金融数据中心安全建设实施指南.docxVIP

金融数据中心安全建设实施指南

本指南依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《信息安全技术网络安全等级保护基本要求》GB/T22239-2019、《金融数据安全数据生命周期安全规范》JR/T0197-2020、《金融数据中心安全基本要求》JR/T0197-2020等现行法规标准编制，旨在统一持牌金融机构数据中心的安全建设落地口径，覆盖新建、改扩建、存量改造三类建设场景，全面匹配金融行业网络安全合规要求，有效防范数据泄露、网络攻击、业务中断等各类安全风险。

第一章总体建设原则与适用范围

一、总体建设原则

（一）三同步实施原则

所有金融数据中心安全建设环节严格落实同步规划、同步建设、同步使用要求，安全投入占数据中心项目总建设投入的比例不低于8%，安全专项方案评审必须在基础架构施工启动前15个工作日完成，安全设施未经过验收的场景下，核心业务系统不得上线运行。严禁建设过程中先搭建基础环境再补做安全改造的逆向流程，避免出现架构层面无法修复的安全短板。

（二）分级匹配防护原则

按照金融数据的敏感级别、业务系统的重要程度匹配对应安全能力，承载核心支付交易、客户生物特征信息的核心生产区防护等级不低于网络安全等级保护四级要求，承载非核心办公、公开信息发布的一般业务区防护等级不低于网络安全等级保护三级要求，不同级别区域的安全能力不得出现降