证券公司网上证券信息系统技术指引

第一篇：证券公司网上证券信息系统技术指引

证券公司网上证券信息系统技术指引

第一章 总则

第一条 为保障网上证券信息系统的安全、可靠、高效运行，促进证券公司在网上开展的证券业务健康有序发展，保护投资者的合法权益，依据《中华人民共和国电子签名法》、《中华人民共和国计算机信息系统安全保护条例》、《计算机信息网络国际联网安全保护管理办法》等相关法律法规制定本指引。

第二条 本指引适用于在中华人民共和国境内依法设立的证券公司。

第三条 网上证券信息系统是证券公司在网上开展证券业务活动中所采用的由相关网络设备、计算机设备、软件及专用通讯线路等构成的信息系统，包括网上证券服务端、客户端和门户网站。

第四条 证券公司利用网上证券信息系统开展证券业务应遵循如下基本原则：

（一）安全性原则：网上证券信息系统的建设应提高风险防范意识，保证在网上开展证券业务的安全性。通过技术措施和管理手段，实现信息的保密性、完整性和服务可用性。

（二）系统性原则：网上证券信息系统的安全建设应覆盖安全保障体系的各个方面，包括：安全体系建设、证券业务在网上的开展、网络和系统安全、应用系统安全、运维和安全保障、灾难恢复和应急措施等。

（三）可用性原则：网上证券信息系统的建设应在保障安全的原则下，确保在网上开展的证券业务的连续性和可靠性。

第五条 中国证券业协会对证券公司执行本指引的情况进行指导和督促。

第二章 基本要求

第六条 证券公司对网上证券信息系统应统一规划、集中管理，保证在网上开展证券业务安全、有序发展。

第七条 证券公司应制定在网上开展证券业务的各项安全管理制度，对安全管理目标、安全管理组织、安全人员配备、安全策略、安全措施、安全培训、安全检查、系统建设、运行管理、应急措施、风险控制、安全审计等方面作出规定。

第八条 证券公司应根据在网上开展证券业务特性，设立相应的管理职能岗位，明确在网上开展证券业务管理的责任，配备合格、足够的管理人员和技术人员，包括安全管理员、安全审计员等。

第九条 证券公司应将在网上开展证券业务的风险管理纳入证券公司风险控制工作范围，建立健全网上证券风险控制管理体系。

第十条 对在网上开展证券业务的审计应纳入证券公司的审计工作范围。

第十一条 证券公司网上证券信息系统应部署在中华人民共和国境内，满足技术审计、监管部门现场检查及中国司法机构调查取证等要求。部署网上证券信息系统的有形场所，应符合国家安全标准的有关要求。

第十二条 证券公司应当与投资者签订网上证券服务协议或合同，明确双方的权利、义务和相关风险的责任承担，向投资者充分揭示使用网上证券信息系统可能面临的风险、证券公司已采取的风险控制措施和客户应采取的风险防范措施。

第十三条 证券公司应通过多种方式揭示使用网上交易方式可能面临的风险和客户应采取的风险防范措施，提醒投资者加强账号、口令的保护工作，建议投资者定期修改口令、增强口令强度、防止口令泄露、防止用于网上交易的计算机或手机终端感染木马、病毒等，并根据投资者需要开启或关闭网上交易方式。

第十四条 证券公司应尽可能使用统一的网上证券服务电话、域名、短信号码等，并应在与投资者签订的协议或合同中明确告知客户使用网上证券信息系统的合法途径、意外事件的处理办法，以及证券公司联系方式等。

第十五条 证券公司的网上证券信息系统应自主运营、自主管理。如涉及第三方（指除证券公司及其客户以外的任何一方），应与第三方签订保密协议和服务级别协议，并明确责任，采取措施防止通过第三方泄露用户信息。

第十六条 证券公司通过网上证券信息系统向客户提供证券交易的行情信息，应提示行情源；如向客户提供证券信息，应说明信息来源，并提示投资者对行情信息及证券信息等进行核实。

