证券基金公司网络安全与数据保护的合规指引

证监会作为证券基金领域的主要监管部门，在《网络安全法》生效前后已先后发布推行多部针对证券基金公司网络安全及客户信息保护方面的部门规章及推荐性规范。目前，覆盖证券基金公司在系统运维、客户资料保护、审计、系统等级保护测评等网络安全及数据合规的主要领域的法律体系正逐步建立。

其中，值得重点关注的是将于今年6月1日正式生效的《证券基金经营机构信息技术管理办法》(以下简称“《办法》”)。该《办法》对于证券基金公司在信息技术治理、信息技术合规风险管理、信息技术安全（包括系统安全、数据治理、应急管理）及相应罚则方面作出了全方位的细致规定，整体覆盖了证券基金公司在网络安全及数据合规方面应实现的技术、管理层面的基本要求，可视为证券基金领域在《网络安全法》正式生效的新时期背景下的主要合规规范要求文件。

尽管上述法律体系中包含较多的不具备强制约束力的规范性法律文件，但基于证监会作为制定主体的监管角色、业内的监管趋势及执法力度要求，从实现行业合规角度出发，我们会将相应推荐性规范中的指引作为重要参考，融入以下的合规指引中进行解读。

《网络安全法》对符合网络运营者条件的证券和基金公司提出了一系列合规义务。同时，在上述证券领域合规监管体系下，证监会对于证券和基金公司在具体落实层面提出更为明确的要求。

证券基金公司合规工作的一般义务及特别要求的要点对照清单如下：

1.1 组织与人员管理  

《办法》在《网络安全法》的基础上，对于证券公司内部建立“网络安全负责人“的要求进行扩充，在关乎公司网络运行安全稳定的信息技术管理层面搭建”信息技术治理委员会-首席信息官-信息技术管理部门“的层级管理机构，对相应职位的职责或任职要求提出明确基线。

将上述信息技术管理层级融入现有的一般公司管理组织模式，可梳理形成如下信息技术治理组织架构[3]：

考虑到《办法》将于6月1日正式生效，对此我们建议证券公司应参照上述规定要求，结合本司实际情况设置、调整相应机构及人事安排，建立自上而下的信息安全管理架构，保障网络安全及数据合规工作的顺利开展。

1.2 信息系统等级保护  

证券公司信息系统等级保护定级、备案、测评、评估要求、流程等基本可适用一般网络安全等级保护制度要求进行落实。但对于以下特定信息系统的定级工作，有特殊要求：

• 具有证券交易、第三方支付、或对敏感数据进行修改等业务功能，且用户规模在50万或50万以上的信息系统定为三级；用户规模在50万以下的定为二级；

  
  

• 其它网上证券敏感数据信息系统，以及实时行情系统、门户网站系统定为二级。

  
  

鉴于目前工信部及地方通信管理局在相应网络安全执法行动中重点关注信息系统等级保护问题的监管现状，以及以《网络安全等级保护条例》为核心的“等保2.0“制度文件呼之欲出的立法进程，我们建议证券公司需充分重视信息系统的等级保护定级备案测评工作，通过梳理内部重要信息系统清单（尤其是上述特定业务功能的信息系统）、自我评估或者联系第三方专业机构进行定级测评、将测评情况及时报告相应主管机关并定期检测等，尽快落实等级保护义务。

1.3 网络安全与数据合规内部管理

a) 产品和服务采购管理

证券公司应当建立供应商管理制度，定期对供应商的资质、专业经验、产品和服务的质量进行了解和评估。

而在与供应商磋商签署网络产品和服务采购合作协议时，应同步签订服务协议和保密协议，并明确以下内容：

• 各方在信息安全方面（尤其是客户信息安全和保密）的权利、义务和责任；

  
  

• 约定质量考核标准、持续监控机制、异常处理机制、服务变更或者终止的处置流程；

  
  

• 明确客户端、服务端以及数据传输过程中均无后门，明确软件开发商应用软件中使用的插件具备合法版权；

  
  

