中国银保监会监管数据安全管理办法
本文面向监管数据处理和受托服务场景，把原办法转成采集、传输、存储、加工、使用、对外提供、委托服务、销毁和事件报告等可检查控制。该办法形成于原银保监会时期，当前使用时应结合机构改革后的监管职责和现行国家金融监督管理总局要求核对适用性。
法规概览
| 项目 | 内容 |
|---|---|
| 法规 | 《中国银保监会监管数据安全管理办法（试行）》 |
| 印发时间 | 2020年9月23日 |
| 适用对象 | 原银保监会及其受托机构开展的监管数据活动 |
| 核心问题 | 监管数据采集、专网传输、存储、加工、使用、对外提供、受托服务、风险检查和重大风险报告 |
| 关键硬约束 | 重大监管数据安全风险事项应立即处置，并于48小时内向归口管理部门报告 |
安全要求与实施
建立监管数据归口与业务双重责任
法规要求｜第7—9条。 监管数据安全实行归口管理、分工负责，归口部门负责规则、技术防护、评估检查，业务部门负责本部门数据使用和责任落实。
落实与验收。
- 建立监管数据目录并关联归口部门、业务责任人、系统、受托机构和处理活动。
- 重大数据处理、外部提供和技术接入明确归口审批/评估职责。
- 业务部门不能以“系统由科技维护”为由转移自身数据使用责任。
验收证据。
- 随机指定一份监管报表，谁负责业务正确性、谁负责安全、谁批准对外使用？
- 从一次违规使用或安全事件反查，责任能否落到具体业务和技术岗位？
控制采集、传输、存储和技术接入
法规要求｜第10—15条。 数据采集应避免重复和过度；原则上通过监管工作网或金融专网传输、存储于规定机房；例外路径和受托存储需评估同意；代码、接口、算法模型和开发工具接入监管系统需批准。
落实与验收。
- 采集字段与监管目的逐项对应，定期清理重复、失效字段。
- 专网为默认传输路径，互联网、介质、VPN等例外建立事前评估和加密、审计控制。
- 存储位置、备份和副本进入统一资产清单，受托机构不得自行扩散副本。
- 外部代码、模型、接口和工具接入实施白名单、评估、版本和权限管理。
验收证据。
- 从实际网络流量反查监管数据是否存在未经批准的互联网传输？
- 从受托机构存储反查审批，是否存在测试、备份或临时文件形成未登记副本？
- 扫描监管系统外联和插件，是否有未经评估的模型、接口或开发工具？
将监管数据使用限制在职责和授权范围
法规要求｜第16—23条。 监管数据原则上限于履行监管职责使用，行为应可追溯；开发测试和对外展示应脱敏；未公开数据原则上在不连接互联网的工作机使用，下载和对外提供受到严格控制。
落实与验收。
- 访问授权基于监管职责和最小必要，所有查询、下载和导出关联具体人员。
- 未公开数据与互联网环境隔离；例外远程使用必须经过评估和受控接入。
- 开发测试、展示和分析环境使用脱敏数据，加工结果继续按监管数据管理。
- 对外提供明确审批、接收方、字段、用途、保密和后续处置要求。
验收证据。
- 随机抽一个监管数据用户，实际权限是否超出工作职责？
- 从终端/DLP记录反查，是否有监管数据进入个人电脑、互联网云盘或普通协作工具？
- 从对外提供记录反查实际文件，字段是否超出批准范围？
对受托机构实施准入、变更、持续监督和退出闭环
法规要求｜第24—27条。 委托服务应事先沟通会签并通过安全评估；受托机构应具备相应安全、研发运维、备份应急能力；技术方案变更需重新评估；关系终止时完整移交并销毁数据和备份。
落实与验收。
- 受托机构准入验证技术、安全、机房、连续性和历史事件情况。
- 合同明确数据范围、访问、事件通知、分包、审计、移交和销毁责任。
- 架构、数据中心、分包和技术方案变化自动触发重新评估。
- 退出时执行账号回收、数据移交、介质/备份销毁和独立验证。
验收证据。
- 抽一个在用受托机构，当前技术方案与最近一次安全评估是否一致？
- 抽一个已退出供应商，能否证明所有生产、测试和备份数据都已销毁？
- 如果供应商今天发生重大故障，监管数据和服务能否恢复？
建立48小时重大风险报告与整改闭环
法规要求｜第28—31条。 应定期自查和评估；发生数据泄露、非法使用、损毁丢失、系统性故障中断4小时以上、非法入侵、大规模恶意传播、舆情等重大风险事项时立即处置，并于48小时内报告归口部门。
