央行发布《金融数据安全能力体系》，涵盖四个能力域和四个能力维度

正文：

2023年6月6日，中国人民银行正式发布了金融行业标准《金融数据安全能力体系》（JR/T 0358—2026），并于当天生效。该标准的起草单位包括多家国有银行、股份制银行、城商行、农商行及民营银行等金融机构。

该文件构建了金融数据安全能力体系，涵盖了通用数据安全保障、数据分类分级管理、数据生命周期安全以及数据安全运营保障四个能力域。同时，从组织建设、制度流程、技术能力及人员能力四个维度对金融机构的数据安全能力进行分级，划分为一至五级，并明确了各能力域的建设目标和各等级对应的能力要求。这一体系适用于金融机构在数据安全能力规划、建设与评估等方面的工作。

《能力体系》指出，数据安全能力体系由数据安全能力域、能力维度及能力等级组成。

在数据安全能力域方面，明确了金融机构应具备的通用能力和专项能力。金融机构应在通用能力的基础上，根据具体的数据应用场景和数据安全策略，按照专项能力子域的要求进行建设，同时结合自身的数据安全特点，细化和补充相关的专项能力要求。

数据安全能力维度则阐述了金融机构在组织建设、制度流程、技术能力与人员能力四个方面应具备的能力。文件建议在这四个方面，从不同角度对能力等级进行区分。

例如，在技术能力方面，应根据金融机构在数据安全相关技术、应用系统及组件/服务等方面的应用情况，从以下几个方向进行能力等级的区分：技术能力对数据安全管理制度和操作规程的标准化、自动化及智能化支持程度；技术能力在数据安全技术落地的有效性、自动化及智能化支持程度；技术能力在数据生命周期各阶段的安全防护的普及程度和有效性；以及技术能力对机构数据安全风险评估、监测和应对能力的支持程度。

数据安全能力等级从一到五进行划分，旨在衡量金融机构的数据安全建设的系统性、制度执行力、防护有效性和安全状态的可持续性等整体能力。等级越高，表明机构在数据安全工作中的系统性、有效性、可靠性和可持续性越强。每个等级均需覆盖组织建设、制度流程、技术能力和人员能力四个维度的能力要求。

其中，等级一的状态为：数据安全工作处于随机、无序和被动的执行状态，通常仅依赖临时需求建立和执行管理要求；而等级五的状态则表示数据安全体系处于持续自我改进的闭环管理状态，能够根据整体战略、目标及实施效果进行自动识别、评价和优化调整。

此外，《能力体系》还建议金融机构应根据文件要求，建立、维持和改进自身的数据安全保障能力，并提出了包括“数据安全能力体系应用”和“专项能力的能力域应用”在内的具体应用方法。

关于四个能力域及相应的能力子域要求，《能力体系》对通用数据安全保障、数据分类分级管理、数据生命周期安全和数据安全运营保障四个能力域提出了具体目标和能力要求。

例如，通用数据安全保障的目标是，金融机构通过构建和完善相关组织结构、岗位职责、制度流程、技术体系和人员配置，明确数据安全相关部门的职责分工，制定策略和流程，形成一个科学、系统和全面的数据安全管理体系，以防范管理机制和防护措施的漏洞导致的系统性数据安全风险。

数据分类分级管理的目标则是，金融机构需依据自身数据资源情况，建立数据识别与分类分级机制，系统性地开展数据资源的管理工作，并维护数据资源目录，以明确基于分类分级的安全管理需求。

数据生命周期安全包括数据收集、存储、传输、使用、加工、提供、委托处理、公开披露、删除和销毁等十个环节。《能力体系》为每个环节提出了相应的目标和能力要求。例如，数据使用环节的目标是，金融机构需通过建立数据访问、查询和修改等管理机制，实施权限最小化原则，采用身份验证、访问控制等技术措施，提高数据使用的合规性和安全性。

数据安全运营保障方面则包括权限安全管理、数据备份与恢复、新技术应用风险防控、数据安全风险监测、评估、合规审计、应急响应与事件处置等七个部分。《能力体系》同样为这七个部分提出了具体目标和能力要求。

需要注意的是，《能力体系》为上述四个能力域及各子域提供了详细的能力要求，并形成了能力等级说明的表格。由于表格较多，本文未逐一展示，有需要者可点击下载《金融数据安全能力体系》进行查阅。