（中銀科[2002]38號　2002年11月29日） 各省、自治區、直轄市分行，深圳市分行，各信息中心： 　　根據人民銀行要求及我行工作計劃，總行制定了《中國銀行計算機信息安全策略綱要(試行)》(簡稱《綱要》)。現將該《綱要》下發各分行及信息中心，希望各單位認真組織學習、落實《綱要》相關內容，并向總行及時反饋對《綱要》的建議和意見。 　　特此通知。 　　附： 中國銀行計算機信息安全策略綱要(試行) 　　1．前言 　　隨著信息技術的不斷發展，金融信息安全與我國經濟建設、社會安定和國家安全緊密相連。中國銀行各項業務已經由傳統手工處理轉向高科技信息系統處理模式，信息技術已成為銀行賴以發展的基礎。中國銀行信息系統是技術密集、資金密集、大型復雜的網絡化的人機系統，其安全問題日益突出。 　　金融信息安全的風險來于管理層、技術層和操作層。銀行信息系統所面臨的主要威脅是： 　　（1）人為的失誤：計算機技術人員及業務人員在信息系統的設計、開發、安裝、使用過程中，都有機會產生人為的錯誤或失誤。 　　（2）欺詐行為：來自于銀行內部員工或銀行外部人員，欺騙性地修改或產生信息系統的數據，盜竊銀行資金，進行金融犯罪。 　　（3）內部人員破壞行為：由于對工作不滿或其他原因，有意在程序中設置“后門”或程序炸彈，并對設備、數據、系統進行故意破壞的行為。 　　（4）物理資源服務喪失：設備故障或物理環境發生意外災難（電源斷電、通訊中斷、水災、火災、地震等）而產生系統宕機事件。 　　（5）黑客攻擊：黑客通過非法手段訪問或破壞銀行信息系統。 　　（6）商業信息泄密：部分員工利用權限之便而造成信息系統數據的外泄。 　　（7）病毒（惡意程序）侵襲：指編制或者在計算機程序中插入破壞計算機功能或者毀壞系統數據的計算機指令或者程序代碼。 　　（8）程序系統自身的缺陷：程序設計開發時，對系統的安全性考慮不足，留下安全隱患，這是一種來自系統自身的威脅。 　　隨著全行信息大中心的相繼建成，數據形成了高度集中，風險也隨之高度集中，因此信息安全問題所形成的現代金融風險，使傳統的金融風險內涵發生了根本性變化。中國銀行信息系統的安全不但涉及國家和金融業的利益，而且還涉及到廣大客戶的利益，任何不安全因素都可能造成信息的丟失、資金財產的損失和金融市場的混亂，甚至影響到社會的穩定。由于信息系統存在著自然或人為等諸多因素的脆弱性和潛在風險，中國銀行在信息化建設過程中應建立明確的安全策略，加強信息化管理和技術防范措施，確保信息系統的安全穩定。中國銀行的信息安全化建設是保障自身業務穩定發展、穩定金融市場、增強競爭力和生存力的基礎，信息安全強調社會責任、強調合法、合規經營，并對中國銀行穩健發展具有戰略意義。 　　2．安全策略 　　2．1　總體目標及原則 　　中國銀行信息系統安全總體目標是保護中國銀行信息系統的硬件、軟件、業務信息和數據、通訊網絡設備等資源的安全，有效防范各類安全事故或人為有意的破壞事件，合法、合規發展我行各類信息系統，確保中國銀行為社會各界提供安全高效穩定的金融服務。 　　實現中國銀行信息系統安全總體目標應本著“安全第一、預防為主、職責明確、綜合治理”的基本原則。建立信息資產所有人機制，明確信息資產所有人（業務部門）、代管人（信息科技部門）及安全管理人的權責并對信息資產進行分類。 　　2．2　組織管理體系 　　組織管理體系建立的目標是建立中國銀行自上而下的信息安全工作管理體系，確立安全管理組織機構的職責，統籌規劃、專家決策，以推動中國銀行全轄信息安全工作的開展。 　　組織管理機構由中國銀行計算機安全工作委員會、計算機安全工作機構——（包含計算機安全專家小組、計算機安全檢查機構、計算機技術保障機構）、利用計算機信息系統提供業務服務的計算機綜合應用機構共同組成。 　　　　　　　　　　　　　