落实与验收。
- 将重大风险条件固化到事件分级规则，并从首次发现/获知时间计时。
- 报告和应急处置并行，不等待完整根因才启动报告。
- 自查、评估和事件发现统一进入问题整改库并复测关闭。
验收证据。
- 从历史P1/P2事故和数据事件反查，是否存在符合条件却未进入48小时报告流程的事项？
- 模拟周末发现监管数据泄露，谁报告、向谁报、如何保证48小时内完成？
- 已整改问题是否通过生产复测，而不是只提交整改说明？
法规原文
以下保留原办法用于历史和条款核对。实际适用时应同步确认当前监管机构职责及现行监管要求。
查看法规原文
第一章 总则
- 第一条 为规范银保监会监管数据安全管理工作，提高监管数据安全保护能力，防范监管数据安全风险，依据《中华人民共和国网络安全法》《中华人民共和国银行业监督管理法》《中华人民共和国保险法》《工作秘密管理暂行办法》等法律法规及有关规定，制定本办法。
- 第二条 本办法所称监管数据是指银保监会在履行监管职责过程中，依法定期采集,经监管信息系统记录、生成和存储的，或经银保监会各业务部门认定的数字、指标、报表、文字等各类信息。
- 本办法所称监管信息系统是指以满足监管需求为目的开发建设的，具有数据采集、处理、存储等功能的信息系统。
- 第三条 本办法所称监管数据安全是指监管数据在采集、处理、存储、使用等活动（以下简称监管数据活动）中，处于可用、完整和可审计状态，未发生泄露、篡改、损毁、丢失或非法使用等情况。
- 第四条 银保监会及受托机构开展监管数据活动，适用本办法。
- 本办法所称受托机构是指受银保监会委托或委派，为银保监会提供监管数据采集、处理或存储服务的企事业单位。
- 第五条 开展监管数据活动，必须遵守相关法律和行政法规。任何单位和个人对在监管数据活动中知悉的国家秘密、工作秘密、商业秘密和个人信息，应当依照相关规定予以保密。
- 第六条 银保监会建立健全监管数据安全协同管理体系，推动银保监会有关业务部门、各级派出机构、受托机构等共同参与监管数据安全保护工作，加强培训教育，形成共同维护监管数据安全的良好环境。
第二章 工作职责
- 第七条 监管数据安全管理实行归口管理，建立统筹协调、分工负责的管理机制。
- 银保监会统计信息部门是归口管理部门，负责统筹监管数据安全管理工作。银保监会各业务部门负责本部门监管数据安全管理工作。
- 第八条 归口管理部门具体职责包括：
- （一）制定监管数据安全工作规则和管理流程；
- （二）制定监管数据安全技术防护措施；
- （三）组织实施监管数据安全评估和监督检查。
- 第九条 各业务部门具体职责包括：
- （一）规范本部门监管数据安全使用，明确具体工作要求，落实相关责任；
- （二）组织开展本部门监管数据安全管理工作；
- （三）协助归口管理部门实施监管数据安全监督检查。
第三章 监管数据采集、存储和加工处理
- 第十条 监管数据的采集应按照安全、准确、完整和依法合规的原则进行，避免重复、过度采集。
- 第十一条 监管数据应通过监管工作网或金融专网进行传输。因客观条件限制需要通过物理介质、互联网或其它网络传输的，应经归口管理部门评估同意。
- 第十二条 监管数据应存储在银保监会机房，并具有完备的备份措施。确有必要存储在受托机构机房的，应经归口管理部门评估同意。
- 第十三条 监管数据存储期限、存储介质管理应按照国家和银保监会有关规定执行。
- 第十四条 监管数据的加工处理应在监管工作权限或受托范围内进行。未经归口管理部门同意，任何单位和个人不得将代码、接口、算法模型和开发工具等接入监管信息系统。
- 第十五条 监管数据采集、传输、存储、加工处理、转移交换、销毁，以及用于系统开发测试等活动，应根据监管数据类型和管理要求采取分级分类安全技术防护措施。
第四章 监管数据使用
- 第十六条 监管数据仅限于银保监会履行监管工作职责使用。纪检监察、司法、审计等党政机关为履行工作职责需要使用监管数据时，按照有关规定办理。
- 第十七条 监管数据的使用行为应通过管理和技术手段确保可追溯。监管数据用于信息系统开发测试以及对外展示时，应经过脱敏处理。
- 第十八条 使用未公开披露的监管数据，原则上应在不可连接互联网的台式机或笔记本等银保监会工作机中进行。因客观条件限制需采取虚拟专用网络等方式使用监管数据时，应经归口管理部门评估同意。
