信息安全懲戒管理規(guī)定

1、信息科技部信息安全懲戒管理規(guī)定A版2011年6月1日發(fā)布2011年6月1日實(shí)施5.1計(jì)算機(jī)信息系統(tǒng)的安保33.33目錄1目的2圍3相關(guān)文件4職責(zé)5程序5.2計(jì)算機(jī)應(yīng)用與管理違規(guī)行為處罰規(guī)定 45.3計(jì)算機(jī)信息類違規(guī)處罰 65.4獎(jiǎng)懲記錄.6.5.5證據(jù)的收集67.5.6證據(jù)的保存及提供6記錄文件修訂歷史記錄版本日期修訂者修訂描述1.01目的為對(duì)違反信息安全方針、體系文件要求、法律法規(guī)、合同要求的員工實(shí)施公 正有效的獎(jiǎng)懲，并作為對(duì)可能在其它情況下有意輕視信息安全程序的員工的威 懾，強(qiáng)化全體員工的信息安全意識(shí)，有效防止信息安全事故的發(fā)生，特制定本規(guī) 定。2圍本程序適用于銀行信息科技部對(duì)違反信息安全

2、方針、體系文件要求、法律 法規(guī)、合同要求的員工的獎(jiǎng)懲及對(duì)信息安全做出貢獻(xiàn)員工的獎(jiǎng)勵(lì)。3相關(guān)文件4職責(zé)4.1各副總經(jīng)理負(fù)責(zé)自己區(qū)域的獎(jiǎng)懲。4.2管理者代表負(fù)責(zé)對(duì)IT方面信息安全事故的獎(jiǎng)懲管理。4.3信息安全管理委員會(huì)負(fù)責(zé)決定重大信息安全和事故的處罰4.4綜合管理員負(fù)責(zé)銀行信息科技部部泄密或信息泄漏的調(diào)查5 程序5.1 計(jì)算機(jī)信息系統(tǒng)的安保5.1.1在計(jì)算機(jī)信息系統(tǒng)安全保護(hù)工作中成績(jī)顯著的單位和個(gè)人， 由市行、市行所 轄各單位或公安機(jī)關(guān)給予表彰、獎(jiǎng)勵(lì)。5.1.2 存在計(jì)算機(jī)信息系統(tǒng)安全隱患的市行所轄單位，由市行或公安機(jī)關(guān)發(fā)出整 改通知，限期整改。 因不及時(shí)整改而發(fā)生重大事故和案件的， 由市行對(duì)該單

3、位的 主管負(fù)責(zé)人和直接負(fù)責(zé)人予以行政處分； 構(gòu)成違反治安管理或者違反計(jì)算機(jī)管理 監(jiān)察行為的， 由公安機(jī)關(guān)依法予以處罰； 構(gòu)成犯罪的， 由司法機(jī)關(guān)依法追究刑事 責(zé)任。注：以上條款由銀行信息科技部計(jì)算機(jī)信息系統(tǒng)安全保護(hù)小組負(fù)責(zé)解釋。5.2 計(jì)算機(jī)應(yīng)用與管理違規(guī)行為處罰規(guī)定5.2.1 計(jì)算機(jī)應(yīng)用、維護(hù)及操作人員違反規(guī)定對(duì)賬務(wù)、信息進(jìn)行處理的，給予經(jīng) 濟(jì)處罰或者警告至降級(jí)處分；造成嚴(yán)重后果的，給予撤職至開(kāi)除處分。5.2.2 違反規(guī)定，擅自編制、使用、修改業(yè)務(wù)應(yīng)用程序、調(diào)整系統(tǒng)參數(shù)和業(yè)務(wù)數(shù) 據(jù)的，給予主管人員和其他責(zé)任人員記過(guò)至撤職處分； 造成嚴(yán)重后果的， 給予主 管人員和其他責(zé)任人員留用察看至開(kāi)除處分

4、。5.2.3 利用計(jì)算機(jī)進(jìn)行違規(guī)活動(dòng)或者為違規(guī)活動(dòng)提供條件的，給予主管人員和其 他責(zé)任人員記過(guò)撤職處分；造成嚴(yán)重后果的，給予留用至開(kāi)除處分。5.2.4 違反規(guī)定，有下列危害銀行網(wǎng)絡(luò)安全行為之一的，給予有關(guān)責(zé)任人員經(jīng)濟(jì) 處罰或者警告至記過(guò)處分；造成嚴(yán)重后果的，給予記大過(guò)至開(kāi)除處分：（a）在生產(chǎn)經(jīng)營(yíng)用機(jī)上使用與業(yè)務(wù)無(wú)關(guān)的軟件或者利用通訊手段非法侵入 其他系統(tǒng)和網(wǎng)絡(luò)的 （含從銀行的一個(gè)業(yè)務(wù)系統(tǒng)進(jìn)入另一個(gè)業(yè)務(wù)系統(tǒng)， 從銀行以外 的系統(tǒng)和設(shè)備侵入銀行業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)， 以及從銀行的業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)進(jìn)入銀行以外 的網(wǎng)絡(luò)系統(tǒng)）；（b）未經(jīng)審批，私自使用銀行部網(wǎng)絡(luò)上的計(jì)算機(jī)撥號(hào)上國(guó)際互聯(lián)網(wǎng)的；（c）將非銀行計(jì)算機(jī)設(shè)備

