《证券期货业数据安全管理与保护指引》学习笔记

最开头的内容也是有些信息量的。

（一）过程域，数据保护覆盖全流程。数据安全保护措施需覆盖数据处理全生命周期。而所谓“过程域”，指实现同一数据目标的相关数据活动的集合，可能包括一个或多个活动。《保护指引》定义下的过程域，包括：采集、展现、传输、处理和存储。

（二）实用性，针对不同数据的级别，采取与之相适应的保护措施。这点还是比较感人，监管在原则里面提了实用性，保护措施与数据级别相适应即可，资源有些，把好刚用在刀刃上。此外，监管还强调，制度管理和技术保护的区别指引。两手都要抓，两手都要硬。

（三）安全性，组织、制度、技术均采取措施。建立制度，安排专人，上技术措施，都很好理解，无非是人财物的支持。此外还强调了最小授权原则，不必知道的人不能看到不该看的数据。

（四）可用性，保证数据完整、可用。

（五）适配性，根据自身机构情况量体裁衣。

本部分内容明确了各个部门在数据安全管理中的责任，可考虑内化至内规中，也是各方就职责发生争执时的参考。首先，要明确数据安全管理的负责人及主管部门。其次，信安、业务、合规风控、IT、审计部门都被安排任务了。

数据安全管理部门，需要负责：（1）建章立制。建立数据管理制度，根据分类分级制度，并对明确不同级别数据的保护措施；（2）操作规程。建立并执行覆盖数据安全生命全周期的运营操作规程；（3）责任人。明确数据安全管理相关岗位及职能；（4）授权机制。明确如何进行数据授权及被授权人的责任、义务。

合规风控部门，需要负责：（1）建立数据安全合规和风险制度；（2）指导、规范、检查相关管理措施的落实情况。

IT部门，需要负责：（1）采取数据安全保护技术措施；（2）制定数据直接接触者的技术防控要求；（3）建立信息系统的数据安全评估、数据安全事件管理和应急响应工作。

审计部门，需要负责：对数据安全管理情况进行稽核、检查、评价及督促整改。

上述内容，一定程度起着定分止争的作用。

这一章其实就是在告诉证券经营机构，需要有哪些制度，未来检查，会不会也对照着查呢？总得来看应该是1个制度+8个细则。

数据安全管理办法：明确组织架构、组织形式、岗位职责、资源配置等；

数据权限管理细则：明确不同员工的数据访问权限、访问方式及申请流程；

数据存储介质管理细则：保障数据存储介质，如硬盘、U盘等，可追踪；明确介质存放周期、存放方式、访问权限的安全性；

场所管理细则：相关场所，如机房、数据库等，物理要求，如温度、湿度，访问要求，如何种门禁，监控要求，如是否24小时，录像存多久；维护、防护要求等等；

数据安全防护细则：根据数据的价值及风险，明确数据保护措施并予以资源倾斜；

数据安全事件管理细则：根据《网安法》明确数据安全事件的处理流程（注：对证券行业而言，《证券期货业网络安全事件报告与调查处理办法》中规定的其实很细了，内化其中的要求即可）。并且需要保障相关的制度有效落实。

数据安全应急管理细则：评估风险，制定预案，定期演练，保持有效。

数据安全审计细则：和《个保法》第54条的个人信息保护审计相呼应，要写制度可以一起写了。当然稽核审计部门该怎么做，还存疑。但无论如何，外规的要求是：数据安全内部审计责任和周期，定期进行数据安全专项审计并保障其有效性和时效性。

接下来，才进入正题，需要根据数据的4级，提出不同的要求。先带大家回顾一下，1-4级的数据是怎么分的。《分类分级指引》的附录，还有更加细颗粒度的列举，可供参考。

第七章的体系是这样，一共有4级数据，对每级数据的采集、展现、传输、处理和存储都提出了要求。而高一级的数据在上一级数据的基础上，会额外提出新的要求。

要求又先分为两大类，一部分是“可控区域”，另一部分是“不可控区域”，我个人粗浅地理解就是内网和外网，一般外网进行相关操作又会较内部有更高的要求。

再接下来，又会分为：管理指引、技术指引和接触者指引。

对于这种结构，思前想后还是选择画树状图的方式来进行展示。限于篇幅，每一级数据只会放较上一级新增的要求，老要求就不再重复。

（一）1级数据安全指引

1级数据几乎就是公开数据，但《保护指引》还是提出了茫茫多的要求，感觉比较有难度的内容我都标红了。可能需要和业务部门、IT部门共同协商后再决定如何内化落实。

（二）2级数据安全指引

2级数据是内部针对特定人公开的数据，用于内部管理，不宜广泛公开。要求接触者均签订协议，直接处理或存储时，需双人操作或全程监控，外部人员接触须一事一议授权。也是比较高的要求。

（三）3级数据安全指引

3级数据含个人信息了，开始作妖了。

在参考文献部分，本指引是引用了《个人信息保护法》的，然而本文中的很多定义及规定，并没有遵守上位法的规定。如“脱敏”一词，多次出现，而在《个人信息保护法》中，与之对应的概念应该是“去标识化”，但去标识处理的个人信息依然是个人信息的。不知道为何，在此文件中却成为了对外提供个人信息豁免同意的合法性基础。与《个人信息保护法》相悖。

本以为，可能起草人对“脱敏”的定义其实是“匿名化”，但是后文中“匿名化”这个表述确也出现了。

其他的要求，我也都仔细读了，要求还是非常高，完全落实成本恐怕不低。而这个推荐性行业标准在后续执法过程中，会有多少强制性，也需要再观望。

（四）4级数据安全指引

4级数据，非常重要，正常证券期货经营机构一般没有，要求较3级数据也没有什么特别的额外要求。