－－－－－－－－－－－－ 　　　　　　　　　　　　　｜計算機安全工作委員會｜ 　　　　　　　　　　　　　－－－－－－－－－－－－ 　　　　　　　　　　　　　　　　　　｜ 　　　　　　　　　　　－－－－－－－－－－－－－－－ 　　　　　　　　　　　↓　　　　　　　　　　　　　↓ 　　　　　　－－－－－－－－－－－　　　　　　　－－－ 　　　　　　｜計算機安全工作機構｜　　　　　　　｜計｜ 　　　　　　－－－－－－－－－－－　　　　　　　｜算｜ 　　　　　　↓　　　　↓　　　　↓　　　　　　　｜機｜ 　　　　　－－－　　－－－　　－－－　　　　　　｜綜｜ 　　　　　｜計｜　　｜計｜　　｜計｜　　　　　　｜合｜ 　　　　　｜算｜　　｜算｜　　｜算｜　　　　　　｜應｜ 　　　　　｜機｜　　｜機｜　　｜機｜　　　　　　｜用｜ 　　　　　｜安｜　　｜技｜　　｜安｜　　　　　　｜機｜ 　　　　　｜全｜　　｜術｜　　｜全｜　　　　　　｜構｜ 　　　　　｜專｜　　｜保｜　　｜檢｜　　　　　　－－－ 　　　　　｜家｜　　｜障｜　　｜查｜ 　　　　　｜小｜　　｜機｜　　｜機｜ 　　　　　｜組｜　　｜構｜　　｜構｜ 　　　　　－－－　　－－－　　－－－ 安全管理組織架構 　　計算機安全工作委員會：總行主管科技的行領導及計算機信息安全相關部門（信科部、保衛部、監察室、人力資源部、稽核部、財會部、零售業務部、銀行卡中心等部門）的一名總經理室成員組成，責任是貫徹落實國家和人民銀行關于計算機安全工作的方針和政策；研究決定我行計算機安全的重大事項；制定我行計算機安全措施的實施策略和原則；組織開展中國銀行計算機安全普及教育；研究我行計算機安全工作的重大事項；組織領導計算機安全相關部門工作。 　　計算機安全專家小組：由行內外金融計算機安全專家組成，在我行計算機安全工作委員會辦公室的領導下，從理論上、技術上指導我行計算機安全技術體系建立，對我行目前安全體系的風險進行評估和鑒定。 　　計算機技術保障機構：由中國銀行總行信息科技部、全轄計算機運行中心、軟件開發中心人員組成，負責制定我行全轄信息安全建設規劃、組織實施有效的技術措施、協調落實全轄信息安全工作的開展，實現信息系統的建設和維護支持工作。 　　計算機安全檢查機構：由信科部、保衛部、稽核部、監察部等部門組成，在計算機安全工作委員會的領導下，監督檢查我行信息系統建設過程中安全制度的執行情況，協調解決計算機安全問題。 　　計算機綜合應用機構：由中國銀行業務部門及管理部門組成，在計算機安全工作委員會的指引下，安全合規地使用信息系統，為客戶提供服務。 　　2．3　人員安全管理 　　人員安全管理的目標是通過設立銀行安全管理制度及崗位責任制，為保證最大程度地降低信息化建設過程中由于人為失誤或錯誤所造成的風險。 　　人員是銀行信息系統安全的決定性因素。與信息安全相關的崗位職責分配的基本原則為： 　　職責分離原則：在人員崗位建立時，相關的信息系統訪問的安全責任應該確定，不相容的職責應分離。接觸信息系統的人員應承擔與其工作性質相應的安全責任，各類人員不得從事超越自己職責以外的任何工作。 　　有限授權原則：任何人員對信息資源的訪問權利應受到限制，應對超越職責的訪問進行控制。 　　相互制約原則：安全環節的管理應采取相互制約原則，做到職責分明，各司其職，相互配合和制約。 　　任期審計原則：應記錄并監控員工在任職期內的信息資源訪問活動。 　　信息系統關鍵崗位員工（是指計算機系統運行過程中直接從事生產系統或周圍設施管理的人員）必須是我行正式簽訂勞動合同的員工，上崗前要對其進行培訓，并使其充分了解信息系統安全的至關重要性。對各類計算機系統的相關人員應實施有針對性、有計劃的計算機安全教育和培訓。員工通過培訓應明確與本職工作有關的計算機安全知識和責任。 　　定期考核員工的工作表現，調整與其崗位不符的安全職責權限或調離違反崗位安全規則的員工。 　　