5、接入銀行網(wǎng)絡(luò)系統(tǒng)的；（d）私自卸載或屏蔽計(jì)算機(jī)安全軟件的；（e）私自修改計(jì)算機(jī)操作系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)安全設(shè)置的；(f )未經(jīng)審批，私自在銀行網(wǎng)絡(luò)系統(tǒng)開(kāi)設(shè)游戲、論壇、聊天室等與工作無(wú) 關(guān)的網(wǎng)絡(luò)服務(wù)的；(g)利用系統(tǒng)傳播損害銀行形象的的。5.2.5利用銀行的計(jì)算機(jī)設(shè)備和網(wǎng)絡(luò)系統(tǒng)制造、 傳播計(jì)算機(jī)病毒， 給予主管人員和 其他責(zé)任人員記過(guò)至記大過(guò)處分； 造成嚴(yán)重后果的， 給予主管人員和其他責(zé)任人 員降級(jí)至開(kāi)除處分。5.2.6 計(jì)算機(jī)房值班人員擅自離崗的，給予經(jīng)濟(jì)處罰或者警告處分；造成嚴(yán)重后 果的，給予記過(guò)至開(kāi)除處分。5.2.7 系統(tǒng)管理和操作人員離開(kāi)主機(jī)或者終端時(shí)沒(méi)有按操作規(guī)程退出系統(tǒng)的，給 予經(jīng)濟(jì)處罰或

6、者警告至記過(guò)處分；造成嚴(yán)重后果的，給予記大過(guò)至開(kāi)除處分。5.2.8 違反規(guī)定將屬于銀行的計(jì)算機(jī)軟件、文檔、資料、客戶信息等據(jù)為己有、 復(fù)制或者借給外單位的，給予有關(guān)責(zé)任人員記過(guò)至撤職處分；造成嚴(yán)重后果的， 給予留用察看至開(kāi)除處分。5.2.9 未按規(guī)定進(jìn)行數(shù)據(jù)備份、沒(méi)有妥善保管備份數(shù)據(jù)或備分?jǐn)?shù)據(jù)無(wú)效的，給予 主管人員和其他責(zé)任人員經(jīng)濟(jì)處罰或者警告至記過(guò)處分； 造成嚴(yán)重后果的， 給予 記大過(guò)至開(kāi)除處分。5.2.10 在對(duì)面向客戶的業(yè)務(wù)應(yīng)用系統(tǒng)管理中，從事后臺(tái)維護(hù)的技術(shù)人員，違反規(guī) 定同時(shí)進(jìn)行前臺(tái)技術(shù)維護(hù)的，給予主管人員和其他責(zé)任人員記過(guò)至記大過(guò)處分； 造成嚴(yán)重后果的，給予降級(jí)至開(kāi)除處分。5.2.1

7、1在核心業(yè)務(wù)系統(tǒng)、支付系統(tǒng)、國(guó)際業(yè)務(wù)系統(tǒng)、銀行卡系統(tǒng)、網(wǎng)上銀行系統(tǒng) 及儲(chǔ)蓄事后監(jiān)督系統(tǒng)等面向客戶的業(yè)務(wù)應(yīng)用系統(tǒng)有關(guān)的各項(xiàng)業(yè)務(wù)操作過(guò)程中， 技 術(shù)人員代替業(yè)務(wù)人員操作， 或業(yè)務(wù)員允許技術(shù)人員代替從事業(yè)務(wù)操作， 給予主管 人員和其他責(zé)任人員記過(guò)至開(kāi)除處分。5.2.12 在電子銀行業(yè)務(wù)中，有下列行為之一的，給予主管人員和其他責(zé)任人員警 告至降級(jí)處分；造成嚴(yán)重后果的，給予撤職至開(kāi)除處分：(a)違反規(guī)定，套取客戶用戶名、口令等信息的；( b )違反規(guī)定，復(fù)制、截留客戶電子證書(shū)的；(c)冒用客戶名義，偽造相關(guān)資料，騙取電子證書(shū)的。 5.2.13偽造電子銀行轉(zhuǎn)賬信息的， 給予主管人員和其他責(zé)任人員警告至降級(jí)

8、處分； 造成嚴(yán)重后果的，給予撤職至開(kāi)除處分。5.3 計(jì)算機(jī)信息類違規(guī)處罰5.3.1信息科技部職工違規(guī)操作， 給系統(tǒng)造成一定的影響， 但沒(méi)有影響業(yè)務(wù)正常運(yùn) 行或?qū)I(yè)務(wù)造成輕微危害者， 給當(dāng)事人警告或嚴(yán)重警告、 情節(jié)較重或嚴(yán)重者， 視 情節(jié)輕重給予當(dāng)事人和主管領(lǐng)導(dǎo) 200元以上 1000 元以下罰款。5.3.2信息科技部職工違規(guī)操作導(dǎo)致系統(tǒng)發(fā)生問(wèn)題， 影響業(yè)務(wù)長(zhǎng)時(shí)間正常運(yùn)行， 立 即調(diào)離信息科技部，情節(jié)嚴(yán)重者，按照市行的有關(guān)規(guī)定處罰。5.3.3支行系統(tǒng)員凡是不按要求管理，出現(xiàn)公網(wǎng)和網(wǎng)混網(wǎng)現(xiàn)象，或其它安全問(wèn)題， 一經(jīng)發(fā)現(xiàn)，除全行通報(bào)批評(píng)外， 處以 200元罰款，情節(jié)嚴(yán)重者， 調(diào)離系統(tǒng)員崗位。 5.3

