農商行信息安全策略(試行)模版

農商行信息安全策略(試行)第一章

總體目標及原則第一條

農商行信息系統(tǒng)安全總體目標是保護信息系統(tǒng)的硬件、軟件、業(yè)務信息和數據、通訊網絡設備等資源的安全，有效防范各類安全事故或人為有意的破壞事件，合法、合規(guī)發(fā)展我社各類信息系統(tǒng)，為社會各界提供安全高效穩(wěn)定的金融服務。第二條

實現農商行信息系統(tǒng)安全總體目標應本著“安全第一、預防為主、職責明確、綜合治理”的基本原則。建立信息資產所有人機制，明確信息資產所有人（業(yè)務部門）、代管人（信息科技部門）及安全管理人的權責并對信息資產進行分類。第二章組織管理體系第三條

組織管理體系建立的目標是建立農商行自上而下的信息安全領導小組，確立安全管理組織機構的職責，統(tǒng)籌規(guī)劃、專家決策，以推動農商行全轄信息安全工作的開展。第四條

農商行聯合社（以下簡稱“省聯社”）、各辦事處（市聯社）、各縣級聯社成立信息安全領導小組（以下簡稱“安全領導小組”）。安全領導小組下設辦公室（以下簡稱“安全辦公室”）。安全辦公室設在各級科技部門。第五條

省聯社科技部門設置專職信息系統(tǒng)安全管理員，市辦事處（市聯社）科技部門和縣級聯社科技部門設置專（兼）職信息系統(tǒng)安全管理員。信息系統(tǒng)安全管理員的數量根據信息系統(tǒng)數量、復雜程度和監(jiān)管要求確定。第三章人員安全管理第六條

人員安全管理的目標是通過設立安全管理制度及崗位責任制，為保證最大程度地降低信息化建設過程中由于人為失誤或錯誤所造成的風險。第七條

人員是信息系統(tǒng)安全的決定性因素，與信息安全相關的崗位職責分配的基本原則為：（一）職責分離原則：在人員崗位建立時，相關的信息系統(tǒng)訪問的安全責任應該確定，不相容的職責應分離。接觸信息系統(tǒng)的人員應承擔與其工作性質相應的安全責任，各類人員不得從事超越自己職責以外的任何工作。（二）有限授權原則：任何人員對信息資源的訪問權利應受到限制，應對超越職責的訪問進行控制。（三）相互制約原則：安全環(huán)節(jié)的管理應采取相互制約原則，做到職責分明，各司其職，相互配合和制約。（四）任期審計原則：應記錄并監(jiān)控員工在任職期內的信息資源訪問活動。第八條

信息系統(tǒng)關鍵崗位員工（是指計算機系統(tǒng)運行過程中直接從事生產系統(tǒng)或周圍設施管理的人員）必須是本（行）社正式簽訂勞動合同的員工，上崗前要對其進行培訓，并使其充分了解信息系統(tǒng)安全的至關重要性。對各類計算機系統(tǒng)的相關人員應實施有針對性、有計劃的計算機安全教育和培訓。員工通過培訓應明確與本職工作有關的計算機安全知識和責任。第九條

定期考核員工的工作表現，調整與其崗位不符的安全職責權限或調離違反崗位安全規(guī)則的員工。第十條

員工離職前，應交還手中持有的與信息系統(tǒng)相關的文檔、物品，應交接其負責的工作。一經離職，人力資源部門要立即通知信息資源控制部門，相應的信息系統(tǒng)合法身份及權限應立即注銷，視調離保密崗位人員的重要程度，及時調整系統(tǒng)的安全保密措施。第十一條所有員工必須定期簽訂信息安全及保密承諾。并進行相關安全教育培訓。第四章

