《金融服务 信息安全指南》标准解读

标准咨询CHINA QUALITY AND STANDARDS REVIEW网络安全（cybersecurity）国际标准进展与解读谢宗晓 （中国金融认证中心）甄杰（重庆工商大学商务策划学院）董坤祥（山东财经大学管理科学与工程学院）标 准 解 读1　概述与概念ISO/IEC 27100于2018年10月立项，目前正在开发中，状态为工作组草案。

计划在2021年11月发布。

该标准提供了网络安全的概述，以及相关的术语和定义。

网络安全已成为一个重要话题。

虽然它看起来与信息安全相似，并且许多信息安全控制、方法和技术可以用于管理网络安全风险，但网络安全与信息安全还是存在诸多不同。

尤其之前存在的狭义的网络安全（network security），这与网络安全术语的使用方式不一致[1,2]。

需要一个标准来定义网络安全，建立其情境，并描述相关概念，包括网络安全与信息安全的关系和区别。

需要注意的是，在目前可以获取的版本中，对于网络空间（cyberspace）的定义并没有强调其虚拟性，而是强调基础设施，其中认为：网络空间是一个全球互联的空间，包括互联网和其他网络、数字设备、系统、服务和流程，为个人、企业和政府的广泛活动和互动提供了全球性的基础设施。

当然，注：WD——Work Draft，工作组草案；DIS——Draft International Standard，国际标准草案；TR——Technical Report，技术报告；TS——Technical Specification，技术规范。

网络安全（cybersecurity）已经成为ISO/IEC JTC 1/SC27（信息安全、网络安全与隐私保护分技术委员会）的重要方向之一，在最新公布的SD11中1），信息安全管理体系工作组（WG1）会承担相应的工作。

截至2019年5月，开发中的或发布的相关标准共有4项，如表1所示。

编号状态标题ISO/IEC 27100WD TS 信息技术　安全技术　网络安全　概述与概念２）（Information technology—Security techniques—Cybersecurity—Overview and concepts）　ISO/IEC 27101WD TS 信息技术　安全技术　网络安全　框架开发指南（Information technology—Security techniques—Cybersecurity—Framework development guidelines）ISO/IEC 27102DIS 信息技术　安全技术　网络保险　信息安全管理指南3）（Information technology—Security techniques—Information security management guidelines for cyber insurance）ISO/IEC 2710TR信息技术　安全技术　ISO与IEC关于网络安全的标准（Information technology—Security techniques—Cybersecurity and ISO and IEC Standards）表1　网络安全相关国际标准1） SC27 SD11 Overview of Work of SC27, （SC 27工作概述）原文在，https://www.din.de/en/meta/jtc1sc27。

标准咨询CHINA QUALITY AND STANDARDS REVIEW业务连续性管理体系（BCMS）相关标准介绍张旭刚（中国金融认证中心）韩少伟（内蒙古自治区公安厅）谢宗晓（中国金融认证中心）标 准 解 读1　概述随着自然灾害和人为事故的频繁发生，企业的业务连续性管理（Business Continuity Management，BCM）越来越受到重视，尤其是银行业，一旦发生核心业务中断，且在规定时间内１）未完成恢复，不仅会给银行的声誉和利益带来严重影响和损失，而且会影响社会稳定。

鉴于此，2011年12月，银保监会２）发布了《商业银行业务连续性监管指引》（银监发〔2011〕104号），正式对商业银行业务连续性建设提出了全面的、体系化的监管要求。

2017年6月1日，《中华人民共和国网络安全法》正式实施。

其中第三十三条规定，“建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用”。

进一步又明确了重要系统的业务连续性在我国的法律地位。

通常容易将业务连续性管理（BCM）与灾难恢复（Disaster Recovery，DR）混淆。

在ISO 22301:2012《公共安全　业务持续性管理体系　要求》中，业务连续性管理（BCM）定义为“识别对组织的潜在威胁以及这些威胁一旦发生可能对业务运行带来的影响的一整套管理过程。

