93号文 的总基 调是 ：" 发现一批、整改一批、通报一批、处罚一批 。" 推动金融机构数据安全从" 纸面合规 "转向" 能力落地 "，从" 科技部门兜底 "转向" 业务部门主体责任 "。

这不是例行公事的表态。在场的人应该都知道，2026年，金融数据安全要动真格了。

文件编号金办发〔2025〕93号《关于开展金融机构数据安全管理能力提升专项行动的通知》。如果说之前的数据安全法是搭框架、定规矩，慢慢弄的话，那93号文就是来查作业的。而且不是查你有没有写作业，是查你写的作业管不管用、有没有写对。

专项行动的时间线排得又紧又密：

• 2025年12月： 各单位立刻 搭专班，制定方案 。
• 2025年12月到2026年3月： 三个月 自查整改。 审计部牵头，信息科技、风险管理、业务部门全员上阵。能立即改的立刻改，改不了的出整改计划。对，元旦和春节，你的数据安全不会放假。
• 2026年4月到10月： 各金融监管局 下场做现场检查 。6月底前必须启动。金融监管总局还会从全国被查机构里抽一部分，搞交叉检查，被同行来查，那滋味比监管来查还难受。
• 2026年6月底： 总局启动国家ji网络安全专控队伍对所有参演机构进行渗透测试。不是走形式，是真打。
• 2026年10月到12月： 总结交流 。各机构12月10日前把材料报到属地监管局，监管局12月20日前报到总局。

覆盖范围涵盖：银行、保险、信托、理财、消费金融、汽车金融，全部覆盖。连省联社下面的二级法人、村镇银行、保险公司合作的中介机构都得拉进来。六类地方金融组织，小贷公司、融资担保、融资租赁、商业保理、典当行、地方AMC，有业务系统的，一个都跑不了。

换句话说：只要你名字里带"金融"俩字，你就得查，但93号文不是天上掉下来的。它是一连串事故逼出来的。

先看一组数字。

1️⃣ 2024年6月， 交通银行总行因"数据安全管理不足"等四项问题，被国家金融监督管理总局罚款 160万元；

2️⃣ 2025年6月， 交通银行辽宁省分行又因网络安全与数据安全违规，被中国人民银行警告并罚款 116万元。

3️⃣ 2026年6月、 苏州银行因涉及违反网络安全、数据安全管理规定等11项违法行为，被处以警告、通报批评，没收违法所得约40万元，罚款超721万元，合计罚没超 760万元。

监管部门密集出手， 被罚的原因不是被黑客打穿了，是 自己没管好 。数据分类分级没做完、敏感数据明文存储、外包开发人员权限过大、个人信息处理没告知用户。

安保部一位高管私下说了一句大实话："我们不是怕黑客来打，我们是怕监管来查。黑客来了我们还能说意外，监管来了你得把三年的制度文件全搬出来。"

而银行系统的数据安全现状到底怎么样？有一个尴尬到让人不想提的数据， 截至金融监管总局摸底时，全国金融机构中只有32%完成了全量数据分类分级。 也就是每三家机构里，有两家连自己有多少数据、哪些是核心数据、哪些是重要数据，都说不清楚。

有些银行的数据资产清单，是三年前外聘咨询公司出的一份Excel。咨询团队走了，表格再也没更新过。新增的业务系统、新采集的用户数据、新接的第三方API，全都成了清单之外的"影子数据"。

与此同时，暗网上的金融数据交易从来没停过。2024年5月，一个暗网论坛上挂出了一批"银行信贷客户数据"，20多万条，打包价比特币支付，卖家标注"2023年最新"。事后溯源，大概率是某外包开发商的测试库泄露，测试库里用的是生产数据，而且，没脱敏。

2023年，某城商行发生数据泄露，5万条客户信息流出。事后排查发现：数据存储服务器上某个共享目录权限被设成了"所有域用户可读可写"。运维人员自己都不知道什么时候改的配置，可能是某次紧急扩容时的临时操作。数据以CSV格式明文躺在那台服务器上，密码都没有。从泄露发生到安全团队发现异常，中间隔了八个小时。

