中国⼈民银⾏关于发布《征信机构信息安全规范》⾏业标准的通知
⽂号：银发[2014]346号
颁布⽇期：2014-11-17
执⾏⽇期：2014-11-17
时效性：现⾏有效
效⼒级别：部门规章
中国⼈民银⾏上海总部，各分⾏、营业管理部，各省会(⾸府)城市中⼼⽀⾏，各副省级城市中⼼⽀⾏；国家开发银⾏，各政策性银⾏、国有商业银⾏、股份制商业银⾏，中国邮政储蓄银⾏：《征信机构信息安全规范》⾏业标准已经全国⾦融标准化技术委员会审查通过，现予以发布，并就有关事项通知如下：
⼀、标准的编号及名称
JR／T0117-2014《征信机构信息安全规范》
⼆、标准⾃发布之⽇起实施
请⼈民银⾏分⽀机构将本通知转发⾄辖区内征信机构。
联系⼈及电话：谢业华，(010)66199538；
曲维民，(010)66194552。
附件：征信机构信息安全规范
中国⼈民银⾏
2014年11⽉17⽇
ICS 35．240．40
A11
备案号：
JR
中华⼈民共和国⾦融⾏业标准
JR／T 0117-2014
征信机构信息安全规范
Specification for information security of credit information service agency
2014-11-17发布 2014-11-17实施
中国⼈民银⾏发布
⽬次
前⾔
1 范围
2 规范性引⽤⽂件
3 术语和定义
4 符号和缩略语
5 征信系统概述
5．1 系统标识
5．2 系统定义
5．3 系统描述
6 总体要求
7 安全管理
7．1 安全管理制度
7．2 安全管理机构
7．3 ⼈员安全管理
7．4 系统建设管理
7．5 系统运维管理
8 安全技术
8．1 客户端安全
8．2 通信⽹络安全
8．3 服务器端安全
9 业务运作
9．1 系统接⼊
9．2 系统注销
9．3 ⽤户管理
9．4 信息采集和处理
9．5 信息加⼯
9．6 信息保存
9．7 信息查询
9．8 异议处理
9．9 信息跨境流动
9．10 研究分析
9．11 安全检查与评估
前⾔
本标准按照GB／T1．1-2009给出的规则起草。
本标准由中国⼈民银⾏提出。
本标准由全国⾦融标准化技术委员会(SAC／TC 180)归⼝。
本标准起草单位：中国⼈民银⾏征信管理局、中国⾦融电⼦化公司。
本标准主要起草⼈：王煜、陈波、张永福、李斌、李家先、王俊⼭、王晓燕、马国照、谢业华、常可、陈⼴辉。
征信机构信息安全规范
1 范围
标准规定了不同安全保护等级征信系统的安全要求，包括安全管理、安全技术和业务运作三个⽅⾯。
标准适⽤于征信机构信息系统的建设、运⾏和维护，也可作为各单位开展安全检查和内部审计的安全性依据。接⼊征信机构信息系统的信息提供者、信息使⽤者也可参照与本机构有关的条款执⾏，标准还可作为专业检测机构开展检测、认证的依据。
2 规范性引⽤⽂件
下列⽂件对于本⽂件的应⽤是必不可少的。凡是注⽇期的引⽤⽂件，仅注⽇期的版本适⽤于本⽂件。凡是不注⽇期的引⽤⽂件，其最新版本(包括所有的修改单)适⽤于本⽂件。
GB／T 22239-2008信息安全技术信息系统安全等级保护基本要求
ISO／IEC 27001：2013信息技术安全技术信息安全管理体系
3 术语和定义
下列术语和定义适⽤于本⽂件。
3．1 征信业务credit information service
对企业、事业单位等组织的信⽤信息和个⼈的信⽤信息进⾏采集、整理、保存、加⼯，并向信息使⽤者提供的活动。
3．2 征信机构credit information service agency
依法设⽴的，主要经营征信业务的机构。
3．3 征信系统credit information system
征信机构与信息提供者协议约定，或者通过互联⽹、政府信息公开等渠道，对分散在社会各领域的企业和个⼈信⽤信息，进⾏采集、整理、保存和加⼯⽽形成的信⽤信息数据库及相关系统。
3．4 互联⽹internet
因特⽹或其他类似形式的通⽤性公共计算机通信⽹络。
3．5 敏感信息sensitive information
影响征信系统安全的密码、密钥以及业务敏感数据等信息，密码包括但不限于查询密码、登录密码、证书的PIN等，密钥包括但不限于⽤于确保通讯安全、报⽂完整性等的密钥，业务敏感数据
包括但不限于信息主体的⾝份信息、婚姻状况以及银⾏账户信息等涉及个⼈隐私的数据。
3．6 客户端程序client program
