JR∕T 0197-2020 金融数据安全 数据安全分级指南(金融).pdf

ICS 35.240.40 A 11 JR 中 华 人 民 共 和 国 金 融 行 业 标 准 JR/T 01972020 金融数据安全 数据安全分级指南 Financial data securityGuidelines for data security classification 2020 - 09 - 23 发布 2020 - 09 - 23 实施 中国人民银行 发 布 JR/T 01972020 I 目 次 前言 . II 引言 . III 1 范围 . 1 2 规范性引用文件 . 1 3 术语和定义 . 1 4 目标、原则和范围 . 3 5 数据安全定级 . 4 6 重要数据识别 . 10 附录 A（资料性附录）数据定级规则参考表 . 11 附录 B（资料性附录）数据安全级别变化事宜 . 46 附录 C（资料性附录）重要数据 . 47 参考文献 . 48 JR/T 01972020 II 前 言 本标准按照GB/T 1.12009给出的规则起草。 本标准由中国人民银行提出。 本标准由全国金融标准化技术委员会（SAC/TC 180）归口。 本标准起草单位：中国人民银行科技司、中国银行保险监督管理委员会统计信息与风险监测部、国家金融IC卡安全检测中心（银行卡检测中心）、深圳市长亮科技股份有限公司、中国银行保险信息技术管理有限公司、招商银行股份有限公司、中国平安财产保险股份有限公司、中国长城资产管理股份有限公司、蚂蚁科技集团股份有限公司、平安保险（集团）股份有限公司、中国人民银行金融信息中心、中国人民银行数字货币研究所、兴业银行股份有限公司、中国农业银行股份有限公司、中国建设银行股份有限公司、中国工商银行股份有限公司、恒丰银行股份有限公司、中国银联股份有限公司、网联清算有限公司、中国银行股份有限公司、平安银行股份有限公司、中电数据服务有限公司，中国电力财务有限公司、中国外汇交易中心、中国人民银行营业管理部、中国人民银行南京分行、中国人民银行福州中心支行、中国金融电子化公司、西南财经大学。 本标准主要起草人：李伟、陈立吾、沈筱彦、车珍、曲维民、昝新、夏磊、方怡、孙衍琪、渠韶光、陈聪、居崑、杨波、高强裔、熊琳、辜敏、陈裕源、张曦、李隆春、李水旺、俞吴杰、刘建民、张小松、由宜、吕良玉、落红卫、王昕、姜永庆、黄飞生、王衍强、朱建强、时向一、狄刚、吕毅、栾家阳，郭智超、赵珺、万适、刘静芳、刘超、范博文、李雯、张耀峰、郑超、吴彦涵、杨溢、强群力、郭林、陈雪秀、公丽丽、母延燕、马鑫、周亚超、王良浩、梁钰清、缪章娟、薛金川、任军远、廖学清、刘书元、侯漫丽、陈文。 JR/T 01972020 III 引 言 随着信息技术的发展，众多金融基础业务、核心流程、行业间往来等事务和活动均已运行在信息化支撑载体之上， 金融业机构生产运行过程中产生的信息也逐步以不同形式转化为数字资产， 在不同信息网络与系统之间流转。随着大数据、人工智能、云计算等新技术在金融业的深入应用，数据逐步实现了从信息化资产到生产要素的转变， 其重要性日益凸显。 金融业机构数据安全威胁的影响范围逐步从机构内扩大至行业间，甚至影响国家安全、社会秩序、公众利益与金融市场稳定。 金融数据复杂多样，对数据实施分级管理，能够进一步明确数据保护对象，有助于金融业机构合理分配数据保护资源和成本， 是金融业机构建立完善的金融数据生命周期保护框架的基础， 也是有的放矢地实施数据安全管理的前提条件。同时，统一的数据分级管理制度，能够促进数据在机构间、行业间的安全共享，有利于金融行业数据价值的挖掘与实现。 为落实中共中央、 国务院加强数据资源整合和安全保护相关工作要求， 指导金融业机构合理开展金融数据安全定级工作， 有效落实金融数据生命周期全过程安全管理策略， 进一步提高金融业数据管理和安全防护水平，确保金融数据的安全应用，编制本标准。 JR/T 01972020 1 金融数据安全 数据安全分级指南 1 范围 本标准给出了金融数据安全分级的目标、 原则和范围， 以及数据安全定级的要素、 规则和定级过程。 本标准适用于金融业机构开展电子数据安全分级工作， 并为第三方评估机构等单位开展数据安全检查与评估工作提供参考。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。 