这些事故的背后，指向的不是单一漏洞，而是一整套管理体系的系统性失位。数据资产不清楚、权限管理凭经验、分类分级写在纸上、应急处理停留在"发现异常联系安全部"。

93号文要解决的，就是这些东西。

100多项自查清单

93号文最让金融机构头疼的，是那份配套的 自查整改表， 六大领域、二十多个子类、一百多项检查条目。

它不是一个问卷。它是一个追问：你到底有没有做，做到了什么程度，拿什么证明。

打开第一页就明白了。表格的每一行都不是选择题，"本单位防范发生相关问题的策略或执行情况概述"，要求你写清楚 具体制度文件、规范、技防和人防措施 。 后面跟着的是"证明材料"列，需要你拿出文件编号、系统截图、审计报告来证实你说的每一句话。

六大领域，逐条拆开：

第一领域：数据安全治理

这是整个自查里问题最多的板块，典型机构自查下来，这里能翻出六七个问题，是六个领域里"命中率"最高的。为什么？因为治理是最虚的。

制度体系排查，你的制度覆盖了数据全生命周期吗？是写在Word文档里还是写进了业务流程？责任体系排查，主要负责人是第一责任人，分管领导是直接责任人，这话落没落到OA系统里？出过问题追过责吗？追了什么责？统筹机制排查，跨部门协调叫得应吗？数据共享审批流程跑了多久？

某农商行的案例很说明问题。这家银行2018年就做了等保合规，2020年通过了数据安全专项检查，但2022年痛下决心做数据安全制度体系设计的时候，发现之前写的制度 和实际业务流程完全脱节 。数据分类分级的制度写着"按JR/T 0197标准执行"，但操作人员根本不知道自己的数据属于哪一级。最后帮他们从零梳理，一次写了15个制度文件（1个一级、3个二级、10个新增三级、1个修订三级），外加36个四级操作文件。

一个农商行，能把数据安全制度体系从一个空壳补到五十多个文件。放眼全国，有多少金融机构还停留在"一个红头文件管全部"的阶段？

第二领域：数据分类分级

四个字总结就是：说不清楚。

自查表上的问题很具体，数据目录有没有覆盖全类型数据？核心数据和重要数据的识别是否精准？有没有动态调整机制？新建系统和存量系统的数据标签是否完整？标签是不是嵌入了全生命周期？，每一个"有没有"后面，都有一堆系统要去摸排、一堆表要去梳理。

当时某农商行做数据安全风险评估的时候，梳理了EAST系统和核心系统，覆盖了超过1000张表。一个农商行就是一千张表。一家中型商业银行，核心业务系统上百个，表的数量是万级。数据分类分级做到"精准有效"，这四个字背后的工作量，够一个五人小组干半年。

而那68%没完成全量分类分级的机构，在2026年必须在三个月自查期内拿出成果。三个月，对于一个十年没盘过数据资产的机构来说，就像要求在三个月内把你家二十年没整理过的阁楼全部编号归档。（ 地狱难度 ）

第三领域：数据全生命周期管控

这个领域的自查项最散，采集、存储、使用、共享、销毁，每一步都有坑。

采集环节：有没有超范围采集数据？银行App要用户授权通讯录权限的事，发生过不止一次了。存储环节：核心数据有没有加密存储？加密是做了，密钥在谁手里？使用环节：DBA的数据库权限有没有做到最小化？一张select *就能把全量客户数据导到本地。共享环节：数据给外部机构的时候，是通过集中管理的外联平台，还是微信群传了个Excel？

某信用社当时做安全检查时发现的一个经典问题，某分行开发测试环境里用的数据，就是生产数据的直接拷贝。没脱敏，开发人员、测试人员、外包供应商都能看。这些数据如果从某个外包开发人员的笔记本上流出去，银行可能过了几个月都不知道。

第四领域：技术防护能力

这里查的不是"有没有防火墙？"而是更底层的东西。

技术架构方面：纵深防护体系健全吗？零信任架构落地了吗？防护工具有效吗？，这不是买几台盒子能解决的。新兴技术风险方面：用了大数据和AI的场景，安全评估做了吗？训练数据的防护到位吗？模型的输出有没有被恶意投毒的风险？应急处置方面：应急预案可操作吗？有没有做过实战演练？RTO/RPO达标了吗？

