新规速递 《中国人民银行业务领域数据安全管理办法》详解（下）
我们在上篇中介绍了本办法的起草背景、分类分级基本原则及要求等。本文将承接上篇，对于本办法进一步解读。
五． 全流程业务数据安全管理要求及安全技术要求
就数据处理者在全流程业务数据安全管理及安全技术的重点要求，请见本团队整理的下表：
阶段/节点 | 安全管理要求 | 安全技术要求 |
账号和日志管理 | 1. 数据处理者应当严格管理特权账号和各类业务处理账号的权限； 2. 与可使用高敏感性数据项账号的人员签订保密协议等 | 1. 加强访问控制，管控业务数据处理账号权限。明确特权账号的使用场景并加强使用时的内部审批授权； 2. 使用特权账号实施特定人工操作时应当逐一开展事前审批和事后审查； 3. 使用特权账号开展自动化操作前应当对操作正确性和安全性进行必要检查； 4. 加强安全认证，可使用高敏感性数据项的账号应当支持多因素认证或者二次授权确认，并建立超时退出、访问通信地址变化等情形的重新验证机制； 5. 规范日志记录，日志记录高敏感性数据项原则上(但特定情形可豁免，下面涉及“原则上”履行的业务活动同)须经脱敏处理；日志纳入业务数据分类分级管理等 |
数据收集 | 1. 除合法公开数据等外，需取得个人同意或组织授权； 4. 原则上不收集图像等原始个人生物识别信息等 | 1.优先采用直接录入或者信息系统间交互的方式收集业务数据。采用直接录入方式收集业务数据的，应当验证录入人身份；采用信息系统间交互方式收集高敏感性数据项的，应当验证数据提供方身份； 2. 采取关联信息交叉核验等技术措施，尽可能保障收集业务数据的准确性； 3. 采用自动化工具方式收集的，应当遵守其他方数据收集的控制规则等 |
数据存储 | 1. 明确数据保存期限； 3. 存储核心数据的，应当对业务数据的安全负责人和可使用核心数据的关键岗位人员进行安全背景审查； | 1. 隔离信息系统开发测试环境与生产环境； 2. 存储重要数据的信息系统应当满足三级网络安全等级保护要求，存储核心数据的信息系统应当满足四级网络安全等级保护要求或者关键信息基础设施保护要求，并优先采购安全可信的网络产品和服务； 3. 原则上高敏感性数据项须加密存储； 4. 评估并调整业务数据存储承载容量，做好生产环境业务数据冗余备份； |
数据使用 | 1. 高敏感性数据项原则上不导出，身份鉴别数据原则上仅核验； | 1. 明确高敏感性数据项的脱敏处理策略； 2. 建立终端设备安全管控策略。业务数据展示、打印时应当标识当前使用业务数据的业务处理账号和使用时间； 3. 除开发测试环境与生产环境业务数据安全保护措施完全一致的情形外，生产环境数据项用于开发测试环境的，应当履行内部审批程序并实施脱敏处理等 |
数据加工 | 1. 审查加工目的与收集约定一致性； 4. 审查模型评价激励规则的伦理道德等； 5. 针对高敏数据的，明确应当采取的安全保护措施，并履行内部审批程序。加工产生新数据项，敏感性更高的，须提高其敏感性标识； 6. 基于加工生成的数据项面向个人提供自动化决策服务的，应当向个人说明处理目的、个人信息种类和加工规则等 | 建立业务数据加工算法风险评估和控制策略，明确停止使用加工算法开展自动化决策时的替代方案等 |
数据传输 | 除个人请求外，原则上不使用邮件、即时通讯、在线文件存储等互联网信息服务或者移动介质传输高敏感性数据项等 | 1. 优先采用专用线路或虚拟专用网等； 2. 健全访问控制和安全隔离策略，加强相关终端设备准入控制； 3. 评估并调整通信线路的传输承载容量，加强通信线路和相关软硬件设备的冗余备份等 |