凡是注日期的引用文件， 仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 47542017 国民经济行业分类 GB/T 5271.12000 信息技术 词汇 第1部分：基本术语 GB/T 250692010 信息安全技术 术语 GB/Z 288282012 信息安全技术 公共及商用服务信息系统个人信息保护指南 GB/T 352732020 信息安全技术 个人信息安全规范 JR/T 01582018 证券期货业数据分类分级指引 JR/T 01712020 个人金融信息保护技术规范 3 术语和定义 GB/T 250692010、GB/T 352732017界定的以及下列术语和定义适用于本文件。 3.1 信息 information 关于客体（如事实、事件、事物、过程或思想，包括概念）的知识，在一定的场合中具有特定的意义。 注：改写GB/T 5271.12000，定义2.01.01.01。 3.2 数据 data 信息的可再解释的形式化表示，以适用于通信、解释或处理。 注：可以通过人工或自动手段处理。 GB/T 5271.12000，定义2.01.01.02 3.3 隐私 privacy 个人所具有的控制或影响与之相关信息的权限，涉及由谁收集和存储、由谁披露。 JR/T 01972020 2 GB/T 250692010，定义2.1.63 3.4 信息处理 information processing 对信息操作的系统执行，包括数据处理，也可包括诸如数据通信和办公自动化之类的操作。 注：术语“信息处理”不能用为“数据处理”的同义词。 GB/T 5271.12000，定义2.01.01.05 3.5 数据处理 data processing 数据操作的系统执行。 示例：数据的数学运算或逻辑运算，数据的归并或分类，程序的汇编或编译，或文本的操作，诸如编辑、分类、归并、存储、检索、显示或打印。 注1：术语“数据处理”不能用为“信息处理”的同义词。 注2：改写 GB/T 5271.12000，定义 2.01.01.06 3.6 保密性 confidentiality 使信息不泄露给未授权的个人、实体、进程，或不被其利用的特性。 GB/T 250692010，定义2.1.1 3.7 完整性 integrity 保卫资产准确和完整的特性。 注：改写GB/T 250692010，定义2.1.42。 3.8 可用性 availability 已授权实体一旦需要就可访问和使用的数据和资源的特性。 GB/T 250692010，定义2.1.20 3.9 安全级别 security level 有关敏感信息访问的级别划分，以此级别加之安全范畴能更精细地控制对数据的访问。 GB/T 250692010，定义2.2.1.6 3.10 金融数据 financial data 金融业机构开展金融业务、提供金融服务以及日常经营管理所需或产生的各类数据。 注：该类数据可用传统数据处理技术或大数据处理技术进行组织、存储、计算、分析和管理。 3.11 个人金融信息 personal financial information JR/T 01972020 3 金融业机构通过提供金融产品和服务或者其他渠道获取、加工和保存的个人信息。 注1：个人金融信息包括账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息及其他反映特定个人某些情况的信息。 注2：改写 GB/T 352732020，定义 3.1。 3.12 个人金融信息主体 personal financial information subject 个人金融信息所标识的自然人。 注：改写GB/T 352732020，定义3.3。 3.13 影响 impact 事件的后果。在信息安全中，一般指不测事件的后果。 GB/T 250692010，定义2.3.105 4 目标、原则和范围 4.1 数据安全定级目标 数据安全定级旨在对数据资产进行全面梳理并确立适当的数据安全分级， 是金融业机构实施有效数据分级管理的必要前提和基础。 数据分级管理是建立统一、 完善的数据生命周期安全保护框架的基础工作，能够为金融业机构制定有针对性的数据安全管控措施提供支撑。金融业包括货币金融服务、资本市场服务、保险业等，参见GB/T 47542017。本标准所述“金融业机构”是指从事上述金融业的相关机构。 4.2 数据安全定级原则 数据安全定级遵循以下原则： a) 合法合规性原则：满足国家法律法规及行业主管部门有关规定。 