标准名称

Transcription

1 ICS A 11 备 案 号 : JR 中 华 人 民 共 和 国 金 融 行 业 标 准 JR/T 征 信 机 构 信 息 安 全 规 范 Specification for information security of credit information service agency 发 布 实 施 中 国 人 民 银 行 发 布

2

3 目 次 目 次... I 前 言... II 1 范 围 规 范 性 引 用 文 件 术 语 和 定 义 符 号 和 缩 略 语 征 信 系 统 概 述 系 统 标 识 系 统 定 义 系 统 描 述 总 体 要 求 安 全 管 理 安 全 管 理 制 度 安 全 管 理 机 构 人 员 安 全 管 理 系 统 建 设 管 理 系 统 运 维 管 理 安 全 技 术 客 户 端 安 全 通 信 网 络 安 全 服 务 器 端 安 全 业 务 运 作 系 统 接 入 系 统 注 销 用 户 管 理 信 息 采 集 和 处 理 信 息 加 工 信 息 保 存 信 息 查 询 异 议 处 理 信 息 跨 境 流 动 研 究 分 析 安 全 检 查 与 评 估 I

4 前 言 本 标 准 按 照 GB/T 给 出 的 规 则 起 草 本 标 准 由 中 国 人 民 银 行 提 出 本 标 准 由 全 国 金 融 标 准 化 技 术 委 员 会 (SAC/TC 180) 归 口 本 标 准 起 草 单 位 : 中 国 人 民 银 行 征 信 管 理 局 中 国 金 融 电 子 化 公 司 本 标 准 主 要 起 草 人 : 王 煜 陈 波 张 永 福 李 斌 李 家 先 王 俊 山 王 晓 燕 马 国 照 谢 业 华 常 可 陈 广 辉 II

5 征 信 机 构 信 息 安 全 规 范 1 范 围 标 准 规 定 了 不 同 安 全 保 护 等 级 征 信 系 统 的 安 全 要 求, 包 括 安 全 管 理 安 全 技 术 和 业 务 运 作 三 个 方 面 标 准 适 用 于 征 信 机 构 信 息 系 统 的 建 设 运 行 和 维 护, 也 可 作 为 各 单 位 开 展 安 全 检 查 和 内 部 审 计 的 安 全 性 依 据 接 入 征 信 机 构 信 息 系 统 的 信 息 提 供 者 信 息 使 用 者 也 可 参 照 与 本 机 构 有 关 的 条 款 执 行, 标 准 还 可 作 为 专 业 检 测 机 构 开 展 检 测 认 证 的 依 据 2 规 范 性 引 用 文 件 下 列 文 件 对 于 本 文 件 的 应 用 是 必 不 可 少 的 凡 是 注 日 期 的 引 用 文 件, 仅 注 日 期 的 版 本 适 用 于 本 文 件 凡 是 不 注 日 期 的 引 用 文 件, 其 最 新 版 本 ( 包 括 所 有 的 修 改 单 ) 适 用 于 本 文 件 GB/T 信 息 安 全 技 术 信 息 系 统 安 全 等 级 保 护 基 本 要 求 ISO/IEC 27001:2013 信 息 技 术 安 全 技 术 信 息 安 全 管 理 体 系 3 术 语 和 定 义 下 列 术 语 和 定 义 适 用 于 本 文 件 3.1 征 信 业 务 credit information service 对 企 业 事 业 单 位 等 组 织 的 信 用 信 息 和 个 人 的 信 用 信 息 进 行 采 集 整 理 保 存 加 工, 并 向 信 息 使 用 者 提 供 的 活 动 3.2 征 信 机 构 credit information service agency 依 法 设 立 的, 主 要 经 营 征 信 业 务 的 机 构 3.3 征 信 系 统 credit information system 征 信 机 构 与 信 息 提 供 者 协 议 约 定, 或 者 通 过 互 联 网 政 府 信 息 公 开 等 渠 道, 对 分 散 在 社 会 各 领 域 的 企 业 和 个 人 信 用 信 息, 进 行 采 集 整 理 保 存 和 加 工 而 形 成 的 信 用 信 息 数 据 库 及 相 关 系 统 3.4 互 联 网 internet 因 特 网 或 其 他 类 似 形 式 的 通 用 性 公 共 计 算 机 通 信 网 络 3.5 1

6 敏 感 信 息 sensitive information 影 响 征 信 系 统 安 全 的 密 码 密 钥 以 及 业 务 敏 感 数 据 等 信 息, 密 码 包 括 但 不 限 于 查 询 密 码 登 录 密 码 证 书 的 PIN 等, 密 钥 包 括 但 不 限 于 用 于 确 保 通 讯 安 全 报 文 完 整 性 等 的 密 钥, 业 务 敏 感 数 据 包 括 但 不 限 于 信 息 主 体 的 身 份 信 息 婚 姻 状 况 以 及 银 行 账 户 信 息 等 涉 及 个 人 隐 私 的 数 据 3.6 客 户 端 程 序 client program 征 信 机 构 开 发 的 通 过 浏 览 器 访 问 征 信 系 统 并 为 征 信 系 统 客 户 提 供 人 机 交 互 功 能 或 实 现 征 信 系 统 其 他 功 能 ( 如 数 据 采 集 ) 的 程 序, 并 提 供 必 需 功 能 的 组 件, 包 括 但 不 限 于 : 可 执 行 文 件 控 件 浏 览 器 插 件 静 态 链 接 库 动 态 链 接 库 等 ( 不 包 括 IE 等 通 用 浏 览 器 ); 或 信 息 提 供 者 信 息 使 用 者 以 独 立 开 发 的 软 件 接 入 征 信 系 统 的 客 户 端 程 序 3.7 安 全 规 范 测 评 test and evaluation of security specifications 按 照 本 规 范 要 求 对 征 信 机 构 进 行 安 全 测 评 的 活 动 4 符 号 和 缩 略 语 以 下 缩 略 语 和 符 号 表 示 适 用 于 本 文 件 : B/S 浏 览 器 / 服 务 器 (Browser/Server) CA 数 字 证 书 签 发 和 管 理 机 构 (Certification Authority) C/S 客 户 机 / 服 务 器 (Client/Server) IPSEC IP 安 全 协 议 (IP Security Protocol) SSL 安 全 套 接 字 层 (Secure Sockets Layer) TLS 传 输 层 安 全 (Transport Layer Security) WTLS 无 线 传 输 层 安 全 (Wireless Transport Layer Security) 5 征 信 系 统 概 述 5.1 系 统 标 识 在 系 统 标 识 中 应 标 明 以 下 内 容 : 名 称 :XXXX 征 信 系 统 / 信 用 信 息 系 统 / 信 用 信 息 平 台 ( 全 称 或 简 称 ) 5.2 系 统 定 义 征 信 系 统 是 指 征 信 机 构 与 信 息 提 供 者 协 议 约 定, 或 者 通 过 互 联 网 政 府 信 息 公 开 等 渠 道, 对 分 散 在 社 会 各 领 域 的 企 业 和 个 人 信 用 信 息, 进 行 采 集 整 理 保 存 和 加 工 而 形 成 的 信 用 信 息 数 据 库 及 相 关 系 统 征 信 机 构 通 过 对 征 信 系 统 中 的 企 业 和 个 人 信 用 信 息 进 行 处 理 加 工, 形 成 信 用 报 告 等 征 信 产 品, 提 供 给 社 会 经 济 活 动 中 有 合 法 需 求 的 信 息 使 用 者 不 同 征 信 机 构 的 征 信 系 统 规 模 架 构 以 及 接 入 方 式 并 不 完 全 相 同, 部 分 机 构 直 接 面 向 互 联 网, 以 B/S 架 构 建 立 ; 部 分 机 构 通 过 与 信 息 提 供 者 相 连, 以 C/S 或 B/S 架 构 建 立 本 标 准 力 求 对 各 类 征 信 系 统 的 安 全 2

7 需 求 进 行 归 纳, 提 出 统 一 的 规 范 要 求 如 无 特 殊 说 明, 则 规 范 要 求 对 C/S 架 构 B/S 架 构 都 适 用, 针 对 只 适 用 于 C/S 架 构 或 B/S 架 构 的 情 况, 将 会 单 独 说 明 5.3 系 统 描 述 征 信 系 统 主 要 由 客 户 端 通 信 网 络 和 服 务 器 端 组 成 征 信 系 统 包 括 个 人 征 信 系 统 和 企 业 征 信 系 统, 本 规 范 条 款 如 无 特 殊 说 明, 则 同 时 适 用 于 个 人 征 信 系 统 和 企 业 征 信 系 统 客 户 端 客 户 端 是 指 安 装 有 征 信 系 统 人 机 交 互 客 户 端 程 序 的 PC 终 端 笔 记 本 移 动 终 端 等, 也 包 括 安 装 有 实 现 征 信 系 统 部 分 功 能 的 客 户 端 程 序 的 PC 终 端 笔 记 本 移 动 终 端 等, 如 数 据 采 集 客 户 端, 将 来 可 能 还 包 括 其 他 形 式 的 终 端 产 品 通 信 网 络 通 信 网 络 指 的 是 由 客 户 端 服 务 器 及 相 关 网 络 基 础 设 施 组 建 的 网 络 连 接 征 信 系 统 通 过 互 联 网 或 网 络 专 线 等 方 式 与 信 息 提 供 者 信 息 使 用 者 相 连, 征 信 系 统 安 全 设 计 应 在 综 合 考 虑 建 设 成 本 网 络 便 利 性 等 因 素 的 同 时, 采 取 必 要 的 技 术 防 护 措 施, 有 效 应 对 网 络 通 讯 安 全 威 胁 服 务 器 端 服 务 器 端 是 指 用 于 提 供 征 信 系 统 核 心 业 务 处 理 和 应 用 服 务 的 服 务 器 设 备 及 安 装 的 相 关 软 件 程 序 征 信 机 构 应 充 分 利 用 有 效 的 物 理 安 全 技 术 网 络 安 全 技 术 主 机 安 全 技 术 应 用 安 全 技 术 及 数 据 安 全 与 备 份 恢 复 技 术 等, 在 外 部 威 胁 和 受 保 护 的 资 源 间 建 立 多 道 严 密 的 安 全 防 线 6 总 体 要 求 本 标 准 从 安 全 管 理 安 全 技 术 和 业 务 运 作 三 个 方 面 提 出 征 信 系 统 的 安 全 要 求 安 全 管 理 从 安 全 管 理 制 度 安 全 管 理 机 构 人 员 安 全 管 理 系 统 建 设 管 理 系 统 运 维 管 理 等 方 面 提 出 要 求, 安 全 技 术 从 客 户 端 通 信 网 络 服 务 器 端 等 方 面 提 出 要 求, 业 务 运 作 从 系 统 接 入 系 统 注 销 用 户 管 理 信 息 采 集 和 处 理 信 息 加 工 信 息 保 存 信 息 查 询 异 议 处 理 信 息 跨 境 流 动 研 究 分 析 安 全 检 查 与 评 估 等 方 面 提 出 要 求 征 信 机 构 应 按 照 法 律 法 规 国 家 信 息 安 全 主 管 部 门 和 国 务 院 征 信 业 监 督 管 理 部 门 规 定 对 征 信 系 统 进 行 定 级, 并 根 据 定 级 情 况 达 到 相 应 的 安 全 要 求 个 人 征 信 系 统 应 符 合 国 家 信 息 安 全 保 护 等 级 二 级 或 二 级 以 上 标 准, 企 业 征 信 系 统 由 征 信 机 构 根 据 实 际 情 况 自 行 确 定 安 全 保 护 等 级 征 信 系 统 不 同 的 安 全 保 护 等 级 所 应 达 到 的 安 全 要 求 如 下 表 所 示 : 表 1 征 信 系 统 安 全 保 护 等 级 要 求 序 号 征 信 系 统 安 全 保 护 等 级 管 理 和 技 术 要 求 业 务 操 作 要 求 1 征 信 系 统 安 全 保 护 等 级 为 四 级 2 征 信 系 统 安 全 保 护 等 级 为 三 级 达 到 GB/T 中 相 应 的 安 全 要 求 同 时 满 足 本 规 范 的 基 本 要 求 和 增 强 要 求 符 合 本 规 范 的 业 务 操 作 要 求 符 合 本 规 范 的 业 务 操 作 要 求 3

