金融行业信息系统信息安全等级保护安全指引

一、背景介绍随着金融科技的快速发展和普及，银行业金融机构信息系统的安全问题日益受到重视。

金融机构信息系统涉及到客户的资金安全、交易信息的保密性和完整性等重要因素，因此其安全等级保护定级工作至关重要。

本文旨在就银行业金融机构信息系统安全等级保护定级的指导意见进行探讨和总结。

二、保护等级划分原则1. 重要性原则根据系统在金融机构业务中的重要性和关键程度进行分类，对于承载重要业务的信息系统，应给予更高的安全等级保护定级。

2. 风险分级原则结合系统所处的环境和受到的威胁，综合评估系统的风险状况，对高风险系统应给予更高的保护等级。

3. 可信度原则对信息系统的可信度进行评估，包括系统的可靠性、可用性和安全性等方面，从而确定系统的安全等级保护定级。

三、保护等级划分方法1. 依据风险评估通过对信息系统所处环境和受到的威胁进行评估，采用定性和定量的方式确定系统的风险等级，并据此划分安全等级保护定级。

2. 依据系统功能根据信息系统所承载的业务功能和对业务的重要性进行划分，对关键业务系统和核心业务系统给予更高的保护等级。

3. 依据安全性能通过对信息系统的安全性能进行评估，包括系统的安全性能指标和安全防护能力等方面，确定系统的安全等级保护定级。

四、保护等级划分标准1. 标准制定制定统一的保护等级划分标准，明确不同等级的安全保护要求和控制措施，确保保护等级划分的合理性和科学性。

2. 标准修订随着金融科技的发展和安全威胁的变化，及时修订相关标准和规范，确保保护等级划分工作与时俱进。

3. 标准应用将标准应用到实际的保护等级划分工作中，指导和规范金融机构信息系统的安全等级保护定级工作。

五、保护等级划分流程1. 信息收集收集信息系统的基本情况、业务功能、安全需求等相关信息，为保护等级划分提供依据。

2. 风险评估结合信息系统所处的环境和受到的威胁，对系统的风险进行评估，确定系统的风险等级。

3. 等级划分根据风险评估的结果和系统的重要性、安全性能等因素，确定信息系统的安全等级保护定级。

银行业金融机构信息系统风险管理指引LEKIBM standardization office【IBM5AB- LEKIBMK08- LEKIBM2C】银行业金融机构信息系统风险管理指引第一章总则第一条为有效防范银行业金融机构运用信息系统进行业务处理、经营管理和内部控制过程中产生的风险，促进我国银行业安全、持续、稳健运行，根据《中华人民共和国银行业监督管理法》、国家信息安全相关要求和信息系统管理的有关法律法规，制定本指引。

第二条本指引适用于银行业金融机构。

本指引所称银行业金融机构，是指在中华人民共和国境内设立的商业银行、城市信用合作社、农村合作银行、农村信用合作社等吸收公众存款的金融机构以及政策性银行。

在中华人民共和国境内设立的金融资产管理公司、信托投资公司、财务公司、金融租赁公司、汽车金融公司以及经中国银行业监督管理委员会（以下简称银监会）及其派出机构批准设立的其他金融机构，适用本指引规定。

第三条本指引所称信息系统，是指银行业金融机构运用现代信息、通信技术集成的处理业务、经营管理和内部控制的系统。

第四条本指引所称信息系统风险，是指信息系统在规划、研发、建设、运行、维护、监控及退出过程中由于技术和管理缺陷产生的操作、法律和声誉等风险。

第五条信息系统风险管理的目标是通过建立有效的机制，实现对信息系统风险的识别、计量、评价、预警和控制，推动银行业金融机构业务创新，提高信息化水平，增强核心竞争力和可持续发展能力。

第二章机构职责第六条银行业金融机构应建立有效的信息系统风险管理架构，完善内部组织结构和工作机制，防范和控制信息系统风险。

第七条银行业金融机构应认真履行下列信息系统管理职责：（一）贯彻执行国家有关信息系统管理的法律、法规和技术标准，落实银监会相关监管要求；（二）建立有效的信息安全保障体系和内部控制规程，明确信息系统风险管理岗位责任制度，并监督落实；（三）负责组织对本机构信息系统风险进行检查、评估、分析，及时向本机构专门委员会和银监会及其派出机构报送相关的管理信息；（四）及时向银监会及其派出机构报告本机构发生的重大信息系统事故或突发事件，并按有关预案快速响应；（五）每年经董事会或其他决策机构审查后向银监会及其派出机构报送信息系统风险管理的年度报告；（六）做好本机构信息系统审计工作；（七）配合银监会及其派出机构做好信息系统风险监督检查工作，并按照监管意见进行整改；（八）组织本机构信息系统从业人员进行信息系统有关的业务、技术和安全培训；（九）开展与信息系统风险管理相关的其他工作。

