切实加强商业银行客户信息保护

□傅怀阳

切实加强商业银行客户信息保护

□傅怀阳

在大数据和互联网金融时代，客户信息不仅是银行经营中积累的重要资产，而且与客户的个人财产安全息息相关。近年来，银行业频频发生客户信息泄露的事件，让公众震惊和忧虑，也说明商业银行客户信息保护工作亟待加强。

一、商业银行客户信息保护的必要性

（一）客户信息保护是外部监管对商业银行的基本要求。为了规制商业银行非法收集、使用或者泄露客户信息等问题，监管机构相继出台了许多法律法规。《商业银行法》和《个人存款实名制规定》中明确了银行为储户保密的责任；2005年人民银行发布的《个人信用信息基础数据库管理暂行办法》中首次对客户信用信息的保密做出规定；2007年“一行三会”联合制定《金融机构客户身份识别和客户身份资料及交易记录保存管理办法》，要求金融机构妥善保存客户身份资料和交易记录；2009年颁布实施的《中华人民共和国刑法修正案（七）》中对侵犯公民个人信息进行立法，明确对出售或者非法泄露客户信息行为的刑罚；2011年人民银行发布《关于银行业金融机构做好个人金融信息保护工作的通知》，对客户信息保护作出具体规定，要求银行在收集、保存、使用、对外提供个人金融信息时，应采取有效措施保护客户信息；2014年开始实施的《新消费者权益保护法》进一步对经营者收集、使用消费者个人信息等作出了规定，并对客户信息相关的侵权行为界定了法律责任。因此，为了满足监管的要求，必须建立完善的客户信息保护机制。

（二）客户信息保护是商业银行自身防御风险的重要手段。商业银行经营中面临形形色色的风险，其中违规收集、使用或是泄露客户信息，将会造成极大的操作风险、法律风险和声誉风险。就操作风险来说，黑客入侵系统引起的外部欺诈、员工非法盗取客户信息造成的内部欺诈以及经营中泄露客户信息等，都会给银行带来极大的损失。就法律风险来说，我国已经初步形成了包括民事、行政和刑事保护在内的客户信息保护法律体系，侵犯客户信息权益将会给银行员工和单位带来民事侵权、行政监管和刑事责任风险，并可能升级成诉讼风险和财务损失。就声誉风险来说，客户信息的泄露会给公众留下内部管理混乱、缺乏诚信、责任感缺失等印象，信任危机会像挤兑一样极具传染力，严重影响银行的社会形象和稳健发展。鉴于客户信息保护不善所带来的重大风险，客户信息的安全管理成为商业银行防御风险、稳健经营的重要手段。

（三）客户信息保护是商业银行亟待解决的现实问题。客户信息的泄露不仅严重影响了银行的声誉和形象，而且给客户的资金造成了损失。近年来，银行客户信息泄露的案件急剧攀升，以下列举了银行客户信息泄露的典型案例。

案例一：员工利用工作之便非法出售客户信息。2011～2012年期间，某银行的客户经理利用职务便利，使用征信查询系统查询他人征信报告，并向不法分子出售征信报告共千余份，从中获利10余万元。不法分子利用获得的征信信息中的客户信息，拨打银行客服电话修改了信用卡密码，造成8名客户损失达20余万元。

案例二：银行信息保管不善导致客户信息泄露。2009年，在某废品收购站发现，某支行客户资料的抵押合同和房产证复印件被作为废品变卖。其中有些资料上还盖有鲜红的印章，客户的家庭住址、联系方式、个人财产等信息一览无余。按照银行资料保存的相关规定，一般的客户资料保存期限至少应为5年。该抵押合同尚在保存期之内，却被随意丢弃。另外，即使是超过保存期限的客户资料也应作粉碎处理而不是被当废品变卖。

案例三：业务外包疏于管理导致客户信息被窃取。某银行ATM设备维护服务商工作人员对该行ATM机跨行交易信息进行维护期间，利用工作便利获取大量银行客户信息。其离职后买了2台磁卡读写机，1000余张空白磁条卡，利用自己获取的银行用户信息伪造大量密码为“888888”的银行卡。至公安机关审理查明前，该名ATM维护员持伪造的银行卡在江苏南京、安徽马鞍山等地银行取款30余万元，致使多家银行的客户资金被盗。

