2024金融數(shù)據(jù)安全數(shù)據(jù)安全評估規(guī)范

金融數(shù)據(jù)安全數(shù)據(jù)安全評估規(guī)范目次1范圍 12規(guī)性用件 13術和義 14縮語 25金數(shù)安評概述 26金數(shù)安管估S1 97金數(shù)安保估S2 238金數(shù)安運估S3 689金數(shù)安評結果 88附錄A（料融資產(chǎn)單 90附錄B（料）融據(jù)生周安保分表 92I金融數(shù)據(jù)安全數(shù)據(jù)安全評估規(guī)范范圍本標準適用于金融業(yè)機構開展金融數(shù)據(jù)安全評估使用，并為第三方安全評估機構等單位開展金融數(shù)據(jù)安全檢查與評估工作提供參考。（JR/T0171—2020個人金融信息保護技術規(guī)范JR/T0197—2020金融數(shù)據(jù)安全數(shù)據(jù)安全分級指南JR/T0223—2021金融數(shù)據(jù)安全數(shù)據(jù)生命周期安全規(guī)范GB50174—2017數(shù)據(jù)中心設計規(guī)范GB/T39335—2020信息安全技術個人信息安全影響評估指南GB/T35273—2020和GB/T25069—2010界定的以及下列術語和定義適用于本文件。3.1金融數(shù)據(jù)financialdata金融業(yè)機構開展金融業(yè)務、提供金融服務以及日常經(jīng)營管理所需或產(chǎn)生的各類數(shù)據(jù)。注：該類數(shù)據(jù)可用傳統(tǒng)數(shù)據(jù)處理技術或大數(shù)據(jù)處理技術進行組織、存儲、計算、分析和管理。[來源：JR/T0197—2020，3.10]3.2保密性confidentiality使信息不泄露給未授權的個人、實體、進程，或不被其利用的特性。[來源：GB/T25069—2010，2.1.1]3.3完整性integrity保衛(wèi)資產(chǎn)準確性和完整的特性。[來源：GB/T25069—2010，2.1.42]13.4可用性availability已授權實體一旦需要就可訪問和使用的數(shù)據(jù)和資源的特性。[來源：GB/T25069—2010，2.1.20]3.5真實性authenticity確保主體或資源的身份正是所聲稱的特性。注：真實性適用于用戶、進程、系統(tǒng)和信息之類的實體。[來源：GB/T25069—2010，2.1.69]3.6刪除deleteGB/T35273—2020，3.10]縮略語下列縮略語適用于本文件：ACL：訪問控制列表（AccessControlLists）API：應用程序接口（ApplicationProgrammingInterface）APP：應用程序（Application）DES-CBC：數(shù)據(jù)加密標準-密碼塊鏈接（DataEncryptionStandard-CipherBlockChaining）IP：網(wǎng)際互連協(xié)議（InternetProtocol）MAC（MediaAccessControl）MD5（Message-DigestAlgorithm5）SHA1（SecureHashAlgorithm1）SSID（ServiceSetIdentifier）WEB（WorldWideWeb）WLAN：無線局域網(wǎng)（WirelessLocalAreaNetwork）金融數(shù)據(jù)安全評估指金融業(yè)機構對其數(shù)據(jù)處理活動定期或按需開展的風險評估活動，用于評價金融業(yè)機構自身和數(shù)據(jù)處理活動第三方合作機構的數(shù)據(jù)安全保護能力，為金融業(yè)機構建立數(shù)據(jù)安全保護2表5.1.1數(shù)據(jù)安全評估觸發(fā)條件序號評估場景評估側重點主要評估內容1對3級及以上數(shù)據(jù)進行加工前，應進行數(shù)據(jù)安全評估。評估數(shù)據(jù)加工的必要性。評估數(shù)據(jù)加工的合法合規(guī)性。評估所采取數(shù)據(jù)安全保護措施的充分性和有效性。6.16.1.12、34、76.2.16.2.1部評估項。6.2.26.2.25、6、9項。6.2.36.2.31、7項。6.2.56.2.5項。7.2.5.37.2.7數(shù)據(jù)加工評估內容的第1、2、3、4項。7.2.37.2.47.2.67.2.7數(shù)據(jù)銷毀中與當前數(shù)據(jù)加工相關的全部評估項。使用外部的軟件開發(fā)開發(fā)測試工作前，應進行數(shù)據(jù)安全評估。評估外部的軟件開全性。評估測試方法的合規(guī)性。評估所采取數(shù)據(jù)安全保護措施的充分性和有效性。16.16.1.1容的第2、6、7、10、12項。26.2.16.2.1部評估項。36.2.26.2.23、9、10、12項。46.2.36.2.31、27、8、9、10項。56.2.46.2.4估項。66.2.56.2.5項。77.2.5.57.2.9開發(fā)測試安全評估內容的第1、2、3、4、5、6、7、9項。87.2.37.2.47.2.67.2.7數(shù)據(jù)銷毀中與當前開發(fā)測試相關的全部評估項。將數(shù)據(jù)委托給第三方機構進行處理前，應對被委托方的數(shù)據(jù)安全防護能力進行數(shù)據(jù)安全評估。1.評估被委托方組織架構和制度體系方面安全管理的合規(guī)性。2.評估委托方數(shù)據(jù)安全保護措施的充分性和有效性。3.評估委托方對數(shù)據(jù)安全事件所作應急預16.16.1.13容的第2、3、4、7項。6.2.16.2.1部評估項。6.2.26.2.25、6、9項。6.2.36.2.31、7項。3序號評估場景評估側重點主要評估內容案的充分性和有效性。6.2.46.2.4估項。6.2.56.2.5項。7.2.5.97.2.13委托處理安全評估內容2、46、78、117.2.37.2.47.2.67.2.7數(shù)據(jù)銷毀中與當前委托處理相關的全部評估項。9.章節(jié)8與當前委托處理及相關第三方機構安全管理相關的全部評估項。與外部機構進行數(shù)據(jù)共享，應定期對數(shù)據(jù)接收方的數(shù)據(jù)安全保護能力進行數(shù)據(jù)安全評估。1.評估數(shù)據(jù)接收方組織架構和制度體系安全管理的合規(guī)性。2.評估數(shù)據(jù)接收方數(shù)據(jù)安全保護措施的充分性和有效性。3.評估數(shù)據(jù)接收方對數(shù)據(jù)安全事件所作應急預案的充分性和有效性。16.16.1.1容的第2、6、10、12項。26.2.16.2.1部評估項。36.2.26.2.23、9、10、12項。46.2.36.2.34、7、8、9、10項。6.2.46.2.4估項。6.2.56.2.51、3項。77.2.5.107.2.14數(shù)據(jù)共享安全評估內容的第9、10、11、12、14項。87.2.37.2.47.2.67.2.7數(shù)據(jù)銷毀中與當前數(shù)據(jù)共享相關的全部評估項。9.章節(jié)8中與當前數(shù)據(jù)共享及相關第三方機構安全管理相關的全部評估項。在金融產(chǎn)品或服務上線發(fā)布前，數(shù)據(jù)安全管理委員會應組織開展數(shù)據(jù)安全評估，避免不當?shù)臄?shù)據(jù)采集、使用、共享等行為。1.評估金融產(chǎn)品或服務在用戶數(shù)據(jù)采集、除等數(shù)據(jù)處理整個流程的合法合規(guī)性。2.評估所采取數(shù)據(jù)安全保護措施的充分性與有效性。16.16.1.1容的第2、3、6、7、10、11、12項。26.2.16.2.1部評估項。36.2.26.2.21、52、3、4、7、8、10項。46.2.36.2.31、2、8、9、10項。56.2.56.2.5項。66.1S1-1表6.1.1組織架構建設情況評估內容的第3、4、7、11、12、13項。4序號評估場景評估側重點主要評估內容章節(jié)7.2全部評估項。816.16.1.1容的第2、6、10、12、16、17項。26.2.16.2.16若有第三方機構參與到金融業(yè)機構數(shù)據(jù)全生命周期過程，應根據(jù)其數(shù)據(jù)安全保護能力進行數(shù)據(jù)安全評估。1.評估第三方機構組織架構和制度體系安全管理的合規(guī)性。2.評估第三方機構所采取數(shù)據(jù)安全保護措施的充分性與有效性。3.評估第三方機構對數(shù)據(jù)安全事件所作應急預案的充分性和有效性。部評估項。6.2.26.2.22、3、6、9、12項。6.2.36.2.34、7、8、9、10項。6.2.46.2.4估項。6.2.56.2.5項。6.2.46.2.41、2、3、4、5、6、7、13項。章節(jié)7.2數(shù)據(jù)生命周期安全評估中與當前第三方機構參與過程相關的全部評估項。9.章節(jié)8中與當前第三方機構參與過程及第三方機構安全管理相關的全部評估項。16.16.1.1容的第2、3、6、8、10、12、13、14、15項。26.2.16.2.1部評估項。7在金融業(yè)機構業(yè)務功能發(fā)生重大變化時，應及時進行數(shù)據(jù)安全評估。評估新的業(yè)務功能數(shù)據(jù)處理整個流程的合法合規(guī)性。