引言
随着信息技术的发展，众多金融基础业务、核心流程、行业间往来等事务和活动均已运行在信息化支撑载体之上，金融业机构生产运行过程中产生的信息也逐步以不同形式转化为数字资产，在不同信息网络与系统之间流转。随着大数据、人工智能、云计算等新技术在金融业的深入应用，数据逐步实现了从信息化资产到生产要素的转变，其重要性日益凸显。金融业机构数据安全威胁的影响范围逐步从机构内扩大至行业间，甚至影响国家安全、社会秩序、公众利益与金融市场稳定。
金融数据复杂多样，对数据实施分级管理，能够进一步明确数据保护对象，有助于金融业机构合理分配数据保护资源和成本，是金融业机构建立完善的金融数据生命周期保护框架的基础，也是有的放矢地实施数据安全管理的前提条件。同时，统一的数据分级管理制度，能够促进数据在机构间、行业间的安全共享，有利于金融行业数据价值的挖掘与实现。
为落实中共中央、国务院加强数据资源整合和安全保护相关工作要求，指导金融业机构合理开展金融数据安全定级工作，有效落实金融数据生命周期全过程安全管理策略，进一步提高金融业数据管理和安全防护水平，确保金融数据的安全应用，编制本标准。
1 范围
本标准给出了金融数据安全分级的目标、原则和范围，以及数据安全定级的要素、规则和定级过程。本标准适用于金融业机构开展电子数据安全分级工作，并为第三方评估机构等单位开展数据安全检查与评估工作提供参考。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T4754—2017国民经济行业分类
GB/T5271.1—2000信息技术词汇第1部分：基本术语
GB/T25069—2010信息安全技术术语
GB/Z28828—2012信息安全技术公共及商用服务信息系统个人信息保护指南
GB/T35273—2020信息安全技术个人信息安全规范
JR/T0158—2018证券期货业数据分类分级指引
JR/T0171—2020个人金融信息保护技术规范
3 术语和定义
GB/T25069—2010、GB/T35273—2017界定的以及下列术语和定义适用于本文件。
3.1 信息 information
关于客体（如事实、事件、事物、过程或思想，包括概念）的知识，在一定的场合中具有特定的意义。
3.2数据 data
信息的可再解释的形式化表示，以适用于通信、解释或处理。注：可以通过人工或自动手段处理。
3.3 隐私 privacy
个人所具有的控制或影响与之相关信息的权限，涉及由谁收集和存储、由谁披露。
3.4 信息处理 information processing
对信息操作的系统执行，包括数据处理，也可包括诸如数据通信和办公自动化之类的操作。注：术语“信息处理”不能用为“数据处理”的同义词。
3.5 数据处理 data processing
数据操作的系统执行。示例：数据的数学运算或逻辑运算，数据的归并或分类，程序的汇编或编译，或文本的操作，诸如编辑、分类、归并、存储、检索、显示或打印。注1：术语“数据处理”不能用为“信息处理”的同义词。
3.6 保密性 confidentiality
使信息不泄露给未授权的个人、实体、进程，或不被其利用的特性。
3.7 完整性 integrity
保卫资产准确和完整的特性。
3.8 可用性 availability
已授权实体一旦需要就可访问和使用的数据和资源的特性。
3.9 安全级别 securitylevel
有关敏感信息访问的级别划分，以此级别加之安全范畴能更精细地控制对数据的访问。
3.10 金融数据 financialdata
金融业机构开展金融业务、提供金融服务以及日常经营管理所需或产生的各类数据。注：该类数据可用传统数据处理技术或大数据处理技术进行组织、存储、计算、分析和管理。
3.11 个人金融信息 personal financial information
