【正文】 工作。第十二條信息安全管理人員每年至少參加一次信息安全相關(guān)培訓(xùn)。 第十三條安全工作小組在如下職責(zé)范圍內(nèi)開展信息安全管理工作： （一）組織落實(shí)上級信息安全管理規(guī)定，制定信息安全管理制度，協(xié)調(diào)信息安全領(lǐng)導(dǎo)小組成員工作，監(jiān)督檢查信息安全管理工作。 （二）審核信息化建設(shè)項(xiàng)目中的安全方案，組織實(shí)施信息安全保障項(xiàng)目建設(shè)。 （三）定期監(jiān)督網(wǎng)絡(luò)和信息系統(tǒng)的安全運(yùn)行狀況，檢查運(yùn)行操作、備份、機(jī)房環(huán)境與文檔等安全管理情況，發(fā)現(xiàn)問題，及時通報和預(yù)警，并提出整改 意見。 （四）統(tǒng)計分析和協(xié)調(diào)處臵信息安全事件。 （五）定期組織信息安全宣傳教育活動，開展信息安全檢查、評估與培訓(xùn)工作。 第十四條信息安全領(lǐng)導(dǎo)小組成員在如下職責(zé)范圍內(nèi)開展工作： （一）負(fù)責(zé)本行信息安全管理體系的落實(shí)。 （二）負(fù)責(zé)提出本行信息安全保障需求。 （三）負(fù)責(zé)組織開展本行信息安全檢查工作。第二節(jié)技術(shù)支持人員 第十五條本辦法所稱技術(shù)支持人員，是指參與本行網(wǎng)絡(luò)、信息系統(tǒng)、機(jī)房環(huán)境等建設(shè)、運(yùn)行、維護(hù)的內(nèi)部技術(shù)支持人員和外包服務(wù)人員。 第十六條本行內(nèi)部技術(shù)支持人員在履行網(wǎng)絡(luò)和信息系統(tǒng)建設(shè)和日常運(yùn)行維護(hù)職責(zé)過程中，應(yīng)承擔(dān)如下安全義務(wù)： （一）不得對外泄漏或引用工作中觸及的任何敏感信息。 （二）嚴(yán)格權(quán)限訪問，未經(jīng)業(yè)務(wù)主管部室授權(quán)不得擅自改變系統(tǒng)設(shè)臵或修改系統(tǒng)生成的任何數(shù)據(jù)。 — 4— （三）主動檢查和監(jiān)控生產(chǎn)系統(tǒng)安全運(yùn)行狀況，發(fā)現(xiàn)安全隱患或故障及時報告本部室主管領(lǐng)導(dǎo)，并及時響應(yīng)、處臵。 （四）嚴(yán)格操作管理、測試管理、應(yīng)急管理、配臵管理、變更管理、檔案管理等工作制度，做好數(shù)據(jù)備份工作。 第十 七條外部技術(shù)支持人員應(yīng)嚴(yán)格履行外包服務(wù)合同（協(xié)議）的各項(xiàng)安全承諾，簽署保密協(xié)議。提供技術(shù)服務(wù)期間，嚴(yán)格遵守本行相關(guān)安全規(guī)定與操作規(guī)程。不得拷貝或帶走任何配臵參數(shù)信息或業(yè)務(wù)數(shù)據(jù)，不得對外泄漏或引用任何工作信息。第三節(jié)一般計算機(jī)用戶 第十八條本規(guī)定所稱一般計算機(jī)用戶是指使用計算機(jī)設(shè)備的所有人員。第十九條一般計算機(jī)用戶應(yīng)承擔(dān)如下安全義務(wù)： （一）及時更新所用計算機(jī)的病毒防治軟件和安裝補(bǔ)丁程序，自覺接受本部室信息安全員的指導(dǎo)與管理。 （二）不得安裝與辦公和業(yè)務(wù)處理無關(guān)的其他計算機(jī)軟件和硬件，不得修改系統(tǒng)和網(wǎng)絡(luò)配臵以屏蔽信息安全防護(hù)。 （三）不得在辦公用計算機(jī)上安裝任何盜版或非授權(quán)軟件。 （四）未經(jīng)信息安全管理人員檢測和授權(quán)，不得將內(nèi)部網(wǎng)絡(luò)的計算機(jī)轉(zhuǎn)接入國際互聯(lián)網(wǎng)；不得將個人計算機(jī)接入內(nèi)部網(wǎng)絡(luò)或私自拷貝任何信息。 第四章資產(chǎn)管理 第二十條本行對所有信息資產(chǎn)進(jìn)行識別、評估相對價值及重要性，建立資產(chǎn)清單并說明使用規(guī)則，明確定義信息資產(chǎn)責(zé)任人及其職責(zé)。細(xì)則參見《 XX 銀行信息資產(chǎn)分類分級管理規(guī)定》。 第二十一條按照信息資產(chǎn)的價值、法律要求及敏感程度和對業(yè)務(wù)關(guān)鍵程度 ，分別依據(jù)機(jī)密性、完整性、可用性三個屬性對信息資產(chǎn)進(jìn)行分類分級，并建立相應(yīng)的標(biāo)識和處理制度。第二十二條依照信息資產(chǎn)的分類分級采取不同的安全保護(hù)措施，制定完善的訪問控制策略，防止未經(jīng)授權(quán)的使用。 第二十三條依據(jù)《 XX 銀行介質(zhì)管理規(guī)范》加強(qiáng)介質(zhì)管理與銷毀操作管理，確保本行數(shù)據(jù)的可用性、保密性、完整性。 第五章物理環(huán)境安全管理第一節(jié)機(jī)房安全管理 第二十四條本規(guī)定所稱機(jī)房是指信息系統(tǒng)主要設(shè)備放臵、運(yùn)行的場所以及供配電、通信、空調(diào)、消防、監(jiān)控等配套環(huán)境設(shè)施。 第二十五條本行機(jī)房的信息安 全管理由本行本行信息科技部門負(fù)責(zé)具體實(shí)施和落實(shí)。 第二十六條建立機(jī)房設(shè)施與場地環(huán)境監(jiān)控系統(tǒng)，對機(jī)房空調(diào)、消防、不間斷電源（ UPS）、供配電、門禁系統(tǒng)等重要設(shè)施實(shí)行全面監(jiān)控。第二十七條建立健全機(jī)房管理制度，并指派專人擔(dān)任機(jī)房管理員，落實(shí)機(jī)房安全責(zé)任制。機(jī)房管理員應(yīng)經(jīng)過相關(guān)專業(yè)培訓(xùn)，熟知機(jī)房各類設(shè)備的分布和操作要領(lǐng)，定期巡查機(jī)房，發(fā)現(xiàn)問題及時報告。機(jī)房管理員負(fù)責(zé)保管機(jī)房建設(shè)或改造的所有文檔、圖紙以及機(jī)房運(yùn)行記錄等有關(guān)資料，并隨時提供調(diào)閱。 第二十八條建立機(jī)房定期維修保養(yǎng)制度。易受季節(jié)、溫度等環(huán)境因素影響的設(shè)備、已逾保修期的設(shè)備、近期維修過的設(shè)備等應(yīng)成為保養(yǎng)的重點(diǎn)。 第二十九條依據(jù)《浙江省農(nóng)村合作金融機(jī)構(gòu)機(jī)房管理指引》進(jìn)一步規(guī)范機(jī)房建設(shè)、改造和驗(yàn)收過程，落實(shí)機(jī)房管理。第三十條信息安全領(lǐng)導(dǎo)小組負(fù)責(zé)定期審核機(jī)房安全管理落實(shí)情況，并保留相應(yīng)的審核記錄和審核結(jié)果。