个人金融信息保护技术规范.pdf-资料库

⁶ ⁰ ⁶ ⁰ ἅ⁰ ⁶ ἅ⁶ ⁺ ΄ ɵ ΄ ΅ 《个⼈⾦融信息保护技术规范》正式发布（纯⽂字版）草稿临时预览，有效期剩余分秒请勿包含诱导分享，虚假中奖，违法违纪等信息。中华⼈⺠共和国⾦融⾏业标准 J R / T 0 1 7 1 - 2 0 2 0 个⼈⾦融信息保护技术规范 P e r s o n a l ﬁ n a n c i a l i n f o r m a t i o n p r o t e c t i o n t e c h n i c a l s p e c i ﬁ c a t i o n 2 0 2 0 - 0 2 - 1 3 发布 2 0 2 0 - 0 2 - 1 3 实施中国⼈⺠银⾏发布个⼈⾦融信息是个⼈信息在⾦融领域围绕账户信息、鉴别信息、⾦融交易信息、个⼈身份信息、财产信息、借贷信息等⽅⾯的扩展与细化，是⾦融业机构在提供⾦融产品和服务的过程中积累的重要基础数据，也是个⼈隐私的重要内容。个⼈⾦融信息⼀旦泄露，不但会直接侵害个⼈⾦融信息主体的合法权益、影响⾦融业机构的正常运营，甚⾄可能会带来系统性⾦融⻛险。为加强个⼈⾦融信息安全管理，指导各相关机构规范处理个⼈⾦融信息，最⼤程度保障个⼈⾦融信息主体合法权益，维护⾦融市场稳定，编制本标准。个⼈⾦融信息保护技术规范 1 范围本标准规定了个⼈⾦融信息在收集、传输、存储、使⽤、删除、销毁等⽣命周期各环节的安全防护要求，从安全技术和安全管理两个⽅⾯，对个⼈⾦融信息保护提出了规范性要求。本标准适⽤于提供⾦融产品和服务的⾦融业机构，并为安全评估机构开展安全检查与评估⼯作提供参考。

2 规范性引⽤⽂件下列⽂件对于本⽂件的应⽤是必不可少的。凡是注⽇期的引⽤⽂件，仅注⽇期的版本适⽤于本⽂件。凡是不注⽇期的引⽤⽂件，其最新版本（包括所有的修改单）适⽤于本⽂件。 G B / T 2 2 2 3 9 - 2 0 1 9 信息安全技术⽹络安全等级保护基本要求 G B / T 2 5 0 6 9 — 2 0 1 0 信息安全技术术语 G B / T 3 1 1 8 6 . 2 - 2 0 1 4 银⾏客户基本信息描述规范第 2 部分：名称 G B / T 3 1 1 8 6 . 3 - 2 0 1 4 银⾏客户基本信息描述规范第 3 部分：识别标识 G B / T 3 5 2 7 3 - 2 0 1 7 信息安全技术个⼈信息安全规范 J R / T 0 0 6 8 - 2 0 2 0 ⽹上银⾏系统信息安全通⽤规范 J R / T 0 0 7 1 ⾦融⾏业信息系统信息安全等级保护实施指引 J R / T 0 0 9 2 - 2 0 1 9 移动⾦融客户端应⽤软件安全管理规范 J R / T 0 1 4 9 - 2 0 1 6 中国⾦融移动⽀付⽀付标记化技术规范 J R / T 0 1 6 7 - 2 0 1 8 云计算技术⾦融应⽤规范安全技术要求 3 术语和定义 G B / T 2 5 0 6 9 - 2 0 1 0 、 G B / T 3 5 2 7 3 - 2 0 1 7 界定的以及下列术语和定义适⽤于本⽂件。 3 . 1 ⾦融业机构 f i n a n c i a l i n d u s t r y i n s t i t u t i o n s 本标准中的⾦融业机构是指由国家⾦融管理部⻔监督管理的持牌⾦融机构，以及涉及个⼈⾦融信息处理的相关机构。 3 . 2 个⼈⾦融信息 p e r s o n a l f i n a n c i a l i n f o r m a t i o n ⾦融业机构通过提供⾦融产品和服务或者其他渠道获取、加⼯和保存的个⼈信息。注 1 ：本标准中的个⼈⾦融信息包括账户信息、鉴别信息、⾦融交易信息、个⼈身份信息、财产信息、借贷信息及其他反映特定个⼈某些情况的信息。

