Microsoft Word - 《证券期货业信息系统审计规范（发布稿）》20150113.doc

ICS 03.060 A 11 备 案 号 JR 中 华 人 民 共 和 国 金 融 行 业 标 准 JR/T 0112 2014 证 券 期 货 业 信 息 系 统 审 计 规 范 Information system audit standard for securities and futures industry 2014-12-26 发 布 2014-12-26 实 施 中 国 证 券 监 督 管 理 委 员 会 发 布

目 次 前 言... III 1 范 围... 1 2 规 范 性 引 用 文 件... 1 3 术 语 和 定 义... 1 4 审 计 目 的... 1 5 审 计 内 容... 2 6 审 计 机 构... 2 7 审 计 过 程... 2 7.1 审 计 准 备 阶 段... 2 7.2 审 计 实 施 阶 段... 3 7.3 审 计 终 结 阶 段... 4 8 审 计 结 果 应 用... 5 8.1 整 改 方 案... 5 8.2 落 实 整 改... 5 9 建 档 保 存... 5 9.1 保 存 范 围... 5 9.2 保 存 期 限... 6 附 录 A( 规 范 性 附 录 ) 系 统 运 行 安 全 审 计 项 汇 总... 7 附 录 B( 规 范 性 附 录 ) 系 统 建 设 合 规 审 计 项 汇 总... 148 附 录 C( 规 范 性 附 录 ) 系 统 应 用 绩 效 审 计 项 汇 总... 153 参 考 文 献... 155 I

II

前 言 本 标 准 按 照 GB/T 1.1-2009 给 出 的 规 则 起 草 本 标 准 由 全 国 金 融 标 准 化 技 术 委 员 会 (SAC/TC180) 提 出 并 归 口 本 标 准 起 草 单 位 : 中 国 证 券 监 督 管 理 委 员 会 信 息 中 心 上 海 证 券 交 易 所 深 圳 证 券 交 易 所 大 连 商 品 交 易 所 中 国 金 融 期 货 交 易 所 中 证 信 息 技 术 服 务 公 司 国 泰 君 安 证 券 股 份 有 限 公 司 海 通 证 券 股 份 有 限 公 司 国 信 证 券 股 份 有 限 公 司 招 商 证 券 股 份 有 限 公 司 嘉 实 基 金 管 理 有 限 公 司 南 方 基 金 管 理 有 限 公 司 鲁 证 期 货 股 份 有 限 公 司 国 泰 君 安 期 货 有 限 公 司 本 标 准 主 要 起 草 人 : 张 野 刘 铁 斌 王 东 明 陈 炜 俞 枫 沈 云 明 李 海 军 温 军 成 金 浦 芳 赵 磊 王 欣 吕 德 旭 周 桉 周 光 增 李 艳 李 杰 舒 春 林 康 明 涛 路 冰 III

IV

证 券 期 货 业 信 息 系 统 审 计 规 范 1 范 围 本 标 准 规 定 了 证 券 期 货 业 信 息 系 统 审 计 工 作 的 要 求 本 标 准 适 用 于 证 券 期 货 业 机 构, 包 括 : 承 担 证 券 期 货 市 场 公 共 职 能 的 机 构 承 担 证 券 期 货 行 业 信 息 技 术 公 共 基 础 设 施 运 营 的 机 构 等 证 券 期 货 市 场 核 心 机 构 及 其 下 属 机 构 ( 以 下 简 称 核 心 机 构 ), 以 及 证 券 公 司 期 货 公 司 基 金 管 理 公 司 证 券 期 货 服 务 机 构 等 证 券 期 货 经 营 机 构 ( 以 下 简 称 经 营 机 构 ) 2 规 范 性 引 用 文 件 下 列 文 件 对 于 本 文 件 的 应 用 是 必 不 可 少 的 凡 是 注 日 期 的 引 用 文 件, 仅 所 注 日 期 的 版 本 适 用 于 本 文 件 凡 是 不 注 日 期 的 引 用 文 件, 其 最 新 版 本 ( 包 括 所 有 的 修 改 单 ) 适 用 于 本 文 件 JR/T 0059 2010 证 券 期 货 经 营 机 构 信 息 系 统 备 份 能 力 标 准 JR/T 0060 2010 证 券 期 货 业 信 息 系 统 安 全 等 级 保 护 基 本 要 求 ( 试 行 ) JR/T 0099 2012 证 券 期 货 业 信 息 系 统 运 维 管 理 规 范 3 术 语 和 定 义 下 列 术 语 和 定 义 适 用 于 本 文 件 3.1 信 息 系 统 审 计 information system audit 核 心 机 构 和 经 营 机 构 根 据 国 家 及 行 业 信 息 系 统 相 关 规 范 和 标 准, 对 信 息 系 统 规 划 建 设 运 维 和 应 急 等 活 动 进 行 自 我 检 查 和 评 价, 判 断 系 统 运 行 的 安 全 性 系 统 建 设 的 合 规 性 和 系 统 应 用 绩 效, 提 出 整 改 建 议, 并 持 续 跟 踪 落 实 整 改 情 况 3.2 审 计 项 audit item 信 息 系 统 规 划 建 设 运 维 和 应 急 等 活 动 的 关 键 控 制 点, 来 自 于 国 家 及 行 业 相 关 技 术 规 范 和 标 准 要 求, 用 于 判 断 系 统 运 行 的 安 全 性 系 统 建 设 的 合 规 性 和 系 统 应 用 绩 效 3.3 专 业 能 力 professional competence 个 人 从 事 信 息 系 统 审 计 所 必 备 的 学 识 技 术 和 能 力, 由 学 历 认 定 资 格 考 试 职 业 技 能 鉴 定 等 方 式 进 行 评 价 3.4 第 三 方 审 计 机 构 third party audit institutions 熟 悉 证 券 期 货 业 信 息 安 全 法 规 规 范 标 准 和 指 引, 具 有 国 家 行 业 认 可 的 相 关 资 质 和 必 要 能 力, 并 在 审 计 过 程 中 能 够 客 观 公 正 独 立 地 从 事 审 计 活 动 的 机 构 4 审 计 目 的 1

核 心 机 构 和 经 营 机 构 自 觉 贯 彻 落 实 国 家 及 行 业 信 息 系 统 建 设 安 全 运 行 绩 效 考 核 相 关 规 范 和 标 准, 通 过 查 找 突 出 的 风 险 隐 患, 有 针 对 性 的 采 取 防 范 和 改 进 措 施, 提 高 信 息 安 全 保 障 水 平 系 统 建 设 合 规 性 和 应 用 绩 效 5 审 计 内 容 证 券 期 货 业 信 息 系 统 审 计 包 括 3 个 方 面, 分 别 是 系 统 运 行 安 全 审 计 系 统 建 设 合 规 审 计 和 系 统 应 用 绩 效 审 计 核 心 机 构 应 开 展 系 统 运 行 安 全 审 计 系 统 建 设 合 规 审 计 和 系 统 应 用 绩 效 审 计 经 营 机 构 应 开 展 系 统 运 行 安 全 审 计, 并 可 视 情 况 开 展 系 统 建 设 合 规 审 计 系 统 应 用 绩 效 审 计 系 统 运 行 安 全 审 计 重 点 关 注 系 统 运 维 风 险, 通 过 审 查 和 评 估 交 易 结 算 行 情 通 信 等 重 要 业 务 信 息 系 统 的 安 全 性, 及 时 发 现 运 行 风 险 隐 患 系 统 运 行 安 全 审 计 的 内 容 见 附 录 A, 其 中 期 货 公 司 类 别 是 期 货 公 司 信 息 技 术 管 理 指 引 评 级 结 果 审 计 项 来 自 于 国 家 和 行 业 颁 布 的 信 息 安 全 法 规 规 范 标 准 和 指 引, 主 要 包 括 组 织 管 理 机 房 管 理 网 络 管 理 主 机 和 系 统 管 理 运 维 管 理 等 方 面 系 统 建 设 合 规 审 计 重 点 关 注 违 法 违 规 风 险, 通 过 审 查 和 评 估 在 采 购 电 子 产 品 建 设 信 息 系 统 项 目 运 行 维 护 信 息 系 统 等 活 动 中, 本 机 构 负 责 采 购 的 人 员 项 目 建 设 人 员 系 统 运 维 人 员 等 是 否 存 在 贪 污 受 贿 徇 私 舞 弊 玩 忽 职 守 等 行 为, 及 时 发 现 违 法 违 规 等 风 险 隐 患 系 统 建 设 合 规 审 计 的 内 容 见 附 录 B 审 计 项 来 自 于 通 行 的 信 息 系 统 招 投 标 制 度 财 务 预 算 制 度 等, 主 要 包 括 需 求 论 证 预 算 制 定 项 目 立 项 项 目 采 购 项 目 招 标 商 务 谈 判 供 应 商 管 理 合 同 管 理 项 目 验 收 钱 款 支 付 等 方 面 系 统 应 用 绩 效 审 计 重 点 关 注 信 息 系 统 能 否 有 效 发 挥 作 用, 通 过 审 查 和 评 估 已 建 成 信 息 系 统 的 经 济 效 益 和 使 用 情 况, 及 时 发 现 资 源 浪 费 等 风 险 隐 患 系 统 应 用 绩 效 审 计 的 内 容 见 附 录 C 审 计 项 来 自 于 通 行 的 信 息 系 统 绩 效 评 价 方 法, 主 要 包 括 系 统 功 能 性 能 是 否 达 到 项 目 预 期 目 标 经 费 使 用 是 否 合 理 有 效 等 方 面 附 录 A 附 录 B 附 录 C 将 根 据 国 家 和 行 业 信 息 安 全 法 规 规 范 标 准 和 指 引, 每 年 适 时 更 新, 保 持 与 现 行 规 定 的 一 致 性 核 心 机 构 和 经 营 机 构 应 以 最 新 的 审 计 项 汇 总 为 基 础, 开 展 信 息 系 统 审 计 工 作 6 审 计 机 构 核 心 机 构 和 经 营 机 构 应 指 定 内 审 部 门 负 责 信 息 系 统 审 计 工 作, 并 合 理 配 备 具 有 专 业 能 力 的 审 计 人 员 内 审 部 门 可 以 根 据 实 际 需 要 聘 请 具 有 专 业 能 力 的 外 部 专 家 协 助 开 展 信 息 系 统 审 计 工 作, 可 以 聘 请 第 三 方 审 计 机 构 协 助 开 展 信 息 系 统 审 计 工 作, 第 三 方 机 构 的 员 工 必 须 是 正 式 员 工 核 心 机 构 和 经 营 机 构 的 信 息 技 术 部 门 等 相 关 部 门 应 配 合 内 审 部 门 开 展 信 息 系 统 审 计 工 作 7 审 计 过 程 7.1 审 计 准 备 阶 段 7.1.1 审 计 立 项 核 心 机 构 和 经 营 机 构 的 内 审 部 门 应 每 年 开 展 一 次 信 息 系 统 审 计, 并 将 信 息 系 统 审 计 列 入 年 度 审 计 工 作 计 划 中, 同 时 报 董 事 会 或 者 高 级 管 理 层 批 准 信 息 系 统 审 计 计 划 应 包 括 下 列 基 本 内 容 : a) 审 计 工 作 目 标 ; b) 审 计 实 施 时 间 ; c) 需 要 的 审 计 资 源 ; 2

d) 后 续 审 计 安 排 7.1.2 组 建 审 计 组 内 审 部 门 负 责 组 建 审 计 组, 确 定 审 计 组 组 长 和 成 员 审 计 组 成 员 不 得 少 于 2 人, 其 中 内 审 部 门 人 员 不 得 少 于 1 人 审 计 组 成 员 应 保 持 独 立 性 和 客 观 性, 被 审 计 部 门 应 回 避 审 计 组 组 长 审 计 组 成 员 应 具 有 相 关 专 业 能 力, 并 通 过 定 期 后 续 相 关 培 训 加 以 保 持 和 提 高 审 计 组 组 长 应 具 有 信 息 系 统 审 计 工 作 经 验 审 计 组 成 员 应 履 行 保 密 义 务, 对 于 实 施 信 息 系 统 审 计 所 获 取 的 信 息 保 密 7.1.3 制 定 审 计 方 案 审 计 组 组 长 应 以 风 险 评 估 为 基 础, 在 审 计 实 施 前 编 制 审 计 方 案, 并 报 内 审 部 门 负 责 人 批 准 审 计 方 案 应 包 括 下 列 基 本 内 容 : a) 被 审 计 部 门 的 名 称 ; b) 审 计 目 标 和 范 围 ; c) 审 计 内 容 和 重 点 ; d) 审 计 程 序 和 方 法 ; e) 审 计 组 成 员 的 组 成 及 分 工 ; f) 审 计 起 止 日 期 ; g) 对 专 家 和 外 部 审 计 工 作 结 果 的 利 用 ; h) 其 他 有 关 内 容 7.1.4 编 制 工 作 底 稿 审 计 组 成 员 对 审 计 方 案 确 定 的 审 计 事 项, 均 应 编 制 审 计 工 作 底 稿 审 计 工 作 底 稿 应 包 括 以 下 内 容 : a) 被 审 计 部 门 的 名 称 ; b) 审 计 事 项 及 其 起 止 日 期 ; c) 审 计 程 序 的 执 行 过 程 及 结 果 记 录 ; d) 审 计 结 论 意 见 及 建 议 ; e) 审 计 人 员 姓 名 和 审 计 日 期 ; f) 复 核 人 员 姓 名 复 核 意 见 复 核 日 期 ; g) 审 计 证 据 的 数 量 及 清 单 ; h) 被 审 计 部 门 意 见 签 字 及 盖 章 审 计 组 应 根 据 被 审 计 部 门 审 计 事 项 的 具 体 情 况, 确 定 选 取 审 计 对 象 的 抽 样 方 法, 并 选 取 审 计 对 象 7.2 审 计 实 施 阶 段 7.2.1 通 知 被 审 计 部 门 审 计 组 应 在 实 施 审 计 10 个 工 作 日 前, 向 信 息 技 术 部 门 等 被 审 计 部 门 送 达 审 计 通 知 书 审 计 通 知 书 应 包 括 下 列 内 容 : a) 被 审 计 部 门 名 称 ; b) 审 计 范 围 和 审 计 内 容 ; c) 审 计 起 止 日 期 ; 3

