数据安全管理架构
人保财险建立了由公司党委、董事会负责、牵头管理部门组织、总公司各职能部门及各级分支机构各负其责的数据安全管理架构体系。其中，党委、董事会对公司数据安全工作负主体责任，负责研究审议重大数据安全工作事项。具体分工方面，公司成立了网络和数据安全领导小组，由公司党委书记、总裁任组长，党委委员、分管科技运营工作的公司领导任副组长，公司其他党委班子成员、首席合规官、首席风险官、审计负责人为领导小组成员。组长为公司数据安全第一责任人，副组长为公司数据安全的直接责任人，并担任个人信息保护负责人。网络和数据安全领导小组负责贯彻落实数据安全、个人信息保护等相关法律法规和监管要求，审议数据安全战略规划，审批重大数据安全工作事项。公司各部门主要负责人为本部门数据安全第一责任人，各分公司主要负责人对本机构数据安全承担主要责任。
数据安全保护政策
人保财险按照“谁管业务、谁管业务数据、谁管数据安全”的原则，制定了覆盖所有业务条线、适用于全系统所有分支机构的数据安全保护政策，包括《中国人民财产保险股份有限公司数据安全管理办法》《中国人民财产保险股份有限公司数据分类分级规范》《中国人民财产保险股份有限公司数据生命周期安全规范》《中国人民财产保险股份有限公司数据安全事件应急预案》《中国人民财产保险股份有限公司第三方合作业务数据安全管理规范》等。公司各部门既是数据使用需求部门，也是所辖业务领域数据的属主管理部门，负责落实数据安全保护措施，开展数据处理活动安全风险评估和监测。各分公司负责本地记录存储的数据、分公司发起与其他机构合作项目中对接提供的数据、统颁系统分公司用户查询下载使用等数据的数据安全。公司统筹规定了与第三方数据合作、数据出境等场景数据安全保护要求，规范了数据收集、传输、存储、访问、导出、展示、开发测试、汇聚融合、委托处理、共享、共同处理、删除和销毁全生命周期分类分级保护策略。
主被动相结合的数据安全防护措施
主动措施：构建网络和数据安全保护技术体系，提升数据安全保护能力。周期性开展漏洞扫描、渗透测试，及时发现并修复网络和信息系统漏洞。部署数据库脱敏平台，落实测试环境数据脱敏和数据库访问动态脱敏策略。通过桌面管理、上网行为管理等安全工具，加强对终端数据外发通道的安全管控。实施办公网和互联网隔离，部分关键岗位终端进一步实施办公网和数据中心网络隔离，防范潜在的数据泄露风险。常态化开展钓鱼邮件演练，提升全员安全防范意识。相关工作情况纳入公司绩效考核体系，有效推动各项措施落地见效。
被动措施：建立健全网络和数据安全风险监测、事件处置等运营机制，持续提升风险预警和安全事件处置能力。采用防火墙、入侵检测系统、恶意代码防护系统等措施加强网络攻击防护，构建覆盖互联网边界、数据中心内部边界、关键路径节点和主机计算环境的网络安全监控体系，实现7×24小时常态化网络安全监控运营。利用邮件数据防泄露平台、应用数据安全审计平台、数据库审计平台等多种技术工具，针对敏感邮件外发、应用接口数据交互、数据库访问行为等开展风险监测。制定数据安全事件应急预案，明确事件处置机制和流程，组织开展应急演练，确保事件发生后快速、有序处置。
数据保护保障机制
在产品设计、定价、核保、理赔等产品与服务全生命周期流程中，人保财险依法依规开展数据处理活动，落实数据安全要求，加强数据安全保护。坚持“合法、正当、必要、诚信”原则收集数据，并采取与数据级别相匹配的数据安全管理措施和技术手段，保障数据安全。涉及从外部数据供应方、合作方获取及引入数据的，事前对数据来源的真实性、合法性进行调查。严格规范账号和权限管理，执行岗位权限映射标准，通过系统刚性管控，实现“人、岗、码、事、责”相统一。对相关环节数据应用实施审批管理，确保与数据收集约定一致，并按“最小必要”原则确定数据访问应用规则。相关环节涉及数据外发第三方的，通过协议等约定数据安全保护义务，并事前开展数据安全评估与数据外发审核，评估、审核数据外发的合法合规性、必要性、安全性等。
