农商银行计算机信息系统安全管理制度.doc

《农商银行计算机信息系统安全管理制度.doc》由会员分享，可在线阅读，更多相关《农商银行计算机信息系统安全管理制度.doc（18页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、xx农商银行计算机信息系统安全管理制度第一章 总 则第一条 为加强xx农商银行（以下简称本行）计算机信息系统的安全保护工作，保障本行计算机信息系统安全、稳定运行，根据浙江省农村金融机构计算机信息系统安全管理暂行规定，结合本行实际情况，特制订本制度。第二条 本行计算机安全管理部门是指xx农商银行的科技信息管理部门。第三条 本行的计算机安全管理部门应对电子化项目建设的规划、立项、开发、验收、运行及废止各环节进行安全监管第四条 本制度围绕计算机信息系统制定，凡是与各项计算机信息系统运行相关的所有计算机管理、操作及维护均受本制度约束。第二章 计算机安全人员管理第一节 人员基本要求第五条 本制度所称计算

2、机安全人员，是指本行计算机安全管理部门的专(兼)职计算机安全管理人员。第六条 计算机安全人员应当政治过硬、业务素质高、遵纪守法、恪尽职守。第七条 计算机安全管理部门人员及专职计算机安全管理员应有银行计算机工作三年以上经历，具备本科以上学历。兼职计算机安全管理员应有银行业务工作五年以上或专职计算机维护管理工作三年以上经历，具备专科以上学历。第八条 违反国家法律、法规和行业规章受到处罚的人员，不得从事计算机安全管理工作。第九条 计算机安全人员应具有公安部门颁发的计算机安全培训合格证书。第二节 人员配备与管理第十条 全省农村合作金融机构本行计算机安全管理部门应配备专职或兼职的计算机安全管理员。第十一

3、条 计算机安全人员的配备和变更情况，应向上一级主管部门报备。第十二条 计算机安全人员必须实行持证上岗制度。第十三条 计算机安全人员调离岗位，必须严格办理调离手续，承诺其调离后的保密义务。第三节 职责范围第十四条 计算机安全管理部门的职责是：（一）贯彻执行计算机信息系统安全管理领导小组的决议，指导、监督、协调和规范计算机安全工作；（二）拟订计算机安全总体规划和计算机信息系统安全管理制度，并监督执行；（三）跟踪先进的计算机安全技术，提出计算机安全防范策略；（四）参与计算机信息系统工程建设中的安全规划，监督安全措施的执行；（五）参与计算机安全专用产品的选型，组织计算机信息系统安全的评估和审批；（六）

4、组织辖内计算机安全检查，分析辖内计算机安全总体状况，提出安全分析报告和安全防范建议；（七）组织辖内计算机安全知识的培训和宣传工作；（八）配合有关部门进行计算机安全内部审计和金融计算机犯罪案件调查，打击金融计算机犯罪；（九）加强与公安机关计算机安全职能部门、政府安全保密职能部门联系，并接受指导；（十）及时向计算机信息系统安全管理领导小组和有关部门、单位报告计算机安全事件。第十五条 专（兼）职计算机安全管理员应履行以下职责：（一）负责计算机安全管理的日常工作；（二） 开展计算机安全检查工作，对要害岗位人员安全工作进行指导；（三）开展计算机安全知识的培训和宣传工作；（四）监控计算机安全总体状况，提出

5、安全分析报告；（五）了解行业动态，为改进和完善计算机安全管理工作，提出安全防范建议；（六）及时向计算机信息系统安全管理领导小组和有关部门、单位报告计算机安全事件。第十六条 计算机安全人员在行使职责时，确因工作需要，经批准，可了解涉及本行计算机信息系统的机密信息。第十七条 计算机安全人员发现本单位重大安全隐患，有权向上级机构计算机安全管理主管部门报告。第十八条 计算机安全人员发现计算机信息系统要害岗位人员使用不当，应及时向计算机信息系统安全管理领导小组建议调整。第十九条 计算机安全人员必须严格遵守国家有关法律、法规和行业规章，严守国家、行业和岗位秘密。第四节 培训与教育第二十条 计算机安全人员应

6、定期参加下列计算机安全知识和技能的培训：（一）计算机安全法律法规及行业规章制度的培训；（二）计算机安全基本知识的培训；（三）计算机安全专门技能的培训。第二十一条 计算机安全人员应定期接受政治思想教育、职业道德教育和安全保密教育。第三章 计算机信息系统要害岗位人员管理第一节 人员管理第二十二条 本制度所称计算机信息系统要害岗位人员，是指与重要计算机信息系统直接相关的项目开发员、系统管理员（含中间业务管理员、机房管理员）、网络管理员、运行维护员、业务操作员等岗位人员。第二十三条 本制度所称重要计算机信息系统，是指涉及本行资金和金融秘密信息的计算机信息系统。第二十四条 要害岗位人员上岗前必须经单位人

