國家標準英文翻譯/英文版 JR/T 0197-2020 英文版 Financial data security --Guidelines for data security classification

國家標準英文翻譯/英文版 JR/T 0197-2020 英文版 金融數(shù)據(jù)安全 數(shù)據(jù)安全分級指南

1 范圍

本標準給出了金融數(shù)據(jù)安全分級的目標、原則和范圍，以及數(shù)據(jù)安全定級的要素、規(guī)則和定級過程。

本標準適用于金融業(yè)機構開展電子數(shù)據(jù)安全分級工作，并為第三方評估機構等單位開展數(shù)據(jù)安全檢查與評估工作提供參考。

2 規(guī)范性引用文件

下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。

凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

GB/T 4754-2017 國民經(jīng)濟行業(yè)分類

GB/T 5271.1-2000 信息技術 詞匯 第1部分：基本術語

GB/T 25069-2010 信息安全技術 術語

GB/Z 28828-2012 信息安全技術 公共及商用服務信息系統(tǒng)個人信息保護指南

GB/T 35273-2020 信息安全技術 個人信息安全規(guī)范

JR/T 0158-2018 證券期貨業(yè)數(shù)據(jù)分類分級指引

JR/T 0171-2020 個人金融信息保護技術規(guī)范

3 術語和定義

GB/T 25069-2010、GB/T 35273-2017界定的以及下列術語和定義適用于本文件。

3.1

信息

關于客體（如事實、事件、事物、過程或思想，包括概念）的知識，在一定的場合中具有特定的意義。

3.2

數(shù)據(jù) data

信息的可再解釋的形式化表示，以適用于通信、解釋或處理。

注：可以通過人工或自動手段處理。

3.3

隱私

個人所具有的控制或影響與之相關信息的權限，涉及由誰收集和存儲、由誰披露。

3.4

信息處理

對信息操作的系統(tǒng)執(zhí)行，包括數(shù)據(jù)處理，也可包括諸如數(shù)據(jù)通信和辦公自動化之類的操作。

注：術語“信息處理”不能用為“數(shù)據(jù)處理”的同義詞。

3.5

數(shù)據(jù)處理

數(shù)據(jù)操作的系統(tǒng)執(zhí)行。

示例：數(shù)據(jù)的數(shù)學運算或邏輯運算，數(shù)據(jù)的歸并或分類，程序的匯編或編譯，或文本的操作，諸如編輯、分類、歸并、存儲、檢索、顯示或打印。

注1：術語“數(shù)據(jù)處理”不能用為“信息處理”的同義詞。

注2：改寫 GB/T 5271.1-2000，定義 2.01.01.06

3.6

保密性

使信息不泄露給未授權的個人、實體、進程，或不被其利用的特性。

3.7

完整性

保衛(wèi)資產(chǎn)準確和完整的特性。

注：改寫GB/T 25069-2010，定義2.1.42。

3.8

可用性

已授權實體一旦需要就可訪問和使用的數(shù)據(jù)和資源的特性。

3.9

安全級別

有關敏感信息訪問的級別劃分，以此級別加之安全范疇能更精細地控制對數(shù)據(jù)的訪問。

3.10

金融數(shù)據(jù)

