将“双刃剑”变成“杀手锏” 监管严控金融数据安全

金融数据具有高价值和高敏感性，金融数据安全与国家安全和金融消费者权益密切相关。

近年来，银行业、保险业数字化变革加速演进，新技术、新业态不断涌现，数据合作共享日益频繁。与此同时，金融领域面临的数据安全风险形势复杂严峻，也给金融机构数据安全管理带来新的挑战。

为规范银行业、保险业数据处理活动，保障数据安全、金融安全，促进数据合理开发利用，维护社会公共利益和金融消费者合法权益，金融监管总局近日制定《银行保险机构数据安全管理办法》（以下简称“《办法》”）。

“数据资源已经成为经济发展的重要资源要素之一，金融机构需要面对如何平衡好大数据挖掘与个人信息保护。此次金融监管部门出台《办法》做出权威、细致的指引，为金融机构安全高效使用数据信息提供指引，在保障金融业规范健康发展方面具有深远意义。”光大银行金融市场部宏观研究员周茂华分析认为。

监管“指挥棒”及时出手

据悉，《办法》共9章81条，包括数据安全治理、数据分类分级、数据安全管理、数据安全技术保护、个人信息保护、数据安全风险监测与处置、监督管理等。主要内容包括：一是强化数据治理顶层设计，二是落实分类分级管理要求，三是强化数据安全管理体系，四是加强个人信息保护，五是完善风险监测处置机制。

一直以来，数据安全都是监管关注的重点。记者注意到，在2024年的监管罚单中，多家银行便因数据治理违反审慎经营规则被处罚，包括数据治理存在缺陷、数据治理不到位等情况。

数据是把“双刃剑”。一方面，数据的深度挖掘可以更好地推动金融业务发展；另一方面，数据泄露、滥用等将严重损害个人隐私安全、破坏市场秩序，甚至威胁整个金融体系的安全。

在数字时代，将“双刃剑”变成“杀手锏”，需要加强顶层设计。金融监管总局有关司局负责人在回答记者提问时表示，有必要充分发挥监管的“指挥棒”作用，通过强化政策要求引导银行保险机构压实主体责任，完善内部机制，采取有效的管理和技术措施加强数据安全保护，确保客户信息和金融交易数据的安全。

强化“个人信息保护”

据了解，《办法》单独设置“个人信息保护”章节，以进一步落实《数据安全法》《个人信息保护法》等上位法要求，体现保护消费者信息和权益的政策导向。主要规定包括：银行保险机构处理个人信息应按照“明确告知、授权同意”的原则实施，并限于实现金融业务处理目的的最小范围，不得过度收集个人信息。处理、共享和对外提供个人信息时，应当履行必要的告知义务，并取得必要同意。不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务，处理个人信息属于提供产品或者服务所必需的除外。在开展涉及对个人权益有重大影响的个人信息处理活动时，应当进行个人信息保护影响评估。委托第三方处理个人信息时，应明确受托人对个人信息的保护义务、保护措施和期限等。发生或者可能发生个人信息泄露、篡改、丢失的，银行保险机构应当立即采取补救措施，并向监管部门报告。

“从一些案例看，目前部分机构在数据收集、传输、查询及使用等环节管理不够规范，部分机构在与第三方机构合作方面存在信息数据使用不规范、个人信息保护不到位以及个人信息安全保护技术有待提升等问题。”周茂华表示。

邮储银行研究员娄飞鹏在接受本报记者采访时表示：“随着数字技术快速发展，数据成为重要的生产要素，银行保险机构需要充分利用数据做好金融服务，提升经营管理。在此过程中也需要强化对数据的管理，尤其是业务发展中要牢固树立数据是生产要素的理念，根据业务发展需要最小范围收集个人信息数据，同时在内部做好数据流转使用管理，强化内部信息系统及防火墙建设，防止客户信息泄露风险事件发生。”

而此次《办法》也明确要求银行保险机构制定数据分类分级保护制度，建立数据目录和分类分级规范，动态管理和维护数据目录，并采取差异化的安全保护措施。在数据分类方面，对机构业务及经营管理过程中获取、产生的数据进行分类管理，具体类型包括客户数据、业务数据、经营管理数据、系统运行和安全管理数据等。在数据分级方面，银行保险机构应根据数据的重要性和敏感程度，将数据分为核心数据、重要数据、一般数据，其中一般数据细分为敏感数据和其他一般数据；当数据的业务属性、重要程度和可能造成的危害程度发生变化，导致安全级别不再适用的，及时进行动态调整。

“用魔法打败魔法”

数据安全是金融机构的“生命线”。2024年11月27日，人民银行、发改委等七部门联合印发《推动数字金融高质量发展行动方案》就强调，加强数据和网络安全防护，加强数字金融业务监管，提升金融监管数字化水平，健全金融消费者保护机制。

建设银行方面披露，该行围绕战略转型、业务经营、交易处理和内部控制等领域，强化信息技术运用，形成了前中后台“三道防线”各自独立、相互协调、有效制衡的管理机制。推动数据安全分级保护措施在生命周期各个环节落地，围绕数据安全涉及的重点场景和关键环节，开展数据安全专项检查。持续完善数据质量管理系统功能，推进数据质量常态化监测，开展覆盖全集团的数据质量自查和检查工作。

根据《办法》，银行保险机构信息科技部门是数据安全的技术保护主责部门。娄飞鹏表示：“对金融机构而言，维护数据安全不仅需要提高从业人员数据安全保护意识，也要完善制度建设强化数据安全规范化管理，还要加大科技投入提高信息系统安全水平。”

此外，记者亦从业内了解到，金融机构也在积极探索量子技术赋能金融数据安全。中国银行研究院研究员刘晨表示：“基于量子密钥分发（QKD）技术的密钥分发为金融数据安全提供了重要保障。我国在这方面应用处于全球前列，目前国内多家商业银行已经在量子保密通信方面积极开展应用探索，‘墨子号’‘京沪干线’等量子保密通信网络基础设施也为远距离金融信息安全传输提供了支撑。”