征信机构开发的、通过浏览器访问征信系统并为征信系统客户提供⼈机交互功能或实现征信系统其他功能(如数据采集)的程序，并提供必需功能的组件，包括但不限于：可执⾏⽂件、控件、浏
览器插件、静态链接库、动态链接库等(不包括IE等通⽤浏览器)；或信息提供者、信息使⽤者以独⽴开发的软件接⼊征信系统的客户端程序。
3．7 安全规范测评test and evaluation of security specifications
按照本规范要求对征信机构进⾏安全测评的活动。
4 符号和缩略语
以下缩略语和符号表⽰适⽤于本⽂件：
B／S 浏览器／服务器(Browser／Server)
CA 数字证书签发和管理机构(Certification Authority)
C／S 客户机／服务器(Client／Server)
IPSEC IP安全协议(IP Security Protocol)
SSL 安全套接字层(Secure Sockets Layer)
TLS 传输层安全(Transport Layer Security)
WTLS ⽆线传输层安全(Wireless Transport Layer Security)
5 征信系统概述
5．1 系统标识
在系统标识中应标明以下内容：
名称：XXXX征信系统／信⽤信息系统／信⽤信息平台(全称或简称)。
5．2 系统定义
征信系统是指征信机构与信息提供者协议约定，或者通过互联⽹、政府信息公开等渠道，对分散在社会各领域的企业和个⼈信⽤信息，进⾏采集、整理、保存和加⼯⽽形成的信⽤信息数据库及
相关系统。征信机构通过对征信系统中的企业和个⼈信⽤信息进⾏处理、加⼯，形成信⽤报告等征信产品，提供给社会经济活动中有合法需求的信息使⽤者。
不同征信机构的征信系统规模、架构以及接⼊⽅式并不完全相同，部分机构直接⾯向互联⽹，以B／S架构建⽴；部分机构通过与信息提供者相连，以C／S或B／S架构建⽴。本标准⼒求对各类
征信系统的安全需求进⾏归纳，提出统⼀的规范要求。如⽆特殊说明，则规范要求对 C／S架构、B／S架构都适⽤，针对只适⽤于C／S架构或B／S架构的情况，将会单独说明。
5．3 系统描述
征信系统主要由客户端、通信⽹络和服务器端组成。征信系统包括个⼈征信系统和企业征信系统，本规范条款如⽆特殊说明，则同时适⽤于个⼈征信系统和企业征信系统。
5．3．1 客户端
客户端是指安装有征信系统⼈机交互客户端程序的Pc终端、笔记本、移动终端等，也包括安装有实现征信系统部分功能的客户端程序的Pc终端、笔记本、移动终端等，如数据采集客户端，将来
可能还包括其他形式的终端产品。
5．3．2 通信⽹络
通信⽹络指的是由客户端、服务器及相关⽹络基础设施组建的⽹络连接。征信系统通过互联⽹或⽹络专线等⽅式与信息提供者、信息使⽤者相连，征信系统安全设计应在综合考虑建设成本、⽹
络便利性等因素的同时，采取必要的技术防护措施，有效应对⽹络通讯安全威胁。
5．3．3 服务器端
服务器端是指⽤于提供征信系统核⼼业务处理和应⽤服务的服务器设备及安装的相关软件程序。征信机构应充分利⽤有效的物理安全技术、⽹络安全技术、主机安全技术、应⽤安全技术及数据
安全与备份恢复技术等，在外部威胁和受保护的资源间建⽴多道严密的安全防线。
6 总体要求
本标准从安全管理、安全技术和业务运作三个⽅⾯提出征信系统的安全要求。安全管理从安全管理制度、安全管理机构、⼈员安全管理、系统建设管理、系统运维管理等⽅⾯提出要求，安全技
术从客户端、通信⽹络、服务器端等⽅⾯提出要求，业务运作从系统接⼊、系统注销、⽤户管理、信息采集和处理、信息加⼯、信息保存、信息查询、异议处理、信息跨境流动、研究分析、安
全检查与评估等⽅⾯提出要求。
征信机构应按照法律法规、国家信息安全主管部门和国务院征信业监督管理部门规定对征信系统进⾏定级，并根据定级情况达到相应的安全要求。个⼈征信系统应符合国家信息安全保护等级⼆
级或⼆级以上标准，企业征信系统由征信机构根据实际情况⾃⾏确定安全保护等级。征信系统不同的安全保护等级所应达到的安全要求如下表所⽰：
表1 征信系统安全保护等级要求
┌─────┬─────────────────┬──────────────────┬───────────────┐│序││││││征信系统安全保护等级│管理和技术要求│业务操作要求││号│││
征信机构要提升征信系统⾃主可控能⼒，⼤⼒推⼴使⽤安全可控产品，⾃⾏完成征信系统的规范设计、建设开发、运维应急、安全保障等。