• 涉及证券期货交易、行情、开户、结算等软件产品或者技术服务的采购合同，应当约定供应商须接受中国证监会及其派出机构的信息安全延伸检查。

b) 信息系统审计

信息系统审计，是证券公司对自身信息系统规划、建设、运维和应急等活动进行自我检查和评价，判断系统运行的安全性、系统建设的合规性和系统应用绩效，提出整改建议，并持续跟踪落实整改情况。对此，证券公司应指定内审部门，并合理配备审计人员负责信息系统审计工作。可根据实际需要聘请第三方审计机构开展信息系统审计工作，第三方机构员工必须是正式员工。

审计内容：证券公司应开展系统运行安全审计，并可视情况开展系统建设合规审计、系统应用绩效审计。

审计频率：审计分为专项审计及全面审计。证券公司应定期开展信息技术管理工作专项审计，频率不低于每年一次，确保三年内完成信息技术管理全部事项的审计工作，包括但不限于信息技术治理、信息技术合规与风险管理、信息技术安全管理、应急管理。

而对于全面审计，证券公司应当委托外部专业机构开展，频率不低于每三年一次。

审计报告及审计档案：每当完成一次专项审计或者全面审计，证券公司应形成书面的审计报告，并构成最终的审计档案。

证券公司应当跟踪审计发现问题的整改情况，相关问题未能及时整改的，应当说明理由，并将审计报告提交信息技术治理委员会审议。证券基金经营机构应当妥善保存审计报告，保存期限不得少于二十年。

审计工作结束后，审计组应整理相关材料，并建立、保管审计档案。下列材料应归入审计档案：审计方案、审计通知书；审计工作底稿、审计报告；整改方案；后续审计工作底稿、后续审计报告。审计档案应至少保存五年。

c) 数据分级分类管理

证券公司应当将经营及客户数据按照重要性和敏感性进行分类分级，并根据不同类别和级别作出差异化数据管理制度安排。

根据《证券期货业数据安全标准规划》的要求指引，对于数据安全，可分为4类数据，根据数据敏感度，以及如果发生数据泄露或损毁对于数据主体、行业带来的损失和影响，从高到低分为1类数据（最高）、2类数据、3类数据、4类数据。

对于数据安全分级，共分为4级数据安全防护措施，根据攻击及威胁强度，以及面对威胁的反应和恢复速度，从低到高分为一级数据安全防护措施、二级数据安全防护措施、三级数据安全防护措施、四级数据安全防护措施（最高）。

上述数据安全分类及分级要求形成以下的分级分类保护矩阵表：

对此，我们建议证券公司按照上述指引及矩阵表分类，结合本司数据资产状况进行盘点梳理，通过划分不同等级方式赋予不同保护措施等级，在采集、访问、使用、共享相应数据或者相应数据发生特定安全事件时，响应相关访问权限制度或者触发数据保护响应机制。

d) 客户信息访问权限管理及审批

证券公司应当遵循最少功能以及最小权限等原则分配信息系统管理、操作和访问权限，并履行审批流程。合规管理和风险管理部门应当对权限管理制度和操作流程进行合规审查及风险控制。

同时，证券公司应严格客户资料查阅管理，建立查阅审批机制，防止客户资料丢失和泄密，要求具体包括：

• 内部查阅客户资料的，应提出申请，并经过审批留痕。

  
  

• 受理客户查阅申请的，应采取有效措施验证客户身份。

  
  

• 通过信息系统查阅客户资料的，应通过技术手段对操作者进行可靠的身份识别与权限控制，防止因非工作需要访问客户资料。

  
  

• 归档的客户资料不应外借，查阅人可以抄录、照相、复印或复制，证券公司应对查阅情况进行记录或做到系统留痕。

  
  

e) 网络安全事件应急预案与演练

证券公司应制定并持续完善网络安全与数据安全事件应急预案，需包括以下内容：应急管理建设目标、备份信息系统建设和恢复机制、备份数据恢复机制、业务恢复或替代措施、应急联系方式、与客户沟通方式、向监管部门及有关单位的报告路径、应急预案披露与更新机制等。公司内部的信息技术管理部门应为信息技术应急管理的牵头组织部门。

