微付科技工信部拟注销蓝创云谷等292家企业跨地区增值电信业务经营许可

用户投稿 2025年12月04日 20:00:03 1 0

工信部拟注销蓝创云谷等292家企业跨地区增值电信业务经营许可

记者从工信部官网获悉，山东蓝创云谷网络有限公司等41家企业，在经营许可证的有效期内，按照规定期限向工业和信息化部申请终止经营相关增值电信业务；山东思博信息科技有限公司等148家企业，经营许可证有效期届满，未在规定期限内申请延续经营相关增值电信业务；山东微付网络科技有限公司等103家企业，在电信业务经营许可证有效期内，已被相关市场监督管理机构依法吊销、撤销或者注销营业执照，不再具备企业法人资格。根据《电信业务经营许可管理办法》（工业和信息化部令第42号）规定，现公示拟注销跨地区增值电信业务经营许可的相关信息，公示期为2022年7月19日至2022年8月18日。

在公示期内，对注销上述企业相关经营许可有异议或发现其存在遗留用户善后问题的，请向工业和信息化部反映相关情况，并提供详细凭证和联系方式，以便工业和信息化部调查处理。在公示期内未收到异议的，工业和信息化部将依法注销其相关跨地区增值电信业务经营许可。

央行新规出鞘：支付行业数据安全迈入 "全生命周期" 管控时代

导语：2025 年 5 月 9 日，中国人民银行正式发布《中国人民银行业务领域数据安全管理办法》（以下简称《办法》），自 6 月 30 日起施行。作为《数据安全法》在金融领域的重要配套文件，《办法》首次系统性构建了支付行业数据安全治理框架，覆盖数据分类分级、全流程管控、技术防护、风险监测等核心环节。本文结合支付行业特性，从政策核心、合规挑战、技术应对、风险案例四个维度展开分析，并提供可落地的实施路径。

图片来源于人民银行官网

一、政策核心：构建 "分级分类 + 全流程管控" 的治理体系

1. 数据分类分级：精准划定安全基线

《办法》将支付数据分为一般数据、重要数据、核心数据三级，并明确高敏感性数据项范围，包括敏感个人信息、商户经营信息等。例如，支付机构存储的用户生物识别信息、交易密码等需标识为高敏感性数据，实施最严格的访问控制和加密措施。

关键动作 ：

建立数据资源目录 ：支付机构需梳理全量数据，标注数据项的敏感性（如是否为个人信息）、业务关联性（所属系统）及可用性（恢复时间要求）。动态更新分级结果 ：每年至少更新一次数据分类分级，确保与业务变化同步。例如，跨境支付新增的用户地理位置数据需重新评估敏感性。

2. 全流程管控：穿透式覆盖数据生命周期

从数据收集到删除的全链条，《办法》提出明确要求：

收集环节 ：原则上禁止收集原始生物识别信息，确需收集的需统一规范场景（如刷脸支付仅限特定设备）。存储环节 ：高敏感性数据项原则上不存储于终端设备，核心数据需通过国密算法加密。传输环节 ：跨境支付数据需符合《数据出境安全评估办法》，例如单笔交易金额超过 50 万元的跨境支付数据需申报安全评估。删除环节 ：商户注销后，支付机构需在 30 日内删除其交易数据，避免形成 "数据僵尸"。

3. 技术合规：筑牢底层防护屏障

《办法》对支付系统提出硬核技术要求：

访问控制 ：采用基于角色的权限管理（RBAC），特权账号需双人授权，例如数据库管理员账号需两人同时认证才能登录。算法风控 ：支付机构的反欺诈模型需通过安全审计，避免因算法歧视导致数据滥用。例如，某支付机构因风控模型误判小微企业为高风险商户被罚 230 万元。灾备机制 ：重要数据需实现 "两地三中心" 备份，核心交易系统恢复时间目标（RTO）需小于 15 分钟。

二、合规挑战：支付行业面临三重转型压力

1. 技术升级成本激增

系统改造投入 ：现有 POS 机、收单系统若不支持国密算法，需在 6 月 30 日前完成改造，预计中小支付机构单台设备改造成本约 800 元。合规工具采购 ：部署数据库防火墙、防勒索系统等安全工具，年投入可能占机构净利润的 15%-20%。