该过程为组织建立有效应对威胁的自我恢复能力提供了框架，以保护关键相关方的利益、声誉、品牌和创造价值的活动。

” 灾难恢复在GB/T 20988—2007《信息安全技术　信息系统灾难恢复规范》中定义为“为了将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。

”所以，严格地说，灾难恢复是恢复数据的能力，解决信息系统灾难恢复的问题。

而业务连续性强调的是组织业务不间断的能力，范围更大。

《信息产业发展指南》解读之四：准确把握“十三五”我国信息产业发展的主要目标《信息产业发展指南》发展目标是引导和促进规划实施的重要手段，是推动规划努力落实的重要方向。

为明确“十三五”期间我国信息产业发展的主要任务和重点领域，《信息产业发展指南》全面总结“十二五”发展成效和问题，准确认识“十三五”发展面临形势，深刻理解“十三五”发展总体要求，提出了“十三五”期间的若干发展目标，以加快建立具有国际竞争力、安全可控的信息产业生态体系，进一步提升我国信息产业的全球价值链地位。

一、目标设定的总体考虑《信息产业发展指南》目标的设定，综合考虑了以下几方面因素：第一，能够体现网络强国和制造强国战略要求。

信息产业既是网络强国实施主体，又是制造强国支撑主体。

目标的设定，要能够体现网络基础设施基本普及、自主创新能力显著增强、信息经济全面发展、网络安全保障有力的网络强国战略要求，同时体现信息技术支撑制造业高端化、智能化、绿色化、服务化发展的制造强国战略要求。

第二，紧扣《国民经济和社会发展第十三个五年规划纲要》的总体安排。

国家“十三”五规划《纲要》是面向信息产业在内的全国经济、社会发展的总体指导性文件。

目标的设定，要根据《纲要》在经济发展、创新驱动、民生福祉和资源环境方面的目标要求，结合信息产业特点进行细化。

第三，指标数据具有可量化和可比较性。

指标的设定，借鉴参考了国外的评价指标，考虑了历史数据的可获得和可量化性，形成了包括信息产业收入规模、世界500强企业情况、R&D投入、专利、能耗等指标在内的指标体系，能够实现与历史数据和国外数据的对比。

第四，体现系统性和全面性相结合。

指标的设立要能够满足系统评价信息产业发展水平的需要，同时还要体现信息产业当前发展情况、国际竞争力、发展潜力等各方面的综合实力，体现系统性和全面性的良好结合。

综合考虑上述因素，《信息产业发展指南》设定了技术创新、产业规模、产业结构、服务水平、绿色发展5大类目标，共13项量化指标。

数据安全风险与治理的实践指南解读摘要：随着数字经济时代来临，中国高度重视数据安全和个人信息保护、数字隐私，在已有《网络安全法》基础上，今年制定了《数据安全法》《个人信息保护法》并加紧出台。

此外，还要求及时跟进研究数字经济、互联网金融、人工智能、大数据、云计算等相关法律制度，抓紧补齐短板，以良法善治保障新业态新模式健康发展。

本文就数据安全风险与治理的实践的重点内容进行相关阐述。

关键词：数据安全风险；治理；指南解读《网络安全法》、《数据安全法》、《个人信息保护法》等一系列规范和促进数字经济发展而制定的法律法规以及政策，构成了中国数字规则体系，主要是满足数字经济快速发展的需要，在数字经济时代必须有完善的法律法规才能促进数字经济健康发展。

