原创 |《金融分布式账本技术安全规范》解读：金融区块链的合规要求及律师服务需求

点击上方蓝字关注我们！

一

引言

近期，中国人民银行发布《金融分布式账本技术安全规范》（以下简称《规范》），这是继2017年5月16日、2017年12月22日分别发布的《区块链参考架构》（中国区块链技术和产业发展论坛标准 CBD-Forum-001-2017）、《区块链数据格式规范》(中国区块链技术和产业发展论坛标准 CBD-Forum-002-2017)等文件后区块链领域又一重大技术标准。该标准适用于在金融领域从事分布式账本系统建设或服务运营的机构，从基础硬件、基础软件、密码算法等各方面（具体如下图1）提出技术安全规范。

区块链应用于金融，是区块链技术的重大典型应用，据中国信通院2018年发布的《金融区块链研究报告（2018）》显示，在我国全部区块链创业项目中，金融类占比最高，达到42.72%（如下图2所示），同时在金融领域内，区块链技术在加密代币、支付清算、供应链金融、证券、保险等细分领域得到落地应用。

图2：中国区块链企业类型详情（截至2018年3月30日）

《规范》专门针对金融类区块链系统提出技术安全规范，其发布方中国人民银行，系我国金融体系的核心，专门行使宏观调控与金融管理的智能。从对区块链的监管而言，中国人民银行前期在对虚拟货币、ICO的监管方面发挥了重大作用，单独或联合其他部门发布了《关于防范比特币风险的通知》（银发[2013]289号）、《关于落实对代币发行融资开展清理整顿工作加强支付结算管理的通知》、《关于防范代币发行融资风险的公告》、《关于开展为非法虚拟货币交易提供支付服务自查整改工作的通知》等重要文件。作为区块链领域重要的监管机构，中国人民银行本次发布的《规范》，从形式上看是对金融区块链提出的技术标准、安全规范，但从另一个角度，亦可认为系中国人民银行对金融区块链提出的合规要求。

二

《规范》对金融区块链重点提出了哪些合规要求？

如上所述，《规范》涉及金融区块链基础硬件、基础软件、智能合约、共识协议、账本数据、身份管理、隐私保护、密码算法等各方面的技术规范及合规要求。其中，我们认为数据合规、隐私合规、智能合约合规、真实身份认证合规系《规范》中包含的重点合规要求。

