證券股份有限公司網(wǎng)絡(luò)和系統(tǒng)安全管理規(guī)范模版

1、證券股份有限公司網(wǎng)絡(luò)和系統(tǒng)安全管理規(guī)范總則【目的】本規(guī)范旨在為證券網(wǎng)絡(luò)安全管理、系統(tǒng)安全管理提供指導(dǎo)原則，各部門可根據(jù)本規(guī)定制定網(wǎng)絡(luò)和系統(tǒng)安全管理工作的實施細(xì)則?！痉秶勘疽?guī)范適用于證券各部門范圍內(nèi)網(wǎng)絡(luò)和系統(tǒng)建設(shè)、使用、運維等各個階段的安全管控。職責(zé)與權(quán)限信息技術(shù)部：負(fù)責(zé)制定、修訂本規(guī)范，并負(fù)責(zé)在公司范圍內(nèi)監(jiān)督管理本規(guī)定的實施情況。網(wǎng)絡(luò)管理人員：負(fù)責(zé)根據(jù)本規(guī)范制定網(wǎng)絡(luò)安全管理實施細(xì)則和規(guī)范。負(fù)責(zé)網(wǎng)絡(luò)系統(tǒng)的建設(shè)、日常運行管理、維護(hù)等工作。系統(tǒng)管理人員：負(fù)責(zé)根據(jù)本規(guī)范制定系統(tǒng)安全管理實施細(xì)則和規(guī)范。負(fù)責(zé)各平臺系統(tǒng)、操作系統(tǒng)、數(shù)據(jù)庫、中間件日常安全管理工作。應(yīng)用管理人員：配合網(wǎng)絡(luò)管理人員設(shè)計相應(yīng)訪問

2、控制規(guī)則。與系統(tǒng)管理人員共同設(shè)計系統(tǒng)部署架構(gòu)。安全規(guī)范網(wǎng)絡(luò)安全要求【網(wǎng)絡(luò)架構(gòu)安全】關(guān)鍵網(wǎng)絡(luò)區(qū)域的核心設(shè)備應(yīng)具備合適的處理性能及相應(yīng)的冗余能力，保證關(guān)鍵網(wǎng)絡(luò)的可用性。關(guān)鍵網(wǎng)絡(luò)鏈路應(yīng)具備合適的帶寬及相應(yīng)的冗余能力，以保證關(guān)鍵網(wǎng)絡(luò)的可用性。重要網(wǎng)絡(luò)區(qū)域必須通過部署相應(yīng)的安全設(shè)備或?qū)嵤┫嚓P(guān)技術(shù)手段而具備相應(yīng)的安全監(jiān)控、隔離和操作行為審計功能。【網(wǎng)絡(luò)區(qū)域劃分與隔離】網(wǎng)絡(luò)應(yīng)按照安全級別和功能進(jìn)行區(qū)域劃分，不同區(qū)域根據(jù)其安全級別采用合適的安全防護(hù)措施。不同的安全區(qū)域間應(yīng)實施相應(yīng)的隔離措施。開發(fā)、測試網(wǎng)絡(luò)必須與生產(chǎn)網(wǎng)絡(luò)隔離。邏輯隔離的網(wǎng)絡(luò)區(qū)域間實施缺省拒絕的訪問控制策略，應(yīng)按最小授權(quán)原則合理設(shè)置訪問控制規(guī)則。

