本文将总结《证券期货业网络和信息安全管理办法》的亮点内容，并结合近期颁布实施的部门规章及行业标准，重点梳理和解读《办法》中证券期货业网络和信息安全、数据保护相关合规义务，形成合规指引，为证券期货业各类相关主体开展合规工作提供参考。
作者丨蔡鹏 王梦迪 高维钊
上期回顾
结合近年来颁布实施的证券期货领域部门规章及行业标准，上篇《证券期货业网络和信息安全及数据保护合规指引（上）——监管目标及立法亮点》对《证券期货业网络和信息安全管理办法》（以下简称“《办法》”）监管范畴内的各类适用主体进行详细解读，并总结了《办法》的七大亮点内容，为读者提供了《办法》的全景概览。
在具体开展网络和信息安全及数据保护工作过程中，核心机构和经营机构应当遵循保障安全、促进发展的基本原则，依法履行相关合规义务。在本篇中，我们梳理了《办法》中核心机构和经营机构针对本机构的网络和信息安全及数据保护应当履行的主体责任，以期为核心机构和经营机构进行网络和信息安全及数据保护提供参考。
一、网络和信息安全运行
（一）组织架构及人员
（二）体系、机制与制度构建
从网络和信息安全运行的制度保障上，《网络安全法》《数据安全法》《个人信息保护法》《证券基金经营机构信息技术管理办法》等均提出了原则性的要求。《办法》在全面梳理相关法律法规及规范的基础上，针对核心机构和经营机构在体系、机制和制度构建层面，提出了细致、全面、具体的合规要求，具体如下：
图1：证券期货业核心机构和经营机构网络和信息安全管理体系、机制和制度设置要求
（三）重要信息系统合规要求
此前，证券期货业信息系统一般会依据对金融安全、社会秩序以及投资者权益的损害程度将信息系统为一至五类系统，或根据重要性分为非核心交易业务系统和核心交易业务系统。自《证券基金经营机构信息技术管理办法》实施以来，监管机构提出“重要信息系统”的分类，强调相关机构对重要信息系统的保护义务。《办法》进一步明确了重要信息系统的概念，指出重要系统是承载证券期货关键业务的系统，如发生数据安全事件会对证券期货市场和投资者产生重大的影响。
重要信息系统的认定与关键基础设施的认定不同，关键信息基础设施需由监管机构根据行业实际进行认定，而重要信息系统需由相关机构根据自身业务实际自行认定。实践中，核心机构和经营机构应准确识别重要信息系统的类型，从而履行针对重要信息系统的保护义务。具体如下：
上下滑动可查看
（四）数据治理
核心机构和经营机构掌握着大量的敏感个人信息和金融数据，应充分落实数据治理的法律义务，防范数据泄露和违法处理的风险。《办法》从数据安全、敏感数据以及数据的留存等角度对重点义务进行了强调。
（五）数据分类分级
《办法》中虽未就数据的分类分级管理对核心机构和经营机构提出要求，但是数据分类分级仍应是核心机构和经营机构应重点关注的合规义务。证监会此前已发布《证券期货业数据分类分级指引》（JR/T 0158—2018）的行业标准，指导相关机构开展数据分类分级工作。
根据《证券期货业数据分类分级指引》，对于数据分类，机构可根据实际情况，从业务条线（一级子类）、业务管理（二级子类）的角度对数据进行分类，一般情况下，数据分类仅细分到业务管理二级子类。对于数据分级，可从影响对象、影响范围以及影响程度多角度对数据进行定级，数据级别可以使用数字进行标识，如4级（极高）、3级（高）、2级（中）、1（低）。我们建议，核心机构和经营机构可按照上述基本原则对数据资产进行盘点，并根据数据分类分级情况采取不同的保护机制。相关机构可参考以下示例进行分类分级：
点击可查看大图
二、投资者个人信息保护
自《个人信息保护法》实施以来，个人信息保护的关注热度持续增高，尤其在证券期货行业，相关机构掌握的个人信息多为敏感个人信息，相关机构更应重点关注个人信息保护的合规要求。2022年8月，证监会发布了《关于加强证券期货经营机构客户交易终端信息等客户信息管理的规定》，专门就证券期货经营机构的客户信息管理进行规范，《办法》的发布又再次强调投资者个人信息保护的法律义务。核心机构和经营机构处理投资个人信息应遵循合法、正当、必要的原则，建立健全个人信息保护体系和管理机制，加强投资者个人信息保护。
（一）个人信息的处理要求
（二）个人信息对外提供
《办法》规定了核心机构和经营机构向第三方机构提供投资者个人信息的规则，但是我们发现，根据《证券基金经营机构信息技术管理办法》，除法律法规和中国证监会另有规定外，证券基金经营机构不得以任何方式向其他机构、个人提供客户信息。也就是说，证券基金经营机构对外提供个人信息的场景仅能在法律法规和监管机构规定的情况下开展，实际对外提供的场景不多，监管对相关机构对外提供个人信息持谨慎态度。鉴于此，核心机构和经营机构如确需对外提供个人信息的，仍需在证监会规定的场景下对外提供，同时履行如下合规义务：
此外，根据《个人信息保护法》，个人信息处理者对外提供个人信息的，还应进行个人信息影响评估。
（三）敏感个人信息处理
核心机构和经营机构处理投资者敏感个人信息的，应获得投资者的单独同意。此外，《办法》又基于行业的特殊性，针对特定场景，对于敏感个人信息的处理提出了特殊的要求：
（四）个人信息存储
