实施日薪预支（EWA）时的 数据安全与隐私保护

为了确保日薪预支系统的数据安全，企业需要明确收集了哪些数据、这些数据用于什么目的、存储在何处、谁有权访问、会共享给哪些外部方以及何时必须删除。核心措施包括数据最小化、基于角色的权限分配、强身份认证、加密、密钥与机密管理、防篡改日志、异常监控、备份、安全测试、供应商管理以及事件应急响应流程。安全并非一项孤立的功能，而是贯穿日薪预支全生命周期的共同责任。

> 提示： 本文为管理、技术与运营的参考框架。具体的法律义务取决于各方的角色、数据类型、处理目的、数据流向及实际部署模式。企业在实施前应交由法律、信息安全与人事部门共同进行审核。

> 术语解释： 日薪预支（EWA – Earned Wage Access） · 人力资源信息系统（HRIS） · 企业资源计划（ERP） · 薪资计算（payroll） · 应用程序接口（API） · 安全文件传输（SFTP） · 令牌（token，用于替换原始数据的代码） · 多因素认证（MFA） · 一次性密码（OTP） · 幂等性（idempotency，防止交易重复） · Webhook/回调（系统之间的自动通知） · 日志（log） · 安全运营中心（SOC） · 正式上线（go-live） · 应急手册（playbook） · OWASP ASVS/MASVS（Web/移动应用安全测试标准集） · 备份（backup）。

为什么日薪预支（EWA）数据需要最高级别的保护？

日薪预支（EWA）允许劳动者在定期发薪日之前预先支取一部分已经赚得的工资。为了确认某人是否符合条件以及还剩多少额度，系统通常需要连接多个数据域：

• 身份信息与工作状态；

• 部门、岗位或薪资发放组；

• 考勤数据与审批状态；

• 工资标准、薪资周期及若干调整项；

• 收款账户或支付信息；

• 申请历史记录、金额、时间和交易结果；

• 设备数据、登录会话以及用于反欺诈的日志。

当这些数据被组合在一起时，它们可以相当详细地描述个人的劳动关系和财务行为。一次故障不仅会导致信息泄露，还可能导致账户被盗、资金转错、额度计算错误、发薪中断、劳动纠纷以及降低员工的信任度（另见实施日薪预支时的风险）。

