第一章 總 則
第一節(jié) 目 標
1 11 最大程度地防范技術操作風險，保護投資者利益，維護證券經營機構的合法權益，促進證券市場健康發(fā)展。
112 充分吸收國外先進經驗和國內計算機信息技術應用成果，推動信息系統(tǒng)建設與技術管理水平的協(xié)調發(fā)展，提高證券行業(yè)的整體技術水平。
113 指導證券經營機構下屬證券營業(yè)部(以下簡稱營業(yè)部)加強計算機信息系統(tǒng)的優(yōu)化建設和安全管理，加強計算機信息技術人員的管理，防止數(shù)據遺失、損壞、篡改、泄漏，提高系統(tǒng)運行的安全性、可靠性與穩(wěn)定性。
第二節(jié) 原 則
121 安全性原則。營業(yè)部在信息系統(tǒng)的設計、開發(fā)、運行、維護各環(huán)節(jié)和硬件、軟件、網絡通訊、數(shù)據、管理制度各方面，都必須貫徹安全性原則。應當把安全措施落實到信息技術管理的每個環(huán)節(jié)、每個方面;應當使從業(yè)人員牢固樹立技術風險的防范意識。
122 實用性原則。營業(yè)部應當加強信息技術管理，注重采用先進成熟技術。在確保系統(tǒng)安全的前提下，力求避免因不切實際地提高系統(tǒng)安全級別而造成投資浪費;避免因引用任何未經消化吸收的境外安全保密技術和設備而對信息技術管理造成消極影響。
123 可操作性原則。信息技術管理規(guī)范必須具有可操作性。營業(yè)部根據本規(guī)范細化與完善其信息技術管理制度時，也應當力求簡單明確，便于對照檢查，便于操作。
第三節(jié) 制定與實施
131 根據《中華人民共和國計算機信息系統(tǒng)安全保護條例》及有關規(guī)定，結合我國證券業(yè)具體情況，制定本規(guī)范。
132 本規(guī)范由中國證券監(jiān)督管理委員會發(fā)布和監(jiān)督實施。
133 本規(guī)范原則上每兩年修訂一次。
134 本規(guī)范由中國證券監(jiān)督管理委員會負責解釋。
第二章 管理體系
第一節(jié) 組織結構
211 各證券經營機構計算機信息技術工作必須實行統(tǒng)一歸口管理，建立健全組織機構。證券經營機構應設立計算機信息系統(tǒng)管理部門(以下稱電腦中心)，營業(yè)部相應設立計算機工作管理部門(以下稱電腦部).
212 電腦中心是證券經營機構信息系統(tǒng)規(guī)劃、建設、管理的主管部門。電腦中心內部應建立職責明確、相互制約的分工體系，可設置運行、開發(fā)、管理等工作部門。電腦中心的主要職能是：
(1)負責制定與信息系統(tǒng)相關的規(guī)章制度;
(2)負責信息系統(tǒng)建設的總體規(guī)劃并組織實施;
(3)根據證券經營機構業(yè)務目標與計劃制定計算機工作計劃并組織實施;
(4)審核營業(yè)部電腦負責人的任職資格;
(5)負責信息技術人員的培訓與考核;
(6)負責計算機硬件與軟件的選型;
(7)審核計算機硬件設備的購置、報損、報廢;
(8)負責計算機軟件的開發(fā)與購買;
(9)保障信息系統(tǒng)安全運行，為營業(yè)部提供技術支持;
(10)負責交易業(yè)務數(shù)據及其它重要數(shù)據的備份管理;
(11)負責技術資料的管理;
(12)負責對營業(yè)部的信息系統(tǒng)進行定期或不定期的專項檢查;
(13)指導和監(jiān)督電腦部工作;
(14)跟蹤研究信息技術的發(fā)展;
(15)公司授權的其它管理職能。
213 電腦部負責本營業(yè)部信息系統(tǒng)日常的運行、管理與維護。電腦部在技術上接受電腦中心的管理、指導和考核。電腦部的主要職能是：
(1)負責本營業(yè)部信息系統(tǒng)的安全運行，開市之前做好系統(tǒng)的運行準備工作，開市期間實時監(jiān)控系統(tǒng)的運行狀況，收市以后配合清算員完成日結清算等盤后工作;
(2)及時處理證券交易所及有關部門播發(fā)的涉及信息系統(tǒng)運行的數(shù)據與文件;
(3)負責對本營業(yè)部業(yè)務人員進行計算機操作指導，協(xié)助電腦中心對有關業(yè)務人員進行技術培訓;
(4)完整、準確地記錄信息系統(tǒng)的運行日志，詳細記載發(fā)生異常時的現(xiàn)象、時間、處理方式等內容并妥善保存有關原始資料，發(fā)生技術事故及時報告;
(5)負責計算機硬件設備的管理和維護，保持系統(tǒng)處于良好的運行狀態(tài);
(6)負責交易業(yè)務數(shù)據及其它重要數(shù)據的備份;