b) 可执行性原则：数据定级规则避免过于复杂，以确保数据定级工作的可行性。 c) 时效性原则：数据安全级别具有一定的有效期限，金融业机构宜按照级别变更策略对数据级别进行及时调整。 d) 自主性原则：结合金融业机构自身数据管理需要（如战略需要、业务需要、风险接受程度等），在本标准的框架下自主确定数据安全级别。 e) 差异性原则：根据本机构数据的类型、敏感程度等差异，划分不同的数据安全层级，并将数据分散至不同的级别中，不宜将所有数据集中划分到其中若干个级别中。 f) 客观性原则：数据定级规则是客观且可校验的，即通过数据自身的属性和定级规则即可判定其级别，并且数据的定级是可复核和检查的。 4.3 数据安全定级范围 金融数据安全定级过程中，未经电子化的金融数据，依据档案文件等有关管理规范执行；涉及国家秘密的金融数据，依据国家有关法律法规执行，不在本标准规定的范围之内。证券行业数据安全分级工作可参照JR/T 01582018执行。其中，安全定级工作所涉及的金融数据包括但不限于： 提供金融产品或服务过程中直接（或间接）采集的数据，包括通过柜面以纸质协议签署或收JR/T 01972020 4 集，并经信息处理后在计算机系统中流转或保存的数据，以及通过信息系统签约或收集的电子信息。 金融业机构信息系统内生成和存储的数据，包括业务数据、经营管理数据等，其中： 业务数据指金融业机构在提供金融产品或服务过程中产生的数据， 如交易信息、 统计数据等。 经营管理数据指金融业机构在履行职能与经营管理过程中采集、 产生的数据， 如营销服务数据、运营数据、风险管理数据、技术管理数据（如程序代码、系统以及网络等）、统计分析数据、综合管理数据等。 金融业机构内部办公网络与办公设备（终端）中产生、交换、归档的电子数据，如机构内部日常事务处理信息、政策法规与部门规章、业务终端临时存储的业务或经营管理数据、电子邮件信息等。 金融业机构原纸质文件经过扫描或其他电子化手段形成的电子数据。 其他宜进行分级的金融数据。 5 数据安全定级 5.1 定级要素 5.1.1 概述 安全性（保密性、完整性、可用性）是信息安全风险评估中的重要参考属性。数据安全性遭到破坏后可能造成的影响（如可能造成的危害、损失或潜在风险等），是确定数据安全级别的重要判断依据，主要考虑影响对象与影响程度两个要素。 5.1.2 影响对象 影响对象指金融业机构数据安全性遭受破坏后受到影响的对象，包括国家安全、公众权益、个人隐私、企业合法权益等。影响对象的确定主要考虑以下内容： 影响对象为国家安全的情况，一般指数据的安全性遭到破坏后，可能对国家政权稳固、领土主权、民族团结、社会和金融市场稳定等造成影响。 影响对象为公众权益的情况，一般指数据的安全性遭到破坏后，可能对生产经营、教学科研、医疗卫生、公共交通等社会秩序和公众的政治权利、人身自由、经济权益等造成影响。 影响对象为个人隐私的情况，一般指数据的安全性遭到破坏后，可能对个人金融信息主体的个人信息、私人活动和私有领域等造成影响。 影响对象为企业合法权益的情况，一般指数据的安全性遭到破坏后，可能对某企业或其他组织（可能是金融业机构，也可能是其他行业机构）的生产运营、声誉形象、公信力等造成影响。 5.1.3 影响程度 影响程度指金融业机构数据安全性遭到破坏后所产生影响的大小， 从高到低划分为严重损害、 一般损害、轻微损害和无损害，相关说明如表1所示，可作为影响程度判定的参考。影响程度的确定宜综合考虑数据类型、 数据特征与数据规模等因素， 并结合金融业务属性确定数据安全性遭到破坏后的影响程度，例如： 数据安全性遭到破坏后，客户的个人自然信息产生的影响程度通常要高于单位基本信息。 数据安全性遭到破坏后，身份鉴别信息产生的影响程度通常要高于个人基本概况信息。 JR/T 01972020 5 交易信息中对实时性要求较高的数据，其安全性遭到破坏产生的影响程度通常要高于实时性要求较低的数据等。 表1 影响程度说明 影影响响程度程度 参考说明参考说明 严重损害 1.可能导致危及国家安全的重大事件，发生危害国家利益或造成重大损失的情况。 2.可能导致严重危害社会秩序和公共利益，引发公众广泛诉讼等事件，或者导致金融市场秩序遭到严重破坏等情况。 3.可能导致金融业机构遭到监管部门严重处罚，或者影响重要/关键业务无法正常开展的情况。 4.可能导致重大个人信息安全风险、侵犯个人隐私等严重危害个人权益的事件。 一般损害 1.可能导致危害社会秩序和公共利益的事件，引发区域性集体诉讼事件，或者导致金融市场秩序遭到破坏等情况。 