開放銀行數(shù)據(jù)保護與合規(guī)實踐案例報告

4 5 5 5 6 6 8 8 9 9 14 18 21 23 28 31 34 35 39 40 4233 開放銀行數(shù)據(jù)保護與合規(guī)實踐案例報告一、背景與目標2021年11月，中國銀聯(lián)技術管理委員會開放銀行工作組發(fā)布家銀行的開放銀行服務都進行了業(yè)務場景的拓展與技術方案的更迭?；诖?，我們推出了本報告作為2021年報告的續(xù)篇，通過大量詳實的案例分析討論開放銀行落地所1中國銀聯(lián)技術管理委員會開放銀行工作組：《開放銀行數(shù)據(jù)保護與合規(guī)研究報告》，第5頁2中國銀聯(lián)技術管理委員會開放銀行工作組：《開放銀行數(shù)據(jù)保護與合規(guī)研究報告》，第44同行業(yè)場景下助推中小微企業(yè)數(shù)字化發(fā)展的服務模式。二、開放銀行數(shù)據(jù)保護合規(guī)要求概述開放銀行的數(shù)據(jù)處理基本原則指的是數(shù)據(jù)處理者在（二）數(shù)據(jù)收集合規(guī)7中國銀聯(lián)技術管理委員會開放銀行工作組：《開放銀行數(shù)據(jù)保護與合規(guī)研究報告》，第55當個人信息控制者停止運營其產(chǎn)品或服務時應當停（三）數(shù)據(jù)使用合規(guī)（四）數(shù)據(jù)傳輸合規(guī)8《信息安全技術個人信息安全規(guī)范》第5.4條9《個人金融信息保護技術規(guī)范》第4.2條將個人金融信息按敏感程度分為C1、C2、C3三個類別，C3類別敏感程度最高10《個人金融信息保護技術規(guī)范》第6.1.4.4條6677（五）數(shù)據(jù)存儲合規(guī)（六）其他最新法律法規(guī)JR/T0223-2021《金融數(shù)據(jù)安全數(shù)據(jù)生命周期安全規(guī)范》為金融數(shù)據(jù)安全評估的主要11根據(jù)《個人信息保護法》第四十條和《中國人民銀行關于銀行業(yè)金融機構做好個人金融信息保護工作的通知》要求，境內(nèi)收集和產(chǎn)生的個人信息存儲在境內(nèi)。12中國人民銀行JR/T0167-2020《云計算技術金融應用規(guī)范安全技術要求》6.1（a）。物理隔離，即服務金融行業(yè)的云計算數(shù)據(jù)中心在基礎設施層面與其他行業(yè)進行隔離，對物理服務器、網(wǎng)絡接入設施等均實現(xiàn)隔離。88三、開放銀行數(shù)據(jù)保護及合規(guī)落地案例（一）開放平臺的多平臺SDK方案13《數(shù)啟新篇，智贏未來——“數(shù)據(jù)二十條”對金融行業(yè)的影響與啟示》，普華永道，上海數(shù)據(jù)交易所99該技術方案主要體現(xiàn)了數(shù)據(jù)傳輸合規(guī)，《個人金融信息保護技術規(guī)范》要圖1JavaSDK加密通訊機制在有效期內(nèi)，基于token做安全通訊。圖2移動端SDK加密通訊機制取的token有效。后續(xù)所有交易，在有效期內(nèi)，基于token來做安全通訊。圖3JSSDK加密通訊機制生成token。然后對token和隨機數(shù)進行簽名；將簽名和token使用隨機密鑰進行應用方服務器解密獲得對token和隨機數(shù)，并進行驗簽，通過后，證明token安全可JSSDK收到token后，在有效期內(nèi)，基于token做有安全通訊。 圖4SDK安全管理機制（二）數(shù)據(jù)訪問控制安全平臺圖5系統(tǒng)整體架構圖6數(shù)據(jù)訪問控制安全平臺解決方案據(jù)在平臺建設過程中兩項具有代表性的技術創(chuàng)新過程（三）敏感信息標記化輸出個人用戶真實意愿的前提下保證共享經(jīng)濟平臺機構和民生銀行數(shù)據(jù)信息傳圖。標記化處理過程 圖9標記化處理邏輯（四）基于責任鏈的開放銀行數(shù)據(jù)保護及合規(guī)實踐圖10開放銀行數(shù)據(jù)保護責任鏈模型（五）服務開放平臺數(shù)據(jù)安全管控圖11服務開放平臺數(shù)據(jù)安全管控制度建設示意圖圖12服務開放平臺數(shù)據(jù)安全管控策略示意圖圖13服務開放平臺技術框架圖 圖14服務開放平臺數(shù)據(jù)交互安全技術設計圖+合作伙伴簽名密鑰securitykey1（六）開放銀行整合銀企直連的代發(fā)工資服務輸出基于銀行企業(yè)網(wǎng)銀客戶體系構建的銀企直聯(lián)模式已經(jīng)在一些地方面臨業(yè)務發(fā)圖15基于前置機/加密機的雙密鑰安全通訊架構 圖16密鑰交互流程交行通過設置API的不同等級來識別是否配套使用前置機或加密機模式，若使用前置機或加密機，開放銀行平臺需要在交易中通過鑒權中心CA系統(tǒng)的接口去驗證客戶的（七）信貸模型預測服務圖17商戶違約評分模型訓練圖18商戶違約評分模型正式線上服務（因涉及征信，需要持牌機構百行參與中轉）圖19商戶貸申請流程構建的聯(lián)合模型效果提升高達20%。（八）多方安全數(shù)據(jù)分析平臺與金融反詐應用準》（JR/T0025.17–2013）以實時/批量統(tǒng)計功能。（九）行司聯(lián)動提升風控能力圖20中銀消費行司聯(lián)動架構圖 圖21貸前審批模型圖22貸中風控模型融合，基于縱向聯(lián)邦學習XGBoost算法共建個人信貸風控模型。行司聯(lián)動“好客貸”圖23中銀消費“好客貸”申請流程圖（十）高價值戶識