二、当前商业银行客户信息保护存在的问题

（一）客户信息的收集环节。收集环节作为商业银行接触客户信息的起点，常常是风险源头的体现。一方面，客户信息的收集渠道不合法。为了完成考核目标或是争取绩效表现，一些银行员工可能会通过非法买卖、秘密收集等方式，从行内或行外获取客户信息。非法渠道获取客户信息的行为不仅会引起客户的质疑和不满，而且很可能带来客户资金损失的风险。例如，某银行员工为了完成信用卡办理任务，从他行员工手中盗买客户信息，在未经同意下为客户开卡，最终导致客户信用卡的恶意透支。另一方面，客户信息的收集过程不隐蔽。在客户填单、业务受理及理财咨询等过程中，客户信息几乎处于完全开放的环境中，未能较好地保证采集过程的隐蔽性和安全性。

（二）客户信息的保管环节。一是员工信息安全意识淡薄。一些员工未认识到客户金融信息是银行的重要资产，在日常交往中随意向行外人员或行内无关人员透露客户信息。还有一些员工在完成急、难、重任务时，未能正确处理业务发展和防范泄露客户信息风险之间的关系，简化保密程序。比如，员工临时离岗时，门不关、橱柜不锁、文件不收，任他人随意翻阅；办公电脑缺乏必要防护措施，未设置密码或密码设置过于简单。二是纸质客户资料保管混乱。因业务繁忙，有的员工可能会将客户资料随意摆放、任意丢弃或带到与工作无关的场合。前台采集或是业务流程中调阅的客户信息未能及时归档，也是造成客户信息泄露的风险点。三是电子数据存储安全欠缺。商业银行的有些机构未能对办公电脑USB接口和内网端口的使用做有效控制，在连接互联网计算机上存放客户信息相关的密钥、文件、数据等资料，存在客户信息通过光盘、U盘、互联网等途径外泄的可能。

（三）客户信息的使用环节。一是客户信息使用的权限控制不足。目前银行涉及客户信息的内外部系统较多，为了方便操作和管理，相关客户信息对经办人员几乎全部开放而未加任何授权控制。有的系统虽然规定了用户准入，但实际存在多人共用一个注册用户，导致防范信息泄露的对象多、难度大。二是客户信息使用的流程控制缺陷。查询、调阅、打印或复印客户信息时，既未要求主管审批，也未要求逐笔登记查询用途，相关人员可脱离业务需求随意查询客户信息。另外，许多涉及客户信息的系统既未能提供查询记录的留痕功能，也未能封闭相应的复制和截屏功能，导致泄露客户信息的风险剧增。

（四）银行业务的外包环节。一是系统软件开发未隔离。与系统开发外包商合作时，未能有效将系统中的客户信息与软件服务商隔离，未严格限制外包开发人员访问涉及客户信息的系统，存在外包服务商窃取客户信息的隐患。二是自助设备维护欠监控。自助设备维护服务商不具有足够的守法意识与内控能力，在为银行提供服务时可能发生客户信息泄密，银行对服务商作业过程监控不足。三是第三方支付服务不规范。部分银行的银行卡在开通第三方支付服务时，被服务商截留住了重要客户信息，因而出现未经安全认证即可执行资金交易的情况。另外，第三方支付服务机构安全性较差，也存在银行卡客户信息泄露和资金安全风险。

三、加强商业银行客户信息保护的对策

（一）客户信息的内控机制。商业银行应尽快建立健全客户信息保护的内控机制，对客户信息的收集、保管、使用的生命周期管理做出统领性和指导性的安排，切实确保客户信息的安全。首先，强化员工风险防范和保密意识。商业银行应把信息安全作为合规教育的一项必讲内容，各条线部门要将客户信息保密要求纳入培训计划。各级行、各部门要开展客户信息保护的宣传教育，充分利用集中学习、经营分析会、业务培训、网点晨会等场合，认真组织学习相关制度规定，提高广大员工的客户信息保护意识。其次，建立客户信息安全管理的组织体系。商业银行要形成分工合理、责任明确、一级抓一级、层层抓落实的客户信息安全防控网络。一是成立组织。形成专业化的个人信息管理组织，配备专职的个人信息保护人员，分析研究客户信息安全的薄弱环节，负责协调解决突出问题。二是明确职责。各部门要认真梳理本条线客户信息保护的规章制度和信息系统，明确客户信息保护的操作要点，指导员工主动合规。再次，落实客户信息安全管理的监督机制。一是各级行、各部门要结合员工行为排查，定期对客户信息管理情况进行专项检查。二是各业务条线要将客户信息安全管理工作纳入条线尽职监督范围，重点关注是否存在无合理需求的查询、下载、打印客户信息等风险行为。运营管理部门要加强对营业网点客户资料保管情况的检查，信息科技部门要加强办公设备安全管理制度落实情况的检查，安全保卫部门要利用监控录像等手段检查员工有无通过手机拍照或摘抄等方式窃取客户信息。三是内控合规部门要结合内控评价对各级行、各部门客户信息安全管理工作进行监督评价，评价结果纳入对分、支机构内控评价和部门内控合规管理考核。