2.可能导致金融业机构遭到监管部门处罚，或者影响部分业务无法正常开展的情况。 3.可能导致一定规模的个人信息泄漏、滥用等安全风险，或对个人权益可能造成一定影响的事件。 轻微损害 1.可能导致个别诉讼事件，使金融业机构经济利益、声誉等轻微受损。 2.可能导致金融业机构部分业务临时性中断等情况。 3.可能导致超出个人客户授权加工、处理、使用数据等情况，对个人权益造成部分或潜在影响。 无损害 对企业合法权益和个人隐私等不造成影响，或仅造成微弱影响但不会影响国家安全、公众权益、金融市场秩序或者金融业机构各项业务正常开展。 5.2 要素识别 5.2.1 安全影响评估 安全影响评估宜综合考虑数据类型、 数据内容、 数据规模、 数据来源、 机构职能和业务特点等因素，对数据安全性（保密性、完整性、可用性）遭受破坏后所造成的影响进行评估。评估过程中，根据实际情况识别各项安全性在影响评定中的优先级，分别进行保密性、完整性及可用性评估，并综合考虑保密性、完整性及可用性的评估结果，形成最终安全影响评估。 保密性评估： 通过评价数据遭受未经授权的披露所造成的影响， 以及机构继续使用这些数据可能产生的影响，进行数据保密性评估。评估的内容包括但不限于： 数据未经授权的披露， 可能对国家安全、 公众权益、 个人隐私及企业合法权益造成的损害，以及损害的严重程度。 数据被非授权对象获取或利用，可能对国家安全、公众权益、个人隐私及企业合法权益造成的损害，以及损害的严重程度。 数据被非授权对象利用进行窃密、篡改、销毁或拒绝服务等攻击，可能对国家安全、公众权益、个人隐私及企业合法权益等造成的损害，以及损害的严重程度。 数据的未经授权披露或传播是否违反国家法律法规、 行业主管部门有关规定或机构内部管理规定。 完整性评估： 通过评价数据遭受未经授权的修改或损毁所造成的影响， 以及机构继续使用这些数据可能产生的影响，进行数据完整性评估。评估的内容包括但不限于： 数据未经授权修改或损毁，可能对国家安全、公众权益、个人隐私及企业合法权益造成的损害，以及损害的严重程度。 数据未经授权修改或损毁，可能对其他组织或个人造成的损害，以及损害的严重程度。 数据未经授权修改或损毁，可能对机构职能、公信力造成的损害，以及损害的严重程度。 JR/T 01972020 6 数据未经授权修改或损毁是否违反国家法律法规、 行业主管部门有关规定或机构内部管理规定。 可用性评估：通过评价数据及其经组合/融合后形成的各类数据出现访问或使用中断所造成的影响，以及机构无法正常使用这些数据可能产生的影响，进行数据可用性评估。评估的内容包括但不限于： 数据的访问或使用中断，可能对国家安全、公众权益、个人隐私及企业合法权益造成的损害，以及损害的严重程度。 数据的访问或使用中断，可能对机构职能、公信力造成的损害，以及损害的严重程度。 数据的访问或使用中断，可能对其他组织或个人造成的损害，以及损害的严重程度。 数据的访问或使用中断是否违反国家法律法规、 行业主管部门有关规定或机构内部管理规定。 5.2.2 定级要素识别 通过综合考虑保密性、完整性和可用性的影响评估结果，识别数据安全定级关键要素，即作为最终数据安全级别评定时所使用的主要影响对象及影响程度， 并根据5.3定级规则进行数据安全级别的评定。定级要素识别宜至少满足： 因不同数据在安全性（保密性、完整性、可用性）方面有不同侧重，以所侧重的安全性评估结果，作为相应数据安全定级的主要依据。 数据的保密性、 完整性和可用性要求基本一致的， 则重点以保密性评估所确定的定级要素为主要定级依据。 5.3 定级规则 5.3.1 安全级别概述 本标准根据金融业机构数据安全性遭受破坏后的影响对象和所造成的影响程度， 将数据安全级别从高到低划分为5级、4级、3级、2级、1级，一般具有如下特征： 5 级数据特征如下： 重要数据， 通常主要用于金融业大型或特大型机构、 金融交易过程中重要核心节点类机构的关键业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。 数据安全性遭到破坏后，对国家安全造成影响，或对公众权益造成严重影响。 注：“必须知悉”是指对数据确定知悉范围，只有对数据知悉有明确的必要性时，该对象才能对数据知悉。一般情况下遵循工作需要原则和最小化原则，前者指因工作必须才可知悉，后者指知悉的范围满足最小够用即可。 