【练石网络】2024图解国家金融监督管理总局《银行保险机构数据安全管理办法》（公开征求意见稿）_200页_30mb

图解 国家金融监督管理总局与《银行保险机构数据安全管理办法》总结

核心内容概述

《银行保险机构数据安全管理办法（征）》是国家金融监督管理总局于2024年3月发布的首部数据安全管理方面的部门规章立法。该办法旨在规范银行业和保险业的数据处理活动，保障数据安全、金融安全，促进数据合理开发利用，保护个人与组织的合法权益，维护国家安全和社会公共利益。

主要观点与关键信息

1. 立法背景与目的

• 背景：随着金融行业数字化加速，新技术、新业务模式不断涌现，数据处理活动日益频繁，对数据安全提出了更高要求。
• 目的：落实《数据安全法》《个人信息保护法》等上位法要求，强化监管，提升数据安全合规水平。

2. 监管体系与职责

• 监管主体：国家金融监督管理总局及其派出机构负责对银行保险机构的数据安全保护情况进行监督管理。
• 监管方式：包括非现场监管、现场检查、依法处置数据安全事件等。
• 监管责任：明确党委（党组）、董（理）事会对数据安全工作负主体责任，主要负责人为第一责任人，分管领导为直接责任人。

3. 数据安全治理架构

• 建立数据安全责任制，指定归口管理部门作为数据安全工作的主责部门。
• 明确各部门职责，包括业务部门、风险合规与审计部门、信息科技部门等，确保数据安全管理职责落实到位。

4. 数据分类分级制度

• 数据分为核心数据、重要数据、一般数据（含敏感数据和其他一般数据）。
• 数据分类分级需根据其重要性和敏感程度进行，建立数据目录并动态管理。
• 对不同级别的数据采取差异化的安全保护措施。

5. 数据安全管理

• 建立数据安全管理制度，根据发展战略制定数据安全策略。
• 数据处理活动需进行数据安全评估，分析风险和对数据主体权益的影响。
• 数据收集、使用、共享、转移、删除、销毁等环节均有明确的安全管理要求。

6. 数据安全技术保护

• 建立数据安全技术体系，涵盖大数据、云计算、移动互联网、物联网等多元异构环境下的安全措施。
• 明确数据安全保护基线，包括信息系统保护、数据传输保护、数据存储保护、数据销毁管理等。
• 实施安全控制措施，如内容过滤、访问控制、安全监控等。

7. 个人信息保护

• 处理个人信息应遵循“明确告知、授权同意”原则，保障个人知情权。
• 信息收集应限于最小范围，不得过度收集。
• 信息共享和对外提供需取得个人同意，跨境传输需进行安全评估。
• 信息处理过程中应保障数据透明度与公平性，对自动化决策需进行解释和披露。

8. 数据安全风险监测与处置

• 数据安全风险纳入全面风险管理体系，明确监测、评估、应急响应与处置流程。
• 对数据安全事件进行分级管理，分为特别重大、重大、较大和一般四个级别。
• 建立数据安全事件应急预案、应急处置机制及报告机制，确保及时响应与处置。

9. 监督管理与法律责任

• 监管机构对数据安全情况进行监督、检查与评估，对违规行为依法进行处罚。
• 违法行为包括但不限于违规处理数据、未履行安全义务、未进行安全评估等。
• 处罚包括风险提示、监管谈话、责令改正、罚款、停业整顿、吊销许可证等，严重者将追究刑事责任。

10. 数据目录管理与行业监测预警

• 建立银行业保险业重要数据目录，定期更新并报备。
• 实施数据安全监测预警、通报处置机制，与国家数据安全管理部门建立联防联控机制。
• 发生重大数据安全事件或案件，需及时报告并采取相应处置措施。

总结构与关键定义

第一章 总则

• 明确立法目的、适用范围、术语定义、保护原则与目标。

第二章 数据安全治理

• 建立数据安全治理架构，明确数据安全管理责任。

第三章 数据分类分级

• 制定数据分类分级保护制度，建立数据目录和分类分级规范。

第四章 数据安全管理

• 建立数据安全管理制度，进行数据安全评估与风险控制。

第五章 数据安全技术保护

• 明确技术保护措施，包括数据传输、存储、销毁等环节的安全要求。

第六章 个人信息保护

• 规范个人信息处理行为，保障数据透明度与个人权利。

第七章 数据安全风险监测与处置

• 建立风险监测机制，实施应急预案与事件处置流程。

第八章 监督管理

• 明确监管职责，实施非现场监管、现场检查与处罚机制。

第九章 附则

• 包括解释和修订、参照执行、生效日期等内容。

关键定义

• 数据：以电子或其他方式记录的信息。
• 个人信息：与已识别或可识别自然人相关的信息，不包括匿名化后的信息。
• 数据主体：数据所标识的自然人、企业、组织等。
• 数据处理：包括收集、存储、使用、加工、传输、提供、共享、转移、公开、删除、销毁等。
• 大数据平台：用于处理海量数据的基础设施，如数据湖、数据仓库等。
• 数据安全：通过必要措施确保数据处理活动和应用场景的安全与合法。

数据安全保护机制

1. 数据安全保护基线

• 建立数据安全保护基线，包括信息系统保护、数据访问控制、数据传输保护、数据存储保护、数据销毁管理等。

2. 数据安全事件应急管理

• 建立数据安全事件应急管理机制，包括应急预案、应急处置、报告机制、调查评估等。

3. 数据安全技术体系

• 建立覆盖多元异构环境的数据安全技术保护体系，确保数据安全措施与信息系统同步规划、同步建设、同步使用。

4. 数据安全基础设施

• 开展数据安全技术基础设施建设，包括用户身份管理、数据匿名化、行为监测、日志审计、数据虚拟化等功能。

适用范围与交叉监管

• 适用机构：包括各类银行、保险及金融相关公司，如开发性金融机构、商业银行、保险公司等。
• 交叉监管：涉及重要数据安全事件的处理，可能面临来自中国人民银行和金监局的交叉监管要求。

总结

《银行保险机构数据安全管理办法（征）》为金融行业数据安全管理提供了全面、系统的指引，涵盖数据分类分级、安全治理、技术保护、个人信息保护、风险监测与处置、监督管理等多方面。该办法不仅强化了监管责任，还推动了金融机构在数据安全方面的合规建设，保障了数据的合法、安全与有效利用。