關于印發進入風險處置程序證券公司信息系統交接技術指引(編輯修改稿)

　

【文章內容簡介】 5． 權限設置完畢后，超級用戶密碼掌控人負責安全退出超級用戶登錄。6． 操作權限嚴格按崗位職責設置，密碼掌控人要定期檢查操作員的權限。（四）數據安全管理細則1． 本辦法所指數據為交易和清算數據。財務數據依照財務相關規定執行。2． 托管期間，每日數據備份內容應涵蓋股交易數據、股交易數據、債券交易數據、三板交易數據、權證交易數據、開放式基金系統數據、銀證通系統數據、股和三板行情數據、清算數據等。3． 托管期內由被托管機構相關人員進行每日數據備份，現場技術崗位對備份過程進行監督。如原備份方式屬不規范操作，現場技術崗位應規范數據備份方式，被托管機構人員遵照執行。數據備份操作需登錄《每日數據備份登記表》（表）。4． 被托管機構必須對每日數據進行異地備份，現場技術崗位對異地備份進行監督。5． 托管期內每日備份數據由被托管技術方以周為單位定時上報技術組，現場技術崗位實施監督。6． 數據保管地點應有防火、防熱、防潮、防塵、防磁、防盜設施。實施嚴格的安全保密管理，嚴禁泄露數據內容。7． 托管期內，如對交易等數據進行維護，參照《系統運行維護管理細則》（附件一）執行。（五）報告辦法1． 信息技術采取日報告制度，現場技術崗位每日：前向技術組匯報其所在部門信息技術整體情況，報告格式參照《信息技術日報表》（表）進行，日報中應涵蓋系統運行、設備維護、人員管理、故障處理以及其它涉及信息技術方面的內容。2． 對于緊急發生的事故和問題，現場技術崗位可采取隨時口頭向技術組匯報的方式。3． 當日若發生系統故障或升級，則《信息技術日報表》（表）應將《系統故障風險登記表》（表）作為附件，一并上報。4． 所有故障報告遵從由現場技術崗位向技術組、技術組向托管工作組逐級上報的原則進行。（六）病毒防范管理細則1． 自托管之日起，現場技術崗位應定期組織被托管機構信息技術人員對所管轄的系統進行全面的殺毒工作；托管當日（或次日）應組織對整個系統進行一次全面殺毒。2． 所有有盤工作站必須安裝防病毒軟件，并隨時進行版本升級；病毒查殺須在斷網情況下進行。3． 病毒查殺情況需登錄《系統防病毒檢查表》（表）。4． 現場技術崗位的病毒防范工作包括：所管轄系統計算機病毒的防范工作，掌握常見計算機病毒的防范處理知識和必要的技術手段，督促并指導對發現的病毒進行查殺，及時向技術組報告病毒的發生、處理情況；5． 嚴禁使用未經授權的軟硬件，對于來路不明、內容不詳的檔案資料，應在使用前進行查毒殺毒，確認無病毒后方可使用。6． 需要使用文件共享時，必須加上共享密碼并控制文件讀取權限。（七）技術文檔管理細則1． 本辦法所指的技術文檔是指與信息系統相關的技術文件、線路分布、圖表、程序、參考書籍與數據等，包括信息系統建設規劃、網絡設計方案、軟件設計方案、安全設計方案、源代碼、系統配置參數、軟件版本、技術數據及相關技術、工程資料、信息技術合同、賬款支付、系統運行費用等。2． 現場技術崗位應配備用于存放技術資料的保管箱或保管柜等物件。3． 被托管機構將所有技術文檔歸類整理，并填寫《交接日技術資料登記表》（表）、《交接日信息技術合同臺賬》（表）、《交接日通訊線路資料表》（表）等，一并交現場技術崗位進行核查和管理。4． 現場技術崗位應對重要技術文檔建立副本，并做到異地存放。5． 所有存放的軟件應附帶相關的詳細書面文檔。設備隨機資料必須建立詳盡的臺賬記錄。6． 托管期內新增加的技術文檔必須在《技術資料登記表》（表）、《信息技術合同臺賬》（表）等中記錄。7． 托管期內，技術文檔的借閱、復制，應獲得現場技術崗位同意并予以登記。未經批準，不得隨意借閱給他人。8． 資料保管人員應有高度的責任心，對保管的技術文檔經常進行整理和重新歸檔。保管文檔的地方應有必要的防潮、防霉、防鼠、防盜、防火等條件。（八）信息技術人員管理細則1． 本辦法適用于被托管機構信息技術人員。2． 托管工作組對被托管機構信息技術人員實施全面管理，技術組對被托管機構信息技術人員實施技術管理。3． 被托管機構信息技術人員須服從托管機構要求，遵守托管期間所有規章制度，做好托管期間信息技術安全保障工作。4． 被托管機構信息技術人員須嚴格遵守職業道德規范，即：根據三分離一稽審制度，嚴禁參與相關業務操作；嚴禁為部門違規提供技術支持或協同違規；嚴禁編制虛假單據和提供虛假交易數據；嚴禁向外泄露公司技術機密和提供重要文檔資料等違規行為。