數據安全定級

5.1 定級要素

5.1.1 概述

安全性(保密性、完整性、可用性)是信息安全風險評估中的重要參考屬性。數據安全性遭到破壞后可能造成的影響(如可能造成的危害、損失或潛在風險等)，是確定數據安全級別的重要判斷依據，主要考慮影響對象與影響程度兩個要素。

5.1.2 影響對象

影響對象指金融業機構數據安全性遭受破壞后受到影響的對象，包括國家安全、公眾權益、個人隱私、企業合法權益等。影響對象的確定主要考慮以下內容：

– 影響對象為國家安全的情況，一般指數據的安全性遭到破壞后，可能對國家政權穩固、領土主權、民族團結、社會和金融市場穩定等造成影響。

– 影響對象為公眾權益的情況，一般指數據的安全性遭到破壞后，可能對生產經營、教學科研、醫療衛生、公共交通等社會秩序和公眾的政治權利、人身自由、經濟權益等造成影響。

– 影響對象為個人隱私的情況，一般指數據的安全性遭到破壞后，可能對個人金融信息主體的個人信息、私人活動和私有領域等造成影響。

– 影響對象為企業合法權益的情況，一般指數據的安全性遭到破壞后，可能對某企業或其他組織(可能是金融業機構，也可能是其他行業機構)的生產運營、聲譽形象、公信力等造成影響。

5.1.3 影響程度

影響程度指金融業機構數據安全性遭到破壞后所產生影響的大小，從高到低劃分為嚴重損害、一般損害、輕微損害和無損害，相關說明如表1所示，可作為影響程度判定的參考。影響程度的確定宜綜合考慮數據類型、數據特征與數據規模等因素，并結合金融業務屬性確定數據安全性遭到破壞后的影響程度，例如：

– 數據安全性遭到破壞后，客戶的個人自然信息產生的影響程度通常要高于單位基本信息。

– 數據安全性遭到破壞后，身份鑒別信息產生的影響程度通常要高于個人基本概況信息。

– 交易信息中對實時性要求較高的數據，其安全性遭到破壞產生的影響程度通常要高于實時性要求較低的數據等。

5.2 要素識別

5.2.1 安全影響評估

安全影響評估宜綜合考慮數據類型、數據內容、數據規模、數據來源、機構職能和業務特點等因素，對數據安全性(保密性、完整性、可用性)遭受破壞后所造成的影響進行評估。評估過程中，根據實際情況識別各項安全性在影響評定中的優先級，分別進行保密性、完整性及可用性評估，并綜合考慮保密性、完整性及可用性的評估結果，形成最終安全影響評估。

– 保密性評估：通過評價數據遭受未經授權的披露所造成的影響，以及機構繼續使用這些數據可能產生的影響，進行數據保密性評估。評估的內容包括但不限于：

• 數據未經授權的披露，可能對國家安全、公眾權益、個人隱私及企業合法權益造成的損害，以及損害的嚴重程度。

• 數據被非授權對象獲取或利用，可能對國家安全、公眾權益、個人隱私及企業合法權益造成的損害，以及損害的嚴重程度。

• 數據被非授權對象利用進行竊密、篡改、銷毀或拒絕服務等攻擊，可能對國家安全、公眾權益、個人隱私及企業合法權益等造成的損害，以及損害的嚴重程度。

• 數據的未經授權披露或傳播是否違反國家法律法規、行業主管部門有關規定或機構內部管理規定。

– 完整性評估：通過評價數據遭受未經授權的修改或損毀所造成的影響，以及機構繼續使用這些數據可能產生的影響，進行數據完整性評估。評估的內容包括但不限于：

• 數據未經授權修改或損毀，可能對國家安全、公眾權益、個人隱私及企業合法權益造成的損害，以及損害的嚴重程度。

• 數據未經授權修改或損毀，可能對其他組織或個人造成的損害，以及損害的嚴重程度。

• 數據未經授權修改或損毀，可能對機構職能、公信力造成的損害，以及損害的嚴重程度。

• 數據未經授權修改或損毀是否違反國家法律法規、行業主管部門有關規定或機構內部管理規定。

– 可用性評估：通過評價數據及其經組合/融合后形成的各類數據出現訪問或使用中斷所造成的影響，以及機構無法正常使用這些數據可能產生的影響，進行數據可用性評估。評估的內容包