標準化和規(guī)范化管理第十二條標準化和規(guī)范化安全的目標是通過建立農商行內部業(yè)務處理、操作流程、信息系統(tǒng)管理和技術等一系列標準化和規(guī)范化的過程，奠定信息系統(tǒng)安全的基礎。第十三條應該根據業(yè)務對我社資產保護的需要，制訂應用系統(tǒng)的安全等級，建立我社各項業(yè)務的標準、規(guī)范化處理流程和業(yè)務數據標準，以及確定各級員工對信息資源訪問的權限標準。第十四條農商行信息技術管理部門應該規(guī)范信息系統(tǒng)的工程建設，依照國家或銀行業(yè)的安全管理政策和標準，逐步建立信息系統(tǒng)安全的各項管理規(guī)范和相關技術標準，規(guī)范基礎設施建設、系統(tǒng)和網絡平臺建立、應用系統(tǒng)開發(fā)、運行管理等重要環(huán)節(jié)，創(chuàng)建信息系統(tǒng)安全的基礎。第五章

設備與物理環(huán)境安全第十五條設備與物理環(huán)境安全的目標是保護農商行計算機設備、設施（含網絡）以及信息系統(tǒng)的物理環(huán)境免遭自然災害和其他形式的破壞，保證信息系統(tǒng)的實體安全。第十六條安全計劃和安全管理必須實施于信息系統(tǒng)基礎設施建設的需求計劃、部署實現、安裝啟用、終止結束等完整工程生命周期的各個階段。第十七條信息系統(tǒng)有關物理環(huán)境的選址及建設應遵照國家計算機場地安全標準和有關主管部門的場地環(huán)境設施標準，配備防火、防雷、防水、防靜電、防鼠等機房安全設施，有效防止數據泄密，維持系統(tǒng)不間斷的運行能力，確保信息系統(tǒng)運行的安全可靠。第十八條應對突發(fā)事故，實體安全建立應急計劃，配備應急電源，實施系統(tǒng)主機及重要設備的備份、冗余技術保護措施；對數據應做到異地備份或做到異地存放；應對災難事故，實體安全建立災難中心，實現物理實體的恢復機制。根據實際情況定期實施主備機的切換和應急方案的演練。第十九條限制和規(guī)定計算中心、重要信息設備所在地的人員進出活動。第二十條對重要安全設備產品的選擇，必須符合國家有關技術規(guī)范或經過專業(yè)測評機構檢測不低于本行業(yè)計算機安全管理技術規(guī)范中的最低安全要求，并核實是否具備安全部門的設備準用證或國家有關部門的安全產品許可證書。第二十一條

嚴格確定信息設備的合法使用人。建立詳細的設備使用運行日志及故障維修記錄，實施定期的設備維護、保養(yǎng)操作。第六章

應用系統(tǒng)安全第二十二條

應用系統(tǒng)安全的目標是保證農商行各業(yè)務應用系統(tǒng)開發(fā)過程以及最終產品的安全性，安全建設必須與應用系統(tǒng)建設同步進行。第二十三條

應用系統(tǒng)安全決定了銀行資金的安全，應用系統(tǒng)安全化建設是我社業(yè)務發(fā)展的重要組成部分。第二十四條

質量管理和安全監(jiān)控必須實施于應用系統(tǒng)從計劃到運行全周期的各階段（即需求計劃階段、系統(tǒng)設計階段、技術實現階段、安裝測試以及投產運行階段）。第二十五條

應用系統(tǒng)的總體需求計劃階段，應全面評估系統(tǒng)的安全風險，分析系統(tǒng)的潛在威脅，根據銀行信息資源的保護等級策略，確立系統(tǒng)的訪問控制、身份認證、信息加密、審計跟蹤、稽核檢查等安全需求，并征求保衛(wèi)部、監(jiān)察部、稽核部意見，確立應用系統(tǒng)的安全策略。第二十六條

在應用系統(tǒng)的總體架構設計的過程中，應實施安全需求設計，并確立安全服務機制、項目開發(fā)人員安全技術要求和操作規(guī)程。第二十七條

應用系統(tǒng)的實現階段，應根據安全需求設計實施安全技術，對應用系統(tǒng)技術實現過程進行質量管理，防止技術開發(fā)人員故意保留“后門”，保證系統(tǒng)最終產品的安全性質量。第二十八條

