中国人民银行太原中心支行副行长 王山松
个人金融信息是金融机构在提供金融产品和服务过程中积累的重要基础数据，也是涉及金融消费者信息安全的重要内容。如何收集、使用、对外提供个人金融信息，既涉及金融机构业务的正常开展，也涉及客户信息、个人隐私的保护。随着大数据、移动互联网和云计算等技术在金融行业的广泛应用，个人金融信息呈爆发式增长，海量汇聚，一方面通过海量数据的搜集、整理以及分析，可以高效地归纳和总结人们的活动特点，为用户提供精准化、个性化的服务，大大提升了用户体验和生活效率，另一方面大数据分析使个人金融信息泄密的威胁日益凸显。本文通过梳理个人金融信息安全保护现状，研究当前主流的隐私保护技术，并从法律、技术、内控等多角度、多层次提出加强个人金融信息保护的政策建议。
个人金融信息相关概述
1.个人金融信息概念界定。个人金融信息是指金融机构在为个人消费者提供金融产品和服务的过程中，获取到的个人信息，包括但不限于个人基本身份信息、交易记录信息以及其他信息。2011年下发的《中国人民银行关于银行业金融机构做好个人金融信息保护工作的通知》(银发〔2011〕17号)，首次给出个人金融信息的概念界定。2016年12月出台的《中国人民银行金融消费者权益保护实施办法》（银发〔2016〕314号）将个人金融信息定义为金融机构通过开展业务或者其他渠道获取、加工和保存的个人信息，包括个人身份信息、财产信息、账户信息、信用信息、金融交易信息及其他反映特定个人某些情况的信息。2020年2月人民银行发布的《个人金融信息保护技术规范》（JR/T 0171-2020）将个人金融信息内容界定为七类，包括账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息和其他反映特定个人金融信息主体某些情况的信息等（见表1）。《规范》同时根据信息遭到未经授权的查看或未经授权的变更后所产生的影响和危害，将个人金融信息按敏感程度从高到低分为C3、C2、C1三个类别（见表2）。
表 1 《个人金融信息保护技术规范》对个人金融信息的界定
表 2 《个人金融信息保护技术规范》对个人金融信息的类别界定
2.个人金融信息与个人信息、个人隐私的关系。个人金融信息保护涉及消费者、金融机构、互联网平台、监管部门等多方面要素，而探讨个人金融信息、个人信息、个人隐私之间的关系，将有助于我们圈定个人金融信息保护的边界，明确参与其中的各个主体的责任问题，从而构建有效的保护模式。
个人金融信息是个人信息在金融产品和服务中的细化，两者之间是特殊和一般的关系。个人信息在2018年5月开始实施的国家标准GB/T 35273-2017《信息安全技术个人信息安全规范》中有明确定义，只要是能够识别自然人身份或者反映自然人特定活动的信息都划为个人信息的范畴，包括个人基本信息、个人生物识别信息、财产信息、征信信息、交易信息、行踪轨迹信息、住宿信息、健康生理信息等。可见个人信息范围较为广泛，对比两者包含的信息范畴，存在大量的信息重叠，如个人身份信息、财产信息、征信信息以及交易信息，这些信息在金融活动中非常重要。
个人金融信息与个人隐私有非常密切的关系。隐私权是一种基本人格权，同肖像权、姓名权一样是公民拥有的基本人格权利。2017年6月1日正式实施的《网络安全法》中就明确规定任何个人和组织在使用网络时不得侵犯他人隐私。个人金融信息中的财产信息、交易信息、征信信息以及账户信息直接关系到消费者的人格权利和财产权利，个人金融信息一旦泄露直接威胁到信息主体的财产安全。因此，笔者认为个人金融信息应该纳入个人隐私保护的范畴。
个人金融信息保护的发展现状
