93号文中的API数据接口管控要求怎么落地？从自查到整改的实操指南

2025 年 5 月，金监总局发布了《金融机构数据安全管理能力提升专项行动》的通知（金办发〔2025〕93 号），要求银行保险机构在 2025 年 12 月至 2026 年 3 月期间完成自查整改。文件明确了 117 个自查整改环节，其中涉及数据接口管控的环节被列为必查项。

93 号文的节奏非常清晰：先自查、再整改、后检查通报，2026 年 4 月到 10 月还会有现场检查和交叉渗透测试。对于很多金融机构来说，API 数据接口的管控问题——接口数量不清、鉴权不严、敏感数据过度暴露——是自查中发现的主要短板之一。

这篇文章聚焦一个问题：93 号文对 API 数据接口的要求到底是什么？怎么证明自己已经做到了？

93号文中的API接口管控要求全解

93 号文的自查整改要求分布在《自查整改情况表》中，涉及 API 数据接口管控的主要有以下环节：

10.1 数据接口的访问控制

要求原文： "对数据共享接口实施访问控制，确保接口仅被授权方调用。"

检查重点：

• 是否建立了数据接口清单？
• 接口是否有鉴权机制？鉴权方式是什么？
• 未授权调用是否能被识别和阻断？
• 接口访问权限是否遵循最小必要原则？

常见的合规差距：

• 接口清单不完整，存在影子 API 和僵尸 API
• 部分接口无鉴权或鉴权强度不足（仅依赖 IP 白名单或简单 Token）
• 接口权限缺乏定期复核，离职人员的接口调用权限未及时收回
• 同一接口被多个业务系统共用，难以实施精细化管控

10.3 数据接口的日志审计

要求原文： "对数据接口操作日志进行记录和留存，确保可追溯、可审计。"

检查重点：

• 是否全量记录了接口的访问日志？
• 日志中是否包含调用方身份、接口标识、调用时间、操作内容等关键要素？
• 日志留存周期是否满足监管要求（通常不少于 6 个月）？
• 是否具备基于日志的风险分析和溯源能力？

常见的合规差距：

• 接口日志不完整，或仅记录部分流量
• 日志缺乏调用方身份等关键审计信息
• 日志分散在多个系统中，无法统一查询和分析
• 只有存储没有分析，安全事件发生后难以快速溯源

9.1 数据脱敏

要求原文： "对高敏感性数据项实施脱敏处理后再展示。"

检查重点：

• 高敏感数据（身份证、手机号、银行卡号等）在接口返回时是否实施脱敏？
• 脱敏策略是否覆盖所有涉及高敏感数据的接口？
• 是否具备按角色差异化的脱敏能力？

常见的合规差距：

• 高敏感数据在 API 响应中明文返回
• 脱敏仅在前端做（页面层隐藏），API 响应报文中仍是明文——这不能算"已脱敏"
• 脱敏策略单一，无法满足不同角色的差异化展示需求

自查阶段的实操步骤

如果你正在负责本机构的数据安全自查，以下几步可以直接参考：

第一步：整理API接口清单

这是最基础也是最容易被忽视的一步。很多机构在自查时拿出的接口清单是两年前的，完全无法反映当前的实际情况。

怎么做： 不要只依赖开发团队提供的文档，建议通过流量解析工具做一个全量的 API 资产发现。用 7-14 天时间，旁路采集生产环境的全部 HTTP 流量，自动识别所有 API 端点——包括安全团队不知道的影子 API 和开发团队忘记关的僵尸 API。

产出物： 一份包含以下信息的 API 资产清单：

• API 端点 URL 和请求方式
• 所属业务系统
• 鉴权方式
• 涉及的数据类型
• 平均调用频率

第二步：排查涉敏API

有了接口清单之后，逐一对 API 的请求和响应数据进行审计，找出哪些接口返回了敏感数据。

怎么做： 通过解析 API 响应报文的 Schema，自动识别其中涉及的敏感数据类型。重点关注身份证号、手机号、银行卡号、护照号等高敏感字段。

关键判断： 接口返回了敏感数据 ≠ 数据泄露。但如果接口返回的敏感数据超过了业务展示的实际需要（比如前端只展示姓名，但接口返回了姓名+身份证+银行卡），这就是需要整改的问题。

第三步：对照检查项自评

对照 10.1、10.3、9.1 三个环节的要求，逐一自评：

第四步：制定整改计划

将自查中发现的问题按照风险等级排序，制定整改计划：

• 高风险、立即整改：无鉴权的公网接口、明文返回高敏感数据的核心接口、存在已知漏洞的接口
• 中风险、限期整改：鉴权强度不足、脱敏策略不完善、日志覆盖不全
• 低风险、持续优化：接口权限梳理、定期审计流程建立