因此，正确的问题不仅是“数据是否加密？”，而是：整个流程是否能阻止未授权访问、数据错误修改、虚假交易、重复支付以及数据被用于非预期目的？

1. 在选择安全方案前绘制数据地图

企业无法保护一个尚不知晓其存放位置的资产。第一步是绘制从产生到删除的日薪预支数据地图。

对于每个流向，档案应能回答以下问题：

1. 传输什么数据？

2. 数据用于什么目的？

3. 哪个系统是标准数据源？

4. 哪一方决定处理的目的和方式？

5. 哪一方根据协议执行处理？

6. 数据是通过 API、文件还是手动输入传输的？

7. 数据存储在何处以及存储多久？

8. 谁可以查看、修改、导出或删除？

9. 是否将数据传输给分包供应商或超出既定范围？

10. 当员工离职或服务合同结束时会发生什么？

数据注册表示例

上述模板仅为设计框架。保存期限和分类级别必须由企业根据法律依据、合同要求、对账需求和实际风险评估来确定。

2. 仅收集真正必要的数据

数据最小化既能降低风险又能节约保护成本。如果系统只需要知道员工处于活跃状态并属于哪个组，就不必复制整个人事档案。

企业应通过四个问题审查每个数据字段：

• 没有这个字段，日薪预支业务能正确执行吗？

• 是否可以用参考码、令牌或脱敏数据代替完整数据？

• 是否需要保存，还是仅在处理会话中使用即可？

• 是否可以降低详细程度或缩短保存时间？

三种常用技术

数据脱敏： 仅显示部分内容，例如收款账户的后四位数字。

令牌化（Tokenization）： 用参考码替换敏感信息；完整数据仅存在于有责任处理的领域中。

数据分离： 如果没有必要，不要将身份档案、账户信息和交易历史记录保存在同一张表或相同的访问权限中。

最小化并不意味着缺少控制数据。系统仍然需要足够的交易代码、源版本、时间戳和日志来防止重复支付并用于对账。

3. 明确各方的角色与责任

日薪预支项目可能涉及用人单位、日薪预支供应商、基础设施单位、考勤系统、薪资系统、银行或支付合作伙伴。如果责任含糊不清，一旦发生事故，各方很容易互相推诿。

责任矩阵必须明确规定：

该矩阵必须根据实际合同进行调整。切勿将“聘请供应商”视为已将有关数据和信息安全的全部责任完全转移。

4. 实施强身份验证，同时不给劳动者造成困难

日薪预支账户直接关系到资金接收能力，因此需要比仅用于阅读新闻的账户受到更严格的保护。

对于劳动者

• 激活账户时进行身份验证；

• 采用符合交易风险级别的认证机制；

• 在更换设备、更换收款账户或出现异常行为时要求加强验证；

• 限制尝试次数并检测代码试探；

• 不依赖容易猜到的密保问题；

• 在有新登录、重要信息更改或交易发生时发出通知；

• 建立安全的账户恢复流程，避免客服人员随意跳过验证步骤。

对于管理员和运营人员

• 强制实施多因素认证（MFA）；

• 优先采用集中登录和独立身份账户；

• 禁止共用管理员账户；

• 在适当时根据设备、网络或风险条件限制登录；

• 为特殊任务授予限时权限；

• 完整记录查看、修改、导出数据以及更改配置的操作。

密码、OTP（一次性密码）和身份验证信息不得写入日志。客服人员也不得要求劳动者朗读密码或 OTP。

5. 基于角色的权限分配与最小权限原则

访问权限应基于任务，而不是简单地基于职位的高低。

高风险操作应采用职责分离或双重审批机制，例如：

• 更改收款账户；

• 解锁有欺诈迹象的账户；

• 修改已完成的交易；

• 批量导出数据；

• 更改额度规则；

• 授予管理权限；

• 删除日志或交易数据。

权限应定期审查，并在员工调岗、离职或不再承担相关任务时立即撤销。

6. 数据加密与密钥管理

加密必须应用于传输中和静态存储中的数据，但仅仅“开启加密”是不够的。

企业需要检查：

• 应用程序、API、SFTP 和管理系统之间的连接是否经过加密；

• 数据库、备份、文件存储区和日志是否受到保护；

• 加密密钥是否与数据分开存储；

• 谁有权使用、轮换或撤销密钥；

• 是否记录了密钥访问活动；

• 如何处理密钥丢失或泄漏；

• 导出的 CSV/Excel 数据是否仍处于保护区之外。

API 密钥、系统密码和证书应在专用的秘密仓库中进行管理。严禁将机密信息放在源代码、电子邮件、指导文档或广为共享的配置文件中。

7. API 与集成流保护

考勤、薪资、日薪预支和支付之间的 API 是数据和业务指令的通道（详情见日薪预支与考勤、薪资和 ERP 的集成）。重要的控制措施包括：

• 调用系统的身份验证以及按功能划分的权限；

• 检查输入数据的结构、类型和限制；

• 限制频率并检测异常行为；

• API 版本控制和受控的更改流程；

• Webhook/回调的签名或验证机制；

• 通过时间、nonce 或适当的密钥防止重放请求；

• 用于创建交易指令的 idempotency_key（幂等键）；

• 用于跨系统追踪的 correlation_id（关联ID）；

• 不暴露内部细节的错误代码列表；

• 控制重试（retry），特别是转账结果尚不明确时。

如果使用批量文件（batch file），则需要控制单独的 SFTP 账户、按需文件加密、校验和、批次名称、处理顺序、重复记录、部分错误文件以及将文件从传输区删除的期限。

OWASP 应用安全验证标准（ASVS）可用作构建和测试 Web 应用安全控件的框架。对于移动应用，OWASP MASVS 是身份验证、存储、网络、代码和隐私要求的专业参考标准。