8 3 征 信 系 统 安 全 保 护 等 级 为 二 级 达 到 本 规 范 的 基 本 要 求 符 合 本 规 范 的 业 务 操 作 要 求 4 征 信 系 统 安 全 保 护 等 级 为 一 级 达 到 GB/T 中 相 应 的 安 全 要 求 符 合 本 规 范 的 业 务 操 作 要 求 征 信 机 构 要 提 升 征 信 系 统 自 主 可 控 能 力, 大 力 推 广 使 用 安 全 可 控 产 品, 自 行 完 成 征 信 系 统 的 规 范 设 计 建 设 开 发 运 维 应 急 安 全 保 障 等 7 安 全 管 理 7.1 安 全 管 理 制 度 征 信 机 构 应 根 据 征 信 系 统 的 建 设 运 行 和 管 理 情 况, 建 立 和 完 善 信 息 安 全 管 理 制 度, 并 定 期 进 行 评 审 和 修 订 内 部 管 理 制 度 a) 应 制 定 信 息 安 全 工 作 的 总 体 方 针 和 安 全 策 略, 说 明 本 机 构 安 全 工 作 的 总 体 原 则 目 标 范 围 和 安 全 框 架 等 b) 应 建 立 征 信 系 统 建 设 和 运 维 管 理 制 度, 对 机 房 管 理 资 产 安 全 设 备 管 理 网 络 安 全 和 系 统 安 全 等 方 面 做 出 明 确 规 定 c) 应 建 立 征 信 系 统 安 全 审 批 流 程, 系 统 投 入 运 行 网 络 系 统 接 入 等 重 大 事 项 由 信 息 安 全 管 理 负 责 人 审 批, 并 签 字 确 认 d) 应 对 安 全 管 理 人 员 及 操 作 人 员 执 行 的 重 要 操 作 建 立 操 作 规 程, 并 进 行 定 期 培 训 e) 应 建 立 日 常 故 障 处 理 流 程, 重 要 岗 位 应 建 立 双 人 负 责 制 f) 应 建 立 软 件 开 发 管 理 制 度, 明 确 说 明 开 发 过 程 的 控 制 方 法 和 人 员 行 为 准 则 g) 应 建 立 数 据 管 理 制 度, 对 数 据 的 存 储 访 问 使 用 展 示 备 份 与 恢 复 传 输 及 样 本 数 据 处 理 等 进 行 规 范 h) 应 建 立 外 包 服 务 管 理 外 部 人 员 访 问 等 方 面 的 管 理 制 度, 对 外 部 人 员 在 本 机 构 内 的 活 动 进 行 规 范 化 管 理 i) 应 建 立 安 全 事 件 及 重 大 事 项 报 告 制 度, 重 大 信 息 安 全 事 故 应 及 时 向 中 国 人 民 银 行 及 其 派 出 机 构 报 告 j) 应 建 立 突 发 事 件 应 急 预 案 制 度, 有 效 避 免 事 故 造 成 的 危 害 k) 应 建 立 信 息 安 全 检 查 制 度, 定 期 或 根 据 需 要 ( 如 可 能 存 在 安 全 隐 患 时 ) 不 定 期 开 展 安 全 自 查 工 作, 主 动 接 受 和 配 合 中 国 人 民 银 行 及 其 派 出 机 构 的 安 全 检 查 a) 应 建 立 征 信 系 统 建 设 工 程 实 施 方 面 的 管 理 制 度, 明 确 说 明 实 施 过 程 的 控 制 方 法 和 人 员 行 为 准 则 b) 应 建 立 密 码 使 用 变 更 管 理 及 数 据 备 份 与 恢 复 等 方 面 的 管 理 制 度, 对 系 统 运 行 维 护 过 程 中 重 要 环 节 的 审 批 与 操 作 等 做 出 明 确 规 定 c) 应 按 照 ISO/IEC 27001:2013 的 相 关 要 求 建 立 完 善 的 信 息 安 全 管 理 体 系 安 全 审 计 制 度 4

9 a) 应 建 立 信 息 安 全 内 部 审 计 制 度, 定 期 对 可 能 带 来 信 息 安 全 风 险 的 因 素 进 行 审 计 和 评 估, 个 人 征 信 机 构 每 年 至 少 1 次, 企 业 征 信 机 构 每 两 年 至 少 1 次 b) 应 对 安 全 管 理 制 度 的 制 定 和 执 行 情 况 进 行 审 计, 审 计 内 容 包 括 是 否 按 照 法 律 法 规 和 中 国 人 民 银 行 的 相 关 规 定 建 立 信 息 安 全 管 理 制 度, 安 全 管 理 制 度 的 执 行 情 况, 是 否 定 期 对 制 度 进 行 评 审 和 修 订 c) 应 对 网 络 安 全 主 机 安 全 应 用 安 全 和 数 据 安 全 等 技 术 安 全 进 行 审 计, 审 计 内 容 包 括 安 全 配 置 设 备 运 行 状 况 网 络 流 量 重 要 用 户 行 为 系 统 异 常 事 件 以 及 重 要 系 统 命 令 的 使 用 等 d) 应 对 业 务 操 作 进 行 审 计, 审 计 内 容 包 括 系 统 接 入 和 注 销 用 户 管 理 信 息 采 集 和 处 理 信 息 加 工 信 息 保 存 异 议 处 理 信 息 跨 境 流 动 等 e) 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 用 户 事 件 类 型 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 ; 应 保 护 系 统 中 的 审 计 记 录, 避 免 受 到 未 预 期 的 删 除 修 改 或 覆 盖 等, 保 存 期 至 少 半 年 ; 纸 质 版 审 计 记 录 保 存 期 应 不 少 于 三 年 a) 应 定 期 委 托 外 部 专 业 审 计 机 构, 有 重 点 有 计 划 的 开 展 信 息 科 技 总 体 风 险 审 计 征 信 系 统 专 项 审 计 b) 在 内 部 审 计 和 外 部 审 计 中 发 现 的 重 大 安 全 隐 患 应 及 时 向 中 国 人 民 银 行 及 其 派 出 机 构 报 告 7.2 安 全 管 理 机 构 征 信 机 构 应 成 立 由 高 级 管 理 人 员 及 相 关 部 门 负 责 人 组 成 的 信 息 安 全 领 导 小 组, 并 指 定 专 门 的 部 门 负 责 信 息 安 全 管 理 工 作 岗 位 设 置 a) 应 设 立 安 全 主 管 信 息 安 全 管 理 员 岗 位, 明 确 安 全 主 管 和 信 息 安 全 管 理 员 的 岗 位 职 责 b) 应 设 立 系 统 管 理 员 网 络 管 理 员 数 据 库 管 理 员 等 岗 位, 并 定 义 各 个 工 作 岗 位 的 职 责 c) 除 科 技 部 门 外, 其 他 部 门 应 设 置 部 门 计 算 机 安 全 员 a) 应 通 过 制 度 明 确 安 全 管 理 机 构 各 个 部 门 和 岗 位 的 职 责 分 工 和 技 能 要 求 b) 应 建 立 数 据 安 全 管 理 组 织, 明 确 数 据 安 全 管 理 责 任 人 数 据 资 产 管 理 人, 明 确 数 据 安 全 管 理 的 责 任, 确 保 有 效 落 实 和 推 进 数 据 安 全 的 相 关 工 作 人 员 配 备 a) 应 配 备 安 全 主 管 信 息 安 全 管 理 员 系 统 管 理 员 网 络 管 理 员 数 据 库 管 理 员 等 b) 安 全 主 管 不 能 兼 任 信 息 安 全 管 理 员 网 络 管 理 员 系 统 管 理 员 数 据 库 管 理 员 等 c) 信 息 安 全 管 理 员 不 能 兼 任 网 络 管 理 员 系 统 管 理 员 数 据 库 管 理 员 等 a) 关 键 事 务 岗 位, 如 信 息 安 全 管 理 员 数 据 库 管 理 员 等, 应 配 备 至 少 两 人, 且 互 为 A B 角 共 同 管 理 授 权 和 审 批 5

10 a) 应 根 据 各 个 部 门 和 岗 位 的 职 责 明 确 授 权 审 批 部 门 及 批 准 人 b) 应 针 对 系 统 投 入 运 行 网 络 系 统 接 入 系 统 变 更 重 要 操 作 和 重 要 资 源 的 访 问 等 关 键 活 动 建 立 审 批 流 程, 由 责 任 人 审 批 后 方 可 进 行, 对 重 要 活 动 应 建 立 逐 级 审 批 制 度 c) 应 记 录 审 批 过 程 并 保 存 审 批 文 档 a) 应 每 年 审 查 审 批 事 项, 及 时 更 新 需 授 权 和 审 批 的 项 目 审 批 部 门 和 审 批 人 等 信 息 沟 通 和 合 作 a) 应 加 强 各 部 门 各 岗 位 之 间 以 及 信 息 安 全 职 能 部 门 内 部 的 合 作 与 沟 通 b) 应 加 强 与 同 业 机 构 通 讯 服 务 商 及 监 管 部 门 的 合 作 与 沟 通 a) 信 息 安 全 管 理 部 门 应 定 期 召 开 各 职 能 部 门 各 岗 位 人 员 参 加 的 协 调 会 议, 共 同 协 作 处 理 信 息 安 全 问 题 b) 应 加 强 与 供 应 商 业 界 专 家 专 业 的 安 全 公 司 安 全 组 织 的 合 作 与 沟 通 7.3 人 员 安 全 管 理 征 信 机 构 应 加 强 人 员 安 全 管 理, 明 确 不 同 岗 位 的 职 责, 规 范 人 员 录 用 离 岗 考 核 和 培 训 等 工 作 安 全 主 管 a) 应 选 派 具 有 较 高 计 算 机 水 平 业 务 能 力 和 法 律 素 养 的 人 员 担 任 安 全 主 管 b) 安 全 主 管 可 由 信 息 安 全 管 理 部 门 的 相 关 领 导 担 任, 也 可 指 定 专 人 担 任, 主 要 履 行 以 下 职 责 : 组 织 落 实 监 管 部 门 信 息 安 全 相 关 管 理 规 定 和 本 机 构 信 息 安 全 保 障 工 作 将 征 信 机 构 信 息 安 全 领 导 小 组 讨 论 形 成 的 安 全 决 策, 分 解 为 安 全 任 务 部 署 落 实 对 信 息 化 建 设 项 目 中 的 安 全 建 设 方 案 安 全 技 术 方 案 或 其 他 安 全 方 案 进 行 审 批 对 征 信 机 构 内 部 其 他 信 息 安 全 相 关 管 理 事 项 进 行 审 批 c) 安 全 主 管 调 离 岗 位 时, 应 办 理 交 接 手 续, 并 履 行 其 调 离 后 的 保 密 义 务 a) 安 全 主 管 应 加 强 信 息 安 全 知 识 的 学 习 和 技 能 的 掌 握, 及 时 关 注 国 内 外 信 息 安 全 动 态, 为 加 强 和 改 进 本 机 构 的 信 息 安 全 管 理 工 作 提 供 合 理 化 建 议 信 息 安 全 管 理 员 a) 应 选 派 具 有 较 高 计 算 机 水 平 业 务 能 力 和 法 律 素 养 的 人 员 担 任 信 息 安 全 管 理 员 b) 信 息 安 全 管 理 员 每 年 至 少 进 行 一 次 信 息 安 全 方 面 的 技 术 和 业 务 培 训 c) 信 息 安 全 管 理 员 应 履 行 以 下 职 责 : 在 安 全 主 管 的 指 导 下, 具 体 落 实 各 项 安 全 管 理 工 作, 并 协 调 各 部 门 计 算 机 安 全 员 开 展 工 作 在 安 全 主 管 的 指 导 下, 组 织 相 关 人 员 审 核 本 机 构 信 息 化 建 设 项 目 中 的 安 全 方 案, 组 织 实 施 信 息 安 全 项 目 建 设, 维 护 管 理 信 息 安 全 专 用 设 施 在 计 算 机 系 统 应 用 开 发 技 术 方 案 设 计 和 实 施 集 成 等 工 作 中 提 出 安 全 技 术 方 案 并 组 织 实 施 6