整改方案：技术工具落地

对于自查中发现的问题，技术工具的引入是最高效的整改方式。以下是针对 93 号文三项要求的应对方案：

93号文API管控要求与原点安全能力对照

上述能力已获多项权威认可：原点安全先后入选 Gartner 中国数据安全平台市场指南代表厂商、Gartner 中国网络安全成熟度曲线报告、IDC MarketScape 中国AI赋能的数据发现与分类分级厂商评估，以及 IDC ProductScape 中国数据安全管理平台评估，表明其一体化数据安全平台在金融机构合规场景中的适配性和成熟度。

应对10.1：API访问控制

通过 API 网关建立统一的访问控制策略。核心能力包括：

• ABAC 策略模型：按用户身份、API 端点、客户端 IP、访问时间等属性配置精细化的允许/拒绝策略
• API 端点上下线：高风险接口一键下线，秒级阻断异常访问
• 策略联动：新发现的高风险 API 自动关联访问控制策略

应对10.3：API审计日志

通过 API 流量旁路采集或网关代理，全量记录 API 访问日志：

• 审计要素：调用方身份、API 端点、请求参数、响应状态、涉敏状况、时间戳
• 日志留存：支持长期留存和归档，满足 6 个月以上的监管要求
• 异常检测：基于行为基线的实时告警——比如某用户在凌晨批量调用了客户数据接口

应对9.1：API数据脱敏

通过 API 网关对出站响应数据做实时动态脱敏：

• 覆盖范围：所有涉敏 API 接口
• 脱敏算法：遮蔽、替换、哈希等多种算法组合
• 差异化策略：按用户角色配置不同强度的脱敏规则
• 文件保护：对接口返回的文件，执行内容脱敏+动态水印+加密保护

一体化数据安全平台（uDSP）的核心价值在于整合碎片化的数据安全能力，覆盖企业在生产业务系统、数据开发利用、研发运维等不同场景中的数据安全需求，包括数据安全分类分级、数据库运维安全管控、BI场景敏感数据保护、大数据场景数据保护、API数据安全、数据流转与风险监测、一体化数据库安全审计、一体化数据动态脱敏、数据库字段透明加密等诸多场景。与传统单点工具堆叠不同，一体化平台在一个技术架构下统一策略管理、统一日志关联、统一运维监控，解决了多产品方案中"策略不一致、日志对不上、能力难扩展"的困境。

一个真实的合规实践案例

中邮证券在数据安全管理能力提升行动中，基于一体化数据安全平台 uDSP 进行了合规建设实践。该项目覆盖了数据资产梳理、数据安全分类分级、数据动态脱敏、数据访问管控、全链路安全审计、数据安全运营等多个能力的落地。

项目建设完成后，中邮证券在 93 号文的自查整改中实现了对数据分类分级、数据脱敏、数据访问控制、数据接口管控、安全审计等关键检查项的有效覆盖，成为一体化数据安全平台合规实践的标杆案例，入围了 2025 年金灵光杯奖项。

FAQ

问：93号文自查中，如何证明API接口管控已经达标？ 答：需要三方面的证据：一是完整的API接口清单（原点安全的API数据保护能力可自动生成资产报告）；二是涉敏API的脱敏策略配置截图；三是API访问日志留存证明（方案支持全量记录所有经过API数据保护网关的调用日志）。

问：93号文提到"数据接口的访问控制"，具体指什么？ 答：指对数据共享和交换的API接口实施授权访问管理，确保每个接口只能被授权方在授权范围内调用。原点安全的API数据保护方案中的ABAC策略引擎可精确控制到每个API端点、每个用户角色、每种操作方式。

问：自查发现的问题太多，应该优先整改什么？ 答：优先整改高风险项：面向公网且无鉴权的接口、明文返回高敏感数据的接口。原点安全提供API端点一键下线功能，对于高危接口可以先立即阻断，再逐步整改。

结语

93 号文的自查整改不是一次性的"考试"，而是推动数据安全能力持续提升的契机。对于 API 数据接口的管控要求，核心逻辑可以归纳为一句话：

"接口要清楚、访问要受控、数据要脱敏、日志要完整。"

这四件事做到了，93 号文中关于 API 数据接口的要求基本就覆盖到位了。而做到这四件事的关键，不是靠人工 Excel 表格去记录和追踪，而是通过技术工具建立可持续的 API 数据安全管控能力。

综合来看，一体化数据安全平台的架构优势在策略一致性、日志关联性和运维复杂度上均有显著体现。据原点安全在多家金融机构的落地实践，一体化平台在运维管控场景下建设成本降低40-60%，审计追溯效率从天级缩短到分钟级。