8. 日志必须足以进行调查，但不能成为泄露源

日志有助于发现欺诈、处理投诉和追溯事件。但是，包含过多敏感数据的日志反而会产生难以控制的另一个副本。

应当记录

• 已受控制的用户代码或管理员代码；

• 操作以及受影响的对象；

• 标准化时间和时区；

• 符合政策的地址或设备标志；

• 成功/失败结果与原因代码；

• transactionid、correlationid 和数据版本；

• 权限、配置、额度以及收款账户的更改；

• 批量数据导出操作；

• 账户锁定事件或异常检测。

不应完整记录

• 密码、OTP 和访问密钥；

• 完整账号或身份证件；

• 包含整个人事档案的请求/响应内容；

• 尚未失效的会话令牌；

• 不用于监控或调查目的的数据。

重要日志应受到保护，防止被非法修改或删除，保持时间同步，发送到集中式监控系统并根据场景进行预警。OWASP 强调应用程序日志需要同时支持安全和运营目的，但日志中的数据也必须受到保护。

9. 设备、应用与登录会话管理

劳动者可能会使用个人手机、更换 SIM 卡或更换设备。因此，系统需要在安全性和可访问性之间取得平衡。

应针对以下情况制定专门规则：

• 从新设备登录；

• 更换手机号；

• 设备已被 Root/越狱或有干预迹象；

• 多个账户异常使用同一台设备；

• 短期内从多个地点登录同一个账户；

• 在更改收款信息后立即请求收款；

• 会话延长或令牌被重复使用。

应用程序不应在本地内存、剪贴板、屏幕截图或锁屏通知中以明文形式存储敏感数据。登录会话应具有期限、可撤销性，并在执行敏感操作前进行重新验证。

10. 在尊重隐私的同时检测欺诈

反欺诈可能需要分析设备、行为和交易模式。但是，收集工作必须具有明确的目的、必要性水平和具体的保存期限。

一些业务信号可能包括：

• 更改收款账户后立即进行交易；

• 多次验证失败；

• 带有相似内容的重复请求；

• 超过额度规则的交易；

• 交易前考勤数据被异常修改；

• 一个账户被人工支持了太多次；

• 某个管理员在工作时间之外进行了多次敏感更改。

不应仅仅根据一个信号就自动断定某人存在欺诈。系统需要风险评分、补充验证步骤、异常处理机制以及授权人员的审查权限。必须测试所有自动化模型，以避免由于设备数据、地区或不同使用条件而错误拦截某群劳动者。

11. 备份、高可用性与恢复能力

安全还包括可用性和完整性。一个没有泄露数据但丢失了交易历史记录或在发薪期间停止运行的系统，依然会造成巨大的后果。

企业应要求：

• 根据每种数据的重要性进行备份；

• 对备份进行加密和独立权限控制；

• 隔离备份以限制勒索软件的影响；

• 测试恢复能力，而不仅仅是检查“备份成功”；

• 双方商定的恢复时间目标和数据丢失点；

• 关键组件的容灾架构；

• 日薪预支或支付通道中断时的替代运营流程；

• 系统恢复后保留结果尚不明确的交易状态。

在没有进行测量、测试和正式的服务承诺之前，不应用数字来宣传时间目标。

12. 供应商与供应链管理

日薪预支供应商可能会继续使用云基础设施、OTP 发送服务、监控、身份验证或支付合作伙伴。企业需要了解数据流经哪些方以及各方的责任是什么。

签约前需提出的问题

(另见日薪预支供应商选择检查清单中的完整标准集。)