11 负 责 本 机 构 计 算 机 系 统 部 署 上 线 前 的 安 全 自 测 试 方 案 的 审 核 定 期 检 查 网 络 和 征 信 系 统 的 安 全 运 行 状 况, 组 织 检 查 运 行 操 作 备 份 机 房 环 境 与 文 档 等 安 全 管 理 情 况, 发 现 问 题, 及 时 通 报 和 预 警, 并 提 出 整 改 意 见, 统 计 分 析 和 协 调 处 置 信 息 安 全 事 件 定 期 组 织 信 息 安 全 宣 传 教 育 活 动, 与 相 关 部 门 配 合 开 展 信 息 安 全 检 查 评 估 与 培 训 工 作 d) 信 息 安 全 管 理 员 调 离 原 岗 位 时, 应 办 理 交 接 手 续, 并 履 行 其 调 离 后 的 保 密 义 务 a) 信 息 安 全 管 理 员 应 加 强 信 息 安 全 知 识 的 学 习 和 技 能 的 掌 握, 及 时 关 注 国 内 外 信 息 安 全 动 态, 为 贯 彻 落 实 本 机 构 的 信 息 安 全 策 略 和 方 案 提 出 合 理 化 建 议 部 门 计 算 机 安 全 员 a) 各 部 门 的 计 算 机 安 全 员 应 由 较 熟 悉 计 算 机 知 识 的 人 员 担 任, 并 报 信 息 安 全 管 理 部 门 备 案, 如 有 变 更 应 及 时 通 报 信 息 安 全 管 理 部 门 b) 部 门 计 算 机 安 全 员 应 积 极 配 合 信 息 安 全 管 理 员 的 工 作, 各 部 门 应 优 先 选 派 部 门 计 算 机 安 全 员 参 加 信 息 安 全 技 术 培 训 c) 部 门 计 算 机 安 全 员 应 履 行 以 下 职 责 : 负 责 配 合 信 息 安 全 管 理 部 门 完 成 本 部 门 计 算 机 病 毒 防 治 补 丁 升 级 非 法 外 联 防 范 系 统 故 障 应 急 处 置 移 动 存 储 介 质 管 控 等 工 作 全 面 负 责 本 部 门 的 信 息 安 全 管 理 工 作 负 责 提 出 本 部 门 信 息 安 全 保 障 需 求, 及 时 与 信 息 安 全 管 理 部 门 沟 通 本 部 门 信 息 安 全 情 况 做 好 信 息 安 全 通 报 工 作, 发 现 情 况 及 时 向 信 息 安 全 管 理 部 门 报 告 负 责 本 部 门 相 关 文 档 资 料 的 安 全 管 理, 以 及 本 部 门 国 际 互 联 网 征 信 系 统 网 络 的 使 用 和 接 入 安 全 管 理, 组 织 开 展 本 部 门 信 息 安 全 自 查, 协 助 信 息 安 全 管 理 部 门 完 成 本 机 构 的 信 息 安 全 检 查 工 作 d) 部 门 计 算 机 安 全 员 调 离 原 岗 位 时, 办 理 交 接 手 续, 并 履 行 其 调 离 后 的 保 密 义 务 a) 部 门 计 算 机 安 全 员 每 年 应 至 少 参 加 一 次 信 息 安 全 培 训, 积 极 配 合 信 息 安 全 管 理 员 做 好 本 部 门 的 信 息 安 全 管 理 和 风 险 防 范 知 识 宣 传 落 实 工 作 技 术 支 持 人 员 a) 内 部 技 术 支 持 人 员 ( 本 机 构 正 式 员 工, 负 责 或 参 与 征 信 机 构 机 房 环 境 网 络 计 算 机 系 统 等 建 设 运 行 维 护 的 人 员, 如 系 统 管 理 员 网 络 管 理 员 数 据 库 管 理 员 等 ) 在 落 实 征 信 系 统 建 设 和 日 常 运 行 维 护 工 作 过 程 中, 履 行 以 下 职 责 : 严 格 遵 守 本 机 构 各 项 安 全 保 密 规 定 和 征 信 系 统 安 全 管 理 相 关 制 度 严 格 权 限 访 问, 未 经 业 务 部 门 书 面 授 权 和 本 部 门 领 导 批 准, 不 得 擅 自 修 改 征 信 系 统 应 用 设 置 或 修 改 系 统 生 成 的 任 何 业 务 数 据 检 测 和 监 控 机 房 网 络 安 全 设 备 计 算 机 系 统 的 安 全 运 行 状 况, 定 期 进 行 风 险 评 估 应 急 演 练, 发 现 安 全 隐 患 或 故 障 及 时 报 告 安 全 主 管 信 息 安 全 管 理 员, 并 及 时 响 应 和 处 置 b) 外 部 技 术 支 持 人 员 ( 非 本 机 构 人 员 ) 应 严 格 履 行 服 务 外 包 合 同 ( 协 议 ) 中 的 各 项 安 全 承 诺, 在 提 供 技 术 服 务 期 间, 严 格 遵 守 征 信 机 构 相 关 安 全 规 定 与 操 作 规 程 7

12 a) 外 部 技 术 支 持 人 员 未 经 业 务 部 门 书 面 授 权 和 所 在 部 门 领 导 批 准, 不 得 擅 自 接 触 查 看 或 修 改 征 信 系 统 的 应 用 设 置 或 相 关 业 务 数 据 等 ; 确 需 接 触 查 看 或 修 改 时, 须 取 得 业 务 部 门 书 面 授 权 和 所 在 部 门 领 导 批 准, 并 且 在 内 部 技 术 人 员 现 场 陪 同 下, 方 可 进 行 业 务 操 作 人 员 a) 业 务 操 作 人 员 ( 指 征 信 机 构 内 部 直 接 使 用 征 信 系 统 进 行 业 务 处 理 的 业 务 部 门 工 作 人 员, 包 括 业 务 管 理 员 和 一 般 业 务 操 作 人 员 ) 应 履 行 以 下 职 责 : 严 格 按 照 征 信 机 构 相 关 业 务 操 作 规 程 操 作 使 用 征 信 系 统 及 相 关 数 据, 严 禁 各 种 违 规 操 作 严 格 按 照 征 信 机 构 信 息 安 全 管 理 相 关 规 定 操 作 使 用 征 信 系 统 的 业 务 数 据, 防 止 征 信 信 息 外 泄 妥 善 保 管 好 征 信 系 统 的 用 户 账 号 和 密 码, 并 按 要 求 定 期 更 换 密 码, 禁 止 将 账 户 和 密 码 提 供 给 他 人 使 用 发 现 征 信 系 统 出 现 异 常, 及 时 向 部 门 计 算 机 安 全 员 报 告 定 期 清 理 业 务 操 作 终 端 业 务 数 据, 不 得 在 业 务 操 作 终 端 上 安 装 与 业 务 处 理 无 关 的 计 算 机 软 件 和 硬 件, 不 得 擅 自 修 改 征 信 系 统 的 运 行 环 境 参 数 b) 业 务 操 作 按 照 权 限 分 设 相 互 制 约 原 则, 严 格 进 行 操 作 角 色 划 分 和 授 权 管 理 ; 技 术 支 持 人 员 不 得 兼 任 业 务 操 作 人 员 a) 业 务 操 作 人 员 应 实 现 A B 角 管 理 一 般 计 算 机 用 户 a) 一 般 计 算 机 用 户 ( 指 征 信 机 构 内 部 使 用 接 入 征 信 系 统 网 络 的 计 算 机 及 外 设 的 所 有 人 员 ) 应 履 行 以 下 职 责 : 及 时 安 装 计 算 机 病 毒 防 治 软 件 和 客 户 端 防 护 软 件, 按 规 定 使 用 移 动 存 储 介 质, 自 觉 接 受 部 门 计 算 机 安 全 员 的 指 导 与 管 理 不 得 安 装 与 工 作 无 关 的 计 算 机 软 件 和 硬 件, 不 得 将 征 信 系 统 相 关 计 算 机 擅 自 接 入 未 经 授 权 的 网 络 b) 未 经 信 息 安 全 管 理 部 门 批 准 和 检 测 的 计 算 机 及 外 设 不 得 接 入 征 信 系 统 网 络 a) 一 般 计 算 机 用 户 不 得 私 自 改 变 计 算 机 用 途 b) 一 般 计 算 机 用 户 应 统 一 安 装 统 一 升 级 及 更 新 计 算 机 病 毒 防 治 软 件 7.4 系 统 建 设 管 理 系 统 定 级 a) 应 明 确 信 息 系 统 的 边 界 和 安 全 保 护 等 级 b) 应 以 书 面 的 形 式 说 明 信 息 系 统 确 定 为 某 个 安 全 保 护 等 级 的 方 法 和 理 由 8

13 a) 应 组 织 相 关 部 门 和 有 关 安 全 技 术 专 家 对 信 息 系 统 定 级 结 果 的 合 理 性 和 正 确 性 进 行 论 证 和 审 定 安 全 方 案 设 计 a) 应 根 据 征 信 系 统 的 安 全 保 护 等 级 选 择 基 本 安 全 措 施, 依 据 风 险 分 析 的 结 果 补 充 和 调 整 安 全 措 施 b) 应 以 书 面 形 式 描 述 对 征 信 系 统 的 安 全 保 护 要 求 策 略 和 措 施 等 内 容, 形 成 系 统 的 安 全 方 案 c) 应 对 安 全 方 案 进 行 细 化, 形 成 能 指 导 征 信 系 统 安 全 建 设 安 全 产 品 采 购 和 使 用 的 详 细 设 计 方 案 d) 应 组 织 相 关 部 门 和 有 关 安 全 技 术 专 家 对 安 全 设 计 方 案 的 合 理 性 和 正 确 性 进 行 论 证 和 审 定, 并 且 经 过 征 信 机 构 相 关 领 导 批 准 后, 正 式 组 织 实 施 a) 应 指 定 和 授 权 专 门 的 部 门 对 征 信 系 统 的 安 全 建 设 进 行 总 体 规 划, 制 定 近 期 和 远 期 的 安 全 建 设 工 作 计 划 b) 应 统 一 考 虑 安 全 保 障 体 系 的 总 体 安 全 策 略 安 全 技 术 框 架 安 全 管 理 策 略 总 体 建 设 规 划 和 详 细 设 计 方 案, 并 形 成 配 套 文 件 c) 应 组 织 相 关 部 门 和 有 关 安 全 技 术 专 家 对 总 体 安 全 策 略 安 全 技 术 框 架 安 全 管 理 策 略 总 体 建 设 规 划 详 细 设 计 方 案 等 相 关 配 套 文 件 的 合 理 性 和 正 确 性 进 行 论 证 和 审 定, 并 且 经 过 征 信 机 构 相 关 领 导 批 准 后, 正 式 组 织 实 施 d) 应 定 期 调 整 和 修 订 总 体 安 全 策 略 安 全 技 术 框 架 安 全 管 理 策 略 总 体 建 设 规 划 详 细 设 计 方 案 等 相 关 配 套 文 件 安 全 产 品 采 购 和 使 用 a) 应 确 保 安 全 产 品 采 购 和 使 用 符 合 国 家 的 有 关 规 定 b) 应 确 保 密 码 产 品 采 购 和 使 用 符 合 国 家 密 码 主 管 部 门 的 要 求 c) 应 指 定 或 授 权 专 门 的 部 门 负 责 安 全 产 品 的 采 购 a) 应 预 先 对 安 全 产 品 进 行 选 型 测 试, 确 定 产 品 的 候 选 范 围 自 行 软 件 开 发 a) 应 确 保 开 发 测 试 环 境 与 实 际 运 行 环 境 物 理 分 开 b) 应 确 保 开 发 人 员 和 测 试 人 员 分 离, 只 能 使 用 自 制 测 试 数 据 或 已 脱 密 的 生 产 数 据 进 行 测 试, 测 试 数 据 和 测 试 结 果 应 受 到 控 制 c) 应 确 保 开 发 人 员 不 兼 任 系 统 管 理 员 或 业 务 操 作 人 员 d) 应 确 保 提 供 软 件 设 计 的 相 关 文 档 和 使 用 指 南, 并 由 专 人 负 责 保 管 a) 应 制 定 代 码 编 写 安 全 规 范, 要 求 开 发 人 员 参 照 规 范 编 写 代 码 b) 应 确 保 对 程 序 资 源 库 的 修 改 更 新 发 布 进 行 授 权 和 批 准 外 包 软 件 开 发 9

14 a) 应 根 据 开 发 要 求 检 测 软 件 质 量 b) 应 确 保 开 发 单 位 提 供 软 件 设 计 的 相 关 文 档 和 使 用 指 南 c) 应 在 软 件 安 装 之 前 检 测 软 件 包 中 可 能 存 在 的 恶 意 代 码 d) 应 要 求 开 发 单 位 提 供 软 件 源 代 码, 并 对 软 件 源 代 码 进 行 后 门 检 测 a) 应 具 有 第 三 方 检 测 机 构 的 安 全 检 测 报 告 b) 应 与 外 包 单 位 签 署 相 关 知 识 产 权 保 护 协 议 和 保 密 协 议, 不 得 将 系 统 采 用 的 关 键 安 全 技 术 措 施 和 核 心 安 全 功 能 设 计 对 外 公 开 工 程 实 施 a) 应 指 定 或 授 权 专 门 的 部 门 或 人 员 负 责 工 程 实 施 过 程 的 管 理 b) 应 制 定 详 细 的 工 程 实 施 方 案, 控 制 工 程 实 施 过 程 a) 应 按 照 工 程 实 施 管 理 制 度 的 相 关 要 求 对 工 程 实 施 全 过 程 进 行 管 理 测 试 验 收 a) 征 信 系 统 测 试 验 收 应 包 含 安 全 性 测 试 相 关 内 容 b) 在 测 试 验 收 前 应 根 据 设 计 方 案 或 合 同 要 求 等 制 订 测 试 验 收 方 案, 在 测 试 验 收 过 程 中 应 详 细 记 录 测 试 验 收 结 果, 并 形 成 测 试 验 收 报 告 c) 应 组 织 相 关 部 门 和 相 关 人 员 对 系 统 测 试 验 收 报 告 进 行 审 定, 并 签 字 确 认 a) 应 对 征 信 系 统 测 试 验 收 的 控 制 方 法 和 人 员 行 为 准 则 进 行 书 面 规 定 b) 应 指 定 或 授 权 专 门 的 部 门 负 责 系 统 测 试 验 收 的 管 理, 并 按 照 管 理 规 定 的 要 求 完 成 系 统 测 试 验 收 工 作 系 统 交 付 a) 应 制 定 征 信 系 统 交 付 清 单, 并 根 据 交 付 清 单 对 所 交 接 的 设 备 软 件 和 文 档 等 进 行 清 点 b) 应 对 负 责 征 信 系 统 运 行 维 护 的 技 术 人 员 进 行 相 应 的 技 能 培 训 c) 应 确 保 提 供 征 信 系 统 建 设 过 程 中 的 文 档 和 指 导 用 户 进 行 系 统 运 行 维 护 的 文 档 a) 应 对 征 信 系 统 交 付 的 控 制 方 法 和 人 员 行 为 准 则 进 行 书 面 规 定 b) 应 指 定 或 授 权 专 门 的 部 门 负 责 征 信 系 统 交 付 的 管 理 工 作, 并 按 照 管 理 规 定 的 要 求 完 成 征 信 系 统 交 付 工 作 系 统 备 案 a) 应 指 定 专 门 的 部 门 或 人 员 负 责 管 理 系 统 定 级 的 相 关 材 料, 并 控 制 这 些 材 料 的 使 用 b) 应 将 系 统 等 级 及 相 关 材 料 报 中 国 人 民 银 行 及 其 派 出 机 构 备 案 10