評估現(xiàn)有數(shù)據(jù)安全保護技術是否能滿足對新業(yè)務的數(shù)據(jù)保護需求。6.2.26.2.21、3、10、11、12項。6.2.36.2.31、5、6、8、9項。6.2.56.2.5項。8.58.5.11、2、5、8項。7.章節(jié)7.2數(shù)據(jù)生命周期安全評估中與當前業(yè)務過程相關的全部評估項。8.章節(jié)8中與當前業(yè)務數(shù)據(jù)及業(yè)務功能安全監(jiān)測相關的全部評估項。5序號評估場景評估側重點主要評估內容16.16.1.1容的第2、3、6、8、10、12、13、14、15項。8在國家及行業(yè)主管部門的相關要求發(fā)生變信息系統(tǒng)、運行環(huán)境發(fā)生重大變更時，或發(fā)生重大數(shù)據(jù)安全事件時，應進行數(shù)據(jù)安全評估。評估現(xiàn)有數(shù)據(jù)安全保護措施是否能滿足新的保護要求。評估新的數(shù)據(jù)處理流程的合法合規(guī)性。3.評估引發(fā)數(shù)據(jù)安全事件的薄弱環(huán)節(jié)及原因。6.2.16.2.1部評估項。6.2.26.2.21、3、10、11、12項。6.2.36.2.31、5、6、8、9項。6.2.56.2.5項。章節(jié)7.2數(shù)據(jù)生命周期安全評估中與當前變更情況相關的全部評估項。7.章節(jié)8中與當前變更情況相關的全部評估項。1.評估數(shù)據(jù)安全管理制度的完備性與落實每年至少應開展1次程度。全面的數(shù)據(jù)安全檢查2.評估數(shù)據(jù)生命周期6789評估，評估方式至少各環(huán)節(jié)的合法合規(guī)包括自評估、外部第性。全風險、重點改進問題等相關的評估項為主要評估內容。三方機構評估等。3.評估數(shù)據(jù)安全運維保障措施的完備性與有效性。金融數(shù)據(jù)安全評估遵守以下原則：6JR/T0197-2020JR/T0223-2021圖1金融數(shù)據(jù)安全評估域示意圖7根據(jù)本機構本次金融數(shù)據(jù)安全評估實際需求和目標，明確評估范圍,確定本次評估所涉及的金融數(shù)據(jù)、金融產(chǎn)品和服務、信息系統(tǒng)、人員及組織（含內、外部）等。根據(jù)本次評估目標和范圍等情況編制并確定本次金融數(shù)據(jù)安全評估工作的評估方案，明確本次評估工作的主要任務、任務分工、人員安排、時間計劃等，至少包括：依據(jù)本次評估工作最高負責人的指導要求，在評估團隊牽頭部門的組織和其他參與方的共同配合本次金融數(shù)據(jù)安全評估實施團隊根據(jù)評估結果及安全分析結論編制評估報告，對評估內容、過程、結果、問題等進行總結和分析，并給出總體評估結論。8金融數(shù)據(jù)安全評估采用的評估方法與風險評估類似，采用的評估手段至少包括：S1組織架構建設S1-1組織架構建設情況評估內容見表6.1.1。表6.1.1組織架構建設情況評估內容序號安全要求評估方法結果判定1.1應設立由金融業(yè)機構高級管理管理資源調配。1.文檔查驗認領導小組由金融業(yè)機構高級管理層構成。2.理部門。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。應設立數(shù)據(jù)安全管理委員會，成1.員應至少包括主要部門的主要2風險管理、稽核審計、人事部門等相關部門的主要負責人。2.評審工作，保障數(shù)據(jù)安全管理工作所需資源，并設立數(shù)據(jù)安全管保障數(shù)據(jù)安全管理工作所需資源等。9序號安全要求評估方法結果判定理專職崗位，負責日常數(shù)據(jù)安全3.管理工作。其職責為日常數(shù)據(jù)安全管理工作。4.作已落實到人、崗位職責明確。結果評價：符合：滿足以上第1至4項。不符合：不滿足以上第1至4項中的一項或多項。1.認其完備性。應制定、發(fā)布和更新本機構數(shù)據(jù)2.3安全管理制度、規(guī)程與細則，并1.文檔查驗審核和修訂。定期審核和修訂。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.4應組織開展本機構數(shù)據(jù)分級工作，識別并維護數(shù)據(jù)資產(chǎn)清單。的數(shù)據(jù)分級的安全原則，配合推動相關工作要求的執(zhí)行。2.并開展定期維護。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.的相關文件，確認其完備性。5應制定、簽發(fā)、實施、定期更新隱私政策和相關規(guī)程。2.查驗APP結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.查閱關于監(jiān)督本機構內部以及本機構與外部合作方數(shù)據(jù)安全管理情況的相關文件和工作材料，確認其已正式發(fā)布。2.查閱相關材料中負責對合作方進行管理的相關崗位和人員6與外部合作方數(shù)據(jù)安全管理情況。據(jù)安全要求，并監(jiān)督合作方遵守相關數(shù)據(jù)安全管理要求。3.數(shù)據(jù)安全管理要求與實際工作開展情況一致。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。10序號安全要求評估方法結果判定1.查閱關于金融產(chǎn)品或服務上線發(fā)布前組織開展數(shù)據(jù)安全評7應在金融產(chǎn)品或服務上線發(fā)布私政策不符等情況。2.3.產(chǎn)品或服務功能及隱私政策。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.查閱關于設立數(shù)據(jù)安全崗位作為數(shù)據(jù)安全管理執(zhí)行層的相應由業(yè)務部門、信息系統(tǒng)建設部81.文檔查驗系統(tǒng)運維等數(shù)據(jù)安全管理與安全應用相關部門。結果評價：執(zhí)行層。符合：滿足以上第1項。不符合：不滿足以上第1項。1.符合數(shù)據(jù)安全相關策略和規(guī)程。9數(shù)據(jù)安全崗位人員應根據(jù)數(shù)據(jù)安全相關策略和規(guī)程，落實本部門數(shù)據(jù)安全防護措施。2數(shù)據(jù)安全相關政策和規(guī)程一致。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.查閱關于針對各相關方數(shù)據(jù)權限分配的授權審批相關文件和工作材料，確認相關文件和工作材料中已建立數(shù)據(jù)權限使10數(shù)據(jù)安全崗位人員應做好經(jīng)授相關方分配數(shù)據(jù)權限的相關工作。用、申請的評估機制。查驗并確認獲得授權的各相關方數(shù)據(jù)權限的分配情況與審批文件相符。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。11數(shù)據(jù)安全崗位人員應對本部門的數(shù)據(jù)安全控制有效性進行確認。流程和工作材料，確認數(shù)據(jù)安全控制的有效性。據(jù)使用限制等。11序號安全要求評估方法結果判定結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.查閱關于配合執(zhí)行數(shù)據(jù)相關安全評估及技術檢測等工作的相關材料，確認能夠證明其參與。12數(shù)據(jù)安全崗位人員應配合執(zhí)行數(shù)據(jù)相關安全評估及技術檢測等工作。2.術檢測等工作。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.在文件中明確負責數(shù)據(jù)安全事件應急響應的職責分工和應對13數(shù)據(jù)安全崗位人員應制定本部1.文檔查驗流程等。果修訂。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.認相關文件及流程中已明確本機構各部門應對不同等級數(shù)據(jù)安全事件的相關管理要求及應對措施。14數(shù)據(jù)安全崗位人員應做好處置本部門有關數(shù)據(jù)安全事件的相關工作。合規(guī)。格按照相關制度和流程的規(guī)定履行職責。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.數(shù)據(jù)安全崗位人員應依據(jù)數(shù)據(jù)關數(shù)據(jù)活動符合數(shù)據(jù)安全管理相關制度規(guī)范。15安全管理有關制度規(guī)范，記錄本1.文檔查驗結果評價：部門數(shù)據(jù)活動日志。符合：滿足以上第1項。不符合：不滿足以上第1項。1.應明確安全審計、合規(guī)稽核、風并確認存在這些崗位人員對數(shù)據(jù)生命周期各階段的數(shù)據(jù)處理16險管理等相關崗位，作為數(shù)據(jù)安1.文檔查驗全管理的監(jiān)督層。結果評價：符合：滿足以上第1項。不符合：不滿足以上第1項。12序號安全要求評估方法結果判定1.17應根據(jù)本機構數(shù)據(jù)相關業(yè)務實式、審計形式等內容。1.文檔查驗審計形式等內容。2.查閱并確認審計內容與審計策略、規(guī)范相匹配。