1. 供应商具体处理哪些数据组？

2. 数据和备份存储在何处？

3. 是否有任何分包供应商可以访问数据？

4. 更换分包供应商前是否有事先通知机制？

5. 供应商员工通过什么流程访问数据？

6. 是否有加密、密钥管理、MFA 和环境隔离？

7. 渗透测试的范围和周期是什么？

8. 漏洞是如何分类和修复的？

9. 事件通知时间和协作对接人是什么？

10. 合同结束时，数据和备份如何归还或删除？

11. 有什么证据证明删除已完成？

12. 企业检查、评估或接收独立报告的权利如何？

认证是一个有用的信号，但不能替代正确范围的检查。企业需要查看认证涵盖了哪些系统、哪些地点、什么期限，以及是否包括正在使用的日薪预支平台。

13. 上线前后的安全测试

上线前进行一次测试不足以覆盖产品的整个生命周期（与90天日薪预支试点计划相关）。合适的计划可能包括：

• 架构审查和威胁建模；

• 代码和依赖库检查；

• 应用程序、服务器和配置漏洞扫描；

• API、Web 和移动应用测试；

• 逐个角色的权限测试；

• 账户恢复流程测试；

• 防重复交易和防假回调测试；

• 上线前和重大变更后的独立渗透测试；

• 应急响应与恢复演练；

• 跟踪修复直至有漏洞关闭证据。

测试结果必须明确区分严重漏洞、可暂时接受的漏洞以及由谁批准的剩余风险。如果测试范围尚未包括支付流和实际集成，切勿仅因“未发现严重漏洞”而将系统投入运行。

14. 日薪预支数据安全事件应急响应流程

当发现异常迹象时，首要目标是在不丢失证据的前提下限制损害。

应急手册（Playbook）应规定：

• 什么是事件及严重程度；

• 谁有权锁定账户、停止 API 或暂停支付；

• 如何保留日志、系统快照和交易证据；

• 如何确定受影响的数据、用户和时间；

• 法律、人事、传讯、安全和供应商对接人；

• 向主管部门或受影响人员发出通知的依据、内容和时间；

• 重新开放服务的标准；

• 如有交易错误时对劳动者的支持方案；

• 根本原因报告和防止再次发生的行动。

法律通知期限必须由法律团队根据事件类型和各方的具体角色来确定，不应为所有情况套用统一的数字。

15. 数据生命周期：从创建到安全删除

每组数据都需要单独的保存期限。“为了随时查阅而永久保存”通常会增加风险而没有创造额外价值。

政策应涵盖：

• 主系统中的使用中数据；

• 备份；

• 中转文件；

• 导出的用户端机器数据；

• 应用日志与安全日志；

• 测试数据；

• 分包供应商处的数据；

• 支持工单及附件；

• 离职人员数据；

• 服务合同结束后的数据。

安全删除需要删除指令、执行日志、副本处理和完成证明。在某些情况下，由于法律义务、争议解决或审计要求，数据必须继续保存；此时应收窄访问权限并限制使用目的。

16. 需要注意的越南法律框架

截至本文编写时，2025年6月26日颁布并自2026年1月1日起生效的第91/2025/QH15号《个人数据保护法》。于2025年12月31日颁布并自2026年1月1日起生效的第356/2025/NĐ-CP号议定，详细规定了该法的若干条款和实施措施。

此外，根据业务流程，企业还需要考虑2023年6月22日颁布并自2024年7月1日起生效的第20/2023/QH15号《电子交易法》、关于非现金支付的第52/2024/NĐ-CP号议定及相关专业规定。

合规不应被简单理解为添加一个“我同意”的勾选框。企业需要确定各方的正确角色、处理目的与依据、向劳动者提供的信息、共享范围、确保数据主体权利、必要的评估档案、保护措施以及事件处理流程。具体的法律结论必须基于数据流图和实际实施合同。