数据已经成为“21世纪的石油”，作为一种新的生产要素，也是企业、社会和国家安全的重要战略资源。

这些数据在推动人工智能技术发展方面也具有巨大的战略价值，而中国则是全球生产数据最多的国家，必须加以保护并巩固优势。

一、数据安全治理研究现状数据安全问题由来已久，尤其在数据上升为新型生产要素后，面临的挑战越来越大。

一方面，各类数据泄露事件频发，为组织和企业的数据安全状况敲响警钟；另一方面，数据和隐私相关法律规范陆续颁布，监管力度不断加强，监管要求不断提升。

然而，当前的行业数据安全治理处于发展初期，与监管的要求存在较大差距。

（一）数据安全治理保障体系不完善数据安全治理能力建设涉及多个部门，沟通成本高，协同难度大，需要建立统一的数据安全治理组织框架，分层次切实履行数据安全管理职责。

然而，当前大多数企业缺乏相应的治理组织，难以对数据安全治理进行统一的战略规划和资源协调。

（二）数据安全治理技术体系不成熟数据应用技术的复杂性、数据海量汇聚的风险性、数据的深度挖掘及隐私保护等问题都对传统数据安全保障能力提出了新挑战。

如何解决多样化场景下面临的数据安全威胁和潜在风险，需要加强数据安全核心技术的创新研究与深化应用。

标准咨询CHINA QUALITY AND STANDARDS REVIEWGB/T 36637—2018《信息安全技术　ICT供应链安全风险管理指南》浅析谢宗晓（中国金融认证中心）甄杰（重庆工商大学商务策划学院）ISO/IEC 27001:2013与ISO/IEC 27001:2005相比较，一个显著的变化是，在附录A的安全域中加入了“A.15　Supplier relationships”（供应商关系）[1-2]。

基于此，后续在ISO/IEC 27000标准中发布了ISO/IEC 27036，该标准在下文中有介绍。

随着ICT（Information and Communication Technology，信息通信技术）的普及应用，加强其供应链安全可控保障的重要性是显而易见的。

因此，在国家标准中，GB/T 36637—2018在2018年10月10日公布，将在2019年5月1日正式实施。

1　ICT供应链的概念对于“ICT供应链”的概念，在GB/T 36637—2018中，不仅在3.4中给出了定义，而且在附录A 中还做了详细的介绍。

ICT供应链的具体定义如下：ICT产品和服务的供应链，是指为满足供应关系通过资源和过程将需方、供方相互连接的网链结构，可用于将ICT的产品和服务提供给需方。

其中将ICT供应链定义为由多个上游与下游组织相互连接形成的“网链结构”，在这其中，通常包括需方和供方（供应商）两种基本的角色，需方和供方之间存在供应关系，供应关系是错综复杂的，一个组织对上游而言是需方，对下游而言是供方。

值得注意的是，在ISO/IEC 27036中，4个部分的通用标题命名为“供应商关系”，可能是因为ISO/IEC 27001:2013的A.15包括了2个条款，分别为：“A.15.1　Information security in supplier relationships”（供应商关系中的信息安全）和“A.15.2　Supplier service delivery management”（供应商服务交付管理），ISO/IEC 27036主要对应A.15.1。

解读《个人金融信息保护技术规范》之信息分级管理詹昊、宋迎、韦飞2020年2月20日，全国金融标准化技术委员会公布了《个人金融信息保护技术规范》（JR/T 0171——2020）（以下简称“《规范》”）。

《规范》是中国人民银行发布的金融行业推荐性标准（并非强制性标准），是在《信息安全技术个人信息安全规范》（GB/T 35273——2017，以下简称“《个人信息安全规范》”）等国家标准基础上对个人金融信息的保护作出的细化规定，基本遵循了《个人信息安全规范》关于收集、传输、存储、使用、删除、销毁等信息生命周期全部环节的基本要求。

《规范》较为引人瞩目的是对个人金融信息采取了分级管理的方式，本文主要就此进行研讨。

一、个人金融信息的范围根据《规范》第4.1条，个人金融信息具体指以下信息：二、个人金融信息分级管理机制《规范》根据信息遭到未经授权的查看或未经授权的变更后所产生的影响和危害，将个人金融信息按敏感程度从高到低分为C3、C2、C1三个类别，即采用了分级管理机制：三、个人金融信息全生命周期中分级管理的特别规定《规范》以个人金融信息收集、传输、存储、使用、删除、销毁等生命周期作为维度，对个人金融信息提出了具体合规性要求，其中各个周期对C3、C2类别的信息有不同于其他个人金融信息的特别规定。

