
  深鲸守护 · 金融行业专项检查 —— 7 条规则

  [high] FIN-PAY-SENSITIVE-RETENTION
        支付敏感信息（CVV/CVN/磁道/卡密码）出现在字段、模型或配置里
        依据：《个人金融信息保护技术规范》（JR/T 0171—2020）6.1.3 a)；《非银行支付机构监督管理条例》（国令第768号）第二十六条 —— 不应留存非本机构卡磁道、有效期、CVN/CVN2、卡密码等 C3 类别支付敏感信息

  [high] FIN-AUTH-PLAINTEXT
        鉴别信息（口令/PIN/短信验证码）明文落库、写日志或直接打印
        依据：《银行保险机构数据安全管理办法》（金规〔2024〕24号）第四十五条；《个人金融信息保护技术规范》（JR/T 0171—2020）6.1.3 c) —— 个人身份鉴别信息属于 C3 类别，不得明文存储、传输和展示

  [medium] FIN-PAN-DISPLAY
        卡号等账户标识未脱敏就展示在页面模板或日志中
        依据：《个人金融信息保护技术规范》（JR/T 0171—2020）6.1.4.1 c) —— 除银行卡有效期外，C3 类别信息不应明文展示，只可展示后四位等掩码形式

  [high] FIN-AMC-10Y
        客户身份资料/交易记录留存期配置不足十年
        依据：《中华人民共和国反洗钱法》（2024 修订）第三十四条 —— 客户身份资料在业务关系结束后、客户交易信息在交易结束后，至少保存十年

  [high] FIN-CLIENT-LOCAL-STORE
        客户端本地持久化存储卡号/CVV/口令等支付敏感信息
        依据：《个人金融信息保护技术规范》（JR/T 0171—2020）6.1.3 d) —— 受理终端、个人终端及客户端应用软件均不应存储支付敏感信息及生物识别信息样本或模板

  [medium] FIN-TRANSPORT-PLAINTEXT
        支付/鉴权链路使用明文传输或关闭 TLS 校验
        依据：《个人金融信息保护技术规范》（JR/T 0171—2020）6.1.2 c)；《银行保险机构数据安全管理办法》（金规〔2024〕24号）第四十四条 —— C2/C3 信息通过公共网络传输应使用加密通道，或对数据本身加密

  [medium] FIN-TESTENV-PROD-DATA
        测试/开发环境配置直连生产库或未脱敏数据
        依据：《银行保险机构数据安全管理办法》（金规〔2024〕24号）第四十八条 —— 测试环境应与生产系统隔离，敏感级及以上数据原则上未经脱敏不得进入测试环境