金融業(yè)機構開展金融業(yè)務、提供金融服務以及日常經(jīng)營管理所需或產(chǎn)生的各類數(shù)據(jù)。

注：該類數(shù)據(jù)可用傳統(tǒng)數(shù)據(jù)處理技術或大數(shù)據(jù)處理技術進行組織、存儲、計算、分析和管理。

3.11

個人金融信息

金融業(yè)機構通過提供金融產(chǎn)品和服務或者其他渠道獲取、加工和保存的個人信息。

注1：個人金融信息包括賬戶信息、鑒別信息、金融交易信息、個人身份信息、財產(chǎn)信息、借貸信息及其他反映特定個人某些情況的信息。

3.12

個人金融信息主體

個人金融信息所標識的自然人。

注：改寫GB/T 35273-2020，定義3.3。

3.13

影響

事件的后果。在信息安全中，一般指不測事件的后果。

4 目標、原則和范圍

4.1 數(shù)據(jù)安全定級目標

數(shù)據(jù)安全定級旨在對數(shù)據(jù)資產(chǎn)進行全面梳理并確立適當?shù)臄?shù)據(jù)安全分級，是金融業(yè)機構實施有效數(shù)據(jù)分級管理的必要前提和基礎。數(shù)據(jù)分級管理是建立統(tǒng)一、完善的數(shù)據(jù)生命周期安全保護框架的基礎工作，能夠為金融業(yè)機構制定有針對性的數(shù)據(jù)安全管控措施提供支撐。金融業(yè)包括貨幣金融服務、資本市場服務、保險業(yè)等，參見GB/T 4754-2017。本標準所述“金融業(yè)機構”是指從事上述金融業(yè)的相關機構。

4.2 數(shù)據(jù)安全定級原則

數(shù)據(jù)安全定級遵循以下原則：

a) 合法合規(guī)性原則：滿足國家法律法規(guī)及行業(yè)主管部門有關規(guī)定。

b) 可執(zhí)行性原則：數(shù)據(jù)定級規(guī)則避免過于復雜，以確保數(shù)據(jù)定級工作的可行性。

c) 時效性原則：數(shù)據(jù)安全級別具有一定的有效期限，金融業(yè)機構宜按照級別變更策略對數(shù)據(jù)級別進行及時調(diào)整。

d) 自主性原則：結合金融業(yè)機構自身數(shù)據(jù)管理需要（如戰(zhàn)略需要、業(yè)務需要、風險接受程度等），在本標準的框架下自主確定數(shù)據(jù)安全級別。

e) 差異性原則：根據(jù)本機構數(shù)據(jù)的類型、敏感程度等差異，劃分不同的數(shù)據(jù)安全層級，并將數(shù)據(jù)分散至不同的級別中，不宜將所有數(shù)據(jù)集中劃分到其中若干個級別中。

f) 客觀性原則：數(shù)據(jù)定級規(guī)則是客觀且可校驗的，即通過數(shù)據(jù)自身的屬性和定級規(guī)則即可判定其級別，并且數(shù)據(jù)的定級是可復核和檢查的。

4.3 數(shù)據(jù)安全定級范圍

金融數(shù)據(jù)安全定級過程中，未經(jīng)電子化的金融數(shù)據(jù)，依據(jù)檔案文件等有關管理規(guī)范執(zhí)行；涉及國家秘密的金融數(shù)據(jù)，依據(jù)國家有關法律法規(guī)執(zhí)行，不在本標準規(guī)定的范圍之內(nèi)。證券行業(yè)數(shù)據(jù)安全分級工作可參照JR/T 0158-2018執(zhí)行。其中，安全定級工作所涉及的金融數(shù)據(jù)包括但不限于：

--提供金融產(chǎn)品或服務過程中直接（或間接）采集的數(shù)據(jù)，包括通過柜面以紙質(zhì)協(xié)議簽署或收

集，并經(jīng)信息處理后在計算機系統(tǒng)中流轉或保存的數(shù)據(jù)，以及通過信息系統(tǒng)簽約或收集的電

子信息。

--金融業(yè)機構信息系統(tǒng)內(nèi)生成和存儲的數(shù)據(jù)，包括業(yè)務數(shù)據(jù)、經(jīng)營管理數(shù)據(jù)等，其中：

? 業(yè)務數(shù)據(jù)指金融業(yè)機構在提供金融產(chǎn)品或服務過程中產(chǎn)生的數(shù)據(jù)，如交易信息、統(tǒng)計數(shù)據(jù)

等。

? 經(jīng)營管理數(shù)據(jù)指金融業(yè)機構在履行職能與經(jīng)營管理過程中采集、產(chǎn)生的數(shù)據(jù)，如營銷服務

數(shù)據(jù)、運營數(shù)據(jù)、風險管理數(shù)據(jù)、技術管理數(shù)據(jù)（如程序代碼、系統(tǒng)以及網(wǎng)絡等）、統(tǒng)計