7 安全管理
7．1 安全管理制度
征信机构应根据征信系统的建设、运⾏和管理情况，建⽴和完善信息安全管理制度，并定期进⾏评审和修订。
7．1．1 内部管理制度
基本要求：
a)应制定信息安全⼯作的总体⽅针和安全策略，说明本机构安全⼯作的总体原则、⽬标、范围和安全框架等。
b)应建⽴征信系统建设和运维管理制度，对机房管理、资产安全、设备管理、⽹络安全和系统安全等⽅⾯做出明确规定。
c)应建⽴征信系统安全审批流程，系统投⼊运⾏、⽹络系统接⼊等重⼤事项由信息安全管理负责⼈审批，并签字确认。
d)应对安全管理⼈员及操作⼈员执⾏的重要操作建⽴操作规程，并进⾏定期培训。
e)应建⽴⽇常故障处理流程，重要岗位应建⽴双⼈负责制。
f)应建⽴软件开发管理制度，明确说明开发过程的控制⽅法和⼈员⾏为准则。
g)应建⽴数据管理制度，对数据的存储、访问、使⽤、展⽰、备份与恢复、传输及样本数据处理等进⾏规范。
h)应建⽴外包服务管理、外部⼈员访问等⽅⾯的管理制度，对外部⼈员在本机构内的活动进⾏规范化管理。
i)应建⽴安全事件及重⼤事项报告制度，重⼤信息安全事故应及时向中国⼈民银⾏及其派出机构报告。
j)应建⽴突发事件应急预案制度，有效避免事故造成的危害。
k)应建⽴信息安全检查制度，定期或根据需要(如可能存在安全隐患时)不定期开展安全⾃查⼯作，主动接受和配合中国⼈民银⾏及其派出机构的安全检查。
增强要求：
a)应建⽴征信系统建设⼯程实施⽅⾯的管理制度，明确说明实施过程的控制⽅法和⼈员⾏为准则。
b)应建⽴密码使⽤、变更管理及数据备份与恢复等⽅⾯的管理制度，对系统运⾏维护过程中重要环节的审批与操作等做出明确规定。
c)应按照ISO／IEC 27001：2013的相关要求建⽴完善的信息安全管理体系。
7．1．2 安全审计制度
基本要求：
a)应建⽴信息安全内部审计制度，定期对可能带来信息安全风险的因素进⾏审计和评估，个⼈征信机构每年⾄少1次，企业征信机构每两年⾄少1次。
b)应对安全管理制度的制定和执⾏情况进⾏审计，审计内容包括是否按照法律法规和中国⼈民银⾏的相关规定建⽴信息安全管理制度，安全管理制度的执⾏情况，是否定期对制度进⾏评审和修
订。
c)应对⽹络安全、主机安全、应⽤安全和数据安全等技术安全进⾏审计，审计内容包括安全配置、设备运⾏状况、⽹络流量、重要⽤户⾏为、系统异常事件以及重要系统命令的使⽤等。
d)应对业务操作进⾏审计，审计内容包括系统接⼊和注销、⽤户管理、信息采集和处理、信息加⼯、信息保存、异议处理、信息跨境流动等。
e)审计记录应包括事件的⽇期和时间、⽤户、事件类型、事件是否成功及其他与审计相关的信息；应保护系统中的审计记录，避免受到未预期的删除、修改或覆盖等，保存期⾄少半年；纸质版
审计记录保存期应不少于三年。
增强要求：
a)应定期委托外部专业审计机构，有重点、有计划的开展信息科技总体风险审计、征信系统专项审计。
b)在内部审计和外部审计中发现的重⼤安全隐患应及时向中国⼈民银⾏及其派出机构报告。
7．2 安全管理机构
征信机构应成⽴由⾼级管理⼈员及相关部门负责⼈组成的信息安全领导⼩组，并指定专门的部门负责信息安全管理⼯作。
7．2．1 岗位设置
基本要求：
a)应设⽴安全主管、信息安全管理员岗位，明确安全主管和信息安全管理员的岗位职责。
b)应设⽴系统管理员、⽹络管理员、数据库管理员等岗位，并定义各个⼯作岗位的职责。
c)除科技部门外，其他部门应设置部门计算机安全员。
增强要求：
a)应通过制度明确安全管理机构各个部门和岗位的职责、分⼯和技能要求。
b)应建⽴数据安全管理组织，明确数据安全管理责任⼈、数据资产管理⼈，明确数据安全管理的责任，确保有效落实和推进数据安全的相关⼯作。
7．2．2 ⼈员配备
基本要求：
a)应配备安全主管、信息安全管理员、系统管理员、⽹络管理员、数据库管理员等。
b)安全主管不能兼任信息安全管理员、⽹络管理员、系统管理员、数据库管理员等。
c)信息安全管理员不能兼任⽹络管理员、系统管理员、数据库管理员等。
增强要求：
a)关键事务岗位，如信息安全管理员、数据库管理员等，应配备⾄少两⼈，且互为A、B⾓共同管理。
7．2．3 授权和审批
基本要求：
a)应根据各个部门和岗位的职责明确授权审批部门及批准⼈。
b)应针对系统投⼊运⾏、⽹络系统接⼊、系统变更、重要操作和重要资源的访问等关键活动建⽴审批流程，由责任⼈审批后⽅可进⾏，对重要活动应建⽴逐级审批制度。