7、事部门进行政治素质审查，业务技能考核，合格者方可上岗。第二十五条 要害岗位人员上岗必须实行“权限分散、不得交叉覆盖”的原则。项目开发人员、系统管理人员、网络管理人员、运行维护人员、业务操作人员不得互兼。第二十六条 对要害岗位人员应实行年度强制休假（或轮岗）制度和定期考查制度，并进行必要的安全教育和培训。第二十七条 要害岗位人员调离岗位，必须严格办理调离手续，承诺其调离后的保密义务。涉及本行保密信息的要害岗位人员调离本单位，必须在规定的脱密期后，方可调离。第二十八条 要害岗位人员离岗后，必须即刻更换操作密码或注销用户。第二节 安全责任第二十九条 系统开发员安全责任（一）软件系统开发建设中，应严格

8、执行系统安全策略，保证系统安全功能的准确实现；（二）系统投产运行前，应完整移交软件源代码和相关涉密资料；（三）不得对系统设置“后门”；（四）对系统核心技术保密。第三十条 系统管理员安全责任（一）负责系统的运行管理，实施系统安全运行细则；（二）严格用户权限管理，维护系统安全正常运行；（三）认真记录系统安全事项，及时向计算机安全人员报告安全事件；（四）对进行系统操作的其他人员予以安全监督。第三十一条 网络管理员安全责任（一）负责网络的运行管理，实施网络安全策略和安全运行细则；（二）安全配置网络参数，严格控制网络用户访问权限，维护网络安全正常运行；（三）监控网络关键设备、网络端口、网络物理线路，防范

9、黑客入侵，及时向计算机安全人员报告安全事件；（四）对操作网络管理功能的其他人员进行安全监督。第三十二条 运行维护员安全责任 （一）负责系统运行维护，及时解除系统故障，确保系统正常运行；（二）不得擅自改变系统功能；（三）不得安装与系统无关的其他计算机程序；（四）维护过程中，发现安全漏洞应及时报告计算机安全人员。第三十三条 业务操作员安全责任（一）严格执行各项业务的操作规程和安全管理制度；（二）不得向他人提供自己的操作密码；（三）及时向安全管理人员报告信息系统、网络运行的各种异常事件。第三十四条 各要害岗位人员必须严格遵守保密法规和计算机安全管理规定，并签订信息化建设保密协议。第四章 计算机机房安

10、全管理第一节 机房建设安全管理第三十五条 本行中心机房(以下简称机房)的建设和改造方案应通过上级计算机安全管理部门的安全审批。第三十六条 机房应按重要性进行分级管理，分级标准按有关规定执行。第三十七条 机房应合理分区，保障生产环境与运行环境有效的安全空间隔离。第三十八条 机房建设应当符合下列基本安全要求：（一）机房周围100米内不得存在危险建筑物，如加油站、煤气站等；（二）机房应配备防电磁干扰、防电磁泄漏、防静电、防水、防盗、防鼠害等设施；（三）机房应安装门禁系统、防雷系统、监视系统、消防系统、报警系统；（四）机房应设专用的供电系统，配备必要的UPS和发电机。第二节 机房运行安全管理第三十九条

11、 机房是重点保护的要害部位，机房主管部门应依照安全第一的原则，建立、健全严格的机房安全管理制度，并定期检查制度执行情况。第四十条 计算机机房实行分区管理原则。生产区(服务器、网络设备运行区域)实行 24小时连续监控，操作区(管理人员办公区域)实行工作时间连续监控，辅助区(电源间)实施联动监控。第四十一条 监控设备的安装应符合安全保密原则，确保监控的安全规范运作，防止监控信息的泄密。第四十二条 加强进出机房人员管理，禁止未经批准的外部人员进入机房。非机房工作人员进出机房须经机房主管部门领导批准，外来人员进出机房还须办理登记手续，并由专人陪同。第四十三条 发生机房重大事故或案件，机房主管部门应立即

