搜索结果: JR/T 0197-2020, JR/T0197-2020, JRT 0197-2020, JRT0197-2020
| 标准编号 | JR/T 0197-2020 (JR/T0197-2020) | | 中文名称 | 金融数据安全 数据安全分级指南 | | 英文名称 | Financial data security -- Guidelines for data security classification | | 行业 | 金融行业标准 (推荐) | | 中标分类 | A11 | | 字数估计 | 54,545 | | 发布日期 | 2020-09-23 | | 实施日期 | 2020-09-23 | | 标准依据 | 行业标准备案月报2020年第9号(总第245号) | | 发布机构 | 中国人民银行 | JR/T 0197-2020: 金融数据安全 数据安全分级指南
JR/T 0197-2020 英文名称: Financial data security -- Guidelines for data security classification
1 范围
本标准给出了金融数据安全分级的目标、原则和范围，以及数据安全定级的要素、规则和定级过程。
本标准适用于金融业机构开展电子数据安全分级工作，并为第三方评估机构等单位开展数据安全检查与评估工作提供参考。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。
凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T 4754-2017 国民经济行业分类
GB/T 5271.1-2000 信息技术 词汇 第1部分：基本术语
GB/T 25069-2010 信息安全技术 术语
GB/Z 28828-2012 信息安全技术 公共及商用服务信息系统个人信息保护指南
GB/T 35273-2020 信息安全技术 个人信息安全规范
JR/T 0158-2018 证券期货业数据分类分级指引
JR/T 0171-2020 个人金融信息保护技术规范
3 术语和定义
GB/T 25069-2010、GB/T 35273-2017界定的以及下列术语和定义适用于本文件。
3.1
信息
关于客体（如事实、事件、事物、过程或思想，包括概念）的知识，在一定的场合中具有特定的意义。
3.2
数据 data
信息的可再解释的形式化表示，以适用于通信、解释或处理。
注：可以通过人工或自动手段处理。
3.3
隐私
个人所具有的控制或影响与之相关信息的权限，涉及由谁收集和存储、由谁披露。
3.4
信息处理
对信息操作的系统执行，包括数据处理，也可包括诸如数据通信和办公自动化之类的操作。
注：术语“信息处理”不能用为“数据处理”的同义词。
3.5
数据处理
数据操作的系统执行。
示例：数据的数学运算或逻辑运算，数据的归并或分类，程序的汇编或编译，或文本的操作，诸如编辑、分类、归并、存储、检索、显示或打印。
注1：术语“数据处理”不能用为“信息处理”的同义词。
注2：改写 GB/T 5271.1-2000，定义 2.01.01.06
3.6
保密性
使信息不泄露给未授权的个人、实体、进程，或不被其利用的特性。
3.7
完整性
保卫资产准确和完整的特性。
注：改写GB/T 25069-2010，定义2.1.42。
3.8
可用性
已授权实体一旦需要就可访问和使用的数据和资源的特性。
3.9
安全级别
有关敏感信息访问的级别划分，以此级别加之安全范畴能更精细地控制对数据的访问。
3.10
金融数据
金融业机构开展金融业务、提供金融服务以及日常经营管理所需或产生的各类数据。
注：该类数据可用传统数据处理技术或大数据处理技术进行组织、存储、计算、分析和管理。
3.11
个人金融信息
金融业机构通过提供金融产品和服务或者其他渠道获取、加工和保存的个人信息。
注1：个人金融信息包括账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息及其他反映特定个人某些情况的信息。
3.12
个人金融信息主体
个人金融信息所标识的自然人。
注：改写GB/T 35273-2020，定义3.3。
3.13
影响
事件的后果。在信息安全中，一般指不测事件的后果。
4 目标、原则和范围
4.1 数据安全定级目标
数据安全定级旨在对数据资产进行全面梳理并确立适当的数据安全分级，是金融业机构实施有效数据分级管理的必要前提和基础。数据分级管理是建立统一、完善的数据生命周期安全保护框架的基础工作，能够为金融业机构制定有针对性的数据安全管控措施提供支撑。金融业包括货币金融服务、资本市场服务、保险业等，参见GB/T 4754-2017。本标准所述“金融业机构”是指从事上述金融业的相关机构。
4.2 数据安全定级原则
数据安全定级遵循以下原则：
a) 合法合规性原则：满足国家法律法规及行业主管部门有关规定。
b) 可执行性原则：数据定级规则避免过于复杂，以确保数据定级工作的可行性。
c) 时效性原则：数据安全级别具有一定的有效期限，金融业机构宜按照级别变更策略对数据级别进行及时调整。
d) 自主性原则：结合金融业机构自身数据管理需要（如战略需要、业务需要、风险接受程度等），在本标准的框架下自主确定数据安全级别。
e) 差异性原则：根据本机构数据的类型、敏感程度等差异，划分不同的数据安全层级，并将数据分散至不同的级别中，不宜将所有数据集中划分到其中若干个级别中。
