别各项安全性在影响评定中的优先级，分别进行保密性、完整性及可用性评估，并综合考虑保密 性、完整性及可用性的评估结果，形成最终安全影响评估。 保密性评估：通过评价数据遭受未经授*的披露所造成的影响，以及机构继续使用这些数据可 能产生的影响，进行数据保密性评估。评估的内容包括但不限于： 数据未经授*的披露，可能对**安全、公众*益、个人隐私及企业合法*益造成的损害， 以及损害的严重程度。 · 数据被非授*对象获取或利用，可能对**安全、公众*益、个人隐私及企业合法*益造 成的损害，以及损害的严重程度。 · 数据被非授*对象利用进行窃密、纂改、销毁或拒绝服务等攻击，可能对**安全、公众 *益、个人隐私及企业合法*益等造成的损害，以及损害的严重程度。 · 数据的未经授*披露或传播是否违反**法律法规、行业主管部门有关规定或机构内部管 理规定。 一一完整性评估：通过评价数据遭受未经授*的修改或损毁所造成的影响，以及机构继续使用这些 数据可能产生的影响，进行数据完整性评估。评估的内容包括但不限于： 数据未经授*修改或损毁，可能对**安全、公众*益、个人隐私及企业合法*益造成的 损害，以及损害的严重程度。 数据未经授*修改或损毁，可能对其他组织或个人造成的损害，以及损害的严重程度。 数据未经授*修改或损毁，可能对机构职能、公信力造成的损害，以及损害的严重程度。

JR/T 01972020

数据未经授*修改或损毁是否违反**法律法规、行业主管部门有关规定或机构内部管理 规定。 可用性评估：通过评价数据及其经组合/融合后形成的各类数据出现访问或使用中断所造成的 影响，以及机构无法正常使用这些数据可能产生的影响，进行数据可用性评估。评估的内容包 括但不限于： · 数据的访问或使用中断，可能对**安全、公众*益、个人隐私及企业合法*益造成的损 害，以及损害的严重程度。 数据的访问或使用中断，可能对机构职能、公信力造成的损害，以及损害的严重程度。 数据的访问或使用中断，可能对其他组织或个人造成的损害，以及损害的严重程度。 数据的访问或使用中断是否违反**法律法规、行业主管部门有关规定或机构内部管理规 正

5.2.2定级要素识别

通过综合考虑保密性、完整性和可用性的影响评估结果，识别数据安全定级关键要素，即作为最终 据安全级别评定时所使用的主要影响对象及影响程度，并根据5.3定级规则进行数据安全级别的评定 定级要素识别宜至少满足： 一一因不同数据在安全性（保密性、完整性、可用性）方面有不同侧重，以所侧重的安全性评估结 果，作为相应数据安全定级的主要依据。 一一数据的保密性、完整性和可用性要求基本一致的，则重点以保密性评估所确定的定级要素为主 要定级依据。

5.3.1安全级别概述

本标准根据金融业机构数据安全性遭受破坏后的影响对象和所造成的影响程度，将数据安全级别从 到低划分为5级、4级、3级、2级、1级，一般具有如下特征： 一5级数据特征如下： 重要数据，通常主要用于金融业大型或特大型机构、金融交易过程中重要核心节点类机构 的关键业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。 · 数据安全性遭到破坏后，对**安全造成影响，或对公众*益造成严重影响 注：“必须知悉”是指对数据确定知悉范围，只有对数据知悉有明确的必要性时，该对象才能对数据知悉。一般情 况下遵循工作需要原则和最小化原则，前者指因工作必须才可知悉，后者指知悉的范围满足最小够用即可。 一4级数据特征如下： 数据通常主要用于金融业大型或特大型机构、金融交易过程中重要核心节点类机构的重要 业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。 个人金融信息中的C3类信息。 数据安全性遭到破环后，对公众*益造成一般影响，或对个人隐私或企业合法*益造成产 重影响，但不影响**安全。 一3级数据特征如下： · 数据用于金融业机构关键或重要业务使用，一般针对特定人员公开，且仅为必须知悉的对 象访问或使用。 ·个人金融信息中的C2类信息。 数据的安全性遭到破环后，对公众*益造成轻微影响，或对个人隐私或企业合法*益造成