12、向有关单位报告，并保护现场。第五章 计算机网络安全管理第一节 网络建设安全管理第四十四条 网络安全建设和改造方案应通过上级计算机安全管理部门的安全审批。第四十五条 网络建设应配备必要的安全专用产品。第四十六条 网络建设中涉及网络安全的资料，应备案建档，统一管理。第四十七条 网络建设应符合下列基本安全要求：（一）网络规划应有完整的安全策略；（二）能够保证网络传输信道的安全，信息在传输过程中不会被非法获取；（三）应具有防止非法用户进入网络系统盗用信息和进行恶意破坏的技术手段；（四）应具备必要的网络监测、跟踪和审计的功能；（五）应根据需要对网络采取必要的技术隔离措施；（六）能有效防止计算机病毒对网络

13、系统的侵扰和破坏；（七）应具有应付突发情况的应急措施。第二节 网络运行安全管理第四十八条 计算机网络系统的运行维护部门应建立相应安全操作规程与规章制度。第四十九条 重要网络设备应放置在主机房内，由网络管理员负责管理，其他人员不得对网络设备进行任何操作。第五十条 网管设备属专管设备，必须严格控制其管理员密码。第五十一条 重要网络通信硬件设施、网管应用软件设施及网络参数配置应有备份。第五十二条 改变网络路由配置和通信地址等参数的操作，必须具有包括时间、目的、内容及维护人员等要素的书面记录。第五十三条 与其他业务相关机构的网络连接，应采用必要的技术隔离保护措施。第五十四条 网络管理人员应随时监测和定

14、期检查网络运行状况，对获得的信息应进行分析，发现安全隐患应报告计算机安全人员。第五十五条 有权单位使用专用设备对网络进行检测时，网络管理人员应给予必要的协助和监督。第五十六条 网络扫描、监测结果和网络运行日志等重要信息应备份存储。第五十七条 联网计算机应定期进行升级病毒库，进行查、杀病毒操作，发现计算机病毒，应按照规定及时处理。用介质交换信息要进行病毒预检，防止病毒对系统和数据的破坏。第五十八条 严禁超越网络管理权限，非法操作业务数据信息，擅自设置路由与非相关网络进行连接。第三节 接入国际互联网管理第五十九条 业务网的所有计算机设备（除与省农信联社科技信息处网银等特殊业务连接外），不得直接或间

15、接地与国际互联网相联接，必须实现与国际互联网的物理隔离。第六十条 凡要求接入国际互联网的计算机，须由使用部门提出申请，报本机构计算机安全管理部门审批、备案。第六十一条 经许可连接国际互联网的计算机，不得存留涉密金融数据信息；存有涉密金融数据信息的介质，不得在接入国际互联网的计算机上使用。第六十二条 国际互联网接入如有账户和密码，则必须实行专人管理，并定期更换密码。第六十三条 从国际互联网上下载的任何信息资源，未经检测不得在业务网上使用。第六十四条 各使用部门应自觉接受计算机安全管理部门的监督检查。第六章 计算机系统安全管理第一节 系统建设安全管理第六十五条 系统安全建设和改造方案应通过上级计算

16、机安全管理部门的安全审批。第六十六条 系统建设中涉及系统安全的资料，应备案建档，统一管理。第六十七条 计算机信息系统应采取与业务安全等级要求相应的安全机制，在安全防护方面应符合下列基本安全要求：（一）采取必要的技术手段，建立严密的安全管理控制机制，保证数据信息在处理、存储和传输过程中的完整性和安全性，防止数据信息被非法使用、修改和复制；（二）提供完整的数据备份和恢复功能，能方便地根据系统和数据的备份介质进行灾难恢复；（三）具有严格的用户和密码管理，能对不同级别的用户进行有限授权，特别应严格限制和分流特权用户的权限，防止非法用户的侵入和破坏；（四）重要计算机信息系统应设置审计监控程序，具有身份识

17、别和实体认证功能。能够自动记录操作人员的重要操作，具有防止抵赖机制；（五）涉密信息系统的安全设计应符合涉密信息保密管理的有关规定。第六十八条 计算机信息系统的开发人员或参加开发的协作单位应经过严格资格审查，并签订保密协议书，承诺其负有的安全保密责任和义务。第六十九条 计算机信息系统的开发环境和现场应当与生产环境和现场隔离。第七十条 计算机信息系统开发完成后，开发人员或参加开发的外部单位应及时移交程序源代码及有关技术文档。第七十一条 计算机信息系统采用的关键安全技术措施和核心安全功能设计不得进行公开学术交流或发表。第七十二条 计算机信息系统投入使用时业务部门应当建立相应的操作规程和安全管理制度，