15 安 全 规 范 测 评 a) 征 信 系 统 上 线 运 行 前, 必 须 进 行 安 全 规 范 测 评, 运 行 过 程 中, 应 至 少 每 两 年 对 系 统 进 行 一 次 安 全 规 范 测 评, 发 现 不 符 合 相 应 标 准 要 求 的 要 及 时 整 改 b) 个 人 征 信 机 构 应 选 择 具 有 国 家 信 息 安 全 等 级 保 护 测 评 资 质 的 机 构 进 行 安 全 规 范 测 评, 测 评 报 告 应 在 报 告 出 具 后 20 日 内 上 报 中 国 人 民 银 行 及 其 派 出 机 构 c) 企 业 征 信 机 构 可 以 选 择 具 有 国 家 信 息 安 全 等 级 保 护 测 评 资 质 的 机 构 进 行 安 全 规 范 测 评, 也 可 以 自 行 测 评, 测 评 报 告 报 中 国 人 民 银 行 及 其 派 出 机 构 a) 应 在 征 信 系 统 发 生 重 大 变 更 时 及 时 对 系 统 进 行 安 全 规 范 测 评, 发 现 不 符 合 本 规 范 要 求 的 要 及 时 整 改 b) 在 征 信 系 统 运 行 过 程 中, 应 至 少 每 年 对 系 统 进 行 一 次 安 全 规 范 测 评, 发 现 不 符 合 本 规 范 要 求 的 要 及 时 整 改 c) 应 指 定 或 授 权 专 门 的 部 门 或 人 员 负 责 安 全 规 范 测 评 的 管 理 外 包 及 安 全 服 务 商 管 理 a) 应 与 选 定 的 外 包 及 安 全 服 务 商 签 订 与 安 全 相 关 的 协 议, 明 确 约 定 相 关 责 任 b) 应 确 保 选 定 的 外 包 及 安 全 服 务 商 提 供 技 术 支 持 和 服 务 承 诺, 必 要 情 况 下, 应 与 其 签 订 服 务 合 同 c) 应 确 保 外 包 服 务 受 托 方 的 系 统 访 问 权 限 受 到 约 束, 涉 及 敏 感 操 作 ( 如 输 入 用 户 口 令 等 ) 应 由 委 托 方 人 员 进 行 操 作 d) 外 包 服 务 的 受 托 方 进 行 现 场 技 术 支 持 服 务 时, 应 事 先 提 交 计 划 操 作 内 容 委 托 方 应 在 现 场 陪 同 外 包 服 务 人 员, 核 对 操 作 内 容 并 准 确 记 录 实 际 操 作 内 容 外 包 服 务 的 受 托 方 人 员 不 得 查 看 复 制 或 带 离 任 何 敏 感 信 息 e) 外 包 服 务 的 受 托 方 应 履 行 服 务 外 包 合 同 ( 协 议 ) 中 的 各 项 安 全 承 诺, 在 提 供 技 术 服 务 期 间, 应 遵 守 委 托 方 相 关 安 全 规 定 与 操 作 规 程 a) 应 制 定 外 包 服 务 应 急 计 划, 有 效 应 对 外 包 服 务 变 更 7.5 系 统 运 维 管 理 环 境 管 理 a) 应 指 定 专 门 的 部 门 或 人 员 定 期 对 机 房 供 配 电 空 调 温 湿 度 控 制 等 设 施 进 行 维 护 管 理 b) 应 配 备 机 房 安 全 管 理 人 员, 对 机 房 的 出 入 服 务 器 的 开 机 或 关 机 等 工 作 进 行 管 理 c) 应 按 照 机 房 安 全 管 理 制 度 的 相 关 要 求, 对 机 房 物 理 访 问, 物 品 带 进 带 出 机 房 和 机 房 环 境 安 全 等 方 面 进 行 管 理 d) 应 加 强 对 办 公 环 境 的 保 密 性 管 理, 包 括 工 作 人 员 调 离 办 公 室 应 立 即 交 还 该 办 公 室 钥 匙 工 作 人 员 离 开 座 位 应 确 保 终 端 计 算 机 退 出 登 录 状 态 和 桌 面 上 没 有 包 含 敏 感 信 息 的 纸 质 文 件 等 a) 应 指 定 专 人 每 日 对 环 境 设 备 设 施 进 行 巡 检, 并 进 行 记 录 11

16 7.5.2 资 产 管 理 a) 应 编 制 与 征 信 系 统 相 关 的 资 产 清 单, 包 括 资 产 责 任 部 门 重 要 程 度 和 所 处 位 置 等 内 容 b) 应 按 照 资 产 安 全 管 理 制 度 的 相 关 要 求, 明 确 征 信 系 统 资 产 管 理 的 责 任 人 员 或 责 任 部 门, 并 对 资 产 管 理 和 使 用 的 行 为 进 行 管 理 a) 应 根 据 资 产 的 重 要 程 度 对 资 产 进 行 标 识 管 理, 根 据 资 产 的 价 值 选 择 相 应 的 管 理 措 施 b) 应 对 信 息 分 类 与 标 识 方 法 做 出 规 定, 并 对 信 息 的 使 用 传 输 和 存 储 等 进 行 规 范 化 管 理 介 质 管 理 a) 应 确 保 介 质 存 放 在 安 全 的 环 境 中, 对 各 类 介 质 进 行 控 制 和 保 护, 并 实 行 存 储 环 境 专 人 管 理 b) 应 对 介 质 归 档 和 查 询 等 过 程 进 行 记 录, 并 根 据 介 质 存 档 的 目 录 清 单 定 期 盘 点 c) 应 对 需 要 送 出 维 修 或 销 毁 的 介 质, 首 先 清 除 其 中 的 敏 感 数 据 或 送 有 相 关 保 密 管 理 责 任 的 部 门 实 施 销 毁, 防 止 信 息 泄 漏 d) 非 征 信 机 构 内 部 存 储 介 质, 未 经 审 核 授 权 不 得 使 用 a) 应 对 介 质 在 物 理 传 输 过 程 中 的 人 员 选 择 打 包 交 付 等 情 况 进 行 控 制, 对 介 质 归 档 和 查 询 等 进 行 登 记 记 录, 并 根 据 介 质 存 档 的 目 录 清 单 定 期 盘 点 b) 应 对 存 储 介 质 的 使 用 过 程 送 出 维 修 以 及 销 毁 等 进 行 严 格 的 管 理, 对 带 出 工 作 环 境 的 存 储 介 质 进 行 内 容 加 密 和 监 控 管 理 c) 对 载 有 敏 感 信 息 存 储 介 质 的 销 毁, 应 由 科 技 部 门 进 行 信 息 消 除 消 磁 或 物 理 粉 碎 等 销 毁 处 理, 并 做 好 相 应 的 销 毁 记 录, 信 息 消 除 处 理 仅 限 于 存 储 介 质 仍 将 在 征 信 机 构 内 部 使 用 的 情 况, 否 则 应 进 行 信 息 的 不 可 恢 复 性 销 毁 d) 应 根 据 数 据 备 份 的 需 要 对 介 质 实 行 异 地 存 储, 存 储 地 的 环 境 要 求 和 管 理 方 法 应 与 本 地 相 同 设 备 管 理 a) 应 对 征 信 系 统 相 关 的 各 种 设 备 ( 包 括 备 份 和 冗 余 设 备 ) 线 路 等 指 定 专 门 的 部 门 或 人 员 定 期 进 行 维 护 管 理 b) 应 按 照 设 备 安 全 管 理 制 度 的 相 关 要 求, 对 征 信 系 统 的 各 种 软 硬 件 设 备 的 选 型 采 购 发 放 和 领 用 等 过 程 进 行 申 报 和 审 批, 并 进 行 规 范 化 管 理 c) 应 对 终 端 计 算 机 工 作 站 便 携 机 系 统 和 网 络 等 设 备 的 操 作 和 使 用 进 行 规 范 化 管 理, 按 操 作 规 程 实 现 关 键 设 备 ( 包 括 备 份 和 冗 余 设 备 ) 的 启 动 / 停 止 加 电 / 断 电 等 操 作 d) 非 征 信 机 构 内 部 设 备 未 经 审 核 授 权 不 得 接 入 内 部 征 信 系 统 e) 应 确 保 信 息 处 理 设 备 必 须 经 过 审 批 才 能 带 离 机 房 或 办 公 地 点 a) 应 严 格 按 照 设 备 安 全 管 理 制 度 的 相 关 要 求, 对 配 套 设 施 软 硬 件 维 护 等 方 面 进 行 有 效 管 理, 包 括 明 确 维 护 人 员 的 责 任 涉 外 维 修 和 服 务 的 审 批 维 修 过 程 的 监 督 控 制 等 监 控 管 理 12

17 a) 应 对 通 信 线 路 主 机 网 络 设 备 和 应 用 软 件 的 运 行 状 况 网 络 流 量 用 户 行 为 等 进 行 监 测 和 报 警, 形 成 记 录 并 妥 善 保 存 b) 应 组 织 相 关 人 员 每 月 对 监 测 和 报 警 记 录 进 行 分 析, 发 现 可 疑 行 为, 形 成 分 析 报 告, 并 采 取 必 要 的 应 对 措 施 a) 应 建 立 安 全 管 理 中 心, 对 设 备 状 态 恶 意 代 码 补 丁 升 级 安 全 审 计 等 安 全 相 关 事 项 进 行 集 中 管 理 网 络 安 全 管 理 a) 应 指 定 人 员 对 网 络 进 行 管 理, 负 责 运 行 日 志 网 络 监 控 记 录 的 日 常 维 护 报 警 信 息 分 析 和 处 理 工 作 b) 应 严 格 按 照 网 络 安 全 管 理 制 度 的 相 关 要 求, 对 网 络 安 全 配 置 日 志 保 存 时 间 安 全 策 略 升 级 与 打 补 丁 口 令 更 新 周 期 等 方 面 进 行 有 效 管 理 c) 应 根 据 厂 家 提 供 的 软 件 升 级 版 本 对 网 络 设 备 进 行 更 新, 并 在 更 新 前 对 现 有 的 重 要 文 件 进 行 备 份, 同 时 应 做 好 应 急 恢 复 准 备 d) 应 每 年 定 期 对 网 络 系 统 进 行 漏 洞 扫 描, 对 发 现 的 网 络 系 统 安 全 漏 洞 进 行 及 时 修 补 e) 应 对 网 络 设 备 的 配 置 文 件 进 行 定 期 备 份 f) 应 保 证 所 有 与 外 部 系 统 的 连 接 均 得 到 授 权 和 批 准 a) 应 依 据 安 全 策 略 允 许 或 者 拒 绝 便 携 式 和 移 动 式 设 备 的 网 络 接 入 b) 应 监 控 和 检 查 违 反 网 络 安 全 策 略 的 行 为 系 统 安 全 管 理 a) 应 根 据 业 务 需 求 和 系 统 安 全 分 析 确 定 系 统 的 访 问 控 制 策 略 b) 应 每 年 定 期 对 系 统 进 行 安 全 漏 洞 扫 描, 对 发 现 的 系 统 安 全 漏 洞 及 时 进 行 修 补 c) 应 安 装 系 统 的 最 新 安 全 补 丁 程 序, 在 安 装 系 统 补 丁 前, 应 首 先 在 测 试 环 境 中 测 试 通 过, 并 对 重 要 文 件 进 行 备 份 后, 方 可 实 施 系 统 补 丁 程 序 的 安 装 d) 应 通 过 系 统 安 全 管 理 制 度, 对 系 统 安 全 策 略 安 全 配 置 日 志 管 理 和 日 常 操 作 流 程 等 方 面 做 出 规 定 e) 应 依 据 操 作 手 册 对 征 信 系 统 进 行 维 护, 详 细 记 录 操 作 日 志, 包 括 重 要 的 日 常 操 作 运 行 维 护 记 录 参 数 的 设 置 和 修 改 等 内 容, 严 禁 进 行 未 经 授 权 的 操 作 f) 应 至 少 每 月 对 运 行 日 志 和 审 计 数 据 进 行 分 析, 以 便 及 时 发 现 异 常 行 为 a) 应 指 定 专 人 对 系 统 进 行 管 理, 划 分 系 统 管 理 员 角 色, 明 确 各 个 角 色 的 权 限 责 任 和 风 险, 权 限 设 定 应 当 遵 循 最 小 授 权 原 则 b) 应 定 期 对 征 信 系 统 进 行 信 息 安 全 风 险 评 估, 针 对 发 现 的 风 险, 制 定 相 应 的 风 险 处 置 措 施, 并 付 诸 实 施 c) 应 及 时 关 注 中 国 国 家 信 息 安 全 漏 洞 库 ( 中 发 布 的 漏 洞 情 况, 及 时 排 除 系 统 隐 患 13

