金管总局出台《银行保险机构数据安全管理办法》 行业迎来新变革

为规范银行保险机构数据处理活动，保障数据安全，促进数据合理开发利用，稳步提升金融服务数字化、智能化水平，保护个人和组织的合法权益，2024年3月22日金融监管总局制定并发布了《银行保险机构数据安全管理办法（征求意见稿）》（以下简称《办法》）。

《办法》要求银行保险机构按照“谁管业务、谁管业务数据、谁管数据安全”的原则，明确各业务领域的数据安全管理责任；制定数据分类分级保护制度，并采取差异化的安全保护措施。

《办法》共八十一条，包括总则、数据安全治理、数据分类分级、数据安全管理、数据安全技术保护、个人信息保护、数据安全风险监测与处置、监督管理及附则九个章节，从治理体系、管理制度、技术机制以及风险评估、监测与处置机制等方面进行了系统规范，《办法》的体系框架可如下图所示：

《办法》制定的背景

近年来，《数据安全法》《个人信息保护法》等上位法相继发布，对规范数据处理活动、个人信息保护等提出了明确要求。同时，金融行业数字化变革加速演进，新技术、新业务模式不断涌现，数据的使用、加工、传输、共享等活动日益频繁，进一步凸显数据安全保护的重要性。对此，有必要充分发挥监管的“指挥棒”作用，通过强化政策要求引导银行保险机构压实主体责任，完善内部制度，采取有效的措施加强数据管理和保护，确保客户信息和金融交易数据安全。

《办法》的核心内容

一是明确数据安全治理架构。要求银行保险机构建立数据安全责任制，指定归口管理部门负责本机构的数据安全工作，明确各业务领域的数据安全管理职责。

二是建立数据分类分级标准。要求银行保险机构制定数据分类分级保护制度，建立数据目录和分类分级规范，并采取差异化的安全保护措施。

三是强化数据安全管理。要求银行保险机构按照国家数据安全与发展政策要求，根据自身发展战略建立数据安全管理制度和数据处理管控机制。

四是健全数据安全技术保护体系。要求银行保险机构建立数据安全技术架构，明确数据保护策略方法，采取技术手段保障数据安全。

五是加强个人信息保护。要求银行保险机构按照“明确告知、授权同意”原则处理个人信息，收集个人信息应限于最小范围，不得过度收集。

六是完善数据安全风险监测与处置机制。要求银行保险机构将数据安全风险纳入全面风险管理体系，明确风险监测评估、应急响应报告、事件处置的管理流程。

七是明确监督管理职责。国家金融监督管理总局及派出机构对银行保险机构数据安全保护情况进行监督管理，依法对银行保险机构数据安全事件进行处置。

《办法》的主要特点

一是落实数据安全责任制。明确银行保险机构党委（党组）、董（理）事会对本单位数据安全工作负主体责任，机构主要负责人为数据安全第一责任人，分管数据安全的领导为直接责任人。

二是明确数据安全归口管理部门。要求银行保险机构指定数据安全归口管理部门，作为本机构负责数据安全工作的主责部门，承担制定数据安全管理制度标准、建立维护数据目录、推动数据分类分级保护、组织开展风险监测、预警及处置等职责。

三是将数据安全风险纳入全面风险管理体系。要求银行保险机构明确管理流程，主动评估风险，对数据安全风险进行有效监测，防止数据破坏、泄露、非法利用等安全事件发生。风险管理、内控合规和审计部门定期对数据安全开展审计、监督检查与评价。

四是强化数据安全评估。要求银行保险机构开展相关数据处理活动时，应事先开展安全评估。根据数据处理目的、性质和范围，分析数据安全风险和对数据主体权益影响，评估数据处理的必要性、合规性及防控措施的有效性。

五是建立数据安全保护基线。将数据纳入网络安全等级保护，对存放或传输敏感级及以上数据的机房、网络实施重点防护，在数据全生命周期内采取有效访问控制管理措施，采用安全有效的传输方式保障数据完整性、保密性、可用性。