d) 需 要 被 审 计 部 门 提 供 的 资 料 及 其 他 必 要 的 协 助 要 求 ; e) 审 计 组 组 长 及 审 计 组 成 员 名 单 7.2.2 审 计 组 进 场 审 计 组 进 驻 被 审 计 部 门 时, 应 召 开 有 内 审 部 门 负 责 人 审 计 组 组 长 审 计 组 成 员 被 审 计 部 门 负 责 人 被 审 计 部 门 有 关 人 员 参 加 的 进 场 会 议, 安 排 审 计 工 作 有 关 事 项 审 计 组 组 长 应 说 明 审 计 目 标 审 计 范 围 审 计 内 容 审 计 重 点 审 计 程 序 起 止 日 期 等, 并 提 出 需 要 协 助 配 合 审 计 的 有 关 事 项 和 要 求 被 审 计 部 门 应 汇 报 相 关 情 况, 并 提 供 审 计 通 知 书 中 所 列 的 相 关 资 料, 配 合 审 计 组 开 展 信 息 系 统 审 计 工 作 7.2.3 实 施 审 计 方 案 审 计 组 根 据 实 际 情 况 和 工 作 需 要, 通 过 访 谈 问 卷 调 查 等 方 式, 进 一 步 了 解 被 审 计 部 门 信 息 系 统 有 关 情 况 调 查 对 象 一 般 包 括 相 关 业 务 部 门 负 责 人 信 息 技 术 部 门 负 责 人 信 息 技 术 部 门 相 关 业 务 负 责 人 机 房 管 理 员 系 统 管 理 员 网 络 管 理 员 数 据 库 管 理 员 安 全 管 理 员 等 相 关 人 员 审 计 组 应 按 照 审 计 方 案, 对 信 息 系 统 的 合 规 性 可 靠 性 安 全 性 和 绩 效 等 进 行 评 估, 并 确 保 不 影 响 系 统 的 正 常 稳 定 运 行 审 计 组 应 依 据 不 同 的 审 计 事 项 及 其 审 计 目 标, 获 取 不 同 种 类 的 审 计 证 据 审 计 证 据 主 要 包 括 相 关 制 度 日 志 文 件 配 置 文 件 运 维 记 录 测 评 报 告 商 业 合 同 等 审 计 组 应 将 获 取 的 审 计 证 据 名 称 来 源 内 容 等 完 整 清 晰 地 记 录 于 审 计 工 作 底 稿 中 被 审 计 单 位 应 提 供 承 诺 书, 承 诺 相 关 材 料 的 真 实 性 完 整 性 准 确 性 审 计 工 作 底 稿 应 经 审 计 组 组 长 或 其 指 定 人 员 复 核 审 计 证 据 应 客 观 充 足, 使 得 重 复 审 计 可 获 得 同 样 结 果 当 审 计 人 员 认 为 无 法 获 取 充 足 审 计 证 据 时, 应 记 录 审 计 证 据 不 足 这 一 事 实 7.2.4 审 计 结 果 沟 通 现 场 审 计 结 束 前, 审 计 组 应 就 审 计 发 现 的 问 题 审 计 结 论 审 计 意 见 和 建 议 与 相 关 业 务 部 门 负 责 人 信 息 技 术 部 门 负 责 人 进 行 认 真 充 分 的 沟 通, 听 取 其 意 见 审 计 组 应 当 将 结 果 沟 通 的 有 关 书 面 或 电 子 材 料 作 为 审 计 工 作 底 稿 的 一 部 分 7.3 审 计 终 结 阶 段 7.3.1 撰 写 审 计 报 告 现 场 审 计 结 束 后, 审 计 组 应 对 取 得 的 审 计 证 据 进 行 综 合 分 析, 并 撰 写 审 计 报 告 ( 草 稿 ) 审 计 报 告 ( 草 稿 ) 可 参 考 覆 盖 附 录 A 附 录 B 附 录 C 内 容 的 外 部 审 计 结 果 审 计 报 告 ( 草 稿 ) 主 要 包 括 下 列 内 容 : a) 审 计 概 况, 包 括 审 计 目 标 审 计 范 围 审 计 内 容 及 重 点 审 计 方 法 审 计 程 序 及 起 止 时 间 等 ; b) 审 计 依 据, 即 实 施 审 计 所 依 据 的 相 关 规 范 和 标 准 等 ; c) 审 计 问 题, 即 对 被 审 计 部 门 信 息 技 术 相 关 活 动 所 发 现 的 主 要 问 题 ; d) 审 计 结 论, 即 根 据 已 查 明 的 事 实, 对 被 审 计 部 门 信 息 技 术 相 关 活 动 的 评 价 ; e) 审 计 意 见 和 建 议, 即 针 对 审 计 发 现 的 主 要 问 题 提 出 的 处 理 意 见 和 改 进 建 议 审 计 组 应 向 被 审 计 部 门 提 交 审 计 报 告 ( 草 稿 ) 被 审 计 部 门 应 自 收 到 审 计 报 告 ( 草 稿 ) 之 日 起 10 个 工 作 日 内, 提 出 书 面 反 馈 意 见 ; 在 规 定 期 限 内 没 有 提 出 意 见 的, 视 同 无 异 议 4

被 审 计 部 门 对 审 计 报 告 ( 草 稿 ) 有 异 议 的, 审 计 组 应 研 究 核 实, 并 考 虑 是 否 需 要 修 改 审 计 报 告 ( 草 稿 ) 审 计 报 告 ( 草 稿 ) 经 审 计 组 集 体 讨 论, 并 应 通 过 内 审 部 门 对 审 计 报 告 质 量 的 分 级 复 核 程 序, 由 审 计 组 组 长 及 相 关 报 告 审 核 人 员 审 核 后 定 稿 7.3.2 提 交 报 告 现 场 审 计 结 束 后, 审 计 组 应 将 审 计 报 告 审 计 工 作 底 稿 等 相 关 材 料 报 送 内 审 部 门 采 用 聘 请 外 部 专 家 或 第 三 方 审 计 机 构 协 助 开 展 审 计 工 作 的, 应 将 外 聘 人 员 或 机 构 的 审 计 工 作 底 稿 等 相 关 材 料 报 送 内 审 部 门 核 心 机 构 和 经 营 机 构 的 内 审 部 门 应 向 董 事 会 或 高 级 管 理 层 提 交 审 计 报 告, 并 抄 送 有 关 部 门 8 审 计 结 果 应 用 8.1 整 改 方 案 当 被 审 计 部 门 基 于 成 本 或 者 其 他 方 面 考 虑, 决 定 对 审 计 发 现 的 问 题 不 采 取 纠 正 措 施 并 做 出 书 面 说 明 时, 核 心 机 构 和 经 营 机 构 的 内 审 部 门 负 责 人 应 向 董 事 会 或 者 高 级 管 理 层 报 告 核 心 机 构 和 经 营 机 构 的 被 审 计 部 门 应 对 审 计 中 发 现 的 问 题, 制 定 有 效 可 行 的 整 改 方 案, 明 确 进 度 安 排 审 计 组 应 对 被 审 计 部 门 制 定 的 整 改 方 案 进 行 评 审 如 有 必 要, 核 心 机 构 和 经 营 机 构 的 被 审 计 部 门 应 组 织 由 审 计 组 组 长 审 计 组 主 要 成 员 相 关 业 务 部 门 负 责 人 信 息 技 术 部 门 负 责 人 信 息 技 术 部 门 相 关 人 员 有 关 专 家 参 加 的 整 改 方 案 评 审 会 议, 对 整 改 方 案 进 行 评 审 8.2 落 实 整 改 被 审 计 部 门 应 按 照 整 改 方 案, 尽 快 对 审 计 发 现 的 风 险 隐 患 进 行 整 改, 并 在 与 审 计 部 门 约 定 的 期 限 内 提 供 审 计 整 改 报 告 核 心 机 构 和 经 营 机 构 的 内 审 部 门 应 对 审 计 发 现 的 问 题 的 整 改 情 况 进 行 跟 踪 监 督, 可 在 规 定 期 限 内, 或 者 与 被 审 计 部 门 约 定 的 期 限 内 实 施 后 续 审 计 内 审 部 门 负 责 人 如 果 初 步 认 定 被 审 计 部 门 对 审 计 发 现 的 问 题 已 采 取 了 有 效 的 纠 正 措 施, 可 要 求 内 审 人 员 及 时 对 整 改 措 施 进 行 核 查, 或 将 后 续 审 计 作 为 下 次 审 计 工 作 的 一 部 分 内 审 部 门 对 被 审 计 部 门 实 施 后 续 审 计, 审 计 过 程 与 新 设 审 计 项 目 相 同, 参 照 本 规 范 第 7 章 对 审 计 过 程 的 规 定 实 施 9 建 档 保 存 9.1 保 存 范 围 审 计 工 作 结 束 后, 审 计 组 应 整 理 相 关 材 料, 并 建 立 保 管 审 计 档 案 下 列 材 料 应 归 入 审 计 档 案 : a) 审 计 方 案 审 计 通 知 书 ; b) 审 计 工 作 底 稿 审 计 报 告 ; c) 整 改 方 案 ; d) 后 续 审 计 工 作 底 稿 后 续 审 计 报 告 ; e) 其 他 相 关 材 料 5

9.2 保 存 期 限 审 计 档 案 应 至 少 保 存 5 年 6

A A JR/T 0112 2014 附 录 A ( 规 范 性 附 录 ) 系 统 运 行 安 全 审 计 项 汇 总 A.1 核 心 机 构 系 统 运 行 安 全 审 计 项 汇 总 A.1.1 组 织 管 理 A.1.1.1 安 全 管 理 制 度 A.1.1.1.1 管 理 制 度 a) 是 否 制 定 信 息 安 全 工 作 的 总 体 方 针 和 安 全 策 略, 说 明 机 构 安 全 工 作 的 总 体 目 标 范 围 原 则 和 安 全 框 架 等 b) 是 否 建 立 安 全 管 理 制 度, 覆 盖 安 全 策 略 的 制 定 实 施 检 查 评 估 改 进 等 全 过 程 c) 是 否 形 成 由 安 全 策 略 管 理 制 度 操 作 规 程 等 构 成 的 全 面 的 信 息 安 全 管 理 制 度 体 系 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 是 否 对 安 全 管 理 人 员 或 操 作 人 员 执 行 的 日 常 管 理 操 作 建 立 操 作 规 程 e) 是 否 制 定 覆 盖 运 维 工 作 各 个 环 节 的 体 系 化 的 运 维 管 理 制 度 和 操 作 流 程 运 维 管 理 制 度 包 括 但 不 限 于 : 机 房 管 理 网 络 与 系 统 管 理 数 据 和 介 质 管 理 交 付 管 理 测 试 管 理 配 置 管 理 安 全 管 理 值 班 管 理 监 控 管 理 文 档 管 理 设 备 和 软 件 管 理 供 应 商 管 理 关 联 单 位 关 系 管 理 检 查 审 计 等 制 度 运 维 操 作 流 程 包 括 但 不 限 于 日 常 操 作 事 件 处 理 问 题 处 理 系 统 变 更 应 急 处 置 等 流 程 f) 是 否 根 据 行 业 规 划 和 本 机 构 发 展 战 略, 制 定 信 息 化 与 信 息 安 全 发 展 规 划, 满 足 业 务 发 展 和 信 息 安 全 管 理 的 需 要 A.1.1.1.2 制 定 和 发 布 a) 是 否 指 定 或 授 权 专 门 的 部 门 或 人 员 负 责 安 全 管 理 制 度 的 制 定 b) 是 否 组 织 相 关 人 员 对 制 定 的 安 全 管 理 制 度 进 行 论 证 和 审 定 c) 安 全 管 理 制 度 是 否 具 有 统 一 的 格 式, 并 进 行 版 本 控 制 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 是 否 建 立 信 息 发 布 管 理 审 核 制 度 ; 安 全 管 理 制 度 是 否 通 过 正 式 有 效 的 方 式 发 布 e) 安 全 管 理 制 度 是 否 注 明 发 布 范 围, 并 对 收 发 文 进 行 登 记 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) f) 有 密 级 的 安 全 管 理 制 度, 是 否 注 明 安 全 管 理 制 度 密 级, 并 进 行 密 级 管 理 ( 本 项 适 用 于 : 定 为 信 息 系 统 等 级 保 护 三 级 系 统 的 证 券 交 易 所 交 易 系 统 证 券 交 易 所 通 信 系 统 开 放 式 基 金 登 记 结 算 系 统 证 券 登 记 结 算 系 统 ) A.1.1.1.3 评 审 和 修 订 7