3、【遠(yuǎn)程接入和第三方網(wǎng)絡(luò)接入】互聯(lián)網(wǎng)安全威脅極多，各部門內(nèi)部網(wǎng)與互聯(lián)網(wǎng)連接必須采取隔離保護(hù)措施，原則上只允許從內(nèi)向外的指定網(wǎng)絡(luò)訪問。未經(jīng)批準(zhǔn)，嚴(yán)禁生產(chǎn)網(wǎng)絡(luò)與互聯(lián)網(wǎng)直接連接。對于確需的連接，必須實施足夠的安全隔離保護(hù)措施，并將方案上報信息技術(shù)部審批后才能實施。應(yīng)對員工移動辦公接入內(nèi)部網(wǎng)絡(luò)實施統(tǒng)一管理，并根據(jù)按需審批的原則確保只有合適的人員被授予遠(yuǎn)程接入的權(quán)限。因為業(yè)務(wù)需要生產(chǎn)網(wǎng)絡(luò)或內(nèi)部網(wǎng)絡(luò)需要與第三方網(wǎng)絡(luò)進(jìn)行連接，必須采取技術(shù)隔離措施比如防火墻等以進(jìn)行充分的安全防護(hù)。未經(jīng)授權(quán)第三方設(shè)備不得聯(lián)入公司內(nèi)部網(wǎng)絡(luò)或生產(chǎn)網(wǎng)。如確有接入需求，應(yīng)向相關(guān)負(fù)責(zé)人進(jìn)行申請，經(jīng)審批通過后方可聯(lián)入公司建設(shè)的第三方人員專用

4、網(wǎng)絡(luò)，該專用網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)之間必須實施技術(shù)隔離措施?！緹o線網(wǎng)絡(luò)接入】禁止所有未授權(quán)的無線網(wǎng)絡(luò)接入點（AP）聯(lián)入公司內(nèi)部網(wǎng)絡(luò)或生產(chǎn)網(wǎng)絡(luò)。生產(chǎn)網(wǎng)禁止任何形式的無線網(wǎng)絡(luò)接入點聯(lián)入。需要聯(lián)入公司內(nèi)部網(wǎng)的無線接入點（AP）必須遵守相應(yīng)的安全配置規(guī)范，并經(jīng)過相關(guān)負(fù)責(zé)人授權(quán)審批后方可接入?！揪W(wǎng)絡(luò)行為管理】未經(jīng)授權(quán)嚴(yán)禁進(jìn)行網(wǎng)絡(luò)掃描、探測或嗅探等行為，如確有需求，應(yīng)向相關(guān)負(fù)責(zé)人員申請，經(jīng)審批后方可實施?！驹O(shè)備安全配置】應(yīng)根據(jù)以下基本要求與相關(guān)規(guī)定建立相應(yīng)的網(wǎng)絡(luò)設(shè)備安全配置規(guī)范。必須建立良好的訪問控制機制，確保網(wǎng)絡(luò)設(shè)備不會被非授權(quán)訪問。各類網(wǎng)絡(luò)設(shè)備的口令設(shè)置應(yīng)遵循用戶賬號及密碼管理相關(guān)規(guī)定。安全設(shè)備應(yīng)開啟必要的網(wǎng)

5、絡(luò)審計功能，能夠?qū)ο鄳?yīng)的安全事件進(jìn)行追蹤和審計。應(yīng)通過合理、安全的設(shè)備配置降低網(wǎng)絡(luò)攻擊和其它網(wǎng)絡(luò)安全事件發(fā)生的風(fēng)險。定期對網(wǎng)絡(luò)設(shè)備配置進(jìn)行備份，設(shè)備配置更改前后也應(yīng)及時做備份。【網(wǎng)絡(luò)容量管理】網(wǎng)絡(luò)必須實施相應(yīng)的容量管理和監(jiān)控措施，確保網(wǎng)絡(luò)性能、容量符合證券業(yè)務(wù)發(fā)展的需要。關(guān)于性能監(jiān)控和容量管理的詳細(xì)規(guī)定參見系統(tǒng)容量管理制度。網(wǎng)絡(luò)安全管理【網(wǎng)絡(luò)建設(shè)安全審核】在網(wǎng)絡(luò)建設(shè)的設(shè)計和驗收階段，需要依據(jù)上述網(wǎng)絡(luò)安全要求和相關(guān)規(guī)范進(jìn)行安全審核，公司性重大網(wǎng)絡(luò)建設(shè)項目需要信息技術(shù)部組織相關(guān)技術(shù)骨干共同進(jìn)行安全審核，確保網(wǎng)絡(luò)建設(shè)的規(guī)范性和安全性。小規(guī)模的第三方接入、鏈路架設(shè)等網(wǎng)絡(luò)改造、建設(shè)項目，需要確保網(wǎng)絡(luò)設(shè)計