四、《规范》与其他标准性文件信息分级管理的衔接数据分类分级管理是《中华人民共和国网络安全法》对网络运营者的基本要求之一。

实践中企业也会采取一定方式按照数据重要性、敏感程度对数据采取分类分级的方式进行管理。

目前已生效的法律法规和标准文件中除了将个人信息区分为“个人敏感信息”和“儿童个人信息”外，没有进一步分级的细化要求。

2018年底金融标准化技术委员会公布的《支付信息保护技术规范》（送审稿）则采取了与本《规范》类似的信息分级机制。

《支付信息保护技术规范》将支付信息按敏感程度从低到高分为C1、C2、C3、C4四个类别，具体指：•C4类别主要为于金融交易的用户鉴别与授权信息。

《商业银行信息科技风险管理指引》解读在当今数字化时代，信息科技已经成为商业银行运营和风险管理的重要组成部分。

为了规范商业银行对信息科技风险的管理，我国银监会发布了《商业银行信息科技风险管理指引》，以指导商业银行科学有效地管理信息科技风险。

本文将对该指引进行解读，并结合个人观点和理解进行探讨。

一、指引的背景和意义1.1 指引的制定背景《商业银行信息科技风险管理指引》的制定背景源于信息科技在商业银行业务中的广泛应用和风险管理问题的日益突出。

随着金融科技的发展和创新，传统风险监管和管理手段已不能满足信息科技风险管理的需要，因此需要有一套系统的指引来规范商业银行的信息科技风险管理工作。

1.2 指引的意义和作用该指引的发布，对于规范和加强商业银行信息科技风险管理具有重要意义。

指引明确了商业银行信息科技风险管理的基本原则和要求，为商业银行提供了明确的管理标准和方法。

指引强调了信息科技风险管理的全面性和系统性，从技术、业务、管理等多个方面要求商业银行全面防范和控制信息科技风险。

指引的发布将推动商业银行提升信息科技风险管理水平，从而提高整个金融体系的稳定性和安全性。

二、指引内容解读2.1 风险管理框架《商业银行信息科技风险管理指引》从整体上构建了信息科技风险管理的框架，包括风险管理原则、组织架构、风险管理流程等内容。

指引要求商业银行建立健全的信息科技风险管理框架，确保风险管理工作有序进行。

2.2 风险识别和评估指引强调了风险识别和评估的重要性，要求商业银行对信息科技风险进行全面而系统的识别和评估，包括对技术风险、业务风险、市场风险等多方面的风险进行评估，以建立全面的风险防范机制。

2.3 风险防范和控制指引对风险防范和控制提出了明确要求，包括要求商业银行建立健全的内部控制体系、加强信息系统安全管理、加强外部风险防范等方面的要求，以确保信息科技风险得到有效控制。

2.4 风险监测和报告指引要求商业银行建立健全的风险监测和报告机制，及时发现和报告信息科技风险，同时强调了监管部门对信息科技风险监测和报告的重要性，以便监管部门能够及时介入并协助商业银行解决风险。