01
（一）《规范》对“数据”保护的合规要求

《规范》对金融区块链的账本数据，提出应具备“完整性、一致性、保密性、有效性”的“四性要求”，并在数据收集、数据传输、数据存储等方面对金融区块链系统提出如下合规要求：
1．数据收集合规
依据《规范》第13.3条，金融区块链身份注册机构（负责节点注册及授权的机构）在收集注册区块链帐户实体（自然人或法人，简称注册实体）的信息时，应符合“最小化”要求，并应取得信息主体的“明示”同意。
依据《规范》第13.11.1条，金融区块链身份注册机构在收集注册实体的监管信息（包括工作单位/就读学校、行业类型、居住国家/地区、民族、居民/非居民、出生日期、个人月收入、税务信息等监管数据项和反洗钱特色数据项）应征求信息主体意见并取得其授权同意，除非存在如下情形，可豁免信息主体同意及授权：
1）与国家安全、国防安全直接相关；
2）与公共安全、公卫安全、重大公共利益直接相关；
3）与犯罪侦查、起诉、审判和判决执行等直接相关；
4）出于维护信息主体或其他个人的生命、财产等重大合法权益但又很难得到信息主体同意的；
5）所收集的信息是信息主体自行向社会公众公开的；
6）从合法公开披露的信息中收集主体信息的，如合法的新闻报道、政府信息公开等渠道；
7）根据信息主体要求签订和履行合同所必需的；
8）用于维护所提供的产品或服务的安全稳定所必需的，例如发现、处置产品或服务的故障；
9）信息控制者为新闻单位且其在开展合法的新闻报道所必需的；
10）信息控制者为学术研究机构，出于公共利益开展统计或学术研究的必要，且其对外提供学术研究或描述的结果时，对结果中所包含的信息进行去标识化处理的；
11）法律法规规定的其他情形。
2．数据通信传输合规
依据《规范》第6.3.2条，金融区块链系统数据传输应确保“安全”，具体要求包括但不限于：
1）在参与分布式账本的节点之间建立安全传输通道，保证数据传输的完整性和不可篡改性；
2）对数据和信息采取相应的防护措施，保证其能抵抗篡改、重放等主动或被动攻击；
3）采用密码技术保证节点间通信过程中敏感信息字段或整个报文的保密性，应确保信息在存储、传输过程中不被非授权用户读取和篡改；
4）可采用有权限的网络访问控制，在参与分布式账本节点之间构建虚拟专用网络（VPN）,降低网络攻击造成的危害。
3．数据存储合规
依据《规范》第7.5条，金融区块链系统数据存储应遵守如下合规要求：
1）应对账本数据根据数据对象的类别独立存储，帐户数据、交易数据、配置数据以及账本元数据等，应分别存储、分别管理、分别操作；
2）敏感信息应加密存储，并应有数据访问等权限的控制和管理；
3）节点CA证书及其私钥的存储应私密管理；
4）数据存储可选用结构化数据库、非结构化数据库或混合选用，但数据库应选用安全高校并经过检验的主流稳定的版本。
同时依据《规范》第6.2.2条，应保证设备和存储介质在重用、报废或更换时，能对其承载的数据进行清除且不可恢复；依据《规范》第8.2条，在存储敏感的业务数据、身份鉴别数据和密钥数据之前，应采用密码技术进行加密；依据《规范》第13.3条，对注册实体信息的保存时间应符合最小化要求。依据《规范》第13.5.6条，对于已注销帐户，在取消其登录和操作权限的同时，应长期或永久保留其登记信息，并永久保留其身份标识。
关于数据合规（包括但不限于收集、存储、传输、共享、交易、提供、使用等方面的合规），我国已有大量的法律法规、规章制度对此予以规范，其中包括但不限于《中华人民共和国网络安全法》、《中华人民共和国消费者权益保护法》、《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》、《全国人民代表大会常务委员会关于加强网络信息保护的决定》、《征信业管理条例》、《互联网信息服务管理办法》、中国人民银行《个人信用信息基础数据库管理暂行办法》、中国人民银行《关于银行业金融机构做好个人金融信息保护工作的通知》、中国人民银行《关于银行业金融机构进一步做好客户个人金融信息保护工作的通知》、《信息安全技术个人信息安全规范》（国家标准GB/T35273——2017）、《移动金融客户端应用软件安全管理规范》（国家金融行业标准JR/T0092——2019）、国家互联网信息办公室《个人信息和重要数据出境安全评估办法（征求意见稿）》等。数据合规系区块链系统合规最为重要的一环，对于金融区块链系统的数据合规，《规范》仅是其中一部分，其余涉及数据合规的现有法规、制度规章均应予以关注及遵守。
02
（二）《规范》对隐私保护的合规要求
隐私信息是“数据”的一部分，属于“敏感数据”“核心数据”，《规范》对隐私信息进行了明确的定义，且对隐私信息的保护从信息采集、传输、存储、展示、扩散及注销等方面提出了详尽、明确的技术及合规要求。
依据《规范》第14.2条，金融分布式账本系统中，隐私信息是指单独或者与其他信息相结合能识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括但不限于分布式账本系统中各方的账户信息、鉴别信息、交易信息、个人身份信息、财产信息及其他反映特定自然人活动的各种信息。
同时《规范》第14.4条对金融区块链系统就隐私保护提出如下技术要求暨合规要求：
1）信息采集时应有醒目提示信息，并明确告知客户哪些个人信息会被采集；
2）信息采集时应包含客户勾选同意或确认的操作步骤，应有明确授权；
3）信息采集时应默认对身份标识信息进行部分隐藏，同时提供全部显示手段；
4）信息采集时应对客户和采集的信息进行匹配认证，并对完整性进行校验；
5）信息采集时应明确告知收集信息的目的、处理方式、存储期限、智能合约逻辑内容；
6）信息传输时应对信息进行全量加密，加密的密钥和证书不能采用信息传输的同一传输通道进行传递；
7）停止运营产品或服务时，应及时停止收集数据的活动，并及时告知客户和为客户提供信息注销不可见的手段，并向其他节点或组织发布停止运营和处置数据的信息；
8）密钥发送客户后应明确告知其妥善保管密钥，并提供密钥更换手段；
9）信息存储时应对客户身份标识信息进行摘要存储；
10）信息在第三方存储时应告知客户并获得客户授权；
11）信息展示时应对客户身份标识信息进行部分隐藏，可额外提供全显示手段，非密文展示应采取去标识化措施；
12）信息展示时，对非本人展示应先获得信息所有者的授权，并对展示人进行认证；
13）信息使用时，应明确记录使用者、使用内容、使用时间、使用频率；
14）信息向外部扩散时，应告知客户并获得授权，并提供给客户延缓甚至中断扩散、减少扩散影响的手段；
15）应向客户提供部分备份和导出的手段，备份和导出的信息应加密处理，并向客户提供解密手段；
16）应向客户提供信息注销不可见的手段；
17）信息注销不可见时应获得客户认证和授权；
18）信息加工后产生的信息，也应满足上述各项要求。