• 數據的訪問或使用中斷，可能對國家安全、公眾權益、個人隱私及企業合法權益造成的損害，以及損害的嚴重程度。

• 數據的訪問或使用中斷，可能對機構職能、公信力造成的損害，以及損害的嚴重程度。

• 數據的訪問或使用中斷，可能對其他組織或個人造成的損害，以及損害的嚴重程度。

• 數據的訪問或使用中斷是否違反國家法律法規、行業主管部門有關規定或機構內部管理規定。

5.2.2 定級要素識別

通過綜合考慮保密性、完整性和可用性的影響評估結果，識別數據安全定級關鍵要素，即作為最終數據安全級別評定時所使用的主要影響對象及影響程度，并根據5.3定級規則進行數據安全級別的評定。

定級要素識別宜至少滿足：

– 因不同數據在安全性(保密性、完整性、可用性)方面有不同側重，以所側重的安全性評估結果，作為相應數據安全定級的主要依據。

– 數據的保密性、完整性和可用性要求基本一致的，則重點以保密性評估所確定的定級要素為主要定級依據。

5.3 定級規則

5.3.1 安全級別概述

本標準根據金融業機構數據安全性遭受破壞后的影響對象和所造成的影響程度，將數據安全級別從高到低劃分為5級、4級、3級、2級、1級，一般具有如下特征：

– 5級數據特征如下：

• 重要數據，通常主要用于金融業大型或特大型機構、金融交易過程中重要核心節點類機構的關鍵業務使用，一般針對特定人員公開，且僅為必須知悉的對象訪問或使用。

• 數據安全性遭到破壞后，對國家安全造成影響，或對公眾權益造成嚴重影響。

注：“必須知悉”是指對數據確定知悉范圍，只有對數據知悉有明確的必要性時，該對象才能對數據知悉。一般情況下遵循工作需要原則和最小化原則，前者指因工作必須才可知悉，后者指知悉的范圍滿足最小夠用即可。