18、以防止各类安全事故的发生。第二节 系统运行安全管理第七十三条 计算机信息系统的使用部门应建立相应安全操作规程或规章制度。第七十四条 计算机信息系统操作人员应严格按照操作规程和有关安全管理制度进行操作，保证系统安全运行。第七十五条 对计算机信息系统在运行过程中出现的异常现象，以及有关安全制度在执行过程中出现的问题，操作人员有责任向部门领导和计算机安全管理部门报告。第七十六条 计算机信息系统的使用部门应当加强对计算机系统运行环境的管理，加强对计算机病毒的防治，保证系统安全运行。第七十七条 计算机信息系统的使用部门应当严格用户和密码（口令）的管理，严格控制各级用户对数据的访问权限。第七十八条 计算机

19、信息系统应定期进行数据备份，对备份介质应按规定指定专人妥善保管，重要业务系统的备份介质必须异地保存。第七十九条 重要计算机信息系统应配备必要的备用设备、设施。第八十条 重要计算机信息系统应当制定计算机安全保护的应急计划，保证业务的不间断运行。第八十一条 重要计算机信息系统应严格执行保密管理的有关规定，确保本行金融秘密的安全。第八十二条 对计算机信息系统使用部门及有关操作人员报告的安全问题，计算机安全管理部门应认真受理并及时反馈处理意见。第八十三条 计算机信息系统的废止实行备案制度，使用部门应向计算机安全管理部门报告并备案。第八十四条 对废止的计算机信息系统，使用部门应在业务规定的保存期限内对软

20、硬件和数据备份介质妥善加以保管。超过保存期限后需要销毁的，应在计算机安全管理部门的监督下予以不可恢复性销毁。第八十五条 核心系统用户必须设置成直接进入画面的方式，不得出现命令提示符，所有柜员在核心系统操作中临时离开终端时，必须退出操作画面或锁屏。第三节 系统数据安全管理第八十六条 根据xx农商银行计算机生产环境重大操作管理制度的要求进行数据提取与后台数据修改。第八十七条 计算机信息系统使用部门应按规定进行数据备份，并检查备份介质的有效性。第八十八条 使用部门应对备份介质（磁带、磁盘、光盘、纸介质等）统一编号，并标明备份日期、保管期限。第八十九条 使用部门应对备份介质妥善保管，特别重要的应异地存

21、放，并定期进行检查，确保数据的完整性、可用性。第九十条 使用部门应建立备份介质的销毁审批登记制度，并采取相应的安全销毁措施。第九十一条 重要计算机信息系统所用计算机设备的维修，应保证金融数据信息的完整性和安全性。在维修过程中不得泄露涉密金融数据信息。第九十二条 重要计算机信息系统使用的计算机设备更换或报废时，应彻底清除相关业务信息，并拆除所有相关的涉密配件，由使用部门登记封存并进行不可恢复性销毁。第九十三条 与各类信息化系统（含核心业务系统）相关的程序、资料及重要数据禁止带离机房或科技人员办公室。科技人员调离岗位时，必须移交所有程序和技术资料，不得截留外带。第四节 系统运行平台安全管理第九十四

22、条 系统管理人员应合理配置操作系统、数据库管理系统所提供的安全审计功能，以达到相应安全等级标准。第九十五条 系统管理人员应屏蔽与应用系统无关的所有网络功能，防止非法用户的侵入。第九十六条 系统管理人员应及时、合理安装正式发布的系统补丁，修补系统存在的安全漏洞。第九十七条 系统管理人员应启用系统提供的审计功能，监测系统运行日志，掌握系统运行状况。第九十八条 系统管理人员不得泄露操作系统、数据库、中间件、应用系统的账号、密码。第九十九条 联网设备的 IP 地址及网络参数，必须按照网络管理规范及其业务应用范围进行设置，非系统管理人员不得修改。第五节 口令密码、密钥安全管理第一百条 计算机信息系统要害

23、人员的口令密码编制应具有一定的复杂性，对记录密码的载体应严格管理，确保其物理安全。第一百一条 计算机信息系统要害岗位人员的口令密码，应定期或不定期进行更换，独享使用，不得泄露。第一百二条 应用密钥保障信息安全时，对所用密钥生命周期的全过程（产生、存储、分配、使用、废除、归档、销毁）应实施严格的安全保密管理。第一百三条 密钥必须作为绝密数据由专人保管。密钥必须通过机要渠道传递或采用加密通信方式网内分配。第一百四条 密钥应定期或不定期更换，对已泄漏或怀疑泄漏的密钥必须及时废除。旧密钥必须安全归档，并在安全管理负责人的严格监督下，由管理责任人定期销毁。第一百五条 密钥备份是针对主要密码设备和保密工作

