中经记者慈玉鹏北京报道

　　为加强银行业金融机构、保险业金融机构和金融控股公司网络安全监督管理，规范网络安全工作，金融监管总局起草了《银行业保险业网络安全管理办法（征求意见稿）》（以下简称《办法》），近日面向社会公开征求意见。

　　《中国经营报》记者采访了解到，《办法》出台标志着金融业网络安全治理从“合规驱动”正式迈入“责任驱动”与“实战驱动”并重的新阶段，其突破性在于构建了网络安全主管部门、网络安全风险管理部门、审计部门“三道防线”，明确了权责清晰、覆盖全面、分级管理的现代化治理体系。

　　明确多层责任人

　　《办法》总体要求指出：“金融机构应当依法履行网络安全保护义务，建立网络安全治理架构，构建网络安全管理体系，开展网络安全风险管理，与业务连续性管理、外包风险管理、数据安全管理等体系机制有效衔接，将网络安全风险纳入全面风险管理，确保网络安全管理能力有效支撑业务安全稳健运行。金融机构应当将境内外分支附属机构网络安全工作纳入整体网络安全管理体系。金融机构应积极配合公安机关、国家安全机关依法开展网络安全保卫、防范违法犯罪活动和监督检查，并提供必要技术支持和协助。”

　　值得注意的是，《办法》要求金融机构建立网络安全责任制，党委（党组）、董（理）事会对网络安全管理工作负主体责任。金融机构主要负责人为网络安全第一责任人，分管网络安全的领导班子成员（高级管理人员）为直接责任人。金融机构应当明确各层级网络安全责任，明确违规情形和责任追究事项，落实问责处置机制。

　　长三角科技产业金融研究联盟秘书长陆岷峰告诉记者，《办法》最大的亮点之一是确立了“党委（党组）领导下的网络安全负责制”，并且将主要负责人的责任法定化，这就从根本上解决了长期以来网络安全在董事会层面“听得多、议得少、责不明”的治理上的难题，迫使管理层将网络安全视为与信贷风险同等重要的生存底线。

　　中国银行（601988.SH）深圳市分行大湾区金融研究院高级研究员曾圣钧告诉记者，网络安全的责任体系从“技术层面责任”升级为“治理层面工程”，首次以规章形式明确“金融机构主要负责人为网络安全第一责任人”。过往监管文件多将网络安全归口于信息科技部门，责任停留在技术层面。《办法》第七条明确规定：党委（党组）、董（理）事会负主体责任，主要负责人是第一责任人，分管领导是直接责任人。这一规定将网络安全从科技条线工作提升至公司治理层面，相较以往政策，适用范围也从数据安全扩展至整个网络安全领域，力度更大。

　　同时，《办法》正式确立 “三道防线”协同共治机制，以法定形式明确三道防线的独立职责与协同关系。曾圣钧告诉记者，网络安全主管部门（第八条）作为第一道防线，负责归口管理、技术保障、应急协调；网络安全风险管理部门（第九条）作为第二道防线，明确要求 “保持独立性”，负责风险识别、评估、计量、监测；审计部门（第十条）作为第三道防线负责网络安全审计，允许委托第三方机构。《办法》从制度层面强制风险管理与审计职能独立，构建“决策—管理—执行—监督”的完整闭环，体现“大网络安全”治理理念。

　　曾圣钧还指出，《办法》实现全集团统一管理与穿透式监管，境内外分支附属机构全部纳入统一管理体系。《办法》第四条明确要求，将境内外分支附属机构网络安全工作纳入整体网络安全管理体系，风险评估、渗透测试范围必须覆盖境内外分支机构和附属机构（第四十一条）。这针对了部分金融机构以往“总部严、子公司松”“境内严、境外松”的管理断层问题。

　　值得注意的是，《办法》针对关键信息基础设施（CII），设置了比一般机构严的保护标准。陆岷峰指出，《办法》不仅强制要求境内运维、7×24小时监测及年度攻防演练，更明确了“1小时上报”的应急响应时限，这种“抓关键少数”的监管思路，有效应对了金融基础设施故障可能引发的社会性“多米诺骨牌效应”。因此，《办法》目前已经将网络安全工作，从一个单纯的技术运维议题，已经上升到法人治理的核心议题，从而为金融数字化转型筑牢了制度底座。