4 级数据特征如下： 数据通常主要用于金融业大型或特大型机构、 金融交易过程中重要核心节点类机构的重要业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。 个人金融信息中的 C3 类信息。 数据安全性遭到破坏后， 对公众权益造成一般影响， 或对个人隐私或企业合法权益造成严重影响，但不影响国家安全。 3 级数据特征如下： 数据用于金融业机构关键或重要业务使用， 一般针对特定人员公开， 且仅为必须知悉的对象访问或使用。 个人金融信息中的 C2 类信息。 数据的安全性遭到破坏后， 对公众权益造成轻微影响， 或对个人隐私或企业合法权益造成JR/T 01972020 7 一般影响，但不影响国家安全。 2 级数据特征如下： 数据用于金融业机构一般业务使用， 一般针对受限对象公开， 通常为内部管理且不宜广泛公开的数据。 个人金融信息中的 C1 类信息。 数据的安全性遭到破坏后， 对个人隐私或企业合法权益造成轻微影响， 但不影响国家安全、公众权益。 1 级数据特征如下： 数据一般可被公开或可被公众获知、使用。 个人金融信息主体主动公开的信息。 数据的安全性遭到破坏后， 可能对个人隐私或企业合法权益不造成影响， 或仅造成微弱影响但不影响国家安全、公众权益。 5.3.2 定级通用规则 金融数据安全级别划分的通用规则包括但不限于： 重要数据1)的安全等级不可低于本标准所述 5 级。 个人金融信息相关数据参照 JR/T 01712020 进行定级，并在数据安全定级过程中从高考虑。 对于数据体量大，涉及的客户（包含个人客户和单位客户）多、涉及客户（包含个人客户和单位客户）资金量大、涉及多行业及多机构客户的情况，影响程度宜从高确定。 综上所述，数据安全级别划定规则如表2所示。根据本标准所述定级规则，本标准给出了金融业典型数据类型及其建议划分的最低安全级别，参见附录A，供各金融业机构在数据资产梳理及定级过程中参考。 表2 数据安全定级规则参考表 最最低低安全安全级别参考级别参考 数据定级要数据定级要素素 数据一般特征数据一般特征 影响对象影响对象 影响程度影响程度 5 国家安全 严重损害/一般损害/轻微损害 重要数据，通常主要用于金融业大型或特大型机构、金融交易过程中重要核心节点类机构的关键业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。 数据安全性遭到破坏后，对国家安全造成影响，或对公众权益造成严重影响。 5 公众权益 严重损害 4 公众权益 一般损害 数据通常主要用于金融业大型或特大型机构、金融交易过程中重要核心节点类机构的重要业务使用， 一般针对特定人员公开，且仅为必须知悉的对象访问或使用。 个人金融信息中的 C3 类信息。 数据安全性遭到破坏后，对公众权益造成一般影响，或对个人隐私或企业合法权益造成严重影响，但不影响国家安全。 4 个人隐私 严重损害 4 企业合法权益 严重损害 3 公众权益 轻微损害 数据用于金融业机构关键或重要业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。 个人金融信息中的 C2 类信息。 数据的安全性遭到破坏后，对公众权益造成轻微影响，或对个3 个人隐私 一般损害 3 企业合法权益 一般损害 1) 重要数据的内容及范围参照国家及行业主管部门有关规定执行。 JR/T 01972020 8 最最低低安全安全级别参考级别参考 数据定级要数据定级要素素 数据一般特征数据一般特征 影响对象影响对象 影响程度影响程度 人隐私或企业合法权益造成一般影响，但不影响国家安全。 2 个人隐私 轻微损害 数据用于金融业机构一般业务使用，一般针对受限对象公开，通常为内部管理且不宜广泛公开的数据。 个人金融信息中的 C1 类信息。 数据的安全性遭到破坏后，对个人隐私或企业合法权益造成轻微影响，但不影响国家安全、公众权益。 2 企业合法权益 轻微损害 1 国家安全 无损害 数据一般可被公开或可被公众获知、使用。 个人金融信息主体主动公开的信息。 数据的安全性遭到破坏后，可能对个人隐私或企业合法权益不造成影响，或仅造成微弱影响但不影响国家安全、公众权益。 1 公众权益 无损害 1 个人隐私 无损害 1 企业合法权益 无损害 5.4 定级过程 5.4.1 组织保障 确定数据安全管理最高决策组织，设立并明确相关部门（或组织）及其职责，包括但不限于： 本机构数据分级工作的领导组织及其负责人，主要负责统筹、规划数据安全分级工作。 