《办法》规定的数据安全管理职责

《办法》要求银行保险机构按照国家数据安全与发展政策要求，根据自身发展战略，制定数据安全保护策略；根据数据处理目的、性质和范围，依照法律法规和伦理道德规范要求，对相关数据业务处理活动进行安全评估，分析数据安全风险和对数据主体权益影响，评估数据处理的必要性、合规性及防控措施的有效性；收集数据应坚持“合法、正当、必要、诚信”原则，明确数据收集和处理的目的、方式、范围、规则，保障收集过程的数据安全性、数据来源可追溯，不得超出数据主体同意的范围收集数据；在数据集团内部共享的过程中，应建立总行（公司）与其子公司数据安全隔离的“防火墙”，并对共享数据采取有效保护措施；《办法》还对数据加工、委托处理、共同处理、数据转移等具体的数据处理场景分别提出了相应安全管理要求。

《办法》解读

1.个人信息保护是数据安全管理的重中之重。

《办法》明确要求银行保险机构在处理个人信息时，应遵循“明确告知、授权同意”原则，收集个人信息应限于最小范围，不得过度收集。这一规定有助于保护客户隐私，防止个人信息被滥用和泄露，提升了银行保险机构的信任度和社会形象。

关于个人信息应限于最小范围，不得过度收集，而对于这个“过度”，法规没有给出明确指标，希望能在最终稿时，能把最小范围给出一个定义以及什么是“过度”标准给出一个条件。这样更有利于从业人员把握合规要求，也减少银行、保险等机构的自我解读，形成“灰色”地带。

2.《办法》第五十四至第六十三条，基本沿用了《个保法》相关规定，强调金融机构加强对用户个人信息保护。在个人信息保护方面加强告知同意原则、目的限制原则等工作原则和影响评估、对外提供、跨境提供、委托处理、自动化决策、个人信息风险报告等合规要求，并未实质性改变或加重银行保险机构的合规义务。

3.《办法》第六十三条为银行保险机构设定了“个人信息风险报告”的相关制度，要求机构在出现个人信息相关的风险事件时需要向金融监管总局报告。

4.整体而言，《办法》采取了“主体监管”的监管方式，对于金融监管总局管辖的所有类型金融机构，采取统一的监管标准。

随着金融行业数据安全保护相关标准要求不断完善和安全监管力度的不断强化，数据安全治理与保护工作任务日益艰巨。

爱加密作为国内知名的移动信息安全综合服务提供商，长期关注移动应用个人信息安全，可提供专业的移动应用个人信息安全检测、移动应用个人信息安全合规评估服务。

可帮助监管机构准确、有效地提供行政执法依据，加强个人信息安全监管能力，保护消费者个人隐私。

可为应用开发企业在应用发布前评估个人信息的安全性和合规性帮助，落实相应法规要求，从源头上降低被监管机构通报的风险。

爱加密个人信息安全检测平台采用人工智能自动化遍历工具，通过大量的应用数据训练，不断提升自动化遍历的覆盖能力，为个人信息安全生态保驾护航。与其传统手动测试相比，可以大幅提高测试效率和质量。

明确移动应用的基本信息、漏洞信息、收集和使用个人信息行为、通讯传输行为、软件和技术供应链情况、技术脆弱性、隐私政策规范性等问题，通过爱加密移动应用个人信息安全检测平台，进行多维度安全检测和合规检测，并出具专业的个人信息安全报告。对金融行业移动应用个人信息安全问题，进行有的放矢的安全性、合规性评估、整改。

未来，爱加密将持续进行技术创新、服务创新和业务创新，逐步提升产品技术实力、完善安全服务体系，为监管机构提供更加优质的技术支撑服务，为金融、政企、运营商、医疗、能源、交通等行业用户提供更加专业、贴心的安全服务。