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.錄材料，并確認相關政策、方針的執(zhí)行得到有效監(jiān)督。18應監(jiān)督數(shù)據(jù)安全政策、方針的執(zhí)行。2.結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.查閱關于受理數(shù)據(jù)安全和隱私保護相關投訴和舉報相關材料，確認相關工作流程明確、規(guī)范、合理。19應公布投訴、舉報方式等信息，并及時受理數(shù)據(jù)安全和隱私保護相關投訴和舉報。善，處理高效。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.應開展數(shù)據(jù)安全內部審計和分20對機構后續(xù)相關整改工作進行1.文檔查驗2.情況的追蹤、報告管理、問題管理等。監(jiān)督。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.21應配合開展外部審計相關的組織和協(xié)調工作。1.文檔查驗審計相關的工作組織和工作規(guī)定。結果評價：符合：滿足以上第1項。不符合：不滿足以上第1項。制度體系建設S1-2總體規(guī)劃情況評估內容見表6.2.1。13表6.2.1總體規(guī)劃情況評估內容序號安全要求評估方法結果判定1.1應依據(jù)國家與行業(yè)主管和監(jiān)管1.文檔查驗機構自身風險管控策略和偏好、安全建設預算等因素所制定，包括本機構數(shù)據(jù)安全總體安全策略、方針、目標、原則。2.結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.法、流程等進行了明確。2應制定本機構數(shù)據(jù)分級規(guī)程，識別并維護本機構數(shù)據(jù)資產(chǎn)清單，并標注相應的數(shù)據(jù)級別。1.文檔查驗進行了標注。由、頻率等合理合規(guī)。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.查閱本機構數(shù)據(jù)安全管理規(guī)定和數(shù)據(jù)安全生命周期保護工應制定數(shù)據(jù)安全管理制度及實施細則并定期評價更新，確保基本機構數(shù)據(jù)全生命周期。3于數(shù)據(jù)分級的數(shù)據(jù)安全制度體1.文檔查驗2.查閱對相關制度規(guī)定的有效性進行定期評價和更新的相關材料，確認評價周期、更新頻率及事由等合理合規(guī)。對有關制度的有效性進行定期結果評價：評價與更新。符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.4信息安全影響評估以及內外部數(shù)據(jù)安全檢查與評估制度。1.文檔查驗作的內容、要求、流程等相關規(guī)定。結果評價：符合：滿足以上第1項。不符合：不滿足以上第1項。技術管理情況評估內容見表6.2.2。14表6.2.2技術管理情況評估內容序號安全要求評估方法結果判定應制定數(shù)據(jù)安全管理實施細則，并應定期審核和更新金融數(shù)據(jù)安全管理制度。評價更新的情況。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。11.文檔查驗的制定情況和具體要求。的數(shù)據(jù)制定了相應的安全保護策略及保障措施。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。21.文檔查驗應建立數(shù)據(jù)安全日常管理及操作流程，對數(shù)據(jù)生命周期各階段的數(shù)據(jù)保護工作提出具體要求。據(jù)生命周期各階段的數(shù)據(jù)保護工作制定具體要求。據(jù)級別對應的數(shù)據(jù)保護策略得以有效落實。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。3應建立合理、統(tǒng)一的密碼使用和密鑰管理技術規(guī)范和制度。1.材料，確認本機構密碼技術應用機制合理、統(tǒng)一規(guī)范使用。2.訪談相關人員，確認密碼使用和密鑰管理符合相關制度規(guī)定。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。4應建立數(shù)據(jù)脫敏技術規(guī)范和制用限制。據(jù)脫敏規(guī)則、脫敏方法和脫敏數(shù)據(jù)的使用限制等。查驗脫敏數(shù)據(jù)識別和脫敏效果驗證服務組件或技術手段的配置相關參數(shù)和材料，確認數(shù)據(jù)脫敏的有效性和合規(guī)性。3.不存在違規(guī)使用脫敏技術的情況。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。56應建立第三方機構管理制度。1.文檔查驗1.制度有效落地執(zhí)行。結果評價：15序號安全要求評估方法結果判定符合：滿足以上第1項。不符合：不滿足以上第1項。應建立數(shù)據(jù)供應方安全管理要數(shù)據(jù)的真實性、有效性進行管理。1.確定數(shù)據(jù)來源合法合規(guī)、對數(shù)據(jù)的真實性和有效性進行管理等。結果評價：符合：滿足以上第1項。不符合：不滿足以上第1項。71.文檔查閱應建立數(shù)據(jù)出境安全控制要求與操作程序。1.至少包括檢查數(shù)據(jù)出境審批操作、審批流程等。結果評價：符合：滿足以上第1項。不符合：不滿足以上第1項。81.文檔查驗和審核規(guī)程的相關文件，確認其完整性。的渠道、數(shù)據(jù)格式、流程和方式。和審核的日志記錄，確認數(shù)據(jù)相關操作合規(guī)。已采用電子化手段審核流程。（可選項）結果評價：符合：滿足以上第1至3項或第1至4項。不符合：不滿足以上第1至3項中的一項或多項。9大數(shù)據(jù)安全事件的處置流程及應對方法。理、處置規(guī)程和應急響應等機制。件的處置流程及應對方法。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。101.文檔查驗在本機構組織架構發(fā)生重大調整或數(shù)據(jù)相關服務發(fā)生重大變修訂和更新。務重大變化情況。更新相關記錄，確認及時對金融數(shù)據(jù)安全策略與規(guī)程進行評估，并按需進行修訂和更新。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。111.文檔查驗12應建立工程環(huán)節(jié)數(shù)據(jù)安全管理制度。1.文檔查驗1.查閱并確認具備數(shù)據(jù)安全工程環(huán)節(jié)相關管理實施細則。16序號安全要求評估方法結果判定2評價更新的情況。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。人員管理情況評估內容見表6.2.3。表6.2.3人員管理情況評估內容序號安全要求評估方法結果判定1.1應在錄用員工前，對其進行必要的背景調查。1.文檔查驗全管理相關人員前已對其開展背景調查。結果評價：符合：滿足以上第1項。不符合：不滿足以上第1項。1.應對數(shù)據(jù)安全關鍵崗位制定統(tǒng)統(tǒng)一性進行確認。一的保密協(xié)議，并與可接觸機構2.查閱已簽署的保密協(xié)議，確認已與可接觸機構3級以上數(shù)據(jù)23級及以上數(shù)據(jù)的員工以及從1.文檔查驗的員工以及從事數(shù)據(jù)安全關鍵崗位的員工簽署保密協(xié)議。事數(shù)據(jù)安全關鍵崗位的員工簽結果評價：署保密協(xié)議。符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1發(fā)、測試崗位人員、因業(yè)務需要需高頻或大批量接觸3級及以應識別機構數(shù)據(jù)安全關鍵崗位，3并與其簽署數(shù)據(jù)安全崗位責任1.文檔查驗他數(shù)據(jù)安全關鍵崗位。協(xié)議。2.位簽署責任協(xié)議。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。應在發(fā)生人員調離崗位時，立即1.完成相關人員數(shù)據(jù)訪問、使用等數(shù)據(jù)訪問、使用等權限配置已進行調整。權限的配置調整，并明確有關人2.4員后續(xù)的數(shù)據(jù)保護管理權限和和保密責任。3.崗位不涉及數(shù)據(jù)的訪問與處理情況。的，應明確其繼續(xù)履行有關信息4.旁站驗證相關人員的數(shù)據(jù)訪問和使用等權限配置調整參數(shù)的保密義務要求。和日志記錄，確認操作與相關制度規(guī)定相符。17序號安全要求評估方法結果判定結果評價：符合：滿足以上第1至4項。不符合：不滿足以上第1至4項中的一項或多項。1.等約束其繼續(xù)履行有關信息保密義務的文件。在與員工終止勞動合同時，應立2.5即終止并收回其對數(shù)據(jù)的訪問權限其繼續(xù)履行相關信息的保密義務要求。3.旁站驗證并確認及時終止并收回已終止勞動合同員工的數(shù)據(jù)訪問權限。保密承諾書。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.