证券股份有限公司网络和系统安全管理规范模版.docx

**证券股份有限公司
网络和系统安全管理规范

第一章 总则
第一条 【目的】本规范旨在为**证券网络安全管理、系统安全管理提供指导原则，各部门可依据有关本规定拟定网络和系统安全管理工作的实施细则。
第二条 【范围】本规范适用于**证券各部门范围内网络和系统建设、使用、运维等各个阶段的安全管控。

第二章 职责与权限
第三条 信息技术部：负责拟定、修订本规范，并负责在公司范围内监督管理本规定的实施情形。
第四条 网络管理人员：负责依据有关本规范拟定网络安全管理实施细则和规范。负责网络系统的建设、日常运行管理、维护等工作。
第五条 系统管理人员：负责依据有关本规范拟定系统安全管理实施细则和规范。负责各平台系统、操作系统、数据库、中间件日常安全管理工作。
第六条 应用管理人员：协助配合网络管理人员设计相应访问监控规则。与系统管理人员共同设计系统部署架构。

第三章 安全规范
第一节 网络安全要求
第七条 【网络架构安全】
（一） 关键网络区域的核心设备应具备合适的处理性能及相应的冗余能力，保证关键网络的可用性。
（二） 关键网络链路应具备合适的带宽及相应的冗余能力，以保证关键网络的可用性。
（三） 重要网络区域必须通过部署相应的安全设备或实施有关技术手段而具备相应的安全监控、隔离和操作行为审计功能。
第八条 【网络区域划分与隔离】
（一） 网络应依照安全级别和功能进行区域划分，不同区域依据有关其安全级别采用合适的安全防护措施。
（二） 不同的安全区域间应实施相应的隔离措施。
（三） 开发、测试网络必须与生产网络隔离。
（四） 逻辑隔离的网络区域间实施缺*拒绝的访问监控策略，应按最小授权原则合理设置访问监控规则。
第九条 【远程接入和第三方网络接入】
（一） 互联网安全威胁极多，各部门内部网与互联网连接必须采取隔离保护措施，原则上只允许从内向外的指定网络访问。
（二） 未经批准，严禁生产网络与互联网直接连接。对于确需的连接，必须实施足够的安全隔离保护措施，并将方案上报信息技术部审批后才能实施。
（三） 应对职工或员工移动办公接入内部网络实施统一管理，并依据有关按需审批的原则确保只有合适的人员被授予远程接入的权限。
（四） 因为业务需要生产网络或内部网络需要与第三方网络进行连接，必须采取技术隔离措施比如防火墙等以进行充份的安全防护。
（五） 未经授权第三方设备不得联入公司内部网络或生产网。如确有接入需求，应向有关负责人进行申请，经审批通过后方可联入公司建设的第三方人员专用网络，该专用网络与内部网络之间必须实施技术隔离措施。
第十条 【无线网络接入】
（一） 禁止所有未授权的无线网络接入点（AP）联入公司内部网络或生产网络。
（二） 生产网禁止任何形式的无线网络接入点联入。
（三） 需要联入公司内部网的无线接入点（AP）必须遵守相应的安全配置规范，并经过有关负责人授权审批后方可接入。
第十一条 【网络行为管理】
（一） 未经授权严禁进行网络扫描、探测或嗅探等行为，如确有需求，应向有关负责人员申请，经审批后方可实施。
第十二条 【设备安全配置】
应依据有关以下基本要求与有关规定建立相应的网络设备安全配置规范。
（一） 必须建立良好的访问监控机制，确保网络设备不会被非授权访问。各类网络设备的口令设置应遵循用户账号及密码管理有关规定。
（二） 安全设备应开启必要的网络审计功能，能够对相应的安全事件进行追踪和审计。
（三） 应通过合理、安全的设备配置降低网络攻击和其它网络安全事件发生的风险。
（四） 定时对网络设备配置进行备份，设备配置更改前后也应及时做备份。
第十三条 【网络容量管理】
（一） 网络必须实施相应的容量管理和监控措施，确保网络性能、容量符合**证券业务发展的需要。
（二） 关于性能监控和容量管理的详尽规定参见《系统容量管理制度》。

