ICS 35.240.40 CCS A11 YD 中华人民共和国通信行业标准 YD/T XXXX—XXXX 可信数据服务 金融机构外部可信数据 源评估要求 Trusted data service evaluation requirements for trusted external data sources for financial institutions （报批稿） [点击此处添加本稿完成日期 ] [××××] -[××]-[××]发布 [××××] -[××]-[××]实施 中华人民共和国工业和信息化部 发 布 I 前　　言 本文件按照 GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》 的规定起 草。 本文件为可信数据服务系列标准之一，该系列标准结构和名称如下： ——可信数据服务 可信数据供方评估要求 ——可信数据服务 可信数据流通平台评估要求 ——可信数据服务 金融机构外部可信数据源评估要求 ——可信数据服务 多方数据融合挖掘技术要求 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本文件由中国通信标准化协会提出并归口。 本文件起草单位 ：中国信息通信研究院、交通银行太平洋信用卡中心、 上海浦东发展银行股份有限 公司、百融云创科技股份有限公司 、度小满科技 （北京）有限公司 、中诚信征信有限公司 、海纳致远数 字科技（上海）有限公司 、中兴通讯股份有限公司 、杭州趣链科技有限公司 、北京东方金信科技股份有 限公司、上海银行股份有限公司、南京银行股份有限公司。 本文件主要起草人 ：吕艾临、仵姣姣、闫树、魏凯、姜春宇、侯宁、张黎文、赵顺燕、徐宏杰、 王 曼琦、薛婧、杨帆、陈鑫、于典、刘峰、陈丰生、赵音龙、柯文龙、林婷、时文皓、卢丹、刘训艳。 YD/T XXXX-XXXX II目 次 前　　言 ............................................................................... I 1 范围 ................................................................................. 1 2 规范性引用文件 ....................................................................... 1 3 术语和定义 ........................................................................... 1 4 缩略语 ............................................................................... 2 5 总体要求 ............................................................................. 2 6 评估内容 ............................................................................. 2 6.1 可信数据提供方的评估内容 ......................................................... 2 6.2 可信标的数据的评估内容 ........................................................... 5 7 评估方法 ............................................................................. 8 7.1 评估方法总述 ..................................................................... 8 7.2 评估等级划分 ..................................................................... 8 附录A （资料性） 符合性审查查验指标 .................................................. 10 附录B （资料性） 指标项评分具体指标 .................................................. 11 YD/T XXXX-XXXX 1 1　范围 本文件规范了金融机构引入外部数据时对于数据提供方企业和所引入数据进行可信评估的评估内 容和评估方法。 本文件适用于企业对外提供或向外部采购数据时在数据管理 、数据安全 、业务合规等方面的制度建 设与管理实施。 2　规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款 。其中，注日期的引用文件 ， 仅该日期对应的版本适用于本文件 ；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T 25069-2022 　信息安全技术 术语 GB/T 35273-2020 　信息安全技术 个人信息安全规范 JR/T 0171-2020 个人金融信息保护技术规范 3　术语和定义 GB/T 25069-2022 、GB/T 35273-2020 界定的以及下列术语和定义适用于本文件。 3.1　 数据提供方 data provider 以数据为标的，通过数据集、数据接口等方式，向数据需求方提供数据，并从中获益的主体。 3.2　 标的数据 underlying data 由数据提供方对外提供 、数据需求方通过采购 、合作、授权等方式引入的数据 、数据应用或其它相 关产品。 3.3　 原始数据 raw data 由不同法律主体合法控制的数据，通常基于其业务、职能或提供的服务所收集、产生。 3.4　 金融机构 financial institutions 由国家金融管理部门监督管理的从事金融业务的持牌机构。 可信数据服务 金融机构外部可信数据源评估要求 YD/T XXXX-XXXX 2[来源：JR/T 0171-2020 ，定义3.1] 3.5　 个人信息 personal information 以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息 ，包括但 不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。 [来源：GB/T 35273-2020 ，定义3.1] 3.6　 个人信息主体 personal information subject 个人信息所标识或者关联的自然人。 [来源：GB/T 35273-2020 ，定义3.3] 3.7　 个人信息处理 personal information processing 对个人信息执行的操作或一组操作。 注：个人信息处理操作包含但不限于收集、存储、变更、检索、咨询、披露、匿名化、假名化、传播或以其他方式 提供、删除或销毁。 [来源：GB/T 25069-2022 ，定义3.198] 3.8　 匿名化 anonymization 通过对个人信息的技术处理 ，使其在不借助额外信息的情况下 ，无法识别或者关联个人信息主体的 过程。 4　缩略语 下列缩略语适用于本文件。 IV：信息价值 (Infromation Value) KS：柯尔莫可洛夫 -斯米洛夫检验（ Kolmogorov-Smirnov ） PSI：稳定度指标 (population stability index) 5　总体要求 服务于金融机构的外部可信数据源应具有合法合规的业务资质 、持续、稳定的数据供应能力和安全 、 可靠的供应保障能力，同时，数据提供方企业提供标的数据应来源真实可靠、数据质量满足应用需求、 数据管理合规有效且数据交付安全有保障。 6　评估内容 6.1　可信数据提供方的评估 内容 6.1.1　数据提供方的分类 根据数据产生后的权属转移路径的不同模式，数据提供方可分为： YD/T XXXX-XXXX 3a） 直接数据源 ：即数据的生产者，指在自身的生产经营过程中，直接生产数据，面向数据需求方 与数据使用方提供数据或数据产品，并从中获益的经营实体； b） 间接数据源 ：指不独立生产数据，在获得直接数据源授权后，将数据或加工后的数据产品提供 给数据需求方或数据使用方，并从中获益的经营实体。 6.1.2　数据提供方的业务资质 可信数据提供方应是合法注册、合规经营的境内企业，具有良好的经营状况和征信记录。 6