ICS 03.060 CCS A 11 中华人民共和国国家标准 GB/T 42775—2023 证券期货业数据安全风险防控 数据分类分级指引 Data security risk prevention and control for securities and futures industryGuidelines of data classification 2023-08-06实施 2023-08-06发布 国家市场监督管理总局 发布 国家标准化管理委员会 GB/T42775—2023 目 次 前言 引言 范围 2 规范性引用文件 3 术语和定义 4 适用的数据范围 5 数据分类分级保障措施 5.1 建立数据分类分级组织保障 5.2建立数据分类分级管理制度 5.3厘清业务和数据资产 6数据分类 6.1 数据分类原则 6.2 数据分类方法相关概念 6.3数据分类要点 6.4数据分类方法 7数据分级 7.1数据分级原则 7.2 数据分级要点 7.3数据分级方法. 10 8数据分类分级中的关键问题处理 16 8.1 数据体量与数据级别的确定· 16 8.2 数据聚合与数据分类分级的变更 16 8.3 数据时效性与数据分类分级的变更 16 8.4 数据的获取与提供 16 8.5数据的汇总、统计、分析、加工 16 附录A（资料性）证券期货业典型数据分类分级模板 18 A.1 数据分类分级模板 18 A.2数据汇集型会管单位典型数据分类分级模板 19 A.3 一般会管单位典型数据分类分级模板 32 A.4 行业协会典型数据分类分级模板 46 A.5 证券公司典型数据分类分级模板 53 A.6期货公司典型数据分类分级模板 A.7 基金管理公司典型数据分类分级模板 参考文献 87 GB/T42775—2023 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任， 本文件由全国金融标准化技术委员会（SAC/TC180）归口。 本文件起草单位：中国证券监督管理委员会、中国金融期货交易所股份有限公司、中证信息技术服 务有限责任公司、上海证券交易所（中国证券博物馆）、深圳证券交易所、上海期货交易所、郑州商品交易 所、大连商品交易所、中国证券登记结算有限责任公司、中国证券投资者保护基金有限责任公司、中国证 券金融股份有限公司、中国期货市场监控中心有限责任公司、中证数据有限责任公司全国中小企业股 份转让系统有限责任公司、中国证券业协会、中国期货业协会、中国证券投资基金业协会、上海金融期货 信息技术有限公司、中国银河证券股份有限公司、海通证券股份有限公司、中信证券股份有限公司、华泰 证券股份有限公司、兴业证券股份有限公司、国泰君安期货有限公司、华泰期货有限公司、中信保诚基金 管理有限公司、交银施罗德基金管理有限公司。 本文件主要起草人：姚前、蒋东兴、刘铁斌、周云晖、王东明、毛嘉伟、王恺、高红洁、朱翔、郭、祁博、 曹雷、许凯文、史光伟、鲁继东、张颖博、张千里、朱少鹏、吕德旭、于培言、周桉、朱明康、翁念龙、林林、 谢冉、王欣、邵辰、王立鹏、和冲宇、张婧妍、姜兵利、吴忠华、高靖宇、崔慧阳、黄璐、陈明、廖鹏程、向春丞、 赵刚、艾青、郑文天、邓廷勋、王东、吴保杰、李琛、周思佳、王玥、方晓鹰、胡卫宁、陈逸辛、董明余、唐华。 GB/T42775—2023 引言 随着近年来信息技术进步与行业内应用程度进一步加深，包括国家证券期货业主管部门直接管理 的行业机构、行业协会及证券期货经营机构在内的各类市场主体都沉淀了大量数据。一方面，需要有效 甄别合理化的数据使用需求，明确关键环节的技术标准，确定使用新型技术的范围；另一方面，需要结合 行业发展变化，有效识别新增风险隐患，持续加强数据安全管理，建立健全数据管理制度，采取必要的数 据安全防护措施，维护市场安全运行及投资者合法权益。 证券期货业业务种类繁多，数据呈现出复杂性高、多样性强的特点。采用规范的数据分类、分级方 法，有助于行业机构厘清数据、确定数据重要性或敏感度，并针对性地采取适当、合理的管理措施和安全 防护措施，形成一套科学、规范的数据管理与保护机制，从而在保证数据安全的基础上促进数据开放共 享。数据分类是数据保护工作中的一个关键部分，是建立统一、准确、完善的数据架构的基础，是实现集 中化、专业化、标准化数据管理的基础。行业机构按照统一的数据分类方法，依据自身业务特点对产生、 采集、加工、使用或管理的数据进行分类，有利于清晰地厘清数据资产，对数据实现规范化管理，为数据 的维护和扩充提供支持。数据分级是以数据分类为基础，采用规范、明确的方法区分数据的重要性和敏 感度差异，并确定数据级别。数据分级有助于行业机构根据数据不同级别，确定数据在其生命周期的各 个环节应采取的数据安全防护策略和管控措施，进而提高行业机构的数据管理和安全防护水平，确保数 据的完整性、保密性和可用性。 