a) 信 息 安 全 领 导 小 组 是 否 负 责 定 期 组 织 相 关 部 门 和 相 关 人 员 对 安 全 管 理 制 度 体 系 的 合 理 性 和 适 用 性 进 行 审 定 ; 信 息 安 全 领 导 小 组 每 年 至 少 组 织 一 次 安 全 管 理 制 度 体 系 的 合 理 性 和 适 用 性 审 定 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) b) 是 否 定 期 或 不 定 期 对 安 全 管 理 制 度 进 行 检 查 和 审 定, 对 存 在 不 足 或 需 要 改 进 的 安 全 管 理 制 度 进 行 修 订 每 年 或 在 发 生 重 大 变 更 时 对 安 全 管 理 制 度 进 行 检 查, 对 存 在 不 足 或 需 要 改 进 的 安 全 管 理 制 度 进 行 修 订 c) 是 否 明 确 需 要 定 期 修 订 的 安 全 管 理 制 度, 并 指 定 负 责 人 或 负 责 部 门 负 责 制 度 的 日 常 维 护 ( 本 项 适 用 于 : 定 为 信 息 系 统 等 级 保 护 三 级 系 统 的 证 券 交 易 所 交 易 系 统 证 券 交 易 所 通 信 系 统 开 放 式 基 金 登 记 结 算 系 统 证 券 登 记 结 算 系 统 ) d) 是 否 根 据 安 全 管 理 制 度 的 相 应 密 级 确 定 评 审 和 修 订 的 操 作 范 围 ( 本 项 适 用 于 : 定 为 信 息 系 统 等 级 保 护 三 级 系 统 的 证 券 交 易 所 交 易 系 统 证 券 交 易 所 通 信 系 统 开 放 式 基 金 登 记 结 算 系 统 证 券 登 记 结 算 系 统 ) e) 是 否 建 立 运 维 管 理 制 度 和 操 作 流 程 的 制 定 发 布 维 护 和 更 新 的 机 制 至 少 每 年 一 次 评 审 修 订 运 维 管 理 制 度 和 操 作 流 程 A.1.1.2 安 全 管 理 机 构 A.1.1.2.1 机 构 设 置 a) 是 否 设 立 信 息 系 统 运 维 组 织, 负 责 信 息 系 统 的 运 行 维 护 工 作 b) 是 否 成 立 指 导 和 管 理 信 息 安 全 工 作 的 委 员 会 或 领 导 小 组, 其 最 高 领 导 由 单 位 主 管 领 导 委 任 或 授 权 A.1.1.2.2 岗 位 设 置 a) 是 否 设 立 信 息 安 全 管 理 工 作 的 职 能 部 门, 设 立 安 全 主 管 安 全 管 理 各 个 方 面 的 负 责 人 岗 位, 并 定 义 各 负 责 人 的 职 责 b) 是 否 任 命 运 维 组 织 负 责 人, 负 责 组 织 协 调 管 理 信 息 系 统 的 运 行 维 护 工 作 c) 是 否 制 定 文 件 明 确 安 全 管 理 机 构 各 个 部 门 和 岗 位 的 职 责 分 工 和 技 能 要 求 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 是 否 合 理 设 置 运 维 岗 位, 规 定 岗 位 职 责 及 技 能 要 求, 并 符 合 如 下 要 求 : 1) 运 维 岗 位 是 否 至 少 包 括 机 房 管 理 员 网 络 管 理 员 系 统 管 理 员 数 据 库 管 理 员 安 全 管 理 员 等 关 键 岗 位, 并 设 置 主 备 岗 ; 2) 关 键 岗 位 是 否 进 行 分 离, 兼 岗 时 是 否 满 足 岗 位 相 互 制 约 的 要 求 e) 是 否 设 立 总 工 程 师 岗 位 IT 总 监 或 其 他 类 似 职 位 的 IT 专 职 负 责 人 f) 是 否 实 现 系 统 开 发 系 统 运 维 管 理 和 系 统 的 合 规 检 查 相 互 分 离 A.1.1.2.3 人 员 配 备 a) 是 否 配 备 系 统 管 理 员 网 络 管 理 员 安 全 管 理 员 等 ; 每 个 岗 位 应 有 备 岗 b) 安 全 管 理 员 是 否 禁 止 兼 任 网 络 管 理 员 系 统 管 理 员 数 据 库 管 理 员 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) 8

c) 是 否 指 定 专 人 担 任 安 全 管 理 员, 负 责 信 息 安 全 管 理 工 作, 在 自 身 能 力 不 足 的 情 况 下, 可 外 聘 安 全 机 构 协 助 完 成 d) 安 全 管 理 员 是 否 督 促 解 决 检 查 测 评 评 估 中 发 现 的 风 险 隐 患 e) 关 键 事 务 岗 位 是 否 配 备 多 人 共 同 管 理 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) f) 是 否 对 关 键 和 敏 感 岗 位 进 行 重 点 管 理, 重 要 操 作 应 当 实 行 双 人 操 作 复 核 制 度 g) 是 否 配 备 保 密 管 理 人 员, 落 实 技 术 保 密 措 施, 每 年 至 少 开 展 两 次 保 密 检 查, 确 保 不 发 生 数 据 泄 露 等 失 密 事 件 h) 是 否 有 应 急 技 术 支 援 队 伍 A.1.1.2.4 授 权 和 审 批 a) 是 否 根 据 各 个 部 门 和 岗 位 的 职 责 明 确 授 权 审 批 部 门 及 批 准 人 ; 对 系 统 投 入 运 行 网 络 系 统 接 入 和 重 要 资 源 的 访 问 等 事 项 进 行 审 批 ; 重 要 审 批 授 权 记 录 应 留 档 备 查 b) 是 否 针 对 关 键 活 动 建 立 审 批 流 程, 并 由 批 准 人 签 字 确 认 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) c) 是 否 针 对 系 统 变 更 重 要 操 作 物 理 访 问 和 系 统 接 入 等 事 项 建 立 审 批 程 序, 按 照 审 批 程 序 执 行 审 批 过 程, 对 重 要 活 动 建 立 逐 级 审 批 制 度 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 是 否 定 期 审 查 审 批 事 项, 及 时 更 新 需 授 权 和 审 批 的 项 目 审 批 部 门 和 审 批 人 等 信 息 ; 每 年 至 少 审 查 一 次 审 批 事 项 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) e) 是 否 记 录 审 批 过 程 并 保 存 审 批 文 档 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) f) 权 限 分 配 是 否 有 审 批 和 完 整 的 记 录, 权 限 设 置 后 应 复 核 g) 是 否 按 照 最 小 安 全 访 问 原 则 分 配 用 户 权 限 h) 是 否 建 立 权 限 分 配 表, 对 用 户 的 访 问 权 限 进 行 合 理 分 配, 对 文 件 系 统 访 问 权 限 进 行 合 理 设 置, 编 制 文 档 并 保 持 更 新 i) 是 否 在 用 户 账 户 变 化 时, 同 时 变 更 或 撤 销 其 权 限 j) 是 否 定 期 检 查 权 限 设 置 的 有 效 性 A.1.1.2.5 供 应 商 管 理 a) 是 否 确 保 安 全 服 务 商 的 选 择 符 合 国 家 行 业 的 有 关 规 定 b) 是 否 与 选 定 的 安 全 服 务 商 签 订 与 安 全 相 关 的 协 议, 对 合 作 方 服 务 人 员 提 出 明 确 的 信 息 安 全 要 求 c) 是 否 在 与 供 应 商 签 订 的 合 同 中 明 确 其 应 承 担 的 责 任 义 务, 并 约 定 服 务 要 求 和 范 围 等 内 容 d) 是 否 建 立 供 应 商 管 理 制 度, 对 供 应 商 支 持 运 维 服 务 的 相 关 活 动 进 行 统 一 管 理 e) 是 否 与 供 应 商 签 署 保 密 协 议, 不 得 泄 露 所 服 务 机 构 的 保 密 信 息, 并 要 求 供 应 商 签 署 承 诺 书, 承 诺 产 品 不 存 在 恶 意 代 码 或 未 授 权 的 功 能, 不 提 供 违 反 我 国 法 律 法 规 的 功 能 模 块, 并 符 合 证 券 期 货 行 业 有 关 技 术 规 范 和 技 术 指 引 f) 是 否 在 涉 及 证 券 期 货 交 易 行 情 开 户 结 算 等 软 件 产 品 或 技 术 服 务 的 采 购 合 同 中, 明 确 供 应 商 应 接 受 证 券 期 货 行 业 监 管 部 门 的 信 息 安 全 延 伸 检 查 g) 是 否 定 期 收 集 更 新 供 应 商 信 息, 组 织 对 供 应 商 的 服 务 质 量 合 同 履 行 情 况 人 员 工 作 情 况 等 内 容 进 行 评 价, 形 成 评 价 报 告, 并 跟 踪 和 记 录 供 应 商 改 进 情 况 h) 是 否 加 强 运 维 外 包 服 务 管 理, 主 要 包 括 : 1) 与 外 包 公 司 及 外 包 人 员 签 订 保 密 协 议 ; 9

2) 明 确 外 包 公 司 应 当 承 担 的 责 任 及 追 究 方 式 ; 3) 明 确 界 定 外 包 人 员 的 工 作 职 责 活 动 范 围 操 作 权 限 ; 4) 对 外 包 人 员 工 作 情 况 进 行 监 督 和 检 查, 并 保 留 相 应 记 录 ; 5) 对 驻 场 外 包 人 员 的 入 场 和 离 场 进 行 管 理 ; 6) 定 期 评 估 外 包 的 服 务 质 量 ; 制 定 外 包 服 务 意 外 终 止 的 应 急 措 施 A.1.1.2.6 关 联 单 位 关 系 管 理 a) 是 否 加 强 各 类 管 理 人 员 之 间 组 织 内 部 机 构 之 间 以 及 信 息 安 全 职 能 部 门 内 部 的 合 作 与 沟 通 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) b) 是 否 建 立 关 联 单 位 联 系 制 度, 定 期 与 关 联 单 位 进 行 合 作 与 沟 通 关 联 单 位 包 括 证 券 期 货 行 业 监 管 部 门 协 会, 当 地 政 府 部 门, 公 安 机 关, 交 易 所 等 市 场 核 心 机 构, 其 他 证 券 期 货 经 营 机 构, 银 行 机 构, 电 力 和 通 信 设 施 保 障 机 构, 软 硬 件 供 应 商, 技 术 服 务 商 和 物 业 公 司 等 c) 各 类 管 理 人 员 之 间 组 织 内 部 机 构 之 间 以 及 信 息 安 全 职 能 部 门 内 部 是 否 有 内 部 合 作 沟 通 机 制, 定 期 或 根 据 需 要 召 开 协 调 会 议, 协 作 处 理 信 息 安 全 问 题 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 是 否 加 强 与 供 应 商 业 界 专 家 专 业 的 安 全 公 司 安 全 组 织 的 合 作 与 沟 通 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) e) 是 否 聘 请 信 息 安 全 专 家 作 为 常 年 的 安 全 顾 问, 指 导 信 息 安 全 建 设, 参 与 安 全 规 划 和 安 全 评 审 等 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) f) 是 否 建 立 关 联 单 位 联 系 表, 表 的 内 容 至 少 包 括 单 位 名 称 业 务 事 项 联 系 人 联 系 方 式 备 注 等, 并 及 时 更 新 g) 是 否 制 定 会 员 单 位 共 同 遵 守 的 接 口 标 准 和 规 则, 监 督 会 员 严 格 执 行 h) 是 否 完 成 对 会 员 单 位 远 程 接 入 系 统 的 安 全 监 控 与 管 理, 指 导 会 员 对 信 息 安 全 突 发 事 件 进 行 应 急 处 置 i) 是 否 加 强 对 会 员 的 日 常 性 技 术 支 持, 不 断 提 高 服 务 能 力 和 水 平 j) 是 否 组 织 会 员 单 位 定 期 开 展 联 网 测 试 和 应 急 演 练, 及 时 发 现 安 全 隐 患 A.1.1.2.7 审 核 和 检 查 a) 是 否 由 内 部 人 员 或 上 级 单 位 定 期 进 行 全 面 安 全 检 查, 检 查 内 容 包 括 现 有 安 全 技 术 措 施 的 有 效 性 安 全 配 置 与 安 全 策 略 的 一 致 性 安 全 管 理 制 度 的 执 行 情 况 等 ; 全 面 安 全 检 查 应 至 少 每 年 一 次 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) b) 是 否 制 定 安 全 检 查 表 格 实 施 安 全 检 查, 汇 总 安 全 检 查 数 据, 形 成 安 全 检 查 报 告, 并 对 安 全 检 查 结 果 进 行 通 报 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) c) 是 否 制 定 安 全 审 核 和 安 全 检 查 制 度 规 范 安 全 审 核 和 安 全 检 查 工 作, 定 期 按 照 程 序 进 行 安 全 审 核 和 安 全 检 查 活 动 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 安 全 管 理 员 是 否 负 责 定 期 进 行 安 全 检 查, 检 查 内 容 包 括 系 统 日 常 运 行 系 统 漏 洞 和 数 据 备 份 等 情 况 ; 安 全 检 查 应 至 少 每 月 一 次 A.1.1.3 经 费 和 人 员 管 理 A.1.1.3.1 经 费 投 入 10

a) 最 近 三 个 财 政 年 度 IT 投 入 平 均 数 额 是 否 不 少 于 最 近 三 个 财 政 年 度 平 均 净 利 润 的 6% 或 不 少 于 最 近 三 个 财 政 年 度 平 均 营 业 收 入 的 3%, 取 二 者 数 额 较 大 者 b) 是 否 制 定 信 息 系 统 运 行 维 护 年 度 预 算 计 划, 每 年 进 行 核 算 预 算 和 核 算 应 接 受 监 督 和 审 计 c) 是 否 将 信 息 系 统 运 行 维 护 的 各 项 费 用 纳 入 预 算 管 理 费 用 至 少 应 包 括 : 机 房 物 理 环 境 信 息 系 统 软 硬 件 网 络 与 通 信 设 施 的 使 用 费 和 维 修 费, 以 及 应 急 保 障 费 用 技 术 服 务 费 用 人 员 培 训 费 用 等 d) 是 否 为 IT 部 门 提 供 足 够 的 资 金 支 持, 为 IT 人 员 提 供 履 行 其 岗 位 职 责 所 需 要 的 岗 位 技 能 培 训 及 业 务 培 训, 制 定 合 理 的 考 核 体 系 激 励 机 制 和 奖 惩 措 施 e) 安 全 建 设 的 投 入 是 否 超 过 IT 总 投 入 的 15% f) 是 否 对 资 金 的 使 用 进 行 绩 效 考 核 A.1.1.3.2 人 员 录 用 a) 是 否 指 定 或 授 权 专 门 的 部 门 或 人 员 负 责 人 员 录 用 b) 是 否 严 格 规 范 人 员 录 用 过 程, 对 被 录 用 人 员 的 身 份 背 景 和 专 业 资 格 等 进 行 审 查, 对 其 所 具 有 的 技 术 技 能 进 行 考 核 c) 是 否 与 开 发 运 维 等 关 键 岗 位 人 员 签 署 保 密 协 议, 保 密 协 议 应 至 少 包 括 保 密 范 围 保 密 期 限 等 内 容 d) 是 否 从 内 部 人 员 中 选 拔 从 事 关 键 岗 位 的 人 员, 并 签 署 岗 位 安 全 协 议 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.1.3.3 人 员 离 岗 a) 是 否 制 定 有 关 管 理 规 范, 严 格 规 范 人 员 离 岗 过 程, 及 时 终 止 离 岗 员 工 的 所 有 访 问 权 限 b) 是 否 取 回 各 种 身 份 证 件 钥 匙 徽 章 等 以 及 机 构 提 供 的 软 硬 件 设 备 c) 是 否 办 理 严 格 的 调 离 手 续 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) d) 是 否 办 理 严 格 的 调 离 手 续, 关 键 岗 位 人 员 离 岗 须 承 诺 调 离 后 的 保 密 义 务 后 方 可 离 开 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.1.3.4 人 员 考 核 a) 是 否 定 期 对 各 个 岗 位 的 人 员 进 行 安 全 技 能 及 安 全 认 知 的 考 核 安 全 技 能 及 安 全 认 知 的 考 核 应 至 少 每 年 一 次 b) 是 否 对 关 键 岗 位 的 人 员 进 行 全 面 严 格 的 安 全 审 查 和 技 能 考 核 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) c) 是 否 对 考 核 结 果 进 行 记 录 并 保 存 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 是 否 建 立 保 密 制 度, 并 定 期 或 不 定 期 的 对 保 密 制 度 执 行 情 况 进 行 检 查 或 考 核 ( 本 项 适 用 于 : 定 为 信 息 系 统 等 级 保 护 三 级 系 统 的 证 券 交 易 所 交 易 系 统 证 券 交 易 所 通 信 系 统 开 放 式 基 金 登 记 结 算 系 统 证 券 登 记 结 算 系 统 ) A.1.1.3.5 教 育 和 培 训 11