24、人员的意外事件而采取的必要措施，密钥副本的保存必须是物理安全的。必须有在紧急情况下销毁密钥的手段和措施，以防密钥丢失。第一百六条 核心系统前置服务器的超级用户口令分前后段、分人保管，网络设备密码实行分人分层管理；按机器设立口令、密码变更登记簿，以记录更新时间。第七章 应急处理与重大事件第一节 突发事件应急方案第一百七条 加强计算机安全防范意识，建立应急处理指挥体系，以指挥协调各职能部门能迅速进入应急处理程序。第一百八条 优化组合和配置应急技术人员、业务人员及应急资源，集中使用，统一调度，以保证应急处理的高效性。第一百九条 制定重要计算机信息系统应急方案，明确岗位职责、人员分工以及应急处理程序。

25、第一百一十条 加强应急处理技能的培训和应急处理方案演练，提高各岗位人员判断、处理问题的能力，验证应急处理程序的有效性。第二节 重大安全事件处理第一百一十一条 非法侵入、破坏计算机信息系统或利用计算机实施金融诈骗、盗窃、贪污、挪用公款的计算机犯罪案件以及造成不良社会影响的计算机安全事故，属重大安全事件。第一百一十二条 确认计算机信息系统出现重大安全事件，必须果断采取控制措施，立即报告计算机信息系统安全管理领导小组并逐级如实上报计算机安全主管部门。第一百一十三条 重大安全事件发生后，有关人员应保护事件现场，积极协助计算机安全事件的调查，做好善后处理工作。第一百一十四条 重大安全事件的处理情况，本行

26、计算机安全管理部门必须出具书面材料，报告上级计算机安全主管部门。第八章 计算机信息系统安全专用产品管理第一节 安全专用产品的准入与购置第一百一十五条 本制度所称安全专用产品，是指用于保护计算机信息系统安全的专用软件、硬件产品。第一百一十六条 安全专用产品准入工作由省农信联社计算机安全管理部门组织实施。第一百一十七条 经审核准入的安全专用产品信息，由浙江省农村信用社联合社计算机安全管理部门发布。第一百一十八条 安全专用产品的购置应统一规划，在浙江省农村信用社联合社计算机安全管理部门选型范围内购置并逐级上报备案。第一百一十九条 安全专用产品在准入审核时，供应商应提出申请并提供下列资料：(一) 公安

27、部颁发的安全产品销售许可证和其他必须的证明材料；(二) 产品型号、产地、功能及报价；(三) 产品采用的技术标准，产品功能用性能的说明书；(四) 生产企业概况(包括人员、设备、生产条件、隶属关系等)；(五) 供应商的质量保证体系、售后服务措施等情况的说明。第一百二十条 安全专用产品有下列情形之一的，取消其准入资格： (一) 安全专用产品的功能已发生变化，但未通过检测的； (二) 经使用发现有严重问题的； (三) 不能提供良好售后服务的； (四) 国家有关部门取消其销售资格的。第一百二十一条 安全专用产品中的扫描、检测产品购置应经浙江省农村信用社联合社审批第二节 安全专用产品的使用管理第一百二十二

28、条 安全专用产品购置后，应按照电子化设备管理办法管理。第一百二十三条 安全专用产品中扫描、检测产品应专人专管，使用实行审批登记制度。第一百二十四条 安全专用产品在使用中，应监测生成信息，对生成的信息应及时分析并作出分析报告。第一百二十五条 在监测中如发现重大问题，应立即采取相应控制措施并将有关情况逐级上报。第一百二十六条 安全专用产品使用中产生的重要报告应备份存档，并按密级资料管理方式履行有关手续。第一百二十七条 安全专用产品应及时进行升级和维护,并登记备案。第一百二十八条 安全专用产品报废，应报计算机信息系统安全管理领导小组审批方可封存或销毁第九章 奖励与处罚第一百二十九条 执行本规定，计算机安全管理工作成绩突出的单位与个人，由上级行对其进行通报表彰，并给予一定形式的奖励。第一百三十条 违反本规定，造成重大安全事故或计算机犯罪的，根据有关部门法律法规，追究其主管领导、相关部门及其他直接责任人的责任。第一百三十一条 违反本规定的单位与个人，由计算机安全管理部门通报批评。第十章 附 则第一百三十二条 本制度由xx农商银行负责制定和修改，财务会计部负责解释，自发文之日起施行。- 18 -