针对投资者个人信息存储的期限，核心机构和经营机构应遵循法律法规的规定或基于实现处理目的最短的期限进行存储。根据《关于加强证券期货经营机构客户交易终端信息等客户信息管理的规定》，证券期货经营机构应妥善保存客户交易终端信息和开户资料电子化信息，保存期限不得少于20年，交易时段客户交易区的监控录像资料保存期限不得少于6个月。此外，我们注意到在《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法》中针对上述信息的最小保存期限仅为5年。在此种情况下，我们建议经营机构应按照较长的时间期限进行存储，以满足监管的合规要求。
三、网络和信息安全应急处置
网络安全应急处置机制是网络安全事件发生后降低损失的有效途径。核心机构和经营机构不仅需要建立应急处置机制，还需建立前置的风险排除、应急预案和应急演练机制，提前做好网络安全事件的应对，防患于未然。
（一）风险排除
核心机构和经营机构发现网络和信息安全产品或者服务存在安全缺陷、安全漏洞等风险隐患的，应当及时核实并加固整改，尽快恢复信息系统正常运行，保护事件现场和相关证据。
如网络安全事件对投资者造成影响的，应当及时通过官方网站、客户交易终端、电话或者邮件等有效渠道通知相关方可以采取的替代方式或者应急措施，提示相关方防范和应对可能出现的风险。
（二）应急预案
核心机构和经营机构应当根据实际的业务情况，制定网络安全应急预案，明确应急目标、应急组织和处置流程。同时，《办法》规定了，核心机构和经营机构制定的应急预案应覆盖的应急场景，包括网络安全事件、自然灾害和公共卫生事件、本机构网络和信息安全相关重大人事变动、主要信息技术系统服务机构退出等情形。
（三）应急演练
核心机构和经营机构定期开展网络安全应急演练，并形成应急演练报告存档备查。应急演练是应急处置的练兵，对于网络安全应急处置具有重要意义。
此外，针对核心机构，《办法》要求核心机构应保障证券期货市场的相关信息系统和网络通信设施的安全平稳运行，每年至少组织开展一次与核心机构信息系统和网络通信设施相关联主体开展网络安全应急演练，并于演练后15个工作日内将相关情况报告中国证监会。
（四）报告及调查
《办法》针对核心机构和经营机构的网络安全事件的报告和调查仅做了原则性的规定，《证券期货业网络安全事件报告与调查处理办法》中针对核心机构和经营机构网络安全事件报告和调查提出了更细致的合规要求。具体流程如下：
图3：网络安全事件报告及调查流程
四、核心机构之特殊合规义务
核心机构承担了证券期货市场重要公共职能和信息技术公共基础设施的运营，是证券期货市场中维护市场平稳、顺畅运行的核心参与者，是证券、期货交易的必须参与者。在上述核心机构和经营机构的一般合规义务的基础上，《办法》针对核心机构设置了特殊的合规要求。具体如下：
（一）技术规则制定
《办法》要求核心机构依法制定保障市场相关主体与核心机构信息系统安全互联的技术规则，加强对相关联主体的加强指导，并督促其加强网络和信息安全管理工作。核心机构制定的技术规则能够有效保障市场中相关主体能够按照相关的技术要求与核心机构互联，促使经营机构履行相应的合规义务。
（二）检测、认证等监管支撑工作
《办法》规定核心机构可以申请开展证券期货业网络和信息安全相关认证、检测、测试和风险评估等监管支撑工作，针对上述工作，相关核心机构应当保障充足的资源投入，完善内部管理制度和工作流程，保证工作专业性、独立性和公信力。
同时，《办法》还明确规定了任何机构和个人不得违规开展证券期货业信息系统认证、检测、风险评估等活动。即，除核心机构有权依法申请开展信息系统认证、检测、风险评估外，其他机构均无权申请开展上述工作，也不得违规开展上述工作，否则需承担相应的法律责任。
下期预告
在证券期货业领域中，信息技术系统服务机构作为重要信息系统的供应商，相较于一般信息系统服务机构应承担更严格的合规义务。对此，《办法》从备案、安全保障以及合规体系构建等方面对信息技术系统服务机构提出了特殊的合规要求。而核心机构和经营机构的信息系统和基础设施一旦监管部门认定为CII，核心机构和经营机构将成为CIIO，相应的，CIIO也将承担更严格的法律义务。我们将在《证券期货业网络和信息安全及数据保护合规指引（下）——重点解读：信息技术系统服务机构和CIIO合规义务》中，梳理并解读信息技术系统服务机构与证券期货业CIIO的具体合规义务。
本文所述“证券基金经营机构”系指境内设立的证券公司和管理公开募集基金的基金管理公司。
《证券期货业网络安全事件报告与调查处理办法》
蔡鹏 律师
北京办公室 合伙人
业务领域：网络安全和数据保护, 知识产权权利保护, 合规和反腐败
特色行业类别：通讯与技术, 健康与生命科学
王梦迪
北京办公室 知识产权部
高维钊
北京办公室 知识产权部
《证券期货业网络和信息安全及数据保护合规指引（上）——监管目标及立法亮点》 《跨越AIGC合规上市之路（四）：知识产权合规篇》 《跨越AIGC合规上市之路（三）：数据合规与科技伦理篇》 《跨越AIGC产品合规上市之路（二）：资质证照篇》 《跨越AIGC产品合规上市之路（一）：算法备案与安全评估》
特别声明