證券期貨業(yè)信息安全保障管理辦法

1、證券期貨業(yè)信息安全保障管理辦法第一章總則第一條為了保障證券期貨信息系統(tǒng)安全運行，加強證券期貨業(yè)信息安全管理工作，促進證 券期貨市場穩(wěn)定健康發(fā)展，保護投資者合法權益，根據證券法、證券投資基金法、期貨交易管理條例及信息安全保障相關的法律、行政法規(guī)，制定本辦法。第二條證券期貨業(yè)信息安全保障、管理、監(jiān)督等工作適用本辦法。第三條證券期貨業(yè)信息安全保障工作實行“誰運行、誰負責，誰使用、誰負責”、安全優(yōu) 先、保障發(fā)展的原則。第四條證券期貨業(yè)信息安全保障的責任主體應當執(zhí)行國家信息安全相關法律、行政法規(guī)和 行業(yè)相關技術管理規(guī)定、技術規(guī)則、技術指引和技術標準，開展信息安全工作，保 護投資者交易安全和數據安全，并對

2、本機構信息系統(tǒng)安全運行承擔責任。前款所稱責任主體，包括承擔證券期貨市場公共職能的機構、承擔證券期貨行業(yè)信 息技術公共基礎設施運營的機構等證券期貨市場核心機構及其下屬機構（以下簡稱 核心機構），證券公司、期貨公司、基金管理公司、證券期貨服務機構等證券期貨 經營機構（以下簡稱經營機構）。第五條開展證券客戶交易結算資金第三方存管業(yè)務，銀證、銀期、銀基轉賬和結算業(yè)務， 基金托管和銷售業(yè)務的機構應當按照有關規(guī)定保障相關業(yè)務系統(tǒng)的安全運行。第六條為證券期貨業(yè)提供軟硬件產品或者技術服務的供應商（以下簡稱供應商），應當保證所提供的軟硬件產品或者技術服務符合國家及證券期貨業(yè)信息安全相關的技術管 理規(guī)定、技術規(guī)則

3、、技術指引和技術標準。第七條中國證監(jiān)會支持、協助國家信息安全管理部門組織實施信息安全相關法律、行政法 規(guī)，依法對證券期貨業(yè)信息安全保障工作實施監(jiān)督管理。中國證監(jiān)會派出機構按照授權履行監(jiān)督管理職責。第八條中國證監(jiān)會及其派出機構與國家信息安全管理部門、相關行業(yè)管理部門建立信息安 全協調機制，與國家有關專業(yè)安全機構和標準化組織建立信息安全合作機制。第九條證券、期貨、證券投資基金等行業(yè)協會（以下簡稱證券期貨行業(yè)協會）依照本辦法 的規(guī)定，對會員的信息安全工作實行自律管理。第十條核心機構依照本辦法的規(guī)定，對市場相關主體關聯信息系統(tǒng)的安全保障工作進行督 促、指導。第二章基本要求第十一條核心機構和經營機構應當

4、具有合格的基礎設施。機房、電力、空調、消防、通信等 基礎設施的建設符合行業(yè)信息安全管理的有關規(guī)定。第十二條核心機構和經營機構應當設置合理的網絡結構，戈扮安全區(qū)域，各安全區(qū)域之間應當進行有效隔離，并具有防范、監(jiān)控和阻斷來自內外部網絡攻擊破壞的能力 第十三條核心機構和經營機構應當建立符合業(yè)務要求的信息系統(tǒng)。信息系統(tǒng)應當具有合理的 架構，足夠的性能、容量、可靠性、擴展性和安全性，能夠支持業(yè)務的運行和發(fā)展。第十四條核心機構應當對交易、行情、開戶、結算、風控、通信等重要信息系統(tǒng)具有自主開 發(fā)能力，擁有執(zhí)行程序和源代碼并安全可靠存放，在重要信息系統(tǒng)上線前對執(zhí)行程 序和源代碼進行嚴格的審查和測試。第十五條核

5、心機構和經營機構應當具有防范木馬、病毒等惡意代碼的能力，防止惡意代碼對 信息系統(tǒng)造成破壞，防止信息泄露或者被篡改。第十六條核心機構和經營機構應當建立完善的信息技術治理架構，明確信息技術決策、管理、 執(zhí)行和內部監(jiān)督的權責機制。第十七條核心機構和經營機構應當建立完善的信息技術管理制度和操作規(guī)程，并嚴格執(zhí)行。第十八條核心機構應當制定本機構與市場相關主體信息系統(tǒng)安全互聯的技術規(guī)則，并報中國 證監(jiān)會備案。核心機構依法督促市場相關主體執(zhí)行技術規(guī)則。第十九條核心機構應當提供多種互為備份的遠程接入方式，保證市場相關主體安全接入，并對市場相關主體的遠程接入進行監(jiān)控與管理 第三章持續(xù)保障要求第二十條核心機構和經營

6、機構應當保障充足、穩(wěn)定的信息技術經費投入，配備足夠的信息技 術人員。第二十一條核心機構和經營機構應當根據行業(yè)規(guī)劃和本機構發(fā)展戰(zhàn)略，制定信息化與信息安全 發(fā)展規(guī)劃，滿足業(yè)務發(fā)展和信息安全管理的需要。第二十二條核心機構和經營機構開展信息系統(tǒng)新建、升級、變更、換代等建設項目，應當進行 充分論證和測試。第二十三條核心機構交易、行情、開戶、結算、通信等重要信息系統(tǒng)上線或者進行重大升級變 更時，應當組織市場相關主體進行聯網測試，并按規(guī)定進行報告。第二十四條核心機構和經營機構應當規(guī)范開展信息技術基礎設施和重要信息系統(tǒng)的運行維護， 保障系統(tǒng)安全穩(wěn)定運行。第二十五條核心機構應當指導市場相關主體正確運行維護與本機