案例警示 ：广东某卡商务因未升级风控系统，导致商户交易数据被篡改，最终被罚没 948 万元。

2. 跨境支付合规复杂度攀升

数据本地化要求 ：境内发行的银行卡在境外使用时，交易处理必须通过境内基础设施，资金清算以人民币结算。跨境传输限制 ：支付机构向境外提供用户信息时，若年累计超 10 万人需签订标准合同，超 100 万人则需申报安全评估。

操作难点 ：某跨境支付平台因未对境外分公司传输的商户信息进行脱敏处理，被认定为违规跨境传输，面临业务暂停风险。

3. 组织架构与人员能力适配

安全负责人资质 ：重要数据处理者需指定安全负责人，需具备 5 年以上金融数据安全经验，且直接向央行报告。全员培训压力 ：支付机构需每年开展数据安全培训，覆盖收银员、技术人员、管理人员，培训时长不少于 20 学时。

三、技术应对：支付机构的破局之道

1. 加密技术创新

动态加密方案 ：某支付机构近期申请的敏感数据传输专利，通过授权密钥对交易数据动态加密，确保即使数据泄露也无法解密。区块链存证 ：某科技采用区块链技术存储支付数据，实现交易信息不可篡改，同时支持实时审计。

2. 风险监测体系升级

AI 风控引擎 ：某科技的业务安全监测系统可实时识别异常交易，例如通过行为建模发现 "夜间高频小额支付" 等洗钱特征。威胁情报共享 ：支付机构可接入央行反欺诈联盟，共享黑灰产 IP、设备指纹等信息，提升联防联控能力。

3. 合规成本优化

混合云架构 ：采用 "境内存储 + 境外缓存" 模式，在合规前提下降低跨境数据传输成本。第三方服务外包 ：将数据备份、漏洞扫描等非核心业务外包给专业机构，降低自建团队成本。

四、风险案例：合规漏洞的代价

1. 数据泄露事件

2024 年，某支付机构因数据库防火墙配置错误，导致 500 万用户交易记录泄露，被处以 1200 万元罚款，并暂停新增商户资格 3 个月。

2. 跨境传输违规

某跨境支付平台未对境外传输的商户信息进行安全评估，被认定违反《数据出境安全评估办法》，累计罚款 847 万元，直接责任人被列入行业黑名单。

3. 技术漏洞引发风险

北京某支付机构因风险监测系统失效，未能及时拦截某商户的异常交易，导致资金损失超 2000 万元，被央行罚款 484 万元。

五、实施路径：三步构建数据安全护城河

1. 自查与评估（2025 年 5 月 - 6 月）

数据资产盘点：对照《办法》要求，梳理支付系统存储的所有数据项，标注敏感性和分级。技术漏洞扫描：使用数据库漏洞扫描工具，重点检测 SQL 注入、权限绕过等高危风险。

2. 系统改造与流程优化（2025年6月 - 12月）

设备升级：替换不支持国密算法的 POS 机，例如某迪商用的 E350S 已全面适配新规。流程再造：建立跨境支付数据传输审批机制，明确数据出境前需通过合规审查和安全评估。

3. 常态化运营（长期）

定期审计：每年开展一次数据安全专项审计，重点检查特权账号管理、数据备份有效性等。应急演练：每季度模拟数据泄露场景，测试响应流程是否满足《办法》要求的 4 小时报告时限。

六、未来趋势：支付数据安全的三大变革方向

技术驱动合规 ：AI、区块链等技术将深度融入数据安全管理，例如通过区块链智能合约自动执行数据访问权限变更。跨境合规协同 ：支付机构需建立跨司法管辖区的数据合规框架，例如同时满足 PCI DSS 和中国《办法》的双重要求。数据价值释放 ：在合规前提下，支付机构可探索数据脱敏后的商业应用，例如为小微企业提供信用评估服务，实现安全与效率的平衡。

结语：《办法》的实施标志着支付行业数据安全从 "被动防御" 转向 "主动治理"。支付机构需以数据分类分级为基础，以技术创新为支撑，以合规运营为保障，构建覆盖数据全生命周期的安全防护体系。建议在 6 月 30 日前完成首轮合规自查，并密切关注央行后续出台的实施细则。唯有将数据安全融入业务基因，才能在数字化浪潮中筑牢核心竞争力。

互动话题 ：您所在的支付机构是否已启动数据安全升级？欢迎在评论区分享您的实践经验或合规困惑，我们将邀请行业专家为您解答！