c)应记录审批过程并保存审批⽂档。
增强要求：
a)应每年审查审批事项，及时更新需授权和审批的项⽬、审批部门和审批⼈等信息。
7．2．4 沟通和合作
基本要求：
a)应加强各部门、各岗位之间以及信息安全职能部门内部的合作与沟通。
b)应加强与同业机构、通讯服务商及监管部门的合作与沟通。
增强要求：
a)信息安全管理部门应定期召开各职能部门、各岗位⼈员参加的协调会议，共同协作处理信息安全问题。
b)应加强与供应商、业界专家、专业的安全公司、安全组织的合作与沟通。
7．3 ⼈员安全管理
征信机构应加强⼈员安全管理，明确不同岗位的职责，规范⼈员录⽤、离岗、考核和培训等⼯作。
7．3．1 安全主管
基本要求：
a)应选派具有较⾼计算机⽔平、业务能⼒和法律素养的⼈员担任安全主管。
b)安全主管可由信息安全管理部门的相关领导担任，也可指定专⼈担任，主要履⾏以下职责：
组织落实监管部门信息安全相关管理规定和本机构信息安全保障⼯作。
将征信机构信息安全领导⼩组讨论形成的安全决策，分解为安全任务部署落实。
对信息化建设项⽬中的安全建设⽅案、安全技术⽅案或其他安全⽅案进⾏审批。
对征信机构内部其他信息安全相关管理事项进⾏审批。
c)安全主管调离岗位时，应办理交接⼿续，并履⾏其调离后的保密义务。
增强要求：
a)安全主管应加强信息安全知识的学习和技能的掌握，及时关注国内外信息安全动态，为加强和改进本机构的信息安全管理⼯作提供合理化建议。
7．3．2 信息安全管理员
基本要求：
a)应选派具有较⾼计算机⽔平、业务能⼒和法律素养的⼈员担任信息安全管理员。
b)信息安全管理员每年⾄少进⾏⼀次信息安全⽅⾯的技术和业务培训。
c)信息安全管理员应履⾏以下职责：
在安全主管的指导下，具体落实各项安全管理⼯作，并协调各部门计算机安全员开展⼯作。
在安全主管的指导下，组织相关⼈员审核本机构信息化建设项⽬中的安全⽅案，组织实施信息安全项⽬建设，维护、管理信息安全专⽤设施。
在计算机系统应⽤开发、技术⽅案设计和实施、集成等⼯作中提出安全技术⽅案并组织实施。
负责本机构计算机系统部署上线前的安全⾃测试⽅案的审核。
定期检查⽹络和征信系统的安全运⾏状况，组织检查运⾏操作、备份、机房环境与⽂档等安全管理情况，发现问题，及时通报和预警，并提出整改意见，统计分析和协调处置信息安全事件。定期组织信息安全宣传教育活动，与相关部门配合开展信息安全检查、评估与培训⼯作。
d)信息安全管理员调离原岗位时，应办理交接⼿续，并履⾏其调离后的保密义务。
增强要求：
a)信息安全管理员应加强信息安全知识的学习和技能的掌握，及时关注国内外信息安全动态，为贯彻落实本机构的信息安全策略和⽅案提出合理化建议。
7．3．3 部门计算机安全员
基本要求：
a)各部门的计算机安全员应由较熟悉计算机知识的⼈员担任，并报信息安全管理部门备案，如有变更应及时通报信息安全管理部门。
b)部门计算机安全员应积极配合信息安全管理员的⼯作，各部门应优先选派部门计算机安全员参加信息安全技术培训。
c)部门计算机安全员应履⾏以下职责：
负责配合信息安全管理部门完成本部门计算机病毒防治、补丁升级、⾮法外联防范、系统故障应急处置、移动存储介质管控等⼯作。
全⾯负责本部门的信息安全管理⼯作。负责提出本部门信息安全保障需求，及时与信息安全管理部门沟通本部门信息安全情况。做好信息安全通报⼯作，发现情况及时向信息安全管理部门报告。
负责本部门相关⽂档资料的安全管理，以及本部门国际互联⽹、征信系统⽹络的使⽤和接⼊安全管理，组织开展本部门信息安全⾃查，协助信息安全管理部门完成本机构的信息安全检查⼯作。
d)部门计算机安全员调离原岗位时，办理交接⼿续，并履⾏其调离后的保密义务。
增强要求：
a)部门计算机安全员每年应⾄少参加⼀次信息安全培训，积极配合信息安全管理员做好本部门的信息安全管理和风险防范知识宣传落实⼯作。
7．3．4 技术⽀持⼈员
基本要求：
a)内部技术⽀持⼈员(本机构正式员⼯，负责或参与征信机构机房环境、⽹络、计算机系统等建设、运⾏、维护的⼈员，如系统管理员、⽹络管理员、数据库管理员等)在落实征信系统建设和⽇常运⾏维护⼯作过程中，履⾏以下职责：
严格遵守本机构各项安全保密规定和征信系统安全管理相关制度。
严格权限访问，未经业务部门书⾯授权和本部门领导批准，不得擅⾃修改征信系统应⽤设置或修改系统⽣成的任何业务数据。
检测和监控机房、⽹络、安全设备、计算机系统的安全运⾏状况，定期进⾏风险评估、应急演练，发现安全隐患或故障及时报告安全主管、信息安全管理员，并及时响应和处置。