本机构数据分级工作的管理部门（或组织）及其负责人，主要负责数据分级相关工作的组织、协调、管理、审核、评审等工作。 本机构信息科技部门及其负责人在数据安全分级工作中的角色， 主要负责落实数据安全分级有关要求，并主导数据安全分级实施工作。 本机构业务部门（和/或数据属主部门）及其负责人在数据安全分级工作中的角色，主要负责落实数据安全分级有关要求，并协同开展数据安全分级实施工作。 本机构其他相关部门在数据安全分级工作中的角色、职责及负责人。 5.4.2 制度保障 建立数据分级工作的相关制度，明确并落实相关工作要求，包括但不限于： 数据分级的目标和原则。 数据分级工作涉及的角色、部门及相关职责。 数据分级的方法和具体要求。 数据分级的日常管理流程和操作规程，以及分级结果的确定、评审、批准、发布和变更机制。 数据分级管理相关绩效考核和评价机制。 数据分级结果的发布、备案和管理的相关规定。 数据分级清单审核与修订的原则和周期。 5.4.3 定级流程 金融数据安全定级过程包括数据资产梳理、数据安全定级准备、数据安全级别判定、数据安全级别审核及数据安全级别批准，具体工作流程如图1所示。 JR/T 01972020 9 图1 数据安全定级工作流程 数据定级流程基本步骤如下： 数据资产梳理： 第一步：对数据进行盘点、梳理与分类，形成统一的数据资产清单，并进行数据安全定级合规性相关准备工作。 数据安全定级准备： 第二步：明确数据定级的颗粒度（如库文件、表、字段等）。 第三步：识别数据安全定级关键要素。 数据安全级别判定： 第四步：按照5.3所述数据定级规则，结合国家及行业有关法律法规、部门规章，对数据安全等级进行初步判定。 第五步：综合考虑数据规模、数据时效性、数据形态（如是否经汇总、加工、统计、脱敏或匿名化处理等）等因素，对数据安全级别进行复核，调整形成数据安全级别评定结果及定级清单。 数据安全级别审核： 第六步：审核数据安全级别评定过程和结果，必要时重复第三步及其后工作，直至安全级别的划定与本机构数据安全保护目标一致。 数据安全级别批准： JR/T 01972020 10 第七步：最终由数据安全管理最高决策组织对数据安全分级结果进行审议批准。 5.5 级别变更 数据安全定级完成后，出现下列情形之一时，金融业机构宜对相关数据的安全级别进行变更（相关示例参见附录B），并按照5.4.3数据定级流程实施。 数据内容发生变化，导致原有数据的安全级别不适用变化后的数据。 数据内容未发生变化，但因数据时效性、数据规模、数据使用场景、数据加工处理方式等发生变化，导致原定的数据安全级别不再适用。 因数据汇聚融合，导致原有数据安全级别不再适用汇聚融合后的数据。 因国家或行业主管部门要求，导致原定的数据安全级别不再适用。 需要对数据安全级别进行变更的其他情形。 6 重要数据识别 金融业机构所承载重要数据的识别和认定工作宜遵照国家及行业主管部门有关规定执行。 重要数据的性质和内容相关描述参见附录C，仅供金融业机构开展数据安全分级工作时参考使用。重要数据的安全级别不宜低于本标准中确定的5级。 JR/T 01972020 11 附 录 A （资料性附录） 数据定级规则参考表 金融业机构典型数据的定级规则参考如表A.1所示，实际应用过程中，各金融业机构宜根据其所管辖数据的类型、特性、规模以及机构特性等因素，综合考虑本机构数据安全管理的总体目标和安全策略要求，按照一定的颗粒度对数据资产进行合理的梳理、归类和细分，最终确定数据的安全级别划分清单。此外，金融业机构所承载重要数据的安全级别宜不低于本标准确定的5级。重要数据的识别、认定及保护工作依据国家及行业主管部门有关规定和要求执行。 表 A.1 金融业机构典型数据定级规则参考表 数据归类和细分数据归类和细分 安全级别安全级别 备注备注 一级一级 子类子类 二级二级 子类子类 定义定义 说明说明 三级三级 子类子类 定义说明定义说明 四级子类四级子类 内容内容 最低安全最低安全级别参考级别参考 客户 个人 指金融业机构提供各种业务服务的自然人对象相关的各类信息。 个人自然信息 指个人的自然属性信息，即个人本身具有的属性，而非在金融业机构业务开展过程中产生的属性信息。 个人基本概况信息 指个人基本情况数据，如个人姓名、性别、国籍、海外账户纳税法案（FATCA）有关个人身份数据、民族、婚姻状况、证件类型、证件号码、证件生效日期、证件到期日期、家庭住址等。 3 个人财产信息 指个人的财产数据，如个人收入状况、拥有的不动产状况、拥有的车辆状况、纳税额、公积金缴存金额、个人社保与医保存缴金额等。 