金融业机构通过提供金融产品和服务或者其他渠道获取、加工和保存的个人信息。注1：个人金融信息包括账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息及其他反映特定个人某些情况的信息。
3.12 个人金融信息主体 personal financial information subject
个人金融信息所标识的自然人。
3.13 影响 impact
事件的后果。在信息安全中，一般指不测事件的后果。
4 目标、原则和范围
4.1 数据安全定级目标
数据安全定级旨在对数据资产进行全面梳理并确立适当的数据安全分级，是金融业机构实施有效数据分级管理的必要前提和基础。数据分级管理是建立统一、完善的数据生命周期安全保护框架的基础工作，能够为金融业机构制定有针对性的数据安全管控措施提供支撑。金融业包括货币金融服务、资本市场服务、保险业等，参见GB/T4754—2017。本标准所述“金融业机构”是指从事上述金融业的相关机构。
4.2 数据安全定级原则
数据安全定级遵循以下原则：
a)合法合规性原则：满足国家法律法规及行业主管部门有关规定。
b)可执行性原则：数据定级规则避免过于复杂，以确保数据定级工作的可行性。
c)时效性原则：数据安全级别具有一定的有效期限，金融业机构宜按照级别变更策略对数据级别进行及时调整。
d)自主性原则：结合金融业机构自身数据管理需要（如战略需要、业务需要、风险接受程度等），在本标准的框架下自主确定数据安全级别。
e)差异性原则：根据本机构数据的类型、敏感程度等差异，划分不同的数据安全层级，并将数据分散至不同的级别中，不宜将所有数据集中划分到其中若干个级别中。
f)客观性原则：数据定级规则是客观且可校验的，即通过数据自身的属性和定级规则即可判定其级别，并且数据的定级是可复核和检查的。
4.3 数据安全定级范围
金融数据安全定级过程中，未经电子化的金融数据，依据档案文件等有关管理规范执行；涉及国家秘密的金融数据，依据国家有关法律法规执行，不在本标准规定的范围之内。证券行业数据安全分级工作可参照JR/T0158—2018执行。其中，安全定级工作所涉及的金融数据包括但不限于：
——提供金融产品或服务过程中直接（或间接）采集的数据，包括通过柜面以纸质协议签署或收集，并经信息处理后在计算机系统中流转或保存的数据，以及通过信息系统签约或收集的电子信息。
——金融业机构信息系统内生成和存储的数据，包括业务数据、经营管理数据等，其中：
•业务数据指金融业机构在提供金融产品或服务过程中产生的数据，如交易信息、统计数据等。
•经营管理数据指金融业机构在履行职能与经营管理过程中采集、产生的数据，如营销服务数据、运营数据、风险管理数据、技术管理数据（如程序代码、系统以及网络等）、统计分析数据、综合管理数据等。
——金融业机构内部办公网络与办公设备（终端）中产生、交换、归档的电子数据，如机构内部日常事务处理信息、政策法规与部门规章、业务终端临时存储的业务或经营管理数据、电子邮件信息等。
——金融业机构原纸质文件经过扫描或其他电子化手段形成的电子数据。
——其他宜进行分级的金融数据。
5 数据安全定级
5.1 定级要素
5.1.1 概述
安全性（保密性、完整性、可用性）是信息安全风险评估中的重要参考属性。数据安全性遭到破坏后可能造成的影响（如可能造成的危害、损失或潜在风险等），是确定数据安全级别的重要判断依据，主要考虑影响对象与影响程度两个要素。
5.1.2 影响对象
影响对象指金融业机构数据安全性遭受破坏后受到影响的对象，包括国家安全、公众权益、个人隐私、企业合法权益等。影响对象的确定主要考虑以下内容：
——影响对象为国家安全的情况，一般指数据的安全性遭到破坏后，可能对国家政权稳固、领土主权、民族团结、社会和金融市场稳定等造成影响。
——影响对象为公众权益的情况，一般指数据的安全性遭到破坏后，可能对生产经营、教学科研、医疗卫生、公共交通等社会秩序和公众的政治权利、人身自由、经济权益等造成影响。
——影响对象为个人隐私的情况，一般指数据的安全性遭到破坏后，可能对个人金融信息主体的个人信息、私人活动和私有领域等造成影响。