注 2 ：改写 G B / T 3 5 2 7 3 - 2 0 1 7 ，定义 3 . 1 。 3 . 3 ⽀付敏感信息 p a y m e n t s e n s i t i v e i n f o r m a t i o n ⽀付信息中涉及⽀付主体隐私和身份识别的重要信息。注：⽀付敏感信息包括但不限于银⾏卡磁道数据或芯⽚等效信息、卡⽚验证码、卡⽚有效期、银⾏卡密码、⽹络⽀付交易密码等⽤于⽀付鉴权的个⼈⾦融信息。 3 . 4 个⼈⾦融信息主体 p e r s o n a I f i n a n c i a l i n f o r m a t i o n s u b j e c t 个⼈⾦融信息所标识的⾃然⼈。注：改写 G B / T 3 5 2 7 3 - 2 0 1 7 ，定义 3 . 3 。 3 . 5 个⼈⾦融信息控制者 p e r s o n a I ﬁ n a n c i a l i n f o r m a t i o n c o n t r o l l e r 有权决定个⼈⾦融信息处理⽬的、⽅式等的机构。注：改写 G B / T 3 5 2 7 3 - 2 0 1 7 , 定义 3 . 4 。 3 . 6 收集 c o l l e c t 获得个⼈⾦融信息的控制权的⾏为。注 1 ：收集⾏为包括由个⼈⾦融信息主体主动提供、通过与个⼈⾦融信息主体交互或记录个⼈⾦融信息主体⾏为等⾃动⾤集⾏为，以及通过共享、转让、搜集公开信息等间接获取个⼈⾦融信息等⾏为。注 2 ：如⾦融产品或服务提供者提供⼯具供个⼈⾦融信息主体使⽤，提供者不对个⼈⾦融信息诳⾏访问的，则不属于本标准所称的收集。例如⼿机银⾏客户端应⽤软件在终端获取⽤户指纹特征信息⽤于本地鉴权后，指纹特征信息不回传⾄提供者，则不属于⽤户指纹特征倍息的收集⾏为。注 3 ：改写 G B / T 3 5 2 7 3 - 2 0 1 7 ，定义 3 . 5 。

3 . 7 公开披露 p u b l i c d i s c l o s u r e 向社会或不特定群体发布信息的⾏为。 [ G B / T 3 5 2 7 3 - 2 0 1 7 ，定义 3 . 1 0 ] 3 . 8 转让 t r a n s f e r o f c o n t r o l 将个⼈⾦融信息控制权由⼀个控制者向另⼀个控制者转移的过程。注：改写 G B / T 3 5 2 7 3 - 2 0 1 7 , 定义 3 . 1 1 。 3 . 9 共享 s h a r i n g 个⼈⾦融信息控制者向其他控制者提供个⼈⾦融信息，且双⽅分别对个⼈⾦融信息拥有独⽴控制权的过程。注：改写 G B / T 3 5 2 7 3 - 2 0 1 7 ，定义 3 . 1 2 。 3 . 1 0 个⼈⾦融信息安全影响评估 p e r s o n a l f i n a n c i a l i n f o r m a t i o n s e c u r i t y i m p a c t a s s e s s m e n t 针对个⼈⾦融信息处理活动，检验其合法合规程度，判断其对个⼈⾦融信息主体合法权益造成损害的各种⻛险，以及评估⽤于保护个⼈⾦融信息主体的各项措施有效性的过程。注：改写 G B / T 3 5 2 7 3 - 2 0 1 7 ，定义 3 . 8 。 3 . 1 1 ⽀付账号 p a y m e n t a c c o u n t 具有⾦融交易功能的银⾏账户、⾮银⾏⽀付机构⽀付账户及银⾏卡卡号。注：改写 J R / T 0 1 4 9 - 2 0 1 6 ，定义 3 . 1 。