在制定应急预案制度的基础上，证券公司应每半年至少组织一次网络与信息安全应急演练，并确保应急演练在两年内覆盖全部重要信息系统。应急演练应当形成报告，保存期限不得少于五年。此外，每年应向住所地证监局报告年度应急演练情况。

1.4 信息系统运维支持及信息报送义务

证券公司应当由信息技术安全管理部门负责信息系统、信息系统所使用技术措施、所在的机房、网络环境等的日常管理，保证信息系统运营正常。

而在新建或更换重要信息系统所在机房、证券基金交易相关信息系统，应当在开展相关业务活动的五个工作日内向中国证监会报送有关资料，包括内部审查意见、机房基本信息、技术架构设计、操作流程、信息安全管理资料、业务制度、合规管理及风险管理制度等。

此外，《办法》要求，证券公司在2019年12月31日前，需将已投产的重要信息系统所在机房、证券基金交易相关信息系统的上述相关信息点报送中国证监会。对此我们也特别提醒证券基金公司，需充分关注该信息报送义务的报送时间节点要求、报送对象及内容。

《办法》以设置专门章节共七条的方式，不仅对证券基金公司的数据治理工作提出中心目标，而且对治理原则提出了全方位、多层次的合规要求，足以体现监管部门对于证券领域数据合规组织、处理、制度建设等方面的高度重视。该章节对于证券基金公司的数据治理提出了一个中心、七大原则的治理要求：

3.1 明示收集、使用规则及服务协议

当涉及网上证券信息系统使用时，证券公司应当与客户签订网上证券服务协议或合同、风险揭示书，明确双方的权利、义务和相关风险的责任承担，向客户充分揭示使用网上证券信息系统可能面临的风险、证券公司已采取的风险控制措施和客户应当采取的风险防范措施。揭示内容包括但不限于：建议客户定期修改口令、增强口令强度，防止口令泄露、防止网上证券客户端感染木马、病毒等，并提醒客户可根据需要开启或关闭网上证券交易方式。同时，应在协议或者合同中明确告知客户使用网上证券信息系统的合法途径、意外事件的处理办法，以及证券公司联系方式等。

3.2 处理日志记录

电子日志记录是证券公司客户资料核心信息系统应对电子客户资料的增加、删除和修改等操作进行记录的重要表现形式，记录内容包括实时操作的人员、时间、内容等。记录的保存时间不少于一年。

3.3 客户信息收集

同一般的个人信息控制者，在收集使用客户信息之前，证券公司应当公开收集、使用的规则和目的，并征得客户同意。

对于证券公司收集的客户信息的范畴，在“个人信息“概念的基础上，《证券公司客户资料管理规范》进行内容丰富，主要包括以下类别：

• 客户基本信息：客户身份信息、资产状况、风险承受能力及其他反映客户基本属性的记载；

  
  

• 业务凭证：客户办理业务过程中产生的业务信息记载。至少包括客户标识、业务内容、业务办理时间等信息；

  
  

• 交易记录：客户通过证券公司进行各类证券交易所产生的信息记载。至少包括客户标识、交易标的物、交易价格、交易数量、交易时间等信息。

  
  

证券公司需在隐私政策、用户协议等对外文件中明确自身收集、使用客户信息的具体类型及范围。根据最近“APP违法违规收集使用个人信息的专项治理行动“工作组所制定的《APP违法违规收集使用个人信息自评估指南》要求，运营者需在隐私政策中逐一明确每项业务功能所收集的个人信息类型。对此，我们建议证券公司需在相关对外文件中准确披露主要业务功能下收集、使用个人信息的类型、范围、目的及方式，并获取用户的授权同意。

3.4 客户信息存储

出于业务发展需要，证券行业的相关法律法规对于客户信息的存储提出具体的最低期限要求。证券公司应当保存的客户身份资料，自业务关系结束当年或者一次性交易记账当年计起至少保存20年。而对于交易记录，自交易记账当年计起至少保存20年。

