安全框架

金融数据生命周期是指金融业机构在开展业务和进行经营管理的过程中，对金融数据进行采集、 传输、存储、使用、删除、销毁的整个过程。数据生命周期安全框架,遵循数据安全原则，以 数据安全分级为基础，建立覆盖数据生命周期全过程的安全防护体系，并通过建立健全数据安全组织 架构和明确信息系统运维环节中的数据安全需求，全面加强金融业机构数据安全保护能力。

    数据生命周期安全防护要求是数据生命周期安全框架的核心，针对不同安全级别的数据，明确其 在采集、传输、存储、使用、删除以及销毁等数据生命周期各个环节的安全防护要求，是金融业机构 开展数据安全防护工作的基本依据。结合金融数据业务规则及金融数据特点，建立覆盖金融数据生命 周期全过程的安全防护机制，是金融业机构数据安全防护工作的重中之重，也是确保金融数据安全的 必经之路。

    数据安全组织保障、信息系统运维保障也是数据生命周期安全框架必不可少的组成部分，共同构 成确保数据生命周期安全防护机制能够有效落实和严格执行的基石。数据安全组织保障确保数据安全 工作具有包括决策层、管理层、执行层以及监督层的完善管理体系，为数据安全相关工作的组织和落 实奠定基础。在金融业机构日常运营过程中，信息系统运维过程的数据安全防控工作也不容忽视，加 强在边界管控、访问控制、安全监测、安全审计、检查评估、应急响应与事件处置等过程中的数据安 全风险防控能力，可有力保障数据安全防护机制的有效执行和数据安全问题的及时发现与应对。

分级保护

     金融数据安全级别按照JR/T 0197—2020相关要求，根据安全性遭到破坏后的影响范围和影响程 度，将金融数据安全级别由高到低划分为5级、4级、3级、2级、1级。

     本文件所指金融数据安全，主要是指确保金融数据在其生命周期各阶段的安全性，通过采取相应 措施，将数据安全性遭受破坏可能带来的安全影响降至最低或降至可接受的范围内。其中，1级数据为 公开数据，原则上无保密性要求，其安全防护应参考本文件有关完整性及可用性安全要求；2级至4级 数据的安全防护应在平衡安全需求与业务需求的基础上，根据数据安全级别不同，有侧重地采取适当 的安全防护措施，2级数据应优先考虑业务需求，4级数据应优先考虑安全需求，5级数据的保护按照国 家及行业主管部门的有关要求执行

     证券行业数据安全分级和数据安全保护工作按照JR/T 0158—2018等证券行业相关要求执行，云环 境的数据安全应符合国家和行业主管部门的相关要求。金融业机构境外分、子公司和分支机构在境外 开展业务过程中采集、产生的数据，其安全定级及数据保护工作应按照数据跨境相关要求执行。

数据安全原则

为防范和抵御金融数据安全风险，金融业机构在开展业务及日常经营管理过程中，遵循以下数据 安全基本要求：

a) 合法正当原则：应确保金融数据全生命周期各环节数据活动的合法性和正当性。

b) 目的明确原则：应制定金融数据安全防护策略，明确金融数据生命周期各环节的安全防护目 标和要求。

c) 选择同意原则：应向个人金融信息主体明示数据采集和处理的目的、方式、范围、规则等， 制定完善的隐私政策，在进行数据采集和处理前征得其授权同意。

d) 最小够用原则：金融业机构应仅处理个人金融信息主体授权同意的金融数据，且处理的金融 数据为业务所必需的最小金融数据类型和数量。

e) 全程可控原则：应采取与金融数据安全级别相匹配的安全管控机制和技术措施，确保金融数 据在全生命周期各环节的保密性、完整性和可用性，避免数据在全生命周期内被未授权访问、 破坏、篡改、泄漏或丢失等。

f) 动态控制原则：金融数据的安全控制策略和安全防护措施不应是一次性和静态的，应可基于 业务需求、安全环境属性、系统用户行为等因素实施实时和动态调整。

g) 权责一致原则：应明确本机构数据安全防护工作相关部门及其职责，有关部门及人员应积极 落实相关措施，履行数据安全防护职责。

数据安全组织保障

   金融业机构应设立数据安全管理委员会，建立自上而下的覆盖决策、管理、执行、监督四个层面 的数据安全管理体系（见图2），明确组织架构和岗位设置，保障数据生命周期安全防护要求的有效落 实，要求如下