a) 是 否 对 各 类 人 员 进 行 安 全 意 识 教 育 岗 位 技 能 培 训 和 相 关 安 全 技 术 培 训 b) 是 否 对 安 全 责 任 和 惩 戒 措 施 进 行 书 面 规 定 并 告 知 相 关 人 员, 并 对 违 反 违 背 安 全 策 略 和 规 定 的 人 员 进 行 惩 戒 c) 是 否 对 年 度 安 全 教 育 和 培 训 进 行 书 面 规 定, 针 对 运 维 人 员 等 不 同 岗 位 制 定 不 同 的 培 训 计 划, 对 信 息 安 全 基 础 知 识 岗 位 操 作 规 程 机 房 消 防 及 相 关 应 急 内 容 等 进 行 培 训, 并 留 存 培 训 记 录 d) 是 否 对 安 全 教 育 和 培 训 的 情 况 和 结 果 进 行 记 录 并 归 档 保 存 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.1.3.6 外 部 人 员 访 问 管 理 a) 是 否 确 保 在 外 部 人 员 访 问 受 控 区 域 前 先 提 出 书 面 申 请, 批 准 后 由 专 人 全 程 陪 同 或 监 督, 并 登 记 备 案 b) 对 外 部 人 员 允 许 访 问 的 区 域 系 统 设 备 信 息 等 内 容 是 否 进 行 书 面 的 规 定, 并 按 照 规 定 执 行 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.2 机 房 管 理 A.1.2.1 基 础 保 障 A.1.2.1.1 物 理 位 置 的 选 择 a) 机 房 和 办 公 场 地 是 否 选 择 具 有 防 震 防 风 和 防 雨 等 能 力 的 建 筑 : 1) 应 具 有 机 房 或 机 房 所 在 建 筑 物 符 合 当 地 抗 震 要 求 的 相 关 证 明 ; 2) 机 房 外 墙 壁 应 没 有 对 外 的 窗 户 否 则, 应 采 用 双 层 固 定 窗, 并 作 密 封 防 水 处 理 b) 机 房 场 地 是 否 避 免 设 在 建 筑 物 的 高 层 或 地 下 室, 以 及 用 水 设 备 的 下 层 或 隔 壁 :( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) 1) 机 房 场 地 不 宜 设 在 建 筑 物 顶 层, 如 果 不 可 避 免, 应 采 取 有 效 的 防 水 措 施 机 房 场 地 设 在 建 筑 物 地 下 室 的, 应 采 取 有 效 的 防 水 措 施 ; 2) 机 房 场 地 设 在 建 筑 物 高 层 的, 应 对 设 备 采 取 有 效 固 定 措 施 ; 3) 如 果 机 房 周 围 有 用 水 设 备, 应 当 有 防 渗 水 和 疏 导 措 施 A.1.2.1.2 防 雷 击 a) 机 房 或 机 房 所 在 大 楼, 是 否 设 计 并 安 装 防 雷 击 措 施, 防 雷 措 施 应 至 少 包 括 避 雷 针 或 避 雷 器 等 b) 机 房 是 否 设 置 交 流 电 源 地 线 c) 是 否 设 置 防 雷 保 安 器, 防 止 感 应 雷 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.2.1.3 防 火 a) 机 房 是 否 设 置 灭 火 设 备 和 火 灾 自 动 报 警 系 统 机 房 的 火 灾 自 动 报 警 系 统 应 向 当 地 公 安 消 防 部 门 备 案 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) b) 机 房 是 否 设 置 火 灾 自 动 消 防 系 统, 能 够 自 动 检 测 火 情 自 动 报 警, 并 自 动 灭 火 ; 机 房 的 火 灾 自 动 消 防 系 统 应 向 当 地 公 安 消 防 部 门 备 案 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) 12

c) 机 房 及 相 关 的 工 作 房 间 和 辅 助 房 是 否 采 用 具 有 耐 火 等 级 的 建 筑 材 料 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 机 房 是 否 采 取 区 域 隔 离 防 火 措 施, 将 重 要 设 备 与 其 他 设 备 隔 离 开 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) e) 消 防 设 施 是 否 具 备 自 动 监 测 报 警 和 气 体 灭 火 能 力, 通 过 当 地 公 安 机 关 的 验 收 并 保 持 功 能 正 常 A.1.2.1.4 防 水 和 防 潮 a) 水 管 安 装, 是 否 穿 过 机 房 屋 顶 和 活 动 地 板 下 ; 1) 与 机 房 设 备 无 关 的 水 管 不 得 穿 过 机 房 屋 顶 和 活 动 地 板 下 ; 2) 机 房 屋 顶 和 活 动 地 板 下 铺 有 水 管 的, 应 采 取 有 效 防 护 措 施 b) 是 否 采 取 措 施 防 止 雨 水 通 过 机 房 窗 户 屋 顶 和 墙 壁 渗 透 c) 是 否 采 取 措 施 防 止 机 房 内 水 蒸 气 结 露 和 地 下 积 水 的 转 移 与 渗 透 d) 是 否 安 装 对 水 敏 感 的 检 测 仪 表 或 元 件, 对 机 房 进 行 防 水 检 测 和 报 警 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.2.1.5 防 静 电 a) 关 键 设 备 应 采 用 必 要 的 接 地 防 静 电 措 施 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) b) 主 要 设 备 是 否 采 用 必 要 的 接 地 防 静 电 措 施 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) c) 机 房 是 否 采 用 防 静 电 地 板 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 是 否 采 用 静 电 消 除 器 等 装 置, 减 少 静 电 的 产 生 ( 本 项 适 用 于 : 定 为 信 息 系 统 等 级 保 护 三 级 系 统 的 证 券 交 易 所 交 易 系 统 证 券 交 易 所 通 信 系 统 ) A.1.2.1.6 空 调 a) 机 房 是 否 设 置 温 湿 度 自 动 调 节 设 施, 使 机 房 温 湿 度 的 变 化 在 设 备 运 行 所 允 许 的 范 围 之 内 : 1) 开 机 时 机 房 温 度 应 控 制 在 22-24 ; 2) 开 机 时 机 房 相 对 湿 度 应 控 制 在 40%-55% b) 是 否 每 季 度 至 少 一 次 对 空 调 设 备 进 行 全 面 检 查 和 维 护, 保 存 维 护 记 录 c) 空 调 系 统 是 否 采 用 恒 温 恒 湿 的 精 密 空 调, 并 保 证 有 足 够 的 富 余 能 力 A.1.2.1.7 电 力 供 应 a) 是 否 在 机 房 供 电 线 路 上 配 置 稳 压 器 和 过 电 压 防 护 设 备 b) 是 否 提 供 短 期 的 备 用 电 力 供 应, 至 少 满 足 主 要 设 备 在 断 电 情 况 下 的 正 常 运 行 要 求 1) 机 房 应 配 备 UPS,UPS 实 际 供 电 能 力 能 够 满 足 主 要 设 备 在 断 电 情 况 下 正 常 运 行 2 个 小 时 以 上 ; 2) 机 房 应 自 备 或 租 用 发 电 机, 能 够 保 障 持 续 供 电 c) 是 否 提 供 短 期 的 备 用 电 力 供 应, 至 少 满 足 设 备 在 断 电 情 况 下 的 正 常 运 行 要 求 ; 机 房 应 配 备 UPS, UPS 实 际 供 电 能 力 能 够 满 足 设 备 在 断 电 情 况 下 正 常 运 行 2 个 小 时 以 上 ( 本 项 适 用 于 : 定 为 信 息 系 统 等 级 保 护 三 级 系 统 的 证 券 交 易 所 交 易 系 统 证 券 交 易 所 通 信 系 统 ) d) 是 否 采 用 双 路 市 电, 双 路 市 电 应 能 实 现 自 动 切 换 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) 13

A.1.2.1.8 电 磁 防 护 a) 电 源 线 和 通 信 线 缆 是 否 隔 离 铺 设, 避 免 互 相 干 扰 电 源 线 和 通 信 线 缆 应 铺 设 在 不 同 的 桥 架 或 管 道, 避 免 互 相 干 扰 b) 是 否 采 用 接 地 方 式 防 止 外 界 电 磁 干 扰 和 设 备 寄 生 耦 合 干 扰 :( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) 1) 机 房 或 机 房 所 在 的 大 楼 必 须 有 接 地 措 施, 并 且 接 地 电 阻 必 须 小 于 1 欧 姆 ; 2) 机 房 验 收 报 告 应 提 供 合 格 的 检 测 结 果 c) 是 否 对 关 键 设 备 和 磁 介 质 实 施 电 磁 屏 蔽 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.2.2 机 房 运 维 A.1.2.2.1 物 理 访 问 控 制 a) 机 房 出 入 口 是 否 安 排 专 人 值 守, 控 制 鉴 别 和 记 录 进 入 的 人 员 ; 1) 机 房 出 入 应 当 安 排 专 人 负 责 管 理, 人 员 进 出 记 录 应 至 少 保 存 3 个 月 ; 2) 没 有 门 禁 系 统 的 机 房, 应 当 安 排 专 人 控 制 鉴 别 和 记 录 人 员 的 进 出 ; 3) 有 门 禁 系 统 的 机 房, 应 当 采 用 监 控 设 备 将 机 房 人 员 进 出 情 况 传 输 到 值 班 点, 对 外 来 人 员 出 入 机 房 进 行 控 制 鉴 别 和 记 录 b) 机 房 出 入 口 是 否 安 排 专 人 值 守 并 配 置 电 子 门 禁 系 统, 控 制 鉴 别 和 记 录 进 入 的 人 员 :( 本 项 适 用 于 : 定 为 信 息 系 统 等 级 保 护 三 级 系 统 的 证 券 交 易 所 交 易 系 统 证 券 交 易 所 通 信 系 统 ) 1) 机 房 出 入 应 当 安 排 专 人 负 责 管 理, 人 员 进 出 记 录 应 至 少 保 存 3 个 月 ; 2) 应 当 采 用 监 控 设 备 将 机 房 人 员 进 出 情 况 传 输 到 值 班 点, 对 外 来 人 员 出 入 机 房 进 行 控 制 鉴 别 和 记 录 c) 需 进 入 机 房 的 来 访 人 员 是 否 经 过 申 请 和 审 批 流 程, 并 限 制 和 监 控 其 活 动 范 围 ; 1) 来 访 人 员 进 入 机 房, 应 有 审 批 流 程, 记 录 带 进 带 出 的 设 备 进 出 时 间 工 作 内 容, 并 有 专 人 陪 同 其 在 限 定 的 范 围 内 工 作 ; 2) 机 房 出 入 口 应 有 视 频 监 控, 监 控 记 录 至 少 保 存 3 个 月 d) 是 否 对 机 房 划 分 区 域 进 行 管 理, 区 域 和 区 域 之 间 设 置 物 理 隔 离 装 置, 在 重 要 区 域 前 设 置 交 付 或 安 装 等 过 渡 区 域 :( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) 1) 机 房 应 当 按 照 消 防 要 求 和 管 理 要 求 进 行 合 理 分 区, 区 域 和 区 域 之 间 设 置 物 理 隔 离 装 置 ; 2) 机 房 应 当 设 置 专 门 的 过 渡 区 域, 用 于 设 备 的 交 付 或 安 装 ; 3) 重 要 区 域 包 括 : 主 机 房 辅 助 区 支 持 区 等 功 能 区 域 e) 重 要 区 域 是 否 配 置 第 二 道 电 子 门 禁 系 统, 控 制 鉴 别 和 记 录 进 入 的 人 员 ( 本 项 适 用 于 : 定 为 信 息 系 统 等 级 保 护 三 级 系 统 的 证 券 交 易 所 交 易 系 统 证 券 交 易 所 通 信 系 统 ) A.1.2.2.2 防 盗 窃 和 防 破 坏 a) 是 否 将 主 要 设 备 放 置 在 机 房 内 b) 是 否 将 设 备 或 主 要 部 件 进 行 固 定, 并 设 置 明 显 的 不 易 除 去 的 标 记 ; 1) 主 要 设 备 应 当 安 装 固 定 在 机 柜 内 或 机 架 上 ; 2) 主 要 设 备 机 柜 机 架 应 有 明 显 且 不 易 除 去 的 标 识, 如 粘 贴 标 签 或 铭 牌 14