查閱并確認具備外部人員管理制度的相關文件。應建立外部人員管理制度，對允2.許被外部人員訪問的系統(tǒng)和網(wǎng)訓，并在必要時簽署保密協(xié)議。63.旁站驗證并確認允許外部人員訪問的信息系統(tǒng)和網(wǎng)絡資源名單及其權限。數(shù)據(jù)安全要求和培訓，必要時簽結果評價：署保密協(xié)議。符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.查閱對數(shù)據(jù)安全相關崗位人員制定的安全專項培訓計劃的拓展等。2.查閱按照培訓計劃定期開展數(shù)據(jù)安全意識教育與培訓的相理規(guī)程等。3.查閱對密切接觸高安全等級數(shù)據(jù)的人員定期開展數(shù)據(jù)安全7應做好數(shù)據(jù)安全相關崗位人員的安全專項培訓相關工作。據(jù)安全相關制度與管理規(guī)程、崗位數(shù)據(jù)安全意識及技能培養(yǎng)等。4.查閱并確認員工對培訓結果的評價和記錄等相關材料的留存。5.訪談相關員工，確認開展的教育和培訓能夠達到預期的效果。結果評價：符合：滿足以上第1至5項。不符合：不滿足以上第1至5項中的一項或多項。18序號安全要求評估方法結果判定1.與關鍵崗位人員的數(shù)據(jù)安全專項培訓。2.8應對數(shù)據(jù)安全管理專職與關鍵崗位人員開展培訓和考核。全關鍵崗位人員開展專業(yè)化培訓和考核。3.能夠達到預期的效果。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.崗位進行審批和登記。9全審計人員等崗位設立專人專理崗位等數(shù)據(jù)安全關鍵崗位應設立雙人雙崗。1.文檔查驗計人員等崗位人員行為進行安全審查。關材料，確認設立專人專崗，并實行職責分離。位的崗位職責相關材料，確認在必要時設立雙人雙崗。結果評價：符合：滿足以上第1至4項。不符合：不滿足以上第1至4項中的一項或多項。與第三方機構（包括外包服務機構與外部合作機構）的合作管理評估內容見表6.2.4。表6.2.4合作管理情況評估內容序號安全要求評估方法結果判定1相關要求。應建立第三方機構審查與評估21機制，評估其數(shù)據(jù)安全保護能1.文檔查驗達到國家、行業(yè)主管部門與金融業(yè)機構的要求。力。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.查閱并確認具備第三方機構及人員相關數(shù)據(jù)安全管理資質證明材料及審核記錄文件。2.2第三方機構應具備一定的資質要求。1.文檔查驗確認其具備與所開展合作事項相應的數(shù)據(jù)安全保護機制及運營資質要求。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。19序號安全要求評估方法結果判定方機構的數(shù)據(jù)使用行為進行約構應具備的數(shù)據(jù)安全保護能力要求。1.查閱與第三方機構簽訂的各項合同協(xié)議，至少包括：3級及以3級及以上數(shù)據(jù)的情況，合同理數(shù)據(jù)行為約束要求。不再以任何方式保存從金融業(yè)機構獲取的數(shù)據(jù)及相關衍生數(shù)合作關系明確告知用戶。對該協(xié)議履行情況進行監(jiān)督的相關要求。查閱并確認已在協(xié)議中明確雙方安全責任及義務分工。護能力要求進行明確。2.對第三方機構確需留存3具備留存依據(jù)、數(shù)據(jù)安全措施及第三方機構的保密協(xié)議。3.據(jù)存儲、使用和共享操作時已得到本機構書面授權。4結果評價：符合：滿足以上第1至4項。不符合：不滿足以上第1至4項中的一項或多項。3對可能訪問金融業(yè)機構數(shù)據(jù)的應要求第三方機構向有關人員傳達金融業(yè)機構數(shù)據(jù)安全要求，掌握情況，確認數(shù)據(jù)安全教育培訓達到預期效果。議與監(jiān)督要求的履行和落實情況。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。45應對第三方機構進行監(jiān)督，定期對第三方機構的數(shù)據(jù)安全保護措施落實情況進行確認。1.護能力要求。20序號安全要求評估方法結果判定實到位。率、確認方式等。構數(shù)據(jù)安全保護措施有效落實，對發(fā)現(xiàn)的問題應及時督促整改，并留存監(jiān)督檢查結果及問題整改情況書面記錄。查閱設計文檔并查驗相關信息系統(tǒng)，確認不存在包括3以上數(shù)據(jù)的數(shù)據(jù)庫交由外部合作機構運維的情況。據(jù)過程中發(fā)生數(shù)據(jù)安全事件的處置流程和方式。結果評價：符合：滿足以上第1至6項。不符合：不滿足以上第1至6項中的一項或多項。第三方機構應及時反饋在處理數(shù)據(jù)過程中發(fā)生的數(shù)據(jù)安全事件。1.饋。結果評價：符合：滿足以上第1項。不符合：不滿足以上第1項。61.文檔查驗應對接入和涉及的第三方產(chǎn)品和服務進行專門的數(shù)據(jù)安全管而危害機構數(shù)據(jù)安全。產(chǎn)品或服務接入的基本條件。品或服務采取的風險控制措施能夠有效防范接入風險。格接入認證，配置安全控制策略，采取安全風險管控措施。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。7應對第三方接入產(chǎn)品和服務的數(shù)據(jù)處理活動進行必要的監(jiān)視。查閱并確認具備第三方嵌入或接入的自動化工具的功能和安全性檢驗報告。入產(chǎn)品和服務的數(shù)據(jù)處理活動進行必要的監(jiān)視。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。81.文檔查驗9第三方產(chǎn)品或服務應具備清晰標識。1.旁站驗證1.查驗向用戶直接提供服務的第三方產(chǎn)品或服務接入信息系統(tǒng)，確認界面明確標識產(chǎn)品或服務的提供方。結果評價：21序號安全要求評估方法結果判定符合：滿足以上第1項。不符合：不滿足以上第1項。1.查閱并確認具備第三方接入產(chǎn)品和服務監(jiān)視記錄和安全事10發(fā)生違規(guī)行為或安全事件應執(zhí)監(jiān)管部門。1.文檔查驗行安全事件處置程序。2.及處置記錄。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.人金融信息和重要數(shù)據(jù)的知悉范圍和安全管控措施。11性和有效性。1.文檔查驗況保持一致。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.集范圍和頻度，并事前開展數(shù)據(jù)安全影響評估。對于數(shù)據(jù)供應方，應制定數(shù)據(jù)供2.查閱數(shù)據(jù)評估報告等相關證明材料，確認已對數(shù)據(jù)的真實12應方約束機制，保證數(shù)據(jù)合法合1.文檔查驗性、準確性、合法合規(guī)情況以及數(shù)據(jù)保護措施等開展評估。規(guī)以及保護措施有效性。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。與第三方機構解除合作關系時，相關條款規(guī)定內容符合要求。第三方產(chǎn)品或服務時，履行用戶告知義務。執(zhí)行情況進行確認。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。應要求第三方機構不再以任何方式保存從金融業(yè)機構獲取的數(shù)據(jù)及相關衍生數(shù)據(jù)，國家及行13涉及向用戶直接提供服務的第1.文檔查驗三方產(chǎn)品或服務，應在與第三方機構解除合作關系時，明確告知用戶金融業(yè)機構已解除與第三方機構合作關系。流程管理情況評估內容見表6.2.5。22表6.2.5流程管理情況評估內容序號安全要求評估方法結果判定1.各個方面，且相應制度至少包括數(shù)據(jù)安全管理工作的戰(zhàn)略總則、基本方針、管理要求、實施指南、工作流程等內容。1應建立數(shù)據(jù)安全管理制度體系，明確相關部門與崗位數(shù)據(jù)安全工作職責，規(guī)范工作流程。1.文檔查驗階段的數(shù)據(jù)保護工作具體要求。提出具體要求。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.程度或等級制定相應的處置規(guī)程。2置流程及應對方法。1.文檔查驗2.發(fā)現(xiàn)及報告機制等要求。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.相關審核制度。3應建立數(shù)據(jù)采集、傳輸、存儲、使用、刪除及銷毀相關審核規(guī)程。2.行確認。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。S2S2-1數(shù)據(jù)資產(chǎn)分級管理情況評估見表7.1.1。數(shù)據(jù)資產(chǎn)清單相關示例參見附錄A。表7.1.1數(shù)據(jù)資產(chǎn)分級管理情況評估內容序號安全要求評估方法結果判定1.應建立數(shù)據(jù)安全分級相關制度，21明確數(shù)據(jù)分級中的具體工作內1.