如客户身份资料和交易记录涉及正在被反洗钱调查的可疑交易活动，且反洗钱调查工作在上述最低保存期届满时仍未结束的，金融机构应将其保存至反洗钱调查工作结束。同一介质上存有不同保存期限客户身份资料或者交易记录的，应当按最长期限保存。同一客户身份资料或者交易记录采用不同介质保存的，至少应当按照上述期限要求保存1种介质的客户身份资料或者交易记录。

3.5 客户信息使用与共享

证券基金领域的客户信息，因与客户自身经济利益密切相关，其使用、共享问题受到监管部门的高度关注。《办法》要求，除法律法规和中国证监会另有规定外，证券基金经营机构不得允许或者配合其他机构、个人截取、留存客户信息，不得以任何方式向其他机构、个人提供客户信息。即：仅在法律法规或者证监会的规定的明确许可下，证券公司方可向其他机构、个人共享客户信息。可以说，监管部门对于客户信息共享问题持有较为谨慎的态度。

对此我们关注到，证监会发布并已于2014年12月26日生效的《证券公司客户资料管理规范》中提到，证券公司应对客户资料予以保密，非依法律法规规定、监管报送、客户同意或者因客户身份识别的需要，不得向任何单位和个人提供。我们理解，尽管该规范为不具备强制约束力的推荐性行业规范，但前述管理办法明确以中国证监会规定作为除外情形，上述规范构成证监会对外发布的相关规定。因此，根据我们的解析，证券和基金公司在做好充分且有效的合规前提下，可以规避监管风险。

无论如何，证券和基金公司均需高度关注客户信息的对外共享问题，仔细排查目前涉及客户信息的合作场景以及对应是否具备上述规定明确的合法事由。如无，我们建议需尽快建立合规体系，或采取对相应数据合作进行审查、处理等方式，以降低数据泄露、被滥用的违法风险。

3.6 客户信息保护措施

证券基金公司应采取必要管理措施和技术措施，防止客户身份资料和交易记录的缺失、损毁，防止泄漏客户身份信息和交易信息。具体的技术措施，包括但不限于网络隔离、用户认证、访问控制、数据加密、数据备份、数据销毁、日志记录、病毒防范和非法入侵检测等安全保障措施。

同时，证券基金公司应建立对客户资料管理工作的奖惩机制。尤其是对故意隐匿、伪造、篡改、毁损、泄露客户资料等行为，证券公司应予以处罚。

除证券基金公司外，以《办法》为代表的证券基金公司网络安全及数据合规法律体系，对向证券基金公司的业务活动提供支持服务的信息技术服务机构[4]同样提出合规要求。我们理解，证券基金公司应当对其提供技术服务的机构进行合规和准入审查，监督其数据管理能力的稳定性、安全性以及相应的内控机制，有效防止违法违规事件的发生。

4.1 登记备案及报告义务

信息技术服务机构应主动向中国证监会备案，以获得准入资格。《办法》第44条明确规定，基金管理公司应当选择已在中国证监会备案的信息技术服务机构，并在备案范围内与其开展合作。

基金信息技术服务机构备案应当满足以下清单所示条件：

在申请备案时，基金信息技术服务机构备案材料应当包括本机构基本情况、信息技术服务情况、服务对象情况、内部控制情况等相关材料。备案内容发生变更的，基金信息技术服务机构应当及时更新备案材料。

此外，《办法》第55条要求，当信息技术服务机构出现以下情形时，应当立即报告住所地中国证监会派出机构：

4.2 接受审查

在向证券基金经营机构提供服务之前，信息技术服务机构应向对方开放内部及相关信息系统的审查，接受对方向中国证监会及其派出机构报送审查意见及相关材料。具体审查内容，根据《办法》指引，信息技术服务机构应重视以下方面：业务系统流程设计、功能设置、参数配置和技术实现是否遵循业务合规的原则；风险管理系统功能是否能够与业务系统同步上线运行；是否具备完善的信息安全防护措施，能够保障经营数据和客户信息的安全、完整；是否具备符合要求的信息系统备份及运维管理能力，以保障相关系统安全、平稳运行。