c) 是 否 将 通 信 线 缆 铺 设 在 隐 蔽 处, 可 铺 设 在 地 下 或 管 道 中 ; 通 信 线 缆 可 铺 设 在 管 道 或 线 槽 线 架 中 d) 是 否 对 介 质 分 类 标 识, 存 储 在 介 质 库 或 档 案 室 中 e) 主 机 房 应 安 装 必 要 的 防 盗 报 警 设 施 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) f) 是 否 利 用 光 电 等 技 术 设 置 机 房 防 盗 报 警 系 统 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) g) 是 否 对 机 房 设 置 监 控 报 警 系 统 :( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) 1) 应 至 少 对 机 房 的 出 入 口 操 作 台 等 区 域 进 行 摄 像 监 控 ; 2) 监 控 录 像 记 录 至 少 保 存 3 个 月 A.1.2.2.3 机 房 管 理 a) 是 否 指 定 专 门 的 部 门 或 人 员 定 期 对 机 房 供 配 电 空 调 温 湿 度 控 制 等 设 施 进 行 维 护 管 理 ; 1) 应 每 季 度 对 机 房 供 配 电 空 调 UPS 等 设 施 进 行 维 护 管 理 并 保 存 相 关 维 护 记 录 ; 2) 应 每 年 对 防 盗 报 警 防 雷 消 防 等 装 置 进 行 检 测 维 护 并 保 存 相 关 维 护 记 录 b) 是 否 建 立 机 房 安 全 管 理 制 度, 对 有 关 机 房 设 备 和 人 员 出 入, 供 电, 空 调, 消 防, 安 防 等 基 础 设 施 的 运 行 维 护, 机 房 工 作 人 员 等 进 行 规 范 管 理 c) 是 否 加 强 对 办 公 环 境 的 保 密 性 管 理, 包 括 工 作 人 员 调 离 办 公 室 应 立 即 交 还 该 办 公 室 钥 匙 和 不 在 办 公 区 接 待 来 访 人 员 等 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) d) 是 否 指 定 部 门 负 责 机 房 安 全, 并 配 备 机 房 安 全 管 理 人 员, 对 机 房 的 出 入 服 务 器 的 开 机 或 关 机 等 工 作 进 行 管 理 e) 是 否 加 强 对 办 公 环 境 的 保 密 性 管 理, 规 范 办 公 环 境 人 员 行 为, 包 括 工 作 人 员 调 离 办 公 室 应 立 即 交 还 该 办 公 室 钥 匙 不 在 办 公 区 接 待 来 访 人 员 工 作 人 员 离 开 座 位 应 确 保 终 端 计 算 机 退 出 登 录 状 态 和 桌 面 上 没 有 包 含 敏 感 信 息 的 纸 档 文 件 等 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) f) 是 否 对 机 房 和 办 公 环 境 实 行 统 一 策 略 的 安 全 管 理, 对 出 入 人 员 进 行 相 应 级 别 的 授 权, 对 进 入 重 要 安 全 区 域 的 活 动 行 为 实 时 监 视 和 记 录 ( 本 项 适 用 于 : 定 为 信 息 系 统 等 级 保 护 三 级 系 统 的 证 券 交 易 所 交 易 系 统 证 券 交 易 所 通 信 系 统 开 放 式 基 金 登 记 结 算 系 统 证 券 登 记 结 算 系 统 ) g) 是 否 指 定 机 房 管 理 负 责 人 h) 是 否 确 保 机 房 环 境 整 洁 和 安 全, 包 括 : 1) 应 定 期 检 查 防 水 防 雷 防 火 防 潮 防 尘 防 鼠 防 静 电 防 电 磁 辐 射 等 措 施 的 有 效 性 ; 2) 应 保 持 机 房 环 境 卫 生, 采 取 防 尘 措 施, 定 期 进 行 除 尘 处 理 ; 3) 交 易 时 间 内 不 得 进 行 机 房 施 工 保 洁 操 作 i) 是 否 对 设 备 和 人 员 出 入 进 行 严 格 管 理, 包 括 : 1) 应 指 定 人 员 负 责 控 制 鉴 别 和 记 录 设 备 和 人 员 的 进 出 情 况, 记 录 进 出 人 员 进 出 时 间 工 作 内 容, 并 留 存 记 录 至 少 90 天 ; 2) 机 房 出 入 口 的 监 控 录 像 至 少 保 存 90 天 ; 3) 外 来 人 员 进 入 机 房 应 经 过 申 请 和 审 批 流 程, 并 限 制 和 监 控 其 活 动 范 围, 并 有 专 人 陪 同 ; 4) 外 来 设 备 未 经 批 准 不 得 接 入 生 产 环 境 j) 是 否 对 机 房 和 设 备 至 少 每 2 小 时 巡 检 一 次, 重 要 敏 感 时 期 提 高 巡 检 频 度 A.1.2.2.4 用 电 安 全 a) 机 房 管 理 员 是 否 根 据 国 家 有 关 规 定 和 标 准 进 行 用 电 管 理, 应 重 点 保 障 核 心 交 易 业 务 系 统 用 电 安 全 15

b) 机 房 管 理 员 是 否 掌 握 常 规 用 电 安 全 操 作 和 知 识, 了 解 机 房 内 部 供 电 用 电 设 备 的 操 作 规 程, 掌 握 机 房 用 电 应 急 处 理 步 骤 措 施 和 要 领 有 条 件 的 可 配 备 专 业 电 工 或 与 相 关 电 力 机 构 或 物 业 机 构 签 署 服 务 协 议 c) 是 否 在 危 险 性 高 的 位 置 张 贴 相 应 的 用 电 安 全 操 作 方 法 警 示 及 指 引 d) 是 否 每 季 度 至 少 一 次 对 机 房 供 配 电 备 用 电 源 系 统 进 行 全 面 检 查 和 维 护 管 理, 及 时 更 换 老 化 的 电 路 元 件 及 线 缆, 应 定 期 测 试 备 用 供 电 系 统, 确 保 持 续 供 电 设 施 的 有 效 性, 并 保 存 相 关 检 查 和 维 护 记 录 e) 未 经 审 批 是 否 禁 止 接 入 其 他 用 电 设 备 A.1.2.2.5 机 房 消 防 a) 机 房 工 作 人 员 是 否 熟 悉 逃 生 路 线 和 自 我 保 护 措 施, 防 止 发 生 人 身 安 全 意 外 b) 是 否 将 消 防 安 全 警 示 和 指 示 张 贴 于 机 房 明 显 位 置, 将 消 防 设 施 的 操 作 要 点 张 贴 于 消 防 设 施 旁 边 c) 机 房 工 作 人 员 是 否 熟 悉 消 防 设 施 及 操 作 要 点, 掌 握 消 防 应 急 措 施 d) 是 否 每 季 度 至 少 一 次 对 机 房 内 消 防 报 警 设 备 进 行 检 查, 保 证 其 有 效 性 e) 是 否 定 期 进 行 消 防 设 施 的 使 用 培 训 和 演 习 A.1.3 网 络 管 理 A.1.3.1 网 络 安 全 A.1.3.1.1 结 构 安 全 a) 是 否 保 证 主 要 网 络 设 备 的 业 务 处 理 能 力 具 备 冗 余 空 间, 满 足 业 务 高 峰 期 需 要 ; 关 键 网 络 设 备 近 一 年 的 CPU 负 载 峰 值 应 小 于 30% b) 是 否 保 证 接 入 网 络 和 核 心 网 络 的 带 宽 满 足 业 务 高 峰 期 需 要 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) c) 是 否 保 证 网 络 各 个 部 分 的 带 宽 满 足 业 务 高 峰 期 需 要 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 是 否 在 业 务 终 端 与 业 务 服 务 器 之 间 进 行 路 由 控 制 建 立 安 全 的 访 问 路 径 ; 业 务 终 端 和 业 务 服 务 器 应 放 置 在 不 同 的 子 网 内, 并 建 立 安 全 的 访 问 路 径 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) e) 是 否 绘 制 与 当 前 运 行 情 况 相 符 的 网 络 拓 扑 结 构 图 ; 应 绘 制 完 整 的 网 络 拓 扑 结 构 图, 有 相 应 的 网 络 配 置 表, 包 含 设 备 IP 地 址 等 主 要 信 息, 与 当 前 运 行 情 况 相 符, 并 及 时 更 新 f) 是 否 根 据 各 部 门 的 工 作 职 能 重 要 性 和 所 涉 及 信 息 的 重 要 程 度 等 因 素, 划 分 不 同 的 子 网 或 网 段, 并 按 照 方 便 管 理 和 控 制 的 原 则 为 各 子 网 网 段 分 配 地 址 段 g) 是 否 提 供 关 键 网 络 设 备 通 信 线 路 和 数 据 处 理 系 统 的 硬 件 冗 余, 保 证 系 统 的 可 用 性 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) h) 是 否 避 免 将 重 要 网 段 部 署 在 网 络 边 界 处 且 直 接 连 接 外 部 信 息 系 统, 重 要 网 段 与 其 他 网 段 之 间 采 取 可 靠 的 技 术 隔 离 手 段 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) i) 是 否 按 照 对 业 务 服 务 的 重 要 次 序 来 指 定 带 宽 分 配 优 先 级 别, 保 证 在 网 络 发 生 拥 堵 的 时 候 优 先 保 护 重 要 主 机 应 对 所 有 业 务 确 定 重 要 性 优 先 级, 制 定 业 务 相 关 带 宽 分 配 原 则 及 相 应 的 带 宽 控 制 策 略, 根 据 安 全 需 求, 采 取 网 络 QoS 或 专 用 带 宽 管 理 设 备 等 措 施 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) 16

j) 是 否 采 用 冗 余 技 术 设 计 网 络 拓 扑 结 构, 避 免 关 键 节 点 存 在 单 点 故 障 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) k) 通 信 带 宽 是 否 保 持 在 历 史 流 量 峰 值 的 4 倍 以 上 l) 重 要 线 路 是 否 至 少 具 有 一 条 以 上 的 备 份 线 路 m) 与 交 易 业 务 相 关 的 系 统 是 否 在 行 业 专 网 上 部 署 A.1.3.1.2 访 问 控 制 a) 网 络 边 界 是 否 部 署 访 问 控 制 设 备 并 启 用 访 问 控 制 功 能 b) 是 否 针 对 数 据 流 提 供 明 确 的 允 许 / 拒 绝 访 问 的 访 问 控 制 策 略, 控 制 力 度 达 到 网 段 级 网 络 边 界 访 问 控 制 设 备 应 设 定 过 滤 规 则 集 规 则 集 应 涵 盖 对 所 有 出 入 边 界 的 数 据 包 的 处 理 方 式, 对 于 没 有 明 确 定 义 的 数 据 包, 应 缺 省 拒 绝 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) c) 是 否 能 根 据 会 话 状 态 信 息 为 数 据 流 提 供 明 确 的 允 许 / 拒 绝 访 问 的 能 力, 控 制 粒 度 为 端 口 级 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 是 否 按 用 户 和 系 统 之 间 的 允 许 访 问 规 则, 决 定 允 许 或 拒 绝 用 户 对 受 控 系 统 进 行 资 源 访 问, 控 制 粒 度 为 单 个 用 户 e) 是 否 限 制 具 有 拨 号 访 问 权 限 的 用 户 数 量 原 则 上 不 应 通 过 互 联 网 对 重 要 信 息 系 统 进 行 远 程 维 护 和 管 理 f) 是 否 对 进 出 网 络 的 信 息 内 容 进 行 过 滤, 实 现 对 应 用 层 HTTP FTP TELNET SMTP POP3 等 协 议 命 令 级 的 控 制 ; 对 通 过 互 联 网 传 输 的 信 息 内 容 进 行 过 滤, 实 现 对 应 用 层 HTTP FTP TELNET SMTP POP3 等 通 用 性 协 议 命 令 级 控 制 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) g) 是 否 在 会 话 处 于 非 活 跃 一 定 时 间 或 会 话 结 束 后 终 止 网 络 连 接 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) h) 是 否 限 制 网 络 最 大 流 量 数 及 网 络 连 接 数 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) i) 重 要 网 段 是 否 采 取 技 术 手 段 防 止 地 址 欺 骗 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) j) 是 否 制 定 网 络 访 问 控 制 策 略, 应 合 理 设 置 网 络 隔 离 设 施 上 的 访 问 控 制 列 表, 关 闭 与 业 务 无 关 的 端 口 ; 编 制 文 档 并 保 持 更 新 ; 访 问 控 制 策 略 的 变 更 应 履 行 审 批 手 续 A.1.3.1.3 安 全 审 计 a) 是 否 对 网 络 系 统 中 的 网 络 设 备 运 行 状 况 网 络 流 量 用 户 行 为 等 进 行 日 志 记 录 b) 审 计 记 录 是 否 包 括 事 件 的 日 期 和 时 间 用 户 事 件 类 型 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 c) 是 否 能 够 根 据 记 录 数 据 进 行 分 析, 并 生 成 审 计 报 表 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 是 否 对 审 计 记 录 进 行 保 护, 避 免 受 到 未 预 期 的 删 除 修 改 或 覆 盖 等 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) e) 是 否 定 期 检 查 网 络 设 备 的 用 户 口 令 及 权 限 设 置 的 正 确 性 f) 是 否 留 存 网 络 访 问 日 志 A.1.3.1.4 边 界 完 整 性 检 查 17

a) 是 否 能 够 检 查 内 部 网 络 用 户 采 用 双 网 卡 跨 接 外 部 网 络, 或 采 用 电 话 拨 号 ADSL 拨 号 手 机 无 线 上 网 卡 等 无 线 拨 号 方 式 连 接 其 他 外 部 网 络, 准 确 定 出 位 置, 并 对 其 进 行 有 效 阻 断 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) b) 是 否 能 够 对 非 授 权 设 备 私 自 联 到 内 部 网 络 的 行 为 进 行 检 查, 准 确 定 出 位 置, 并 对 其 进 行 有 效 阻 断 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) c) 是 否 能 够 对 内 部 网 络 用 户 私 自 联 到 外 部 网 络 的 行 为 进 行 检 查, 准 确 定 出 位 置, 并 对 其 进 行 有 效 阻 断 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 是 否 定 期 检 查 安 全 隔 离 情 况, 确 保 各 安 全 域 之 间 有 效 隔 离 A.1.3.1.5 入 侵 防 范 a) 是 否 在 网 络 边 界 处 监 视 以 下 攻 击 行 为 : 端 口 扫 描 强 力 攻 击 木 马 后 门 攻 击 拒 绝 服 务 攻 击 缓 冲 区 溢 出 攻 击 IP 碎 片 攻 击 和 网 络 蠕 虫 攻 击 等 b) 当 检 测 到 攻 击 行 为 时, 是 否 记 录 攻 击 源 IP 攻 击 类 型 攻 击 目 的 攻 击 时 间, 在 发 生 严 重 入 侵 事 件 时 应 提 供 报 警 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.3.1.6 恶 意 代 码 防 范 a) 是 否 在 网 络 边 界 处 对 恶 意 代 码 进 行 检 测 和 清 除 :( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) 1) 在 不 严 重 影 响 网 络 性 能 和 业 务 的 情 况 下, 应 在 网 络 边 界 部 署 恶 意 代 码 检 测 系 统 ; 2) 如 果 部 署 了 主 机 恶 意 代 码 检 测 系 统, 可 选 择 安 装 部 署 网 络 边 界 恶 意 代 码 检 测 系 统 b) 是 否 维 护 恶 意 代 码 库 的 升 级 和 检 测 系 统 的 更 新 A.1.3.1.7 网 络 设 备 防 护 a) 是 否 对 登 录 网 络 设 备 的 用 户 进 行 身 份 鉴 别 ; 应 删 除 默 认 用 户 或 修 改 默 认 用 户 的 口 令, 根 据 管 理 需 要 开 设 用 户, 不 得 使 用 缺 省 口 令 空 口 令 弱 口 令 b) 是 否 对 网 络 设 备 的 管 理 员 登 录 地 址 进 行 限 制 c) 网 络 设 备 用 户 的 标 识 是 否 唯 一 d) 身 份 鉴 别 信 息 是 否 具 有 不 易 被 冒 用 的 特 点, 口 令 是 否 有 复 杂 度 要 求 并 定 期 更 换 ; 1) 口 令 应 符 合 以 下 条 件 : 数 字 字 母 符 号 混 排, 无 规 律 的 方 式 ; 2) 管 理 员 用 户 口 令 的 长 度 至 少 为 12 位 ; 3) 管 理 员 用 户 口 令 至 少 每 季 度 更 换 1 次, 更 新 的 口 令 至 少 5 次 内 不 能 重 复 ; 4) 如 果 设 备 口 令 长 度 不 支 持 12 位 或 其 他 复 杂 度 要 求, 口 令 应 使 用 所 支 持 的 最 长 长 度 并 适 当 缩 小 更 换 周 期 ; 也 可 以 使 用 动 态 密 码 卡 等 一 次 性 口 令 认 证 方 式 e) 是 否 具 有 登 录 失 败 处 理 功 能, 是 否 采 取 结 束 会 话 限 制 非 法 登 录 次 数 和 当 网 络 登 录 连 接 超 时 自 动 退 出 等 措 施 f) 当 对 网 络 设 备 进 行 远 程 管 理 时, 是 否 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 g) 主 要 网 络 设 备 是 否 对 同 一 用 户 选 择 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 来 进 行 身 份 鉴 别 :( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) 1) 通 过 本 地 控 制 台 管 理 主 要 网 络 设 备 时, 应 采 用 一 种 或 一 种 以 上 身 份 鉴 别 技 术 ; 2) 以 远 程 方 式 登 录 主 要 网 络 设 备, 应 采 用 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 进 行 身 份 鉴 别 18

