网络安全和数据保护已经成为中国金融机构必须面临的问题，其中对于个人信息的保护应更加重视。2018年4月，上海警方披露了近期侦破的多起侵犯公民个人信息案件，其中一起案件中，某保险公司两位前员工和两位现员工构成犯罪核心，在不到半年时间里就非法盗取、交易公民个人信息1000余万条，涉案金额2000余万人民币。
1
2018年5月30日，原保监会江苏保监局也发布《关于防范保险消费者个人信息泄露风险的提示》，指出江苏省近期出现因侵犯公民个人信息引发的刑事案件，要求当地各人身保险公司省级分公司、保险专业中介机构务必高度重视保险消费者信息保护工作，采取切实有效措施防范个人信息泄露风险。金融机构个人信息保护应注意以下法律问题。
一、确定关键信息基础设施范围
《网络安全法》第31条和《关键信息基础设施安全保护条例（征求意见稿）》都明确将金融纳入了关键信息基础设施范围。中央网络安全和信息化领导小组办公室、网络安全协调局于2016年6月发布的《国家网络安全检查操作指南》中将银行运营、证券期货交易、清算支付、保险运营明确列举入金融领域的关键信息基础设施业务。
金融机构在确定关键业务后，可逐一梳理出支撑关键业务运行或与关键业务相关的信息系统或工业控制系统，形成候选关键信息基础设施清单，主要包括网站类、平台类和生产业务类,
每个类别的认定标准不尽相同。对于可能造成超过100万人个人信息泄露或大量机构、企业敏感信息泄露或其他可能造成严重损害社会和经济秩序或危害国家安全的网站类、平台类或生产业务类信息系统或工业控制系统，应作为关键信息基础设施加以保护。
关键信息基础设施运营者将将面临更严格的网络安全保护要求，包括采购网络产品和服务、公民个人信息和重要业务数据的存储和传输等，都受限于更严格的国家安全审查和安全评估。