第十七条 证券公司应对网上证券信息系统的各个子系统合理划分安全域，在不同安全域之间进行有效的隔离，保障网上证券信息系统的接入系统与其后台系统在技术上进行有效隔离，后台系统应与行情、资讯处理系统进行网络隔离，并应部署在证券公司可控的物理安全域内。

第十八条 证券公司应在两个以上的物理地点建立网上证券信息系统，互为备份，并应具备2个或2个以上不同运营商的互联网接入，避免在同一运营商的线路接入上出现单点故障和瓶颈，同时应充分考虑不同互联网运营商的互联瓶颈问题，确保局部故障或灾难发生时，系统能继续对用户提供服务。

第十九条 对于外包定制的网上证券信息系统，证券公司应与软件开发商签署服务协议和保密协议，明确客户端、服务端以及数据传输过程均无后门，明确软件开发商应用软件中使用的插件具备合法版权，以确保客户数据、交易资料不被泄漏，保障证券公司的权益。

第三章 门户网站

第二十条 证券公司门户网站指证券公司建立的实现信息发布、业务咨询、营销推广、客户服务和投资者教育等功能的网站。

第二十一条 证券公司门户网站应当按照国家主管部门的有关规定办理网站备案，并提供备案信息的链接。

第二十二条 证券公司应定期对网站程序代码进行全面检查和评估，并及时修补，避免各种漏洞的存在。

第二十三条 证券公司应在门户网站部署防篡改系统，当网站上的页面内容、提供给投资者下载的客户端软件及其它文件被异常修改时，能自动告警或自动恢复，防止被捆绑木马程序。

第二十四条 与核心交易业务有关的客户资料、交易数据等客户敏感数据不得存放在门户网站数据库中。网上客户业务处理的日志应单独存放。

第二十五条 在证券公司门户网站中客户账号及口令，应采用加密方式传输，并最低达到SSL协议128位的加密强度。

第二十六条 证券公司应该建立对门户网站内容发布的审核、管理和监控机制，对网页内容进行监控，对有害信息进行过滤，防止网站出现不良信息。

第四章 网上证券客户端

第二十七条 网上证券客户端是指证券公司通过互联网向本公司开户的客户提供的用于查看行情、检索资讯、交易委托等的应用程序，包括基于计算机和手机等终端的前端软件。

第二十八条 网上证券客户端应提供技术手段协助用户检查、清除木马等恶意程序，并提供验证码、强制口令图形键盘、安全的口令输入安全控件、客户端电脑或手机特征码绑定、软硬件证书、动态口令等多种用户认证方式，防范不法分子利用木马等黑客程序窃取客户账号和口令信息，进行证券盗买盗卖非法活动。

第二十九条 网上证券客户端应具备反调试能力。

第三十条 网上证券客户端的客户身份信息和交易数据等重要数据传输应采用国家信息安全机构认可的加密技术和加密强度，并最低达到SSL协议128位的加密强度。

第三十一条 网上证券客户端应能向客户提示最近一次登录的日期、时间、地址等信息。

第三十二条 网上证券客户端应能在指定的闲置时间间隔到期后，自动锁定客户端的使用。

第三十三条 网上证券客户端应具有唯一连接到本证券公司网上证券接入系统的保障机制。网上证券客户端应提供足够的识别信息，以保证网上证券服务端能够对发出连接请求的客户端与证券公司所提供下载的程序进行一致性验证。

第三十四条 当客户访问网上证券服务端时，未经客户许可，不得以任何方式在客户端系统中安装插件。

第三十五条 网上证券客户端在本地计算机储存客户账户、交易数据等重要信息，应提示客户，经客户确认后以加密方式存储。

第五章 网上证券服务端

第三十六条 网上证券服务端是指证券公司通过互联网向客户提供网上交易、网上行情、数据查询等服务的信息系统，包括互联网接入子系统、安全防护与监控子系统、应用服务子系统、身份认证子系统和后台隔离子系统。