第二節(jié)重要區(qū)域安全管理 第三十一條本章節(jié)所指重要區(qū)域?yàn)椋罕拘行畔⒅行闹鱾錂C(jī)房和運(yùn)維監(jiān)控室等區(qū)域。本行信息中心負(fù)責(zé)制定和執(zhí)行運(yùn)維監(jiān)控方面的安全管理制度。 第三十二條重要區(qū)域應(yīng)嚴(yán)格出入安全管理，安裝門禁、視頻監(jiān)視錄像系統(tǒng)，實(shí)行定時錄像監(jiān)控，并適當(dāng)配臵自動監(jiān)控報警功能。 第三十三條所有門禁、視頻監(jiān)視錄像系統(tǒng)的信息資料至少保存三個月。第三節(jié)辦公環(huán)境安全管理 第三十四條在本行大樓入口應(yīng)設(shè)臵門衛(wèi)或接待員，負(fù)責(zé)出入或公共訪問區(qū)域的物理安全管理和外來人員的出入登記。第三十五條本行信息中心樓層設(shè)立門禁，加強(qiáng)人員進(jìn)出管理。 第三十六條本行信息中心員工應(yīng)在公共接待區(qū)接待外來人員，未經(jīng)允許，不得私自將外來人員帶入辦公區(qū)域內(nèi)。第三十七條未經(jīng)允許，嚴(yán)禁 在信息中心辦公區(qū)域內(nèi)進(jìn)行攝影、攝像、錄音等記錄日常辦公行為的活動。第六章網(wǎng)絡(luò)安全管理 第一節(jié)網(wǎng)絡(luò)規(guī)劃、建設(shè)中的安全管理 第三十八條本行網(wǎng)絡(luò)信息科技部負(fù)責(zé)網(wǎng)絡(luò)和網(wǎng)絡(luò)安全的統(tǒng)一規(guī)劃、建設(shè)部署、策略配臵和網(wǎng)絡(luò)資源（網(wǎng)絡(luò)設(shè)備、通訊線路、 IP 地址和域名等）分配。 第三十九條按照統(tǒng)一規(guī)劃和總體部署原則，由信息科技部組織實(shí)施網(wǎng)絡(luò)建設(shè)、改造工程，工程投產(chǎn)前應(yīng)通過安全測試與評估。 第四十條本行網(wǎng)絡(luò)建設(shè)和改造應(yīng)符合如下基本安全要求： （一）網(wǎng)絡(luò)規(guī)劃應(yīng)有完整的安全策略，保障網(wǎng)絡(luò)傳輸與應(yīng)用安 全。 （二）具備必要的網(wǎng)絡(luò)監(jiān)測、跟蹤和審計等管理功能。 （三）針對不同的網(wǎng)絡(luò)安全域，采取必要的安全隔離措施。 （四）能有效防止計算機(jī)病毒對網(wǎng)絡(luò)系統(tǒng)的侵?jǐn)_和破壞。第二節(jié)網(wǎng)絡(luò)運(yùn)行安全管理 第四十一條信息科技部應(yīng)建立健全網(wǎng)絡(luò)安全運(yùn)行方面的制度，配備專職網(wǎng)絡(luò)管理員。網(wǎng)絡(luò)管理員負(fù)責(zé)日常監(jiān)測和檢查網(wǎng)絡(luò)安全運(yùn)行狀況，管理網(wǎng)絡(luò)資源及其配臵信息，建立健全網(wǎng)絡(luò)運(yùn)行維護(hù)檔案，及時發(fā)現(xiàn)和解決網(wǎng)絡(luò)異常情況。 第四十二條網(wǎng)絡(luò)管理員應(yīng)定期參加網(wǎng)絡(luò)安全技術(shù)培訓(xùn)，具備一定的非法入侵、病毒蔓延等網(wǎng)絡(luò)安全 威脅的應(yīng)對技能。 