6、和實施符合上述網(wǎng)絡(luò)安全要求和相關(guān)規(guī)范，并符合審批流程。【網(wǎng)絡(luò)設(shè)備安全漏洞管理】信息技術(shù)部應(yīng)建立網(wǎng)絡(luò)設(shè)備安全漏洞管理的機制，及時跟蹤和修補網(wǎng)絡(luò)設(shè)備中的安全漏洞?！狙矙z】 信息技術(shù)部應(yīng)安排對網(wǎng)絡(luò)進(jìn)行定期巡檢，對巡檢結(jié)果及時采取處理措施。【網(wǎng)絡(luò)應(yīng)急預(yù)案】根據(jù)業(yè)務(wù)連續(xù)性管理規(guī)定的要求建立相應(yīng)的網(wǎng)絡(luò)應(yīng)急預(yù)案并進(jìn)行演練和維護(hù)，詳細(xì)規(guī)定參見業(yè)務(wù)連續(xù)性管理規(guī)定。系統(tǒng)安全要求【系統(tǒng)訪問控制的一般原則】隔離運行：對于不同重要等級、不同用途的網(wǎng)絡(luò)、信息系統(tǒng)，應(yīng)采取特定的隔離措施，確保各類系統(tǒng)獨立運行。最小權(quán)限：用戶應(yīng)只具有工作崗位所需的最小訪問權(quán)限。按需審批：權(quán)限審批時應(yīng)根據(jù)用戶實際需要授權(quán)，避免權(quán)限過大。職責(zé)分離

7、：一個用戶不能同時承擔(dān)多個存在權(quán)利沖突的角色，訪問的請求方、授權(quán)方、管理方也應(yīng)實現(xiàn)職責(zé)分離。默認(rèn)拒絕：未經(jīng)明確授權(quán)，一律視為禁止?！居脩魴?quán)限管理原則】本規(guī)定規(guī)范的用戶包含網(wǎng)絡(luò)設(shè)備用戶、主機、數(shù)據(jù)庫、各應(yīng)用系統(tǒng)及監(jiān)控管理等用戶。用戶身份唯一性：每個用戶賬號的設(shè)置，均應(yīng)對應(yīng)到唯一的使用人，而非一個部門或一個小組，用戶賬號的使用者應(yīng)對使用該賬號所產(chǎn)生的后果承擔(dān)相應(yīng)責(zé)任。如果因為某種特定需求而不能實現(xiàn)用戶身份唯一性時，必須有相應(yīng)的補償控制措施確保用戶行為的可追溯性和不可抵賴性。用戶按類賦權(quán)：用戶賬號應(yīng)盡量使用組、角色等組合方式進(jìn)行權(quán)限管理，以方便授權(quán)管理和統(tǒng)計。一般可首先根據(jù)帳戶功能等分為不同的用戶組

8、，然后所有的授權(quán)和取消動作都針對該用戶組而不是單個用戶，需要創(chuàng)建用戶或更改用戶權(quán)限時，只要設(shè)置該用戶所屬的用戶組，相應(yīng)的用戶授權(quán)就自動完成?！居脩魴?quán)限管理要求】應(yīng)建立各信息系統(tǒng)用戶管理實施細(xì)則，明確相應(yīng)各種用戶帳戶的審批權(quán)限和流程，同時對用戶權(quán)限的申請、審批、開通、變更和權(quán)限刪除等環(huán)節(jié)的相關(guān)操作進(jìn)行明確規(guī)定。用戶權(quán)限應(yīng)根據(jù)用戶需求與最小權(quán)限原則進(jìn)行授權(quán)和審批。員工離崗或崗位變動（包括職務(wù)提升、降級、轉(zhuǎn)崗）后，應(yīng)根據(jù)員工的崗位調(diào)整情況對員工的用戶權(quán)限進(jìn)行調(diào)整。員工離職時，應(yīng)對員工使用的用戶賬號進(jìn)行禁用或刪除（一般可先禁用，一段時間比如半年后再刪除）。用戶權(quán)限申請及變更過程應(yīng)有書面申請、變更及審批