文檔查驗級實施工作具體工作內容相關材料。容。323序號安全要求評估方法結果判定則和周期等內容。結果評價：符合：滿足以上第1至3基本符合：滿足以上第1項。不符合：不滿足以上第1項。數(shù)據(jù)安全分級結果應由數(shù)據(jù)安全管理最高決策組織進行審議批準。律法規(guī)及內部制度相關要求。查閱并確認具備數(shù)據(jù)安全管理最高決策組織對數(shù)據(jù)安全分級進行審議批準的相關材料。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。21.文檔查驗應對數(shù)據(jù)進行盤點、梳理與分類，形成統(tǒng)一的數(shù)據(jù)資產(chǎn)清單。作相關內容。級別等相關內容。（或間接（終端電子數(shù)據(jù)等。結果評價：符合：滿足以上第1至4項?；痉希簼M足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。3應定期梳理數(shù)據(jù)資產(chǎn)并及時更新數(shù)據(jù)資產(chǎn)清單。新要求，并已明確數(shù)據(jù)梳理更新的條件和頻率。及報廢等狀態(tài)進行登記，并能做到定期更新。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。41.文檔查驗5應將數(shù)據(jù)安全性遭到破壞后可能造成的影響作為確定數(shù)據(jù)安1.文檔查驗1.據(jù)包括數(shù)據(jù)安全性遭到破壞后可能造成的影響相關內容。24序號安全要求評估方法結果判定全級別的重要依據(jù)，將數(shù)據(jù)從高2.到低進行級別劃分。求及數(shù)據(jù)從高到低進行劃分做出具體規(guī)定。3.查閱數(shù)據(jù)安全相關制度文件，確認包括數(shù)據(jù)安全分級的規(guī)（遭受破壞后所造成的影響評估情況，來進行數(shù)據(jù)安全級別劃分。結果評價：符合：滿足以上第1至3項?；痉希簼M足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.查閱數(shù)據(jù)安全定級規(guī)則相關規(guī)定，參照JR/T0197—2020，對數(shù)據(jù)安全分級規(guī)則合理性進行確認。2.定級結果與本機構數(shù)據(jù)安全定級規(guī)則的一致性。3.（包6應制定明確的定級規(guī)則，根據(jù)規(guī)則完成對數(shù)據(jù)資產(chǎn)的定級。1.文檔查驗括個人客戶和單位客戶（客戶度、安全級別等已從高確定。4.據(jù)的安全等級不可低于5級。結果評價：符合：滿足以上第1至4項。不符合：不滿足以上第1至4項中的一項或多項。1.應制定數(shù)據(jù)安全定級流程和具至少包括數(shù)據(jù)安全定級流程和具體操作步驟。7體操作步驟，以制度規(guī)程形式發(fā)1.文檔查驗結果評價：布。符合：滿足以上第1項。不符合：不滿足以上第1項。1.查閱數(shù)據(jù)定級過程相關記錄文檔，確認定級流程至少包括“數(shù)據(jù)資產(chǎn)梳理-數(shù)據(jù)安全定級準備-數(shù)據(jù)安全級別判定-數(shù)據(jù)8應根據(jù)規(guī)范流程實施數(shù)據(jù)安全定級工作。1.文檔查驗安全級別審核-數(shù)據(jù)安全級別批準”等基本步驟。結果評價：符合：滿足以上第1項。不符合：不滿足以上第1項。1.9應對符合變更條件的數(shù)據(jù)按照定級流程實施級別變更。整的、本機構發(fā)生重大數(shù)據(jù)安全事件的等情況。25序號安全要求評估方法結果判定2.定級流程要求執(zhí)行。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。S2-2概述依據(jù)JR/T0197-2020JR/T0223-2021B從外部機構采集數(shù)據(jù)安全評估內容見表7.2.1。表7.2.1從外部機構采集數(shù)據(jù)安全評估內容序號安全要求評估辦法結果判定1.合規(guī)性承諾證明。1方在數(shù)據(jù)安全方面的責任及義時提供相關個人金融信息主體的授權。查閱合同協(xié)議等約定條款，確認已書面明確數(shù)據(jù)采集的范后數(shù)據(jù)處理方式。部機構提供個人金融信息主體授權。權內容與實際數(shù)據(jù)采集實現(xiàn)情況完全一致。結果評價：符合：滿足以上第1至4項?；痉希簼M足以上第1、2、4項。不符合：不滿足以上第1、2、4項中的一項或多項。1.2從外部數(shù)據(jù)供應方處采集數(shù)據(jù)，應制定數(shù)據(jù)供應方約束機制，并明確數(shù)據(jù)源、數(shù)據(jù)采集范圍和頻度，并事前開展數(shù)據(jù)安全影響評估。提出具體要求。2.26序號安全要求評估辦法結果判定損害及該損害發(fā)生的可能性等。3.相關評估，且評估過程符合數(shù)據(jù)安全影響評估規(guī)范。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。采集的企業(yè)客戶數(shù)據(jù)應與提供范圍采集數(shù)據(jù)。務具體內容。查驗并確認采集的企業(yè)客戶數(shù)據(jù)均與所提供金融產(chǎn)品或服務直接相關。中約定采集的內容完全一致，未超范圍采集數(shù)據(jù)。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。3應明確數(shù)據(jù)采集過程中個人金融信息和重要數(shù)據(jù)的知悉范圍的合規(guī)性、完整性和真實性。息和重要數(shù)據(jù)的知悉范圍和安全管控措施。采集數(shù)據(jù)。查驗并確認數(shù)據(jù)采集過程中個人金融信息和重要數(shù)據(jù)的安全管控措施及其實際有效性。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。4通過系統(tǒng)批量采集的數(shù)據(jù)應采等密碼技術確保采集過程數(shù)據(jù)的完整性。程數(shù)據(jù)的完整性。查驗并確認采集數(shù)據(jù)相關信息系統(tǒng)已采用摘要、消息認證碼、數(shù)字簽名等密碼技術保障采集過程數(shù)據(jù)的完整性。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.文檔查驗54.旁站驗證應對人工批量采集數(shù)據(jù)的環(huán)境采集過程出現(xiàn)數(shù)據(jù)泄露。數(shù)據(jù)防泄漏等安全管控做出相關規(guī)定。查驗并確認數(shù)據(jù)采集過程中已采用數(shù)據(jù)防泄露技術手段及相關安全制度規(guī)定內容一致。627序號安全要求評估辦法結果判定限設置、信息碎片化等方式，防止采集過程出現(xiàn)數(shù)據(jù)泄漏。結果評價：符合：滿足以上第1至4項。不符合：不滿足以上第1至4項中的一項或多項。采集數(shù)據(jù)時，應對數(shù)據(jù)采集設備或系統(tǒng)的真實性進行驗證。或信息系統(tǒng)的真實性。查驗并確認采集設備或信息系統(tǒng)具有鑒別真實性的功能或技術。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。7應對數(shù)據(jù)采集過程進行日志記源的可追溯性。查驗并確認數(shù)據(jù)采集設備或信息系統(tǒng)已具有日志記錄的功能。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.文檔查驗82.工具測試3.旁站驗證93險情況等多種因素對數(shù)據(jù)采集設備或系統(tǒng)的真實性進行增強驗證。查閱采集3關文檔，確認該設備或信息系統(tǒng)具有增強驗證功能。查驗采集3強驗證。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。41)對采集全過程進行持續(xù)動態(tài)不應通過人工方式采集。查閱采集4（4式。查驗并確認已明確采集4等操作的必要情形，并確認其操作有效性。查驗并確認采集4進行持續(xù)動態(tài)認證。查驗并確認數(shù)據(jù)采集設備或信息系統(tǒng)對采集的4加密。訪談相關人員，了解4式采集。結果評價：符合：滿足以上第1至5項。1028序號安全要求評估辦法結果判定不符合：不滿足以上第1至5項中的一項或多項。從個人金融信息主體采集數(shù)據(jù)安全評估內容見表7.2.2。表7.2.2從個人金融信息主體采集數(shù)據(jù)安全評估內容序號安全要求評估辦法結果判定1.查閱處理個人金融信息的APP、WEB確認已明確不留存3級及以上數(shù)據(jù)的方案和及時清理緩存的方1APP、WEB等客戶端相關業(yè)務完3案。2.查驗并確認APP、WEB客戶端在完成相關業(yè)務后未留存3級及以上數(shù)據(jù)，且在業(yè)務完成后能及時對緩存進行清理。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.產(chǎn)品或服務具體內容。2.查驗并確認采集的個人金融信息與提供的金融產(chǎn)品或服務2采集的個人金融信息應與提供范圍采集數(shù)據(jù)。