第三十七条 证券公司应提供预留验证信息服务，在客户登录时向客户显示预留的验证信息，帮助客户识别仿冒的网上证券信息系统，防范不法分子利用仿冒的网上证券信息系统进行诈骗活动或盗取用户账号、口令等信息。

第三十八条 证券公司应提供可靠的用户身份认证机制，支持网上证券客户端采用多种认证方式与服务端进行身份认证。除输入账户名、口令、验证码的身份认证方式之外，还应向客户提供一种以上强度更高的身份认证方式，如，客户端电脑或手机特征码绑定、软硬件证书、动态口令等认证方式，确认网上交易客户的身份和登录的合法性，防止非法接入。用户身份认证信息应当在服务器上加密存放。

第三十九条 证券公司应提供可靠的访问控制和权限管理机制，防止客户的授权被恶意提升或转授，防止客户使用未经授权的功能，防止客户进行访问未经授权的数据等非法访问活动。

第四十条 网上证券信息系统采用的认证授权和加密体系应通过国家信息安全机构的安全性测评，具备足够的强度和抗攻击能力，并根据在网上开展证券业务的安全性需要和信息技术的发展，定期检查、评估和及时调整。

第四十一条 网上证券信息系统未经证券公司授权不得与第三方进行任何形式的数据交换，并具备经过认证后仅向授权的第三方指定地址发送信息的功能。

第四十二条 证券公司应保证网上证券数据传输的保密性、完整性、真实性和可稽核性，对网上交易委托的客户信息、交易指令及其他敏感信息进行可靠的加密，加解密应在投资者与证券公司实际控制的设备中进行，不得存在任何中间环节对数据进行加解密。

第四十三条 网上证券服务端应防止用户使用简单口令，应能够抵御连续猜测等对客户账户恶意攻击行为。

第四十四条 网上证券服务端应对不完整、被篡改、重发的数据包进行监控，对登录、委托方式、品种、价格、数量、操作频率、转账等异常行为进行跟踪、监控和限制，记录其账号、IP地址等相关信息，并通过短信、电话等方式及时提示客户，必要时进行用户临时锁定。监控和处置情况应形成记录备查。

第四十五条 网上证券服务端应能监控并避免攻击者通过群体大规模对合法证券账户进行非法用户登陆的请求，导致大量用户账户被异常锁定，正常用户无法登陆。

第四十六条 网上证券服务端应能在指定的时间间隔到期后，自动中止用户对系统的访问权。

第四十七条 网上交易服务端应能产生、记录并集中存储必要的日志信息，其中应包含能识别服务请求方身份的内容、登录终端的IP地址、MAC地址、手机号码和终端特征码等，并确保数据的可审计性，满足监管部门现场检查要求及司法机构调查取证的要求。

第四十八条 网上证券服务端应能向客户提供可证明服务端自身身份的信息，以确保客户能查验所使用服务的真实性。

第四十九条 网上证券服务端应能够有效屏蔽系统技术错误信息，不将系统产生的错误信息直接反馈给客户。

第五十条 网上证券服务端应能够提供系统运行健康状况信息(如活动状态、并发在线客户数目、并发会话数目、线程数目、队列长度等)、错误信息、安全警告等。

第五十一条 基于浏览器的网上证券下单网页应当使用HTTPS等加密方式与服务端交互，服务端应具备防范SQL注入式攻击、跨站脚本攻击等网页攻击的能力，同时关闭HTTP服务器的Web远程维护功能。

第六章 移动证券

第五十二条 移动证券指客户通过手机或其他具备无线数据通讯能力的移动设备，经无线公众网络获取证券公司提供的行情信息、资讯信息服务或进行交易、转账、查询等证券自助业务。

第五十三条 证券公司应使用安全、可靠的移动证券系统。移动证券系统宜自主运营，实现数据从用户终端到网上证券服务端之间的加密传送和控制，并随着技术的发展，不断提高加密强度，完善认证算法。