(7)根據營業(yè)部業(yè)務發(fā)展的要求，提交軟件需求報告及硬件采購計劃;
(8)編制營業(yè)部計算機設備的維修、報損、報廢計劃，報電腦中心審核;
(9)處理經電腦中心核準的其它事務。
第二節(jié) 人員管理
221 為保障信息系統(tǒng)的開發(fā)與運行管理質量，證券經營機構營業(yè)部信息技術人員編制應不少于總人數(shù)的百分之十。
222 信息技術人員應具備大專以上學歷，具有計算機基礎理論知識和專業(yè)技術經驗、較強的業(yè)務工作能力和再學習能力、良好的職業(yè)道德和服務意識，富有敬業(yè)精神和團隊合作精神。
223 禁止錄用有犯罪或其他嚴重違法行為記錄的人員從事證券行業(yè)計算機工作。
224 關鍵技術崗位必須經過嚴格考核，合格后方可上崗。
225 電腦中心應配合人事部門定期對信息技術人員進行考核。
226 定期對信息技術人員進行業(yè)務培訓和技術培訓，不合格或未參加培訓者嚴禁上崗。
227 營業(yè)部電腦負責人之間應定期或不定期輪換。
228 離崗人員必須嚴格辦理離崗手續(xù)，明確其離崗后的保密義務，退還全部技術資料。信息系統(tǒng)的口令必須立即更換。
第三節(jié) 安全管理
231 建立計算機安全管理組織，證券經營機構要指定一職能部門負責公司及所屬營業(yè)部的計算機安全管理。由公司總經理(總裁)主管計算機安全工作，營業(yè)部負責人為營業(yè)部計算機安全工作責任人。
232 計算機安全管理組織的主要任務是：制定計算機安全管理制度，廣泛開展計算機安全教育，定期或不定期進行計算機安全檢查，保證計算機系統(tǒng)安全運行。
233 計算機安全管理的主要內容包括安全防范設施和安全保障機制，以有效降低系統(tǒng)風險和操作風險，預防不法分子利用計算機作案。
234 建立計算機機房安全管理制度
(1)建立完整的計算機運行日志、操作記錄及其它與安全有關的資料;
(2)交易時間內機房必須有當班值班人員;
(3)定期檢查安全保障設備，確保其處于正常工作狀態(tài);
(4)建立并嚴格執(zhí)行機房進出管理制度，無關人員未經安全責任人批準嚴禁進出機房;
(5)嚴禁易燃易爆和強磁物品及其它與機房工作無關的物品進入機房。
235 建立操作安全管理制度
(1)應采取嚴密的安全措施防止無關用戶進入系統(tǒng);
(2)數(shù)據庫管理系統(tǒng)的口令必須由電腦中心專人掌管，并要求定期更換。禁止同一人掌管操作系統(tǒng)口令和數(shù)據庫管理系統(tǒng)口令;
(3)操作人員應有互不相同的用戶名，定期更換操作口令。嚴禁操作人員泄露自己的操作口令;
(4)必須啟用系統(tǒng)軟件提供的安全審計留痕功能;
(5)各崗位操作權限要嚴格按崗位職責設置。應定期檢查操作員的權限;
(6)重要崗位的登錄過程應增加必要的限制措施;
(7)營業(yè)部計算機信息技術人員不得擔任清算員從事結算記賬工作;
(8)建立和完善技術監(jiān)管系統(tǒng)，定期進行獨立的對賬，核對交易數(shù)據、清算數(shù)據、保證金數(shù)據、證券托管數(shù)據以及會計數(shù)據的一致性和連續(xù)性;
(9)對數(shù)據備份和審計記錄建立定期查驗制度。
236 建立計算機病毒防范制度
(1)電腦中心應指定專人負責計算機病毒防范工作。電腦部應定期進行病毒檢測，發(fā)現(xiàn)病毒立即處理并報告;
(2)新系統(tǒng)安裝前應進行病毒例行檢測;
(3)經遠程通信傳送的程序或數(shù)據，必須經過檢測確認無病毒后方可使用;
(4)禁止運行未經電腦中心審核批準的軟件;
(5)應采用國家許可的正版防病毒軟件并及時更新軟件版本。
第四節(jié) 技術資料管理
241 技術資料是指與信息系統(tǒng)有關的技術文件、圖表、程序與數(shù)據，包括信息系統(tǒng)建設規(guī)劃、網絡設計方案、軟件設計方案、安全設計方案、源代碼、系統(tǒng)配置參數(shù)、技術數(shù)據及相關技術資料。
242 各級管理機構應制定技術資料的管理制度，明確執(zhí)行管理制度的責任人。
243 借閱、復制技術資料應履行必要的手續(xù)。
244 重要技術資料應有副本并異地存放。
245 技術資料應實施密期管理辦法。
246 報廢的技術資料應有嚴格的銷毀和監(jiān)銷制度。
第三章 硬件設施
第一節(jié) 計算機機房
311 計算機機房建設應符合國標GB2887-89《計算站場地技術條件》和GB9361-88《計算站場地安全要求》.