某省联社2021年开始做下辖82家分行的数据安全检查，每年巡查，持续三年。他们把检查指标定了九大类，从管理制度到数据访问控制、从防泄漏到备份恢复、从脱敏到介质管理，每一项都有分数，满分100分。检查团队分四组，每组配备专业技术人员，全程用DCAS系统记录，自动输出检查报告和PDF文件。

一个省联社能做到的事情，全国有多少机构在做？

第五领域：个人信息保护

自查表上这个板块很细。细分到"处理个人信息前，是否真实、准确、完整地向个人告知处理目的、处理方式、处理的个人信息种类"。这里有个现实难点，多少银行的隐私政策，用户真的能看懂？不是"内容含糊、表达繁复、难以理解"，是用户根本不看。但93号文不看"用户看不看"，只看"你有没有写清楚"。

还有更头疼的，委托第三方处理个人信息时，合同里有没有明确受托人的保护义务？有没有有效措施监督受托人？记得某网络借贷公司：一家有6000万注册用户的互联网金融公司，业务场景覆盖注册登录、实名认证、风险审核、征信查询、贷后管理，每个环节都在采集个人信息，每个环节都涉及第三方。它做一个个人信息保护影响评估，光梳理业务场景和数据流就要画一张密密麻麻的全景图。

第六领域：数据安全监测与处置

风险监测、风险评估、应急响应，这个领域在自查表上看起来问题不多，但这里有个悖论：没发现问题，不代表没风险。有些机构的"零问题"，可能是因为监测能力太弱，根本发现不了问题。

"以前是靠觉悟，以后是靠制度"

93号文跟之前所有数据安全政策最大的区别，不在于要求更多，而在于 验证方式变了 。

2021年的《数据安全法》给出了框架。2024年的金规24号文给出了具体义务。但93号文问的不是"你有没有"，而是"你的好不好用"。

怎么验证？三管齐下：

第一管：自查整改。 各机构对着100多项清单，逐条写清楚自己做了什么、拿什么证明、发现哪些问题。三个月内完成。自查不是走过场，"同一问题不能重复填"，说明监管已经预判到了有人会拆成不同条目填同样的答案来凑数。

第二管：现场检查。 2026年4月起，各金融监管局进场。不是看你写的什么，是看系统里有什么。审计痕迹不会骗人，你说数据分类分级做完了，但你数据库里的标签还是空的；你说权限管控到最小化，但你DBA账号还能 select * 全库。一问就知道。

第三管：渗透测试。 2026年6月底，国家ji网络安全专控队伍出动，对所有参演机构做攻防演练。这是最狠的一刀，制度可以写得很漂亮，系统可以部署得很整齐，但红队一打，能不能防住，全暴露了。

"发现一批、整改一批、通报一批、处罚一批"，最后那个"处罚一批"不是吓唬人的。根据93号文的安排，"对存在重大数据安全风险的机构实施行政处罚"。处罚不是目的，但处罚是让剩下的机构认真起来的最快方式。

结语

93号文不会让任何人好过，银行的信息科技部在加班。审计部在加班。风险管理部在加班。外包厂商在加班。

但加班不是为了通过检查，是终于有一个外部压力，逼着所有人去面对那些过去能用"业务太忙、预算不够、领导没批"来搪塞的问题。这些问题在每一份风险评估报告里都写了，在每一次数据泄露事件的复盘里都出现了，但从来没有被真正解决。

因为它们太难了。做数据分类分级，需要把几千张表、几万个字段逐个标级，这不是技术问题，是体力问题。做权限最小化，需要把过去十年积累的"为了方便全开"的权限体系逐一收紧，这不是安全问题，是组织变革问题。做应急演练，需要协调多个部门、模拟真实场景、记录每一个动作的耗时，这不是合规问题，是管理意志问题。

93号文的意义，就是用监管的力量，把一个行业的陋习往回推。

从三十年前银行开始信息化到今天，金融数据的规模增长了几个数量级，但数据安全的治理水平一直是以"不出事"为底线。现在这个底线被93号文抬到了， "不出事不够，你得证明你不会出事" 。

对于金融机构，注定2026年的每一天都不会太轻松。但对于每一个把银行卡号、身份证号、征信报告交给金融机构的普通人，93号文是一道迟到了太久的护城河。