当前，全球已经进入数字经济时代，数据逐渐成为金融行业稳定运营与发展革新的核心驱动力。金融行业作为数据密集型行业，在经营发展过程中累积了大量个人信息。金融机构如何在信息利用与信息安全保护之间达到平衡，防范信息泄露、信息盗用、信息冒用等问题，已经成为金融机构当前亟待解决的课题之一。
本文旨在通过对《个人金融信息保护技术规范》的解读，梳理规范中有关安全检查与评估的要求，并结合相关国家标准、评估指南以及金融行业特点，为金融机构提供开展个人金融信息安全影响评估的方案建议。
一、《个人金融信息保护技术规范》概述
近年来，国家相关机构从立法、国家标准、行业监管等不同层面，对包括个人金融信息在内的个人信息的保护制定了相关法律法规与标准规范文件。2020年2月，《个人金融信息保护技术规范》（JR/T 0171-2020）（以下简称《规范》）正式实施，目的在于指导金融机构结合自身实际，加强个人金融信息全生命周期技术管理，强化风险识别和监控，建立健全风险事件处置机制，保障个人金融信息主体合法权益。
根据《规范》的定义，个人金融信息是个人信息在金融领域围绕账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息等方面的扩展与细化，是金融机构在提供金融产品和服务的过程中积累的重要基础数据，也是个人隐私的重要内容。根据信息遭到未经授权的查看或未经授权的变更后所产生的影响和危害，《规范》将个人金融信息按敏感程度从高到低分为C3、C2、C1三个类别。
《规范》要求各金融机构通过技术手段与管理措施双管齐下，依据服务场景以及该信息在其中的作用对信息的类别进行识别，并实施针对性的保护措施，实现个人金融信息的全生命周期的安全防护，确保信息安全。
此外，通过有效的信息安全影响评估和检查，金融机构可以深入探查安全技术和安全保护过程中可能存在的薄弱环节，前瞻性地防范相关风险的发生，并针对性地进行优化，同时满足监管合规与风险管理的要求。根据《规范》的安全技术要求，金融机构在以下场景处理个人金融信息时需进行信息安全评估或检查：
同时，《规范》在安全管理方面，也对金融机构提出了相关的评估或检查工作要求，包括：
► 定期（至少每年一次）开展个人金融信息安全影响评估
► 每年至少开展一次对涉及收集、存储、传输、使用个人金融信息的信息系统进行安全检查或安全评估
► 每年至少开展一次支付信息安全合规评估
► 定期对外包服务机构与外部合作机构开展信息安全评估或现场检查等。
通过分析《规范》的上述要求，我们可以注意到个人金融信息安全影响评估已经成为金融机构加强个人金融信息安全管理的重要手段之一。我们将基于《信息安全技术 个人信息安全影响评估指南》提出一套开展个人金融信息安全影响评估的方法，并通过示例解析的方式加以介绍，为金融机构开展个人金融信息安全影响评估提供解决方案。
二、个人金融信息安全影响评估方法
《信息安全技术 个人信息安全影响评估指南》（以下简称《指南》）于2020年11月19日发布，并已于2021年6月1日正式生效实施。《指南》为各类组织开展个人信息安全影响评估工作提供了参考，金融机构可依据《指南》提供的评估原理进行个人金融信息安全影响评估，从安全保护措施有效性和个人信息主体权益影响两方面对个人金融信息处理活动进行安全影响综合分析，确定风险级别，从而有针对性地完善相应的安全控制措施并进行风险处置。评估原理如下图所示：
我们基于上述原理，形成了个人金融信息安全影响评估的方法论，整体评估工作由下图中的八个步骤组成。
· 1 ·
确认评估对象，评估对象可以是某项产品、某类业务或某个合作，对评估对象进行全面的调研，从系统基本信息、系统设计信息、处理流程和程序信息三个方面对评估对象和范围进行确认。
· 2 ·
通过个人金融信息映射分析和个人金融信息生命周期安全管理分析，梳理个人金融信息类型、处理目的、实现方式等信息，以及个人金融信息处理过程涉及的资源和相关方，形成数据清单及数据映射图表。
· 3 ·
根据个人金融信息的类型、敏感程度、收集场景、处理方式、涉及相关方等要素，对具体的个人金融信息处理活动进行分类。
· 4 ·
通过分析个人金融信息处理活动在网络环境和技术措施、个人金融信息处理流程、参与人员与第三方、业务特点和规模及安全态势四个方面所面临的威胁，识别已采取的安全措施，并评估安全措施的有效性。
· 5 ·
识别个人金融信息处理活动面临的风险，分析存在的问题而引发的安全事件及其发生的可能性，确定风险可能性的级别。
· 6 ·
结合《规范》所定义的个人金融信息的敏感程度，判断信息安全事件对个人信息主体合法权益产生的影响。个人权益影响包括限制人身财产受损、个人自主决定权、引发差别性待遇、个人名誉受损或遭受精神压力共四个维度。我们采用极值法作为风险影响程度级别的判定标准。
· 7 ·
综合安全事件发生的可能性和个人信息主体权益影响程度两方面的定级结果，得出个人金融信息处理活动的综合风险等级，并针对性地提出风险缓释措施建议。
· 8 ·
总结并记录个人金融信息安全影响评估开展过程与评估结果，形成评估报告。
三、个人金融信息安全影响评估实务
在运用上述方法论开展个人金融信息安全影响评估时，可以参照下列各个步骤的具体工作方法执行。
四、结语
金融机构通过开展个人金融信息安全影响评估，能够有效加强对个人信息主体权益的保护，同时有利于对外展示其保护个人信息安全的努力，増进个人信息主体的信任。我们建议，金融机构尽快开展个人金融信息安全影响评估。
声明：本文来自安永EY，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
