ICS03.060 CCSA11JR 中 华 人 民 共 和 国 金 融 行 业 标 准 JR/T0358—2026 金融数据安全 数据安全能力体系 Financial datasecurity —Datasecurity capability system 2026-6-6发布 2026-6-6实施 中国人民银行 发 布JR/T0358—2026 I目次 前言..............................................................................II 1范围.................................................................................1 2规范性引用文件.......................................................................1 3术语和定义...........................................................................1 4数据安全能力体系.....................................................................1 5通用数据安全保障.....................................................................4 6数据分类分级管理.....................................................................5 7数据生命周期安全.....................................................................6 8数据安全运营保障....................................................................13 参考文献........................................................................20JR/T0358—2026 II前言 本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中国人民银行科技司提出。 本文件由全国金融标准化技术委员会（SAC/TC180）归口。 本文件起草单位：中国工商银行股份有限公司、中国农业银行股份有限公司、中国银行股份有限公 司、中国建设银行股份有限公司、中国邮政储蓄银行股份有限公司、中国金融电子化集团有限公司、网 联清算有限公司、北京银联金卡科技有限公司、中国银联股份有限公司、中信银行股份有限公司、浙商 银行股份有限公司、恒丰银行股份有限公司、华夏银行股份有限公司、广发银行股份有限公司、北京银 行股份有限公司、南京银行股份有限公司、四川银行股份有限公司、泉州银行股份有限公司、河北银行 股份有限公司、日照银行股份有限公司、北京农村商业银行股份有限公司、广东南海农村商业银行股份 有限公司、浙江网商银行股份有限公司、财付通支付科技有限公司、支付宝支付科技有限公司。 本文件主要起草人：任文冲、孙丽君、陈璐、赵志蛟、李硕、李晓龙、刘俊婷、庞家锋、陈雪秀、 高鑫、李景丹、陈川川、林宇、高强裔、于柳婍、唐辉、谢彦丽、刘昭洁、张晋钰、韩竺吾、王爱玲、 周迪、翁芳雨、陈聪、张艳君、田鑫、杨溢、杨杨、夏一凡、孙钢、钱正旸、刘海龙、王艺铮、时思琦、 杨珉、曾立环、李欣、毕家瑞、张文嘉、吴迪、陈轶、佘小明、秦曾、盛普、耿亚娟、汪峰、许晓东、 孙雪、宋新宇、林俊浩、姜春颖、张园超、谢宗华、程虎、王程、吴永强、白晓媛、聂正军。JR/T0358—2026 1金融数据安全数据安全能力体系 1范围 本文件提出了金融数据安全能力体系，包括通用数据安全保障、数据分类分级管理、数据生命周期 安全及数据安全运营保障4个能力域，从组织建设、制度流程、技术能力及人员能力4个能力维度，将金 融从业机构数据安全能力由低到高划分为一至五级，明确了各能力域建设目标及对应等级的能力要求。 本文件适用于金融从业机构数据安全能力体系的规划、建设、评估等工作。 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T37988—2019信息安全技术数据安全能力成熟度模型 3术语和定义 GB/T37988—2019界定的以及下列术语和定义适用于本文件。 