312 供電系統(tǒng)
(1)機房應有單獨的配電柜，計算機系統(tǒng)要設有獨立于一般照明電的專用的供配電線路，其容量應有一定的余量，建議采用雙路供電;
(2)機房應配備不間斷電源設備，其容量應保證機房設備和關鍵交易設備在斷電情況下維持到后備電源供電。無備用發(fā)電機時，不間斷電源設備應能夠持續(xù)供電4小時以上。
313 接地與防雷系統(tǒng)
(1)機房應采用獨立的工作地和防雷保護地。工作地和防雷保護地之間的距離應大于10米;
(2)工作地的接地電阻應小于4歐姆，防雷保護地的接地電阻應小于10歐姆;
(3)各類通信線路和設備宜增加相應的防雷設施。
314 機房環(huán)境
(1)機房的使用面積(不包括不間斷電源放置面積)不得小于30平方米;
(2)機房的操作間與設備間應作分隔，布局應有良好的人機工作環(huán)境，保障工作人員的安全與健康;
(3)機房宜安裝獨立空調設備;
(4)機房應有防火、防潮、防塵、防盜、防磁、防鼠等設施;
(5)機房應配置備用應急照明裝置。
第二節(jié) 遠程通信
321 證券經營機構與所屬營業(yè)部之間必須建立可靠的通信線路聯(lián)接。
322 營業(yè)部與交易所之間的通信聯(lián)接必須安全可靠。
323 重要通信線路必須建立后備線路。
324 通信線路接口部分應采取防止非法進入的安全措施。
325 通信設備應具有防干擾、防截取能力，具有加密傳輸功能。
326 通信設備應建立設備備份。
第三節(jié) 計算機設備
331 服務器
(1)服務器應具有充分的可靠性和充足的容量;
(2)服務器應具有一定的容錯特性，宜采用鏡像、陣列、雙機、群集等容錯技術;
(3)服務器應有備品備件。
332 工作站
(1)工作站應具有良好的性能及可靠性;
(2)除計算機機房外，一律使用無軟驅或光驅等可卸存儲裝置的網絡工作站;
(3)重要工作站應有冗余備份。
333 數(shù)據存儲設備
(1)應配備安全可靠的數(shù)據備份設備;
(2)交易業(yè)務數(shù)據的存儲應采用只讀式數(shù)據記錄設備。
第四節(jié) 局域網絡
341 布線系統(tǒng)設計可參照CECS72∶97《建筑與建筑群綜合布線系統(tǒng)工程設計規(guī)范》. 在現(xiàn)行技術條件下，不宜繼續(xù)使用同軸細纜。
342 網絡結構應合理可靠。
343 網絡設備應兼具技術先進性和產品成熟性。
344 網絡設備應有冗余備份。
345 通信速率應保證正常業(yè)務開展的需要。
第五節(jié) 電子交易設備
351 營業(yè)部配備的電子交易系統(tǒng)必須達到一定的安全級別。
352 客戶操作電子交易設備應有嚴格的身份識別機制。
353 應采取適當措施，保證設備完好率不低于百分之九十。
354 各種形式的遠程交易系統(tǒng)必須采取嚴格的安全措施。
355 營業(yè)部交易場所應配備行情揭示設備，完整、準確、及時地顯示行情信息。
第六節(jié) 設備管理
361 電腦中心統(tǒng)一管理證券經營機構及下屬營業(yè)部的計算機設備。
362 計算機設備的選型、購置、登記、保養(yǎng)、維修、報廢等必須嚴格按規(guī)定手續(xù)辦理，重大設備應建立維護檔案。
363 選用的計算機設備必須經過技術論證，符合國家有關標準的規(guī)定，滿足可靠性與兼容性要求。
364 新購置的設備應經過測試，測試合格后方能投入使用。
365 必須定期對計算機設備進行專業(yè)維護保養(yǎng)。
366 未經電腦中心或電腦部許可，不得擅自開拆設備或調換設備配件。
第四章 軟件環(huán)境
第一節(jié) 系統(tǒng)軟件
411 營業(yè)部使用的系統(tǒng)軟件主要包括操作系統(tǒng)軟件和數(shù)據庫管理軟件。系統(tǒng)軟件的選用應充分考慮軟件的安全性、可靠性、穩(wěn)定性和健壯性。
412 應使用正版軟件。
413 系統(tǒng)軟件應具備如下功能：