9、記錄。應(yīng)對重要系統(tǒng)建立用戶帳戶一覽表，對用戶帳戶和權(quán)限進(jìn)行統(tǒng)一管理，該表內(nèi)容應(yīng)包括用戶賬號、使用人姓名、所屬部門、所屬用戶組（權(quán)限類別）、權(quán)限等相關(guān)信息。該權(quán)限一覽表必須包括系統(tǒng)、數(shù)據(jù)庫層的所有用戶和應(yīng)用層的超級用戶，對于應(yīng)用程序中的普通用戶，目前暫不做具體要求。該用戶帳戶一覽表中信息應(yīng)及時根據(jù)用戶帳戶調(diào)整情況進(jìn)行更新，并定期（半年）進(jìn)行審核，由信息系統(tǒng)負(fù)責(zé)部門確認(rèn)用戶帳戶的完整性和真實性?！居脩糍~號密碼分類】用戶賬號密碼分為重要密碼和一般密碼。重要密碼為各類系統(tǒng)級、數(shù)據(jù)庫級、應(yīng)用系統(tǒng)超級用戶密碼等；一般密碼為各類應(yīng)用系統(tǒng)個人用戶密碼、個人辦公電腦系統(tǒng)密碼等?！居脩糍~號密碼策略】所有密碼的長度

10、應(yīng)不少于十二個字符。所有密碼必須為強密碼，重要密碼必須為數(shù)字、字母大寫、小寫和特殊字符中至少三種的組合，一般密碼為數(shù)字、字母大寫、小寫和特殊字符中至少兩種的組合，所有密碼都不能為連續(xù)或重復(fù)的字母與數(shù)字。密碼應(yīng)定期或不定期進(jìn)行更換，密碼更換周期不得超過三個月。 重要密碼的設(shè)置應(yīng)保證至少最近三次不重復(fù)。重要密碼必須分段管理。計算機信息系統(tǒng)投產(chǎn)前，必須更改系統(tǒng)的各類初始、缺省密碼?！久艽a的保存和使用】重要密碼保存：生產(chǎn)系統(tǒng)根用戶、數(shù)據(jù)庫超級用戶、重要應(yīng)用系統(tǒng)系統(tǒng)用戶的密碼必須雙人分段管理，并且分別保存在密碼信封中以備應(yīng)急。密碼信封應(yīng)由專人妥善保存。重要密碼任何時候都不應(yīng)以明碼形式存在于應(yīng)用程序、執(zhí)行

11、腳本、技術(shù)文檔或相關(guān)記錄中。重要密碼使用：重要密碼應(yīng)獨享使用，不得共享。對密碼的使用、更改必須進(jìn)行詳細(xì)登記記錄，記錄中應(yīng)包含密碼使用的申請、審批、使用情況等信息。重要密碼應(yīng)安排專人負(fù)責(zé)設(shè)置、管理和更新。一般密碼的保存：員工應(yīng)妥善保管自己所使用的密碼，不應(yīng)將密碼透露給其他人員。一般密碼的使用：員工使用密碼時，應(yīng)避免密碼被他人偷窺，禁止使用“自動保存密碼功能”或使用自動登錄系統(tǒng)程序?！鞠到y(tǒng)架構(gòu)安全】對實時性要求高的關(guān)鍵系統(tǒng)應(yīng)在系統(tǒng)、設(shè)備層面具備相應(yīng)的冗余能力，確保系統(tǒng)服務(wù)能力持續(xù)可靠。重要系統(tǒng)必須滿足三層架構(gòu)的隔離要求，接入層必須做好安全防范措施。原則上不同的操作系統(tǒng)間應(yīng)避免建立信任關(guān)系，對于某些