1.个人金融信息保护的法律、法规和规章情况。相比美国、欧盟等发达地区，我国关于个人金融信息的立法保护相对滞后。2018年全国两会期间，全国人大代表、人民银行南京分行行长周学东就提出，应加快个人信息保护立法进程，制定个人信息保护法的建议。但截至目前，个人信息保护法的制定并没有被提上立法日程，这与我国在社会主义建设关键阶段，互联网产业处于上升时期不无关系。我国关于个人金融信息保护的法规分散体现在多个部门法中。我国《刑法》《消费者权益保护法》《中国人民银行法》《商业银行法》《证券法》《保险法》《反洗钱法》中的部分条款间接或直接涉及个人金融信息保护，但是除了《刑法》中关于侵犯公民个人信息等犯罪的规定及其司法解释以外，其他的法律法规都是较为笼统和抽象的原则性规定，在个人信息保护的司法实践中不能起到有效的保护或惩戒作用。
近年来，因个人金融信息泄露而引发的金融诈骗行为日益严重，为加强个人金融信息保护，国家先后出台了一系列法律法规、行业新标准。《网络安全法》对网络运营者提出个人信息保护的相关要求；《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》定义了公民个人信息，并对个人信息泄露情形提出量刑标准；《民法总则》规定自然人的个人信息安全受到法律的保护。以上法律法规的制定主要是以不侵犯个人隐私为前提，所形成的法律规定也是以限制或禁止个人信息流转为原则，都是对个人信息保护进行规范要求，无法兼顾到个人金融信息保护的特殊情况。此外，国家标准《信息安全技术个人信息安全规范》提出个人信息收集、使用、传输、存储的相关要求；新推出的金融行业标准《个人金融信息保护技术规范》明确对个人金融信息做出分类，规定了金融支付机构在数据全生命周期环节中应做到的技术要求。人民银行出台的《个人信用信息基础数据库管理暂行办法》和《关于银行业金融机构做好个人金融信息保护工作的通知》，对个人金融信息收集、保存、使用等过程做了规定，《个人信息安全规范》和《个人金融信息保护技术规范》是标准，《办法》属于部门规章，《通知》是规范性文件，均不属于广义法律范畴，囿于效力层级低，不能设立行政检查权和处罚权。
2.信息安全技术防范情况。互联网金融、大数据以及金融业云计算的发展，使金融消费者在享受便捷金融服务的同时，个人金融信息泄露事件屡屡发生。2014年欧洲中央银行1.5亿注册者的电子邮件和联络人的细节信息被黑客窃取；2016年京东struts2安全漏洞被黑客攻击，12GB的客户信息在黑市流通；2017年广东知名网贷平台PPmoney百万借款人信息被泄露。
个人金融信息在金融企业内部以及金融企业之间流转和共享已经成为常态，数据共享可以节约成本，提高金融机构服务水平，对科学发展有着积极的促进作用。但因其信息系统管理水平和应对网络攻击能力未能同步，其信息安全管控能力不足，存在信息泄露、篡改、滥用的风险。目前学术界和工业界加强了数据安全和隐私保护研究和技术落地，关于数据安全和隐私保护的技术研究进展将在下一章节中详细分析。
3.外部监管和内部管理情况。从外部监管的情况看，当前我国个人信息保护基础立法的缺位，对个人金融信息保护履行监管职责的部门较多，中国人民银行、银保监会、证监会等都在各自的监管领域开展工作，但监管标准不一致，沟通协调不足，导致个人金融信息保护工作存在多方监管、监管重叠、监管漏洞等问题。另一方面，由于缺乏明确的法律支持，监管部门执法时，对违法行为的认定和处理存在较大困难，缺乏有效处理手段，只能运用通报、约谈等惩罚性不强的手段，不能对违法机构产生威慑力。