第四十三條嚴(yán)格網(wǎng)絡(luò)接入管理。任何設(shè)備接入網(wǎng)絡(luò)前，接入方案、設(shè)備的安全性等應(yīng)經(jīng)過網(wǎng)絡(luò)管理人員的審核與檢測，審核（檢測）通過后方可接入并分配相應(yīng)的網(wǎng)絡(luò)資源。第四十四條嚴(yán)格網(wǎng)絡(luò)變更管理。網(wǎng)絡(luò)管理員調(diào)整網(wǎng)絡(luò)重要參數(shù)配臵和服務(wù)端口時，應(yīng)嚴(yán)格遵循變更管理流程。實(shí)施有可能影響網(wǎng)絡(luò)正常運(yùn)行的重大網(wǎng)絡(luò)變更，應(yīng)提前通知相關(guān)業(yè)務(wù)部門并安排在非交易時間或交易較少時間進(jìn)行，同時做好配臵參數(shù)的備份和應(yīng)急恢復(fù)準(zhǔn)備。第四十五條嚴(yán)格遠(yuǎn)程訪問控制。確因工作需要進(jìn)行遠(yuǎn)程訪問的人員應(yīng)向信息簡科技部提出書面申請，并采取相應(yīng) 的安全防護(hù)措施。 第四十六條信息安全管理人員負(fù)責(zé)定期對網(wǎng)絡(luò)進(jìn)行安全檢測、掃描和評估。檢測、掃描和評估結(jié)果屬敏感信息，不得向外界提供。未經(jīng)授權(quán)，任何外部單位與人員不得檢測、掃描本行網(wǎng)絡(luò)。 第三節(jié)接入國際互聯(lián)網(wǎng)管理 第四十七條信息科技部負(fù)責(zé)制定本行互聯(lián)網(wǎng)方面管理制度，對互聯(lián)網(wǎng)接入進(jìn)行嚴(yán)格的控制，防范來自互聯(lián)網(wǎng)的威脅。 第四十八條本行內(nèi)部業(yè)務(wù)網(wǎng)、辦公網(wǎng)與國際互聯(lián)網(wǎng)實(shí)行安全隔離。所有接入內(nèi)部網(wǎng)絡(luò)或存儲有敏感工作信息的計算機(jī)，不得直接或間接接入國際互聯(lián)網(wǎng)。 第四十九條內(nèi)部網(wǎng)絡(luò)計 算機(jī)嚴(yán)禁接入國際互聯(lián)網(wǎng)，確有必要接入國際互聯(lián)網(wǎng)的應(yīng)通過信息安全工作小組審核并上報相關(guān)領(lǐng)導(dǎo)審批，確保安裝有指定的防病毒軟件和最新補(bǔ)丁程序。經(jīng)審批后連接國際互聯(lián)網(wǎng)的計算機(jī)，不得存留涉密金融數(shù)據(jù)信息；存有涉密金融數(shù)據(jù)信息的介質(zhì)，不得在接入國際互聯(lián)網(wǎng)的計算機(jī)上使用。 第五十條曾接入國際互聯(lián)網(wǎng)的計算機(jī)嚴(yán)禁接入內(nèi)部網(wǎng)絡(luò)，確有必要接入內(nèi)部網(wǎng)絡(luò)的應(yīng)通過安全工作小組審核并上報相關(guān)領(lǐng)導(dǎo)審批，經(jīng)安全檢測后方能接入。從國際互聯(lián)網(wǎng)下載的任何信息，未經(jīng)病毒檢測不得在內(nèi)部網(wǎng)絡(luò)上使用。 第五十一條使用國際互聯(lián)網(wǎng)的所有用戶應(yīng) 遵守國家有關(guān)法律法規(guī)和本行相關(guān)管理規(guī)定，不得從事任何違法違規(guī)活動。