——影响对象为企业合法权益的情况，一般指数据的安全性遭到破坏后，可能对某企业或其他组织（可能是金融业机构，也可能是其他行业机构）的生产运营、声誉形象、公信力等造成影响。
5.1.3 影响程度
影响程度指金融业机构数据安全性遭到破坏后所产生影响的大小，从高到低划分为严重损害、一般损害、轻微损害和无损害，相关说明如表1所示，可作为影响程度判定的参考。影响程度的确定宜综合考虑数据类型、数据特征与数据规模等因素，并结合金融业务属性确定数据安全性遭到破坏后的影响程度，例如：
——数据安全性遭到破坏后，客户的个人自然信息产生的影响程度通常要高于单位基本信息。
——数据安全性遭到破坏后，身份鉴别信息产生的影响程度通常要高于个人基本概况信息。
——交易信息中对实时性要求较高的数据，其安全性遭到破坏产生的影响程度通常要高于实时性要求较低的数据等。
表1影响程度说明
|
影响程度 |
参考说明 |
|
严重损害 |
1.可能导致危及国家安全的重大事件，发生危害国家利益或造成重大损失的情况。 2.可能导致严重危害社会秩序和公共利益，引发公众广泛诉讼等事件，或者导致金融市场秩序遭到严重破坏等情况。 3.可能导致金融业机构遭到监管部门严重处罚，或者影响重要/关键业务无法正常开展的情况。 4.可能导致重大个人信息安全风险、侵犯个人隐私等严重危害个人权益的事件。 |
|
一般损害 |
1.可能导致危害社会秩序和公共利益的事件，引发区域性集体诉讼事件，或者导致金融市场秩序遭到破坏等情况。 2.可能导致金融业机构遭到监管部门处罚，或者影响部分业务无法正常开展的情况。 3.可能导致一定规模的个人信息泄漏、滥用等安全风险，或对个人权益可能造成一定影响的事件。 |
|
轻微损害 |
1.可能导致个别诉讼事件，使金融业机构经济利益、声誉等轻微受损。 2.可能导致金融业机构部分业务临时性中断等情况。 3.可能导致超出个人客户授权加工、处理、使用数据等情况，对个人权益造成部分或潜在影响。 |
|
无损害 |
对企业合法权益和个人隐私等不造成影响，或仅造成微弱影响但不会影响国家安全、公众权益、金融市场秩序或者金融业机构各项业务正常开展。 |
5.2 要素识别
5.2.1 安全影响评估
安全影响评估宜综合考虑数据类型、数据内容、数据规模、数据来源、机构职能和业务特点等因素，对数据安全性（保密性、完整性、可用性）遭受破坏后所造成的影响进行评估。评估过程中，根据实际情况识别各项安全性在影响评定中的优先级，分别进行保密性、完整性及可用性评估，并综合考虑保密性、完整性及可用性的评估结果，形成最终安全影响评估。
——保密性评估：通过评价数据遭受未经授权的披露所造成的影响，以及机构继续使用这些数据可能产生的影响，进行数据保密性评估。评估的内容包括但不限于：
•数据未经授权的披露，可能对国家安全、公众权益、个人隐私及企业合法权益造成的损害，以及损害的严重程度。
•数据被非授权对象获取或利用，可能对国家安全、公众权益、个人隐私及企业合法权益造成的损害，以及损害的严重程度。
•数据被非授权对象利用进行窃密、篡改、销毁或拒绝服务等攻击，可能对国家安全、公众权益、个人隐私及企业合法权益等造成的损害，以及损害的严重程度。
•数据的未经授权披露或传播是否违反国家法律法规、行业主管部门有关规定或机构内部管理规定。
——完整性评估：通过评价数据遭受未经授权的修改或损毁所造成的影响，以及机构继续使用这些数据可能产生的影响，进行数据完整性评估。评估的内容包括但不限于：
•数据未经授权修改或损毁，可能对国家安全、公众权益、个人隐私及企业合法权益造成的损害，以及损害的严重程度。
•数据未经授权修改或损毁，可能对其他组织或个人造成的损害，以及损害的严重程度。
•数据未经授权修改或损毁，可能对机构职能、公信力造成的损害，以及损害的严重程度。
•数据未经授权修改或损毁是否违反国家法律法规、行业主管部门有关规定或机构内部管理规定。
