近日，金融监管总局制定发布《银行保障机构数据安全照顾目的》（以下简称《目的》）。推敲司局负责东谈主就推敲问题回复了记者发问。

一、《目的》制定的配景是什么？

答：金融数据具有高价值和高敏锐性，金融数据安全与国度安全和金融顿然者职权密切推敲。连年来，银行业保障业数字化变革加快演进，新期间、新业态不断披露，数据互助分享日益雷同。与此同期，金融限度靠近的数据安全风险场面复杂严峻，也给金融机构数据安全照顾带来新的挑战。对此，有必要充分阐发监管的“指挥棒”作用，通过强化政策条款教唆银行保障机构压实主体包袱，完善里面机制，采选灵验的照顾和期间措施加强数据安全保护，确保客户信息和金融交游数据的安全。

二、《目的》的主要履行和特色是什么？

答：《目的》共9章81条。包括总则、数据安全治理、数据分类分级、数据安全照顾、数据安全期间保护、个东谈主信息保护、数据安全风险监测与搞定、监督照顾及附则。主要特色包括：

一是落实数据安全包袱制。明确银行保障机构党委（党组）、董（理）事会对本单元数据安全职责负主体包袱，机构主要负责东谈主为数据安全第一包袱东谈主，分担数据安全的指导为径直包袱东谈主。

二是明确数据安全归口照顾部门。条款银行保障机构指定数据安全归口照顾部门，当作本机构负责数据安全职责的主责部门，承担制定数据安全照顾轨制设施、陶冶爱护数据目次、激动数据分类分级保护、组织开展风险监测、预警及搞定等职责。

三是将数据安全风险纳入全面风险照顾体系。条款银行保障机构明确照顾经过，主动评估风险，对数据安全风险进行灵验监测，珍藏数据大约、知道、违警运用等安全事件发生。风险照顾、内控合规和审计部门依期对数据安全开展审计、监督查验与评价。

四是强化数据安全评估。条款银行保障机构开展推敲数据处理活动时，应事前开展安全评估。左证数据处理指标、性质和畛域，分析数据安全风险和对数据主体职权影响，评估数据处理的必要性、合规性及防控措施的灵验性。

五是陶冶数据安全保护基线。将数据纳上钩络安全等第保护，对存放或传输敏锐级及以上数据的机房、相聚延迟重心防护，在数据全生命周期内采选灵验拜访截止照顾措施，礼聘安全灵验的传输样式保障数据齐全性、守秘性、可用性。

三、《目的》在数据分类分级方面建议了哪些具体条款？

答：《目的》条款银行保障机构制定数据分类分级保护轨制，陶冶数据目次和分类分级法式，动态照顾和爱护数据目次，并采选互异化的安全保护措施。在数据分类方面，对机构业务及预备照顾过程中得到、产生的数据进行分类照顾，具体类型包括客户数据、业务数据、预备照顾数据、系统运转和安全照顾数据等。在数据分级方面，银行保障机构应左证数据的紧迫性和敏锐进度，将数据分为中枢数据、紧迫数据、一般数据，其中一般数据细分为敏锐数据和其他一般数据；当数据的业务属性、紧迫进度和可能酿成的危害进度发生变化，导致安全级别不再适用的，实时进行径态调理。

四、《目的》挨次的数据安全照顾职责有哪些？

答：《目的》条款银行保障机构按照国度政策条款，左证本身发展政策，制定数据安全保护策略；左证数据处理指标、性质和畛域，按照法律法则和伦理谈德法式条款，对推敲数据业务处理活动进行安全评估，分析数据安全风险和对数据主体职权影响，评估数据处理的必要性、合规性及防控措施的灵验性；采集数据应坚合手“正当、方正、必要、诚信”原则，明确数据采集和处理的指标、样式、畛域、法律诠释，保障采集过程的数据安全性、数据起头可追忆；在数据集团里面分享的过程中，应陶冶总行（公司）与其子公司数据安全隔断的“防火墙”，并对分享数据采选灵验保护措施；《目的》还对数据加工、托付处理、共同处理、数据转动、数据跨境等具体的数据处理场景分辨建议了相应安全照顾条款。

五、《目的》在个东谈主信息保护方面有哪些挨次？

答：《目的》单独成立“个东谈主信息保护”章节，以进一步落实《数据安全法》《个东谈主信息保护法》等上位法条款，体现保护顿然者信息和职权的政策导向。主要挨次包括：银行保障机构处理个东谈主信息应按照“明确示知、授权欢喜”的原则延迟，并限于已矣金融业务处理指方向最小畛域，不得过度采集个东谈主信息。处理、分享和对外提供个东谈主信息时，应当履行必要的示知义务，并取得必要欢喜。不得以个东谈主不欢喜处理其个东谈主信息或者裁撤欢喜为由，阻隔提供产物或者做事，处理个东谈主信息属于提供产物或者做事所必需的之外。在开展波及对个东谈主职权有首要影响的个东谈主信息处理活动时，应当进行个东谈主信息保护影响评估。托付第三方处理个东谈主信息时，应明确受托东谈主对个东谈主信息的保护义务、保护措施和期限等。发生或者可能发生个东谈主信息知道、转换、丢失的，银行保障机构应当立即采选缓助措施，并向监管部门通告。

六、《目的》挨次的数据安全事件济急反映与搞定机制包含哪些履行？

答：《目的》将数据安全事件左证影响畛域和进度，分为相称首要、首要、较大和一般四个级别。条款机构陶冶里面和洽联动机制和外部做事商、第三方机构的通告机制。具体包括：一是制定数据安全事件济急预案，依期开展济急反映培训和济急演练。二是数据安全事件发生后，立即启动济急搞定，分析事件原因、评估事件影响、开展事件定级，按照预案实时采选业务、期间等措施截止事态。三是陶冶数据安全事件通告机制，左证事件安全等第制定通告经过，发生数据安全事件时按照挨次通告，同期按照合同、条约等推敲商定履行客户及互助方示知义务。四是发生数据安全事件或者使用的产物和做事存在劣势时，立即开展窥察评估，实时采选缓助措施。

银行保障机构应在数据安全事件发生2小时内向总局或其派出机构通告，并在事件发生后24小时内提交考究书面通告。发生相称首要数据安全事件，银行保障机构应当立即采选搞定措施，按照挨次实时示知用户并向属地公安机关、金融监管机构通告。银行保障机构应当每2小时将搞定进展情况上报，直至搞定扫尾。数据安全事件搞定扫尾后，银行保障机构应当在五个职责日内将事件过甚搞定的评估、追溯和转换通告报送属地监管部门。

七、《目的》公开征求观念情况怎么？

答：《目的》草拟过程中已等闲征求了推敲部门及各种银行保障机构观念，并组织部分机构召开专题会议现场听取观念建议。2024年3月至4月，总局就《目的》面向社会公开征求观念。各方反馈的推敲合理化观念建议均被采选，未采选观念主要聚合在数据审计周期、监管报送时限等方面。