烽火十八台丨金融信息科技外包导致敏感信息泄露风险上升?看RaySIN来支招

1.《办法》第一章总则第五条，银行保险机构在实施信息科技外包时应当坚持以下原则中，明确了“保障网络和信息安全，加强重要数据和个人信息保护”的原则；

2. 《办法》第二章信息科技外包治理第十三条，银行保险机构应对信息科技外包活动及相关服务提供商进行分级管理，对“涉及集中存储或处理银行保险机构重要数据和客户个人敏感信息的外包”列为重要外包；

3. 《办法》第三章信息科技外包准入第十八条，对于符合重要外包条件的非驻场外包，应当进一步重点调查“服务提供商是否有管理制度和技术措施保障银行保险机构数据的完整性和保密性”；“服务提供商是否拥有或可能拥有业务系统的最高管理权限或访问权限，是否能够浏览、获取重要数据或客户个人敏感信息”；

4. 《办法》第三章信息科技外包准入第二十一条，银行保险机构在信息科技外包合同或协议中应当明确“安全保密和消费者权益保护约定，包括但不限于：禁止服务提供商在合同允许范围外使用或者披露银行保险机构的信息，服务提供商不得将银行保险机构数据以任何形式转移、挪用或谋取外包合同约定以外的利益”；

5. 《办法》第五章信息科技外包风险管理第三十条，银行保险机构应建立并持续完善风险管理制度和流程，充分识别并评估信息科技外包可能产生的风险，包括但不限于“数据泄露、丢失和篡改。因服务提供商的不当行为或其服务的信息系统遭受网络攻击，导致银行保险机构重要数据或客户个人信息泄露、丢失和篡改”；

6. 《办法》第五章信息科技外包风险管理第三十二条，银行保险机构应当制定和落实网络和信息安全管理措施，包括但不限于“对客户信息、源代码和文档等敏感信息采取严格管控措施，对敏感信息泄露风险进行持续监测”；

7. 《办法》第六章监督管理第三十八条，银行保险机构信息科技外包活动中发生“银行保险机构重要数据或客户个人信息泄露”风险事件时，应当按照相关突发事件监管报告要求，向银保监会或其派出机构报告；

基于当前中国金融机构面临的数据安全风险，监管机构对“敏感信息泄露”风险十分重视并出台了相关管理要求，为金融机构提出了具体的行动方向，如：在《办法》第四章信息科技外包监控评价第二十三条中，明确要求“银行保险机构应当对外包服务过程进行持续监控，及时发现和纠正服务过程中存在的各类异常情况”；以及，第五章信息科技外包风险管理第三十二条，银行保险机构应当制定和落实网络和信息安全管理措施，“对敏感信息泄露风险进行持续监测”。