（二）客户信息的收集机制。为了保证客户信息收集的合法性和安全性，商业银行应建立相应的制度以确保在这一阶段工作的适当性。一是收集途径的合法性。应采用法定的方式收集客户信息，如通过客户自愿提交、恰当适度营销、业务办理及有权部门提供等方式，而不能采取私下买卖、秘密收集等非法手段获取客户信息。二是收集过程的隐蔽性。应采取适当的措施保障客户信息收集过程的私密性，如通过设置等候线、柜台屏风等物理设施确保客户信息收集环节的隐蔽和安全，避免客户信息在收集环节出现泄露与扩散。

（三）客户信息的保管机制。鉴于客户信息的私密性和重要性，商业银行应在客户信息的保管环节加强控制，保障客户信息的安全。一是强化员工日常行为的管理。涉及客户信息的岗位员工须签订保密协议，明确员工的保密义务、违规责任及惩处规定。强化柜面工作纪律，严禁柜面人员在工作期间使用手机等电子设备进行拍照、扫描。二是加强纸质客户资料的保管。对于载有客户信息的纸质资料，需建立集中文件档案仓库来保管。应当集中保管的客户资料须及时移交，移交前应入库保管；应当销毁的客户资料须及时销毁，不得随意丢弃。客户办理业务时所遗留的身份证、户口薄、其他权证等资料复印件，必须立即作彻底性粉碎处理。三是确保电子数据存储的安全。严格控制办公室的内网端口和办公电脑的USB接口，严禁办公电脑连接外部互联网，谨防内部客户信息泄露。应综合运用先进的身份识别与认证、数字签名、数据加密、防火墙、第三方认证等技术并及时更新，及时评估对信息系统可能遇到的各种技术风险，确保客户信息电子数据存储的安全。

（四）客户信息的使用机制。一是合理配置客户信息使用的权限。应全面分析各岗位的工作性质、客户信息需求、操作行为习惯以及可能泄密的渠道，按照“必须知道”和“最少够用”原则，合理配置各岗位接触客户信息的权限，确保客户信息的使用严格限定在正常业务需求范围内，严禁脱离业务需求查询或使用客户信息。二是严格控制客户信息使用的流程。必须建立健全客户信息档案使用流程，查询、借阅、打印或复印客户信息资料时，必须经有权人批准并验明身份，并如实登记用途。通过人行征信系统或C3系统查询客户信息，所查信息必须与所办业务关联，且须逐一登记查询用途，系统后台要对查询过程留痕；查询客户账号、余额等信息，如非客户本人持卡、凭密码办理的，必须经过2级主管授权；对于重要的客户信息，应用系统设计必须能够完整记录用户访问、处理、删除等操作环节，以备监督检查。

（五）银行业务的外包机制。除了注重收集、保管和使用环节的客户信息保护外，商业银行还应重视外包服务商的客户信息保护意识、保护能力及责任承担能力，加强业务外包中客户信息的安全管理。一是完善外包服务商准入制度。商业银行在选择外包服务商时，应严格把好准入关，尽职调查外包服务商的管理能力、运营规模、行业信誉、赔付能力、损失转移机制等内容，避免因外包服务商的资质能力、内部管理等问题，导致客户信息泄露。二是签订客户信息保护协议。服务提供商确定后，应与其签订服务外包合同，明确保密范围、泄密责任、防范措施及赔付标准等内容，并要经过法规部门审查，确保外包服务商的服务在银行的监控范围内。协议中应严禁外包服务商摘抄和携带涉及客户信息的资料离开工作场所。三是加强后续跟踪管理。通过定期、不定期现场检查以及回访客户等方法，及时了解外包服务商的管理水平、能力，督促其严格履行客户信息保护的义务。合同终止后，应对外包服务商掌握的客户信息进行彻底控制和清理。

（作者单位：农业银行江苏省分行）