附1：深度解读：《金融数据安全 数据安全分级指南》——数据分类的艺术专栏系列

---

相关专栏：数据分类的艺术

---

《金融数据安全 数据安全分级指南》由中国人民银行提出、全国金融标准化技术委员会归口的标准，对金融行业数据安全管理具有重要指导意义。

文件地址：《金融数据安全 数据安全分级指南》

---

一、文件背景与意义

1.1 文件背景

随着信息技术的发展，众多金融基础业务、核心流程和行业间往来等事务已在信息化支撑载体上运行。金融机构在生产运行过程中产生的信息逐步以不同形式转化为数字资产，传输于信息网络之间，存储在信息系统之中。在大数据、人工智能、云计算等新技术深入应用的背景下，数据已从信息化资产转变为生产要素，其重要性日益凸显。

同时，金融业机构数据泄露等安全威胁的影响也逐步从机构内转移扩大至行业间，甚至影响国家安全、社会秩序、公众利益与金融市场稳定。因此，建立数据分级管理体系，明确数据保护对象，合理分配保护资源和成本，显得尤为必要。

1.2 文件意义

该标准的意义主要体现在以下几个方面：

1. 明确分类分级框架：为金融业机构开展数据安全分级工作提供了统一标准和技术指南

2. 优化资源分配：帮助机构合理分配数据保护资源和成本，实现"有的放矢"的安全管理

3. 促进合规与行业协同：落实国家及行业主管部门关于数据安全的监管要求，促进数据在机构间、行业间的安全共享

4. 提升风险管理能力：帮助金融机构建立完善的生命周期数据保护框架，提高数据管理和安全防护水平

---

二、文件结构与核心内容

2.1 文件结构概述

该标准主要包含以下几个部分：

• 前言和引言：阐述标准制定背景和意义
• 正文部分：包含范围、规范性引用文件、术语和定义、目标原则和范围、数据安全定级、重要数据识别等内容
• 附录：包含数据安全级别变化事宜、数据定级规则参考表和重要数据定义等

2.2 核心内容解析

2.2.1 范围与适用对象

该标准规定了金融数据安全分级的目标、原则和范围，以及数据安全定级的要素、规则和定级过程。适用于金融业机构开展电子数据安全分级工作，并为第三方安全评估机构提供参考。

适用范围包括：

• 金融业机构（银行业、资本市场服务、保险业等）开展电子数据安全分级工作
• 为第三方评估机构提供参考

特别说明：该标准明确指出，涉及国家秘密的数据依据国家有关法律法规执行，不在本标准规定范围之内；金融业机构境外子公司在境外开展业务所产生的数据可参考当地法律法规进行管理。

2.2.2 数据安全定级目标与原则

定级目标：

• 建立统一、完善的数据生命周期安全保护框架
• 为金融业机构制定有针对性的数据安全管控措施提供支撑

定级原则：

1. 合法合规性原则：满足国家法律法规及行业主管部门有关规定
2. 可执行性原则：定级规则避免过于复杂，确保在实施过程中的可行性
3. 时效性原则：数据级别具有一定有效期限，需适时调整
4. 自主性原则：金融业机构可结合自身（或集团）需求自主确定数据级别
5. 差异性原则：根据数据类型、敏感程度等差异划分不同安全层级
6. 客观性原则：定级规则应客观且可验证

2.2.3 数据安全定级要素

该标准明确了两个关键的定级要素：影响对象和影响程度。

影响对象包括：

• 国家安全
• 公众权益
• 个人隐私
• 企业合法权益

影响程度从高到低分为：

• 非常严重：如可能导致危及国家安全的重大事件，严重危害社会秩序等
• 严重：如可能危害社会秩序和公共利益，引发区域性集体诉讼等
• 中等：如可能导致个别诉讼事件，使金融业机构经济利益轻微受损等
• 轻微：仅对企业合法权益和个人隐私等产生轻微影响

2.2.4 要素识别

评估影响因素:包括数据本身的特点(类型、内容、规模、来源等)以及机构自身的职能和业务特点。

评估数据安全的三个维度:

• 保密性:未经授权披露数据造成的影响,以及继续使用这些数据可能带来的影响。
• 完整性:数据被非法修改、损毁造成的影响,以及继续使用受损数据的影响。
• 可用性:数据访问中断造成的影响,以及无法正常使用数据对机构造成的影响。

