ICS 03.160 4401
CCS A 90
广
州 市 地 方 标 准
DB4401/T 308—2024
互联网金融电子数据存证规范
Specification for digital evidence preservation of internet finance
2024-12-31 发布
2025-01-31 实施
广州市市场监督管理局 发 布
DB4401/T 308—2024
目
次
前言 ................................................................................. III
1
范围 ................................................................................ 1
2
规范性引用文件 ...................................................................... 1
3
术语和定义 .......................................................................... 1
4
有效原则 ............................................................................ 2
5
技术要素 ............................................................................ 3
6
数据处理 ............................................................................ 3
7
系统管理 ............................................................................ 5
8
系统安全 ............................................................................ 6
参考文献 ............................................................................... 8
I
DB4401/T 308—2024
前
言
本文件按照GB/T 1.1—2020《标准化工作导则
起草。
第1部分：标准化文件的结构和起草规则》的规定
请注意本文件的某些内容可能涉及专利。本文件发布机构不承担识别这些专利的责任。
本文件由中共广州市委金融委员会办公室提出并归口。
本文件起草单位：中共广州市委金融委员会办公室、广州互联网法院、广州市数字金融协会、广州
金融风险监测防控中心有限责任公司、中山大学。
本文件主要起草人：徐秀彬、刘冬梅、俞薇、邵山、江映霞、吴维刚、段莉琼、胡敏、李杰、覃勇、
潘柳青、郑龙哲、朱静贤、黎曼俐、余念姿。
III
DB4401/T 308—2024
互联网金融电子数据存证规范
1
范围
本文件规定了互联网金融电子数据存证的有效原则、技术要素、数据处理、系统管理以及系统安全。
本文件适用于接入互联网法院“网通法链”智慧信息生态系统的机构互联网金融电子数据存证的接
入、访问、核验和系统建设。
2
规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，
仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本
文件。
GB/T 22239 信息安全技术 网络安全等级保护基本要求
GB/T 25069 信息安全技术 术语
GB/T 32399 信息技术 云计算 参考架构
GB/T 35273 信息安全技术 个人信息安全规范
GB/T 42752 区块链和分布式记账技术 参考架构
ISO/IEC 9804—1998 信息技术.开放系统互连.托付、并发和恢复服务元素的服务定义