数据提供 | 1. 数据提供时，应当核验数据接收方身份； 2. 个人信息提供评估是否合法合规及其他业务数据提供评估是否符合商业秘密保护； 3. 涉及个人信息和重要数据的，应当在合同明确各方数据安全保护具体条款，并对数据接收方监督； 4. 除委托处理情形外，原则上不采取导出方式提供高敏感性数据项，用于身份鉴别的数据项原则上须采取核验方式提供； 5. 提供、委托处理、共同处理重要数据前，进行风险评估；提供核心数据达到国家规定情形的，应当经中国人民银行报国家数据安全工作协调机制开展风险评估；重要数据的处理者因合并、分立、解散、破产等可能影响重要数据安全的，应当报告重要数据处置方案； 6. 采用隐私计算等技术促进业务数据融合创新应用的，还应确认其他数据处理者无法使用未加密原始数据、无法泄露约定范围外的信息； 7. 向境外提供数据，国家规定有境内存储要求的，应当同时在中华人民共和国境内存储。同时，应当符合数据出境安全评估或者开展保护认证等要求 | 1. 动态维护提供业务数据的前置网关和应用程序接口清单，并在前置网关和应用程序接口变更投产前开展安全测试； 2. 采用隐私计算等技术提供业务数据的，建立技术风险评估和控制策略等 |
数据公开 | 1. 审核及研判数据公开活动； 2. 原则上通过本机构官方渠道公开； 3. 其他渠道公开的，履行内部审批； 4. 不得公开用于身份鉴别的数据项，公开其他高敏感性数据项原则上须作脱敏处理等 | 1. 明确是否允许自动化工具收集的规则； |
数据删除 | 1. 主动删除处理目的已实现、处理目的无法实现、为实现处理目的不再必要或者约定保存期限已届满等情形的业务数据； 2. 无法删除的，停止除存储和采取必要的安全保护措施之外的业务数据处理活动，并每年至少实施一次审查，确认相关业务数据不可被使用等 | 明确业务数据存储介质销毁策略 |
数据委托处理 | 1.明确受托人的相关义务，并定期监督受托人履约情况； 2. 涉及核心数据的委托处理活动，应当事先开展尽职调查； 3. 将业务数据委托处理活动纳入业务或者信息科技外包管理体系。人民银行已明确要求不得以外包形式开展业务的，相关业务数据不得委托处理等 | 见数据提供 |
由上可见，对于数据处理者在业务数据的处理全过程均须符合安全管理和技术要求。同时，数据分级分类处理的原则亦在整个过程中充分体现。涉及高敏感性数据的，通常需要采取脱敏、加密等特别保护措施。涉及重要数据、核心数据的，其存储、提供、处理等活动均应采取更严格的保护措施。此外，本办法既提出数据处理者原则上应当履行的安全保护义务，又明确例外情形下豁免相关义务的措施，相关措施要求不影响正常办理金融业务。
六． 业务数据安全风险与事件管理
除了安全管理及安全技术要求外，本办法还要求数据处理者应当加强数据的风险管理。风险管理主要分为以下方面：
1. 业务处理活动。业务数据处理活动的风险监测，能够识别数据风险并采取补救措施；
2. 业务数据安全负面事件。业务数据泄露、业务数据被非法兜售、仿冒本机构身份处理业务数据，以及其他与本机构有关的业务数据安全负面舆情的风险监测；
3. 行业通报。主管机构通报与业务数据相关的数据安全缺陷、漏洞等风险时，数据处理者应当立即核实处置并反馈情况。同时，主管部门亦鼓励数据处理者提供具有行业共享价值的业务数据安全风险情报；
4. 年度风险评估。此项是针对重要数据处理者的义务。重要数据的处理者应当每年对业务数据开展一次风险评估，并于每年1月15日前向中国人民银行或者住所地中国人民银行省级分支机构报送上一年度风险评估报告。风险评估报告应当包括但不限于与重要数据相关的日常管理情况，网络安全等级保护测评和整改情况、保护措施执行情况、本年度风险监测和事件处置情况等。
前述年度风险评估的要求，与《网络数据安全管理条例》、《银行保险机构数据安全管理办法》等的规定一致。根据《网络数据安全管理条例》的规定，个人信息保护合规审计、重要数据风险评估、重要数据出境安全评估等应当加强衔接，避免重复评估、审计。重要数据风险评估和网络安全等级测评的内容重合的，相关结果可以互相采信。鉴于不同的规定中，均提及了相应的年度数据风险评估要求，对同一机构而言，其应该关注落实相应评估的内容及要求，如评估内容存在重合的，可关注评估的衔接事宜，提高效率降低成本；
5. 数据安全事件分类及相应措施(具体见上文第四章)。数据处理者应当按照国家网络安全事件应急预案有关事件分级要求，做好数据安全事件分类。在事件发生时，按要求进行处置，并依据规定及时告知用户相应的数据安全事件，并按照中国人民银行要求报告事件情况。在数据接收方、委托处理受托人发生数据安全事件的，数据处理者应当开展调查评估，督促相关机构立即采取补救措施并向有关主管部门报告。重要数据的处理者应当每年至少开展一次针对业务数据安全事件的应急演练，其他数据处理者应当每三年至少开展一次针对业务数据安全事件的应急演练。