b)外部技术⽀持⼈员(⾮本机构⼈员)应严格履⾏服务外包合同(协议)中的各项安全承诺，在提供技术服务期间，严格遵守征信机构相关安全规定与操作规程。
增强要求：
a)外部技术⽀持⼈员未经业务部门书⾯授权和所在部门领导批准，不得擅⾃接触、查看或修改征信系统的应⽤设置或相关业务数据等；确需接触、查看或修改时，须取得业务部门书⾯授权和所在部门领导批准，并且在内部技术⼈员现场陪同下，⽅可进⾏。
7．3．5 业务操作⼈员
基本要求：
a)业务操作⼈员(指征信机构内部直接使⽤征信系统进⾏业务处理的业务部门⼯作⼈员，包括业务管理员和⼀般业务操作⼈员)应履⾏以下职责：
严格按照征信机构相关业务操作规程操作、使⽤征信系统及相关数据，严禁各种违规操作。
严格按照征信机构信息安全管理相关规定操作、使⽤征信系统的业务数据，防⽌征信信息外泄。
妥善保管好征信系统的⽤户账号和密码，并按要求定期更换密码，禁⽌将账户和密码提供给他⼈使⽤。
发现征信系统出现异常，及时向部门计算机安全员报告。
定期清理业务操作终端业务数据，不得在业务操作终端上安装与业务处理⽆关的计算机软件和硬件，不得擅⾃修改征信系统的运⾏环境参数。
b)业务操作按照“权限分设、相互制约”原则，严格进⾏操作⾓⾊划分和授权管理；技术⽀持⼈员不得兼任业务操作⼈员。
增强要求：
a)业务操作⼈员应实现A、B⾓管理。
7．3．6 ⼀般计算机⽤户
基本要求：
a)⼀般计算机⽤户(指征信机构内部使⽤接⼊征信系统⽹络的计算机及外设的所有⼈员)应履⾏以下职责：
及时安装计算机病毒防治软件和客户端防护软件，按规定使⽤移动存储介质，⾃觉接受部门计算机安全员的指导与管理。
不得安装与⼯作⽆关的计算机软件和硬件，不得将征信系统相关计算机擅⾃接⼊未经授权的⽹络。
b)未经信息安全管理部门批准和检测的计算机及外设不得接⼊征信系统⽹络。
增强要求：
a)⼀般计算机⽤户不得私⾃改变计算机⽤途。
b)⼀般计算机⽤户应统⼀安装、统⼀升级及更新计算机病毒防治软件。
7．4 系统建设管理
7．4．1 系统定级
基本要求：
a)应明确信息系统的边界和安全保护等级。
b)应以书⾯的形式说明信息系统确定为某个安全保护等级的⽅法和理由。
增强要求：
a)应组织相关部门和有关安全技术专家对信息系统定级结果的合理性和正确性进⾏论证和审定。
7．4．2 安全⽅案设计
基本要求：
a)应根据征信系统的安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施。
b)应以书⾯形式描述对征信系统的安全保护要求、策略和措施等内容，形成系统的安全⽅案。
c)应对安全⽅案进⾏细化，形成能指导征信系统安全建设、安全产品采购和使⽤的详细设计⽅案。
d)应组织相关部门和有关安全技术专家对安全设计⽅案的合理性和正确性进⾏论证和审定，并且经过征信机构相关领导批准后，正式组织实施。
增强要求：
a)应指定和授权专门的部门对征信系统的安全建设进⾏总体规划，制定近期和远期的安全建设⼯作计划。
b)应统⼀考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计⽅案，并形成配套⽂件。
c)应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计⽅案等相关配套⽂件的合理性和正确性进⾏论证和审定，并且经过征信机构相关领导批准后，正式组织实施。
d)应定期调整和修订总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计⽅案等相关配套⽂件。
7．4．3 安全产品采购和使⽤
基本要求：
a)应确保安全产品采购和使⽤符合国家的有关规定。
b)应确保密码产品采购和使⽤符合国家密码主管部门的要求。
c)应指定或授权专门的部门负责安全产品的采购。
增强要求：
a)应预先对安全产品进⾏选型测试，确定产品的候选范围。
7．4．4 ⾃⾏软件开发
基本要求：
a)应确保开发测试环境与实际运⾏环境物理分开。
b)应确保开发⼈员和测试⼈员分离，只能使⽤⾃制测试数据或已脱密的⽣产数据进⾏测试，测试数据和测试结果应受到控制。
c)应确保开发⼈员不兼任系统管理员或业务操作⼈员。
d)应确保提供软件设计的相关⽂档和使⽤指南，并由专⼈负责保管。
增强要求：
a)应制定代码编写安全规范，要求开发⼈员参照规范编写代码。