f) 客观性原则：数据定级规则是客观且可校验的，即通过数据自身的属性和定级规则即可判定其级别，并且数据的定级是可复核和检查的。
4.3 数据安全定级范围
金融数据安全定级过程中，未经电子化的金融数据，依据档案文件等有关管理规范执行；涉及国家秘密的金融数据，依据国家有关法律法规执行，不在本标准规定的范围之内。证券行业数据安全分级工作可参照JR/T 0158-2018执行。其中，安全定级工作所涉及的金融数据包括但不限于：
--提供金融产品或服务过程中直接（或间接）采集的数据，包括通过柜面以纸质协议签署或收
集，并经信息处理后在计算机系统中流转或保存的数据，以及通过信息系统签约或收集的电
子信息。
--金融业机构信息系统内生成和存储的数据，包括业务数据、经营管理数据等，其中：
• 业务数据指金融业机构在提供金融产品或服务过程中产生的数据，如交易信息、统计数据
等。
• 经营管理数据指金融业机构在履行职能与经营管理过程中采集、产生的数据，如营销服务
数据、运营数据、风险管理数据、技术管理数据（如程序代码、系统以及网络等）、统计
分析数据、综合管理数据等。
--金融业机构内部办公网络与办公设备（终端）中产生、交换、归档的电子数据，如机构内部
日常事务处理信息、政策法规与部门规章、业务终端临时存储的业务或经营管理数据、电子
邮件信息等。
--金融业机构原纸质文件经过扫描或其他电子化手段形成的电子数据。
--其他宜进行分级的金融数据。
5 数据安全定级
5.1 定级要素
5.1.1 概述
安全性（保密性、完整性、可用性）是信息安全风险评估中的重要参考属性。数据安全性遭到破坏后可能造成的影响（如可能造成的危害、损失或潜在风险等），是确定数据安全级别的重要判断依据，主要考虑影响对象与影响程度两个要素。
5.1.2 影响对象
影响对象指金融业机构数据安全性遭受破坏后受到影响的对象，包括国家安全、公众权益、个人隐私、企业合法权益等。影响对象的确定主要考虑以下内容：
--影响对象为国家安全的情况，一般指数据的安全性遭到破坏后，可能对国家政权稳固、领土
主权、民族团结、社会和金融市场稳定等造成影响。
--影响对象为公众权益的情况，一般指数据的安全性遭到破坏后，可能对生产经营、教学科研、
医疗卫生、公共交通等社会秩序和公众的政治权利、人身自由、经济权益等造成影响。
--影响对象为个人隐私的情况，一般指数据的安全性遭到破坏后，可能对个人金融信息主体的
个人信息、私人活动和私有领域等造成影响。
--影响对象为企业合法权益的情况，一般指数据的安全性遭到破坏后，可能对某企业或其他组
织（可能是金融业机构，也可能是其他行业机构）的生产运营、声誉形象、公信力等造成影
响。
5.1.3 影响程度
影响程度指金融业机构数据安全性遭到破坏后所产生影响的大小，从高到低划分为严重损害、一般损害、轻微损害和无损害，相关说明如表1所示，可作为影响程度判定的参考。影响程度的确定宜综合考虑数据类型、数据特征与数据规模等因素，并结合金融业务属性确定数据安全性遭到破坏后的影响程度，例如：
--数据安全性遭到破坏后，客户的个人自然信息产生的影响程度通常要高于单位基本信息。
--数据安全性遭到破坏后，身份鉴别信息产生的影响程度通常要高于个人基本概况信息。
--交易信息中对实时性要求较高的数据，其安全性遭到破坏产生的影响程度通常要高于实时性
要求较低的数据等。
5.2 要素识别
5.2.1 安全影响评估
安全影响评估宜综合考虑数据类型、数据内容、数据规模、数据来源、机构职能和业务特点等因素，对数据安全性（保密性、完整性、可用性）遭受破坏后所造成的影响进行评估。评估过程中，根据实际情况识别各项安全性在影响评定中的优先级，分别进行保密性、完整性及可用性评估，并综合考虑保密性、完整性及可用性的评估结果，形成最终安全影响评估。
--保密性评估：通过评价数据遭受未经授权的披露所造成的影响，以及机构继续使用这些数据可
能产生的影响，进行数据保密性评估。评估的内容包括但不限于：
• 数据未经授权的披露，可能对国家安全、公众权益、个人隐私及企业合法权益造成的损害，
以及损害的严重程度。
• 数据被非授权对象获取或利用，可能对国家安全、公众权益、个人隐私及企业合法权益造
成的损害，以及损害的严重程度。
• 数据被非授权对象利用进行窃密、篡改、销毁或拒绝服务等攻击，可能对国家安全、公众
权益、个人隐私及企业合法权益等造成的损害，以及损害的严重程度。
• 数据的未经授权披露或传播是否违反国家法律法规、行业主管部门有关规定或机构内部管
理规定。
--完整性评估：通过评价数据遭受未经授权的修改或损毁所造成的影响，以及机构继续使用这些
数据可能产生的影响，进行数据完整性评估。评估的内容包括但不限于：
• 数据未经授权修改或损毁，可能对国家安全、公众权益、个人隐私及企业合法权益造成的
损害，以及损害的严重程度。
• 数据未经授权修改或损毁，可能对其他组织或个人造成的损害，以及损害的严重程度。
• 数据未经授权修改或损毁，可能对机构职能、公信力造成的损害，以及损害的严重程度。
• 数据未经授权修改或损毁是否违反国家法律法规、行业主管部门有关规定或机构内部管理
规定。
--可用性评估：通过评价数据及其经组合/融合后形成的各类数据出现访问或使用中断所造成的
影响，以及机构无法正常使用这些数据可能产生的影响，进行数据可用性评估。评估的内容包
括但不限于：
• 数据的访问或使用中断，可能对国家安全、公众权益、个人隐私及企业合法权益造成的......
|