3 个人联系信息 指个人各类通信联系方式数据，如手机、固定电话、电子邮箱地址、微信号等。 3 个人健康生理信息 指个人生病医治过程中产生的相关记录数据，如病症、住院志、医嘱单、检验报告、手术及麻醉记录、护理记录、用药记录、药物食物过敏信息、生育信息、以往病史、诊治情况、家族病史、现病史、传染病史等，以及与个人身体健康状况相关的其他信息，如吸烟史等。 4 个人地理位置信息 指描述能具体定位到个人的地理位置数据，如包含所在国家、城市、区域、街道、经纬度等维度信息下的常在位置和当前位置等 。 3 JR/T 01972020 12 数据归类和细分数据归类和细分 安全级别安全级别 备注备注 一级一级 子类子类 二级二级 子类子类 定义定义 说明说明 三级三级 子类子类 定义说明定义说明 四级子类四级子类 内容内容 最低安全最低安全级别参考级别参考 个人就学信息 指个人受教育情况的记录数据，如入学日期、毕业日期、就学的学校名称、就学的学校院系、学历、学位及学科信息等。 2 个人职业信息 指个人就职的历史记录数据，如工作单位、工作开始日期、工作结束日期、职位、工作地点、收入情况（含收入值）等。 2 个人资质证书信息 指个人获得资质证书的记录数据，如资质证书的编号、颁发机构、生效日期、到期日期等。 2 个人党政信息 指个人政治面貌相关数据，如党派所属、加入党派时间等。 2 个人身份鉴别信息 指个人身份鉴别依赖的信息，该类信息一旦遭到未经授权的查看或未经授权的变更，会对个人金融信息主体的信息安全与财产安全造成严重危害。 传统鉴别信息 指各类常规个人身份鉴别技术手段所依赖的数据，如银行卡磁道（或芯片等效信息）、卡片验证码（CVN 和 CVN2）、卡片有效期、银行卡密码、支付密码、账户（包括但不限于支付账号、网络支付业务系统中个人金融信息主体登录用户、证券账户、保险账户）的登录密码、交易密码，账户查询密码、USBKEY、U 盾（网银、手机银行密保工具信息）等。 4 弱隐私生物特征信息 指用于身份鉴别的弱隐私个人生物特征样本数据与特征值数据，如人脸、声纹、步态、耳纹、眼纹、笔迹等。 4 强隐私生物特征信息 指用于身份鉴别的强隐私个人生物特征样本数据与特征值数据，如指纹、虹膜等。 4 鉴别辅助信息 指辅助用于身份鉴别的数据，如动态口令、短信验证码、密码提示问题答案、动态声纹密码等。 3 个人资讯信息 指用于补充个人基础信息的外部资讯数据。 个人信贷信息 指个人信贷历史记录数据，如个人借款信息、个人还款信息、个人欠款信息等个人在信贷过程中产生的数据。 3 个人司法信息 指与个人相关司法信息记录数据，如失信被执行人信息、被执行人信息、开庭公告信息、立案公告信息、犯罪记录、违法违规记录等。 2 JR/T 01972020 13 数据归类和细分数据归类和细分 安全级别安全级别 备注备注 一级一级 子类子类 二级二级 子类子类 定义定义 说明说明 三级三级 子类子类 定义说明定义说明 四级子类四级子类 内容内容 最低安全最低安全级别参考级别参考 个人关系信息 指个人与关联方关系，具体说明双方关系的信息，如个人间关系信息、公私间关系信息等。 个人间关系信息 指用于描述个人与个人关联方关系的记录数据，如子或女、父母、兄弟姐妹、配偶、社交关系等。 3 公私间关系信息 指用于描述个人与单位关联方关系的记录数据，如法定代表人、财务负责人、业务经办人、一般雇员、高管人员等。 2 个人行为信息 指个人通过各种渠道和金融业机构发生业务关系时的行为数据。 行为信息 指发生业务关系时的行为数据， 如描述客户通过网上银行、 手机银行、 APP、柜面、客户经理、远程银行、邮件、短信、社交网络、辅助渠道等咨询、购买或使用金融业机构产品或服务时产生的如拜访时间（含登录时间、访问时间）、地点、网页浏览记录、APP 浏览记录、个人驾驶习惯等。 2 个人标签信息 指根据各类个人信息构建的用于对个人客户分类分析的描述信息。 基础标签信息 指基于个人基本属性信息构建的用于刻画个人的标签数据，如依据教育、职业等构建的个人标签等。 3 关系标签信息 指基于个人关联属性信息构建的用于刻画个人关系的标签数据，如基于家庭关系、职业关系、商业关系等构建的个人标签等。 3 签约标签信息 指基于个人持有的金融业机构产品信息构建的用于刻画个人签约情况的标签数据，如个人存款标签、个人贷款标签等。 2 交易类标签信息 指基于个人交易信息构建的用于刻画个人交易情况的标签数据，如支付结算业务标签等。 