而在提供服务过程中，信息技术服务机构需同样保持对自身信息技术服务能力、应急响应能力的持续监控关注，并接受服务对象的内部评估及审查。

4.3 签订并受服务协议、保密协议约束

证券基金经营机构应当与信息技术服务机构签订服务协议和保密协议，明确各方权利、义务和责任，约定质量考核标准、持续监控机制、异常处理机制、服务变更或者终止的处置流程以及现场服务人员保密要求等内容，并持续监督信息技术服务机构及相关人员落实服务协议和保密协议的情况。其中，服务协议应当明确委托信息技术服务机构提供的服务范围、服务方式、涉及信息系统及相关证券基金业务活动类型。

4.4 健全内部质量控制机制

信息技术服务机构应当健全内部质量控制机制，定期监测相关产品或服务，在提供服务过程中出现明显质量问题的，应当立即核实有关情况，采取必要的处理措施，明确修复完成时限，及时完成修复工作。

4.5 负面行为清单

《办法》第51条对信息技术服务机构所提供的技术服务提出了禁止性行为要求，我们梳理并形成以下负面行为清单，供各信息技术服务机构自查自纠。

5.1 证券基金公司的法律责任

证券基金公司在未能满足监管合规要求的情况下，可能面临中国证监会采取的从责令改正、责令增加合规检查次数，到暂停业务等的行政监管措施。《办法》第57条规定，证券基金经营机构违反本办法规定的，中国证监会及其派出机构可以依法对其采取责令改正、暂停业务、出具警示函、责令定期报告、责令增加合规检查次数、公开谴责等行政监管措施；对直接负责的主管人员和其他责任人员采取责令改正、监管谈话、出具警示函、公开谴责等行政监管措施。

如证券基金公司未能满足相应合规要求，导致公司治理混乱、内控失效的，依照《办法》第58条规定，中国证监会及其派出机构可以采取责令暂停部分或全部业务、责令更换董事、监事、高级管理人员或者限制其权利等行政监管措施。

需要提醒的是，除了证监会外，网络安全和个人信息的主要执法机构还有国家网信办、工信部、公安部。多重执法主体间不仅可能存在着权责边界模糊、交叉执法的问题，而且在具体执法案例中，各执法主体对于网络安全监管方向存在初步可感知的差异，未有明晰的领域界限[5]。在网络安全监管“九龙治水”现象存在的情况下，证券和基金公司需要结合自身情况，进行全面的合规建设，避免监管风险和行政处罚。

5.2 信息技术服务机构的法律责任

《办法》同样对信息技术服务机构未能满足相应合规要求提出了明确的行政监管乃至行政处罚措施。《办法》第59条、第61条对于信息技术服务机构的违规场景及对应措施进行分别规定：

5.3 证券基金专项业务服务机构的法律责任

注：

[1]本文如无特殊批注，“证券公司”均指《证券法（2014修订）》第123条规定的“依照《中华人民共和国公司法》和本法规定设立的经营证券业务的有限责任公司或者股份有限公司“。

[2]这里指公募基金的基金管理公司。

[3]此处仅为建议，各公司需根据法规要求结合自身情况，调整内部信息技术管理组织架构。

[4]《办法》第3条第2款规定，本办法所称信息技术服务机构，是指为证券基金业务活动提供信息技术服务的机构。信息技术服务的范围如下：（一）重要信息系统的开发、测试、集成及测评；（二）重要信息系统的运维及日常安全管理；（三）中国证监会规定的其他情形。

[5]参见：致敬数据合规元年 | 2018《网络安全法》执法案件大盘点http://www.zhonglun.com/Content/2019/01-15/1053489268.html

[6]根据《办法》第63条第（一）项规定，证券基金专项业务服务机构，是指从事公开募集基金的销售、销售支付、份额登记、估值、投资顾问、评价等基金服务业务的机构和证券投资咨询机构。

[7]对于截至2018年底的相关网络安全执法行动，建议关注微信公众号“中伦视界”2019年1月15日《2018<网络安全法>执法案件大盘点》以充分了解监管部门的执法状态及趋势。

[8] 参见http://www.mps.gov.cn/n2254314/n2254457/n2254466/c6382210/content.html 

作者简介：

作者简介：

《尽职调查中的IP风险，这几点要特别关注》