員工離職前，應交還手中持有的與信息系統相關的文檔、物品，應交接其負責的工作。一經離職，銀行人力資源部門要立即通知信息資源控制部門，相應的信息系統合法身份及權限應立即注銷，視調離保密崗位人員的重要程度，及時調整系統的安全保密措施。 　　所有員工必須定期簽訂信息安全及保密承諾。相關安全教育由人力資源部門統一安排。 　　2．4　標準化和規范化管理 　　標準化和規范化安全的目標是通過建立中國銀行內部業務處理、操作流程、信息系統管理和技術等一系列標準化和規范化的過程，奠定中國銀行信息系統安全的基礎。 　　標準化、規范化是信息系統安全的基礎。 　　中國銀行綜合業務管理部門應該根據各業務對銀行資產保護的需要，制訂應用系統的安全等級，建立我行各項業務的標準、規范化處理流程和業務數據標準，以及確定各級員工對信息資源訪問的權限標準。 　　中國銀行信息技術管理部門應該規范信息系統的工程建設，依照國家或銀行業的安全管理政策和標準，逐步建立中國銀行信息系統安全的各項管理規范和相關技術標準，規范基礎設施建設、系統和網絡平臺建立、應用系統開發、運行管理等重要環節，創建中國銀行信息系統安全的基礎。 　　2．5　設備與物理環境安全 　　設備與物理環境安全的目標是保護中國銀行計算機設備、設施（含網絡）以及信息系統的物理環境免遭自然災害和其他形式的破壞，保證信息系統的實體安全。 　　安全計劃和安全管理必須實施于信息系統基礎設施建設的需求計劃、部署實現、安裝啟用、終止結束等完整工程生命周期的各個階段。 　　信息系統有關物理環境的選址及建設應遵照國家計算機場地安全標準和有關主管部門的場地環境設施標準，配備防火、防雷、防水、防靜電、防鼠等機房安全設施，有效防止數據泄密，維持系統不間斷的運行能力，確保信息系統運行的安全可靠。 　　應對突發事故，實體安全建立應急計劃，配備應急電源，實施系統主機及重要設備的備份、冗余技術保護措施；對數據應做到異地備份或做到異地存放；應對災難事故，實體安全建立災難中心，實現物理實體的恢復機制。根據實際情況定期實施主備機的切換和應急方案的演練。 　　限制和規定計算中心、重要信息設備所在地的人員進出活動。 　　對重要安全設備產品的選擇，必須符合國家有關技術規范或經過專業測評機構檢測不低于本行業計算機安全管理技術規范中的最低安全要求，并核實是否具備安全部門的設備準用證或國家有關部門的安全產品許可證書。 　　嚴格確定信息設備的合法使用人。建立詳細的設備使用運行日志及故障維修記錄，實施定期的設備維護、保養操作。 　　2．6　應用系統安全 　　應用系統安全的目標是保證中國銀行各業務應用系統開發過程以及最終產品的安全性，安全建設必須與應用系統建設同步進行。 　　應用系統安全決定了銀行資金的安全，應用系統安全化建設是中國銀行業務發展的重要組成部分。 　　質量管理和安全監控必須實施于應用系統從計劃到運行全周期的各階段（即需求計劃階段、系統設計階段、技術實現階段、安裝測試以及投產運行階段）。 　　應用系統的總體需求計劃階段，應全面評估系統的安全風險，分析系統的潛在威脅，根據銀行信息資源的保護等級策略，確立系統的訪問控制、身份認證、信息加密、審計跟蹤、稽核檢查等安全需求，并征求保衛部、監察部、稽核部意見，確立應用系統的安全策略。 　　在應用系統的總體架構設計的過程中，應實施安全需求設計，并確立安全服務機制、項目開發人員安全技術要求和操作規程。 　　應用系統的實現階段，應根據安全需求設計實施安全技術，對應用系統技術實現過程進行質量管理，防止技術開發人員故意保留“后門”，保證系統最終產品的安全性質量。 　　在應用系統建設的各階段，必須保證中國銀行應用軟件的完整性，即確保軟件的變更是經過授權及合法性的驗證；必須形成各階段相應的系統功能設計及技術實施的規范性文檔，以及重要的系統安全策略，安全規劃、應急計劃、風險分析、安全服務機制等安全性文檔，并隨著系統實現的進程應保持文檔變更的同步及準確。 　　