第二节 网络安全管理
第十四条 【网络建设安全审核】
（一） 在网络建设的设计和验收阶段，需要依据上述网络安全要求和有关规范进行安全审核，公司性重大网络建设项目需要信息技术部组织有关技术骨干共同进行安全审核，确保网络建设的规范性和安全性。
（二） 小规模的第三方接入、链路架设等网络改造、建设项目，需要确保网络设计和实施符合上述网络安全要求和有关规范，并符合审批流程。
第十五条 【网络设备安全漏洞管理】
（一） 信息技术部应建立网络设备安全漏洞管理的机制，及时跟踪和修补网络设备中的安全漏洞。
第十六条 【巡检】
（一） 信息技术部应安排对网络进行定时巡检，对巡检结果及时采取处理措施。
第十七条 【网络应急预案】
（一） 依据有关《业务连续性管理规定》的要求建立相应的网络应急预案并进行演练和维护，详尽规定参见《业务连续性管理规定》。

第三节 系统安全要求
第十八条 【系统访问监控的一般原则】
（一） 隔离运行：对于不同重要等级、不同用途的网络、信息系统，应采取特定的隔离措施，确保各类系统独立运行。
（二） 最小权限：用户应只具备工作岗位所需的最小访问权限。
（三） 按需审批：权限审批时应依据有关用户实际需要授权，避免权限过大。
（四） 职责分离：一个用户未能同时承担多个存在权利冲突的角色，访问的请求方、授权方、管理方也应实现职责分离。
（五） 默认拒绝：未经明确授权，一律视为禁止。
第十九条 【用户权限管理原则】
（一） 本规定规范的用户包含网络设备用户、主机、数据库、各应用系统及监控管理等用户。
（二） 用户身份唯一性：每个用户账号的设置，均应对应到唯一的使用人，而非一个部门或一个小组，用户账号的使用者应对使用该账号所造成或产生的后果承担相应责任。如因为某种特定需求而未能实现用户身份唯一性时，必须有相应的补偿监控措施确保用户行为的可追溯性和不可抵赖性。
（三） 用户按类赋权：用户账号应尽量使用组、角色等组合方式进行权限管理，以方便授权管理和统计。一般可首先依据有关帐户功能等分为不同的用户组，然后所有的授权和取消动作都针对该用户组而不是单个用户，需要创建用户或更改用户权限时，只要设置该用户所属的用户组，相应的用户授权就自动履行。
第二十条 【用户权限管理要求】
（一） 应建立各信息系统用户管理实施细则，明确相应各种用户帐户的审批权限和流程，同时对用户权限的申请、审批、开通、变更和权限删除等环节的有关操作进行明确规定。
（二） 用户权限应依据有关用户需求与最小权限原则进行授权和审批。
（三） 职工或员工离岗或岗位变更（包括职位提升、降级、转岗）后，应依据有关职工或员工的岗位调整情形对职工或员工的用户权限进行调整。
（四） 职工或员工离职时，应对职工或员工使用的用户账号进行禁用或删除（一般可先禁用，一段时间比如半年后再删除）。
（五） 用户权限申请及变更过程应有书面申请、变更及审批记录。
（六） 应对重要系统建立用户帐户一览表，对用户帐户和权限进行统一管理，该表内容应包括用户账号、使用人姓名、所属部门、所属用户组（权限类别）、权限等有关信息。该权限一览表必须包括系统、数据库层的所有用户和应用层的超级用户，对于应用程序中的普通用户，目前暂不做详细要求。
（七） 该用户帐户一览表中信息应及时依据有关用户帐户调整情形进行更新，并定时（半年）进行审核，由信息系统负责部门确认用户帐户的完整性和真实性。
第二十一条 【用户账号密码分类】
（一） 用户账号密码分为重要密码和一般密码。重要密码为各类系统级、数据库级、应用系统超级用户密码等；一般密码为各类应用系统个人用户密码、个人办公电脑系统密码等。
第二十二条 【用户账号密码策略】
（一） 所有密码的长度应不少于十二个字符。
（二） 所有密码必须为强密码，重要密码必须为数字、字母大写、小写和特殊字符中至少三种的组合，一般密码为数字、字母大写、小写和特殊字符中至少两种的组合，所有密码都未能为连续或重复的字母与数字。
（三） 密码应定时或不定时进行更换，密码更换周期不得超过三个月。
（四） 重要密码的设置应保证至少最近三次不重复。
（五） 重要密码必须分段管理。
（六） 计算机信息系统投产前，必须更改系统的各类初始、缺*密码。
第二十三条 【密码的保存和使用】
（一） 重要密码保存：生产系统根用户、数据库超级用户、重要应用系统系统用户的密码必须双人分段管理，并且分别保存在密码信封中以备应急。密码信封应由专人妥善保存。重要密码任何时候都不应以明码形式存在于应用程序、执行脚本、技术文档或有关记录中。
（二） 重要密码使用：重要密码应独享使用，不得共享。对密码的使用、更改必须进行详尽登记记录，记录中应包含密码使用的申请、审批、使用情形等信息。重要密码应安排专人负责设置、管理和更新。
（三） 一般密码的保存：职工或员工应妥善保管自己所使用的密码，不应将密码透露给其他人员。
（四） 一般密码的使用：职工或员工使用密码时，应避免密码被他人偷窥，禁止使用“自动保存密码功能”或使用自动登录系统程序。
第二十四条 【系统架构安全】
（一） 对实时性要求高的关键系统应在系统、设备层面具备相应的冗余能力，确保系统服务能力延续可靠。
（二） 重要系统必须满足三层架构的隔离要求，接入层必须做好安全防范措施。
（三） 原则上不同的操作系统间应避免建立信任关系，对于某些必须要建立信任关系才能运转的应用，一定要采取其它补偿监控措施来保护系统的安全。
第二十五条 【系统安全配置】
（一） 依据有关以下基本要求与有关规定建立系统安全配置规范。
（二） 确保帐户和口令管理符合安全要求，操作系统中无用的系统帐号，应进行删除或其他安全处理，用户账号的口令设置应遵循有关的口令安全策略。
（三） 通过设定登录超时、会话超时和定时锁屏等策略为用户登录及访问系统和应用程序的连接安全有效提供额外安全保障。
（四） 原则上应使用安全登录程序对操作系统进行访问，禁止使用不安全的登录程序。同时，服务端应禁用或卸载不安全登陆程序对应的服务。
（五） 依据有关最小权限原则，合理关闭操作系统不必要的服务，减少系统安全弱点。
（六） 系统资料文件实施有效监控，避免被恶意或未授权的访问，保护系统资料文件安全。
第二十六条 【数据库安全配置】
（一） 应依据有关以下基本要求与有关规定建立数据库安全配置规范。
（二） 加强数据库用户的口令管理，采取相应的安全监控措施。
（三） 加强数据库用户的权限管理，依照最小权限原则，应仅分配履行工作所需的权限，也包括应用程序连接数据库的帐户。
（四） 采取恰当措施，删除不必要的数据库默认用户，删除默认示例数据库，删除危及数据库系统安全的默认资料文件。
（五） 采取恰当措施，删除不必要的存储过程。
第二十七条 【系统容量管理】
（一） 各部门必须实施相应的容量管理和监控措施，确保系统性能、容量符合**证券业务发展的需要。
（二） 信息技术部拟定公司核心系统的性能监控和容量管理细则。