b)应确保对程序资源库的修改、更新、发布进⾏授权和批准。
7．4．5 外包软件开发
基本要求：
a)应根据开发要求检测软件质量。
b)应确保开发单位提供软件设计的相关⽂档和使⽤指南。
c)应在软件安装之前检测软件包中可能存在的恶意代码。
d)应要求开发单位提供软件源代码，并对软件源代码进⾏“后门”检测。
增强要求：
a)应具有第三⽅检测机构的安全检测报告。
b)应与外包单位签署相关知识产权保护协议和保密协议，不得将系统采⽤的关键安全技术措施和核⼼安全功能设计对外公开。
7．4．6 ⼯程实施
基本要求：
a)应指定或授权专门的部门或⼈员负责⼯程实施过程的管理。
b)应制定详细的⼯程实施⽅案，控制⼯程实施过程。
增强要求：
a)应按照⼯程实施管理制度的相关要求对⼯程实施全过程进⾏管理。
7．4．7 测试验收
基本要求：
a)征信系统测试验收应包含安全性测试相关内容。
b)在测试验收前应根据设计⽅案或合同要求等制订测试验收⽅案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告。
c)应组织相关部门和相关⼈员对系统测试验收报告进⾏审定，并签字确认。
增强要求：
a)应对征信系统测试验收的控制⽅法和⼈员⾏为准则进⾏书⾯规定。
b)应指定或授权专门的部门负责系统测试验收的管理，并按照管理规定的要求完成系统测试验收⼯作。
7．4．8 系统交付
基本要求：
a)应制定征信系统交付清单，并根据交付清单对所交接的设备、软件和⽂档等进⾏清点。
b)应对负责征信系统运⾏维护的技术⼈员进⾏相应的技能培训。
c)应确保提供征信系统建设过程中的⽂档和指导⽤户进⾏系统运⾏维护的⽂档。
增强要求：
a)应对征信系统交付的控制⽅法和⼈员⾏为准则进⾏书⾯规定。
b)应指定或授权专门的部门负责征信系统交付的管理⼯作，并按照管理规定的要求完成征信系统交付⼯作。
7．4．9 系统备案
基本要求：
a)应指定专门的部门或⼈员负责管理系统定级的相关材料，并控制这些材料的使⽤。
b)应将系统等级及相关材料报中国⼈民银⾏及其派出机构备案。
7．4．10 安全规范测评
基本要求：
a)征信系统上线运⾏前，必须进⾏安全规范测评，运⾏过程中，应⾄少每两年对系统进⾏⼀次安全规范测评，发现不符合相应标准要求的要及时整改。
b)个⼈征信机构应选择具有国家信息安全等级保护测评资质的机构进⾏安全规范测评，测评报告应在报告出具后20⽇内上报中国⼈民银⾏及其派出机构。
c)企业征信机构可以选择具有国家信息安全等级保护测评资质的机构进⾏安全规范测评，也可以⾃⾏测评，测评报告报中国⼈民银⾏及其派出机构。
增强要求：
a)应在征信系统发⽣重⼤变更时及时对系统进⾏安全规范测评，发现不符合本规范要求的要及时整改。
b)在征信系统运⾏过程中，应⾄少每年对系统进⾏⼀次安全规范测评，发现不符合本规范要求的要及时整改。
c)应指定或授权专门的部门或⼈员负责安全规范测评的管理。
7．4．11 外包及安全服务商管理
基本要求：
中国人民银行安全控件下载安装a)应与选定的外包及安全服务商签订与安全相关的协议，明确约定相关责任。
b)应确保选定的外包及安全服务商提供技术⽀持和服务承诺，必要情况下，应与其签订服务合同。
c)应确保外包服务受托⽅的系统访问权限受到约束，涉及敏感操作(如输⼊⽤户⼝令等)应由委托⽅⼈员进⾏操作。
d)外包服务的受托⽅进⾏现场技术⽀持服务时，应事先提交计划操作内容。委托⽅应在现场陪同外包服务⼈员，核对操作内容并准确记录实际操作内容。外包服务的受托⽅⼈员不得查看、复制或带离任何敏感信息。
e)外包服务的受托⽅应履⾏服务外包合同(协议)中的各项安全承诺，在提供技术服务期间，应遵守委托⽅相关安全规定与操作规程。
增强要求：
a)应制定外包服务应急计划，有效应对外包服务变更。
7．5 系统运维管理
7．5．1 环境管理
基本要求：
a)应指定专门的部门或⼈员定期对机房供配电、空调、温湿度控制等设施进⾏维护管理。
b)应配备机房安全管理⼈员，对机房的出⼊、服务器的开机或关机等⼯作进⾏管理。
c)应按照机房安全管理制度的相关要求，对机房物理访问，物品带进、带出机房和机房环境安全等⽅⾯进⾏管理。
d)应加强对办公环境的保密性管理，包括⼯作⼈员调离办公室应⽴即交还该办公室钥匙、⼯作⼈员离开座位应确保终端计算机退出登录状态和桌⾯上没有包含敏感信息的纸质⽂件等。
增强要求：