（Information technology -- Open Systems Interconnection -- Service definition for the
Commitment， Concurrency and Recovery service element）
3
术语和定义
GB/T 25069、GB/T 32399、GB/T 37043、GB/T 42752、ISO/IEC 9804—1998界定的以及下列术语和
定义适用于本文件。
3.1
电子数据
digital evidence
以电子手段生成、发送、接收或者储存的信息。
3.2
电子数据存证
digital evidence preservation
为保证存证电子数据的完整性和真实性，采用一系列安全技术保证电子数据的私密安全和不被篡改，
全方位确保电子数据的真实性、完整性、安全性的一种电子服务技术。
3.3
鉴权机制
authentication
验证用户是否拥有访问系统权利的机制。
3.4
区块数据
block data
区块链网络的底层链式数据，用来把一段给定时间内产生的事务处理结果持久化为块链式数据结构。
3.5
可信时间
trusted time
1
DB4401/T 308—2024
准确的、值得信赖的当前时间值，这个时间值的来源应该高度权威的。
3.6
存证过程
preservation process
把已经存在的电子数据内容固定下来，存储到一个安全稳定的数据库中，待需要使用时调取出来，
同时，把上述过程通过可靠的方式记录并传输的过程。
3.7
存证系统
preservation system
电子数据存证系统，用以实现存证过程的体系化软件。
4
有效原则
4.1
存证系统的有效性
有效的存证系统应全部满足如下条件：
a)
存证系统所涉及的软件产品具有完整清晰的知识产权，并由第三方独立运维；
b)
存证系统具有完善的身份认证和鉴权机制，对存证人进行身份核验，可完整记录存证日志、
操作日志；
c)
存证电子数据在生成、传输过程中安全可靠，并具备防篡改、防伪造能力；
d)
存证系统具备电子数据完整性保存能力，存证电子数据可直观呈现，并支持存证数据在线查
询核验；
e)
存证系统运行环境应有完善的监控体系，应能够 7×24 小时稳定运行；
f)
存证系统应具备高可用性，具备灾备能力和防攻击能力，预防非授权的访问或破坏，并具备
完善的应急预案。
4.2
电子数据存取的有效性
有效的电子数据存取应全部满足如下条件：
a)
存证电子数据应具有唯一的存证校验码，并可进行计算与校验；
b)
存证电子数据应包括电子数据的完整性校验值和校验算法；
c)
存证电子数据记录应包括可信时间标识、唯一存证校验码、存储位置、日志信息；
d)
存证电子数据取证、核验过程应完整记录；
e)
多方存证时可相互验证。
4.3
时间的有效性
有效时间应全部满足如下条件：
a)
应引入独立授时机构为电子数据存证提供可信、权威的时间服务；
b)
取证内容应满足存证记录时间的先后关系，并可对时间点核验。
4.4
存证核验的有效性
有效核验应全部满足如下条件：
a)
存证电子数据的原文可被核验；
b)
区块链存证应支持多节点核验；
c)
电子数据核验时应载明存证算法、存证时间；
d)
核验应支持在线状态或离线状态。
2
DB4401/T 308—2024
5 技术要素
5.1 身份认证
存证系统应为电子数据存证服务使用者提供身份认证唯一标识及认证通道，在电子数据存证请求时，
存证系统应对其身份进行可信认证，并保留认证痕迹。
5.2
加密传输
5.2.1
待存证电子数据应在加密后传输。
5.2.2
加密后的电子数据应保证网络传输中的安全，应采用加密传输、身份认证的网络安全协议。
5.3
存证技术
存证系统应保证电子数据的生成、收集、固定、传输、存储和提取过程合法可靠。可采用的技术包
括但不限于：
a)
身份认证技术；
b)
电子签名技术；
c)
哈希值校验技术；
d)
可信时间戳技术；
e)
区块链技术；
f)
智能合约技术；
g)
加密与解密技术；
h)
分布式存储。
5.4
隐私保护
应同时满足以下隐私保护的要求：
a) 存证系统所采集信息应获得存证使用方授权；
b) 存证信息查询、、验证应获得存证使用方授权；