直接相關，未采集無關信息。3.中約定采集的內容完全一致，未超范圍、過量采集數(shù)據(jù)。4.品，選擇不低于十分之一的產(chǎn)品，對近180息采集做抽樣查驗，確認不存在超范圍、過量采集數(shù)據(jù)。結果評價：符合：滿足以上第1至4項。不符合：不滿足以上第1至4項中的一項或多項。通過紙質表單采集數(shù)據(jù)并轉換機制設計合規(guī)。記錄，確認涉及3級及以上表單操作經(jīng)由專人審批，且流轉記錄完整、審計記錄合規(guī)。保密性的技術措施和權限控制措施設計。子化操作權限。與紙質表單數(shù)據(jù)完全一致。結果評價：符合：滿足以上第1至5項。不符合：不滿足以上第1至5項中的一項或多項。1)對表單的保存、查閱、復制等操作進行嚴格審批授權，涉及3級及以上數(shù)據(jù)的操作，應進行專1.人員訪談3項審批，并對表單流轉的全過程2.文檔查驗進行監(jiān)控與審計。3.旁站驗證2)在紙質表單電子化的過程中，應采取技術措施對電子化過程中的數(shù)據(jù)完整性、保密性進行控制。29序號安全要求評估辦法結果判定4數(shù)據(jù)采集過程應符合表7.2.1第4至10項安全要求。同表7.2.1第4至10同表7.2.1第4至10項金融業(yè)機構在停止其提供的金據(jù)收集活動及數(shù)據(jù)分析應用活有規(guī)定的按照相關規(guī)定執(zhí)行。的相關規(guī)定。數(shù)據(jù)活動與相關數(shù)據(jù)安全制度規(guī)定的內容完全一致。服務時應立即停止數(shù)據(jù)收集活動及數(shù)據(jù)分析應用活動的約定內容。服務后，立即采取措施停止數(shù)據(jù)收集活動及數(shù)據(jù)分析應用活動，且此后未進行此產(chǎn)品和服務相關的任何數(shù)據(jù)活動。結果評價：符合：滿足以上第1至4項。不符合：不滿足以上第1至4項中的一項或多項。5數(shù)據(jù)傳輸安全評估內容見表7.2.3。表7.2.3數(shù)據(jù)傳輸安全評估內容序號安全要求評估辦法結果判定1.查閱數(shù)據(jù)安全相關制度,確認至少包括軟件開發(fā)安全管理、應加強軟件開發(fā)安全管理，保障展?jié)B透測試、漏洞掃描等安全檢測等要求。數(shù)據(jù)傳輸工具的安全性，工具上2.1全漏洞與隱患已整改消除。具使用過程中遭受惡意破壞、功結果評價：能篡改、信息竊取等攻擊。符合：滿足以上第1至2項。基本符合：滿足以上第1項。不符合：不滿足以上第1項。1.應采用防火墻、入侵檢測等安全技術或設備，確保數(shù)據(jù)傳輸網(wǎng)絡蓋網(wǎng)絡內部和外部的所有流量。2的安全性。不同網(wǎng)絡區(qū)域或安全1.配置核查2.域之間應進行安全隔離和訪問2.旁站驗證備可檢測異常攻擊行為?？刂?。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。30序號安全要求評估辦法結果判定1.控制、終端鑒別等功能。終端應采取準入控制、終端鑒別1.文檔查驗2.查驗并確認終端安全管控系統(tǒng)已配置相關安全策略。3等技術措施，防止非法或未授權2.配置核查3.終端接入內部網(wǎng)絡。3.旁站驗證結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.查驗并確認通信前均對雙方進行身份認證。2.4應對通信雙方進行身份認證，確保數(shù)據(jù)傳輸雙方是可信任的。數(shù)據(jù)傳輸采用身份認證技術且能夠確保通信雙方身份可信。結果評價：符合：滿足以上第1至2項?；痉希簼M足以上第1項。不符合：不滿足以上第1項。1.措施及密碼算法設計。應采用數(shù)字簽名、時間戳等方2.5應采用密碼技術或非密碼技術據(jù)的正確、完整性。3.查驗并確認數(shù)據(jù)傳輸時已采用數(shù)字簽名和時間戳等抗抵賴等方式，確保數(shù)據(jù)的完整性。3.旁站驗證技術。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.MD5DES-CBC、SHA1等不安全的算法。應選用安全的密碼算法，禁用如1.文檔查驗2.6MD5DES-CBCSHA12.工具測試算法應用。算法。3.旁站驗證結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.查閱數(shù)據(jù)安全相關制度，確認已明確2級及以上數(shù)據(jù)內部傳2級及以上數(shù)據(jù)的內部傳輸，應事先經(jīng)過審批授權明確當前授明確數(shù)據(jù)對外傳輸應采用的安全防護技術措施。權的范圍、頻次、有效期等，避2.查驗并確認2級及以上數(shù)據(jù)的對外傳輸已采取安全防護技術72措施。3.訪談相關人員，詢問相關部門2級及以上數(shù)據(jù)對內傳輸和對輸，應事先經(jīng)過審批授權并采取3.人員訪談數(shù)據(jù)加密、安全傳輸通道或安全傳輸協(xié)議進行數(shù)據(jù)傳輸。況。結果評價：符合：滿足以上第1至3項。31序號安全要求評估辦法結果判定不符合：不滿足以上第1至3項中的一項或多項。3安全傳輸協(xié)議進行數(shù)據(jù)傳輸。級及以上數(shù)據(jù)原則上不應對外傳輸，若因業(yè)務需要確需傳輸取技術措施確保數(shù)據(jù)保密性。查閱數(shù)據(jù)安全相關制度，確認已明確3輸應采用的安全防護技術措施，并明確3相應安全防護技術措施。使用工具統(tǒng)計近1803查驗相關事項審批授權記錄，確認完全一致。查驗并確認3級及以上數(shù)據(jù)的內部傳輸（全域等存在安全風險的場景據(jù)加密、安全傳輸通道或安全傳輸協(xié)議等。查驗并確認已采取技術措施監(jiān)測并防止非授權的3數(shù)據(jù)對外傳輸。結果評價：符合：滿足以上第1至4項?；痉希簼M足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.文檔查驗82.工具測試3.旁站驗證44的個人金融信息原則上不應對有規(guī)定的除外。查閱數(shù)據(jù)安全相關制度，確認已明確4明確除國家及行業(yè)主管另有規(guī)定外，4不應對外傳輸。查驗并確認4用安全的傳輸協(xié)議。查驗并確認已采取技術措施監(jiān)測并防止4外傳輸。查驗并確認4級數(shù)據(jù)中沒有對外傳輸個人金融信息的情況（國家及行業(yè)主管部門另有規(guī)定的除外）。結果評價：符合：滿足以上第1至4項?；痉希簼M足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。9應在數(shù)據(jù)傳輸不完整時清除傳輸緩存數(shù)據(jù)。應在數(shù)據(jù)傳輸完成后立即清除傳輸歷史緩存數(shù)據(jù)。據(jù)傳輸完成后及時清除緩存數(shù)據(jù)的技術方案。使用工具測試并確認數(shù)據(jù)傳輸中斷時的返回結果符合設計預期。至少選取三類業(yè)務系統(tǒng)，抽樣查驗并確認近1后的緩存數(shù)據(jù)未留存。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.文檔查驗102.工具測試3.旁站驗證11應定期檢查或評估數(shù)據(jù)傳輸?shù)陌踩院涂煽啃浴?.文檔查驗1.可靠性檢查或評估的周期。32序號安全要求評估辦法結果判定進建議、報告編制等。定了整改計劃。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。相關管理要求進行傳輸。1.2.查驗并確認在向國家機關、行業(yè)主管和監(jiān)管單位傳輸數(shù)據(jù)時，按照國家及行業(yè)相關管理要求做好相關保護措施。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。12應采用綁定設備序列號或硬件（MAC覆蓋范圍。進行合理設置。查驗并確認相關網(wǎng)絡設備通過設備序列號或硬件地址綁定措施已實現(xiàn)無線接入點的準入控制。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。13應對SSID采用規(guī)范的命名規(guī)SSIDSSID查驗無線網(wǎng)絡設備的SSIDSSIDSSID置。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。141.配置核查或產(chǎn)品說明。靠的加密協(xié)議。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。15161.備安全加固相關策略。33序號安全要求評估辦法結果判定應確保無線網(wǎng)絡設備的物理安3.工具測試2.查驗并確認無線網(wǎng)絡設備安全基線滿足要求。全，禁用不必要的服務，強化無3.線網(wǎng)絡設備的管理賬號和口令和口令安全，確認不存在弱口令。安全，禁止使用弱口令，建立安結果評價：全管理基線。符合：滿足以上第1至3項。基本符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.查閱無線網(wǎng)絡管理制度，確認已明確禁止多人使用同一賬通過內部無線網(wǎng)絡傳輸數(shù)據(jù)，在滿足以上基本要求的基礎上，還間未登錄使用的賬號。