– 4級數據特征如下：

• 數據通常主要用于金融業大型或特大型機構、金融交易過程中重要核心節點類機構的重要業務使用，一般針對特定人員公開，且僅為必須知悉的對象訪問或使用。

• 個人金融信息中的C3類信息。

• 數據安全性遭到破壞后，對公眾權益造成一般影響，或對個人隱私或企業合法權益造成嚴重影響，但不影響國家安全。

– 3級數據特征如下：

• 數據用于金融業機構關鍵或重要業務使用，一般針對特定人員公開，且僅為必須知悉的對象訪問或使用。

• 個人金融信息中的C2類信息。

• 數據的安全性遭到破壞后，對公眾權益造成輕微影響，或對個人隱私或企業合法權益造成一般影響，但不影響國家安全。

– 2級數據特征如下：

• 數據用于金融業機構一般業務使用，一般針對受限對象公開，通常為內部管理且不宜廣泛公開的數據。

• 個人金融信息中的C1類信息。

• 數據的安全性遭到破壞后，對個人隱私或企業合法權益造成輕微影響，但不影響國家安全、公眾權益。

– 1級數據特征如下：

• 數據一般可被公開或可被公眾獲知、使用。

• 個人金融信息主體主動公開的信息。

• 數據的安全性遭到破壞后，可能對個人隱私或企業合法權益不造成影響，或僅造成微弱影響但不影響國家安全、公眾權益。

5.3.2 定級通用規則

金融數據安全級別劃分的通用規則包括但不限于：

– 重要數據的安全等級不可低于本標準所述5級。

注：重要數據的內容及范圍參照國家級行業主管部門有關規定執行。

– 個人金融信息相關數據參照 JR/T 0171一2020 進行定級，并在數據安全定級過程中從高考慮。

– 對于數據體量大，涉及的客戶(包含個人客戶和單位客戶)多、涉及客戶(包含個人客戶和單位客戶)資金量大、涉及多行業及多機構客戶的情況，影響程度宜從高確定。

綜上所述，數據安全級別劃定規則如表2所示。根據本標準所述定級規則，本標準給出了金融業典型數據類型及其建議劃分的最低安全級別，參見附錄A，供各金融業機構在數據資產梳理及定級過程中參考。

5.4 定級過程

5.4.1 組織保障

確定數據安全管理最高決策組織，設立并明確相關部門(或組織)及其職責，包括但不限于：

– 本機構數據分級工作的領導組織及其負責人，主要負責統籌、規劃數據安全分級工作。

– 本機構數據分級工作的管理部門(或組織)及其負責人，主要負責數據分級相關工作的組織、協調、管理、審核、評審等工作。

– 本機構信息科技部門及其負責人在數據安全分級工作中的角色，主要負責落實數據安全分級有關要求，并主導數據安全分級實施工作。

– 本機構業務部門(和/或數據屬主部門)及其負責人在數據安全分級工作中的角色，主要負責落實數據安全分級有關要求，并協同開展數據安全分級實施工作。

– 本機構其他相關部門在數據安全分級工作中的角色、職責及負責人。

5.4.2 制度保障

建立數據分級工作的相關制度，明確并落實相關工作要求，包括但不限于：

– 數據分級的目標和原則。

– 數據分級工作涉及的角色、部門及相關職責。

– 數據分級的方法和具體要求。

– 數據分級的日常管理流程和操作規程，以及分級結果的確定、評審、批準、發布和變更機制。

– 數據分級管理相關績效考核和評價機制。

– 數據分級結果的發布、備案和管理的相關規定。

– 數據分級清單審核與修訂的原則和周期。

5.4.3 定級流程

金融數據安全定級過程包括數據資產梳理、數據安全定級準備、數據安全級別判定、數據安全級別審核及數據安全級別批準，具體工作流程如圖1所示。

數據定級流程基本步驟如下：

數據資產梳理：

第一步：對數據進行盤點、梳理與分類，形成統一的數據資產清單，并進行數據安全定級合規性相關準備工作。

數據安全定級準備：

第二步：明確數據定級的顆粒度(如庫文件、表、字段等)。

第三步：識別數據安全定級關鍵要素。

數據安全級別判定：

第四步：按照5.3所述數據定級規則，結合國家及行業有關法律法規、部門規章，對數據安全等級進行初步判定。

第五步：綜合考慮數據規模、數據時效性、數據形態(如是否經匯總、加工、統計、脫敏或匿名化處理等)等因素，對數據安全級別進行復核，調整形成數據安全級別評定結果及定級清單。

數據安全級別審核：

第六步：審核數據安全級別評定過程和結果，必要時重復第三步及其后工作，直至安全級別的劃定與本機構數據安全保護目標一致。

數據安全級別批準：

第七步：最終由數據安全管理最高決策組織對數據安全分級結果進行審議批準。

5.5 級別變更

數據安全定級完成后，出現下列情形之一時，金融業機構宜對相關數據的安全級別進行變更(相關示例參見附錄B)，并按照5.4.3數據定級流程實施。

– 數據內容發生變化，導致原有數據的安全級別不適用變化后的數據。

數據內容未發生變化，但因數據時效性、數據規模、數據使用場景、數據加工處理方式等發生變化，導致原定的數據安全級別不再適用。

– 因數據匯聚融合，導致原有數據安全級別不再適用匯聚融合后的數據。

– 因國家或行業主管部門要求，導致原定的數據安全級別不再適用。

– 需要對數據安全級別進行變更的其他情形。