12、必須要建立信任關(guān)系才能運轉(zhuǎn)的應(yīng)用，一定要采取其它補償控制措施來保護(hù)系統(tǒng)的安全。【系統(tǒng)安全配置】根據(jù)以下基本要求與相關(guān)規(guī)定建立系統(tǒng)安全配置規(guī)范。確保帳戶和口令管理符合安全要求，操作系統(tǒng)中無用的系統(tǒng)帳號，應(yīng)進(jìn)行刪除或其他安全處理，用戶賬號的口令設(shè)置應(yīng)遵循相關(guān)的口令安全策略。通過設(shè)定登錄超時、會話超時和定時鎖屏等策略為用戶登錄及訪問系統(tǒng)和應(yīng)用程序的連接安全有效提供額外安全保障。原則上應(yīng)使用安全登錄程序?qū)Σ僮飨到y(tǒng)進(jìn)行訪問，禁止使用不安全的登錄程序。同時，服務(wù)端應(yīng)禁用或卸載不安全登陸程序?qū)?yīng)的服務(wù)。根據(jù)最小權(quán)限原則，合理關(guān)閉操作系統(tǒng)不必要的服務(wù)，減少系統(tǒng)安全弱點。系統(tǒng)文件實施有效控制，避免被惡意或未授權(quán)

13、的訪問，保護(hù)系統(tǒng)文件安全?！緮?shù)據(jù)庫安全配置】應(yīng)根據(jù)以下基本要求與相關(guān)規(guī)定建立數(shù)據(jù)庫安全配置規(guī)范。加強數(shù)據(jù)庫用戶的口令管理，采取相應(yīng)的安全控制措施。加強數(shù)據(jù)庫用戶的權(quán)限管理，依照最小權(quán)限原則，應(yīng)僅分配完成工作所需的權(quán)限，也包括應(yīng)用程序連接數(shù)據(jù)庫的帳戶。采取恰當(dāng)措施，刪除不必要的數(shù)據(jù)庫默認(rèn)用戶，刪除默認(rèn)示例數(shù)據(jù)庫，刪除危及數(shù)據(jù)庫系統(tǒng)安全的默認(rèn)文件。采取恰當(dāng)措施，刪除不必要的存儲過程?！鞠到y(tǒng)容量管理】各部門必須實施相應(yīng)的容量管理和監(jiān)控措施，確保系統(tǒng)性能、容量符合證券業(yè)務(wù)發(fā)展的需要。信息技術(shù)部制定公司核心系統(tǒng)的性能監(jiān)控和容量管理細(xì)則。系統(tǒng)安全管理【系統(tǒng)上線安全檢查】系統(tǒng)上線時，信息系統(tǒng)責(zé)任部門應(yīng)根據(jù)上述系統(tǒng)安全要求和相關(guān)安全規(guī)范進(jìn)行安全檢查與審核，確保系統(tǒng)符合要求，必要時可使用相關(guān)技術(shù)工具配合檢查系統(tǒng)安全配置。公司性的重大信息系統(tǒng)上線前，需要信息技術(shù)部組織相關(guān)技術(shù)骨干共同進(jìn)行安全審核，確保系統(tǒng)建設(shè)、配置的規(guī)范性和安全性?！鞠到y(tǒng)補丁及安全漏洞管理】系統(tǒng)管理人員應(yīng)及時跟蹤系統(tǒng)補丁和漏洞發(fā)布，確保及時獲取相應(yīng)的補丁和漏洞信息。應(yīng)從