信息系统处理的各种数据（用户数据、系统数据、业务数据等）在维持信息系统正常运行上起着至关重要的作用。一旦数据遭到破坏（泄漏、篡改、毁灭），都会在不同程度上危害到信息系统的正常运行。例如，年8月，某线上票务营销平台被发现存在安全漏洞，余万用户账户密码遭到泄露，该事件导致个人隐私信息泄露，对当事企业的名誉造成重大负面影响。人民银行发布《金融行业信息系统信息安全等级保护实施指引》是“金融行业信息系统等级保护”系列标准中的第一项标准。其中，金融行业增强安全保护类（F类）作为金融行业的增强性安全要求分布在S、A、G类的要求中，该类要求是在结合等级保护及金融行业相关规定的基础上进行补充和完善。本文将梳理金融等保标准中对于数据安全方面的要求，保证数据安全和备份恢复主要从：数据完整性、数据保密性和备份恢复三个控制点考虑。如下列举金融等保标准中“数据安全”条款原文，并对条款进行解读，解读文字描述直接在原文下面。A.“数据完整性”部分条款：◆应能够检测到系统管理数据、鉴别信息和重要业务数据在采集、传输、使用和存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。为了实现完整性检测，并在完整性错误时恢复，信息系统应提供在网络层、主机层、应用层的完整性检测和恢复措施，如在数字产品传递过程中采用数字签名技术，检测到错误后采用网络重发进行恢复。对于金融行业企业的对外WEB应用系统，需要进行网站监测，建议包括网页内容防篡改监测、网站钓鱼网站监测等措施。B.“数据保密性”部分条款：◆应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据采集、传输、使用和存储过程的保密性。为了实现数据保密性，需要在信息系统应用系统设计/验收文档中描述数据采集、传输、使用和存储过程的数据保密性相关防护措施。加密算法有对称加密算法和非对称加密算法，对称算法效率高速度快，主要用于对有效数据负载进行加密。同时，非对称算法主要对密钥进行加密，保证密钥传输的保密性，如HTTPS协议协商密钥建立连接，可采用TLS算法（非对称算法）加密密钥，防止中间人截包监听，保障数据保密性。另外，结合网络层、主机层、应用层的访问控制，如在身份鉴别、用户身份标识唯一性检查功能，共同保障数据保密性。C.“备份和恢复”部分条款：◆应提供本地数据备份与恢复功能，采取实时备份与异步备份或增量备份与完全备份的方式，增量数据备份每天一次，完全数据备份每周一次，备份介质场外存放，数据保存期限依照国家相关规定；实际工作应根据场景不同，分别考虑。补充三个场景，A.对于银行交易记录，人民银行、银监会、证监会、保监会发布的《金融机构客户身份识别及交易记录保存管理办法》第29条第2款：客户身份识别及交易记录，自交易记账当年计起至少保存5年。B.对于移动互联网应用程序（APP），国家网信办发布《移动互联网应用程序信息服务管理规定》第7条，移动互联网应用程序提供者应记录用户日志信息，并保存六十日；C.日常运维需备份存档各类信息安全产品相关日志和报表，建议为三级信息系统服务的信息安全产品的日志至少保存三个月，导出的报表也需妥善存档。◆应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地；信息系统应提供异地数据备份功能，具备定时、批量传送关键数据的功能。◆对于同城数据备份中心，应与生产中心直线距离至少达到30公里，可以接管所有核心业务的运行；对于异地数据备份中心，应与生产中心直线距离至少达到公里；实际工作应根据金融机构自身发展规模和业务现状，选择数据备份形式，应进一步依据行业监管单位的专项要求，如银监会《商业银行信息科技风险管理指引》条款要求。◆为满足灾难恢复策略的要求，应对技术方案中关键技术应用的可行性进行验证测试，并记录和保存验证测试的结果；◆数据备份存放方式应以多冗余方式，完全数据备份至少保证以一个星期为周期的数据冗余；◆异地备份中心应配备恢复所需的运行环境，并处于就绪状态或运行状态，"就绪状态"指备份中心的所需资源(相关软硬件以及数据等资源)已完全满足但设备cpu还没有运行；"运行状态"指备份中心除所需资源完全满足要求外，cpu也在运行状态。小结：绿盟君连续几期对金融等保标准中的网络、主机、应用、数据安全方面的重点条款做了解读，希望帮助读者了解等保的作用和要求及实施等保提供指南。依据金融等保标准要求，经过备案、安全规划建设、现状分析、整改和安全测评各阶段工作之后，通过测评的信息系统可具备多项信息安全能力(如下对应三级要求)：?在统一的安全保护策略下具有抵御大规模、较强恶意攻击的能力，抵抗较为严重的自然灾害的能力，防范计算机病毒和恶意代码危害的能力；?具有检测、发现、报警、记录入侵行为的能力；?具有对安全事件进行响应处置，并能够追踪安全责任的能力；?在系统遭到损害后，具有能够较快恢复正常运行状态的能力；?对于服务保障性要求高的系统，应能立即恢复正常运行状态；?具有对系统资源、用户、安全机制等进行集中控管的能力。