18 7.5.8 恶 意 代 码 防 范 管 理 a) 应 提 高 所 有 用 户 的 防 病 毒 意 识, 告 知 及 时 升 级 防 病 毒 软 件, 在 读 取 移 动 存 储 设 备 上 的 数 据 以 及 网 络 上 接 收 文 件 或 邮 件 之 前, 先 进 行 病 毒 检 查, 对 外 来 计 算 机 或 存 储 设 备 接 入 网 络 系 统 之 前 也 应 进 行 病 毒 检 查 b) 应 指 定 专 人 对 网 络 和 主 机 进 行 恶 意 代 码 检 测 并 保 存 检 测 记 录 c) 应 对 防 恶 意 代 码 软 件 的 授 权 使 用 恶 意 代 码 库 升 级 定 期 汇 报 等 做 出 明 确 规 定 a) 应 至 少 每 月 一 次 检 查 征 信 系 统 内 各 种 产 品 的 恶 意 代 码 库 的 升 级 情 况 并 进 行 记 录, 对 防 病 毒 产 品 上 截 获 的 危 险 病 毒 或 恶 意 代 码 进 行 及 时 分 析 处 理, 并 形 成 书 面 的 报 表 和 汇 总 报 告 密 码 管 理 a) 应 至 少 每 半 年 修 改 一 次 密 码, 包 括 网 络 设 备 用 户 密 码 操 作 系 统 用 户 密 码 数 据 库 用 户 密 码 和 应 用 程 序 用 户 密 码 等 密 码 设 置 规 则 应 符 合 以 下 安 全 强 度 的 要 求 : 不 包 含 全 部 或 部 分 用 户 名 ( 任 意 连 续 3 个 字 符 ) 长 度 至 少 为 8 个 字 符 至 少 包 含 英 文 大 写 字 母 小 写 字 母 数 字 和 特 殊 字 符 这 4 种 类 型 字 符 中 的 3 种 字 符 b) 网 络 设 备 操 作 系 统 数 据 库 和 应 用 程 序 的 超 级 管 理 员 用 户 密 码 要 纸 质 密 封 交 专 人 保 管, 而 其 他 普 通 用 户 密 码 可 根 据 本 机 构 实 际 情 况 采 取 必 要 的 安 全 手 段 妥 善 保 管 a) 使 用 密 钥 的 征 信 机 构 应 对 密 钥 进 行 严 格 管 理, 包 括 以 下 要 求 : 所 有 密 钥 资 源 必 须 登 记 造 册 严 格 保 管, 不 得 以 任 何 形 式 非 法 复 制 修 改 或 外 泄 在 条 件 许 可 的 情 况 下, 应 对 其 进 行 定 期 验 证, 以 确 保 其 可 用 性 和 完 整 性 与 密 钥 资 源 相 关 的 人 员 离 岗 或 转 岗 时 应 做 好 交 接, 密 钥 资 源 的 管 理 保 管 制 作 和 使 用 都 应 遵 循 多 重 控 制 角 色 分 离 的 原 则 密 钥 资 源 的 领 用 应 严 格 审 批, 制 作 加 载 更 换 验 证 维 护 和 销 毁 必 须 按 照 相 关 管 理 规 定 执 行 灾 备 和 生 产 环 节 的 密 钥 资 源 移 交 应 经 各 相 关 部 门 审 批, 并 指 定 专 人 办 理 移 交 手 续 变 更 管 理 a) 征 信 系 统 发 生 变 更 前, 应 经 过 审 批, 在 做 好 征 信 数 据 的 备 份 和 恢 复 工 作 基 础 上, 方 可 实 施 变 更, 并 在 实 施 后 向 相 关 人 员 通 告 b) 应 针 对 征 信 系 统 中 的 重 要 变 更, 制 定 相 应 的 变 更 方 案 a) 应 按 照 变 更 管 理 制 度 中 的 相 关 要 求, 建 立 起 基 于 申 报 和 审 批 的 变 更 控 制 程 序, 对 变 更 影 响 进 行 分 析 并 文 档 化, 记 录 变 更 实 施 过 程, 并 妥 善 保 存 所 有 文 档 和 记 录 b) 应 按 照 变 更 管 理 制 度 中 的 相 关 要 求, 对 中 止 变 更 并 从 失 败 变 更 中 恢 复 的 过 程 进 行 管 理, 明 确 过 程 控 制 方 法 和 人 员 职 责, 必 要 时 对 恢 复 过 程 进 行 演 练 备 份 与 恢 复 管 理 14

19 a) 应 识 别 需 要 定 期 备 份 的 重 要 业 务 信 息 系 统 数 据 及 软 件 系 统 等 b) 应 规 定 备 份 信 息 的 备 份 方 式 备 份 频 度 存 储 介 质 保 存 期 等 c) 应 根 据 数 据 的 重 要 性 及 其 对 系 统 运 行 的 影 响, 制 定 数 据 的 备 份 策 略 和 恢 复 策 略, 备 份 策 略 指 明 备 份 数 据 的 放 置 场 所 文 件 命 名 规 则 介 质 替 换 频 率 和 数 据 离 站 运 输 方 法 a) 应 按 照 数 据 备 份 和 恢 复 的 制 度 要 求, 对 备 份 过 程 进 行 记 录, 备 份 介 质 和 记 录 文 件 应 妥 善 保 存 b) 应 每 季 度 执 行 恢 复 程 序, 检 查 和 测 试 备 份 介 质 的 有 效 性, 确 保 可 以 在 恢 复 程 序 规 定 的 时 间 内 完 成 备 份 的 恢 复 安 全 事 件 处 置 a) 应 报 告 所 发 现 的 安 全 弱 点 和 可 疑 事 件, 且 任 何 情 况 下 用 户 均 不 应 尝 试 验 证 弱 点 b) 应 通 过 安 全 事 件 报 告 和 处 置 管 理 制 度 来 明 确 安 全 事 件 类 型, 规 定 安 全 事 件 的 现 场 处 理 事 件 报 告 和 后 期 恢 复 的 管 理 职 责 c) 应 根 据 安 全 事 件 对 征 信 系 统 产 生 的 影 响, 采 用 国 家 相 关 管 理 部 门 对 计 算 机 安 全 事 件 等 级 划 分 方 法, 对 征 信 系 统 计 算 机 安 全 事 件 进 行 等 级 划 分 d) 应 记 录 并 保 存 所 有 报 告 的 安 全 弱 点 和 可 疑 事 件, 分 析 事 件 原 因, 监 控 事 态 发 展, 采 取 措 施 避 免 安 全 事 件 发 生 a) 应 制 定 安 全 事 件 报 告 和 响 应 处 理 程 序, 确 定 事 件 的 报 告 流 程, 响 应 和 处 置 的 范 围 程 度, 以 及 处 理 方 法 等 b) 应 在 安 全 事 件 报 告 和 响 应 处 理 过 程 中, 分 析 和 鉴 定 事 件 产 生 的 原 因, 收 集 证 据, 记 录 处 理 过 程, 总 结 经 验 教 训, 制 定 防 止 再 次 发 生 的 补 救 措 施, 过 程 形 成 的 所 有 文 件 和 记 录 均 应 妥 善 保 存 c) 对 造 成 征 信 系 统 中 断 和 造 成 信 息 泄 密 的 安 全 事 件 应 采 用 不 同 的 处 理 程 序 和 报 告 程 序 应 急 管 理 a) 应 在 统 一 的 应 急 预 案 框 架 下 制 定 不 同 安 全 事 件 的 应 急 预 案, 应 急 预 案 框 架 应 包 括 启 动 应 急 预 案 的 条 件 应 急 处 理 流 程 系 统 恢 复 流 程 事 后 教 育 和 培 训 等 内 容 b) 应 对 征 信 系 统 相 关 的 人 员 进 行 应 急 预 案 培 训, 应 急 预 案 的 培 训 应 至 少 每 年 举 办 一 次 a) 应 从 人 力 设 备 技 术 和 财 务 等 方 面 确 保 应 急 预 案 的 执 行 有 足 够 的 资 源 保 障 b) 应 定 期 对 应 急 预 案 进 行 演 练 和 评 估, 根 据 不 同 的 应 急 恢 复 内 容, 确 定 演 练 的 周 期, 应 至 少 每 年 演 练 一 次, 并 及 时 组 织 开 展 预 案 评 估 工 作 c) 应 定 期 审 查 和 更 新 应 急 预 案 8 安 全 技 术 8.1 客 户 端 安 全 客 户 端 程 序 15

20 a) 征 信 机 构 及 与 之 相 连 的 信 息 提 供 者 信 息 使 用 者 应 采 取 有 效 技 术 措 施, 保 证 客 户 端 所 处 理 的 信 息 客 户 端 与 服 务 器 交 互 信 息 的 机 密 性 和 完 整 性 ; 征 信 机 构 应 保 证 所 提 供 的 客 户 端 程 序 的 真 实 性 和 完 整 性, 以 及 敏 感 程 序 逻 辑 的 机 密 性 b) 应 对 征 信 系 统 客 户 端 程 序 进 行 签 名, 标 识 客 户 端 程 序 的 来 源 和 发 布 者, 保 证 客 户 所 下 载 的 客 户 端 程 序 来 源 于 所 信 任 的 机 构 c) 征 信 系 统 客 户 端 程 序 应 通 过 采 用 密 码 保 护 控 件 等 方 式, 提 供 客 户 输 入 敏 感 信 息 的 即 时 加 密 功 能, 防 范 恶 意 程 序 获 取 或 篡 改 敏 感 信 息 d) 征 信 系 统 客 户 端 程 序 应 对 用 户 输 入 的 信 息 进 行 数 据 有 效 性 校 验 以 防 止 SQL 注 入 跨 站 脚 本 攻 击 等 漏 洞 e) 征 信 系 统 客 户 端 程 序 应 提 供 图 形 验 证 码 等 防 止 口 令 暴 力 破 解 的 手 段, 同 时 确 保 这 些 保 护 手 段 不 易 被 破 解 绕 过 f) 征 信 系 统 客 户 端 程 序 出 现 错 误 时 应 提 示 用 户 错 误 代 码, 并 使 用 文 字 说 明 等 方 式 引 导 用 户 解 决 问 题 g) 征 信 系 统 客 户 端 程 序 应 保 证 不 在 本 地 的 任 何 地 方 如 硬 盘 等 保 存 敏 感 信 息, 内 存 中 的 信 息 使 用 后 应 及 时 清 除 a) 征 信 机 构 应 建 立 定 期 对 客 户 端 程 序 进 行 安 全 检 测 的 机 制, 或 要 求 接 入 征 信 系 统 的 信 息 提 供 者 信 息 使 用 者 定 期 对 客 户 端 程 序 进 行 安 全 检 测 b) 应 保 护 在 客 户 端 启 动 的 用 于 访 问 征 信 系 统 的 进 程, 防 止 非 法 程 序 获 取 该 进 程 的 访 问 权 限 c) 征 信 系 统 客 户 端 程 序 应 采 用 有 效 技 术 措 施, 防 范 非 法 程 序 获 取 敏 感 信 息, 例 如, 反 屏 幕 录 像 技 术 d) 征 信 系 统 客 户 端 程 序 应 具 有 抗 逆 向 分 析 抗 反 汇 编 等 安 全 性 防 护 措 施, 防 范 攻 击 者 对 客 户 端 程 序 的 调 试 分 析 和 篡 改 e) 征 信 系 统 客 户 端 程 序 应 防 范 键 盘 窃 听 敏 感 信 息, 例 如 防 范 采 用 挂 钩 Windows 键 盘 消 息 等 方 式 进 行 键 盘 窃 听, 并 应 具 有 对 通 过 挂 钩 窃 听 键 盘 信 息 进 行 预 警 的 功 能 f) 征 信 系 统 客 户 端 程 序 应 采 用 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 实 现 用 户 身 份 鉴 别 g) 征 信 系 统 客 户 端 程 序 应 能 检 测 和 防 止 多 个 应 用 实 例 同 时 运 行 h) B/S 模 式 客 户 端 应 具 有 防 网 络 钓 鱼 的 功 能, 例 如, 显 示 客 户 预 留 信 息 使 用 预 留 信 息 卡 客 户 自 定 义 个 性 化 界 面 等 客 户 端 环 境 安 全 a) 征 信 机 构 应 采 取 有 效 措 施 提 升 本 机 构 客 户 端 环 境 安 全 级 别, 例 如 在 线 杀 毒 服 务 安 全 检 测 工 具 等, 并 在 显 著 位 置 予 以 提 醒 ; 同 时 应 要 求 接 入 征 信 系 统 的 信 息 提 供 者 信 息 使 用 者 采 取 有 效 措 施 提 升 本 机 构 客 户 端 环 境 安 全 级 别 b) 当 征 信 机 构 发 现 其 客 户 端 环 境 存 在 重 大 安 全 缺 陷 或 安 全 威 胁 时, 应 当 在 门 户 站 点 发 布 警 示 通 知, 并 通 过 短 信 邮 件 等 方 式 警 示 用 户 8.2 通 信 网 络 安 全 本 条 内 容 指 信 息 在 网 络 传 输 过 程 中 采 用 的 通 讯 协 议 和 安 全 认 证 方 式, 不 包 括 网 络 基 础 设 施 方 面 的 内 容 16