c) 存证数据访问情况应被完整记录，并具备审计能力；
d) 查询检索结果涉及个人敏感信息时应进行脱敏处理；
e) 存证系统服务运维情况应被记录。
6 数据处理
6.1 身份认证
应对用户的身份进行实名认证，身份认证后保存实名认证的相关数据。身份认证应至少涵盖到如下
认证要素：
a)
用户的主体信息的录入及校验，支持借助 OCR 文字识别等技术，识别出身份证的姓名、身份
证号码、身份证有效期以及地址信息，并可判断用户用于身份认证的身份证是否为正式身份
证，而非为复印件、临时身份证、屏幕翻拍等；
b)
在确认用户提交了主体信息登记申请的情况下对主体信息进行审核，并对主体信息的完整性、
合法性进行验证；应支持用户在线实名认证，通过联网核查公民身份信息系统完成用户身份
的校验；
c)
通知用户身份认证的审核结果；
3
DB4401/T 308—2024
d)
用户身份的修改和注销。
6.2
数据获取
可通过多种方式来获取数据，包括但不限于以下获取方式：
a)
在获得许可的情况下，通过 API 接口获取第三方数据；
b)
人工录入数据。
6.3
数据加密
推荐使用国家密码管理机构认定的加密算法对数据进行加密，或使用国际主流加密算法对数据进行
加密。
6.4 数据传输
6.4.1 应为数据的传输提供安全认证和授权访问机制，以确保数据交换的安全。
6.4.2 通道的隔离端应对每次请求都进行身份验证。
6.4.3 通道内部应对数据按照 6.3 要求进行加密，以确保数据传输的安全。
6.4.4 应支持同网络环境下数据传输的有效性及安全性。
6.5 数据预处理
将已获取而待存证的原始数据进行预先处理，生成可被区块链接受的数据。本流程一般包括如下几
个步骤：
a) 验证原始数据的完整性；
b) 检查原始数据是否满足存证要求；
c) 将原始数据处理成可被区块链接受的数据。
6.6 数据存储
6.6.1 存证系统在接收到数据后，按照以下规则进行存储：
a) 将结构化数据按照 6.3 加密存储于分布式数据库；
b) 将非结构化数据存储于分布式文件存储服务器。
6.6.2 对结构化数据或非结构化数据进行完整性校验值计算，然后对计算生成的完整性校验值在区块
链网络进行广播、验证，达成共识后更新区块链时，应至少完成以下两项内容：
a) 区块链节点对接收到的区块进行验证；
b) 区块验证完成后更新区块链。
6.7 存证查询
6.7.1 存证系统应向已认证的电子数据存证服务使用者，提供数据关键词或时间等条件的检索服务。
6.7.2 存证系统不应向未认证的电子数据存证服务者提供数据检索服务。
6.8 数据提取
可提取到的数据要素应至少包括如下两类：
a)
所提取的区块数据，至少应包含区块标识、区块时间戳、版本信息、哈希值、在数据预处理
流程中所产生的结果数据；
b)
其他必要的数据，至少应包含实名数据、能够验证原始数据与区块数据对应关系的方法、可
信时间等。
4
DB4401/T 308—2024
6.9 数据核验
6.9.1 存证系统应提供多种数据验证的方式，并给出验证结果。验证方式应至少包含如下两种：
a) 原文存证验证电子数据存证服务使用者存证原文的，需要进行原文存证验证时，存证系统应
计算提交的电子数据原文的完整性校验值，并给出验证结果；
b)
非原文存证验证电子数据存证服务使用者不存证原文而存证原文完整性校验值等信息的，需
要进行验证时，应把原文和完整性校验算法提交到存证系统，存证系统根据提交的原文和完
整性校验算法计算完整性校验值，并在该使用者存证的完整性校验值中进行检索，根据检索
结果进行验证，并输出验证结果。
6.9.2 存证系统应提供验证结果，验证结果应至少包括以下内容：
a) 存证标识码；
b) 存证的电子数据的完整性校验算法；
c) 存证的完整性校验值及使用的完整性校验算法；
d) 可信时间标识。
7 系统管理
7.1 登录要件
对拟登入存证系统的用户进行身份认证时，应至少满足如下两个要件：
a)
收集到登入用户的身份信息的应与存证产品或服务的业务功能有直接关联。直接关联是指没
有该信息的参与，产品或服务的功能就无法实现；
b) 除与个人信息主体另有约定外，存证的身份认证信息应满足必要性原则。
7.2 授权访问
7.2.1 存证系统在数据权限的管理上应符合 GB/T 35273 要求，同时还应符合以下要求：