　　或可实施差异化分类指导

　　近年来，金融网络安全建设愈发重要。

　　从风险特点上看，陆岷峰指出，供应链“投毒”风险日益凸显，金融机构对第三方服务商及开源组件的依赖度极高。Log4j类漏洞的爆发暴露出，单一组件缺陷足以引发全局性瘫痪，且外包人员权限管理失控已成为数据泄露的高频诱因。同时，API接口安全成为新的短板，在开放银行模式下，账户、支付、风控等核心能力通过API向外输出，“内网”概念被彻底击穿，攻击者往往利用API未授权访问或业务逻辑漏洞，绕过传统防火墙进行批量数据爬取或发起撞库攻击，这类行为常被误判为正常业务流量而难以察觉。

　　一位地方银行人士表示，勒索软件攻击正从“加密勒索”转向“数据窃取+敲诈勒索”的双重勒索模式，加之APT组织对国家金融基础设施的长期觊觎，使得网络安全威胁不仅关乎数据保密，更直接关联国家经济安全与社会稳定，这对金融机构的动态防御能力提出了一定挑战。

　　而《办法》的推出，能够助力金融网络安全建设完善。但与之同时，落地或存在一定问题需要破解。

　　陆岷峰指出，《办法》提供了较为完善的制度框架，但在落地执行层面，中小金融机构的资源禀赋与监管要求之间的错配及跨部门协同的“软性壁垒”，是当前推进工作中的最大难点，需要通过差异化监管与内生机制改革来加以化解。

　　陆岷峰表示，目前众多城商行、农商行及小型保险机构，面临着“一把手有责无权、科技部门有人无力”的窘境，由于受到预算有限与技术人才匮乏等原因，很难独立搭建符合《办法》要求的威胁情报分析系统与灾备体系，也容易掉入“纸面合规”的形式主义陷阱中。同时，“业务为先”的传统惯性也可能导致安全防线难以前置，业务部门为抢占市场往往要求“特事特办”，在安全审查上寻求豁免，致使第九条要求的风控独立性在执行中被稀释，从而形成“业务跑得快、安全追不上”的内耗局面。除此之外，针对重大事件“1小时上报”的硬性指标，对于机构的监测预警与研判能力也提出了极高要求，中小机构往往因缺乏自动化工具而错过最佳处置窗口。

　　而在曾圣钧看来，政策实施过程中或面临的难点包括：一是治理架构重塑成本较高。涉及部门重组、权责重新划分、利益格局调整，组织变革会有阻力。二是适配的专业人才短缺，网络安全人才供需缺口巨大，既懂金融业务又懂安全合规管理的复合型人才尤为稀缺。三是存量系统改造任务繁重，大量存量信息系统建设年代久远，安全基线不达标，网络架构不符合安全域划分要求，访问控制策略粗放。全面整改涉及系统重构、网络改造、数据迁移，投入大、周期长，且不能影响正常业务运营，实施难度高。

　　曾圣钧建议，金融机构突破路径建议顶层设计先行，分步推进架构重塑。根据《办法》要求优化高层议事决策机制，明确建立“党委（党组）—董（理）事会—主要负责人—直接责任人”的责任体系，并与考核评价机制相衔接；同时，强化网络安全主管部门、风险管理部门、审计部门的职能与职责，制定三道防线网络安全责任清单，完善跨部门协调工作机制；分级分类推进技术体系建设，优先保障关键信息基础设施和核心业务系统达标，按系统重要性分批次整改，重构网络安全架构，逐步替代传统边界防护模式。

　　陆岷峰则建议，监管层应当实施差异化的分类指导，或可允许中小机构通过加入行业联合安全运营中心（SOC）或采用监管认可的云服务来履行部分条款；机构内部则需重塑考核激励机制，将安全合规指标纳入业务部门KPI，确立风险管理部门的“一票否决权”，并通过常态化的“不预告”实战攻防演练，将《办法》书面规定的要求转化为全员的自觉行为，真正实现从“被动合规”向“主动防御”的质的转变。