5.3.2定级通用规则

金融数据安全级别划分的通用规则包括但不限于： 重要数据的安全等级不可低于本标准所述5级 一个人金融信息相关数据参照JR/T0171一2020进行定级，并在数据安全定级过程中从高考虑。 一对于数据体量大，涉及的客户（包含个人客户和单位客户）多、涉及客户（包含个人客户和单 位客户）资金量大、涉及多行业及多机构客户的情况，影响程度宜从高确定。 综上所述，数据安全级别划定规则如表2所示。根据本标准所述定级规则，本标准给出了金融业典 型数据类型及其建议划分的最低安全级别，参见附录A，供各金融业机构在数据资产梳理及定级过程中 参考。

表2数据安全定级规则参考表

1）重要数据的内容及范围参照**及行业主管部门有关规定执行

JR/ 01972020

5. 4. 1 组织保障

5.4. 2 制度保障

建立数据分级工作的相关制度，明确并落实相关工作要求，包括但不限于： 数据分级的目标和原则。 数据分级工作涉及的角色、部门及相关职责。 数据分级的方法和具体要求。 数据分级的日常管理流程和操作规程，以及分级结果的确定、评审、批准、发布和变更机制， 数据分级管理相关绩效考核和评价机制， 数据分级结果的发布、备案和管理的相关规定。 数据分级清单审核与修订的原则和周期

金融数据安全定级过程包括数据资产梳理、数据安全定级准备、数据安全级别判定、数据安全级 及数据安全级别批准，具体工作流程如图1所示。

图1数据安全定级工作流程

数据定级流程基本步骤如下： 数据资产梳理： 第一步：对数据进行盘点、梳理与分类，形成统一的数据资产清单，并进行数据安全定级合规性相 关准备工作。 数据安全定级准备： 第二步：明确数据定级的颗粒度（如库文*、表、字段等）。 第三步：识别数据安全定级关键要素。 数据安全级别判定： 第四步：按照5.3所述数据定级规则，结合**及行业有关法律法规、部门规章，对数据安全等级 进行初步判定。 第五步：综合考虑数据规模、数据时效性、数据形态（如是否经汇总、加工、统计、脱敏或匿名化 处理等）等因素，对数据安全级别进行复核，调整形成数据安全级别评定结果及定级清单。 数据安全级别审核： 第六步：审核数据安全级别评定过程和结果，必要时重复第三步及其后工作，直至安全级别的划定 与本机构数据安全保护目标一致。 数据安全级别批准：

数据定级流程基本步骤如下： 数据资产梳理： 第一步：对数据进行盘点、梳理与分类，形成统一的数据资产清单，并进行数据安全定级合规性相 关准备工作。 数据安全定级准备： 第二步：明确数据定级的颗粒度（如库文*、表、字段等）。 第三步：识别数据安全定级关键要素。 数据安全级别判定： 第四步：按照5.3所述数据定级规则，结合**及行业有关法律法规、部门规章，对数据安全等级 进行初步判定。 第五步：综合考虑数据规模、数据时效性、数据形态（如是否经汇总、加工、统计、脱敏或匿名化 处理等）等因素，对数据安全级别进行复核，调整形成数据安全级别评定结果及定级清单。 数据安全级别审核： 第六步：审核数据安全级别评定过程和结果，必要时重复第三步及其后工作，直至安全级别的划定 与本机构数据安全保护目标一致。 数据安全级别批准：