在應用系統(tǒng)建設的各階段，必須保證應用軟件的完整性，即確保軟件的變更是經過授權及合法性的驗證；必須形成各階段相應的系統(tǒng)功能設計及技術實施的規(guī)范性文檔，以及重要的系統(tǒng)安全策略，安全規(guī)劃、應急計劃、風險分析、安全服務機制等安全性文檔，并隨著系統(tǒng)實現的進程應保持文檔變更的同步及準確。第二十九條

應用系統(tǒng)投產運行之前，必須充分進行局部功能、整體功能、壓力測試，以及與安全需求目標一致的系統(tǒng)安全性能、操作流程、應急方案等重要安全性測試，測試的結果應記錄文檔。第三十條只有正式經過管理、操作、技術控制等安全鑒定獲準的應用項目，可以投入生產運行。第七章

通信網絡安全第三十一條

網絡安全的目標是有效防范網絡體系的安全風險，為農商行應用系統(tǒng)發(fā)展提供安全、可靠、穩(wěn)定的網絡管理和技術平臺。第三十二條

通信網絡安全建設是我社業(yè)務發(fā)展的基礎，通信網絡安全管理和網絡安全技術的配合是獲得網絡整體安全的基本保障。第三十三條

通信網絡架構的安全可靠性設計、網絡建設的安全投入應依照國家或銀行業(yè)制定的各項安全管理規(guī)定和安全產品技術標準，充分考慮銀行應用的發(fā)展規(guī)劃和安全保護等級。第三十四條

對于依賴網絡架構安全性的業(yè)務和應用系統(tǒng)，必須視其安全級別，實施相應的訪問控制、身份認證、抗抵賴、加密、審計等信息安全服務機制，以提高業(yè)務和應用系統(tǒng)的安全防護能力。第三十五條

在內部網絡與外部網絡的接入口、內部區(qū)域網的接入口、重要業(yè)務系統(tǒng)的外聯接入口，必須視信息資源的保護等級，實施相應安全級別的隔離防火墻、認證、審計、動態(tài)檢測等安全技術措施，防范信息資源被非法訪問、篡改和破壞。任何員工不得在未經安全管理認可的情況下，擅自從內部網絡的計算機直接訪問銀行外部網絡。第八章運行安全第三十六條

運行安全的目標是保證農商行的信息系統(tǒng)日常運行的安全穩(wěn)定，對信息系統(tǒng)的運行環(huán)境、技術支持、操作使用、病毒防范、備份措施、文檔建立等方面實施安全性管理。第三十七條

對信息系統(tǒng)運行階段的任何變化，數據、軟件、物理設置等，都應實施技術監(jiān)控和管理手段以確保其完整性，即防止信息被非法復制、非授權的修改及破壞，確保信息系統(tǒng)的任何查詢和變更操作是經過授權及合法性驗證。第三十八條

軟件是計算機系統(tǒng)運行的核心。軟件的安全保護及正確運行至關重要，應嚴格控制計算機系統(tǒng)中軟件的使用。軟件的隨意下載及運行，將使銀行計算機網絡系統(tǒng)容易產生病毒侵入，干擾系統(tǒng)正常運行及系統(tǒng)安全防護的失效。新版軟件、版本升級過程要實施投產前必要的軟件檢驗和測試。第三十九條

技術支持人員、軟硬件供應商、第三方技術提供商都有可能從事技術維護服務。銀行必須實施嚴格的訪問控制機制和制度，確保只有合法的人員才能進入系統(tǒng)從事維護活動。第四十條應建立多層次、立體式病毒防護體系，維持病毒采集、匯總、上報、升級的渠道順暢，提高病毒檢殺的響應能力，從網絡、服務器、單機的各個環(huán)節(jié)有效防范病毒侵入。第四十一條

信息系統(tǒng)的程序和數據備份至關重要。備份的周期取決于數據的變動頻度及變動的重要程度，重要的系統(tǒng)和數據必須做到異地備份，確定備份的工作流程。要經常檢測備份以保證其可用性。備份應安全存放。第四十二條

對各種信息媒介應實施物理環(huán)境保護及其他各種控制措施，確保磁帶、磁碟、光盤、打印數據等重要媒介不失密、不被破壞、不被篡改和不失效，維護其完整性和可用性，并授權專人負責介質的登記、存放、檢驗等維護工作。第四十三條