a)应指定专⼈每⽇对环境设备设施进⾏巡检，并进⾏记录。
7．5．2 资产管理
基本要求：
a)应编制与征信系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容。
b)应按照资产安全管理制度的相关要求，明确征信系统资产管理的责任⼈员或责任部门，并对资产管理和使⽤的⾏为进⾏管理。
增强要求：
a)应根据资产的重要程度对资产进⾏标识管理，根据资产的价值选择相应的管理措施。
b)应对信息分类与标识⽅法做出规定，并对信息的使⽤、传输和存储等进⾏规范化管理。
7．5．3 介质管理
基本要求：
a)应确保介质存放在安全的环境中，对各类介质进⾏控制和保护，并实⾏存储环境专⼈管理。
b)应对介质归档和查询等过程进⾏记录，并根据介质存档的⽬录清单定期盘点。
c)应对需要送出维修或销毁的介质，⾸先清除其中的敏感数据或送有相关保密管理责任的部门实施销毁，防⽌信息泄漏。
d)⾮征信机构内部存储介质，未经审核授权不得使⽤。
增强要求：
a)应对介质在物理传输过程中的⼈员选择、打包、交付等情况进⾏控制，对介质归档和查询等进⾏登记记录，并根据介质存档的⽬录清单定期盘点。
b)应对存储介质的使⽤过程、送出维修以及销毁等进⾏严格的管理，对带出⼯作环境的存储介质进⾏内容加密和监控管理。
c)对载有敏感信息存储介质的销毁，应由科技部门进⾏信息消除、消磁或物理粉碎等销毁处理，并做好相应的销毁记录，信息消除处理仅限于存储介质仍将在征信机构内部使⽤的情况，否则应进⾏信息的不可恢复性销毁。
d)应根据数据备份的需要对介质实⾏异地存储，存储地的环境要求和管理⽅法应与本地相同。
7．5．4 设备管理
基本要求：
a)应对征信系统相关的各种设备(包括备份和冗余设备)、线路等指定专门的部门或⼈员定期进⾏维护管理。
b)应按照设备安全管理制度的相关要求，对征信系统的各种软硬件设备的选型、采购、发放和领⽤等过程进⾏申报和审批，并进⾏规范化管理。
c)应对终端计算机、⼯作站、便携机、系统和⽹络等设备的操作和使⽤进⾏规范化管理，按操作规程实现关键设备(包括备份和冗余设备)的启动／停⽌、加电／断电等操作。
d)⾮征信机构内部设备未经审核授权不得接⼊内部征信系统。
e)应确保信息处理设备必须经过审批才能带离机房或办公地点。
增强要求：
a)应严格按照设备安全管理制度的相关要求，对配套设施、软硬件维护等⽅⾯进⾏有效管理，包括明确维护⼈员的责任、涉外维修和服务的审批、维修过程的监督控制等。
7．5．5 监控管理
基本要求：
a)应对通信线路、主机、⽹络设备和应⽤软件的运⾏状况、⽹络流量、⽤户⾏为等进⾏监测和报警，形成记录并妥善保存。
b)应组织相关⼈员每⽉对监测和报警记录进⾏分析，发现可疑⾏为，形成分析报告，并采取必要的应对措施。
增强要求：
a)应建⽴安全管理中⼼，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进⾏集中管理。
7．5．6 ⽹络安全管理
基本要求：
a)应指定⼈员对⽹络进⾏管理，负责运⾏⽇志、⽹络监控记录的⽇常维护、报警信息分析和处理⼯作。
b)应严格按照⽹络安全管理制度的相关要求，对⽹络安全配置、⽇志保存时间、安全策略、升级与打补丁、⼝令更新周期等⽅⾯进⾏有效管理。
c)应根据⼚家提供的软件升级版本对⽹络设备进⾏更新，并在更新前对现有的重要⽂件进⾏备份，同时应做好应急恢复准备。
d)应每年定期对⽹络系统进⾏漏洞扫描，对发现的⽹络系统安全漏洞进⾏及时修补。
e)应对⽹络设备的配置⽂件进⾏定期备份。
f)应保证所有与外部系统的连接均得到授权和批准。
增强要求：
a)应依据安全策略允许或者拒绝便携式和移动式设备的⽹络接⼊。
b)应监控和检查违反⽹络安全策略的⾏为。
7．5．7 系统安全管理
基本要求：
a)应根据业务需求和系统安全分析确定系统的访问控制策略。
b)应每年定期对系统进⾏安全漏洞扫描，对发现的系统安全漏洞及时进⾏修补。
c)应安装系统的最新安全补丁程序，在安装系统补丁前，应⾸先在测试环境中测试通过，并对重要⽂件进⾏备份后，⽅可实施系统补丁程序的安装。
d)应通过系统安全管理制度，对系统安全策略、安全配置、⽇志管理和⽇常操作流程等⽅⾯做出规定。
e)应依据操作⼿册对征信系统进⾏维护，详细记录操作⽇志，包括重要的⽇常操作、运⾏维护记录、参数的设置和修改等内容，严禁进⾏未经授权的操作。
f)应⾄少每⽉对运⾏⽇志和审计数据进⾏分析，以便及时发现异常⾏为。