03
（三）《规范》对智能合约提出的合规要求

《规范》第12条对金融区块链系统智能合约的技术安全规范进行了专项规定，特别是12.8条，对智能合约从部署到废止的全生命周期之技术安全、合规要求均进行了规定，具体如下：应有相应机制控制智能合约的部署行为，防止恶意部署智能合约；应提供智能合约的冻结功能，防止职能合约的漏洞持续影响系统；应提供智能合约升级方案和机制以修复智能合约的漏洞；应提供智能合约的废止功能；应支持权限可控的智能合约的升级方法；应支持从金融分布式帐本中获取与合约相关的原始数据来解析智能合约在金融分布式账本上的业务数据；应在合约更新升级、重新部署后，能安全地将原合约数据迁移至新合约。
此外，《规范》第12.2条规定智能合约升级后，应在金融分布式账本中保留前一版本，交易信息中应明确调用的智能合约版本。第12.6条规定智能合约执行应具备一致性，合约在所有金融分布式账本网络节点上的执行结果应完全相同。多个节点同时实现合约时，应保证数据的完整性且数据同步不相互干扰。第12.10条规定应基于智能合约安全规则库和问题合约模式库实现智能合约的漏洞检测。
有关“智能合约”的法规规定，目前在我国法律体系内尚未有明确，但金融区块链在部署及应用智能合约方面除应执行《规范》的规定外，仍应关注智能合约与现有关于民事、商事交易，尤其是合同法方面的法律法规的交叉、重叠及融合的问题。
04
（四）《规范》对身份真实认证的合规要求
《规范》从实名注册、身份鉴别、节点授权准入、身份验证等方面对金融区块链系统规定了身份真实认证的要求，具体在于：《规范》第13.2条规定了用户实名注册、节点授权、身份鉴别的整个流程，具体如下图3所示；《规范》第13.4条规定，存在隐私保护需求的金融分布式账本系统可使用匿名身份认证。但应遵循“前台自愿、后台实名”的原则，前台使用匿名标识，后台应能还原注册实体的实名身份；《规范》第8.4条规定，应使用非对称加密、动态口令或数字签名等方式保障身份真实性，并应对进入重要物理区域人员、节点通讯双方、登陆操作系统和数据库系统的用户、应用系统的用户等进行身份鉴别；《规范》第9.1条规定，分布式账本系统采取节点授权准入的原则；《规范》第9.2条规定，应使用符合要求的身份认证机制控制节点的接入，采用密码技术对节点通信双方的身份进行验证。

图3:实名注册、节点授权、身份鉴别流程

05
（五）《规范》提出的其他合规要求1．节点物理部署合规
《规范》对节点物理部署提出的合规要求主要在于：
第6.2.1条规定，对于承担共识节点或记账节点功能的系统节点，宜保证金融分布式账本使用者业务运行、数据存储和处理的物理设备位于中国境内；
第6.2.3条规定，应避免将所有承担共识或记账的节点部署在同一机房内；应保证将带有不宜共享数据的分布式账本节点放置于机构内部或受保护的区域。
2．共识协议合规
《规范》规定金融区块链系统应选用适宜的“共识协议”，该等“共识协议”应具备终局性、一致性、不可伪造性、可用性、可用性、健壮性、容错性、可监管性、低延迟、激励相容、可拓展性等合规要求。
除前述合规要求外，《规范》全文涉及诸多技术安全规范及合规要求，在此不一一列举。

三

金融区块链去律师服务的需求

如前所述，《规范》不仅是技术安全标准，亦是合规要求的技术实现，技术实现的背后对应的是法律关系、交易架构、业务逻辑，而“合规“要求始终渗透于交易架构、业务逻辑之中。
金融区块链涉及金融监管方面的合规，亦涉及区块链领域的合规，相比于其他类区块链，合规要求更高，监管更严。我们认为金融区块链应在技术搭建阶段即应引入金融、区块链律师提供合规法律服务。金融、区块链律师除对前述数据合规、隐私保护合规、智能合约合规、真实身份认证合规等方面提出合规意见及方案外，还应结合金融区块链涉及的具体业务类型，从金融合规与监管的角度厘清金融区块链技术背后的法律关系、交易架构及业务逻辑，提出合规解决方案。“技术实现，合规先行”，相比于其他区块链应用，《规范》率先专门针对金融区块链提出技术安全规范及合规要求，金融区块链应将法律服务渗透于系统技术开发、搭建的全过程。