a) 存证系统应仅采集和保存存证业务所必需的信息；
b) 存证服务使用者可检索其提交的存证数据，检索结果可显示完整的存证信息；
c) 存证系统其他使用者的检索结果中不应显示非其存证数据的存证信息；
d) 存证系统的管理员检索电子数据存证服务使用者的存证信息，所有的数据访问应被记录，检
索结果不应显示完整的存证信息，涉及到个人敏感信息的应进行去标识化处理。
7.2.2
存证系统在进行存证之前应获得权利人的事先授权，应明确告知权利信息收集、使用等规则，
保存用户授权数据，授权与告知应包括但不限于以下内容：
a)
获得数据权利人的授权同意，并明确告知数据收集的类型、内容，收集、使用数据的规则，
如收集、使用的目的、收集方式和频率、存储地域和期限、对外共享的有关情况等；
b)
其他节点的数据共享形式和约束，如隐私政策、区块链加密机制、数据主权信息等；
c)
明确告知区块链的基本情况。
7.3
存证要求
存证的电子数据记录的要求如下：
a)
应有唯一的存证标识码；
b)
应包括存证的电子数据的完整性校验值及使用的完整性校验算法；
c)
应包括可信时间标识；
d)
应能和特定用户进行关联，即具有特定用户的签名信息；
5
DB4401/T 308—2024
e)
应包括完整的日志信息、存证过程中关键节点的可信时间标识、用户、操作内容、对象和存
储路径等信息；
f)
存证系统存证原文的，存证的电子数据记录应包括原文以及附属信息。
7.4
可视标准
存证数据应可被多种方式公示和查询，并可直观呈现。应至少包括以下内容与功能：
a)
公示可采用网页或公共接口方式；
b)
区块数据呈现可使用区块链浏览器完成；
c)
结构化数可通过预览、播放等方式直观呈现内容。
7.5
读取规范
所读取的电子数据应从存证系统上直接获取。读取存证信息时应：
a)
确保读取过程所依赖的计算机系统的硬件、软件环境安全、可靠；
b)
可重现、读取过程的记录是连续的；
c)
读取到的存证信息包括原始存证信息、存证参与者身份信息、存证时间信息、必要的数据传
输网络地址信息、出证结论、其他必要的信息。
8
系统安全
8.1
应用安全
存证系统的应用安全应达到如下要求：
a)
存证系统应达到 GB/T 22239 的第三级的基本要求；
b)
电子数据存证服务提供者应保证电子数据存储和传输过程中涉及的系统和软件完全可控，系
统接口及系统配置安全可靠，避免系统代码被反编译或篡改。
8.2
合约安全
存证系统的合约安全应达到如下要求：
a)
存证系统智能合约应在可信的软件/硬件支持的环境中执行；
b)
存证系统智能合约代码存储和运行时，系统应具备相应的安全保护能力，不允许未授权实体
明文读取合约代码和状态；
c)
存证系统智能合约应具备数据向前兼容的能力，版本迭代时，旧版本的合约应及时停用，并
存档数据，新版本合约能调用历史数据；
d)
存证系统智能合约的运行机制应有向前兼容的能力，当系统版本升级后，智能合约应能正常
执行；
e)
存证系统应通过有效的智能合约审核以确保合约代码所表达的逻辑无漏洞。智能合约的发布
应引入相关方联合审核机制，审核流程应高效、严谨。
8.3
数据安全
存证系统的数据安全应达到如下要求：
a)
存证系统应采用 6.3 要求的密码技术，对数据加密传输和存储，并应对密钥采取必要的保护
机制；
b)
存证系统应具备冗余备份和存储扩展的能力，并具备异地容灾能力。
6
DB4401/T 308—2024
8.4
管理安全
存证系统的管理安全应达到如下要求：
a)
存证系统的软件及系统应可以 7×24 小时稳定运行；
b)
存证系统数据所使用的物理设备及环境应有完善的监控体系；
c)
电子数据存证服务提供者应采取措施保障存证系统的安全，预防非授权的访问或破坏，对于
非授权的访问或破坏具有防护措施和应急预案；
d)
存证系统应定期检查，防止网络攻击、病毒和网络代理的使用。
7
DB4401/T 308—2024
参 考 文 献
GB/T 5271.18
信息技术 词汇 第18部分：分布式数据处理
[1]
[2]
GB/T 20520
信息安全技术 公钥基础设施 时间戳规范
[3]
GA/T 756
法庭科学 电子数据收集提取技术规范
[4]
中华人民共和国个人信息保护法
8