——可用性评估：通过评价数据及其经组合/融合后形成的各类数据出现访问或使用中断所造成的影响，以及机构无法正常使用这些数据可能产生的影响，进行数据可用性评估。评估的内容包括但不限于：
•数据的访问或使用中断，可能对国家安全、公众权益、个人隐私及企业合法权益造成的损害，以及损害的严重程度。
•数据的访问或使用中断，可能对机构职能、公信力造成的损害，以及损害的严重程度。
•数据的访问或使用中断，可能对其他组织或个人造成的损害，以及损害的严重程度。
•数据的访问或使用中断是否违反国家法律法规、行业主管部门有关规定或机构内部管理规定。
5.2.2 定级要素识别
通过综合考虑保密性、完整性和可用性的影响评估结果，识别数据安全定级关键要素，即作为最终数据安全级别评定时所使用的主要影响对象及影响程度，并根据5.3定级规则进行数据安全级别的评定。定级要素识别宜至少满足：
——因不同数据在安全性（保密性、完整性、可用性）方面有不同侧重，以所侧重的安全性评估结果，作为相应数据安全定级的主要依据。
——数据的保密性、完整性和可用性要求基本一致的，则重点以保密性评估所确定的定级要素为主要定级依据。
5.3 定级规则
5.3.1 安全级别概述
本标准根据金融业机构数据安全性遭受破坏后的影响对象和所造成的影响程度，将数据安全级别从高到低划分为5级、4级、3级、2级、1级，一般具有如下特征：
——5级数据特征如下：
•重要数据，通常主要用于金融业大型或特大型机构、金融交易过程中重要核心节点类机构的关键业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。
•数据安全性遭到破坏后，对国家安全造成影响，或对公众权益造成严重影响。
注：“必须知悉”是指对数据确定知悉范围，只有对数据知悉有明确的必要性时，该对象才能对数据知悉。一般情
况下遵循工作需要原则和最小化原则，前者指因工作必须才可知悉，后者指知悉的范围满足最小够用即可。
——4级数据特征如下：
•数据通常主要用于金融业大型或特大型机构、金融交易过程中重要核心节点类机构的重要业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。
•个人金融信息中的C3类信息。
•数据安全性遭到破坏后，对公众权益造成一般影响，或对个人隐私或企业合法权益造成严重影响，但不影响国家安全。
——3级数据特征如下：
•数据用于金融业机构关键或重要业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。
•个人金融信息中的C2类信息。
•数据的安全性遭到破坏后，对公众权益造成轻微影响，或对个人隐私或企业合法权益造成一般影响，但不影响国家安全。
——2级数据特征如下：
•数据用于金融业机构一般业务使用，一般针对受限对象公开，通常为内部管理且不宜广泛公开的数据。
•个人金融信息中的C1类信息。
•数据的安全性遭到破坏后，对个人隐私或企业合法权益造成轻微影响，但不影响国家安全、公众权益。
——1级数据特征如下：
•数据一般可被公开或可被公众获知、使用。
•个人金融信息主体主动公开的信息。
•数据的安全性遭到破坏后，可能对个人隐私或企业合法权益不造成影响，或仅造成微弱影响但不影响国家安全、公众权益。
5.3.2定级通用规则
金融数据安全级别划分的通用规则包括但不限于：
——重要数据1)的安全等级不可低于本标准所述5级。
——个人金融信息相关数据参照JR/T0171—2020进行定级，并在数据安全定级过程中从高考虑。
——对于数据体量大，涉及的客户（包含个人客户和单位客户）多、涉及客户（包含个人客户和单位客户）资金量大、涉及多行业及多机构客户的情况，影响程度宜从高确定。
综上所述，数据安全级别划定规则如表2所示。根据本标准所述定级规则，本标准给出了金融业典型数据类型及其建议划分的最低安全级别，参见附录A，供各金融业机构在数据资产梳理及定级过程中参考。
表2 数据安全定级规则参考表
|
最低安全级别参考 |
数据定级要素 |
数据一般特征 |
|
|