(1)身份驗證功能，防止非法用戶隨意進入系統(tǒng);
(2)訪問控制功能，防止系統(tǒng)中出現(xiàn)越權訪問;
(3)故障恢復功能，能夠自動或在人工干預下從故障狀態(tài)恢復到正常狀態(tài)而不致造成系統(tǒng)混亂和數(shù)據丟失;
(4)安全保護功能，對信息的交換、傳輸、存儲提供安全保護;
(5)安全審計功能，便于應用系統(tǒng)建立訪問用戶資源的審計記錄;
(6)分權制約功能，支持對操作員和管理員的權限分離與相互制約。
414 必須啟用系統(tǒng)軟件提供的安全審計留痕功能。
415 系統(tǒng)軟件應達到C2級以上(含C2級)安全級別。
416 數(shù)據庫管理軟件除上述功能要求外，還應具有數(shù)據庫的安全性、完整性、一致性及可恢復性保障機制。
第二節(jié) 應用軟件
421 營業(yè)部應用軟件包括營業(yè)部證券交易業(yè)務處理系統(tǒng)、信息揭示與分析系統(tǒng)及其它業(yè)務處理系統(tǒng)等。
422 營業(yè)部交易業(yè)務處理系統(tǒng)必須具有如下特性：
(1)自動記錄全部操作過程;
(2)關鍵數(shù)據不得以明碼存放;
(3)無法繞過應用界面直接查看或操作數(shù)據庫;
(4)系統(tǒng)管理與業(yè)務操作權限嚴格分開;
(5)防止異常中斷后非法進入系統(tǒng);
(6)提供超時鍵盤鎖定功能;
(7)交易業(yè)務數(shù)據在通信網絡上以加密方式傳輸;
(8)應存儲一年以上完整的系統(tǒng)運行記錄與交易清算記錄;
(9)提供系統(tǒng)運行狀態(tài)監(jiān)控模塊;
(10)提供數(shù)據接口，滿足稽核、審計及技術監(jiān)控的要求;
(11)其它有助于控制業(yè)務操作風險的功能特性。
423 信息揭示與分析系統(tǒng)必須保證信息揭示的完整、準確、及時。
第三節(jié) 軟件管理
431 應用軟件在開發(fā)或購買之前應正式立項，成立由技術人員、業(yè)務人員和管理人員共同組成的項目小組并建立軟件質量保證體系。
432 根據應用系統(tǒng)對安全的要求，同步進行安全保密設計。
433 軟件開發(fā)過程應符合GB/T8566-1995《信息技術軟件生存期過程》.
434 開發(fā)維護人員與操作人員必須實行崗位分離，開發(fā)環(huán)境和現(xiàn)場必須與生產環(huán)境和現(xiàn)場隔離。軟件設計方案、數(shù)據結構、加密算法、源代碼等技術資料嚴禁流入生產現(xiàn)場、散失和外泄。
435 應用軟件在正式投入使用前必須經過內部評審，確認系統(tǒng)功能、測試結果和試運行結果均滿足設計要求，技術文檔齊全，并經證券經營機構分管領導批準。
436 應規(guī)定軟件的使用范圍和使用權限。
437 軟件使用人員應經過適當?shù)牟僮髋嘤柡桶踩逃?/p>
438 建立應用軟件的文檔管理制度、版本管理制度及軟件分發(fā)制度，防止軟件的盜用、誤用、流失及越權使用。
439 證券經營機構下屬營業(yè)部應使用統(tǒng)一的系統(tǒng)軟件和應用軟件。
4310 營業(yè)部信息技術人員不得擅自進行軟件維護和系統(tǒng)參數(shù)調整。
4311 應采取有效措施，防止對應用軟件的非法修改。
第五章 數(shù)據管理
第一節(jié) 交易業(yè)務數(shù)據
511 交易業(yè)務數(shù)據主要包括交易數(shù)據、清算數(shù)據及其它相關數(shù)據。
512 應建立交易業(yè)務數(shù)據管理制度，對交易業(yè)務數(shù)據實施嚴格的安全保密管理。
513 電腦中心設置數(shù)據庫管理員崗位，對交易業(yè)務數(shù)據實行專人管理。營業(yè)部信息技術人員不得擁有數(shù)據庫管理員操作口令。
514 營業(yè)部信息系統(tǒng)內應保存一年以上的交易業(yè)務數(shù)據。