5． 托管期間，被托管信息技術人員未經托管工作組批準，不得擅自離崗。因特殊原因需調離崗位時，應經技術組上報托管工作組批準并進行離任審計后，按照相關制度辦理手續，方可離崗。6． 其它人事管理遵照托管工作組相關規定執行。（九）軟硬件設備管理細則1． 交接日被托管技術方向托管機構提供與托管信息系統相關的《交接日系統硬件臺賬》（表）與《交接日系統軟件臺賬》（表）。2． 托管當日（次日），現場技術崗位依據設備臺賬對被托管機構部門進行設備全面清查，對賬實不符的設備由被托管機構人員進行說明。清查情況上報技術組。3． 托管期間原則上不購置新的電腦設備和進行軟件升級和更換，但下列情況例外：4． 設備損壞且無替代，直接影響交易的正常進行；5． 軟件如不更換或升級時將影響到交易系統的正常運行；6． 交易所強制要求的系統升級涉及到的軟硬件；7． 其它影響到交易正常進行的事件需要購買設備。8． 若發生上述情況而需購置或調配設備和軟件時，被托管技術方填寫《軟硬件設備采購申請表》（表），經現場技術崗位審核后報技術組審批；9． 得到同意購買批復后，按照托管期財務管理制度要求實施采購，并回復《軟硬件設備采購申請表》（表）。軟硬件設備的日常維護及安裝調試參見《系統運行維護管理細則》。購買后須填報《系統硬件臺賬》（表）或《系統軟件臺賬》（表）。. 托管期內不報廢軟件。. 軟硬件設備發生故障后立即報現場技術崗位，在征得其同意后進行修理，并同時做好維修記錄。. 現場技術崗位要加強對、發電機等后備式電源的監督管理，保證正常的設備供電。. 軟硬件設備的日常管理沿用被托管機構設備管理細則。（十）網絡管理細則1． 被托管機構信息技術人員提供所有完整詳細的網絡布線、配線、網絡拓撲、網絡設備的網絡地址、硬件配置及其配置參數等網絡設計和網絡工程資料，供現場技術崗位查閱。2． 自托管開始日起，被托管機構的交易網絡必須與其辦公網絡、互聯網絡嚴格分離。3． 托管期間，原則上禁止廣域網絡的改造。確因工作需要，被托管技術方須填寫《網絡改造申請表》（表），現場技術崗位審核后，上報技術組批準，方可實施。4． 托管期間，現場技術崗位須嚴格管理各種網絡設備的口令、地址及網絡配置信息，并且督促被托管技術方做好相關維護記錄。5． 修改網絡配置時，被托管技術方填報《系統運行維護記錄表》（表），經現場技術崗位同意，現場技術崗位用超級用戶密碼登錄，被托管技術方進行修改操作，現場技術崗位根據記錄表進行核查。修改完成后，現場技術崗位負責安全退出。6． 遠程登錄用戶或跨網存取用戶須通過地址限制、端口限制的方法進行訪問控制。設備接入公司內網時須進行病毒清查及相關安全設置（如：升級補丁、禁用服務端口等）。7． 安裝系統時，須遵守最小權限原則，禁用不用的服務和端口。嚴禁擅自安裝雙網卡機器進行跨網操作，或通過插拔網線改變機器接入網絡的方式。8． 發現病毒侵入或黑客攻擊，應及時采取措施進行隔離，同時執行報告制度。9． 認真做好網絡設備的清潔保養工作，定期對戶外的網絡通信設備、線路進行檢查，確保網絡通信的安全、暢通。（十一）系統安全管理細則1． 必須啟用柜臺軟件提供的安全日志留痕功能；2． 現場技術崗位每日要對系統安全日志進行查閱，發現問題及時處理和上報；查閱情況和問題處理情況需在機房運行日志中記錄；3． 嚴格執行密碼管理細則和權限管理細則；4． 嚴格執行“三分離、一稽審”，做到技術與業務分離、前臺與后臺分離、網絡與數據分離以及不定期地進行業務技術稽審。（十二）系統運行維護管理細則1． 托管期內，現場技術崗位督促和管理被托管技術方做好系統日常運維工作，督促被托管技術方按照技術組要求做好包括系統程序、配置文件和參數、操作系統和應用系統運行日志以及變更的系統等在內的相應備份工作。2． 系統維護遵從被托管技術方負責具體操作，維護操作完成后，記錄相應的處理情況和結果，現場技術崗位進行監督和復核的方式進行。3． 被托管技術方每日必須完整填寫系統運行日志，日志中應涵蓋系統操作項目、運行結果、異常情況、問題處理結果等內容。4． 被托管技術方完成托管工作組要求的其它日報及各項表單；現場技術崗位負責核閱。5． 對交易和系統數據進行維護時，由申請部門提出需求，并填寫《系統數據維護記錄表》（表），經現場技術崗位或技術組批準后，進行實施。6． 進行系統升級、網絡和設備維護時，由申請部門提出需求，并填寫《系統運行維護記錄表》（表），經現場技術崗位或技術組批準后，進行實施。