从金融企业内部管理看，一是关于个人金融信息保护相关制度散见于各类管理制度中，未形成系统化的个人信息管理框架，使得制度不能完全实现对个人金融信息采集、使用、共享等环节的约束。二是没有组建专门的个人信息管理机构，导致各部门在个人信息保护领域杂乱无章，缺乏统一管控。
隐私保护技术研究进展
1.基于加密技术的隐私保护。数据加密是信息安全的核心技术之一，用于保障数据不被泄露和篡改。数据加密有两个过程：第一个过程是加密，将可识别的数据（即明文）通过加密函数和加密密钥为无法识别的形式（即密文）；第二个过程是解密，是通过解密算法和解密密钥将密文恢复为明文。
数据加密技术分为两类：一类是对称加密，另一类是非对称加密。对称加密,多采用置换、替换、移位、异或等运算操作，优点在于效率高，算法简单，系统开销小，适合加密大量数据。非对称加密，运算复杂，计算速度慢，用于加密少量重要数据或者是用于分发对称加密算法的密钥。数字签名技术就是一种应用非对称加密技术实现的，是类似写在纸上的普通物理签名，具有不可抵赖性，用于身份鉴别。
数据加密技术的特征，一是始终保障数据的安全性，数据在金融企业内部以及金融企业之间流转和共享已经成为常态，在数据转移和共享过程中采用加密技术，能够让敏感数据得到更安全的保障；二是有效保证数据的完整性，数据加密技术可以有效阻止黑客改变数据信息，最大限度保证数据不被篡改；三是有效保护用户隐私和财产，对金融机构而言，保护好客户数据，对这些数据进行加密处理，才能对自己更加有利。
数据加密技术在金融领域具有广泛的应用，一是数据存储加密，采用存储层的加密技术，被加密的数据以密文的形态存储在磁盘上，在缺乏密钥的情况下，即使黑客冲破防护获得数据信息文件，也不会导致敏感数据泄露；二是应用数字签名技术，数字签名无论在提升合同处理效率，还是降低管理成本、优化服务体验方面，均具有传统业务模式不可比拟的先进性。
2.基于隐私计算技术的隐私保护。2016年，中国科学院信息工程研究所副总工程师李凤华提出隐私计算的概念，由于其兼顾隐私保护和数据利用的计算方式，一经推出就成为学术界和工业界研究的重点。作为密码学的一个前沿发展方向，隐私计算填补了数据在计算环节隐私性问题的空白，将基于密码学的信息安全体系打造成完整的闭环。
隐私计算是面向隐私信息全生命周期保护的计算理论和方法，具体指对所涉及的隐私信息进行描述、度量、评价和融合等操作，形成一套符号化、公式化且具有量化评价标准的隐私计算理论、算法及应用技术、支持多系统融合的隐私信息保护。隐私信息的全生命周期如图1所示。
图1 隐私信息的全生命周期
隐私计算中，将隐私信息抽象为符号化n维变量x=(x1,x2,…,xn),每个分量xi表示一类隐私信息，如姓名或联系方式，不同分量的取值集合组成了整个隐私信息的取值集合。集合的运算以及定义在集合上的测度运算可应用于隐私的计算模型。根据取值集合上定义的隐私度量来定义隐私运算的规则，形成隐私计算的公理化体系。
目前阶段，密码学层面的隐私计算主要有全同态加密、安全多方计算、零知识证明等技术方向。其中，安全多方计算是隐私计算技术主要研究方向之一。
2009年，Gentry构造出了第一个全同态加密方案，全同态加密被认为是解决云计算安全的最好方法，利用全同态加密方案对用户数据进行加密，再将密文发送到云端，云端可以在不解密的情况下进行检索和比较等操作，避免了数据存储方泄露数据的危险。但现有的全同态加密方案计算复杂度相对较高，还无法在实际系统中应用。
安全多方计算（MPC）最初由图灵奖获得者、中国科学院院士姚期智教授提出。它主要解决一组互不信任的参与方之间保护隐私的协同计算问题，即如何在参与计算的各方不泄露自身输入、且没有可信第三方的情况下安全地计算约定的函数并得到可验证结果。