第五十四条 证券公司应建立确认机制以保证客户获得正确的移动证券客户端软件。

第五十五条 移动证券客户端应具备一定加密强度的用户认证功能，保护客户账号和口令信息。

第五十六条 证券公司应在门户网站或固定营业场所公告短信服务号码、移动证券门户网站地址等信息，提醒客户防范他人利用移动通讯设备进行欺诈。

第五十七条 证券公司应根据移动证券业务的网络延迟时间、链路稳定状况、信号衰减程度等风险因素，对行情或交易数据可能出现明显滞后或产生数据丢失的情况，事先对客户进行风险提示。

第七章 安全管理

第五十八条 证券公司网上证券信息系统的管理、开发、测试应与运营人员及生产环境分离。开发、测试和运营人员未经授权不得访问、修改非职责范围内的网上证券信息系统。

第五十九条 证券公司应制定在网上开展证券业务连续性计划，保证在网上开展证券业务的连续正常运营。在网上开展证券业务连续性计划应充分评估第三方服务供应商对业务连续性的影响，并应采取适当的预防措施。

第六十条 客户使用的网上证券委托软件应由证券公司管理和授权发布，证券公司应对其授权第三方发布的证券委托软件进行审核、监管。

第六十一条 证券公司应采取有效措施对门户网站上提供下载的网上证券客户端软件程序进行保护，客户端软件程序编译封装、形成下载文件后，应安排专人对其进行严格的病毒扫描和木马检查，并通过专用安全手段传输至网站文件下载服务器。

第六十二条 证券公司网上证券应用系统上线或重大版本升级，应进行安全测试和评估。

第六十三条 原则上不允许通过互联网对网上证券信息系统（如防火墙、网络设备、服务器等）进行远程管理和日常维护等操作，对网上证券信息系统的访问控制应做到：

（一）关闭网上证券信息系统所有与业务和维护无关的服务及端口，严格控制防火墙中的权限设置，确保按“最小权限原则”进行设置；

（二）对于网上证券信息系统的内部访问，应严格限制访问源。

（三）特殊紧急情况下需要通过互联网进行远程操作时，应通过限制登录IP、使用数字证书或动态口令、全程监控等措施确保安全，并在操作完成后，及时关闭相关端口。

第六十四条 证券公司应部署有效的网上证券信息系统安全防护与监控子系统，包括防火墙，防病毒、防木马系统，入侵检测系统或入侵防护系统，并正确配置。应及时更新病毒库，定期对系统进行全面的病毒扫描，加强相关系统的日志审查工作，提高网上证券信息系统的防护能力。

第六十五条 证券公司制定的安全措施，应定期检查、测试，并根据实际情况及时调整，保证安全措施的持续有效。

第六十六条 证券公司应建立定期的网上证券信息系统安全风险评估机制和整改的工作制度，及时发现SQL注入漏洞、弱口令账户、绕过验证、目录遍历、文件上传、跨站脚本等系统存在的安全隐患和漏洞，并进行改进和完善。风险评估应通过内部评估与外部评估相结合的方式进行。

第六十七条 安全风险评估应包括漏洞扫描、攻击测试、病毒扫描、木马检测等，针对不同的威胁设置相应的检查频率。

第六十八条 证券公司应对网上证券信息系统进行实时监控，建立异常事件的甄别、报警、处理和报告机制。网上证券信息系统实时监控范围应包括各种安全设备、网络设备、服务器设备及操作系统、通讯线路状态及应用软件等。监控内容包括其运行状况、日志内容、安全警告等，并统一记录保存监控信息，保存期至少为6个月。

第六十九条 证券公司应通过多种技术手段加强对投资者账户异动情况的监控，如委托的方式、品种、价格、数量异常等，并及时提醒客户，以保护客户资产安全。

第七十条 证券公司应对网上证券信息系统中包括网络安全设备、服务器以及应用系统在内的账户进行严格管理，账户权限应按最小权限原则设置，清除所有冗余、与应用无关的账户，并严格限制各管理员账户的使用，禁止用最高权限账户执行一般操作,尽量避免以最高权限账户运行网上信息系统服务端应用软件。