分析數(shù)據(jù)、綜合管理數(shù)據(jù)等。

--金融業(yè)機構內(nèi)部辦公網(wǎng)絡與辦公設備（終端）中產(chǎn)生、交換、歸檔的電子數(shù)據(jù)，如機構內(nèi)部

日常事務處理信息、政策法規(guī)與部門規(guī)章、業(yè)務終端臨時存儲的業(yè)務或經(jīng)營管理數(shù)據(jù)、電子

郵件信息等。

--金融業(yè)機構原紙質(zhì)文件經(jīng)過掃描或其他電子化手段形成的電子數(shù)據(jù)。

--其他宜進行分級的金融數(shù)據(jù)。

5 數(shù)據(jù)安全定級

5.1 定級要素

5.1.1 概述

安全性（保密性、完整性、可用性）是信息安全風險評估中的重要參考屬性。數(shù)據(jù)安全性遭到破壞后可能造成的影響（如可能造成的危害、損失或潛在風險等），是確定數(shù)據(jù)安全級別的重要判斷依據(jù)，主要考慮影響對象與影響程度兩個要素。

5.1.2 影響對象

影響對象指金融業(yè)機構數(shù)據(jù)安全性遭受破壞后受到影響的對象，包括國家安全、公眾權益、個人隱私、企業(yè)合法權益等。影響對象的確定主要考慮以下內(nèi)容：

--影響對象為國家安全的情況，一般指數(shù)據(jù)的安全性遭到破壞后，可能對國家政權穩(wěn)固、領土

主權、民族團結、社會和金融市場穩(wěn)定等造成影響。

--影響對象為公眾權益的情況，一般指數(shù)據(jù)的安全性遭到破壞后，可能對生產(chǎn)經(jīng)營、教學科研、

醫(yī)療衛(wèi)生、公共交通等社會秩序和公眾的政治權利、人身自由、經(jīng)濟權益等造成影響。

--影響對象為個人隱私的情況，一般指數(shù)據(jù)的安全性遭到破壞后，可能對個人金融信息主體的

個人信息、私人活動和私有領域等造成影響。

--影響對象為企業(yè)合法權益的情況，一般指數(shù)據(jù)的安全性遭到破壞后，可能對某企業(yè)或其他組

織（可能是金融業(yè)機構，也可能是其他行業(yè)機構）的生產(chǎn)運營、聲譽形象、公信力等造成影

響。

5.1.3 影響程度

影響程度指金融業(yè)機構數(shù)據(jù)安全性遭到破壞后所產(chǎn)生影響的大小，從高到低劃分為嚴重損害、一般損害、輕微損害和無損害，相關說明如表1所示，可作為影響程度判定的參考。影響程度的確定宜綜合考慮數(shù)據(jù)類型、數(shù)據(jù)特征與數(shù)據(jù)規(guī)模等因素，并結合金融業(yè)務屬性確定數(shù)據(jù)安全性遭到破壞后的影響程度，例如：

--數(shù)據(jù)安全性遭到破壞后，客戶的個人自然信息產(chǎn)生的影響程度通常要高于單位基本信息。

--數(shù)據(jù)安全性遭到破壞后，身份鑒別信息產(chǎn)生的影響程度通常要高于個人基本概況信息。

--交易信息中對實時性要求較高的數(shù)據(jù)，其安全性遭到破壞產(chǎn)生的影響程度通常要高于實時性

要求較低的數(shù)據(jù)等。

5.2 要素識別

5.2.1 安全影響評估

安全影響評估宜綜合考慮數(shù)據(jù)類型、數(shù)據(jù)內(nèi)容、數(shù)據(jù)規(guī)模、數(shù)據(jù)來源、機構職能和業(yè)務特點等因素，對數(shù)據(jù)安全性（保密性、完整性、可用性）遭受破壞后所造成的影響進行評估。評估過程中，根據(jù)實際情況識別各項安全性在影響評定中的優(yōu)先級，分別進行保密性、完整性及可用性評估，并綜合考慮保密性、完整性及可用性的評估結果，形成最終安全影響評估。