3 . 1 2 ⽀付标记 p a y m e n t t o k e n ( T o k e n ) 作为⽀付账号等原始交易要素的替代值，⽤于完成特定场景⽀付交易。 [ J R / T 0 1 4 9 - 2 0 1 6 ，定义 3 . 2 ] 3 . 1 3 磁道数据 t r a c k d a t a ⼀磁、⼆磁和三磁定义的必备或可选的数据元。注：磁道数据可以在物理卡的磁条上，也可以被包含在集成电路或者其他媒介上。 [ J R / T 0 0 6 1 - 2 0 1 1 ，定义 3 . 2 0 ] 3 . 1 4 卡⽚验证码 c a r d v e r i f i c a t i o n n u m b e r ； C V N 对磁条信息合法性进⾏验证的代码。 [ J R / T 0 0 6 1 - 2 0 1 1 ，定义 8 . 7 ] 3 . 1 5 卡⽚验证码 2 c a r d v e r i f i c a t i o n n u m b e r 2 ； C V N 2 在邮购或电话订购等⾮⾯对⾯交易中对银⾏卡卡⽚合法性进⾏验证的代码。 [ J R / T 0 0 6 1 - 2 0 1 1 ，定义 8 . 8 ] 3 . 1 6 动态⼝令 o n e - t i m e - p a s s w o r d ( O T P ) , d y n a m i c p a s s w o r d 基于时间、事件等⽅式动态⽣成的⼀次性⼝令。 [ G M / Z 0 0 0 1 - 2 0 1 3 ，定义 2 . 1 5 ] 3 . 1 7 短信动态密码 S M S d y n a m i c c o d e

⁷ ἧ ⁶ ⁰ 短信验证码 S M S c o d e 后台系统以⼿机短信形式发送到⽤户绑定⼿机上的随机数，⽤户通过回复该随机数进⾏身份认证。 [ J R / T 0 0 8 8 . 1 - 2 0 1 2 ，定义 2 . 4 4 ] 3 . 1 8 客户法定名称 c u s t o m e r ' s L e g a l n a m e 在法律上认可的客户名称。注 1 ：客户法定名称⼀股记录在国家授权部⻔颁发给客户的证件上，本标准客户主要指⾃然⼈客户。注 2 ：改写 G B / T 3 1 1 8 6 . 2 — 2 0 1 4 , 定义 3 . 2 。 3 . 1 9 证件类识别标识 l e g a l d i s c r i m i n a t i n g I D 由国家法定有权部⻔颁发，能够唯⼀确定客户的且具有法律效⼒的标识。注 1 ：证件类识别标识是外源性数据。外源性数据意味若数据的使⽤者不是数据的所有者，数据在产⽣、变更、废⽌后可能不为数据的使⽤者所知悉。注 2 ：本标准的使⽤者因本身业务需求⽽产⽣的内部证件类标识，不应在使⽤者外部使⽤，也不具有法律效⼒。注 3 ：改写 G B / T 3 1 1 8 6 . 3 - 2 0 1 4 ，定义 3 . 2 。未经授权的查看 u n a u t h o r i z e d r e a d i n g 未得到信息的所有者或有权授权⼈授权对信息的查看。注 1 ：未经授权的査看可能是善意的，也可能是恶意的：信息处理者⽆意泄露的未经授权的査看为信息泄露事件；攻击者通过使相关安全措施⽆效的措施有意获取的未经授权的査看为信息窃取事件。注 2 ：⾮法査看是对未经授权的査看的⼀种不严谨但在特定的语境下并⽆⼆义性的提法。 3 . 2 1 未经授权的变更 u n a u t h o r i z e d a l t e r i n g