操作完成后，被托管技術方須對系統進行全面測試，測試情況登錄《系統運行維護記錄表》（表），并上報技術組備案。7． 新系統啟用前必須經過嚴格的上線測試，并經技術組批準后方可啟用。8． 系統出現故障或遭受任何影響時，應立即啟動應急預案，填寫《系統故障風險登記表》（表），并上報技術組。9． 應定期或不定期對應急預案進行演練，不斷修改和完善應急預案。進行應急演習時，要做好系統及數據的備份和恢復工作。. 部門的需求給予及時的響應和技術支持。（十三）新系統建設管理細則1． 新系統建設方案系統建設必須堅持高安全性、高可靠性和標準化的原則。2． 除提交通常的系統建設方案外，還須提交專門的方案詳細說明新建系統對現有運行系統可能帶來的影響。3． 新建系統涉及到現有系統的改造情況下，應用系統各開發商應積極配合。4． 新建應用系統原則上應使用現有網絡設備，如確實需要，請參照網絡管理細則（附件一）執行。5． 如果需要和外單位新建聯網，應采用可靠的技術隔離手段，確保安全可靠。6． 系統軟件要求：() 系統軟件的選用應充分考慮安全性、可靠性、穩定性和健壯性，應使用符合安全要求的軟件。() 操作系統軟件的使用應遵循最小功能原則及最小權限策略，關閉不必要的服務和端口。() 在經過充分測試的前提下，應及時安裝操作系統的補丁程序。7． 應用軟件要求：（）應用軟件未經嚴格測試不得上線。（）做好相應的應急和備份計劃，重要應用軟件系統宜采取在線備份措施。（）執行規范化的信息系統上線流程，評估系統上線風險,應針對可能影響到現有運行系統的風險專門進行評估。附件二：交接工作流程表匯總準備期時間工作事項工作內容和步驟參與人員 備 注準備期被托管機構情況摸底了解和掌握被托管機構信息系統主要建設概況，包括主要應用系統、建設模式、組織架構等方面。 證監局所用表單參見附件二、成立技術組、 托管機構抽調技術骨干組成技術組；、 根據證監局提供的相關資料，工作領導小組應迅速熟悉情況，并盡可能通過其他途徑和方式獲取所需的被托管方其它相關資料；、 明確技術組的工作要求。托管工作組、制定托管方案 制定各項信息管理制度； 制定托管工作流程； 制定交接清單； 確定參與接管工作的信息人員名單； 制定交接過程中需配備的設備和工具清單； 對被托管機構信息技術系統情況進行初步調查并擬訂《交接日信息系統情況登記表》。技術組表：《交接日信息系統情況登記表》。、計劃及制度審核、 提交材料至托管工作組審定。托管工作組、 組建隊伍準備工具1. 通知人員報到，組建托管信息技術人員隊伍，簡稱“現場技術崗位”；2. 著手準備現場技術崗位隊伍的培訓工作；3. 根據工具配備清單，組織設備的調配工作。4. 繼續完善各項制度及表單的制定，準備培訓內容。技術組、現場技術崗位、建立聯系渠道、 在可能情況下，建立與當地證監局、當地證券業協會、系統開發商、設備供應商、線路運營商以及其他關聯單位的聯系方式。、人員培訓技術培訓： 各項管理細則； 各相關系統的密碼、權限修改； 重要數據、操作系統、應用系統的備份； 柜臺系統相關培訓、參數設置等。托管工作信息技術組、現場技術崗位 交接培訓： 托管交接工作流程； 托管交接清單交收要點； 托管交接相關問題等。 、初步風險評估 、 根據了解情況，對照規范要求，對被托管機構信息技術整體情況進行初步 風險評估； 、 風險評估報告上報托管工作組。技術組 、制定應急預案、 根據托管方案制定交接過程中各項工作的應急處理預案。技術組交接期（管理交接）時間工作項目工作內容和步驟工作要求填寫表單責任人Ｔ日人員交流 現場技術崗位與被托管機構技術方進行全面交流，了解其總部（電腦部）技術管理和系統狀況； 托管機構派駐現場負責人通報在接管時期雙方人員所應履行的責任和義務，明確禁止行為； 現場技術崗位就托管期間信息技術方面必要的一些工作安排向被托管技術方進行通報。 參與人員：托管機構派駐現場負責人、現場技術崗位，被托管技術方 記錄要求：交接過程以會議紀要形式記錄在案，雙方負責人簽字后分別報送當地證監局、托管工作組、被托管機構。整理提交會議紀要印章交接 被托管機構信息總部（電腦部）如有部門印章，則由印章保管人簽字確認后移交托管機構封存保管； 印章按托管機構規定由專人實施統一管理。 表單要求：分別報送當地證監局、托管工作組、被托管機構。《印章印模交接表》，參考托管工作組統一表單