6. 数据安全审计。数据处理者应当每三年至少开展一次业务数据安全合规审计，重要数据的处理者应当每年至少开展一次与重要数据安全相关的合规审计。发生重大或者特别重大事件后，应当开展专项审计。审计应当重点关注包括但不限于以下内容：业务数据资源目录是否及时更新、数据安全管理要求和技术要求是否符合、数据安全风险监测是否有效、数据安全风险与事件处置是否及时、数据出境是否合规、数据安全投诉处理是否及时等情况。需要注意的是，与业务数据相关的风险评估报告和审计报告记录高敏感性数据项时应当进行脱敏处理。
此外，根据《个人信息保护合规审计管理办法》，个人信息处理者自行开展个人信息保护合规审计的，应当进行合规审计。处理超过1000万人个人信息的个人信息处理者，应当每两年至少开展一次个人信息保护合规审计。建议数据处理者关注并落实与其有关的数据审计义务。
七. 法律责任
主管部门对于数据处理者的业务数据处理活动进行监管。发现影响或者可能影响国家安全的业务数据处理活动线索时，可以要求数据处理者进行国家安全审查。在数据处理者未履行本办法相关义务时，按照《中华人民共和国数据安全法》的规定进行处罚，采取双罚制。
主管部门在数据活动监管时，必要时可以和其他主管部门进行联合监管。例如，发现数据处理者未履行数据出境安全评估或者保护认证等义务的，将相关案件信息移送同级网信部门处理。在数据活动存在排除、限制竞争，违反治安管理行为或者构成犯罪等情形的，将案件信息移送相应部门。
即便有上述，数据处理者的下述情形，能够使其从轻或者减轻行政处罚，包括证明本机构已按照规定采取数据安全保护措施，并立即采取补救措施的；积极提供数据安全风险情报的，协助及时发现重大业务数据安全风险等。近期，《中华人民共和国网络安全法(修正草案再次征求意见稿）》中，亦规定了主动采取补救措施，减轻危害后果的，可从轻、减轻处罚等，体现主管部门严格监管及合理监管的平衡。建议数据处理者合法合规地开展数据活动，并在发生处罚情形时，能够采取积极地补救措施，遵从主管部门的工作。
八．小结
本办法基于《中华人民共和国数据安全法》《网络数据安全管理条例》等制定，与《银行保险机构数据安全管理办法》一同构成金融业领域的数据安全管理的规定，体现了数据基础保护与行业部门保护的结合。数据处理者应当在数据分类分级的大原则和背景项下，从制度、管理、技术、风险应对等角度，全方位、全流程地进行业务领域内的数据安全管理。将本法的规定，融入及更新于日常的制度与措施中，以符合合法合规监管的要求。本团队零基础入门AI企业合规系列已推出，敬请审阅。
附表 重要的合规时间节点
义务履行方 | 合规义务 | 时间 |
数据处理者 | 数据资源目录 | 每年至少更新一次业务数据资源目录 |
数据处理者 | 教育培训 | 每年组织业务数据处理活动参与人员开展相关教育培训 |
数据处理者 | 不可删除业务数据审查 | 每年至少实施一次审查，确认不可删除业务数据的不可被使用 |
数据处理者 | 留存活动日志 | 留存业务数据处理活动日志至少六个月； 对于与存储重要数据信息系统相关的业务数据处理活动日志，应当留存至少一年； 对于与存储核心数据信息系统相关的业务数据处理活动日志，应当留存至少三年； 向其他数据处理者提供、委托处理个人信息、重要数据的业务数据处理活动日志等记录，应当留存至少三年 |
重要数据处理者 | 风险评估 | 每年对业务数据开展一次风险评估，并于每年1月15日前向中国人民银行或者住所地中国人民银行省级分支机构报送上一年度风险评估报告 |
数据处理者 重要数据处理者 | 安全事件应急演练 | 其他数据处理者应当每三年至少开展一次针对业务数据安全事件的应急演练； 重要数据处理者，每年至少开展一次针对业务数据安全事件的应急演练 |
数据处理者 重要数据处理者 | 合规审计 | 其他数据处理者应当每三年至少开展一次业务数据安全合规审计； 重要数据的处理者应当每年至少开展一次与重要数据安全相关的合规审计 |