中国国际商会：国际商会金融科技合作指南_23页_1mb

国际商会金融科技合作指南总结

目的和范围

本指南旨在为贸易金融行业的数字化转型提供一套通用标准，以促进金融机构与金融科技公司之间的合作。随着技术的发展，贸易金融行业正经历数字化浪潮，越来越多的参与者通过使用分布式记账技术（DLT）、机器学习、人工智能、API等技术手段来优化流程。然而，由于各方采用不同的标准，导致第三方难以迅速商业化。因此，本指南汇总了行业普遍考虑的事项，以提高合作的效率和安全性。

核心内容

1. 信息安全（Infosec）标准

• 数据分类：根据信息类型进行分类，如公开、内部、受限等，并限制数据访问。
• 数据托管：确保数据在第三方基础设施上的安全，包括物理安全边界、数据传输控制和监管要求。
• 数据管理：制定数据丢失防护（DLP）、补丁管理、数据保留和删除政策。
• 网络安全：包括备份级别、渗透测试、预防/检测/恢复控制、定期审查、异地灾难恢复等。
• 应用程序安全：管理开发过程、用户测试、认证/识别机制，确保数据输入/输出完整性。
• 恶意软件识别与修复：部署本地或云端反恶意软件程序，确保漏洞快速修复。
• 入侵防御：使用文件完整性工具和网络入侵检测系统（IDS）来防止恶意软件运行。
• 访问控制：实施基于角色（RBAC）和基于属性（ABAC）的访问控制，记录用户操作并限制对关键系统的访问。
• 监管合规：确保可审计性，遵守GDPR、FATCA等数据隐私法规，与监管机构沟通，披露分包安排，确保数据合规。

2. 商业标准

• 风险管理：包括反洗钱（AML）、反贿赂、欺诈防范等，需制定明确的商业政策。
• 业务连续性：制定并维护业务连续性计划（BCP），确保服务中断时的恢复能力。
• 责任与义务：明确双方在违约、数据丢失、知识产权等方面的责任。
• 保险：确保服务提供商有适当的保险单，涵盖专业赔偿、公共责任、数据保护等。
• 数据共享原则：数据共享需客户同意，数据只能用于指定目的，确保数据隐私和合规。
• 全球监管环境：考虑GDPR、FATCA等国际和国家法规，明确合同执行地和法律适用。
• 品牌/标识使用：根据合同关系，决定是否使用白标、联合品牌等。
• 成本与收入分配：明确银行与金融科技公司之间的成本和收入分配机制。

3. 技术标准

• 技术支持与维护：提供清晰的事件状态、支持管理、升级支持、作业调度工具、依赖性管理、日志记录、监控工具等。
• 软件部署：明确部署责任，支持不同部署模式（非颠覆性、颠覆性、A/B测试等）。
• 基础设施：展示所用基础设施的概貌，包括云服务类型（IaaS、PaaS、SaaS）和数据中心标准。
• 架构适用性：支持模块化、分层架构、事件驱动架构（EDA）、面向服务架构（SOA）等，确保系统兼容性和可扩展性。
• 技术堆栈：提供操作系统、中间件、数据库、存储、集成技术等的详细信息，确保技术兼容性和安全性。
• 安全与访问控制：支持RBAC和ABAC，实施用户验证、单点登录、端到端加密、消息签署等。
• 认证与审计：确保系统符合行业标准（如ISO、EALx），支持安全评估和独立审计。

关键信息

• 本指南涵盖信息安全、商业、技术三大领域的标准，旨在促进贸易金融生态体系内的合作。
• 标准是动态的，会随着技术发展和监管变化而更新。
• 金融科技公司需提供完整的数据分类、访问控制、数据管理、网络安全、保险、合规等信息。
• 银行与金融科技公司需就数据共享、品牌使用、成本分配等达成一致。
• 技术标准需考虑系统的可扩展性、兼容性、安全性及对法规变化的适应性。

附件与术语表

• 附件1详细说明了数据加工商应提供的信息，包括数据处理系统、数据删除方式、保留期限、数据主体权力、数据违约处理流程等。
• 术语表列出了关键术语及其含义，如ABAC、RBAC、GDPR、ISO 20022、SWIFT MT等。

总结

本指南为贸易金融行业的数字化合作提供了全面的框架，涵盖信息安全、商业和技术创新三大方面。其目标是通过标准化和透明化，提高合作效率，降低风险，并确保符合国际和国家法规。金融科技公司需提供详细的解决方案说明、部署策略、数据管理、安全措施及合规信息，以满足银行和企业的需求。