- 第十九条 因工作需要下载的监管数据，仅可存储于银保监会的工作机中。承载监管数据的使用介质应妥善保管，防止数据泄露。
- 第二十条 在使用监管数据过程中产生的加工数据、汇总结果等信息应视同监管数据进行安全管理。
- 第二十一条 监管数据对外披露应由指定业务部门按照有关规定和流程实施。
- 第二十二条 各业务部门因工作需要向非党政机关单位、个人提供监管数据时，应充分评估数据安全风险，经本部门主要负责人同意后实施，必要时与对方签订备忘录和保密协议并报归口管理部门备案。
- 与境外监管机构或国际组织共享监管数据时，应由国际事务部门依照银保监会签署的监管合作谅解备忘录、合作协议等约定或其他有关工作安排进行管理。
- 法律法规另有规定的，从其规定。
- 第二十三条 各业务部门因工作需要和系统下线停用监管数据时，应及时对其采取封存或销毁措施。
第五章 监管数据委托服务管理
- 第二十四条 各业务部门监管数据采集涉及受托机构提供服务时，应事先与归口管理部门沟通并会签同意。受托机构的技术服务方案，应通过归口管理部门的安全评估。技术服务方案发生变更的，应事先报归口管理部门进行安全评估。
- 安全评估不通过的，不得开展委托服务或建立委派关系。
- 第二十五条 为银保监会提供监管数据服务的受托机构，应满足以下基本条件：
- （一）具备从事监管数据工作所需系统的自主研发及运维能力；
- （二）具备相关信息安全管理资质认证；
- （三）拥有自主产权或已签订长期租赁合同的机房；
- （四）网络和信息系统具备有效的安全保护和稳定运行措施，三年内未发生网络安全重大事件；
- （五）具备有效的监管数据安全管理措施，能够保障银保监会各部门对监管数据的访问和控制；
- （六）具有监管数据备份体系、应急组织体系和业务连续性计划。
- 第二十六条 银保监会通过与受托机构签订协议，确立监管数据委托服务关系。协议应明确服务项目、期限、安全管理责任和终止事由等内容。
- 银保监会通过委派方式确立监管数据服务关系的，应下达委派任务书。
- 第二十七条 因有关政策调整导致原委托或委派事项无需继续履行，或发现受托机构监管数据服务出现重大安全问题的，银保监会有权终止委托或委派关系。
- 委托或委派关系终止时，受托机构应及时、完整地移交监管数据，并销毁因委托或委派事项而获取的监管数据，不得保留相关数据备份等内容。
第六章 监督管理
- 第二十八条 各业务部门及受托机构应按照监管数据安全工作规则定期开展自查，发现监管数据安全缺陷、漏洞等风险时，应立即采取补救措施。
- 第二十九条 归口管理部门应定期对各业务部门及受托机构开展监管数据安全管理评估检查工作。
- 各业务部门及受托机构对于评估和检查中发现的问题应制定整改措施，及时整改，并向归口管理部门报送整改报告。
- 第三十条 各业务部门及受托机构发生以下监管数据重大安全风险事项时，应立即采取应急处置措施，及时消除安全隐患，防止危害扩大，并于48小时内向归口管理部门报告。
- （一）监管数据发生泄露或非法使用；
- （二）监管数据发生损毁或丢失；
- （三）承载监管数据的信息系统或网络发生系统性故障造成服务中断4小时以上；
- （四）承载监管数据的信息系统或网络遭受非法入侵、发生有害信息或计算机病毒的大规模传播等破坏；
- （五）监管数据安全事件引发舆情；
- （六）《网络安全重大事件判定指南》列明的其他影响监管数据安全的网络安全重大事件。
- 辖区发生以上监管数据重大安全风险事项时，各银保监局应立即采取补救措施，并于48小时内向银保监会归口管理部门报告。
- 第三十一条 归口管理部门应建立监管数据安全事件通报工作机制，及时通报监管数据安全事件。
第七章 附则
- 第三十二条 涉密监管数据按照国家和银保监会保密管理有关规定进行管理。
- 第三十三条 各银保监局承担辖区监管数据安全管理责任，参照本办法制定辖区监管数据安全管理办法，明确职责和管理要求，强化监管数据安全保护。
- 第三十四条 本办法自印发之日起施行。
注：本文于2020年9月23日印发，原文https://www.cbirc.gov.cn/cn/view/pages/govermentDetail.html?docId=959801&itemId=861&generaltype=1。