JR/T 01972020

第七步：最终由数据安全管理最高决策组织对数据安全分级结果进行审议批准。

数据安全定级完成后，出现下列情形之一时，金融业机构宜对相关数据的安全级别进行变更（相关 示例参见附录B），并按照5.4.3数据定级流程实施。 数据内容发生变化，导致原有数据的安全级别不适用变化后的数据。 数据内容未发生变化，但因数据时效性、数据规模、数据使用场景、数据加工处理方式等发生 变化，导致原定的数据安全级别不再适用。 因数据汇聚融合，导致原有数据安全级别不再适用汇聚融合后的数据。 因国家或行业主管部门要求，导致原定的数据安全级别不再适用。 需要对数据安全级别进行变更的其他情形

数据安全定级完成后，出现下列情形之一时，金融业机构宜对相关数据的安全级别进行变更（相关 别参见附录B），并按照5.4.3数据定级流程实施。 数据内容发生变化，导致原有数据的安全级别不适用变化后的数据。 数据内容未发生变化，但因数据时效性、数据规模、数据使用场景、数据加工处理方式等发生 变化，导致原定的数据安全级别不再适用。 因数据汇聚融合，导致原有数据安全级别不再适用汇聚融合后的数据。 因国家或行业主管部门要求，导致原定的数据安全级别不再适用。 需要对数据安全级别进行变更的其他情形

金融业机构所承载重要数据的识别和认定工作宜遵照国家及行业主管部门有关规定执行。 的性质和内容相关描述参见附录CT／CAS587-2022 城镇排水管道检测与非开挖修复安全文明施工规范.pdf，仅供金融业机构开展数据安全分级工作时参考使用。重要 全级别不宜低于本标准中确定的5级

JR/ 01972020

附录B （资料性附录） 数据安全级别变化事宜 导致数据发生升降级的主要技术手段有数据脱敏、删除关键字段、汇聚融合等。 数据脱敏方式遵守JR/T0171一2020附录A的规定，脱敏后产生的数据，其安全级别通常低于脱敏前 的数据。汇聚融合是指对数据进行集中、清洗、转换、重组、关联分析、多方计算等处理的过程，相对 于汇聚融合前数据的安全级别，经过不同的数据汇聚融合处理手段所产生的数据，其安全级别可能上升， 也可能下降。 因数据脱敏或汇聚融合导致数据安全级别发生变化的示例，如表B.1所示

表B.1数据安全级别升降示例

重要数据是指我国政府、企业、个人在境内收集、产生的不涉及国家秘密，但与国家安全、经济 发展以及公共利益密切相关的数据（包括原始数据和衍生数据），一且未经授权披露、去失、滥用、 墓改或销毁，或汇聚、整合、分析后，可能造成以下后果： 危害国家安全、国防利益DB34／T 2748.3-2017 高速公路沥青路面养护指南 第3部分：养护工程后评价，破坏国际关系。 损害国家财产、社会公共利益和个人合法利益。 影响国家预防和打击经济与军事间谋、政治渗透、有组织犯罪等。 影响行政机关依法调查处理违法、渎职或涉嫌违法、渎职行为。 干扰政府部门依法开展监督、管理、检查、审计等行政活动，妨碍政府部门履行职责。 危害国家关键基础设施、关键信息基础设施、政府系统信息系统安全。 一影响或危害国家经济秩序和金融安全。 可分析出国家秘密或敏感信息。 影响或危害国家政治、国土、军事、经济、文化、社会、科技、信息、生态、资源、核设施 等其他国家安全事项。 重要数据可包括宏观特征数据、海量信息汇聚得到的衍生特征数据、行业监管机构决策和执法过 程中的数据，以及关键信息基础设施网络安全缺陷信息等，如： 一宏观特征：可反映不可更改或长时间保持稳定的经济特征、社会特征的数据。 海量信息汇聚得到的衍生特征数据：汇聚后覆盖多省份的金融消费者真实交易信息。 行业监管机构决策和执法过程中的数据：行政机关、执法机关在履职或执法过程中收集和产 生的不涉及国家秘密且未公开的受控数据。 关键信息基础设施网络安全缺陷信息：网络设备、服务器、信息系统等有关漏洞信息。 重要数据一般不包括企业生产经营和内部管理信息、个人信息等

JR/T 01972020