金融网络与数据安全标准体系
法律法规回答“必须做什么”，金融行业标准更多回答“具体做到什么程度、如何建设和验证”。本页只建立索引，不重复复制标准全文。
JR/T 推荐性行业标准与法律、行政法规、部门规章的法律效力不同。是否构成具体强制要求，应结合合同、监管要求、引用关系和具体业务场景判断。
核心标准
| 治理域 | 标准 | 主要用途 |
|---|---|---|
| 个人金融信息 | JR/T 0171—2020《个人金融信息保护技术规范》 | 个人金融信息分类及全生命周期保护 |
| 数据分类分级 | JR/T 0197—2020《金融数据安全 数据安全分级指南》 | 建立金融数据安全级别和分级方法 |
| 数据生命周期 | JR/T 0223—2021《金融数据安全 数据生命周期安全规范》 | 采集、传输、存储、使用、删除等环节控制 |
| 等级保护 | JR/T 0072—2020《金融行业网络安全等级保护测评指南》 | 金融行业等保测评与检查 |
| 金融科技 | JR/T 0199—2020《金融科技创新安全通用规范》 | 金融科技创新场景通用安全控制 |
| 漏洞与众测 | JR/T 0214—2021《金融网络安全 网络安全众测实施指南》 | 众测组织、风险控制和漏洞处置 |
| 网上银行 | JR/T 0068—2020《网上银行系统信息安全通用规范》 | 网上银行系统安全建设 |
| 隐私计算 | JR/T 0196—2020《多方安全计算金融应用技术规范》 | 多方安全计算金融应用技术要求 |
与法规的关系
人民银行3号令 → 数据安全标准。 数据资源目录、分类分级、数据生命周期控制等要求，可优先结合 JR/T 0197、JR/T 0223 建立技术和验收基线。
个人信息保护 → 个人金融信息标准。 个保法及支付监管中的用户信息保护要求，可结合 JR/T 0171 细化金融场景控制，但不能用行业标准替代法律义务判断。
网络运行安全 → 等保与专项标准。 网络安全法、关基保护以及支付系统安全要求，可结合金融行业等保和具体业务系统标准建立控制基线。
使用原则
标准不需要逐篇写成长篇解读。安全治理中更适合建立“法规义务 → 控制域 → 适用标准 → 技术控制 → 验收证据”映射。新增标准时优先更新本页索引；只有对支付安全建设具有明显独立价值的标准，再单独形成实施指南。