21 8.2.1 通 讯 协 议 a) 面 向 互 联 网 的 征 信 系 统, 应 使 用 强 壮 的 加 密 算 法 和 安 全 协 议 保 护 客 户 端 与 服 务 器 之 间 所 有 连 接, 保 证 信 息 传 输 的 机 密 性 和 完 整 性, 例 如, 使 用 SSL/TLS IPSEC 和 WTLS 等 协 议 b) 如 果 使 用 SSL 协 议, 应 使 用 3.0 及 以 上 相 对 高 版 本 的 协 议, 取 消 对 低 版 本 协 议 的 支 持 a) 应 使 用 强 壮 的 加 密 算 法 和 安 全 协 议 保 护 征 信 系 统 与 其 他 应 用 服 务 器 之 间 所 有 连 接, 保 证 信 息 传 输 的 机 密 性 和 完 整 性 安 全 认 证 a) 征 信 系 统 客 户 端 与 服 务 器 应 使 用 安 全 的 协 议 和 强 壮 的 加 密 算 法 进 行 安 全 可 靠 的 身 份 认 证 b) 整 个 通 讯 期 间, 经 过 认 证 的 通 讯 线 路 应 一 直 保 持 安 全 连 接 状 态 a) 面 向 互 联 网 的 征 信 系 统 Web 服 务 器 应 使 用 获 得 工 信 部 电 子 认 证 服 务 许 可 证 的 电 子 认 证 服 务 机 构 颁 发 的 CA 证 书 及 认 证 服 务 b) 应 确 保 客 户 获 取 的 面 向 互 联 网 的 征 信 系 统 Web 服 务 器 的 根 证 书 为 合 法 电 子 认 证 服 务 机 构 所 颁 发, 且 真 实 有 效, 可 采 用 的 方 法 包 括 但 不 限 于 : 在 客 户 注 册 征 信 系 统 时 分 发 根 证 书, 或 将 根 证 书 集 成 在 客 户 端 控 件 下 载 包 中 分 发 等 c) 对 于 提 供 批 量 信 息 服 务 的 重 要 客 户 端, 应 采 用 双 向 身 份 认 证 双 向 身 份 认 证 指 不 仅 服 务 器 对 客 户 端 身 份 进 行 认 证, 客 户 端 也 应 认 证 服 务 器 的 身 份 8.3 服 务 器 端 安 全 物 理 安 全 a) 物 理 位 置 的 选 择 机 房 和 办 公 场 地 应 选 择 在 具 有 防 震 防 风 和 防 雨 等 能 力 的 建 筑 内 b) 物 理 访 问 控 制 机 房 出 入 口 应 安 排 专 人 值 守, 控 制 鉴 别 和 记 录 进 入 的 人 需 进 入 机 房 的 来 访 人 员 应 经 过 申 请 和 审 批 流 程, 并 限 制 和 监 控 其 活 动 范 围 c) 防 盗 窃 和 防 破 坏 应 将 主 要 设 备 放 置 在 机 房 内 应 将 设 备 或 主 要 部 件 进 行 固 定, 并 设 置 明 显 的 不 易 除 去 的 标 记 应 将 通 信 线 缆 铺 设 在 隐 蔽 处, 可 铺 设 在 地 下 或 管 道 中 应 对 介 质 分 类 标 识, 存 储 在 介 质 库 或 档 案 室 中 主 机 房 应 安 装 必 要 的 防 盗 报 警 设 施 和 监 控 报 警 系 统 d) 防 雷 击 机 房 建 筑 应 设 置 避 雷 装 置 机 房 应 设 置 交 流 电 源 地 线 e) 防 火 机 房 应 设 置 灭 火 设 备 和 火 灾 自 动 报 警 系 统 17

22 f) 防 水 和 防 潮 水 管 安 装 不 得 穿 过 机 房 屋 顶 和 活 动 地 板 下 应 采 取 措 施 防 止 雨 水 通 过 机 房 窗 户 屋 顶 和 墙 壁 渗 透 应 采 取 措 施 防 止 机 房 内 水 蒸 气 结 露 和 地 下 积 水 的 转 移 与 渗 透 g) 防 静 电 关 键 设 备 应 采 用 必 要 的 接 地 防 静 电 措 施 h) 温 湿 度 控 制 机 房 应 设 置 温 湿 度 自 动 调 节 设 施, 使 机 房 温 湿 度 的 变 化 在 设 备 运 行 所 允 许 的 范 围 之 内 i) 电 力 供 应 应 在 机 房 供 电 线 路 上 配 置 稳 压 器 和 过 电 压 防 护 设 备 应 提 供 短 期 的 备 用 电 力 供 应, 至 少 满 足 关 键 设 备 在 断 电 情 况 下 的 正 常 运 行 要 求 j) 电 磁 防 护 电 源 线 和 通 信 线 缆 应 隔 离 铺 设, 避 免 互 相 干 扰 a) 物 理 位 置 的 选 择 机 房 场 地 应 避 免 设 在 建 筑 物 的 高 层 或 地 下 室, 以 及 用 水 设 备 的 下 层 或 隔 壁 b) 物 理 访 问 控 制 应 对 机 房 划 分 区 域 管 理, 区 域 和 区 域 之 间 设 置 物 理 隔 离 装 置, 在 重 要 区 域 前 设 置 交 付 或 安 装 等 过 渡 区 域 重 要 区 域 应 配 置 电 子 门 禁 系 统, 控 制 鉴 别 和 记 录 进 入 的 人 员 c) 防 盗 窃 和 防 破 坏 应 利 用 光 电 等 技 术 设 置 机 房 防 盗 报 警 系 统 d) 防 雷 击 应 设 置 防 雷 保 安 器, 防 止 感 应 雷 e) 防 火 机 房 应 设 置 火 灾 自 动 消 防 系 统, 能 够 自 动 检 测 火 情 自 动 报 警, 并 自 动 灭 火 机 房 及 相 关 的 工 作 房 间 和 辅 助 房 应 采 用 具 有 耐 火 等 级 的 建 筑 材 料 机 房 应 采 取 区 域 隔 离 防 火 措 施, 将 重 要 设 备 与 其 他 设 备 隔 离 开 f) 防 水 和 防 潮 应 安 装 对 水 敏 感 的 检 测 仪 表 或 元 件, 对 机 房 进 行 防 水 检 测 和 报 警 g) 防 静 电 机 房 应 采 用 高 架 防 静 电 地 板 h) 电 力 供 应 应 设 置 冗 余 或 并 行 的 电 力 电 缆 线 路 为 计 算 机 系 统 供 电 应 建 立 备 用 供 电 系 统 i) 电 磁 防 护 应 采 用 接 地 方 式 防 止 外 界 电 磁 干 扰 和 设 备 寄 生 耦 合 干 扰 网 络 安 全 a) 结 构 安 全 应 保 证 关 键 网 络 设 备 的 业 务 处 理 能 力 具 备 冗 余 空 间, 满 足 业 务 高 峰 期 需 要 18

23 19 JR/T 应 保 证 接 入 网 络 和 核 心 网 络 的 带 宽 满 足 业 务 高 峰 期 需 要 应 绘 制 与 当 前 运 行 情 况 相 符 的 网 络 拓 扑 结 构 图 应 根 据 各 部 门 的 工 作 职 能 重 要 性 和 所 涉 及 信 息 的 重 要 程 度 等 因 素, 划 分 不 同 的 子 网 或 网 段, 并 按 照 方 便 管 理 和 控 制 的 原 则 为 各 子 网 网 段 分 配 地 址 段 b) 访 问 控 制 应 在 网 络 边 界 部 署 访 问 控 制 设 备, 启 用 访 问 控 制 功 能 应 能 根 据 会 话 状 态 信 息 为 数 据 流 提 供 明 确 的 允 许 / 拒 绝 访 问 的 能 力, 控 制 粒 度 为 网 段 级 应 按 用 户 和 系 统 之 间 的 允 许 访 问 规 则, 决 定 允 许 或 拒 绝 用 户 对 受 控 系 统 进 行 资 源 访 问, 控 制 粒 度 为 单 个 用 户 应 限 制 具 有 拨 号 访 问 权 限 的 用 户 数 量 c) 安 全 审 计 应 对 网 络 系 统 中 的 网 络 设 备 运 行 状 况 网 络 流 量 用 户 行 为 等 进 行 日 志 记 录 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 用 户 事 件 类 型 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 d) 边 界 完 整 性 检 查 应 能 够 对 内 部 网 络 中 出 现 的 内 部 用 户 未 经 准 许 私 自 联 接 到 外 部 网 络 的 行 为 进 行 检 查 e) 入 侵 防 范 应 在 网 络 边 界 处 监 视 以 下 攻 击 行 为 : 端 口 扫 描 强 力 攻 击 木 马 后 门 攻 击 拒 绝 服 务 攻 击 f) 网 络 设 备 防 护 缓 冲 区 溢 出 攻 击 IP 碎 片 攻 击 和 网 络 蠕 虫 攻 击 等 应 对 登 录 网 络 设 备 的 用 户 进 行 身 份 鉴 别 应 对 网 络 设 备 的 管 理 员 登 录 地 址 进 行 限 制 网 络 设 备 用 户 的 标 识 应 唯 一 身 份 鉴 别 信 息 应 具 有 不 易 被 冒 用 的 特 点, 口 令 应 符 合 密 码 管 理 的 相 关 要 求, 有 效 期 最 长 为 六 个 月 应 具 有 登 录 失 败 处 理 功 能, 可 采 取 结 束 会 话 限 制 非 法 登 录 次 数 和 当 网 络 登 录 连 接 超 时 自 动 退 出 等 措 施 当 对 网 络 设 备 进 行 远 程 管 理 时, 应 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 a) 结 构 安 全 应 在 业 务 终 端 与 业 务 服 务 器 之 间 进 行 路 由 控 制 建 立 安 全 的 访 问 路 径 b) 访 问 控 制 应 避 免 将 重 要 网 段 部 署 在 网 络 边 界 处 且 直 接 连 接 外 部 信 息 系 统, 重 要 网 段 与 其 他 网 段 之 间 采 取 可 靠 的 技 术 隔 离 手 段 应 按 照 对 业 务 服 务 的 重 要 次 序 来 指 定 带 宽 分 配 优 先 级 别, 保 证 在 网 络 发 生 拥 堵 的 时 候 优 先 保 护 重 要 主 机 应 能 根 据 会 话 状 态 信 息 为 数 据 流 提 供 明 确 的 允 许 / 拒 绝 访 问 的 能 力, 控 制 粒 度 为 端 口 级 应 对 进 出 网 络 的 信 息 内 容 进 行 过 滤, 实 现 对 应 用 层 HTTP FTP TELNET SMTP POP3 等 协 议 命 令 级 的 控 制 应 在 会 话 处 于 非 活 跃 状 态 一 定 时 间 或 会 话 结 束 后 终 止 访 问 连 接 应 限 制 网 络 最 大 流 量 及 网 络 连 接 数 重 要 网 段 应 采 取 技 术 手 段 防 止 地 址 欺 骗