515 電腦中心應建立營業(yè)部交易業(yè)務數(shù)據映象并定期和不定期與營業(yè)部交易業(yè)務數(shù)據進行核對，防止使用過程中產生誤操作或被非法篡改。
516 數(shù)據備份：
(1)每個工作日結束后必須制作數(shù)據的備份并異地存放，保證系統(tǒng)發(fā)生故障時能夠快速恢復;
(2)交易業(yè)務數(shù)據必須定期、完整、真實、準確地轉儲到不可更改的介質上，并要求集中和異地保存，保存期限至少20年;
(3)備份的數(shù)據必須指定專人負責保管，由營業(yè)部計算機信息技術人員按規(guī)定的方法同數(shù)據保管員進行數(shù)據的交接。交接后的備份數(shù)據應在指定的數(shù)據保管室或指定的場所保管;
(4)數(shù)據保管員必須對備份數(shù)據進行規(guī)范的登記管理;
(5)備份數(shù)據不得更改;
(6)備份數(shù)據保管地點應有防火、防熱、防潮、防塵、防磁、防盜設施。
517 數(shù)據保密：
(1)數(shù)據不得泄露，禁止外借;
(2)數(shù)據應僅用于明確規(guī)定的目的，未經批準不得它用;
(3)無正當理由和有關批準手續(xù)，不得查閱客戶資料。經正式批件查閱數(shù)據時必須登記，并由查閱人簽字;
(4)保密數(shù)據不得以明碼形式存儲和傳輸;
(5)根據數(shù)據的保密規(guī)定和用途，確定數(shù)據使用人員的存取權限、存取方式和審批手續(xù).
518 交易業(yè)務數(shù)據不得隨意更改。
第二節(jié) 系統(tǒng)數(shù)據
521 系統(tǒng)數(shù)據主要包括數(shù)據字典、權限設置、存貯分配、網絡地址、硬件配置及其它系統(tǒng)配置參數(shù)。
522 應制定系統(tǒng)數(shù)據管理制度，對系統(tǒng)數(shù)據實施嚴格的安全與保密管理，防止系統(tǒng)數(shù)據的非法生成、變更、泄漏、丟失與破壞。
523 設置系統(tǒng)管理員崗位，對系統(tǒng)數(shù)據實行專人管理。
524 系統(tǒng)數(shù)據不得泄露。
525 電腦中心應保存營業(yè)部的系統(tǒng)數(shù)據，并定期進行核對。
第六章 技術事故的防范與處理
第一節(jié) 技術事故及其防范
611 技術事故是指由于硬件故障、軟件故障和操作失誤等原因引起系統(tǒng)無法運行，經啟動備用系統(tǒng)仍未恢復正常，導致交易中斷并造成經濟損失的事件。
612 技術事故的防范原則是：預防為主、處理及時，力爭把事故的損失降低到最小程度。
613 建立健全技術事故的防范對策，嚴格按本規(guī)范要求建設、管理信息系統(tǒng)的硬件設施和軟件環(huán)境，定期進行事故防范演習，針對薄弱環(huán)節(jié)不斷改進完善。
614 制定技術事故發(fā)生時的應急計劃：
(1)應急計劃必須形成文字;
(2)應急計劃應針對可能發(fā)生的故障制定緊急處理程序;
(3)緊急處理程序應張貼在規(guī)定的地方;
(4)對執(zhí)行應急計劃的全體人員進行專項培訓，定期進行演習;
(5)根據演習結果不斷完善應急計劃。
第二節(jié) 技術事故的處理
621 下列情況營業(yè)部免責：
(1)因不可抗力引發(fā)的技術事故;
(2)因軟硬件故障導致的技術事故，經技術專家論證，確認營業(yè)部信息系統(tǒng)建設和管理符合本規(guī)范要求，確屬小概率或偶發(fā)性事件;
(3)因證券交易所原因導致的交易中斷。
622 因通信線路故障導致的技術事故，應會同通信部門共同調查，界定責任。
623 因營業(yè)部操作失誤導致的技術事故，經調查核實后，營業(yè)部負相關責任。
624 技術事故的事后處理：
(1)證券經營機構安全管理組織應立即進行事故調查，提出書面調查報告，必要時可組織有關專家鑒定，確定事故的原因和責任;
(2)對調查中發(fā)現(xiàn)的技術薄弱環(huán)節(jié)，應限期整改。