影响对象 |
影响程度 |
||
|
5 |
国家安全 |
严重损害/一般损害/轻微损害 |
•重要数据，通常主要用于金融业大型或特大型机构、金融交易过程中重要核心节点类机构的关键业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。 |
|
5 |
公众权益 |
严重损害 |
|
|
4 |
公众权益 |
一般损害 |
•数据通常主要用于金融业大型或特大型机构、金融交易过程中重要核心节点类机构的重要业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。 |
|
4 |
个人隐私 |
严重损害 |
|
|
4 |
企业合法权益 |
严重损害 |
|
|
3 |
公众权益 |
轻微损害 |
•数据用于金融业机构关键或重要业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。 |
|
3 |
个人隐私 |
一般损害 |
|
|
3 |
企业合法权益 |
一般损害 |
|
|
2 |
个人隐私 |
轻微损害 |
•数据用于金融业机构一般业务使用，一般针对受限对象公开，通常为内部管理且不宜广泛公开的数据。 |
|
2 |
企业合法权益 |
轻微损害 |
|
|
1 |
国家安全 |
无损害 |
•数据一般可被公开或可被公众获知、使用。 |
|
1 |
公众权益 |
无损害 |
|
|
1 |
个人隐私 |
无损害 |
|
|
1 |
企业合法权益 |
无损害 |
|
5.4 定级过程
5.4.1 组织保障
确定数据安全管理最高决策组织，设立并明确相关部门（或组织）及其职责，包括但不限于：
——本机构数据分级工作的领导组织及其负责人，主要负责统筹、规划数据安全分级工作。
——本机构数据分级工作的管理部门（或组织）及其负责人，主要负责数据分级相关工作的组织、协调、管理、审核、评审等工作。
——本机构信息科技部门及其负责人在数据安全分级工作中的角色，主要负责落实数据安全分级有关要求，并主导数据安全分级实施工作。
——本机构业务部门（和/或数据属主部门）及其负责人在数据安全分级工作中的角色，主要负责
落实数据安全分级有关要求，并协同开展数据安全分级实施工作。
——本机构其他相关部门在数据安全分级工作中的角色、职责及负责人。
5.4.2 制度保障
建立数据分级工作的相关制度，明确并落实相关工作要求，包括但不限于：
——数据分级的目标和原则。
——数据分级工作涉及的角色、部门及相关职责。
——数据分级的方法和具体要求。
——数据分级的日常管理流程和操作规程，以及分级结果的确定、评审、批准、发布和变更机制。——数据分级管理相关绩效考核和评价机制。
——数据分级结果的发布、备案和管理的相关规定。
——数据分级清单审核与修订的原则和周期。
5.4.3 定级流程
金融数据安全定级过程包括数据资产梳理、数据安全定级准备、数据安全级别判定、数据安全级别审核及数据安全级别批准，具体工作流程如图1所示。
数据定级流程基本步骤如下：
数据资产梳理：
第一步：对数据进行盘点、梳理与分类，形成统一的数据资产清单，并进行数据安全定级合规性相关准备工作。
数据安全定级准备：
第二步：明确数据定级的颗粒度（如库文件、表、字段等）。
第三步：识别数据安全定级关键要素。
数据安全级别判定：
第四步：按照5.3所述数据定级规则，结合国家及行业有关法律法规、部门规章，对数据安全等级进行初步判定。
第五步：综合考虑数据规模、数据时效性、数据形态（如是否经汇总、加工、统计、脱敏或匿名化处理等）等因素，对数据安全级别进行复核，调整形成数据安全级别评定结果及定级清单。
数据安全级别审核：
第六步：审核数据安全级别评定过程和结果，必要时重复第三步及其后工作，直至安全级别的划定与本机构数据安全保护目标一致。
数据安全级别批准：
第七步：最终由数据安全管理最高决策组织对数据安全分级结果进行审议批准。
5.5 级别变更