17. 实施日薪预支批准前的安全检查清单

管理与法律

• [ ] 设有日薪预支项目负责人和信息安全对接人。

• [ ] 拥有数据地图以及接收数据的系统/供应商名单。

• [ ] 已明确各方的角色、目的和处理责任。

• [ ] 已审核针对劳动者的通知、条款和权利行使机制。

• [ ] 每组数据均有保存期限和删除流程。

• [ ] 合同规定了事件、分包供应商、检查及服务终止。

身份与权限

• [ ] 劳动者在激活和更改敏感信息时经过验证。

• [ ] 管理员强制使用 MFA 和独立账户。

• [ ] 权限根据角色、组织范围和任务授予。

• [ ] 高风险操作具有双重审批或职责分离。

• [ ] 权限定期审查并在调岗/离职时撤销。

数据与集成

• [ ] 仅传输真正必要的字段。

• [ ] 敏感数据在可能时进行令牌化或脱敏。

• [ ] 连接和存储数据均经过加密。

• [ ] 密钥和机密与源代码分开管理。

• [ ] API/Webhook 具备身份验证、防重放和负载限制。

• [ ] 交易具备幂等性（idempotency）和跨系统可追溯性。

应用与运营

• [ ] Web、API 和移动应用已在适当范围内进行安全测试。

• [ ] 日志记录了足够的事件，但不包含密码/敏感数据。

• [ ] 具备监控、警报和明确的警报接收人。

• [ ] 备份受到保护且已成功测试恢复。

• [ ] 针对账户盗用、数据泄露和转账错误备有应急手册（playbook）。

• [ ] 平台或支付中断时具备业务维持计划。

上线与上线后

• [ ] 所有严重漏洞均已修复并重新测试。

• [ ] 剩余风险已获授权人员的书面接受。

• [ ] 各方之间的紧急联系名单已通过测试。

• [ ] 劳动者知晓报告账户丢失或异常交易的渠道。

• [ ] 制定了权限、漏洞、供应商及警报有效性的定期审查计划。

• [ ] 具备重大变更后的测试证据。

常见问题解答

日薪预支处理劳动者的哪些数据？

视模式而定，通常包括身份数据、工作状态、已批准工时、所需的薪资周期与规则、收款账户、交易及用于安全的Тех技术数据。准确清单必须根据实际系统公布并限制在必要范围内。

是否应该将整个工资表发送到日薪预支系统？

不应默认如此。企业应确定计算额度、控制风险和对账真正需要的字段。如果可以使用科目代码、汇总值或令牌代替详细数据，则应优先选择数据较少的方案。

数据加密已经足够安全了吗？

不够。加密无法阻止管理账户被盗、权限分配错误、员工越权导出数据或虚假交易。需要结合身份管理、权限、监控、测试、备份和应急响应。

谁可以查看劳动者的早期领薪历史记录？

仅限有合法任务且在必要范围内的角色。系统应按组织限制、进行脱敏、记录访问日志并定期审查权限。如果没有适当的目的和权限，不应让直接主管自动看到全部财务历史。

当员工离职时，数据会立即被删除吗？

不能一概而论。部分数据可能需要保存以用于对账、履行法律义务或解决争议；不再需要的部分应根据已批准的政策进行删除或限制处理。

供应商拥有安全认证，企业还需要评估吗？

需要。企业需要检查认证是否仍然有效、范围是否正确并涵盖正在使用的平台。同时必须评估数据流、权限、集成、分包供应商、事件处理和合同终止条件。

劳动者如何报告异常交易？

企业和供应商应设立易于访问的渠道，在合适的时间运行，允许通过紧急流程锁定账户或交易。报告人需要收到接收代码、账户保护指南以及后续处理步骤的信息。

结论

日薪预支数据安全始于理解数据流向和责任，而不是始于技术清单。一个值得信赖的项目必须限制收集的数据、验证正确的人员、授予正确的权限、保护 API 和交易、记录足够的日志、控制供应商、在中断时能够恢复并在发生事件时进行透明处理。

如果企业正在评估日薪预支解决方案，请准备好系统地图、预计集成的的数据组和内部控制检查清单，然后了解面向企业的日薪预支以在实施试点前索取安全档案、集成文档和技术评估范围。

参考来源

• 第91/2025/QH15号《个人数据保护法》

• 指导《个人数据保护法》的第356/2025/NĐ-CP号议定

• 第20/2023/QH15号《电子交易法》

• 关于非现金支付的第52/2024/NĐ-CP号议定

• OWASP 应用安全验证标准

• OWASP 移动应用安全验证标准

• OWASP 日志备忘单

---

作者： Nguyen Tan Loc — Nhan Kiet Manpower Supply Co., Ltd. 战略部专家。

企业日薪预支解决方案咨询： 热线 0937.022.655 · 邮箱 info@nhankiet.vn · 面向企业的日薪预支