計算機技術維護和操作都應有相應的文檔，以確保支持的連續(xù)性和一致性。正確的操作描述文檔有助于防止對安全的忽視、減少操作的失誤。第四十四條

當數據信息、硬件設備、軟件程序結束運行使用時，視需求分別進行存檔、廢棄和銷毀處理。存檔的信息應充分考慮將來查找和檢索的需要；電子信息的存檔要考慮到數據生成技術的未來可用性；為滿足加密信息的查詢需要，應對加密密鑰采取有效的存放保管措施。重要信息的銷毀應在相關人員的監(jiān)督下完成。第九章應急計劃第四十五條

信息系統(tǒng)應急計劃的目標是分析信息系統(tǒng)可能出現的緊急事件或者災難事故，技術支持和業(yè)務部門應建立一整套應急措施，以保障銀行關鍵核心業(yè)務的連續(xù)服務。第四十六條

一旦發(fā)生重大的或災難性事故時，應迅速進行災情分析，并上報安全領導小組，各安全領導小組即成為應急領導小組，負責指揮執(zhí)行緊急應變計劃，排除災難事故。同時應急領導小組還要組織相關的部門做好對外的解釋、宣傳和公告以及保衛(wèi)工作，防止事態(tài)的擴大。第四十七條

應急計劃要充分考慮到信息系統(tǒng)可能面臨的由于系統(tǒng)設備、軟件、網絡通訊而造成的緊急故障，地震、火災等自然災難事故，以及由計算機病毒、惡性程序代碼和來自行內、外部人員非法侵入產生的安全事件。銀行應建立對安全事件的快速反應機制，并使之成為應急計劃的一部分。第四十八條

根據銀行業(yè)務服務的要求以及對事故的恢復能力，確定應急措施所維持的核心業(yè)務及優(yōu)先級別。第四十九條

應急措施的建立將維持關鍵核心業(yè)務服務，銀行應對構成核心業(yè)務的全部資源進行分析，明確相關的人員、設備處理能力、基礎服務支持、數據和應用系統(tǒng)、文檔及文件等資源。第五十條應急方案的設立應充分考慮可能發(fā)生的事故，同時應本著實用、靈活、低成本原則。根據各核心業(yè)務的資源，確定應急方案的人員指揮架構及工作流程。應急計劃要明確描述緊急事故發(fā)生、核心業(yè)務的應急處理、正常業(yè)務的恢復等各環(huán)節(jié)的流程及操作步驟。第五十一條

為確保應急計劃的正確啟用，應確保編寫正確的應急手冊及對人員的培訓。第五十二條

為保證應急計劃的有效，應針對不同業(yè)務系統(tǒng)要求，定期進行應急方案的測試演練，并適應當前系統(tǒng)資源的變化，及時調整、完善應急計劃。第五十三條

針對惡性安全事件，信息系統(tǒng)應具備相應的技術措施，提供對安全事件的快速反應機制，并及時中斷安全事件對其他系統(tǒng)的危害，迅速搞清本系統(tǒng)存在的漏洞，有效防范未來事故的再次出現。第十章信息保密安全第五十四條

信息保密安全的目標是建立信息安全保密管理制度，實施有效安全技術，保護農商行的各種密級信息，防止外泄和失密。第五十五條

必須依照國家有關政策法規(guī)，不得將涉及國家秘密的信息系統(tǒng)，直接或間接地聯入國際互聯網或其他公共信息網絡，必須采取有效隔離。員工必須遵守國家有關保密規(guī)定，不得利用電子函件傳遞、轉發(fā)或抄送國家秘密信息和我社的商業(yè)信息。第五十六條

辦公信息網與生產業(yè)務網應實行有效隔離措施。第五十七條

對于銀行信息系統(tǒng)的個人訪問密碼、密鑰、信息系統(tǒng)的功能實現技術和資料文檔，加密、鑒別、認證、密鑰產生等關鍵安全技術措施，以及目前系統(tǒng)尚存的風險漏洞等決定信息系統(tǒng)