附件省银行业金融机构信息安全管理指引（试行）第一章总则第一条为切实加强省银行业金融机构（以下简称银行机构）信息安全工作的管理和指导，进一步增强银行机构信息安全保障能力，保障国家经济金融运行安全，保护金融消费权益和维护社会稳定，根据国家和人民银行总行有关规定和要求，特制订本指引。

第二条本指引所称信息安全管理，是指在银行机构计算机系统建设、运行、维护、使用及废止等过程中，保障计算机数据信息、计算机系统、网络、机房基础设施等安全的一系列活动。

第三条省人民银行分支机构按属地管理原则对辖银行机构信息安全工作进行管理、指导和协调。

各银行机构负责本系统（单位）的信息安全管理，完成人民银行交办的信息安全管理任务、接受人民银行的监督和检查。

第四条各银行机构信息安全管理工作的目标是：建立和完善与金融机构信息化发展相适应的信息安全保障体系，满足金融机构业务发展的安全性要求，保证信息系统和相关基础设施功能的正常发挥，有效防、控制和化解信息技术风险，增强信息系统安全预警、应急处置和灾难恢复能力，保障数据安全，显著提高金融机构业务持续运行保障水平。

第五条各银行机构信息安全管理工作的主要任务是：（一）加强组织领导，健全信息安全管理体制,建立跨部门、跨行业协调机制；（二）加强信息安全队伍建设，落实岗位职责制，不断提高信息安全队伍业务技能；（三）保证信息安全建设资金的投入，将信息安全纳入“五年”发展规划和年度工作计划，不断完善信息安全基础设施建设；（四）进一步加强信息安全制度和标准规体系建设；（五）加大信息安全监督检查力度；加快以密码技术应用为基础的网络信任体系建设；（六）加强安全运行监控体系建设；（七）大力开展信息安全风险评估，实施等级保护；（八）加快灾难恢复系统建设，建立和完善信息安全应急响应和信息通报机制；（九）广泛、深入开展信息安全宣传教育活动，增强全员安全意识。

第六条本指引适用于在省设立的各政策性银行、国有商业银行、股份制银行、邮政储蓄银行、城市商业银行、农村商业银行、城市信用合作社、农村信用合作社、村镇银行的总部和分支机构。

JR/T XXXX—XXXX JR/T XXXX—XXXX证券期货业信息系统安全等级保护基本要求Securities and futures industry—Baseline for classified protection of information system（送审稿）目次 1 前言2 引言3 1. 范围 3 2. 规范性引用文件 3 3.术语和定义 3 4. 证券期货业信息系统安全等级保护概述 34.1. 证券期货业信息系统安全保护等级 3 4.2. 不同等级的安全保护能力 4 4.3. 基本技术要求和基本管理要求 4 4.4. 基本技术要求的三种类型 55. 第一级基本要求 5 5.1. 技术要求 55.1.1. 物理安全 6 5.1.2. 网络安全 6 5.1.3. 主机安全75.1.4. 应用安全7 5.1.5. 数据安全及备份恢复8 5.2. 管理要求8 5.2.1. 安全管理制度8 5.2.2. 安全管理机构85.2.3. 人员安全管理9 5.2.4. 系统建设管理10 5.2.5. 系统运维管理126. 第二级基本要求12 6.1. 技术要求12 6.1.1. 物理安全13 6.1.2. 网络安全15 6.1.3. 主机安全16 6.1.4. 应用安全18 6.1.5. 数据安全及备份恢复18 6.2. 管理要求18 6.2.1. 安全管理制度19 6.2.2. 安全管理机构19 6.2.3. 人员安全管理20 6.2.4. 系统建设管理22 6.2.5. 系统运维管理257. 第三级基本要求25 7.1. 技术要求25 7.1.1. 物理安全27 7.1.2. 网络安全29 7.1.3. 主机安全32 7.1.4. 应用安全34 7.1.5. 数据安全及备份恢复34 7.2. 管理要求34 7.2.1. 安全管理制度35 7.2.2. 安全管理机构36 7.2.3. 人员安全管理37 7.2.4. 系统建设管理40 7.2.5. 系统运维管理448. 第四级基本要求44 8.1. 技术要求44 8.1.1. 物理安全46 8.1.2. 网络安全48 8.1.3. 主机安全51 8.1.4. 应用安全53 8.1.5. 数据安全及备份恢复54 8.2. 管理要求54 8.2.1. 安全管理制度55 8.2.2. 安全管理机构56 8.2.3. 人员安全管理57 8.2.4. 系统建设管理59 8.2.5. 系统运维管理649. 第五级基本要求65 附录A（规范性附录）关于证券期货业信息系统整体安全保护能力的要求66 附录B（规范性附录）证券期货业重要信息系统安全要求的选择和使用前言本标准附录A和附录B是规范性附录。