h) 系 统 管 理 员 安 全 管 理 员 安 全 审 计 员 等 设 备 特 权 用 户 的 权 限 是 否 分 离 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.4 主 机 和 系 统 管 理 A.1.4.1 主 机 安 全 A.1.4.1.1 身 份 鉴 别 a) 是 否 对 登 录 操 作 系 统 和 数 据 库 系 统 的 用 户 进 行 身 份 标 识 和 鉴 别 b) 操 作 系 统 和 数 据 库 系 统 管 理 用 户 身 份 标 识 是 否 具 有 不 易 被 冒 用 的 特 点, 口 令 应 有 复 杂 度 要 求 并 定 期 更 换 ; 1) 口 令 应 符 合 以 下 条 件 : 数 字 字 母 符 号 混 排, 无 规 律 的 方 式 ; 2) 口 令 的 长 度 至 少 为 12 位 ; 3) 口 令 至 少 每 季 度 更 换 1 次, 更 新 的 口 令 至 少 5 次 内 不 能 重 复 ; 4) 如 果 设 备 口 令 长 度 不 支 持 12 位 或 其 他 复 杂 度 要 求, 口 令 应 使 用 所 支 持 的 最 长 长 度 并 适 当 缩 小 更 换 周 期 ; 也 可 以 使 用 动 态 密 码 卡 等 一 次 性 口 令 认 证 方 式 c) 是 否 启 用 登 录 失 败 处 理 功 能, 可 采 取 结 束 会 话 限 制 非 法 登 录 次 数 和 自 动 退 出 等 措 施 d) 当 对 服 务 器 进 行 远 程 管 理 时, 是 否 采 取 必 要 措 施, 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 e) 是 否 为 操 作 系 统 和 数 据 库 系 统 的 不 同 用 户 分 配 不 同 的 用 户 名, 确 保 用 户 名 具 有 唯 一 性 : 1) 应 为 操 作 系 统 的 不 同 用 户 分 配 不 同 的 用 户 名 ; 2) 应 为 数 据 库 系 统 的 不 同 用 户 分 配 不 同 的 用 户 名 f) 是 否 采 用 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 对 管 理 用 户 进 行 身 份 鉴 别 :( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) 1) 通 过 本 地 控 制 台 管 理 主 机 设 备 时, 应 采 用 一 种 或 一 种 以 上 身 份 鉴 别 技 术 ; 2) 以 远 程 方 式 登 录 主 机 设 备, 应 采 用 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 进 行 身 份 鉴 别 A.1.4.1.2 访 问 控 制 a) 是 否 启 用 访 问 控 制 功 能, 依 据 安 全 策 略 控 制 用 户 对 资 源 的 访 问 b) 是 否 实 现 操 作 系 统 和 数 据 库 系 统 特 权 用 户 的 权 限 分 离 ;HP Tandem IBM OS400 系 列 运 行 DB2 数 据 库 的 IBM AIX 等 专 用 系 统 的 特 权 用 户 除 外 c) 是 否 严 格 限 制 默 认 账 户 的 访 问 权 限, 重 命 名 系 统 默 认 账 户, 修 改 这 些 账 户 的 默 认 口 令 1) 系 统 无 法 修 改 访 问 权 限 的 特 殊 默 认 账 户, 可 不 修 改 访 问 权 限 ; 2) 系 统 无 法 重 命 名 的 特 殊 默 认 账 户, 可 不 重 命 名 d) 是 否 及 时 删 除 多 余 的 过 期 的 账 户, 避 免 共 享 账 户 的 存 在 e) 是 否 根 据 管 理 用 户 的 角 色 分 配 权 限, 实 现 管 理 用 户 的 权 限 分 离, 仅 授 予 管 理 用 户 所 需 的 最 小 权 限 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.4.1.3 安 全 审 计 a) 审 计 范 围 是 否 覆 盖 到 服 务 器 上 的 每 个 操 作 系 统 用 户 和 数 据 库 用 户 ; 应 在 保 证 系 统 运 行 安 全 和 效 率 的 前 提, 启 用 系 统 审 计 或 采 用 第 三 方 安 全 审 计 产 品 实 现 审 计 要 求 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) 19

b) 审 计 内 容 是 否 包 括 重 要 用 户 行 为 系 统 资 源 的 异 常 使 用 和 重 要 系 统 命 令 的 使 用 等 系 统 内 重 要 的 安 全 相 关 事 件 ; 审 计 内 容 至 少 包 括 : 用 户 的 添 加 和 删 除 审 计 功 能 的 启 动 和 关 闭 审 计 策 略 的 调 整 权 限 变 更 系 统 资 源 的 异 常 使 用 重 要 的 系 统 操 作 ( 如 用 户 登 录 退 出 ) 等 c) 审 计 记 录 是 否 包 括 事 件 的 日 期 时 间 类 型 主 体 标 识 客 体 标 识 和 结 果 等 d) 是 否 保 护 审 计 记 录, 避 免 受 到 未 预 期 的 删 除 修 改 或 覆 盖 等 审 计 记 录 应 至 少 保 存 6 个 月 e) 审 计 范 围 是 否 覆 盖 到 服 务 器 和 重 要 客 户 端 上 的 每 个 操 作 系 统 用 户 和 数 据 库 用 户 ; 应 在 保 证 系 统 运 行 安 全 和 效 率 的 前 提 下, 启 用 系 统 审 计 或 采 用 第 三 方 安 全 审 计 产 品 实 现 审 计 要 求 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) f) 是 否 能 够 根 据 记 录 数 据 进 行 分 析, 并 生 成 审 计 报 表 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) g) 是 否 保 护 审 计 进 程, 避 免 受 到 未 预 期 的 中 断 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.4.1.4 入 侵 防 范 a) 操 作 系 统 是 否 遵 循 最 小 安 装 的 原 则, 仅 安 装 需 要 的 组 件 和 应 用 程 序, 并 通 过 设 置 升 级 服 务 器 等 方 式 保 持 系 统 补 丁 及 时 得 到 更 新 持 续 跟 踪 厂 商 提 供 的 系 统 升 级 更 新 情 况, 应 在 经 过 充 分 的 测 试 评 估 后 对 必 要 的 系 统 补 丁 进 行 及 时 更 新 b) 针 对 重 要 服 务 器 的 入 侵 行 为 检 测 是 否 通 过 网 络 级 或 主 机 级 入 侵 检 测 系 统 等 方 式 实 现 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) c) 是 否 能 够 对 重 要 程 序 的 完 整 性 进 行 检 测, 并 在 检 测 到 完 整 性 受 到 破 坏 后 具 有 恢 复 的 措 施 如 不 能 正 常 恢 复, 应 停 止 有 关 服 务, 并 提 供 报 警 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.4.1.5 恶 意 代 码 防 范 a) 是 否 对 所 有 服 务 器 和 终 端 设 备 安 装 防 木 马 病 毒 等 防 恶 意 代 码 软 件, 定 期 进 行 全 面 检 查, 并 及 时 更 新 防 恶 意 代 码 软 件 版 本 和 恶 意 代 码 库 ; 1) 原 则 上 所 有 主 机 应 安 装 防 恶 意 代 码 软 件, 系 统 不 支 持 该 要 求 的 除 外 ; 2) 未 安 装 防 恶 意 代 码 软 件 的 主 机, 应 采 取 有 效 措 施 进 行 恶 意 代 码 防 范 b) 是 否 支 持 防 恶 意 代 码 软 件 的 统 一 管 理 c) 主 机 防 恶 意 代 码 产 品 是 否 具 有 与 网 络 防 恶 意 代 码 产 品 不 同 的 恶 意 代 码 库 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.4.1.6 资 源 控 制 a) 是 否 通 过 设 定 终 端 接 入 方 式 网 络 地 址 范 围 等 条 件 限 制 终 端 登 录 b) 是 否 根 据 安 全 策 略 设 置 登 录 终 端 的 操 作 超 时 锁 定 c) 是 否 限 制 单 个 用 户 对 系 统 资 源 的 最 大 或 最 小 使 用 限 度 d) 是 否 对 重 要 服 务 器 进 行 监 视, 包 括 监 视 服 务 器 的 CPU 硬 盘 内 存 网 络 等 资 源 的 使 用 情 况 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) e) 重 要 服 务 器 的 CPU 利 用 率 内 存 磁 盘 存 储 空 间 等 指 标 超 过 预 先 规 定 的 阈 值 后 是 否 实 时 进 行 报 警 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.4.2 应 用 安 全 20

A.1.4.2.1 结 构 安 全 a) 交 易 结 算 系 统 容 量 是 否 至 少 达 到 当 前 市 场 品 种 市 值 交 易 量 和 投 资 者 规 模 的 2 倍 以 上 b) 处 理 能 力 是 否 至 少 具 有 历 史 交 易 峰 值 4 倍 以 上 的 峰 值 处 理 能 力 和 日 处 理 能 力 A.1.4.2.2 身 份 鉴 别 a) 是 否 提 供 专 用 的 登 录 控 制 模 块 对 登 录 用 户 进 行 身 份 标 识 和 鉴 别 b) 是 否 提 供 用 户 身 份 标 识 唯 一 和 鉴 别 信 息 复 杂 度 检 查 功 能, 保 证 应 用 系 统 中 不 存 在 重 复 用 户 身 份 标 识, 身 份 鉴 别 信 息 不 易 被 冒 用 c) 是 否 提 供 登 录 失 败 处 理 功 能, 可 采 取 结 束 会 话 限 制 非 法 登 录 次 数 和 自 动 退 出 等 措 施 d) 是 否 启 用 身 份 鉴 别 用 户 身 份 标 识 唯 一 性 检 查 用 户 身 份 鉴 别 信 息 复 杂 度 检 查 以 及 登 录 失 败 处 理 功 能, 并 根 据 安 全 策 略 配 置 相 关 参 数 e) 是 否 对 同 一 用 户 采 用 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 实 现 用 户 身 份 鉴 别 :( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) 1) 管 理 用 户 通 过 受 控 本 地 控 制 台 管 理 应 用 系 统 时, 应 采 用 一 种 或 一 种 以 上 身 份 鉴 别 技 术 ; 2) 管 理 用 户 以 远 程 方 式 登 录 应 用 系 统, 应 采 用 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 进 行 身 份 鉴 别 ; 3) 面 向 互 联 网 服 务 的 系 统 应 当 提 供 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 供 用 户 选 择 A.1.4.2.3 访 问 控 制 a) 是 否 提 供 访 问 控 制 和 权 限 管 理 机 制, 依 据 安 全 策 略 控 制 用 户 对 文 件 数 据 库 表 等 客 体 的 访 问, 防 止 客 户 的 授 权 被 恶 意 提 升 或 转 授, 防 止 客 户 使 用 未 经 授 权 的 功 能, 防 止 客 户 进 行 访 问 未 经 授 权 的 数 据 等 非 法 访 问 活 动 b) 访 问 控 制 的 覆 盖 范 围 是 否 包 括 与 资 源 访 问 相 关 的 主 体 客 体 及 它 们 之 间 的 操 作 c) 是 否 由 授 权 主 体 配 置 访 问 控 制 策 略, 并 严 格 限 制 默 认 账 户 的 访 问 权 限 d) 是 否 授 予 不 同 账 户 为 完 成 各 自 承 担 任 务 所 需 的 最 小 权 限, 并 在 它 们 之 间 形 成 相 互 制 约 的 关 系 e) 核 心 系 统 是 否 有 授 权 管 理 功 能 A.1.4.2.4 安 全 审 计 a) 应 用 系 统 是 否 能 够 对 每 个 业 务 用 户 的 关 键 操 作 进 行 记 录, 例 如 用 户 登 录 用 户 退 出 增 加 用 户 修 改 用 户 权 限 等 操 作 b) 是 否 采 取 有 效 措 施 防 止 删 除 修 改 或 覆 盖 审 计 记 录 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) c) 审 计 记 录 的 内 容 是 否 包 括 事 件 日 期 时 间 发 起 者 信 息 类 型 描 述 和 结 果 等 审 计 记 录 应 至 少 保 存 6 个 月 d) 是 否 采 取 有 效 措 施 防 止 单 独 中 断 审 计 进 程 ; 审 计 进 程 应 作 为 应 用 系 统 整 体 进 程 中 的 一 部 分, 并 且 不 能 单 独 中 断 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) e) 是 否 提 供 对 审 计 记 录 数 据 进 行 统 计 查 询 分 析 及 生 成 审 计 报 表 的 功 能 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) 21

