在金融机构中，为保护消费者权益，防患内部操作风险，会对客户的敏感信息进行脱敏，防止内部人员非法盗用客户信息。这一举措，由银保监会强制要求，合规持牌金融机构必须遵守。
1.“三要素”指哪三个因素？
用户在金融机构提供的APP、微信小程序、官网页面等入口注册时，通常需要提供的姓名、身份证、手机号等信息。金融机构在获取到用户信息时，需要对输入的敏感信息进行加密传输、存储，内部系统在使用这些信息时，也应该脱敏展示。
敏感信息脱敏
经典的“三要素”通常指客户在金融机构中留存的“姓名、身份证、手机号”。而在某些业务场景中，除了常规的“三要素”脱敏外，还需要进行“四要素”脱敏。“四要素”通常指：姓名、身份证、手机号、银行卡号。
2.哪些场景需要“三要素”脱敏？
根据“ 最小授权 ”原则，金融机构员工在为客户服务时，针对各个业务支撑系统，需要对客户敏感信息进行脱敏显示。可以查看用户信息出口大致分为如下几类：
（1） 客服操作类 。对客户在金融机构的账号进行冻结、解冻、提前结清、展期、豁免、债务重组等业务操作时，在做具体操作前需要向客户核实信息，一般核实客户的“姓名、身份证号、手机号”等其中的一种或多种，辅助客户身份核实还包括客户的证件照、场景照等。
（2） 查看类 。具有业务系统查看权限的人员，客服人员进行冻结、解冻、提前结清、展期、豁免、债务重组等业务操作记录，业务系统有对应的记录，相关管理人员可以查询每个一线操作人员的操作信息，便于回溯追查出现的异常现象或问题。
（3） 系统日志 。当金融机构业务系统出现故障时，技术人员会根据打印的业务系统日志分析、定位出现的问题，而业务系统日志中有关客户的“姓名、身份证号、手机号、银行卡号”等敏感信息，也是脱敏显示的。
3.脱敏规则
不同的金融业务系统中，脱敏规则不同，大致可分为如下两类：
（1） 针对姓名的脱敏规则 。 留首去尾 ：当客户姓名小于等于3个字时，显示首位；当客户姓名大于等于4个字时，显示前2个字。 “掐中” ：显示姓名的首位两个字，中间部分用*代替。
（2） 针对号码（身份证号、手机号、银行卡号）的脱敏规则 。大多采用 “掐中”脱敏 ：显示号码的前3后4尾，其余部分用*代替。