第七章訪問控制 第五十二條本行負(fù)責(zé)建立訪問控制制度，對信息資產(chǎn)和服務(wù)的訪問和權(quán)限分配進(jìn)行控制。 第五十三條信息資產(chǎn)的責(zé)任人負(fù)責(zé)確定信息資產(chǎn)和服務(wù)的訪問權(quán)限，運(yùn)行維護(hù)科根據(jù)授權(quán)進(jìn)行相關(guān)設(shè)定操作。第五十四條信息系統(tǒng)用戶設(shè)臵本人的用戶和密碼，并對其訪問控制權(quán)限負(fù)責(zé)。重要信息系統(tǒng)操作人員的密碼應(yīng)由系統(tǒng)管理員和業(yè)務(wù)部門負(fù)責(zé)人分段設(shè)立。 第五十五條凡是能夠執(zhí)行錄入、復(fù)核制度的信息系統(tǒng)，操作人員不得一人兼錄入、復(fù)核兩職。未經(jīng)主管領(lǐng)導(dǎo) 批準(zhǔn)，不得代崗、兼崗。 第五十六條應(yīng)啟用安全措施限制授權(quán)用戶對操作系統(tǒng)的訪問，包括但不限于： （一）按照已定義的訪問控制策略鑒別授權(quán)用戶； （二）記錄成功和失敗的系統(tǒng)訪問企圖； （三）記錄專用系統(tǒng)特殊權(quán)限的使用情況； （四）當(dāng)違反系統(tǒng)安全策略時發(fā)布警報； （五）提供合適的身份鑒別手段； （六）限制用戶的連接時間。 第五十七條對應(yīng)用系統(tǒng)和信息的邏輯訪問應(yīng)只限于已授權(quán)的用戶。對應(yīng)用系統(tǒng)的訪問控制措施包括但不限于： （一）按照定義的訪問控制策略，控制用戶訪問信息和應(yīng)用系統(tǒng)的特定功能； （二）防止能夠繞過系統(tǒng)控制或應(yīng)用控制的任何實(shí)用程序、系統(tǒng)軟件和惡意軟件對系統(tǒng)進(jìn)行未授權(quán)訪問； （三）為重要的敏感系統(tǒng)設(shè)立隔離的運(yùn)行環(huán)境。 第五十八條訪問控制實(shí)施細(xì)則詳見《 XX 銀行信息系統(tǒng)訪問控制管理規(guī)定》。 第八章信息系統(tǒng)安全管理 第五十九條本規(guī)定所指的信息系統(tǒng)是本行業(yè)務(wù)處理系統(tǒng)、管理信息系統(tǒng)和日常辦公自動化系統(tǒng)等，包括數(shù)據(jù)庫、軟件和硬件支撐環(huán)境等。 第六十條信息系統(tǒng)安全管理實(shí)施細(xì)則 詳見《 XX 銀行計算機(jī)信息系統(tǒng)安全管理規(guī)定》。第一節(jié)信息系統(tǒng)規(guī)劃與立項(xiàng) 第六十一條信息系統(tǒng)建設(shè)項(xiàng)目應(yīng)在規(guī)劃與立項(xiàng)階段同步考慮安全問題，建設(shè)方案應(yīng)滿足信息安全管理的相關(guān)要求。項(xiàng)目技術(shù)方案應(yīng)包括以下基本安全內(nèi)容： （一）業(yè)務(wù)需求部室提出的安全需求。 （二）安全需求分析和實(shí)現(xiàn)。 （三）運(yùn)行平臺的安全策略與設(shè)計。 第六十二條信息安全領(lǐng)導(dǎo)小組負(fù)責(zé)派遣相關(guān)部室安全員對項(xiàng)目技術(shù)方案進(jìn)行安全專項(xiàng)審查并提出審查意見，未通過安全審核的項(xiàng)目不得予以立項(xiàng)。