第七十一条 管理员账户和口令应由专人负责，口令长度应在12位以上，且含有字符和数字，区分大小写，并定期更改。

第七十二条 证券公司应严格限制人工对数据库操作的账户权限，并应分别使用不同权限的账户执行查询、插入、更新、删除等操作。

第七十三条 网上证券信息系统各环节应有可靠的热备或冷备措施，保证整个系统的高可用性。

第七十四条 证券公司应根据自身实际情况制订网上证券信息系统的数据备份计划并落实执行。备份的数据应包括：系统程序、配置参数、系统日志、安全审计数据、门户网站信息、客户数据等。

第七十五条 证券公司应保证备份数据的准确性、完整性、可用性。备份数据的管理应符合相关技术管理规定，有严格的保管、使用、检查管理制度。

第七十六条 证券公司应当保障网上证券信息系统运营设施、设备以及安全控制设施、设备的安全。对重要设施、设备的接触、检查、维修和应急处理，应有明确的权限规定、责任划分和操作流程，并建立日志文件管理制度，如实记录并妥善保管相关记录。

第七十七条 证券公司应定期评估可供客户使用的网上证券信息系统的资源状况，并根据实时监控信息、可预见的业务发展需求进行容量的需求预测，确保有充足的处理能力、存储容量和通讯带宽，满足业务增长的需要，保证网上证券服务的可用性，并能抵御一定程度的拒绝服务攻击和缓冲区溢出攻击。

第七十八条 在网上开展证券业务的网络系统、安全系统、应用系统等重要环节应具备足够的冗余，以应对网站及网上交易可能出现的突发峰值；在网上开展证券业务的网络系统、安全系统、应用系统等重要环节应具备良好的可扩充性，以应对业务增长和市场的变化。

第七十九条 证券公司应建立严格的变更管理流程，对包括网络安全设备、服务器、应用系统等软硬件系统和配置变更实行规范化的变更管理，完整、真实地记录和反映系统所涉及的软硬件配置及相互影响关系，并保持与实际生产环境同步更新。

第八十条 证券公司应建立网上证券信息系统应急处理组织体系，并制定相应的应急预案，应急预案应纳入证券公司和行业的应急预案体系内，并按照有关规定进行演练。

第八十一条 证券公司应根据网上证券信息系统故障的影响和损失情况对应急组织体系和应急预案进行分级管理和执行，并遵循统一领导、快速响应、协调配合、最小损失的原则。

第八十二条 证券公司网上证券信息系统应急预案应针对电力、通信等基础设施故障、计算机硬件或网络设备故障、操作系统或应用系统故障、操作系统或应用系统漏洞、病毒入侵、恶意攻击、误操作、不可抗力等可能的故障原因制定对应的应急恢复操作流程或步骤。

第八十三条 证券公司在发现假冒本公司网上证券服务的非法活动或者网上证券信息系统出现重大安全事件后，应及时向监管部门、公安机关报告。在启动实施网上证券信息系统应急预案时应及时向投资者公告。对于假冒本公司的非法活动应及时通过证券公司网站、网上证券客户端、电话语音系统或短信平台等提醒投资者注意。

第八章 附则

第八十四条 本指引由中国证券业协会负责解释。

第八十五条 本指引自发布之日起施行。

第二篇：证券公司证券营业部信息技术指引》(征求意见稿)

证券公司证券营业部信息技术指引

（征求意见稿）

第一章 总则

第一条 为加强证券公司证券营业部信息技术管理，防范技术风险，保障证券市场平稳运行，依据《中华人民共和国证券法》、中国证监会规章和中国证券业协会自律规则的有关规定，制定本指引。

第二条 证券公司应全面负责证券营业部信息技术的管理，统一制定证券营业部信息技术的建设、运维、安全等相关管理制度，并督促证券营业部有效执行。

第三条 证券公司应遵循信息系统安全性、实用性、可操作性等原则，统一规划和建设证券营业部的信息系统。

第四条 根据证券营业部是否提供现场交易服务和是否部署与现场交易服务相关的信息系统，证券营业部的信息系统建设模式可以区分为：

A型模式：在营业场所内部署与现场交易服务相关的信息系统为客户提供现场交易服务。采用该类型信息系统建设模式的证券营业部，以下简称为“A型证券营业部”。作为其他证券营业部网络通信汇聚节点，且所连接的证券营业部中提供现场交易服务的证券营业部，视同为“A型证券营业部”。