應用系統投產運行之前，必須充分進行局部功能、整體功能、壓力測試，以及與安全需求目標一致的系統安全性能、操作流程、應急方案等重要安全性測試，測試的結果應記錄文檔。 　　只有正式經過管理、操作、技術控制等安全鑒定獲準的應用項目，可以投入生產運行。 　　2．7　通信網絡安全 　　網絡安全的目標是有效防范網絡體系的安全風險，為中國銀行應用系統發展提供安全、可靠、穩定的網絡管理和技術平臺。 　　通信網絡安全建設是中國銀行業務發展的基礎，通信網絡安全管理和網絡安全技術的配合是獲得網絡整體安全的基本保障。 　　通信網絡架構的安全可靠性設計、網絡建設的安全投入應依照國家或銀行業制定的各項安全管理規定和安全產品技術標準，充分考慮銀行應用的發展規劃和安全保護等級。 　　對于依賴網絡架構安全性的業務和應用系統，必須視其安全級別，實施相應的訪問控制、身份認證、抗抵賴、加密、審計等信息安全服務機制，以提高業務和應用系統的安全防護能力。 　　在中國銀行內部網絡與外部網絡的接入口、內部區域網的接入口、重要業務系統的外聯接入口，必須視信息資源的保護等級，實施相應安全級別的隔離防火墻、認證、審計、動態檢測等安全技術措施，防范銀行信息資源被非法訪問、篡改和破壞。任何員工不得在未經銀行安全管理認可的情況下，擅自從銀行內部網絡的計算機直接訪問銀行外部網絡。 　　2．8　運行安全 　　運行安全的目標是保證中國銀行的信息系統日常運行的安全穩定，對信息系統的運行環境、技術支持、操作使用、病毒防范、備份措施、文檔建立等方面實施安全性管理。 　　對信息系統運行階段的任何變化，數據、軟件、物理設置等，都應實施技術監控和管理手段以確保其完整性，即防止信息被非法復制、非授權的修改及破壞，確保信息系統的任何查詢和變更操作是經過授權及合法性驗證。 　　軟件是計算機系統運行的核心。軟件的安全保護及正確運行至關重要，應嚴格控制計算機系統中軟件的使用。軟件的隨意下載及運行，將使銀行計算機網絡系統容易產生病毒侵入，干擾系統正常運行及系統安全防護的失效。新版軟件、版本升級過程要實施投產前必要的軟件檢驗和測試。中國銀行應確保銀行所用軟件的版本合法。 　　銀行技術支持人員、軟硬件供應商、第三方技術提供商都有可能從事技術維護服務。銀行必須實施嚴格的訪問控制機制和制度，確保只有合法的人員才能進入系統從事維護活動。 　　銀行應建立多層次、立體式病毒防護體系，維持病毒采集、匯總、上報、升級的渠道順暢，提高病毒檢殺的響應能力，從網絡、服務器、單機的各個環節有效防范病毒侵入。 　　信息系統的程序和數據備份至關重要。備份的周期取決于數據的變動頻度及變動的重要程度，重要的系統和數據必須做到異地備份，確定備份的工作流程。要經常檢測備份以保證其可用性。備份應安全存放。 　　對各種信息媒介應實施物理環境保護及其他各種控制措施，確保磁帶、磁碟、光盤、打印數據等重要媒介不失密、不被破壞、不被篡改和不失效，維護其完整性和可用性，并授權專人負責介質的登記、存放、檢驗等維護工作。 　　計算機技術維護和操作都應有相應的文檔，以確保支持的連續性和一致性。正確的操作描述文檔有助于防止對安全的忽視、減少操作的失誤。 　　當數據信息、硬件設備、軟件程序結束運行使用時，視需求分別進行存檔、廢棄和銷毀處理。存檔的信息應充分考慮將來查找和檢索的需要；電子信息的存檔要考慮到數據生成技術的未來可用性；為滿足加密信息的查詢需要，應對加密密鑰采取有效的存放保管措施。重要信息的銷毀應在相關人員的監督下完成。 　　2．9　應急計劃 　　銀行信息系統應急計劃的目標是分析銀行信息系統可能出現的緊急事件或者災難事故，技術支持和業務部門應建立一整套應急措施，以保障銀行關鍵核心業務的連續服務。 　　