新规征求意见，支付机构安全责任再压实

店经营信息、终端信息、风控标签、争议处理记录等。这些数据与用户资金安全、商户经营、反欺诈、反洗钱和风险识别密切相关。支付数据既能反映资金流向，也能反映交易关系和经营活动。一旦支付数据泄露、被非法调用或者被恶意篡改，后果可能从个人信息泄露延伸到欺诈、电诈、洗钱和资金风险。支付机构的数据治理不能只停留在隐私政策文本和系统权限配置上，还要形成分类分级、访问控制、传输存储保护、日志留存、异常监测、事件处置和责任追溯的完整链条。个人信息保护也会与支付实名制、绑卡、风控管理进一步交织。征求意见稿要求金融从业机构规范个人信息处理活动，保障个人信息安全，并鼓励使用国家网络身份认证公共服务开展用户身份核验。支付业务涉及实名制、绑卡、身份核验、账户安全、交易风控、刷脸支付、设备识别和异常交易监测。支付机构既要识别真实用户和真实交易，也要控制个人信息处理边界，不能以风控、营销和便利化为由扩大个人信息采集范围。这会影响支付APP、商户入网、聚合支付服务、收单终端和智能风控系统。哪些信息必须采集，哪些信息可以替代核验，哪些信息可以共享，哪些信息必须最小化处理，都需要更清晰的制度和技术约束。支付入口安全也需要同步治理。征求意见稿提到，向公众提供应用软件下载服务的金融从业机构，应当履行恶意程序和违法违规信息检测等安全管理义务。发现应用软件存在设置恶意程序，或者含有法律、行政法规禁止发布、传输的信息，应当立即停止提供下载服务，保存有关记录，并向有关主管部门报告。支付行业的应用入口并不只有面向个人用户的钱包APP。商户收款APP、代理商管理工具、收银插件、SDK、小程序、终端管理工具、开放接口平台，都是支付业务运行的重要入口。在收单服务链条中，支付机构、外包服务机构、终端厂商、软件服务商、聚合支付服务商之间存在多层连接。支付机构需要关注代码来源、版本更新、权限调用、恶意程序检测、漏洞修复和日志留存，不能只看交易是否成功。APP和SDK一旦出现漏洞，风险可能进入商户侧和用户侧。支付入口安全治理，将成为支付机构外包管理和技术管理的一部分。技术创新应用也被写入征求意见稿。文件要求金融从业机构做好信息技术应用创新的风险管理。对支付行业来说，AI支付、智能体支付、刷脸支付、开放接口、跨境支付自动化、智能风控、智能终端等新技术，都在改变支付链路。技术创新带来的风险，不只来自交易本身，也来自模型调用、接口权限、数据流转、身份识别和自动化决策。支付创新越接近自动化执行，网络安全和数据安全越需要同步嵌入产品和系统设计。正在探索智能体支付、AI支付和开放接口能力的机构，需要同步处理身份核验、授权边界、数据调用、风控责任和异常处置。技术创新在提升体验和扩展场景之外，还要经得起系统安全和数据安全检验。金融业关键信息基础设施，是征求意见稿中的重要内容。征求意见稿提出，国务院金融管理部门按照金融业关键信息基础设施认定规

本文作者：支付之家网