7、構互聯的系統(tǒng)和通信設施。第二十六條核心機構和經營機構應當建立數據備份設施，并按照規(guī)定在同城和異地保存?zhèn)浞輸?據。第二十七條 核心機構和經營機構應當建立重要信息系統(tǒng)的故障備份設施和災難備份設施，保證 業(yè)務活動連續(xù)。第二十八條核心機構和經營機構應當按照規(guī)定向中國證監(jiān)會指定的證券期貨業(yè)數據中心報送數 據。報送的數據必須真實、完整、準確、及時。證券期貨業(yè)數據中心應當按照中國證監(jiān)會的有關規(guī)定開展行業(yè)數據的集中保存工作, 確保數據的安全、完整、可靠。第二十九條核心機構負責建設和運營行業(yè)信息技術公共基礎設施。第三十條核心機構和經營機構應當加強信息安全保密管理，保障投資者信息安全。第三十一條核心機構和經營機構

8、應當建立網絡與信息安全風險檢測、監(jiān)測、評估和預警機制， 發(fā)現風險隱患應當及時處置，并按照規(guī)定進行報告。第三十二條核心機構和經營機構應當建立信息安全應急處置機制，及時處置突發(fā)信息安全事件, 盡快恢復信息系統(tǒng)的正常運行，并按照規(guī)定進行報告，不得遲報、漏報、瞞報。核心機構和經營機構應當對信息安全事件進行內部調查、責任追究和采取整改措施, 并配合中國證監(jiān)會及其派出機構對事件進行調查處理。與核心機構和經營機構發(fā)生信息安全事件相關的軟硬件產品或者技術服務供應商， 應當配合相關調查工作。第三十三條15核心機構應當每年組織市場相關主體進行一次信息安全應急演練，并于實施前個工作日向中國證監(jiān)會報告。第三十四條核心

9、機構和經營機構應當對信息技術人員進行培訓，確保其具有履行崗位職責的能 力。第三十五條核心機構和經營機構應當建立信息安全內部審計制度，定期開展內部審計，對發(fā)現 的問題進行整改。第四章 產品及服務采購要求第三十六條核心機構和經營機構應當建立供應商管理制度，定期對供應商的資質、專業(yè)經驗、 產品和服務的質量進行了解和評估。第三十七條核心機構和經營機構在采購軟硬件產品或者技術服務時，應當與供應商簽訂合同和 保密協議，并在合同和保密協議中明確約定信息安全和保密的權利和義務。涉及證券期貨交易、行情、開戶、結算等軟件產品或者技術服務的采購合同，應當 約定供應商須接受中國證監(jiān)會及其派出機構的信息安全延伸檢查。第

10、三十八條核心機構和經營機構采購的軟硬件產品或者技術服務應當滿足審慎經營和風險管理 的要求。軟硬件產品或者技術服務不符合要求，影響核心機構和經營機構持續(xù)經營 的，中國證監(jiān)會有權要求核心機構和經營機構予以改進或者更換。第五章行業(yè)自律第三十九條證券期貨行業(yè)協會應當制定信息技術指引，督促、引導會員執(zhí)行國家和行業(yè)信息安 全相關規(guī)定和技術標準。第四十條證券期貨行業(yè)協會應當引導行業(yè)加強信息技術人才隊伍建設，定期組織信息技術培 訓和交流，提高信息技術人員執(zhí)業(yè)素質。第四十一條證券期貨行業(yè)協會應當引導鼓勵行業(yè)信息技術研究與創(chuàng)新，增強自主可控能力，組 織開展科技獎勵，促進行業(yè)科技進步。第四十二條證券期貨行業(yè)協會應當

11、引導供應商規(guī)范參與行業(yè)信息化與信息安全工作，促進市場 公平競爭，促進供應商與市場相關主體共同發(fā)展。第六章監(jiān)督管理第四十三條中國證監(jiān)會建立統(tǒng)一組織、分級負責的信息安全監(jiān)督管理體制。中國證監(jiān)會信息安全管理部門負責證券期貨業(yè)信息安全工作的組織、協調和指導； 相關業(yè)務監(jiān)管部門依照職責范圍對核心機構和經營機構的信息安全進行監(jiān)督、檢查; 派出機構根據授權對轄區(qū)內經營機構的信息安全進行監(jiān)督、檢查。第四十四條中國證監(jiān)會依法組織制定證券期貨業(yè)信息安全管理規(guī)定和技術標準。第四十五條 中國證監(jiān)會及其派出機構依照職責范圍，對核心機構和經營機構進行信息安全檢查 或者委托國家、行業(yè)有關專業(yè)安全機構進行安全檢查。核心機構和

12、經營機構應當配 合檢查。核心機構和經營機構的信息安全管理不能達到規(guī)定要求的，中國證監(jiān)會及其派出機 構責令其限期改正，改正前可以暫?；蛘呦拗破洳糠只蛘呷孔C券期貨經營業(yè)務活 動。第四十六條中國證監(jiān)會及其派出機構可以要求核心機構和經營機構提供信息安全相關資料。核心機構和經營機構應當及時、準確、完整地提供相關資料。第四十七條中國證監(jiān)會組織制定證券期貨業(yè)信息安全應急預案，督促、指導行業(yè)開展信息安全 應急工作。第四十八條中國證監(jiān)會有權對核心機構、經營機構的信息安全事件進行調查處理。對于損害投資者合法權益或者影響證券期貨市場安全穩(wěn)定運行的信息安全事件，中 國證監(jiān)會依法對相關單位采取監(jiān)督管理措施或者行政處罰。第四十九條中國證監(jiān)會對發(fā)現的系統(tǒng)漏洞、安全隱患、產品缺陷