A.1.4.2.5 通 信 完 整 性 a) 通 过 互 联 网 卫 星 网 进 行 通 信 时, 是 否 采 用 校 验 码 技 术 保 证 通 信 过 程 中 数 据 的 完 整 性 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) b) 通 过 互 联 网 卫 星 网 进 行 通 信 时, 是 否 采 用 密 码 技 术 保 证 通 信 过 程 中 数 据 的 完 整 性 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) c) 是 否 能 够 检 测 到 鉴 别 信 息 和 重 要 业 务 数 据 在 传 输 过 程 中 完 整 性 受 到 破 坏 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) d) 是 否 能 够 检 测 到 系 统 管 理 数 据 鉴 别 信 息 和 重 要 业 务 数 据 在 传 输 过 程 中 完 整 性 受 到 破 坏, 并 在 检 测 到 完 整 性 错 误 时 采 取 必 要 的 恢 复 措 施 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.4.2.6 通 信 保 密 性 a) 通 过 互 联 网 卫 星 网 进 行 通 信 时, 建 立 通 信 连 接 之 前, 应 用 系 统 是 否 利 用 密 码 技 术 或 可 靠 的 身 份 认 证 技 术 进 行 会 话 初 始 化 验 证 b) 通 过 互 联 网 卫 星 网 传 递 系 统 管 理 数 据 鉴 别 信 息 和 重 要 业 务 数 据 时, 是 否 对 整 个 报 文 或 会 话 过 程 进 行 加 密 A.1.4.2.7 抗 抵 赖 a) 是 否 具 有 在 请 求 的 情 况 下 为 数 据 原 发 者 或 接 收 者 提 供 数 据 原 发 证 据 的 功 能 ; 应 用 系 统 的 操 作 与 管 理 记 录, 至 少 应 记 录 操 作 时 间 操 作 人 员 及 操 作 类 型 操 作 内 容 等 信 息 交 易 系 统 应 能 够 记 录 用 户 交 易 行 为 数 据, 至 少 包 括 业 务 流 水 号 账 户 名 IP 地 址 交 易 指 令 等 信 息 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) b) 是 否 具 有 在 请 求 的 情 况 下 为 数 据 原 发 者 或 接 收 者 提 供 数 据 接 收 证 据 的 功 能 应 用 系 统 的 操 作 与 管 理 记 录, 至 少 应 记 录 操 作 时 间 操 作 人 员 及 操 作 类 型 操 作 内 容 等 信 息 交 易 系 统 应 能 够 记 录 用 户 交 易 行 为 数 据, 至 少 包 括 业 务 流 水 号 账 户 名 IP 地 址 交 易 指 令 等 信 息 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.4.2.8 软 件 容 错 a) 是 否 提 供 数 据 有 效 性 检 验 功 能, 保 证 通 过 人 机 接 口 输 入 或 通 过 通 信 接 口 输 入 的 数 据 格 式 或 长 度 符 合 系 统 设 定 要 求 b) 在 故 障 发 生 时, 应 用 系 统 是 否 能 够 继 续 提 供 一 部 分 功 能, 确 保 能 够 实 施 必 要 的 措 施 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) c) 是 否 提 供 自 动 保 护 功 能, 当 故 障 发 生 时 自 动 保 护 当 前 所 有 状 态, 保 证 系 统 能 够 进 行 恢 复 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.4.2.9 资 源 控 制 a) 当 应 用 系 统 的 通 信 双 方 中 的 一 方 在 一 段 时 间 内 未 作 任 何 响 应, 另 一 方 是 否 能 够 自 动 结 束 会 话 用 户 登 录 应 用 系 统 后 在 规 定 的 时 间 内 未 执 行 任 何 操 作, 应 自 动 退 出 系 统 22

b) 是 否 能 够 对 系 统 的 最 大 并 发 会 话 连 接 数 进 行 限 制 c) 是 否 能 够 对 单 个 账 户 的 多 重 并 发 会 话 进 行 限 制 d) 是 否 能 够 对 一 个 时 间 段 内 可 能 的 并 发 会 话 连 接 数 进 行 限 制 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) e) 是 否 能 够 对 一 个 访 问 账 户 或 一 个 请 求 进 程 占 用 的 资 源 分 配 最 大 限 额 和 最 小 限 额 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) f) 是 否 能 够 对 系 统 服 务 水 平 降 低 到 预 先 规 定 的 最 小 值 进 行 检 测 和 报 警 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) g) 是 否 提 供 服 务 优 先 级 设 定 功 能, 并 在 安 装 后 根 据 安 全 策 略 设 定 访 问 账 户 或 请 求 进 程 的 优 先 级, 根 据 优 先 级 分 配 系 统 资 源 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.4.3 数 据 安 全 及 备 份 恢 复 A.1.4.3.1 数 据 完 整 性 是 否 能 够 检 测 到 系 统 管 理 数 据 鉴 别 信 息 和 重 要 业 务 数 据 在 存 储 过 程 中 完 整 性 受 到 破 坏, 并 在 检 测 到 完 整 性 错 误 时 采 取 必 要 的 恢 复 措 施 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.4.3.2 数 据 保 密 性 a) 是 否 采 用 加 密 或 其 他 保 护 措 施 实 现 鉴 别 信 息 的 存 储 保 密 性 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) b) 是 否 采 用 加 密 或 其 他 保 护 措 施 实 现 系 统 管 理 数 据 鉴 别 信 息 和 重 要 业 务 数 据 存 储 保 密 性 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.5 运 维 管 理 A.1.5.1 系 统 建 设 管 理 A.1.5.1.1 系 统 定 级 a) 是 否 明 确 信 息 系 统 的 边 界 和 安 全 保 护 等 级 b) 是 否 以 书 面 的 形 式 说 明 信 息 系 统 确 定 为 某 个 安 全 保 护 等 级 的 方 法 和 理 由 c) 是 否 确 保 信 息 系 统 的 定 级 结 果 经 过 相 关 部 门 的 批 准 d) 是 否 组 织 相 关 部 门 和 有 关 安 全 技 术 专 家 对 信 息 系 统 定 级 结 果 的 合 理 性 和 正 确 性 进 行 论 证 和 审 定 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) e) 定 级 结 果 是 否 经 过 相 关 部 门 批 准, 由 证 信 办 出 具 定 级 审 核 意 见 A.1.5.1.2 方 案 设 计 a) 是 否 根 据 系 统 的 安 全 保 护 等 级 选 择 基 本 安 全 措 施, 依 据 风 险 分 析 的 结 果 补 充 和 调 整 安 全 措 施 b) 是 否 以 书 面 形 式 描 述 对 系 统 的 安 全 保 护 要 求 策 略 和 措 施 等 内 容, 形 成 系 统 的 安 全 方 案 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) c) 是 否 对 安 全 方 案 进 行 细 化, 形 成 能 指 导 安 全 系 统 建 设 安 全 产 品 采 购 和 使 用 的 详 细 设 计 方 案 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) 23

d) 是 否 组 织 相 关 部 门 和 有 关 安 全 技 术 专 家 对 安 全 设 计 方 案 的 合 理 性 和 正 确 性 进 行 论 证 和 审 定, 并 且 经 过 批 准 后, 才 能 正 式 实 施 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) e) 是 否 指 定 专 门 部 门 负 责 信 息 系 统 的 安 全 建 设 总 体 规 划 制 定 近 期 和 长 期 安 全 建 设 计 划 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) f) 是 否 根 据 等 级 划 分 情 况, 统 一 规 划 总 体 安 全 策 略 安 全 技 术 框 架 安 全 管 理 策 略 总 体 建 设 规 划 详 细 设 计 方 案 等 配 套 文 件 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) g) 是 否 组 织 相 关 部 门 和 有 关 安 全 技 术 专 家 对 总 体 安 全 策 略 安 全 技 术 框 架 安 全 管 理 策 略 总 体 建 设 规 划 详 细 设 计 方 案 等 相 关 配 套 文 件 的 合 理 性 和 正 确 性 进 行 论 证 和 审 定, 并 且 经 过 批 准 后, 才 能 正 式 实 施 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) h) 是 否 根 据 等 级 测 评 安 全 评 估 的 结 果 定 期 调 整 和 修 订 总 体 安 全 策 略 安 全 技 术 框 架 安 全 管 理 策 略 总 体 建 设 规 划 详 细 设 计 方 案 等 相 关 配 套 文 件 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) i) 在 开 展 信 息 系 统 新 建 升 级 变 更 换 代 等 建 设 项 目 时, 是 否 进 行 充 分 论 证 和 测 试, 论 证 材 料 包 括 需 求 分 析 立 项 报 告 等 j) 是 否 制 定 了 本 机 构 与 市 场 相 关 主 体 信 息 系 统 安 全 互 联 的 技 术 规 则, 并 报 证 信 办 备 案, 同 时 依 法 督 促 市 场 相 关 主 体 执 行 技 术 规 则 A.1.5.1.3 产 品 采 购 和 使 用 a) 是 否 确 保 安 全 产 品 采 购 和 使 用 符 合 国 家 的 有 关 规 定 b) 是 否 采 用 经 过 国 家 密 码 管 理 部 门 批 准 使 用 或 者 准 于 销 售 的 密 码 产 品 进 行 安 全 保 护, 不 得 采 用 国 外 引 进 或 者 擅 自 研 制 的 密 码 产 品 ; 未 经 批 准 不 得 采 用 含 有 加 密 功 能 的 进 口 信 息 技 术 产 品 c) 是 否 指 定 或 授 权 专 门 的 部 门 负 责 产 品 的 采 购 d) 是 否 对 产 品 进 行 选 型 测 试, 根 据 选 型 测 试 确 定 产 品 候 选 范 围, 并 定 期 审 核 更 新 候 选 产 品 名 单 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.5.1.4 自 行 软 件 开 发 a) 开 发 环 境 是 否 与 实 际 运 行 环 境 物 理 分 离 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) b) 是 否 制 定 软 件 开 发 管 理 制 度, 明 确 说 明 开 发 过 程 的 控 制 方 法 和 人 员 行 为 准 则 c) 自 行 软 件 开 发 是 否 提 供 软 件 设 计 文 档 和 使 用 指 南, 并 由 专 人 保 管 d) 开 发 人 员 和 测 试 人 员 是 否 分 离, 测 试 数 据 和 测 试 结 果 受 到 控 制 应 保 证 同 一 组 件 或 子 系 统 的 开 发 人 员 和 测 试 人 员 分 离 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) e) 是 否 制 定 代 码 编 写 安 全 规 范, 要 求 开 发 人 员 参 照 规 范 编 写 代 码 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) f) 是 否 对 程 序 资 源 库 的 修 改 更 新 发 布 进 行 授 权 和 批 准 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) g) 开 发 人 员 是 否 为 专 职 人 员, 开 发 人 员 的 开 发 活 动 是 否 受 到 控 制 监 视 和 审 查 ( 本 项 适 用 于 : 定 为 信 息 系 统 等 级 保 护 三 级 系 统 的 证 券 交 易 所 交 易 系 统 证 券 交 易 所 通 信 系 统 ) h) 是 否 拥 有 行 情 交 易 结 算 开 户 等 关 键 核 心 系 统 的 执 行 程 序 及 源 代 码 所 有 权 和 自 主 研 发 能 力 A.1.5.1.5 外 包 软 件 开 发 24

a) 是 否 根 据 开 发 要 求 测 试 软 件 质 量 b) 是 否 确 保 提 供 软 件 设 计 的 相 关 文 档 和 使 用 指 南 c) 是 否 在 软 件 安 装 之 前 检 测 软 件 包 中 可 能 存 在 的 恶 意 代 码 d) 要 求 开 发 单 位 提 供 软 件 源 代 码, 并 审 查 软 件 中 可 能 存 在 的 后 门 A.1.5.1.6 工 程 实 施 a) 是 否 指 定 或 授 权 专 门 的 部 门 或 人 员 负 责 工 程 实 施 过 程 的 管 理 b) 是 否 制 定 详 细 的 工 程 实 施 方 案 控 制 实 施 过 程, 并 要 求 工 程 实 施 单 位 能 正 式 地 执 行 安 全 工 程 过 程 c) 是 否 制 定 工 程 实 施 管 理 制 度, 明 确 实 施 过 程 的 控 制 方 法 和 人 员 行 为 准 则 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.5.1.7 系 统 交 付 a) 是 否 向 用 户 提 供 系 统 建 设 文 档 和 运 行 维 护 所 需 文 档 b) 是 否 书 面 规 定 系 统 交 付 的 控 制 方 法 和 人 员 行 为 准 则 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) c) 是 否 指 定 专 门 部 门 管 理 系 统 交 付, 并 按 照 要 求 完 成 交 付 工 作 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 是 否 建 立 交 付 流 程, 对 建 成 的 信 息 系 统 交 付 运 行 维 护 的 活 动 进 行 规 范 e) 是 否 制 定 交 付 工 作 清 单, 作 为 双 方 交 付 依 据, 清 单 包 括 信 息 系 统 相 关 的 软 件 硬 件 技 术 文 档 管 理 手 册 使 用 手 册 培 训 材 料 相 关 工 具 协 议 和 合 同 等 f) 是 否 对 运 维 人 员 和 所 涉 及 的 相 关 各 方 进 行 培 训 和 说 明, 包 括 交 付 事 项 的 目 的 范 围 背 景 测 试 要 求 上 线 实 施 要 求 验 收 要 求 运 维 要 求 等 g) 是 否 制 定 交 付 实 施 计 划, 划 定 交 付 双 方 的 职 责, 交 付 的 步 骤, 并 对 交 付 过 程 留 存 记 录 A.1.5.1.8 测 试 验 收 a) 是 否 对 系 统 进 行 安 全 性 测 试 验 收 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) b) 测 试 验 收 前 是 否 根 据 设 计 方 案 或 合 同 要 求 等 制 订 测 试 验 收 方 案, 在 测 试 验 收 过 程 中 详 细 记 录 测 试 验 收 结 果, 并 形 成 测 试 验 收 报 告 c) 是 否 组 织 相 关 部 门 和 相 关 人 员 对 系 统 测 试 验 收 报 告 进 行 审 定, 并 签 字 确 认 d) 是 否 委 托 第 三 方 测 试 单 位 测 试 系 统 安 全 性, 并 出 具 安 全 性 测 试 报 告 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) e) 是 否 书 面 规 定 系 统 测 试 验 收 的 控 制 方 法 和 人 员 行 为 准 则 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) f) 是 否 指 定 或 授 权 专 门 的 部 门 负 责 系 统 测 试 验 收 的 管 理, 并 按 照 管 理 规 定 的 要 求 完 成 系 统 测 试 验 收 工 作 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) g) 是 否 为 系 统 测 试 配 备 必 要 的 人 员 和 设 备 资 源, 需 要 时 协 调 关 联 单 位 配 合 测 试 h) 是 否 根 据 系 统 上 线 要 求 制 定 测 试 方 案, 确 定 采 用 的 测 试 方 法 和 测 试 流 程 测 试 方 案 及 测 试 用 例 覆 盖 功 能 性 能 容 量 安 全 性 稳 定 性 等 方 面 测 试 完 成 后 对 测 试 结 果 进 行 分 析 评 估, 并 给 出 测 试 报 告 25