第四节 系统安全管理
第二十八条 【系统上线安全检查】
（一） 系统上线时，信息系统责任部门应依据有关上述系统安全要求和有关安全规范进行安全检查与审核，确保系统符合要求，必要时可使用有关技术工具协助配合检查系统安全配置。
（二） 公司性的重大信息系统上线前，需要信息技术部组织有关技术骨干共同进行安全审核，确保系统建设、配置的规范性和安全性。
第二十九条 【系统补丁及安全漏洞管理】
（一） 系统管理人员应及时跟踪系统补丁和漏洞发布，确保及时获取相应的补丁和漏洞信息。
（二） 应从安全可靠的途径获取补丁，如软件厂商网站等，并采取相应手段验证补丁的真实性。
（三） 在进行补丁安装之前应经过充份测试和论证，在不影响生产、业务的前提下及时进行补丁安装。
第三十条 【系统变更】
（一） 对于操作系统、数据库、中间件的更新、配置修改均应依照《信息系统变更管理制度》进行处理。
第三十一条 【巡检】
（一） 应安排对系统进行定时巡检，对巡检结果及时采取处理措施。
（二） 系统巡检应包括（但不限于）软件、硬件、参数等。

第四章 附则
第三十二条 本规范由信息技术部负责拟定、说明和修改。
第三十三条 本规范自印发之日起实行。

13 / 13