增强要求：
a)应指定专⼈对系统进⾏管理，划分系统管理员⾓⾊，明确各个⾓⾊的权限、责任和风险，权限设定应当遵循最⼩授权原则。
b)应定期对征信系统进⾏信息安全风险评估，针对发现的风险，制定相应的风险处置措施，并付诸实施。
c)应及时关注中国国家信息安全漏洞库(http：／／www．cnnvd．org．cn／)中发布的漏洞情况，及时排除系统隐患。
7．5．8 恶意代码防范管理
基本要求：
a)应提⾼所有⽤户的防病毒意识，告知及时升级防病毒软件，在读取移动存储设备上的数据以及⽹络上接收⽂件或邮件之前，先进⾏病毒检查，对外来计算机或存储设备接⼊⽹络系统之前也应进⾏病毒检查。
b)应指定专⼈对⽹络和主机进⾏恶意代码检测并保存检测记录。
c)应对防恶意代码软件的授权使⽤、恶意代码库升级、定期汇报等做出明确规定。
增强要求：
a)应⾄少每⽉⼀次检查征信系统内各种产品的恶意代码库的升级情况并进⾏记录，对防病毒产品上截获的危险病毒或恶意代码进⾏及时分析处理，并形成书⾯的报表和汇总报告。
7．5．9 密码管理
基本要求：
a)应⾄少每半年修改⼀次密码，包括⽹络设备⽤户密码、操作系统⽤户密码、数据库⽤户密码和应⽤程序⽤户密码等。密码设置规则应符合以下安全强度的要求：
不包含全部或部分⽤户名(任意连续3个字符)。
长度⾄少为8个字符。
⾄少包含英⽂⼤写字母、⼩写字母、数字和特殊字符这4种类型字符中的3种字符。
b)⽹络设备、操作系统、数据库和应⽤程序的超级管理员⽤户密码要纸质密封交专⼈保管，⽽其他普通⽤户密码可根据本机构实际情况采取必要的安全⼿段妥善保管。
增强要求：
a)使⽤密钥的征信机构应对密钥进⾏严格管理，包括以下要求：
所有密钥资源必须登记造册、严格保管，不得以任何形式⾮法复制、修改或外泄。在条件许可的情况下，应对其进⾏定期验证，以确保其可⽤性和完整性。
与密钥资源相关的⼈员离岗或转岗时应做好交接，密钥资源的管理、保管、制作和使⽤都应遵循多重控制、⾓⾊分离的原则。
密钥资源的领⽤应严格审批，制作、加载、更换、验证维护和销毁必须按照相关管理规定执⾏。灾备和⽣产环节的密钥资源移交应经各相关部门审批，并指定专⼈办理移交⼿续。
7．5．10 变更管理
基本要求：
a)征信系统发⽣变更前，应经过审批，在做好征信数据的备份和恢复⼯作基础上，⽅可实施变更，并在实施后向相关⼈员通告。
b)应针对征信系统中的重要变更，制定相应的变更⽅案。
增强要求：
a)应按照变更管理制度中的相关要求，建⽴起基于申报和审批的变更控制程序，对变更影响进⾏分析并⽂档化，记录变更实施过程，并妥善保存所有⽂档和记录。
b)应按照变更管理制度中的相关要求，对中⽌变更并从失败变更中恢复的过程进⾏管理，明确过程控制⽅法和⼈员职责，必要时对恢复过程进⾏演练。
7．5．11 备份与恢复管理
基本要求：
a)应识别需要定期备份的重要业务信息、系统数据及软件系统等。
b)应规定备份信息的备份⽅式、备份频度、存储介质、保存期等。
c)应根据数据的重要性及其对系统运⾏的影响，制定数据的备份策略和恢复策略，备份策略指明备份数据的放置场所、⽂件命名规则、介质替换频率和数据离站运输⽅法。
增强要求：
a)应按照数据备份和恢复的制度要求，对备份过程进⾏记录，备份介质和记录⽂件应妥善保存。
b)应每季度执⾏恢复程序，检查和测试备份介质的有效性，确保可以在恢复程序规定的时间内完成备份的恢复。
7．5．12 安全事件处置
基本要求：
a)应报告所发现的安全弱点和可疑事件，且任何情况下⽤户均不应尝试验证弱点。
b)应通过安全事件报告和处置管理制度来明确安全事件类型，规定安全事件的现场处理、事件报告和后期恢复的管理职责。
c)应根据安全事件对征信系统产⽣的影响，采⽤国家相关管理部门对计算机安全事件等级划分⽅法，对征信系统计算机安全事件进⾏等级划分。
d)应记录并保存所有报告的安全弱点和可疑事件，分析事件原因，监控事态发展，采取措施避免安全事件发⽣。
增强要求：
a)应制定安全事件报告和响应处理程序，确定事件的报告流程，响应和处置的范围、程度，以及处理⽅法等。
b)应在安全事件报告和响应处理过程中，分析和鉴定事件产⽣的原因，收集证据，记录处理过程，总结经验教训，制定防⽌再次发⽣的补救措施，过程形成的所有⽂件和记录均应妥善保存。
版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。
发表评论