一旦發生重大的或災難性事故時，計算機安全工作機構應迅速進行災情分析，并上報計算機安全工作委員會，各信息中心或省行計算機安全工作領導小組即成為應急領導小組，負責指揮執行緊急應變計劃，排除災難事故。同時應急領導小組還要組織相關的部門做好對外的解釋、宣傳和公告以及保衛工作，防止事態的擴大。 　　應急計劃要充分考慮到信息系統可能面臨的由于系統設備、軟件、網絡通訊而造成的緊急故障，地震、火災等自然災難事故，以及由計算機病毒、惡性程序代碼和來自行內、外部人員非法侵入產生的安全事件。銀行應建立對安全事件的快速反應機制，并使之成為應急計劃的一部分。 　　根據銀行業務服務的要求以及對事故的恢復能力，銀行應確定應急措施所維持的核心業務及優先級別。 　　應急措施的建立將維持關鍵核心業務服務，銀行應對構成核心業務的全部資源進行分析，明確相關的人員、設備處理能力、基礎服務支持、數據和應用系統、文檔及文件等資源。 　　銀行應急方案的設立應充分考慮可能發生的事故，同時應本著實用、靈活、低成本原則。根據各核心業務的資源，確定應急方案的人員指揮架構及工作流程。應急計劃要明確描述緊急事故發生、核心業務的應急處理、正常業務的恢復等各環節的流程及操作步驟。 　　為確保應急計劃的正確啟用，應確保編寫正確的應急手冊及對人員的培訓。 　　為保證應急計劃的有效，銀行應針對不同業務系統要求，定期進行應急方案的測試演練，并適應當前系統資源的變化，及時調整、完善應急計劃。 　　針對惡性安全事件，銀行信息系統應具備相應的技術措施，提供對安全事件的快速反應機制，并及時中斷安全事件對其他系統的危害，迅速搞清本系統存在的漏洞，有效防范未來事故的再次出現。 　　2．10　信息保密安全 　　信息保密安全的目標是建立信息安全保密管理制度，實施有效安全技術，保護中國銀行的各種密級信息，防止外泄和失密。 　　銀行必須依照國家有關政策法規，不得將涉及國家秘密的信息系統，直接或間接地聯入國際互聯網或其他公共信息網絡，必須采取有效隔離。員工必須遵守國家有關保密規定，不得利用電子函件傳遞、轉發或抄送國家秘密信息和我行的商業信息。 　　銀行的辦公信息網與業務處理網應實行有效隔離措施。 　　對于銀行信息系統的個人訪問密碼、密鑰、信息系統的功能實現技術和資料文檔，加密、鑒別、認證、密鑰產生等關鍵安全技術措施，以及目前系統尚存的風險漏洞等決定信息系統安全性能的重要信息，員工不得向外泄露。員工有責任將銀行信息系統存在的隱患和漏洞通過適當通道向銀行有關部門報告。 　　2．11　安全責任 　　任何人員只能訪問其職責權限范圍內的信息資源，如發現超越職責權限訪問資源的行為，應立即停止其訪問權利，并給予警告。 　　任何人員如有故意編造或發送惡意程序、輸入計算機病毒，影響銀行的正常辦公、業務信息處理秩序的行為，視情節嚴重情況，給予相應的行政處分，構成犯罪的應送交公安部門處理。 　　計算機安全工作委員會對全行計算機安全負領導責任，對制定我行計算機安全的實施策略和原則負直接責任；并保障信息安全所需的人、財、物資源，仲裁有關計算機安全的重大事項。 　　計算機安全專家小組：評估和鑒定我行計算機安全技術體系。 　　計算機安全檢查機構：監督檢查我行技術機構內部安全制度的執行，檢查技術防范的實施，協調解決計算機安全問題。 　　計算機技術保障機構：落實全轄信息安全策略，安全體系資源的配給和調度以及安全建設的規劃組織、技術協調。對所建設的金融信息系統，負有安全設計、安全建造、安全穩定運行、安全變更維護，以及安全防范的責任，并在技術范疇內保守客戶秘密。 　　計算機綜合應用機構：對安全合規地使用信息系統，審慎地進行電腦操作和業務管理負責，并為客戶保守一切秘密。 　　各級人力資源部門：對違反安全策略和安全操作并造成重大影響的人和事，按國家和總行的相關規定嚴肅處理；各分行人力資源部門應遵照總行安全策略落實獎懲措施。