⁷ ἧ ⁶ ⁶ 未得到信息的所有者或有权授权⼈授权对信息的变更。注 1 ：未经授权的变更典型地分为未经授权的増加（即増加全新的内容）、未经授权的更改（即修改现有的内容）或未经授权的删除（即删除原有的内容）三种情况，也可能是三种情况的组合。注 2 ：未经授权的变更可能是善意的，也可能是恶意的；往往表现为信息篡改事件、信息假冒事件、信息丢失事件等。注 3 ：⾮法变更是对未经授权的变更的⼀种不严谨但在特定的语境下并⽆⼆义性的提法。明示同意 e x p l i c i t c o n s e n t 个⼈⾦融信息主体通过书⾯声明或主动作出肯定性动作，对其个⼈⾦融信息进⾏特定处理作出明确授权的⾏为。注 1 ：肯定性动作包括个⼈⾦融信息主体主动作出声明（电⼦或纸质形式）、主动勾选、主动点击 “ 同意 ” “ 注册 ” “ 发送 ” “ 拨打 ” 、主动填写或提供等。注 2 ：改写 G B / T 3 5 2 7 3 - 2 0 1 7 ，定义 3 . 6 。 3 . 2 3 匿名化 a n o n y m i z a t i o n 通过对个⼈⾦融信息的技术处理，使得个⼈⾦融信息主体⽆法被识别，且处理后的信息不能被复原的过程。注 1 ：个⼈⾦融信息经匿名化处理后所得的信息不属于个⼈⾦融信息。注 2 ：改写 G B / T 3 5 2 7 3 — 2 0 1 7 ，定义 3 . 1 3 。 3 . 2 4 去标识化 d e - i d e n i f i c a t i o n 通过对个⼈⾦融信息的技术处理，使其在不借助额外信息的情况下，⽆法识别个⼈⾦融信息主体的过程。注 1 ：去标识化仍建⽴在个体基础之上，保留了个体颗粒度，采⽤假名、加密、加盐的哈希函数等技术⼿段替代对个⼈⾦融信息的标识。注 2 ：改写 G B / T 3 5 2 7 3 - 2 0 1 7 ，定义 3 . 1 4 。 3 . 2 5 删除 d e l e t e

在⾦融产品和服务所涉及的系统中去除个⼈⾦融信息的⾏为，使其保持不可被检索、访问的状态。注：改写 G B / T 3 5 2 7 3 - 2 0 1 7 ，定义 3 . 9 。 4 个⼈⾦融信息概述 4 . 1 个⼈⾦融信息内容个⼈⾦融信息包括账户信息、鉴别信息、⾦融交易信息、个⼈身份信息、财产信息、借贷信息和其他反映特定个⼈⾦融信息主体某些情况的信息，具体如下： a ）账户信息指账户及账户相关信息，包括但不限于⽀付账号、银⾏卡磁道数据（或芯⽚等效信息）、银⾏卡有效期、证券账户、保险账户、账户开⽴时间、开户机构、账户余额以及基于上述信息产⽣的⽀付标记信息等。 b ）鉴别信息指⽤于验证主体是否具有访问或使⽤权限的信息，包括但不限于银⾏卡密码、预付卡⽀付密码；个⼈⾦融信息主体登录密码、账户査询密码、交易密码；卡⽚验证码（ C V N 和 C V N 2 ）、动态⼝令、短信验证码、密码提示问题答案等。 c ）⾦融交易信息指个⼈⾦融信息主体在交易过程中产⽣的各类信息，包括但不限于交易⾦额、⽀付记录、透⽀记录、交易⽇志、交易凭证；证券委托、成交、持仓信息；保单信息、理赔信息等。 d ）个⼈身份信息指个⼈基本信息、个⼈⽣物识别信息等：个⼈基本信息包括但不限于客户法定名称、性别、国籍、⺠族、职业、婚姻状况、家庭状况、收⼊情况、身份证和护照等证件类信息、⼿机号码、固定电话号码、电⼦邮箱、⼯作及家庭地址，以及在提供产品和服务过程中收集的照⽚、⾳视频等信息；个⼈⽣物识别信息包括但不限于指纹、⼈脸、虹膜、⽿纹、掌纹、静脉、声纹、眼纹、步态、笔迹等⽣物特征样本数据、特征值与模板。 e ）财产信息指⾦融业机构在提供⾦融产品和服务过程中，收集或⽣成的个⼈⾦融信息主体财产信息，包括但不限于个⼈收⼊状况、拥有的不动产状况、拥有的⻋辆状况、纳税额、公积⾦存缴⾦额等。 f ）借贷信息指个⼈⾦融信息主体在⾦融业机构发⽣借贷业务产⽣的信息，包括但不限于授信、信⽤卡和贷款的发放及还

资料库

个人金融信息保护技术规范.pdf

相关推荐

安全技术

热门标签

最新资料