2.2.5 数据安全级别划分

标准将金融数据安全级别从高到低划分为5级、4级、3级、2级、1级：

1. 5级数据：

   • 重要数据，通常用于关键业务
   • 影响国家安全或对公众权益造成非常严重的影响

2. 4级数据：

   • 用于重要业务
   • 个人金融信息中的C3类信息
   • 对公众权益造成严重影响，或对相关个人隐私及企业合法权益造成非常严重影响

3. 3级数据：

   • 用于关键或重要业务
   • 个人金融信息中的C2类信息
   • 对公众权益造成中等或轻微影响，或对个人隐私及企业合法权益造成严重影响

4. 2级数据：

   • 用于一般业务
   • 个人金融信息中的C1类信息
   • 对个人隐私造成中等或轻微影响，或对企业合法权益造成中等影响

5. 1级数据：

   • 可被公开或可被公众获知、使用的数据
   • 个人消费者在一定情况下主动公开的信息
   • 对企业合法权益造成一定影响，但不影响国家安全等

其中“C”类信息参考文件：
个人金融信息保护技术规范

---

三、定级方法与流程

3.1 定级流程

该文件详细规定了金融数据安全定级的工作流程，主要包括以下步骤：

1. 数据资产梳理：对数据进行盘点、梳理与分类，形成统一的数据资产清单

2. 数据安全分级准备：

   • 明确数据分级的颗粒度（如库、文件、表、字段等）
   • 识别数据安全定级关键要素

3. 数据安全级别判定：

   • 根据定级规则进行初步判定
   • 综合考虑数据规模、数据聚合、数据时效性等因素，调整形成定级结果

4. 数据安全级别审核：

   • 审核数据安全级别评定过程和结果
   • 必要时重复前面步骤，直至安全级别符合保护目标

5. 数据安全级别批准：

   • 定级工作领导组织对数据安全分级结果进行审议批准

3.2 级别变更机制

标准还规定了数据级别变更的触发条件，主要包括：

1. 数据内容发生变化，导致原有数据安全级别不适用
2. 数据内容未变化，但因时效性、规模、应用场景等发生变化，导致原定级别不再适用
3. 不同数据类型经汇聚融合形成新的数据类别
4. 因国家或行业主管部门要求等其它情形

---

四、重要数据识别

该标准在附录C中给出了重要数据的定义和内容范围，指出重要数据是指我国政府、企业、个人在境内收集、产生的不涉及国家秘密，但与国家安全、经济发展以及公共利益密切相关的数据。

4.1 重要数据的识别特征

重要数据一旦未经授权披露、丢失、滥用、篡改或销毁，可能导致：

• 危害国家安全、国防利益，破坏国际关系
• 损害国家财产、社会公共利益和个人合法利益
• 影响国家预防和打击经济与军事间谍、政治渗透、有组织犯罪等
• 影响行政机关依法履行职责
• 危害国家关键基础设施、关键信息基础设施安全
• 影响或危害国家经济秩序和金融安全
• 可分析出国家秘密或敏感信息

4.2 金融业重要数据范围

金融业重要数据通常包括但不限于：

• 金融机构持有的客户信息
• 银行业、保险业及证券期货业各金融机构经营过程中收集或产生的数据
• 金融业机构网络与信息系统规划建设、运行维护、安全保障等数据
• 中央银行、金融监管部门、外汇管理部门工作中产生的不涉及国家秘密的工作秘密等

---

五、数据安全分级的实施建议

基于对该标准的深入解读，建议金融机构在实施数据分级工作时关注以下几个方面：

5.1 组织保障

1. 建立领导机构：由数据安全管理委员会统筹组织数据分级工作
2. 明确部门职责：明确信息科技部门、业务部门及数据属主部门的职责
3. 建立协作机制：确保各部门在数据分级过程中的协同配合

5.2 制度保障

1. 建立数据分级制度：制定数据分级工作相关制度，明确目标、原则和范围
2. 制定定级细则：结合机构特点，细化定级规则和方法
3. 建立评审机制：建立分级结果的确定、评审、批准和发布机制
4. 建立定期评估机制：定期评估数据级别的有效性并及时更新

5.3 技术实施

1. 分级颗粒度选择：根据业务需求和数据特性，选择合适的分级颗粒度
2. 利用自动化工具：借助自动化工具提高数据分级效率和准确性
3. 建立数据分级标识机制：对不同级别的数据实施标识管理
4. 实施差异化保护措施：根据数据安全级别，实施相应的安全防护措施

---

六、行业实践建议

6.1 数据分类分级统一管理

建议金融机构建立统一的数据分类分级管理框架，将该标准与机构自身数据治理体系相结合，实现数据安全管理的标准化和规范化。

6.2 重要数据优先保护

对识别出的重要数据（5级数据）优先实施保护措施，包括：

• 实施更严格的访问控制
• 加强数据传输和存储加密
• 建立专门的监控和审计机制
• 制定应急响应预案

6.3 针对不同级别数据的差异化保护策略

根据不同级别数据的安全要求，实施差异化保护策略：

安全级别	保护措施建议
5级数据	最高级别保护，采取全面的技术和管理措施，限制最小必须知情范围
4级数据	高级别保护，实施严格的访问控制和使用审计
3级数据	中等级别保护，确保关键业务数据安全
2级数据	基本保护，实施必要的访问控制
1级数据	基础保护，确保数据完整性

6.4 持续优化与完善

1. 定期评估：定期评估数据安全级别的适用性，根据业务变化及时调整
2. 优化分级方法：根据实践经验持续优化分级方法和标准
3. 技术升级：随技术发展，持续升级数据安全保护技术和措施