2 行为标签信息 指基于个人行为信息构建的用于刻画个人行为的标签数据，如内部行为标签、外部行为标签等。 2 营销服务标签信息 指基于个人营销服务属性信息构建的标签数据（从个人营销服务属性中提取加工，并单独构建，用于刻画针对个人的营销服务情况），如营销管理标签（活动权益、白名单等）、服务管理标签（客户敏感度、服务分类等）等。 2 JR/T 01972020 14 数据归类和细分数据归类和细分 安全级别安全级别 备注备注 一级一级 子类子类 二级二级 子类子类 定义定义 说明说明 三级三级 子类子类 定义说明定义说明 四级子类四级子类 内容内容 最低安全最低安全级别参考级别参考 风险标签信息 指基于个人风险信息构建的标签数据（从个人风险信息中提取加工，并单独构建，用于刻画个人风险），如高风险客户标签等。 2 价值标签信息 指基于分析个人价值所形成的标签数据（从包括金融产品偏好、个人财产状况等信息中提取加工，并单独构建，用于刻画个人价值），如综合评价标签、产品持有等级标签等。 2 单位 指金融业机构提供业务服务团体对象（如政府机关、企事业单位、社会团体、民间组织等）的数据。 单位基本信息 指单位的自然属性数据，指单位本身具有的属性，而非在金融业机构管理过程中产生的属性信息。 单位基本概况 指单位基础概况数据，如法定代表人姓名、企业名称、统一社会信用代码、经营许可证、经营范围、行业分类、经济类型、人员规模、注册资本、企业地址等。 1 股东信息 指主要出资人信息数据，如控股股东名称、注册资本、实收资本等。 2 管理层信息 指企业经营管理层主要组成人员、实际控制人信息数据，如其姓名、证件类型、证件号码、联系方式等。 3 单位联系信息 指单位的联系方式信息数据，如联系电话、联系人、通信地址等。 2 单位财务信息 指单位财务信息数据，如营业收入、利润总额、资产状况、负债状况等。 2 单位身份鉴别信息 指单位用户鉴别信息数据（该类信息一旦遭到未经授权的查看或未经授权的变更，会对金融信息主体的信息安全与财产安全造成严重危害）。 传统鉴别信息 指用于验证单位是否具有访问或使用权限的数据。如银行卡磁道（或芯片等效信息）、卡片验证码（CVN 和 CVN2）、卡片有效期、银行卡密码、支付密码等支付敏感信息，账户（包括但不限于支付账号、网络支付业务系统中个人金融信息主体登录用户、证券账户、保险账户）的登录密码、交易密码、查询密码等。 4 JR/T 01972020 15 数据归类和细分数据归类和细分 安全级别安全级别 备注备注 一级一级 子类子类 二级二级 子类子类 定义定义 说明说明 三级三级 子类子类 定义说明定义说明 四级子类四级子类 内容内容 最低安全最低安全级别参考级别参考 单位资讯信息 指外部资讯、用于补充单位基础信息的数据。 企业信贷信息 指企业信贷历史记录信息，如企业借款信息、企业还款信息、企业欠款信息等企业在信贷过程中产生的数据。 3 企业司法信息 指企业的司法相关数据，如失信被执行人信息、被执行人信息、开庭公告信息、立案公告信息等。 2 企业税务信息 指企业税务数据，如纳税情况、企业纳税人信用评级信息、企业增值税缴纳额同比减少 20%以上信息等。 2 企业工商信息 指企业在市场监管部门录入的可查询数据，如企业证照信息、注册日期、企业类型、股东及出资人信息、主要管理人员信息、企业对外投资等。 1 单位关系信息 指单位与单位、单位与个人之间的关联关系数据，如单位间关系信息、公私间关系信息等。 单位间关系信息 指描述单位与单位关联方关系的数据，如集团关系、家族企业、互持股情况等关系。 2 公私间关系信息 指描述单位与个人关联方之间关系的数据，如法定代表人、财务负责人、业务经办人、一般雇员、高管等。 2 单位行为信息 指单位通过各类渠道和金融业机构发生业务关系时的行为数据。 行为信息 指发生业务关系时的行为数据，如通过网上银行、手机银行、APP、柜面、客户经理、远程银行、邮件、短信、社交网络、辅助渠道等咨询、购买或使用金融业机构产品或服务时产生的拜访时间、地点、网页浏览习惯、APP浏览习惯等行为记录。 2 单位标签信息 指根据单位属性构建的特征值描述数据，主要用于对单位数据分类分析。 基础标签信息 指基于单位自有属性构建的标签数据，如金融客户标签等。 2 关系标签信息 指基于单位关联关系构建的标签数据，如供应链核心客户标签等。 2 签约标签信息 指基于单位的使用产品及投资偏好构建的标签数据，如网银签约标签等。 2 交易类标签信息 指基于单位交