9、.4市行機(jī)關(guān)和支行所有計(jì)算機(jī)使用用戶， 違規(guī)私自修改網(wǎng)絡(luò)地址進(jìn)入不該進(jìn)入 的業(yè)務(wù)網(wǎng)段、或使用網(wǎng)主機(jī)進(jìn)入 internet 網(wǎng)絡(luò)者，若對(duì)系統(tǒng)和業(yè)務(wù)未造成影響， 除全行通報(bào)批評(píng)外， 處以當(dāng)事人和相關(guān)責(zé)任人 200元罰款， 若對(duì)系統(tǒng)或業(yè)務(wù)造成 影響著，視情節(jié)輕重，處以 500以上 10000元以下罰款。5.3.5對(duì)全行所有營(yíng)業(yè)網(wǎng)點(diǎn)每天晚間業(yè)務(wù)結(jié)束后， 未做網(wǎng)點(diǎn)平賬交易， 除全行通報(bào) 批評(píng)外，處以該網(wǎng)點(diǎn) 200元罰款， 該單位第二天必須向信息科技部出具事件說(shuō)明 報(bào)告。5.3.6凡是利用非法手段竊取系統(tǒng)密鑰， 進(jìn)入我行業(yè)務(wù)系統(tǒng)， 盜取客戶資料， 向外 界提供客戶資料并造成客戶損失或進(jìn)入系統(tǒng)作案者，一經(jīng)發(fā)

10、現(xiàn)，立即開(kāi)除行籍， 情節(jié)嚴(yán)重者，送交司法機(jī)關(guān)處置。5.4 獎(jiǎng)懲記錄5.4.1 綜合管理員根據(jù)銀行信息科技部獎(jiǎng)懲管理規(guī)定，對(duì)獎(jiǎng)懲的實(shí)施進(jìn)行記錄并 形成獎(jiǎng)懲記錄單記錄完畢后由綜合管理員進(jìn)行留存。5.5 證據(jù)的收集5.5.1 當(dāng)信息安全事件涉及到訴訟（民事的或刑事的） ，需要進(jìn)一步對(duì)個(gè)人或組織 進(jìn)行起訴時(shí)，應(yīng)收集、保留和呈遞證據(jù)，以使證據(jù)符合相關(guān)訴訟管轄權(quán)。5.5.2 證據(jù)在收集時(shí)不得侵犯?jìng)€(gè)人權(quán)益，應(yīng)在不侵犯?jìng)€(gè)人權(quán)益時(shí)對(duì)證據(jù)進(jìn)行收拾 并且證實(shí)證據(jù)是否可在法庭上使用。5.5.3 應(yīng)保證證據(jù)的質(zhì)量和完備性，防止未被授權(quán)的篡改和泄漏5.5.4 證據(jù)獲得的保證：銀行信息科技部應(yīng)確保收集證據(jù)其信息系統(tǒng)符合任何

11、公 布的標(biāo)準(zhǔn)或?qū)嵱靡?guī)則來(lái)產(chǎn)生被容許的證據(jù)。5.6 證據(jù)的保存及提供5.6.1 提供證據(jù)的份量應(yīng)符合任何適用的要求。對(duì)該證據(jù)的存儲(chǔ)和處理的整個(gè)時(shí) 期，應(yīng)進(jìn)行過(guò)程控制保證證據(jù)的質(zhì)量和完備性。5.6.2 紙面文檔證據(jù)的提供：原物應(yīng)被安全保存且?guī)в邢铝行畔⒌挠涗洠赫l(shuí)發(fā)現(xiàn) 了這個(gè)文檔， 文檔是在哪兒被發(fā)現(xiàn)的， 文檔是什么時(shí)候被發(fā)現(xiàn)的， 誰(shuí)來(lái)證明這個(gè) 發(fā)現(xiàn)；任何調(diào)查應(yīng)確保原物沒(méi)有被篡改；5.6.3 對(duì)計(jì)算機(jī)介質(zhì)上的信息：任何可移動(dòng)介質(zhì)的鏡像或拷貝（依賴于適用的要 求）、硬盤或存中的信息都應(yīng)確保其可用性；拷貝過(guò)程中所有的行為日志都應(yīng)保 存下來(lái)，且應(yīng)有證據(jù)證明該過(guò)程；原始的介質(zhì)和日志（如果這一點(diǎn)不可能的話， 那么至少有一個(gè)鏡像或拷貝）應(yīng)安