本文件为数据分类分级工作提供指导性原则，并以JR/T0176.1一2019《证券期货业数据模型 第 1部分：抽象模型设计方法》的业务条线划分为基础，结合证券期货业特点提出一种从业务到数据逐级 划分的数据分类分级方法，同时提供数据分类分级管理的相关建议，供证券期货业相关机构参考。此 外，可供证券期货业制定数据管理、数据安全防护等相关标准时参考。 GB/T 42775—2023 证券期货业数据安全风险防控 数据分类分级指引 1范围 本文件提供了证券期货业数据分类分级的适用数据范围、保障措施、数据分类分级的原则和方法、 数据分类分级中的关键问题处理的建议。 本文件适用于证券期货业各类机构（简称为行业机构”）在防控数据安全风险时，开展数据分类分 级使用。其他相关机构可作为参考。 本文件不适用于涉及国家秘密的数据。 2规范性引用文件 2 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文 件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于 本文件。 GB/T10113分类与编码通用术语 GB/T222402020信息安全技术网络安全等级保护定级指南 JR/T0171—2020个人金融信息保护技术规范 JR/T0176.1一2019证券期货业数据模型第1部分：抽象模型设计方法 JR/T0197—2020金融数据安全数据安全分级指南 3 3术语和定义 下列术语和定义适用于本文件。 3.1 数据 data 信息的可再解释的形式化表示，以适用于通信、解释或处理。 注：可以通过人工或自动手段处理数据。 ［来源：GB/T5271.1—200001.01.02] 3.2 保密性 confidentiality 信息对未授权的个人、实体或过程不可用或不泄露的特性。 ［来源：GB/T29246—2017,2.12] 3.3 可用性 Eavailability 根据授权实体的要求可访问和可使用的特性。 ［来源：GB/T292462017,2.9] 1 GB/T42775—2023 3.4 完整性integrity 准确和完备的特性。 ［来源：GB/T29246—2017,2.40] 3.5 数据资产dataasset 由个人或企业拥有或者控制的，以物理或电子的方式记录的数据表、数据项、数据文件。 3.6 个人信息personalinformation 以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然 人活动情况的各种信息。 注：个人信息包括姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、 账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。 ［来源：GB/T35273—2020,3.1] 3.7 机构投资者institutionalinveston 用自有资金或者从分散的公众手中筹集的资金专门进行有价证券投资活动的法人机构。 4适用的数据范围 证券期货业经营和管理活动中产生、采集、加工、使用或管理的数据，包括但不限于： a）行业机构通过开展业务或经其他渠道获取的投资者个人信息： b）机构投资者相关信息，如机构投资者的基本信息、财产信息、账户信息、信用信息、交易信息及 相关衍生信息等； 证券期货市场交易信息，如证券市场交易信息、期货市场交易信息基金交易信息、其他衍生品 交易信息等； d）业务管理相关信息，如监管信息、统计信息、公告信息等； 注：此处“监管信息”特指行业机构收到的来自国家主管部门的信息或按照国家主管部门要求报送的信息 经营管理数据，如客户管理信息、渠道管理信息、经营状况信息、人力管理信息、财务管理信息、 技术管理信息等； f)i 通过购买或数据共享等方式获得的外部数据，如研究报告、指数信息等； g)1 其数据完整性、保密性和可用性遭到破坏，可能危害国家安全、国计民生、公共利益的其他各类 数据。 5数据分类分级保障措施 5.13 建立数据分类分级组织保障 建立数据分类分级的组织保障，可明确： a） 数据分类分级的管理部门； b) 数据分类分级的最高责任人； 2 GB/T 42775—2023 c）数据分类分级相关的管理角色和职能； d）数据分类分级相关的授权机制。 5.2建立数据分类分级管理制度 建立数据分类分级的制度保障，可明确： 数据分类分级的具体要求； a) b) 数据分类分级涉及的角色及职责； c） 数据分类分级的相关制度和操作流程的制定、发布、维护和更新的机制，以及评审和修订周期；