【国内网安政策简评】《银行保险机构数据安全管理办法》发布，明确金融数据安全管理的4个重要问题

国家金融监督管理总局发布。《办法》共9章81条，包括总则、数据安全治理、数据分类分级、数据安全管理、数据安全技术保护、个人信息保护、数据安全风险监测与处置、监督管理、附则等。一是强化数据治理顶层设计，二是落实分类分级管理要求，三是强化数据安全管理体系，四是加强个人信息保护，五是完善风险监测处置机制。

近年来，《数据安全法》、《个人信息保护法》等法律法规相继颁布实施，对规范数据处理活动、保护个人信息提出了明确要求。金融行业作为《数据安全法》明确的重点行业之一，是加强数据安全保护的重点领域。《管理办法》于2024年3月底公开征求了社会公众意见，此次为正式发布。

从法规制度体系看，《管理办法》构建了上下衔接的监管制度框架。《管理办法》国家金融监督管理总局正式挂牌成立（2023年5月18日）之后发布的首部数据安全规章，也是继中国人民银行发布的《中国人民银行业务领域数据安全管理办法（征求意见稿）》之后金融行业数据安全监管的又一重要举措。《管理办法》全面衔接了《数据安全法》、《个人信息保护法》等上位法相关要求，并且系统梳理提出了数据分类分级、数据安全管理、数据安全技术保护、个人信息保护、数据安全风险监测与处置等制度，构建了银行保险机构数据安全工作的监管框架。

从规定内容来看，《管理办法》对于完善金融领域数据安全管理方面明确了几个重要切入点。一是明确监管界面，与《中国人民银行业务领域数据安全管理办法（征求意见稿）》对比来看，后者主要侧重于中国人民银行所特有的监管等非经营类业务的数据安全，如货币政策业务、跨境人民币业务、银行间各类市场交易业务等，而前者则主要侧重于银行、保险等机构的经营类业务的数据安全。二是构建监管体系，通过对《数据安全法》、《个人信息保护法》重点制度的承接，基本勾画了银行保险机构数据安全的制度体系。三是注重技术能力建设，设专章（第五章 数据安全技术保护）明确了对银行保险机构的主要数据安全技术保护要点。四是强化供应链安全，体现在正式发布稿在征求意见稿基础上，明确要求对涉及敏感级及以上信息的供应商，实施准入和安全管理机制。