第二節(jié)信息系統(tǒng)開發(fā)與集成 第六十三條信息系統(tǒng)開發(fā)應(yīng)符合軟件工程規(guī)范，依據(jù)安全需求進(jìn)行安全設(shè)計，保證安全功能的完整實(shí)現(xiàn)。 第六十四條信息系統(tǒng)開發(fā)單位應(yīng)在完成開發(fā)任務(wù)后將程序源代碼及相關(guān)技術(shù)資料全部移交本行。外部開發(fā)單位還應(yīng)與本行簽署相關(guān)知識產(chǎn)權(quán)保護(hù)協(xié)議和保密協(xié)議，不得將信息系統(tǒng)采用的關(guān)鍵安全技術(shù)措施和核心安全功能設(shè)計對外公開。 第六十五條信息系統(tǒng)的開發(fā)人員不能兼任信息系統(tǒng)管理員或業(yè)務(wù)系統(tǒng)操作人員，不得在程序代碼中植入后門和惡意代碼程序。 第六十六條信息系統(tǒng)開發(fā)、測試、修改工作不得在生產(chǎn)環(huán)境中進(jìn)行。 第六十七條涉密信息系統(tǒng)集成應(yīng)選擇具有國家相關(guān)部門頒發(fā)的涉密系統(tǒng)集成資質(zhì)證書的單位或企業(yè)，并簽訂嚴(yán)格的保密協(xié)議。 第六十八條系統(tǒng)上線前應(yīng)開展代碼審計過程檢查源代碼中的缺點(diǎn)和錯誤信息，避免引發(fā)安全漏洞。 第三節(jié)信息系統(tǒng)運(yùn)行 第六十九條信息系統(tǒng)上線運(yùn)行實(shí)行安全審查機(jī)制，未通過安全審查的任何新建或改造信息系統(tǒng)不得投產(chǎn)運(yùn)行。具體要求如下： （一）項(xiàng)目承建單位（部室）應(yīng)組織制定安全測試方案，進(jìn)行系統(tǒng)上線前的自測試并形成測試報告，報信息科技部審查。 （二）信息系統(tǒng)歸口責(zé)任業(yè)務(wù)部 室應(yīng)在信息系統(tǒng)投產(chǎn)運(yùn)行前同步制定相關(guān)安全操作規(guī)定，報信息科技部門。 （三）信息科技部應(yīng)提出明確的測試方案和測試報告審查意見。必要時，可組織專家評審或?qū)嵤┬畔⑾到y(tǒng)漏洞掃描檢測。 第七十條信息系統(tǒng)投入使用前信息中心應(yīng)當(dāng)建立相應(yīng)的操作規(guī)程和安全管理制度，以防止各類安全事故的發(fā)生。 第七十一條系統(tǒng)管理員負(fù)責(zé)信息系統(tǒng)的日常運(yùn)行管理，并建立重要信息系統(tǒng)運(yùn)行維護(hù)檔案，詳細(xì)記錄系統(tǒng)變更及操作過程。重要業(yè)務(wù)系統(tǒng)的系統(tǒng)操作要求雙人在場。 第七十二條系統(tǒng)管理員不得兼任業(yè)務(wù)操作人員。系統(tǒng)管理員確需對業(yè)務(wù)系統(tǒng)進(jìn)行維護(hù)性操作的，應(yīng)征得業(yè)務(wù)系統(tǒng)歸口責(zé)任業(yè)務(wù)處室同意并在業(yè)務(wù)操作人員在場的情況下進(jìn)行，并詳細(xì)記錄維護(hù)內(nèi)容、人員、時間等信息。 第七十三條嚴(yán)格用戶和密碼（口令）的管理，嚴(yán)格控制各級用戶對數(shù)據(jù)的訪問權(quán)限。 第七十四條在信息系統(tǒng)運(yùn)行維護(hù)過程中，系統(tǒng)管理人員應(yīng)遵守但不限于以下要求： （一）合理配臵操作系統(tǒng)、數(shù)據(jù)庫管