---

七、技术实现关键点

从技术角度看，实施金融数据安全分级管理需要关注以下几个方面：

7.1 数据资产管理工具

推荐采用专业的数据资产管理工具，实现：

• 数据资产自动发现与登记
• 数据分类分级自动化标记
• 数据血缘关系追踪与分析
• 数据安全风险评估

7.2 数据分类分级技术实现

1. 元数据管理：建立统一的元数据管理平台，为数据分级提供基础
2. 数据标签技术：实施数据标签技术，为数据添加安全级别、保护要求等标识
3. 数据加密技术：根据级别选择不同强度的加密算法和密钥管理方案
4. 数据脱敏技术：针对不同级别数据采用不同程度的脱敏策略
5. 数据访问控制：实施基于角色和数据级别的细粒度访问控制

7.3 技术防护措施

根据不同级别数据实施差异化技术防护：

安全级别	技术防护措施
5级数据	全生命周期加密、访问多因子认证、专用存储区域、完整审计日志
4级数据	传输和存储加密、严格的访问控制、完整审计日志
3级数据	存储加密、基于角色的访问控制、关键操作审计
2级数据	基本访问控制、定期备份、基本审计
1级数据	基本完整性保护

---

八、总结与展望

8.1 标准实施价值

《金融数据安全 数据安全分级指南》的颁布是中国金融行业数据安全治理的重要里程碑，它为金融机构建立数据分类分级体系提供了统一标准，有助于：

1. 规范金融行业数据安全管理
2. 提高数据安全防护水平
3. 促进金融行业数据价值的挖掘与实现
4. 维护国家金融安全与稳定

8.2 发展趋势展望

1. 标准体系完善：未来会有更多配套标准出台，形成完整的金融数据安全标准体系
2. 技术与管理融合：数据安全技术与管理措施将更加紧密结合
3. 智能化发展：基于人工智能的数据分级和安全防护将成为趋势
4. 跨境数据保护：随着国际金融业务发展，跨境数据安全保护将面临新挑战

8.3 对金融机构的建议

1. 建立健全数据治理体系：将数据分级管理纳入整体数据治理框架
2. 分阶段实施：根据业务重要程度分阶段实施数据分级工作
3. 注重人员培训：加强数据安全意识培训，提高全员数据安全素养
4. 推动行业协作：积极参与行业数据安全标准制定和最佳实践分享

---

金融业数据安全分级规则参考表(示例)

表1：客户数据分类与安全级别

以下是ai根据文件生成的，不可直接使用！！！！！！

一级子类	二级子类	三级子类	四级子类	最低安全级别参考
客户	个人	个人自然信息	个人基本概况信息	3
客户	个人	个人自然信息	个人财产信息	3
客户	个人	个人自然信息	个人联系信息	3
客户	个人	个人自然信息	个人健康生理信息	4
客户	个人	个人自然信息	个人地理位置信息	3
客户	个人	个人自然信息	个人就学信息	2
客户	个人	个人自然信息	个人职业信息	2
客户	个人	个人自然信息	个人资质证书信息	2
客户	个人	个人自然信息	个人党政信息	2
客户	个人	个人身份鉴别信息	传统鉴别信息	4
客户	个人	个人身份鉴别信息	弱隐私生物特征信息	4
客户	个人	个人身份鉴别信息	强隐私生物特征信息	4
客户	个人	个人身份鉴别信息	鉴别辅助信息	3
客户	个人	个人资讯信息	个人征信信息	3
客户	个人	个人资讯信息	个人司法信息	2
客户	个人	个人关系信息	个人间关系信息	3
客户	个人	个人关系信息	公私间关系信息	2
客户	个人	个人行为信息	行为信息	2
客户	个人	个人标签信息	基础标签信息	3
客户	个人	个人标签信息	关系标签信息	3
客户	个人	个人标签信息	签约标签信息	2
客户	个人	个人标签信息	交易类标签信息	2
客户	个人	个人标签信息	行为标签信息	2
客户	个人	个人标签信息	营销服务标签信息	2
客户	个人	个人标签信息	风险标签信息	2
客户	个人	个人标签信息	价值标签信息	2
客户	单位	单位基本信息	单位基本概况	1
客户	单位	单位基本信息	股东信息	2
客户	单位	单位基本信息	管理层信息	3
客户	单位	单位基本信息	单位联系信息	2
客户	单位	单位基本信息	单位财务信息	2
客户	单位	单位身份鉴别信息	传统鉴别信息	4
客户	单位	单位资讯信息	企业征信信息	3
客户	单位	单位资讯信息	企业司法信息	2
客户	单位	单位资讯信息	企业税务信息	2
客户	单位	单位资讯信息	企业工商信息	1
客户	单位	单位关系信息	单位间关系信息	2
客户	单位	单位关系信息	公私间关系信息	2
客户	单位	单位行为信息	行为信息	2
客户	单位	单位标签信息	基础标签信息	2
客户	单位	单位标签信息	关系标签信息	2
客户	单位	单位标签信息	签约标签信息	2
客户	单位	单位标签信息	交易类标签信息	2
客户	单位	单位标签信息	行为标签信息	2
客户	单位	单位标签信息	营销服务标签信息	2
客户	单位	单位标签信息	风险标签信息	2
客户	单位	单位标签信息	价值标签信息	2

标签库

这部分继续参考文件弄吧