数据安全定级完成后，出现下列情形之一时，金融业机构宜对相关数据的安全级别进行变更（相关示例参见附录B），并按照5.4.3数据定级流程实施。
——数据内容发生变化，导致原有数据的安全级别不适用变化后的数据。
——数据内容未发生变化，但因数据时效性、数据规模、数据使用场景、数据加工处理方式等发生变化，导致原定的数据安全级别不再适用。
——因数据汇聚融合，导致原有数据安全级别不再适用汇聚融合后的数据。
——因国家或行业主管部门要求，导致原定的数据安全级别不再适用。
——需要对数据安全级别进行变更的其他情形。
6 重要数据识别
金融业机构所承载重要数据的识别和认定工作宜遵照国家及行业主管部门有关规定执行。重要数据的性质和内容相关描述参见附录C，仅供金融业机构开展数据安全分级工作时参考使用。重要数据的安全级别不宜低于本标准中确定的5级。
附录A 数据定级规则参考表
金融业机构典型数据的定级规则参考如表A.1所示，实际应用过程中，各金融业机构宜根据其所管辖数据的类型、特性、规模以及机构特性等因素，综合考虑本机构数据安全管理的总体目标和安全策略要求，按照一定的颗粒度对数据资产进行合理的梳理、归类和细分，最终确定数据的安全级别划分清单。此外，金融业机构所承载重要数据的安全级别宜不低于本标准确定的5级。重要数据的识别、认定及保护工作依据国家及行业主管部门有关规定和要求执行。
附录B 数据安全级别变化事宜
导致数据发生升降级的主要技术手段有数据脱敏、删除关键字段、汇聚融合等。
数据脱敏方式遵守JR/T0171—2020附录A的规定，脱敏后产生的数据，其安全级别通常低于脱敏前的数据。汇聚融合是指对数据进行集中、清洗、转换、重组、关联分析、多方计算等处理的过程，相对于汇聚融合前数据的安全级别，经过不同的数据汇聚融合处理手段所产生的数据，其安全级别可能上升，也可能下降。
因数据脱敏或汇聚融合导致数据安全级别发生变化的示例，如表B.1所示。
表B.1数据安全级别升降示例
|
措施 |
安全级别调整 |
|
汇聚融合 |
3级升至4级 |
|
生产数据脱敏后用于金融业机构内部业务经营或管理工作 |
3级降至2级 |
|
汇聚融合，特定机构特定时间或事件后信息具有高安全等级 |
2级升至4级 |
|
脱敏，从数据中去除能够直接定位到个人金融信息主体的内容，删除涉及商业秘密的内容等，特定时间或事件后信息失去原有敏感性 |
4级降至2级 |
附录C 重要数据
重要数据是指我国政府、企业、个人在境内收集、产生的不涉及国家秘密，但与国家安全、经济发展以及公共利益密切相关的数据（包括原始数据和衍生数据），一旦未经授权披露、丢失、滥用、篡改或销毁，或汇聚、整合、分析后，可能造成以下后果：
——危害国家安全、国防利益，破坏国际关系。
——损害国家财产、社会公共利益和个人合法利益。
——影响国家预防和打击经济与军事间谍、政治渗透、有组织犯罪等。
——影响行政机关依法调查处理违法、渎职或涉嫌违法、渎职行为。
——干扰政府部门依法开展监督、管理、检查、审计等行政活动，妨碍政府部门履行职责。
——危害国家关键基础设施、关键信息基础设施、政府系统信息系统安全。
——影响或危害国家经济秩序和金融安全。
——可分析出国家秘密或敏感信息。
——影响或危害国家政治、国土、军事、经济、文化、社会、科技、信息、生态、资源、核设施等其他国家安全事项。
重要数据可包括宏观特征数据、海量信息汇聚得到的衍生特征数据、行业监管机构决策和执法过程中的数据，以及关键信息基础设施网络安全缺陷信息等，如：
——宏观特征：可反映不可更改或长时间保持稳定的经济特征、社会特征的数据。
——海量信息汇聚得到的衍生特征数据：汇聚后覆盖多省份的金融消费者真实交易信息。
——行业监管机构决策和执法过程中的数据：行政机关、执法机关在履职或执法过程中收集和产生的不涉及国家秘密且未公开的受控数据。
——关键信息基础设施网络安全缺陷信息：网络设备、服务器、信息系统等有关漏洞信息。重要数据一般不包括企业生产经营和内部管理信息、个人信息等。