--保密性評估：通過評價數(shù)據(jù)遭受未經(jīng)授權的披露所造成的影響，以及機構繼續(xù)使用這些數(shù)據(jù)可

能產(chǎn)生的影響，進行數(shù)據(jù)保密性評估。評估的內(nèi)容包括但不限于：

? 數(shù)據(jù)未經(jīng)授權的披露，可能對國家安全、公眾權益、個人隱私及企業(yè)合法權益造成的損害，

以及損害的嚴重程度。

? 數(shù)據(jù)被非授權對象獲取或利用，可能對國家安全、公眾權益、個人隱私及企業(yè)合法權益造

成的損害，以及損害的嚴重程度。

? 數(shù)據(jù)被非授權對象利用進行竊密、篡改、銷毀或拒絕服務等攻擊，可能對國家安全、公眾

權益、個人隱私及企業(yè)合法權益等造成的損害，以及損害的嚴重程度。

? 數(shù)據(jù)的未經(jīng)授權披露或傳播是否違反國家法律法規(guī)、行業(yè)主管部門有關規(guī)定或機構內(nèi)部管

理規(guī)定。

--完整性評估：通過評價數(shù)據(jù)遭受未經(jīng)授權的修改或損毀所造成的影響，以及機構繼續(xù)使用這些

數(shù)據(jù)可能產(chǎn)生的影響，進行數(shù)據(jù)完整性評估。評估的內(nèi)容包括但不限于：

? 數(shù)據(jù)未經(jīng)授權修改或損毀，可能對國家安全、公眾權益、個人隱私及企業(yè)合法權益造成的

損害，以及損害的嚴重程度。

? 數(shù)據(jù)未經(jīng)授權修改或損毀，可能對其他組織或個人造成的損害，以及損害的嚴重程度。

? 數(shù)據(jù)未經(jīng)授權修改或損毀，可能對機構職能、公信力造成的損害，以及損害的嚴重程度。

? 數(shù)據(jù)未經(jīng)授權修改或損毀是否違反國家法律法規(guī)、行業(yè)主管部門有關規(guī)定或機構內(nèi)部管理

規(guī)定。

--可用性評估：通過評價數(shù)據(jù)及其經(jīng)組合/融合后形成的各類數(shù)據(jù)出現(xiàn)訪問或使用中斷所造成的

影響，以及機構無法正常使用這些數(shù)據(jù)可能產(chǎn)生的影響，進行數(shù)據(jù)可用性評估。評估的內(nèi)容包

括但不限于：

? 數(shù)據(jù)的訪問或使用中斷，可能對國家安全、公眾權益、個人隱私及企業(yè)合法權益造成的損

害，以及損害的嚴重程度。

? 數(shù)據(jù)的訪問或使用中斷，可能對機構職能、公信力造成的損害，以及損害的嚴重程度。

? 數(shù)據(jù)的訪問或使用中斷，可能對其他組織或個人造成的損害，以及損害的嚴重程度。

? 數(shù)據(jù)的訪問或使用中斷是否違反國家法律法規(guī)、行業(yè)主管部門有關規(guī)定或機構內(nèi)部管理規(guī)

定。

5.2.2 定級要素識別

通過綜合考慮保密性、完整性和可用性的影響評估結果，識別數(shù)據(jù)安全定級關鍵要素，即作為最終數(shù)據(jù)安全級別評定時所使用的主要影響對象及影響程度，并根據(jù)5.3定級規(guī)則進行數(shù)據(jù)安全級別的評定。

定級要素識別宜至少滿足：

--因不同數(shù)據(jù)在安全性（保密性、完整性、可用性）方面有不同側重，以所側重的安全性評估結

果，作為相應數(shù)據(jù)安全定級的主要依據(jù)。

--數(shù)據(jù)的保密性、完整性和可用性要求基本一致的，則重點以保密性評估所確定的定級要素為主

要定級依據(jù)。