3.1 数据安全能力datasecuritycapability 金融从业机构通过优化组织结构、完善制度规程、健全管理流程、应用工具、提升人员意识与技能 等方式，形成系统化、可持续建设和改进的数据安全保障体系。 [来源：GB/T37988—2019，3.5，有修改] 3.2 数据安全能力域areaofdatasecuritycapability 数据安全能力体系中，实现同一数据安全目标的数据安全相关活动的集合。 [来源：GB/T37988—2019，3.9，有修改] 注：一个能力域包含一个或多个数据安全相关活动，且这些活动可分类归纳为一个或多个数据安全能力子域。 4数据安全能力体系 4.1能力体系的构成 数据安全能力体系见图1，包含数据安全能力域、数据安全能力维度和数据安全能力等级，具体描 述如下。 a）数据安全能力域明确金融从业机构数据安全能力，包括通用能力和专项能力，具体如下。 ——通用能力是通用性和普适性的数据安全保障能力，覆盖金融从业机构开展日常数据安全工 作的基本要求，是数据安全体系化管理的前提条件和机制基础。 ——专项能力是专用性和差异性的数据安全保障能力，包括数据分类分级管理、数据生命周期 安全、数据安全运营保障等，是在通用能力的基础上，适应于具体数据安全工作过程和特 定应用场景的数据安全措施细化和体系延展。 b）数据安全能力维度描述金融从业机构在组织建设、制度流程、技术能力及人员能力4个方面应 具备的能力。JR/T0358—2026 2c）数据安全能力等级从低到高划分为一至五级，用于衡量金融从业机构数据安全建设的体系化程 度、制度执行力、防护有效性、安全状态可持续性等整体数据安全能力，等级越高代表机构数 据安全工作的系统性、有效性、可靠性和可持续性程度越高。 图1数据安全能力体系 4.2数据安全能力域 数据安全能力域见表1。金融从业机构应在通用能力建设基础上，结合数据应用场景及数据安全工 作策略，按照专项能力子域要求建设专项能力，同时宜结合自身数据安全工作特点，自行细化和增补有 关专项能力子域的特性化要求。 表1数据安全能力域 序号 能力分类 能力域 能力子域 1 通用能力 通用数据安全保障 / 2 专项能力数据分类分级管理 / 3 数据生命周期安全数据收集 4 数据存储 5 数据传输 6 数据使用 7 数据加工 8 数据提供 9 数据委托处理 10 数据公开披露 11 数据删除 12 数据销毁 13 数据安全运营保障权限安全管理 14 数据备份与恢复 15 新技术应用风险防控 16 数据安全风险监测 17 数据安全风险评估 18 数据安全合规审计 19 应急响应与事件处置 4.3数据安全能力维度 4.3.1组织建设JR/T0358—2026 3从金融从业机构应具备的数据安全组织结构、职责分工等角度，根据以下方面进行能力等级区分。 a）数据安全组织结构与本机构管理策略及业务特点适配程度。 b）数据安全岗位设置及职责分工的适当程度和明确程度。 c）数据安全组织职能和义务的履行程度。 4.3.2制度流程 从金融从业机构在数据安全制度流程的建设情况、执行情况等角度，根据以下方面进行能力等级区 分。 a）数据安全相关制度的合规程度、对本机构数据安全需求的覆盖程度和有效程度。 b）数据安全相关制度与本机构管理体系、技术体系及业务特点的适配程度。 c）数据生命周期全过程数据处理活动授权、审批等流程的适当程度和明确程度。 d）数据安全相关制度流程制定、发布、修订、废止等工作程序的健全程度和规范程度。 e）数据安全相关制度流程在实际执行中的一致程度和有效程度。 4.3.3技术能力 从金融从业机构数据安全相关安全技术、应用系统、组件/服务等技术应用情况的角度，根据以下 方面进行能力等级区分。 a）技术能力对数据安全管理制度及操作规程的标准化、自动化、智能化支持程度。 b）技术能力对数据安全技术落地的有效性、自动化、智能化支持程度。 c）技术能力在数据生命周期全过程安全防护中的普及程度和有效程度。 d）技术能力对本机构数据安全风险评估、监测及应对处置能力的支持程度。 4.3.4人员能力 从金融从业机构数据安全工作人员管理能力与技术水平的角度，根据以下方面进行能力等级区分。 a）人员的数据安全技能与本机构数据安全工作目标的适配程度。 b）人员对数据安全相关法律、行政法规、内部管理制度、理论知识体系，及本机构、部门、岗位 相关业务和技术的掌握程度。 c）人员配备数量的充足程度及人员培养计划的适配程度。 d）人员数据安全意识教育及技能培训的有效程度。 4.4数据安全能力等级 金融从业机构数据安全能