当一个MPC节点计算任务发起时，枢纽节点传输网络及信令控制。每个数据持有方可发起协同计算任务。通过枢纽节点进行路由寻址，选择相似数据类型的其余数据持有方进行安全的协同计算。参与协同计算的多个数据持有方的MPC节点根据计算逻辑，从本地数据库中查询所需数据，共同就MPC计算任务在数据流间进行协同计算。在保证输入隐私性的前提下，各方得到正确的数据反馈，整个过程中本地数据没有泄露给其他任何参与方。
当前，金融机构普遍面临着数据隐私安全导致的数据孤岛问题。借助于MPC等隐私计算技术，金融机构可以在不泄露自身数据的前提下实现与电商、社交、交通等多领域数据协同计算，深度挖掘，构建基于多元化数据的客户需求分析模型，准确刻画用户画像，预测客户潜在需求，精准推送个性化金融产品和服务，彻底改变传统营销模式，提升金融业个性化服务水平。
加强我国个人金融信息保护的建议
1.建立健全信息保护法律体系，提供刚性约束。从长远看，应制定专门的《个人信息保护法》，应设立专门章节来规定个人金融信息的保护，全面规定个人金融信息保护的相关定义、信息处理的基本原则、数据主体的权利、控制者和处理者的义务、安全保障措施、信息转移的规则、监管机构、救济途径、责任承担方式、处罚措施等内容。
除制定《个人信息保护法》作为基本法外，还应完善配套的法律制度。金融机构管理层须将个人信息保护纳入整体风险管理框架，依据《网络安全法》《信息安全技术个人信息安全规范》等，因地制宜制定符合本机构个人金融信息保护的内部规章，对易发生个人金融信息泄露的环节进行充分排查，明确规定各部门、岗位和人员的管理责任，加强个人金融信息管理的权限设置，形成相互监督、相互制约的管理机制。
当然，有效监管是保障个人金融信息安全的必要之举，立法应该明确监管机构、监管职责和监管措施，并授权监管机构对金融机构个人金融信息保护工作开展非现场监测和现场检查，对金融机构违规泄漏个人金融信息，造成客户损失或引发不良社会影响的，可视情形实施行政处罚或采取其他监管措施。
2.建立个人信息风险评估机制，夯实安全根基。开展个人信息风险评估是《网络安全法》明确规定企业的一项法定责任，不仅是企业降低个人信息风险的一道重要关卡，同时也是发生安全事件后，企业网络安全责任划分的一个重要抓手。因此企业应当确立符合自身特点的个人信息评估体系，建立一个科学的评估组织议事规则和责任机制，必要时可以引入外部专业机构评估或出具专项的法律意见。
3.注重隐私保护技术应用，提升技防能力。一方面，应采用安全认证网关保障网络资源的安全访问，使用IPSecVPN或SSLVPN建立虚拟安全传输通道，确保信息在网络中的安全稳定传输。另一方面，应注重密码技术的应用，调用服务器密码机实现对数据的加密保护，利用数字签名技术实现信息来源真实性和数据完整性。第三方面，加强隐私计算技术在金融领域应用层的落地，打破数据壁垒，使金融机构内外部之间既分享数据，又保证数据安全，使个人金融信息实现更大的应用价值。
4.强化内控管理，提升安全责任意识。确保金融机构的责任与义务，强化内部管理。一是金融机构管理层要加强认识，积极营造个人金融信息的保护环境，注重隐私保护技术的落实工作，确保个人金融信息风险评估形成长效机制。二是加强对从业人员的培训，强化从业人员个人金融信息安全意识，上岗前应当签署保密承诺书。三是注重网络安全人才的引进和培养，发现漏洞，填补漏洞，根源上杜绝黑客入侵，保障业务系统不受侵犯。
声明：本文来自金融电子化，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