應加強無線網(wǎng)絡用戶管理，禁止1.文檔查驗2.17多人使用同一賬號，采用雙因素2.配置核查認證方式對接入用戶進行身份3.旁站驗證使用的賬號已停用。校驗，停用長時間未登錄使用無結果評價：線網(wǎng)絡的賬號。符合：滿足以上第1至2項.不符合：不滿足以上第1至2項中的一項或多項。1.通過內部無線網(wǎng)絡傳輸數(shù)據(jù)，在滿足以上基本要求的基礎上，還18應采取措施控制移動智能終端在內網(wǎng)和互聯(lián)網(wǎng)交叉使用的風技術防護措施。2.查驗并確認移動智能終端在內網(wǎng)和互聯(lián)網(wǎng)交叉使用時已采取包括防范數(shù)據(jù)泄漏和惡意代碼等技術的安全防護措施。護，防范惡意代碼傳播。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.關要求。通過內部無線網(wǎng)絡傳輸數(shù)據(jù)，在2.19應明確短期使用及臨時搭建的時拆除或關閉。不存在不關閉的臨時無線網(wǎng)絡。3.結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。通過運營商網(wǎng)絡傳輸數(shù)據(jù)，在滿1.查閱運營商網(wǎng)絡傳輸管理制度，確認已明確2級及以上數(shù)據(jù)足基本要求的基礎上，2級及以傳輸采用專線或VPN等技術要求。20上數(shù)據(jù)還應采用專線或VPN等1.文檔查驗2.查驗網(wǎng)絡設備相關配置，確認通過運營商網(wǎng)絡傳輸2級以上技術確保傳輸通道的安全，確保2.配置核查數(shù)據(jù)時已采用專線或VPN等安全的傳輸通道。數(shù)據(jù)傳輸?shù)陌踩?。結果評價：符合：滿足以上第1至2項。34序號安全要求評估辦法結果判定不符合：不滿足以上第1至2項中的一項或多項。通過物理介質批量傳遞3級及1.以上數(shù)據(jù)時應對數(shù)據(jù)進行加密遞3級及以上數(shù)據(jù)的管理要求?；蛎撁?，并由專人負責收發(fā)、登2.訪談相關人員明確33級及以上數(shù)據(jù)通過物理介質傳遞的場景和使用情況。傳遞過程中可采用密封、雙人押3.查驗并確認物理介質批量傳遞3級及以上數(shù)據(jù)的登記記錄符21送、視頻監(jiān)控等確保物理介質安全到位，傳遞過程中物理介質不合要求。4.查驗物理介質批量傳遞3級及以上數(shù)據(jù)的加密或脫敏方式，應離開相關責任人、監(jiān)控設備等3.旁站驗證確認加密或脫敏有效。的監(jiān)視及控制范圍，且不應在無5.查驗押送、視頻監(jiān)控等記錄材料，確認物理介質批量傳遞3人監(jiān)管情況下通過第三方進行級及以上數(shù)據(jù)的過程中符合要求。傳遞，國家及行業(yè)主管部門另有結果評價：規(guī)定的除外。符合：滿足以上第1至5項。不符合：不滿足以上第1至5項中的一項或多項。數(shù)據(jù)存儲安全評估內容見表7.2.4。表7.2.4數(shù)據(jù)存儲安全評估內容序號安全要求評估辦法結果判定1.時效的改變而降低數(shù)據(jù)安全保護強度”的要求。2及不同存儲形式所采用的安全防護措施。數(shù)據(jù)存儲不應因存儲形式或存1.文檔查驗3.隨機查驗生產(chǎn)環(huán)境存儲的各級別數(shù)據(jù)與其他存儲介質存儲1儲時效的改變而降低安全保護2.人員訪談的相應數(shù)據(jù)，確認同級別數(shù)據(jù)具有相同安全防護措施。強度。3.旁站驗證4.別的安全防護要求。結果評價：符合：滿足以上第1至4項。不符合：不滿足以上第1至4項中的一項或多項。1.2.2使用頻率等因素，將數(shù)據(jù)分域分級存儲。差異化保護策略。3.確認數(shù)據(jù)分域分級存儲技術隔離有效。結果評價：符合：滿足以上第1至3項。35序號安全要求評估辦法結果判定不符合：不滿足以上第1至3項中的一項或多項。1.儲原則，且不能以任何形式存儲非業(yè)務必須的金融數(shù)據(jù)。2.查驗并確認以清單等形式明確的各類業(yè)務使用金融數(shù)據(jù)的3應依據(jù)最小夠用原則存儲數(shù)據(jù)，不應以任何形式存儲非業(yè)務必需的金融數(shù)據(jù)，存儲時間應為業(yè)務必需的最短時間，國家及行業(yè)主管部門另有規(guī)定的除外。期限要求。均小于規(guī)定的業(yè)務必需使用時間。滿足最小夠用原則。結果評價：符合：滿足以上第1至4項。不符合：不滿足以上第1至4項中的一項或多項。1.（結論、改進建議等）、已明確評估周期。4應定期對數(shù)據(jù)存儲過程中可能產(chǎn)生的影響進行風險評估，并采取相應安全防護措施。2確認已按計劃執(zhí)行、結果真實性。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.制。2.5脫敏后的數(shù)據(jù)應與用于還原數(shù)復原始數(shù)據(jù)的技術應經(jīng)過嚴格錄。于還原數(shù)據(jù)的恢復文件不屬于同一區(qū)域，符合隔離存儲的要求。查閱并確認恢復原始數(shù)據(jù)的使用審批記錄與操作記錄合理、規(guī)范、詳實。查驗并確認脫敏后的數(shù)據(jù)與用于還原數(shù)據(jù)的恢復文件存儲區(qū)域與實施方案完全一致。結果評價：符合：滿足以上第1至4項。不符合：不滿足以上第1至4項中的一項或多項。1.查閱數(shù)據(jù)安全相關制度，確認已明確3級及以上數(shù)據(jù)的完整6應采取一定措施確保數(shù)據(jù)存儲3等技術措施保證數(shù)據(jù)完整性。性保護要求。2.查驗數(shù)據(jù)存儲相關系統(tǒng)實施方案，確認存儲3等。36序號安全要求評估辦法結果判定3.查驗并確認對存儲3級及以上數(shù)據(jù)的信息系統(tǒng)或數(shù)據(jù)庫采取的安全防護技術措施與實施方案完全一致。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。2級及以上數(shù)據(jù)應采取技術措人雙崗控制等安全策略。查閱數(shù)據(jù)安全相關制度，確認已明確2性保護要求。查驗數(shù)據(jù)存儲相關系統(tǒng)實施方案，確認存儲2認證、權限控制、安全隔離等。查驗并確認存儲2級及以上數(shù)據(jù)的信息系統(tǒng)或數(shù)據(jù)庫在必要時已采取相關安全防護措施，如多因素認證、固定處理終端、固定處理程序或工具、雙人雙崗控制等。結果評價：符合：滿足以上第1至4項。不符合：不滿足以上第1至4項中的一項或多項。73級數(shù)據(jù)的存儲應采取加密等技術措施保證數(shù)據(jù)存儲的保密性。查閱數(shù)據(jù)安全相關制度，確認已明確3要求。查閱33用加密技術等措施。查驗并確認對存儲3措施。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.文檔查驗82.工具測試3.旁站驗證保存3宜滿足網(wǎng)絡安全等級保護3要求。查閱保存3全設計方案符合網(wǎng)絡安全等級保護3級要求。（可選項）查閱保存3級及以上數(shù)據(jù)信息系統(tǒng)等保測評報告和備案證明，確認該系統(tǒng)已通過3級等保測評。（可選項）結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。91.文檔查驗文件系統(tǒng)中存放含有3加密存儲方式進行保護。查閱文件系統(tǒng)實施方案，確認存儲3采用整體加密技術措施。（可選項）查驗并確認存放含有3存儲。（可選項）結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.文檔查驗102.工具測試3.旁站驗證37序號安全要求評估辦法結果判定1.查閱數(shù)據(jù)安全相關制度，確認已明確4級及以上數(shù)據(jù)的保密性保護要求。2.查閱44級及114級及以上數(shù)據(jù)應使用密碼算法加密存儲。以上數(shù)據(jù)已采用具有密碼算法的加密技術措施。3.查驗并確認對存儲4級及以上數(shù)據(jù)的信息系統(tǒng)已采取了具有密碼算法的加密方式。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。1.及行業(yè)主管部門相關規(guī)定等要求。12在我國境內產(chǎn)生的金融數(shù)據(jù)原2.管部門相關要求和規(guī)定。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.查閱數(shù)據(jù)安全相關制度，確認已明確境內產(chǎn)生的5級數(shù)據(jù)僅在我國境內存儲等要求。13在我國境內產(chǎn)生的5級數(shù)據(jù)應僅在我國境內存儲。2.查驗存儲5結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。1.之間數(shù)據(jù)流動的安全管控措施。2.14應對數(shù)據(jù)存儲區(qū)域進行規(guī)劃，并對不同區(qū)域之間的數(shù)據(jù)流動進行安全管控。全管控策略。3.抽樣查驗近180天內數(shù)據(jù)在不同區(qū)域之間流動的安全管控記錄，確認存儲區(qū)域之間數(shù)據(jù)流動記錄與方案一致。