i) 是 否 建 立 独 立 的 模 拟 环 境 模 拟 环 境 应 在 逻 辑 架 构 上 和 生 产 环 境 一 致 模 拟 环 境 应 与 生 产 环 境 进 行 有 效 隔 离, 不 得 对 生 产 环 境 进 行 干 扰 j) 是 否 根 据 测 试 方 案 的 设 计, 合 理 配 置 模 拟 环 境 测 试 所 需 的 设 备, 识 别 设 备 不 同 可 能 带 来 的 测 试 结 果 正 确 性 风 险 k) 是 否 根 据 需 要, 要 求 生 产 系 统 运 维 人 员 和 业 务 部 门 组 织 业 务 人 员 参 与 模 拟 环 境 测 试 l) 模 拟 环 境 使 用 的 密 码 是 否 与 生 产 系 统 严 格 区 分, 系 统 管 理 员 宜 由 不 同 的 人 员 担 任 m) 是 否 建 立 完 整 规 范 的 系 统 测 试 操 作 流 程, 对 测 试 工 作 的 计 划 实 施 及 总 结 做 出 详 细 的 规 定 对 于 在 生 产 系 统 上 进 行 的 测 试 工 作, 必 须 制 定 详 细 的 系 统 及 数 据 备 份 测 试 环 境 搭 建 测 试 后 系 统 及 数 据 恢 复 生 产 系 统 审 核 等 计 划, 确 保 生 产 系 统 的 安 全 n) 是 否 提 前 发 布 生 产 环 境 测 试 的 系 统 测 试 公 告 o) 是 否 由 生 产 系 统 运 维 人 员 在 生 产 环 境 下 组 织 完 成 生 产 环 境 测 试 p) 是 否 根 据 需 要, 要 求 业 务 部 门 组 织 业 务 人 员 参 与 生 产 环 境 测 试 q) 是 否 根 据 生 产 环 境 测 试 的 结 果 设 计 系 统 升 级 过 程 及 应 急 预 案 r) 如 果 生 产 环 境 测 试 内 容 涉 及 其 他 相 关 系 统, 是 否 协 调 其 他 系 统 用 户 参 与 测 试 s) 涉 及 核 心 交 易 业 务 系 统 的 上 线 测 试, 是 否 组 织 全 市 场 或 全 公 司 各 相 关 部 门 测 试 t) 测 试 后 是 否 恢 复 生 产 环 境 并 验 证 恢 复 的 有 效 性 u) 是 否 禁 止 交 易 时 段 使 用 生 产 环 境 进 行 测 试 v) 系 统 上 线 或 变 更 升 级 前, 是 否 对 执 行 程 序 及 源 代 码 进 行 严 格 审 查 测 试 A.1.5.1.9 系 统 备 案 a) 是 否 指 定 专 门 的 部 门 或 人 员 负 责 管 理 系 统 定 级 的 相 关 材 料, 并 控 制 这 些 材 料 的 使 用 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) b) 是 否 将 系 统 等 级 及 相 关 材 料 报 证 监 会 证 信 办 备 案 c) 是 否 将 系 统 等 级 及 其 他 要 求 的 备 案 材 料 报 相 应 公 安 机 关 备 案 A.1.5.1.10 等 级 测 评 a) 三 级 系 统 是 否 至 少 每 年 对 系 统 进 行 一 次 等 级 测 评, 发 现 不 符 合 相 应 等 级 保 护 标 准 要 求 的 及 时 整 改 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) b) 是 否 在 系 统 发 生 变 更 时 及 时 对 系 统 进 行 等 级 测 评, 发 现 级 别 发 生 变 化 的 及 时 调 整 级 别 并 进 行 安 全 改 造, 发 现 不 符 合 相 应 等 级 保 护 标 准 要 求 的 及 时 整 改 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) c) 三 级 信 息 系 统 是 否 选 择 了 由 省 级 ( 含 ) 以 上 信 息 安 全 等 级 保 护 工 作 协 调 小 组 办 公 室 ( 不 限 本 省 市 ) 推 荐 的 技 术 实 力 强 测 评 工 作 规 范 熟 悉 行 业 信 息 系 统 的 测 评 机 构 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 是 否 指 定 或 授 权 专 门 的 部 门 或 人 员 负 责 等 级 测 评 的 管 理 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) e) 第 二 级 信 息 系 统 是 否 每 年 开 展 一 次 自 查, 对 于 不 符 合 证 券 期 货 业 信 息 安 全 等 级 保 护 基 本 要 求 ( 试 行 ) 的 内 容, 是 否 及 时 整 改 A.1.5.2 系 统 运 维 管 理 A.1.5.2.1 值 班 管 理 26

a) 是 否 建 立 运 维 值 班 管 理 制 度, 对 日 常 操 作 监 控 管 理 事 件 处 理 问 题 处 理 数 据 和 介 质 管 理 机 房 管 理 安 全 管 理 应 急 处 置 进 行 规 范 b) 是 否 指 定 运 维 值 班 负 责 人 运 维 值 班 负 责 人 负 责 日 常 操 作 的 部 署 检 查 风 险 控 制 业 务 衔 接 等 工 作 运 维 值 班 负 责 人 是 否 有 备 岗, 主 备 岗 是 否 不 得 同 时 离 岗 c) 是 否 制 定 值 班 安 排 表, 可 根 据 实 际 情 况 实 施 倒 班 制 度 在 值 班 期 间 值 班 人 员 不 得 擅 离 岗 位 d) 是 否 制 定 交 接 班 流 程, 并 严 格 执 行, 留 存 记 录 e) 是 否 设 置 运 维 值 班 电 话, 并 保 持 畅 通 A.1.5.2.2 文 档 管 理 a) 是 否 建 立 文 档 管 理 制 度, 对 文 档 的 分 类 命 名 规 则 编 写 人 审 批 人 版 本 敏 感 性 标 识 发 布 时 间 存 放 方 式 修 订 记 录 废 止 等 做 出 规 定 b) 是 否 明 确 文 档 管 理 的 责 任 人 c) 是 否 对 运 维 过 程 中 涉 及 的 各 类 文 档 进 行 分 类 管 理, 可 按 照 制 度 文 档 技 术 文 档 合 同 文 档 审 批 记 录 日 志 记 录 等 进 行 分 类, 并 统 一 存 放 d) 是 否 规 范 文 档 的 发 布 管 理, 对 文 档 的 版 本 进 行 控 制 文 档 标 识 敏 感 性 使 用 范 围 使 用 权 限 审 批 权 限 等 文 档 在 使 用 时 能 读 取 使 用 最 新 版 本, 防 止 作 废 文 件 的 逾 期 使 用 e) 是 否 对 超 范 围 超 权 限 使 用 文 档 时, 保 存 相 关 审 批 使 用 记 录 A.1.5.2.3 资 产 管 理 a) 是 否 编 制 与 信 息 系 统 相 关 的 资 产 清 单, 包 括 资 产 责 任 部 门 重 要 程 度 和 所 处 位 置 等 内 容 b) 是 否 建 立 资 产 安 全 管 理 制 度, 规 定 信 息 系 统 资 产 管 理 的 责 任 人 员 或 责 任 部 门, 并 规 范 资 产 管 理 和 使 用 的 行 为 c) 是 否 根 据 资 产 重 要 程 度 分 类 标 识 管 理 资 产, 根 据 资 产 的 价 值 选 择 相 应 的 管 理 措 施 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) d) 是 否 对 信 息 分 类 与 标 识 方 法 作 出 规 定, 并 对 信 息 的 使 用 传 输 和 存 储 等 进 行 规 范 化 管 理 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) A.1.5.2.4 数 据 与 介 质 管 理 a) 是 否 确 保 介 质 存 放 在 介 质 库 或 档 案 室 等 安 全 的 环 境 中, 并 实 行 存 储 环 境 专 人 管 理, 实 现 对 各 类 介 质 和 备 份 数 据 的 控 制 和 保 护 b) 是 否 对 介 质 归 档 和 查 询 等 过 程 进 行 记 录, 并 根 据 存 档 介 质 的 目 录 清 单 定 期 盘 点 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 二 级 系 统 ) c) 是 否 根 据 所 承 载 数 据 和 软 件 的 重 要 程 度 对 介 质 进 行 分 类 和 标 识 管 理 d) 是 否 建 立 介 质 安 全 管 理 制 度, 明 确 责 任 人, 对 介 质 的 存 放 环 境 使 用 维 护 和 销 毁 等 方 面 作 出 规 定 e) 是 否 对 介 质 在 物 理 传 输 过 程 中 的 人 员 选 择 打 包 交 付 等 情 况 进 行 控 制, 对 介 质 归 档 和 查 询 等 进 行 登 记 记 录, 并 根 据 存 档 介 质 的 目 录 清 单 定 期 盘 点 27

f) 是 否 对 存 储 介 质 的 使 用 过 程 送 出 维 修 以 及 销 毁 等 进 行 严 格 的 管 理, 对 带 出 工 作 环 境 的 存 储 介 质 进 行 内 容 加 密 和 监 控 管 理, 对 送 出 维 修 或 销 毁 的 介 质 应 首 先 清 除 介 质 中 的 敏 感 数 据, 涉 密 信 息 的 存 储 介 质 不 得 自 行 销 毁, 应 按 国 家 相 关 规 定 另 行 处 理 g) 是 否 根 据 数 据 备 份 的 需 要 对 某 些 介 质 实 行 异 地 存 储, 存 储 地 的 环 境 要 求 和 管 理 方 法 应 与 本 地 相 同 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) h) 是 否 对 重 要 介 质 中 的 数 据 和 软 件 采 取 加 密 存 储, 并 根 据 所 承 载 数 据 和 软 件 的 重 要 程 度 对 介 质 进 行 分 类 和 标 识 管 理 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) i) 是 否 建 立 信 息 系 统 数 据 管 理 制 度, 对 在 线 和 离 线 数 据 的 使 用 备 份 存 放 保 护 及 恢 复 验 证 等 活 动 进 行 规 范 j) 是 否 明 确 数 据 管 理 责 任 人, 负 责 数 据 的 收 集 使 用 备 份 检 查 等 策 略 的 制 定 和 执 行 工 作 k) 是 否 按 照 国 家 和 监 管 部 门 的 有 关 要 求, 制 定 数 据 备 份 及 验 证 策 略, 明 确 备 份 范 围 备 份 方 式 备 份 频 度 存 放 地 点 存 放 时 限 有 效 性 验 证 方 式 和 管 理 责 任 人 l) 在 线 数 据 管 理, 是 否 做 到 如 下 要 求 : 1) 交 易 业 务 系 统 数 据 应 至 少 每 交 易 日 备 份 一 次 ; 2) 交 易 业 务 系 统 历 史 数 据 至 少 保 留 一 年 ; 3) 未 经 授 权 不 得 访 问 复 制 ; 4) 对 数 据 的 修 改 应 通 过 审 批, 双 岗 操 作 并 记 录 操 作 日 志 m) 离 线 数 据 管 理, 是 否 做 到 如 下 要 求 : 1) 离 线 数 据 不 得 更 改 ; 2) 应 至 少 每 季 度 对 核 心 交 易 业 务 系 统 的 备 份 数 据 进 行 一 次 有 效 性 验 证, 如 发 现 问 题 应 采 取 措 施 修 复 备 份 数 据, 并 查 明 原 因 ; 3) 离 线 数 据 的 调 阅 复 制 传 输 查 询, 应 按 照 拟 定 的 流 程 办 理 审 批 手 续, 并 进 行 登 记 ; 4) 备 份 数 据 带 离 存 储 环 境 时 应 采 取 必 要 的 安 全 措 施 n) 在 线 数 据 和 离 线 数 据 用 于 非 生 产 环 境 时, 是 否 进 行 脱 敏 处 理 ; 用 于 模 拟 测 试 时 如 无 法 进 行 脱 敏 处 理, 测 试 环 境 应 采 取 与 生 产 环 境 相 当 的 安 全 措 施 o) 离 线 备 份 介 质 是 否 在 本 地 机 房 同 城 异 地 安 全 可 靠 存 放 p) 涉 及 敏 感 信 息 的 介 质 送 修 时 是 否 由 专 人 全 程 陪 同, 并 保 证 修 复 过 程 可 控 q) 在 交 易 业 务 网 使 用 的 移 动 介 质 是 否 专 网 专 用, 不 得 接 入 可 以 访 问 互 联 网 的 主 机 r) 对 执 行 程 序 源 代 码 及 相 关 文 档 是 否 采 取 严 密 措 施 妥 善 安 全 保 管 A.1.5.2.5 设 备 和 软 件 管 理 a) 是 否 对 信 息 系 统 相 关 的 各 种 设 备 ( 包 括 备 份 和 冗 余 设 备 ) 线 路 等 指 定 专 门 的 部 门 或 人 员 定 期 进 行 维 护 管 理 ; 每 季 度 至 少 进 行 一 次 维 护 管 理 b) 是 否 建 立 基 于 申 报 审 批 和 专 人 负 责 的 设 备 安 全 管 理 制 度, 对 信 息 系 统 的 各 种 软 硬 件 设 备 的 选 型 采 购 发 放 和 领 用 等 过 程 进 行 规 范 化 管 理 c) 是 否 对 终 端 计 算 机 工 作 站 便 携 机 系 统 和 网 络 等 设 备 的 操 作 和 使 用 进 行 规 范 化 管 理, 按 操 作 规 程 实 现 关 键 设 备 ( 包 括 备 份 和 冗 余 设 备 ) 的 启 动 / 停 止 加 电 / 断 电 等 操 作 d) 信 息 处 理 设 备 是 否 经 过 审 批 才 能 带 离 机 房 或 办 公 地 点 e) 是 否 建 立 配 套 设 施 软 硬 件 维 护 方 面 的 管 理 制 度, 明 确 维 护 人 员 的 责 任 涉 外 维 修 和 服 务 的 审 批 维 修 过 程 的 监 督 控 制 等 ( 本 项 适 用 于 : 信 息 系 统 等 级 保 护 三 级 系 统 ) f) 是 否 建 立 计 算 机 相 关 设 备 和 软 件 管 理 制 度, 对 设 备 和 软 件 的 验 证 性 测 试 出 入 库 安 装 盘 点 维 修 ( 升 级 ) 报 废 等 进 行 规 范 28