数据安全审计
信息安全独立外部审计：每年聘请第三方会计师事务所开展财务及内控审计，其中包含信息技术一般控制、信息安全、应用控制等审查内容。
信息安全内部审计：每两年至少开展1次信息科技专项审计，覆盖信息安全、业务连续性、科技外包、移动应用、运行维护、开发测试、科技治理、科技风险、重大科技事件等内容。
数据安全管理认证
人保财险秉持体系化管理理念，积极推进ISO/IEC 27001信息安全管理体系认证、个人金融信息保护能力认证审核，对照标准持续优化完善制度体系、技术措施、教育培训及监督考核机制，不断提升信息安全管理、个人信息保护能力。2025年、2026年，人保财险顺利通过ISO/IEC 27001信息安全管理体系及个人金融信息保护能力（II 级）的年度监督审核，认证资质持续有效。
供应商数据安全管理
人保财险高度重视供应商信息安全风险管理，将供应商信息安全纳入整体安全风险管控范畴，通过制度建设、责任约束、技术管控、宣导监督、现场检查多维度开展风险防控。
制定发布《中国人民财产保险股份有限公司信息科技供应链安全管理规范》，明确信息科技供应链安全管理职责和要求。通过采购需求、合同条款、安全承诺等形式将供应商信息安全职责予以固化。针对具有数据交互场景的供应商采购和业务合作，在合同或协议中添加数据安全条款，明确双方数据安全保护责任和义务；在合作项目实施前，开展个人信息保护影响评估、数据安全评估，加强对合作机构系统安全性的评估审核，最小化数据传输范围；与合作机构系统对接时，采用接口鉴权、HTTPS安全传输协议、IP地址白名单、数据传输日志记录等措施加强对接过程数据安全保护。组织开展重要供应商安全宣导与自查工作，向供应商传达国家在网络安全、数据安全领域的最新法律法规与监管要求，自查覆盖供应商产品漏洞修复、供应商人员账号权限管理、供应商数据安全保护情况等。针对重要信息科技外包定期执行现场检查，基于合作内容，对供应商网络与数据安全措施落地情况进行实质性评估与审验，推进供应商持续补全网络和数据安全防护短板，确保风险可控、合规经营。
数据安全培训
人保财险高度重视员工及供应商的网络和数据安全培训，建立分层安全培训体系，针对不同岗位精准施策、分类施教，每年结合实际制定专项培训计划并有序实施，不断强化人员安全意识，构筑全员安全防线。对于违反法律法规、监管规定或公司信息科技风险管理相关要求的，视违规情节轻重及造成后果等情形，公司会根据《员工违规行为处罚实施细则》进行问责处罚。
网络和数据安全培训内容
全体员工：
科技岗位：
供应商数据安全管理
2026年，人保财险已累计开展网络与数据安全培训和教育宣导20余次，举办2026年网络和数据安全宣传周活动，组织全员签署网络安全承诺书，开展三次钓鱼邮件演练，演练人员覆盖率100%，全员网络和数据安全意识持续提升。
针对供应商与合作伙伴，在合作前向供应商明确告知行为准则，供应商必须遵守信息隐私保护的法律及法规。由我公司提供的所有信息，或与我公司的业务往来期间所获取的所有信息，应被视为商业秘密、敏感及专有信息。供应商只有经授权或按照法律规定方可披露相关信息，且不得向未经授权的第三方或公众披露相关信息。
APP下载
官方微信
官方微博服务号
官方抖音 