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。根據(jù)數(shù)據(jù)的安全級別和數(shù)據(jù)對制。查驗并確認已根據(jù)數(shù)據(jù)的安全級別和對信息系統(tǒng)運行的影響制定合理的數(shù)據(jù)備份和恢復策略，且備份策略要素合規(guī)。3.符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。系統(tǒng)運行的影響，制定數(shù)據(jù)備份15數(shù)據(jù)離站運輸?shù)姆椒?、備份周期或頻率、備份范圍等。38序號安全要求評估辦法結果判定生產(chǎn)數(shù)據(jù)應采取實時備份與異功能。查閱數(shù)據(jù)安全相關制度，確認已明確生產(chǎn)數(shù)據(jù)備份相關要求。備份、增量備份、完全備份等備份方式。查驗數(shù)據(jù)備份與恢復記錄，確認備份與恢復實現(xiàn)與設計一致。結果評價：符合：滿足以上第1至4項。不符合：不滿足以上第1至4項中的一項或多項。16應建立同城與異地數(shù)據(jù)備份中心的遠程數(shù)據(jù)備份與恢復功能，利用通信網(wǎng)絡將關鍵數(shù)據(jù)定時批量傳送至備用場地。心的相關要求。備用場地的設計內容。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。17度及保存期限不低于相關監(jiān)管和業(yè)務使用要求。式。期限要求。使用要求。結果評價：符合：滿足以上第1至4項。不符合：不滿足以上第1至4項中的一項或多項。18技術方案中關鍵技術應用的可存驗證測試的結果。行性的要求。范詳實，其中關鍵技術應用已進行可行性驗證測試。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。191.文檔查驗20應定期對備份數(shù)據(jù)的有效性和使用期限。39序號安全要求評估辦法結果判定介質使用期限及時轉儲數(shù)據(jù)，確3.應檢查備份業(yè)務數(shù)據(jù)恢復驗證記錄，確認記錄規(guī)范詳實。保數(shù)據(jù)可用性。4.正?；謴?。5.實地查驗備份介質的使用時間，確認無超期使用的情況。6.真實有效。結果評價：符合：滿足以上第1至6項。不符合：不滿足以上第1至6項中的一項或多項。1.及物理設施的安全保護等級應按照GB/T50174—2017的要求21生產(chǎn)數(shù)據(jù)備份存放環(huán)境及其物理設施的安全保護等級應按照GB/T50174—20171.文檔查驗執(zhí)行。2.放環(huán)境及物理設施符合GB/T50174—2017結果評價：符合：滿足以上第1至2項要求。不符合：不滿足以上第1至2項中的一項或多項。1.體遷移的功能，并具備遷移數(shù)據(jù)的完整性檢測能力。222大數(shù)據(jù)平臺應提供數(shù)據(jù)整體遷性檢測能力。3.結果評價：符合：滿足以上第1至3項?；痉希簼M足以上第2至3項。不符合：不滿足以上第2至3項中的一項或多項。數(shù)據(jù)訪問安全評估內容見表7.2.5。表7.2.5數(shù)據(jù)訪問安全評估內容序號安全要求評估方法結果判定1.查閱信息系統(tǒng)設計文檔，確認對2級及以上數(shù)據(jù)訪問權限規(guī)則、配置方式的詳細說明。1應綜合考慮主體角色、信用等級、業(yè)務需要、時效性等因素，按最小化原則確定2級及以上數(shù)據(jù)的訪問權限規(guī)則。原則分配2級及以上數(shù)據(jù)的訪問權限。信用等級、業(yè)務需要、時效性等因素。4.（操作返回結果，確認符合預期。40序號安全要求評估方法結果判定結果評價：符合：滿足以上第1至4項?；痉希簼M足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。3級及以上數(shù)據(jù)訪問應建立訪證實際操作與申請并審批的操作是一致的。查閱數(shù)據(jù)訪問管理規(guī)程，確認已對3申請和審核批準規(guī)則做出書面規(guī)定。審批的操作是一致的。查驗并確認數(shù)據(jù)訪問已通過訪問控制組件或訪問控制代理技術對訪問的終端設備、信息系統(tǒng)進行控制。（可選項）結果評價：符合：滿足以上第1至2項或第1至3項。不符合：不滿足以上第1至2項中的一項或多項。22級及以上的數(shù)據(jù)訪問應進行身份認證，對訪問者實名認證，將數(shù)據(jù)訪問權限與實際訪問者的身份或角色進行關聯(lián)，防止數(shù)據(jù)的非授權訪問。查閱信息系統(tǒng)設計文檔，確認對2機號實現(xiàn)關聯(lián)。嘗試使用不同身份或角色的訪問者發(fā)起2或角色完全一致。結果評價：符合：滿足以上第1至3基本符合：滿足以上1至2不符合：不滿足以上第1至2項中的一項或多項。32級及以上的數(shù)據(jù)訪問過程應果等。內容、保存期限進行說明。查驗日志系統(tǒng)，確認數(shù)據(jù)訪問操作行為日志各要素已被記實際情況完全一致。結果評價：符合：滿足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。43級及以上的數(shù)據(jù)訪問應實現(xiàn)多因素認證或二次授權，并應結合業(yè)務需要對數(shù)據(jù)采取脫敏和控制訪問數(shù)據(jù)行數(shù)的技術措施，以滿足最小化原則要求。1.查閱相關設計文檔，確認對3和控制訪問數(shù)據(jù)行數(shù)的技術措施，以滿足最小化原則要求。2.現(xiàn)場查驗3功能，確認功能正常。541序號安全要求評估方法結果判定3.現(xiàn)場查驗訪問3施符合要求。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。應對數(shù)據(jù)的訪問權限和實際訪每半年1已失效的賬號和授權。于半年1次。際訪問控制情況進行審計。結果評價：符合：滿足以上第1至3項?；痉希簼M足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。6應通過訪問控制等措施限制頻繁查詢數(shù)據(jù)人員的數(shù)據(jù)訪問頻員等確需批量查詢的應通過相供訪問控制組件與審批結果的自動聯(lián)動能力。措施限制頻繁查詢數(shù)據(jù)人員的數(shù)據(jù)訪問頻率。查閱并確認系統(tǒng)配置文件中訪問控制等措施的相關配置參數(shù)與制度文檔或基線要求完全一致。結果，確認相關限制措施符合要求。審批記錄做逐一核對，確認完全一致。請求結果實現(xiàn)自動聯(lián)動的能力。（可選項）結果評價：符合：滿足以上第1至4項或第1至5項。基本符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。7配套多因素認證措施對使用者進行實名認證。量明文數(shù)據(jù)查詢系統(tǒng)用戶等特權賬號可使用場景、可使用地點和相關安全責任人。證措施，且認證措施具備實名認證能力。能正常。結果評價：符合：滿足以上第1至3項。842序號安全要求評估方法結果判定不符合：不滿足以上第1至3項中的一項或多項。1.用場景進行明確，并已設計電子化的授權審批機制。2.（或業(yè)務操作就特權賬戶使用與授權審9應預先明確特權賬號的使用場授權機制。批進行書面規(guī)定，相關授權審批記錄規(guī)范詳實。3.能，確認功能正常。結果評價：符合：滿足以上第1至3項?；痉希簼M足以上第1、2或第1、3項。1213一項或多項。1.查驗審批記錄，選取可訪問3級及以上數(shù)據(jù)特權賬號使用記10可訪問3級及以上數(shù)據(jù)的特權賬號，在每次使用前應進行審批授權，并宜采取措施確保實際操作與所獲授權的操作是一致的，防止誤執(zhí)行高危操作或越權使用等違規(guī)操作。錄，并與審批授權記錄做逐一核對，確認完全一致。核等措施。權操作的一致性技術保障措施進行確認。（可選項）結果評價：符合：滿足以上第1至2項或第1至3項。不符合：不滿足以上第1至2項中的一項或多項。1.錄進行收集保存，并已配備相關事后審計機制。2.實用工具抽樣查驗近180天內特權賬號的訪問過程操作記應詳細記錄特權賬號的訪問過錄，確認相關記錄要素完整詳盡。111.旁站驗證3.行結果，確認符合要求。日志進行修改和刪除。結果評價：符合：滿足以上第1至3項?；痉希簼M足以上第1至2項。不符合：不滿足以上第1至2項中的一項或多項。數(shù)據(jù)導出安全評估內容見表7.2.6。表7.2.6數(shù)據(jù)導出安全評估內容序號安全要求評估方法結果判定1應根據(jù)最小夠用原則，確定數(shù)據(jù)導出場景、導出數(shù)據(jù)范圍和相應的權限規(guī)則。1據(jù)類型及數(shù)量均應為當前應用場景所必需的最小數(shù)據(jù)集。43序號安全要求評估方法結果判定情況與相關制度要求及該應用場景設計預期完全一致。時間、操作類型、操作內容等信息保持一致。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。22級及以上的數(shù)據(jù)導出操作應善的身份驗證措施對導出操作人進行實名認證。及安全職責。（證號或手機號等實現(xiàn)實人關聯(lián)）。關功能后方可導出。結果評價：符合：滿足以上第1至3項。不符合：不滿足以上第1至3項中的一項或多項。32級及以