安全监测

1. 数据溯源

     金融业机构宜具备数据溯源能力，对数据生命周期过程中数据的采集、查询、修改、删除、共享 等相关操作进行跟踪，通过留存金融数据流动记录等方式，确保金融数据相关操作行为可追溯。数据 溯源安全要求如下：

   a) 应制定金融数据溯源的策略和机制，明确溯源数据的安全存储、分析使用等管理制度。

   b) 应标识外部数据的来源合法性，并对外部数据的真实性和准确性等数据质量进行评估。

   c) 宜建立金融数据资产地图，从数据类型、数据量级、数据特征等维度对金融数据进行盘点和 梳理，按需对特定数据对象进行标记和跟踪，构建和维护数据血缘关系。

   d) 应记录数据操作过程及关键数据要素，在出现数据泄露事件后可根据泄露的数据进行溯源。e) 宜构建数据溯源的安全模型，增强数据操作的可追溯性。

   f) 应对关键溯源数据进行备份，并采取技术手段对溯源数据和备份数据进行安全保护。

   g) 应采取访问控制、加密等技术措施保证溯源数据的安全性。

   h) 应以泄露数据为线索，建立对高安全等级数据事件记录进行检索溯源的机制，支持对接口、 IP、账号、时间进行溯源集中度分析，定位追踪到相关责任人。

   i) 应建立以批量泄露数据、多类型数据作为线索进行溯源的能力，加强基于数据线索的数据溯 源分析能力，加强数据溯源的时效性和准确率。

   j) 宜建立主体溯源分析能力，对涉及高安全等级数据的疑似泄露事件进行影响范围评估，做好 同范围内尚未泄露的数据安全保护工作

1. 流量分析

1. 异常行为监测

1. 态势感知

安全审计

   金融业机构应记录数据操作行为日志，并针对日志进行审计分析，识别并告警可疑行为，审计方 式包括但不限于内部审计、外部审计等，具体审计内容安全要求如下：

a) 应制定日志数据管理与安全审计规范，明确日志的存储、分析、检查等要求。

b) 安全审计范围应覆盖至每个有权使用数据的用户，包括但不限于数据库管理员、数据库用户、 操作系统管理员、操作系统用户、存储介质管理员、业务管理员、业务使用者、存储介质用 户等。

c) 日志记录内容应包括时间、用户、IP 地址、操作对象、操作内容、操作行为和操作结果等相 关信息。

d) 日志内容中不应出现 4 级及以上数据。

e) 包含 3 级数据的日志，对其访问应进行访问控制。

f) 宜搭建数据安全审计系统，对日志进行统一管理和处理，建立并执行审计策略，提供对审计 记录进行统计、查询、分析及生成审计报表的功能，形成审计报告反馈相关部门。

g) 应对日志进行备份，避免受到非预期的删除、修改或覆盖等。

h) 应安排专人定期查看日志，对事件日志、告警事件进行分析和处置，并对发现的安全事件和 可疑问题进行相应的处置和响应。

i) 应对数据生命周期全过程进行日志记录并开展以数据为中心的安全审计。

j) 应定期对 3 级及以上数据生命周期全过程进行内部审计。

k) 审计记录应至少包括时间的日期和时间、事件类型、主体身份、事件内容、事件结果等。

l) 应对审计记录进行安全保护，防止未授权的访问和输出。

m) 应具备审计记录分权管理能力，可针对不同的角色和组设置审计范围，各组无法看到自己管 理的审计范围以外的数据，保证审计数据的安全。

n) 日志和审计记录的留存时间应不少于 6 个月。