24 应 对 实 施 查 询 的 客 户 端 网 络 地 址 等 信 息 进 行 识 别 与 记 录 c) 安 全 审 计 应 能 够 根 据 记 录 数 据 进 行 分 析, 并 生 成 审 计 报 表 应 对 审 计 记 录 进 行 保 护, 避 免 受 到 未 预 期 的 删 除 修 改 或 覆 盖 等 d) 边 界 完 整 性 检 查 应 能 够 对 非 授 权 设 备 私 自 联 到 内 部 网 络 的 行 为 进 行 检 查, 准 确 定 出 位 置, 并 对 其 进 行 有 效 阻 断 应 能 够 对 内 部 网 络 用 户 私 自 联 到 外 部 网 络 的 行 为 进 行 检 查, 准 确 定 出 位 置, 并 对 其 进 行 有 效 阻 断 e) 入 侵 防 范 当 检 测 到 攻 击 行 为 时, 记 录 攻 击 源 IP 攻 击 类 型 攻 击 目 的 攻 击 时 间, 在 发 生 严 重 入 侵 事 件 时 应 提 供 报 警 f) 恶 意 代 码 防 范 应 在 网 络 边 界 处 对 恶 意 代 码 进 行 检 测 和 清 除 应 维 护 恶 意 代 码 库 的 升 级 和 检 测 系 统 的 更 新 g) 网 络 设 备 防 护 主 要 网 络 设 备 应 对 同 一 用 户 选 择 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 来 进 行 身 份 鉴 别 应 实 现 设 备 特 权 用 户 的 权 限 分 离 主 机 安 全 a) 身 份 鉴 别 应 对 登 录 操 作 系 统 和 数 据 库 系 统 的 用 户 进 行 身 份 标 识 和 鉴 别 操 作 系 统 和 数 据 库 系 统 管 理 用 户 身 份 标 识 应 具 有 不 易 被 冒 用 的 特 点, 口 令 应 符 合 密 码 管 理 的 相 关 要 求, 有 效 期 最 长 为 六 个 月 应 启 用 登 录 失 败 处 理 功 能, 可 采 取 结 束 会 话 限 制 非 法 登 录 次 数 和 自 动 退 出 等 措 施 当 对 服 务 器 进 行 远 程 管 理 时, 应 采 取 必 要 措 施, 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 应 为 操 作 系 统 和 数 据 库 系 统 的 不 同 用 户 分 配 不 同 的 用 户 名, 确 保 用 户 名 具 有 唯 一 性 b) 访 问 控 制 应 启 用 访 问 控 制 功 能, 依 据 安 全 策 略 控 制 用 户 对 资 源 的 访 问 应 根 据 管 理 用 户 的 角 色 分 配 权 限, 实 现 管 理 用 户 的 权 限 分 离, 仅 授 予 管 理 用 户 所 需 的 最 小 权 限 应 实 行 操 作 系 统 和 数 据 库 系 统 特 权 用 户 的 权 限 分 离 应 限 制 默 认 账 户 的 访 问 权 限, 重 命 名 系 统 默 认 账 户, 修 改 这 些 账 户 的 默 认 口 令 应 及 时 删 除 或 禁 用 多 余 的 过 期 的 账 户, 避 免 共 享 账 户 过 期 账 户 的 使 用 c) 安 全 审 计 审 计 范 围 应 覆 盖 到 服 务 器 上 的 每 个 操 作 系 统 用 户 和 数 据 库 用 户 审 计 内 容 应 包 括 用 户 权 限 重 要 用 户 行 为 系 统 资 源 的 异 常 使 用 和 重 要 系 统 命 令 的 使 用 等 系 统 内 重 要 的 安 全 操 作 审 计 记 录 应 包 括 事 件 的 日 期 时 间 类 型 主 体 标 识 客 体 标 识 和 结 果 等 应 保 护 审 计 记 录, 避 免 受 到 未 预 期 的 删 除 修 改 或 覆 盖 等 d) 入 侵 防 范 20

25 操 作 系 统 应 遵 循 最 小 安 装 的 原 则, 仅 安 装 需 要 的 组 件 和 应 用 程 序, 并 通 过 设 置 升 级 服 务 器 等 方 式 保 持 系 统 补 丁 及 时 得 到 更 新 e) 资 源 控 制 应 通 过 设 定 终 端 接 入 方 式 网 络 地 址 范 围 等 条 件 限 制 终 端 登 录 应 根 据 安 全 策 略 设 置 登 录 终 端 的 操 作 超 时 锁 定 应 限 制 单 个 用 户 对 系 统 资 源 的 最 大 或 最 小 使 用 限 度 应 对 重 要 服 务 器 进 行 监 视, 包 括 监 视 服 务 器 的 CPU 硬 盘 内 存 网 络 等 资 源 的 使 用 情 况 a) 身 份 鉴 别 应 采 用 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 对 管 理 用 户 进 行 身 份 鉴 别 b) 安 全 审 计 应 能 够 根 据 记 录 数 据 进 行 分 析, 并 生 成 审 计 报 表 应 保 护 审 计 进 程, 避 免 发 生 未 预 期 的 中 断 c) 入 侵 防 范 应 能 够 检 测 到 对 重 要 服 务 器 进 行 入 侵 的 行 为, 能 够 记 录 入 侵 的 源 IP 攻 击 的 类 型 攻 击 的 目 的 攻 击 的 时 间, 并 在 发 生 严 重 入 侵 事 件 时 提 供 报 警 应 能 够 对 重 要 程 序 的 完 整 性 进 行 检 测, 并 在 检 测 到 完 整 性 受 到 破 坏 后 具 有 恢 复 的 措 施 d) 资 源 控 制 系 统 的 服 务 水 平 降 低 到 预 先 规 定 的 最 小 值 时, 应 能 够 进 行 检 测 和 报 警 应 用 安 全 a) 身 份 鉴 别 应 提 供 专 用 的 登 录 控 制 模 块 对 登 录 用 户 进 行 身 份 标 识 和 鉴 别 应 提 供 登 录 失 败 处 理 功 能, 可 采 取 结 束 会 话 限 制 非 法 登 录 次 数 和 自 动 退 出 等 措 施 应 启 用 身 份 鉴 别 用 户 身 份 标 识 唯 一 性 检 查 用 户 身 份 鉴 别 信 息 复 杂 度 检 查 以 及 登 录 失 败 处 理 功 能, 并 根 据 安 全 策 略 配 置 相 关 参 数 用 户 身 份 鉴 别 信 息 应 符 合 密 码 管 理 的 相 关 规 定, 有 效 期 最 长 为 六 个 月 b) 访 问 控 制 应 提 供 访 问 控 制 功 能, 依 据 安 全 策 略 控 制 用 户 对 文 件 数 据 库 表 等 客 体 的 访 问 访 问 控 制 的 覆 盖 范 围 应 包 括 与 资 源 访 问 相 关 的 主 体 客 体 及 它 们 之 间 的 操 作 应 由 授 权 主 体 配 置 访 问 控 制 策 略, 并 严 格 限 制 默 认 账 户 的 访 问 权 限 应 授 予 不 同 账 户 为 完 成 各 自 承 担 任 务 所 需 的 最 小 权 限, 并 在 它 们 之 间 形 成 相 互 制 约 的 关 系 c) 安 全 审 计 应 提 供 覆 盖 到 每 个 用 户 的 安 全 审 计 功 能, 对 用 户 权 限 及 应 用 系 统 重 要 安 全 事 件 进 行 审 计 ; 应 保 证 无 法 删 除 修 改 或 覆 盖 审 计 记 录 审 计 记 录 的 内 容 至 少 应 包 括 事 件 日 期 时 间 发 起 者 信 息 类 型 描 述 和 结 果 等 d) 通 信 完 整 性 应 采 用 校 验 码 技 术 保 证 通 信 过 程 中 数 据 的 完 整 性 e) 通 信 保 密 性 在 通 信 双 方 建 立 连 接 之 前, 应 用 系 统 应 利 用 密 码 技 术 进 行 会 话 初 始 化 验 证 21

26 应 对 通 信 过 程 中 的 敏 感 信 息 字 段 进 行 加 密 f) 软 件 容 错 应 提 供 数 据 有 效 性 检 验 功 能, 保 证 通 过 人 机 接 口 输 入 或 通 过 通 信 接 口 输 入 的 数 据 格 式 或 长 度 符 合 系 统 设 定 要 求 在 故 障 发 生 时, 应 用 系 统 应 能 够 继 续 提 供 一 部 分 功 能, 确 保 能 够 实 施 必 要 的 措 施 g) 资 源 控 制 当 应 用 系 统 通 信 双 方 中 的 一 方 在 一 段 时 间 内 未 作 任 何 响 应 时, 另 一 方 应 能 够 自 动 结 束 会 话 应 能 够 对 应 用 系 统 的 最 大 并 发 会 话 连 接 数 进 行 限 制 应 能 够 对 单 个 账 户 的 多 重 并 发 会 话 进 行 限 制 a) 身 份 鉴 别 应 对 同 一 用 户 采 用 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 实 现 用 户 身 份 鉴 别 b) 访 问 控 制 应 具 有 对 重 要 信 息 资 源 设 置 敏 感 标 记 的 功 能 应 依 据 安 全 策 略 严 格 控 制 用 户 对 有 敏 感 标 记 重 要 信 息 资 源 的 操 作 c) 安 全 审 计 应 保 证 无 法 单 独 中 断 审 计 进 程, 无 法 删 除 修 改 或 覆 盖 审 计 记 录 应 提 供 对 审 计 记 录 数 据 进 行 统 计 查 询 分 析 及 生 成 审 计 报 表 的 功 能 d) 剩 余 信 息 保 护 e) 通 信 完 整 性 应 保 证 用 户 鉴 别 信 息 所 在 的 存 储 空 间 被 释 放 或 再 分 配 给 其 他 用 户 前 得 到 完 全 清 除, 无 论 这 些 信 息 是 存 放 在 硬 盘 上 还 是 在 内 存 中 应 保 证 系 统 内 的 文 件 目 录 和 数 据 库 记 录 等 资 源 所 在 的 存 储 空 间 被 释 放 或 重 新 分 配 给 其 他 用 户 前 得 到 完 全 清 除 应 采 用 密 码 技 术 保 证 通 信 过 程 中 数 据 的 完 整 性 f) 通 信 保 密 性 应 对 通 信 过 程 中 的 整 个 报 文 或 会 话 过 程 进 行 加 密 g) 抗 抵 赖 应 具 有 在 请 求 的 情 况 下 为 数 据 原 发 者 或 接 收 者 提 供 数 据 原 发 证 据 的 功 能 应 具 有 在 请 求 的 情 况 下 为 数 据 原 发 者 或 接 收 者 提 供 数 据 接 收 证 据 的 功 能 h) 软 件 容 错 应 提 供 自 动 保 护 功 能, 当 故 障 发 生 时 自 动 保 护 当 前 所 有 状 态, 保 证 系 统 能 够 进 行 恢 复 i) 资 源 控 制 应 能 够 对 一 个 时 间 段 内 可 能 的 并 发 会 话 连 接 数 进 行 限 制 应 能 够 对 一 个 访 问 账 户 或 一 个 请 求 进 程 占 用 的 资 源 分 配 最 大 限 额 和 最 小 限 额 应 能 够 对 系 统 服 务 水 平 降 低 到 预 先 规 定 的 最 小 值 进 行 检 测 和 报 警 应 提 供 服 务 优 先 级 设 定 功 能, 并 在 安 装 后 根 据 安 全 策 略 设 定 访 问 账 户 或 请 求 进 程 的 优 先 级, 根 据 优 先 级 分 配 系 统 资 源 数 据 安 全 及 备 份 恢 复 22

27 a) 数 据 完 整 性 应 能 够 检 测 到 系 统 管 理 数 据 鉴 别 信 息 和 重 要 业 务 数 据 在 传 输 过 程 中 完 整 性 受 到 破 坏, 并 在 检 测 到 完 整 性 错 误 时 采 取 必 要 的 恢 复 措 施 应 能 够 检 测 到 系 统 管 理 数 据 鉴 别 信 息 和 重 要 业 务 数 据 在 存 储 过 程 中 完 整 性 受 到 破 坏, 并 在 检 测 到 完 整 性 错 误 时 采 取 必 要 的 恢 复 措 施 b) 数 据 保 密 性 征 信 系 统 应 采 用 加 密 或 其 他 有 效 措 施 实 现 系 统 管 理 数 据 和 鉴 别 信 息 传 输 保 密 性 征 信 系 统 应 采 用 加 密 或 其 他 保 护 措 施 实 现 系 统 管 理 数 据 和 鉴 别 信 息 存 储 保 密 性 c) 备 份 和 恢 复 应 提 供 本 地 数 据 备 份 与 恢 复 功 能, 增 量 数 据 备 份 至 少 每 天 一 次, 完 全 数 据 备 份 至 少 每 周 一 次, 备 份 介 质 场 外 存 放 应 提 供 关 键 网 络 设 备 通 信 线 路 和 数 据 处 理 系 统 的 硬 件 冗 余, 保 证 系 统 的 可 用 性 a) 数 据 保 密 性 征 信 系 统 应 采 用 加 密 或 其 他 有 效 措 施 实 现 系 统 管 理 数 据 鉴 别 信 息 和 重 要 业 务 数 据 传 输 保 密 性 征 信 系 统 应 采 用 加 密 或 其 他 保 护 措 施 实 现 系 统 管 理 数 据 鉴 别 信 息 和 重 要 业 务 数 据 存 储 保 密 性 b) 备 份 和 恢 复 数 据 备 份 应 实 现 实 时 本 地 备 份 应 提 供 异 地 数 据 备 份 功 能, 利 用 通 信 网 络 将 关 键 数 据 定 时 批 量 传 送 至 备 用 场 地 应 采 用 冗 余 技 术 设 计 网 络 拓 扑 结 构, 避 免 关 键 节 点 存 在 单 点 故 障 应 提 供 主 要 网 络 设 备 通 信 线 路 和 数 据 处 理 系 统 的 硬 件 冗 余, 保 证 系 统 的 高 可 用 性 9 业 务 运 作 9.1 系 统 接 入 系 统 接 入 应 满 足 以 下 要 求 : a) 系 统 接 入 是 指 征 信 机 构 与 信 息 提 供 者 信 息 使 用 者 协 议 约 定, 通 过 接 口 规 范 接 收 信 息 提 供 者 提 供 的 征 信 业 务 数 据, 或 者 向 信 息 使 用 者 提 供 查 询 服 务 通 过 非 接 口 规 范 方 式 接 收 征 信 业 务 数 据, 或 提 供 查 询 服 务 的 征 信 机 构, 不 适 用 本 条 规 定 b) 征 信 机 构 应 当 建 立 外 部 机 构 接 入 征 信 系 统 的 管 理 办 法, 明 确 信 息 提 供 者 信 息 使 用 者 的 接 入 条 件 提 交 的 申 请 材 料 申 请 和 审 核 程 序 等 c) 征 信 机 构 应 当 对 外 部 机 构 申 请 接 入 征 信 系 统 的 必 要 性 业 务 系 统 及 业 务 现 状 安 全 管 理 水 平 网 络 条 件 等 是 否 符 合 前 款 规 定 进 行 综 合 评 估, 确 认 符 合 条 件 的 方 可 接 入 征 信 系 统 d) 征 信 机 构 应 当 在 测 试 环 境 下 对 信 息 提 供 者 信 息 使 用 者 的 接 口 规 范 程 序 网 络 条 件 等 进 行 测 试, 测 试 通 过 后 方 可 接 入 征 信 系 统 生 产 环 境 9.2 系 统 注 销 系 统 注 销 应 满 足 以 下 要 求 : a) 征 信 机 构 应 当 建 立 外 部 机 构 从 征 信 系 统 注 销 的 管 理 办 法, 明 确 信 息 提 供 者 信 息 使 用 者 从 征 信 23