数据安全分级指南解读全文共四篇示例，供读者参考第一篇示例：数据安全一直是企业和个人日常生活中不可忽视的重要问题。

随着信息技术的飞速发展，数据安全问题也越来越受到关注。

为了更好地保护数据安全，许多国家和组织都提出了一些数据安全分级指南，其中比较著名的有我国《信息安全等级保护制度》以及美国NIST发布的数据保护框架。

本文将重点介绍我国《信息安全等级保护制度》的相关内容，并进行解读。

信息安全等级保护制度是我国政府依法建立的数据安全管理机制，旨在对不同级别的信息进行分类管理和保护，保障国家机密信息的安全。

根据《信息安全等级保护制度》，我国将信息安全等级划分为四个级别，分别是一级、二级、三级和四级。

一级信息是最高级别的国家秘密信息，包括领导机关工作文件、重要会议记录、重要指示文件等。

对一级信息的保护要求最为严格，必须采取最高级别的安全措施，确保信息的绝对安全。

二级信息是重要机构的经济、科技、文化等方面的机密信息，包括财务报表、技术研究报告、文化创作等。

对二级信息的保护要求也比较严格，需要采取有效的安全措施，确保信息的保密性和完整性。

四级信息是公开信息，包括一般的公告、新闻稿件等。

对四级信息的保护要求最低，只需遵守相关法律法规，确保信息不违反法律规定即可。

在实际应用中，企业和个人也可以根据自身情况制定类似的数据安全分级指南，合理划分和管理自己的信息资产，保护数据安全。

有一些关键的措施可以帮助企业和个人更好地保护数据安全，包括：1. 制定数据安全策略：根据自身情况和需求，制定数据安全策略，明确数据安全目标和措施。

2. 加强员工培训：定期对员工进行数据安全培训，提高员工的安全意识和技能。

3. 部署安全设备和软件：部署防火墙、入侵检测系统、数据加密等安全设备和软件，保护数据不受攻击。

4. 数据备份和恢复：定期备份重要数据，并建立完善的数据备份和恢复机制，以应对意外情况。

5. 定期漏洞扫描和修复：定期对系统进行漏洞扫描，并及时修复发现的漏洞，保障系统的安全性。

金融领域信息系统国产密码改造基线要求随着金融科技的迅猛发展，金融领域信息系统的安全性问题日益凸显。

密码作为信息系统安全的基础，其安全性对整个金融体系具有重要意义。

为了进一步加强金融领域信息系统密码的安全性，我国金融监管部门提出了国产密码改造基线要求。

本文将对金融领域信息系统国产密码改造基线要求进行详细解读，以帮助金融机构全面了解和落实相关要求。

一、背景随着互联网金融的快速发展，金融行业信息系统的安全风险不断增加。

密码作为信息系统最基本的安全防护手段，其重要性不言而喻。

然而，由于我国金融领域信息系统的复杂性和多样性，导致密码管理存在诸多问题，如使用过于简单的密码、密码存储不安全等。

为了解决这些问题，金融监管部门出台了国产密码改造基线要求，旨在推动金融行业信息系统密码管理工作的规范化和标准化，提升整个金融体系的信息安全水平。

二、国产密码改造基线要求的主要内容1. 密码长度要求国产密码改造基线要求明确规定了密码的长度要求，要求金融机构的信息系统密码长度不得少于8位，且必须包含数字、字母和特殊字符等组成元素。

这一要求的提出，旨在防止金融信息系统密码过于简单，易受到黑客攻击。

2. 密码存储要求国产密码改造基线要求对密码的存储进行了明确规定，要求金融机构必须采用加密算法对密码进行加密存储，并确保存储的密码不可逆。

还要求金融机构加强对密码存储的访问控制，防止未授权的人员获取密码信息。

这一要求的提出，有利于提升金融信息系统密码存储的安全性，防止密码泄露。

3. 密码使用要求国产密码改造基线要求对密码的使用也进行了详细规定，要求金融机构加强对密码的合理使用，禁止使用简单重复的密码，推荐采用密码定期更换的方式，并建议采用多因素认证的方式提升密码的安全性。

还要求金融机构建立健全的密码使用管理制度，加强对密码使用过程中可能存在的安全风险的监控和防范。

4. 密码技术要求国产密码改造基线要求对密码技术进行了详细规定，要求金融机构采用符合国家密码算法标准的密码技术，并建议采用新型密码技术提升密码的安全性。