28 系 统 注 销 的 流 程 提 交 的 材 料 时 限 要 求 已 提 供 信 息 的 后 续 处 理 以 及 征 信 机 构 主 动 注 销 操 作 等 事 项 b) 征 信 机 构 应 当 按 照 规 定 流 程 对 信 息 提 供 者 信 息 使 用 者 的 注 销 申 请 进 行 审 核, 确 认 申 请 机 构 不 存 在 未 结 清 业 务 数 据 异 议 信 息 等 遗 留 问 题, 审 核 通 过 后 再 进 行 注 销 操 作 c) 停 止 经 营 活 动 且 营 业 执 照 等 已 注 销, 但 是 不 主 动 申 请 从 征 信 系 统 注 销 的 机 构, 征 信 机 构 经 核 实 后 可 发 起 主 动 注 销 操 作 9.3 用 户 管 理 用 户 管 理 包 括 内 部 用 户 管 理 和 外 部 用 户 管 理, 具 体 要 求 如 下 : a) 内 部 用 户 管 理 征 信 机 构 应 当 建 立 征 信 系 统 内 部 用 户 管 理 制 度, 明 确 各 类 内 部 用 户 的 申 请 创 建 变 更 终 止 及 用 户 操 作 等 相 关 要 求, 关 键 岗 位 不 得 互 相 兼 任 b) 外 部 用 户 管 理 征 信 机 构 应 当 要 求 通 过 接 口 方 式 接 入 征 信 系 统 的 外 部 机 构 ( 信 息 提 供 者 信 息 使 用 者 ) 制 定 用 户 管 理 制 度, 明 确 管 理 员 用 户 数 据 查 询 用 户 数 据 报 送 用 户 异 议 处 理 用 户 等 的 职 责 和 权 限, 建 立 各 类 用 户 的 操 作 规 程 征 信 机 构 应 当 规 范 管 理 通 过 非 接 口 方 式 访 问 征 信 系 统 的 外 部 用 户, 合 理 配 置 其 访 问 权 限, 采 取 必 要 措 施 防 范 外 部 用 户 操 作 风 险 c) 征 信 机 构 应 当 建 立 征 信 系 统 监 控 制 度, 对 内 部 用 户 和 外 部 用 户 的 异 常 操 作 行 为 进 行 监 控, 必 要 时 采 取 措 施 暂 停 违 规 用 户 权 限, 保 障 征 信 系 统 安 全 运 行 d) 征 信 机 构 应 当 定 期 对 内 外 部 用 户 的 设 置 用 户 权 限 用 户 操 作 及 用 户 管 理 制 度 的 执 行 情 况 等 进 行 检 查 9.4 信 息 采 集 和 处 理 信 息 采 集 和 处 理 包 括 接 口 规 范 方 式 和 非 接 口 规 范 方 式 两 种, 具 体 要 求 如 下 : 接 口 规 范 方 式 a) 征 信 机 构 应 当 制 定 合 适 的 信 息 采 集 流 程 和 处 理 策 略, 明 确 信 息 采 集 的 范 围 内 容 方 式 和 频 次 报 文 接 收 与 反 馈 意 外 事 件 处 理 及 相 关 岗 位 职 责 等, 合 理 控 制 报 文 加 载 顺 序 进 度, 确 保 征 信 信 息 及 时 加 载 入 库 b) 征 信 机 构 接 收 信 息 提 供 者 按 照 征 信 系 统 接 口 规 范 生 成 的 征 信 业 务 数 据 报 文, 记 录 报 文 登 记 信 息, 自 动 进 行 解 密 和 加 载 处 理, 业 务 操 作 人 员 应 及 时 跟 踪 报 文 的 接 收 和 处 理 情 况 c) 征 信 系 统 对 征 信 业 务 数 据 报 文 进 行 处 理 时, 加 载 成 功 的 信 息, 按 照 征 信 系 统 接 口 规 范 生 成 反 馈 报 文, 反 馈 给 信 息 提 供 者 d) 征 信 系 统 对 征 信 业 务 数 据 报 文 进 行 处 理 时, 加 载 异 常 的 信 息, 征 信 系 统 应 将 错 误 信 息 反 馈 给 信 息 提 供 者, 由 其 进 行 重 报 征 信 机 构 业 务 操 作 人 员 应 及 时 联 系 信 息 提 供 者 相 关 人 员, 进 行 跟 踪 处 理 非 接 口 规 范 方 式 a) 征 信 机 构 应 当 制 定 通 过 手 工 录 入 介 质 导 入 等 非 接 口 方 式 采 集 信 息 的 具 体 流 程, 明 确 信 息 采 集 范 围 内 容 方 式 和 频 次 信 息 审 核 错 误 数 据 修 改 及 相 关 岗 位 职 责 等 b) 征 信 机 构 应 当 对 信 息 来 源 和 内 容 进 行 审 核, 审 核 通 过 后 再 发 起 手 工 录 入 介 质 导 入 等 操 作 24

29 c) 征 信 系 统 应 当 对 手 工 录 入 介 质 导 入 的 征 信 业 务 数 据 进 行 合 法 性 校 验, 无 法 正 常 录 入 征 信 系 统 的 信 息, 由 业 务 操 作 人 员 通 过 专 门 数 据 修 改 流 程 进 行 核 查 处 理 9.5 信 息 加 工 信 息 加 工 应 满 足 以 下 要 求 : a) 征 信 机 构 对 采 集 的 信 息 进 行 整 理, 形 成 信 用 报 告 等 基 础 征 信 产 品, 应 当 遵 循 客 观 性 原 则, 不 得 擅 自 更 改 原 始 数 据 b) 征 信 机 构 对 采 集 的 信 息 进 行 加 工, 形 成 信 用 评 分 信 用 评 级 及 其 他 增 值 类 征 信 产 品, 不 得 擅 自 更 改 原 始 数 据 ; 同 时, 征 信 机 构 还 应 对 信 息 加 工 所 采 用 的 方 法 和 模 型 作 出 说 明, 便 于 信 息 使 用 者 信 息 主 体 理 解 和 接 受 9.6 信 息 保 存 信 息 保 存 应 满 足 以 下 要 求 : a) 征 信 系 统 应 在 一 定 时 期 内 保 存 对 外 交 互 过 程 中 产 生 的 信 息 文 件, 如 信 息 提 供 者 的 原 始 报 文 文 件 反 馈 文 件 信 息 查 询 文 件 等 ; 同 时 应 保 存 交 互 时 间 交 互 对 方 系 统 信 息 交 互 是 否 成 功 等 日 志 信 息, 以 便 事 后 可 追 查 ; 对 征 信 系 统 的 交 互 信 息 文 件 和 日 志 文 件 进 行 严 格 的 权 限 控 制 和 操 作 审 计, 防 止 个 人 信 息 泄 露 b) 征 信 系 统 采 集 的 个 人 不 良 信 息 应 当 按 照 法 律 法 规 规 定 的 期 限 进 行 保 存 ; 超 过 保 存 期 限 的 个 人 不 良 信 息, 应 当 从 征 信 系 统 中 删 除, 或 者 进 行 去 标 识 化 处 理, 移 入 非 生 产 数 据 库 保 存 c) 征 信 机 构 应 当 采 取 有 效 措 施, 确 保 个 人 不 良 信 息 去 标 识 化 处 理 后, 个 人 身 份 不 被 直 接 或 间 接 识 别 9.7 信 息 查 询 信 息 查 询 包 括 单 笔 查 询 和 批 量 查 询 两 种 方 式, 具 体 要 求 如 下 : a) 单 笔 信 息 查 询 征 信 系 统 应 当 对 查 询 用 户 输 入 的 查 询 条 件 设 置 一 定 的 校 验 规 则, 并 在 用 户 查 询 时 进 行 有 效 性 检 查 征 信 系 统 应 当 记 录 查 询 用 户 所 属 机 构 查 询 用 户 查 询 时 间 查 询 原 因 被 查 询 对 象 等 信 息 b) 批 量 信 息 查 询 查 询 机 构 应 当 按 照 规 定 的 格 式 填 写 批 量 查 询 请 求 文 件, 请 求 文 件 的 内 容 至 少 应 包 括 查 询 用 户 所 属 机 构 查 询 用 户 查 询 时 间 查 询 原 因 查 询 内 容 被 查 询 对 象 查 询 请 求 记 录 数 等, 征 信 系 统 应 当 对 上 述 内 容 予 以 记 载 征 信 机 构 应 当 通 过 专 线 加 密 通 道 或 专 用 存 储 设 备 等 安 全 可 靠 的 方 式 将 批 量 查 询 结 果 文 件 反 馈 给 查 询 机 构 c) 信 息 使 用 者 发 生 异 常 查 询 的, 征 信 机 构 可 以 采 取 暂 停 查 询 权 限 等 紧 急 措 施, 并 及 时 核 查 异 常 查 询 产 生 的 原 因 9.8 异 议 处 理 异 议 处 理 应 满 足 以 下 要 求 : a) 征 信 机 构 应 当 建 立 异 议 处 理 制 度, 对 异 议 申 请 与 受 理 内 外 部 核 查 异 议 信 息 更 正 等 事 项 作 出 明 确 规 定 25

30 b) 异 议 处 理 人 员 查 询 信 息 主 体 信 用 报 告, 应 当 严 格 按 照 异 议 处 理 制 度 及 流 程 执 行, 并 进 行 登 记, 不 得 将 信 用 报 告 用 于 异 议 处 理 以 外 的 用 途 c) 征 信 机 构 应 当 对 异 议 信 息 核 查 情 况 予 以 记 载 核 查 无 误 的, 不 得 更 改 相 关 信 息 ; 核 查 有 误 的, 按 照 规 定 予 以 更 正, 或 者 通 知 信 息 提 供 者 提 供 更 新 后 的 信 息 ; 核 查 后 仍 不 能 确 认 的, 应 允 许 信 息 主 体 提 出 个 人 声 明, 并 在 征 信 系 统 中 记 载 9.9 信 息 跨 境 流 动 信 息 跨 境 流 动 应 满 足 以 下 要 求 : a) 征 信 机 构 在 中 国 境 内 开 展 征 信 业 务 及 相 关 活 动, 其 生 产 数 据 库 备 份 数 据 库 应 设 在 中 国 境 内 b) 征 信 机 构 对 采 集 的 信 息 进 行 整 理 保 存 和 加 工 等 活 动, 应 当 在 中 国 境 内 进 行, 不 得 通 过 网 络 或 携 带 存 储 介 质 出 境 等 方 式, 将 采 集 的 信 息 传 输 至 境 外 c) 征 信 机 构 向 境 外 组 织 和 个 人 提 供 信 息, 应 当 遵 守 法 律 法 规 和 中 国 人 民 银 行 的 有 关 规 定 9.10 研 究 分 析 研 究 分 析 应 满 足 以 下 要 求 : a) 征 信 机 构 基 于 理 论 研 究 模 型 设 计 产 品 开 发 等 目 的 使 用 个 人 信 息 的, 应 当 以 汇 总 统 计 数 据 或 者 不 能 识 别 个 人 身 份 的 方 式 进 行 b) 征 信 机 构 的 研 究 成 果 只 能 在 个 人 身 份 不 被 识 别 的 情 况 下 予 以 披 露 发 表 或 者 传 播 9.11 安 全 检 查 与 评 估 安 全 检 查 与 评 估 应 满 足 以 下 要 求 : a) 征 信 机 构 应 当 定 期 检 查 征 信 系 统 的 安 全 建 设 和 运 行 情 况, 可 通 过 自 评 估 或 委 托 评 估 方 式 对 征 信 系 统 进 行 安 全 评 估, 分 析 发 现 并 解 决 征 信 系 统 在 管 理 制 度 技 术 措 施 和 业 务 操 作 等 方 面 存 在 的 问 题, 保 障 征 信 系 统 安 全 运 行 和 信 用 信 息 合 规 使 用 b) 征 信 机 构 应 建 立 信 息 泄 漏 应 急 处 置 制 度, 发 生 或 者 有 可 能 发 生 重 大 信 息 泄 露 事 件 时, 应 当 立 即 采 取 必 要 措 施, 避 免 损 害 扩 大, 并 向 中 国 人 民 银 行 及 其 派 出 机 构 报 告 26