B型模式：在营业场所内未部署与现场交易服务相关的信息系统，但依托公司总部或其他证券营业部的信息系统为客户提供现场交易服务。采用该类型信息系统建设模式的证券营业部，以下简称为“B型证券营业部”。

C型模式：在营业场所内未部署与现场交易服务相关的信息系统且不提供现场交易服务。采用该类型信息系统建设模式的证券营业部，以下简称为“C型证券营业部”。

证券公司可根据自身状况和业务发展需要，自主选择证券营业部信息系统建设模式。

第五条 证券公司应为A型证券营业部至少配备一名专职技术人员、B型证券营业部至少配备一名兼职技术人员，并制定顶岗、备岗等相关制度，确保在交易时间内有技术人员值守。专职技术人员和兼职技术人员应具有计算机相关专业学历或从事信息技术工作1年以上。

第二章 系统建设

第六条 A型证券营业部应设机房。B型和C型证券营业部可不设机房，但网络及通信等设备应集中放置和管理。

第七条 机房选址应满足如下要求：

（一）选择具备可靠供电的场所；

（二）远离强震源、强磁场源和强噪声源，远离电磁干扰源或实施有效电磁干扰防护；

（三）远离产生粉尘、油烟、有害气体以及具有腐蚀性、易燃、易爆物品的工厂、仓库等场所；

（四）符合当地抗震强度要求；

（五）符合当地消防主管部门的消防安全要求；

（六）尽量避免低洼地带。第八条 机房建设应满足以下要求：

（一）尽量避让建筑物顶层、地下室、用水设备的下层或隔壁以及易漏雨、易渗水和易遭雷击的区域，避开易发生火灾危险的区域；

（二）选择通信设施健全，相对安全、易于管理的区域；

（三）避让主干电力电缆穿越场所，避让供水、消防管网经过；

（四）设备放置处应考虑地面承重，应尽量选择有主干墙、承重墙的位置放置，必要时应进行地面加固；

（五）应配备应急照明装置；

（六）应配备防火防盗门等有效安保设施。

第九条 机房应采用可靠的综合接地系统或独立接地系统，防止雷电对机房设施造成损坏。

第十条 机房应具备独立空调系统，使机房温度保持在23℃±5℃范围内。

第十一条 机房供电应满足如下要求：

（一）应具有独立于一般照明电的专用供电线路，设有独立的配电柜或配电箱。相关电器设备、电线应与机柜用电负载相适应，并留有余量。

（二）应配置UPS电源，并不得将与业务无关的设备接入UPS电源。市电插座与UPS插座应严格区分，插座面板应有提示性的标识或标签。

第十二条 A型和B型证券营业部应至少配备一种持续供电方式，在市电中断情况下，保证不低于25%的现场交易终端在交易时间内持续工作，以满足证券营业部客户现场交易需要。

第十三条 证券营业部配备或租用发电机的，发电机应安装在具有良好通风的场地内，并远离易燃易爆的物品。

第十四条 证券营业部采用结构化综合布线系统的，综合布线应符合《建筑与建筑群综合布线工程系统设计规范》（GBT/T 50311）要求。

第十五条 证券公司与证券营业部之间应采用至少2条不同运营商或不同介质的通信线路，建立安全、可靠通信连接，且线路带宽能够满足证券营业部业务需要并留有冗余。网络通信设备应有冗余备份，保证发生故障时实现及时切换。

A型和B型证券营业部的通信线路中应有一条为地面数据专线。第十六条 证券营业部与其他外联单位、互联网建立通信线路的，证券公司可根据业务需要，要求证券营业部选择合适的通信线路、线路带宽和线路备份方式。

第十七条 证券公司应制定证券营业部局域网、公司广域网、互联网接入以及安全防护的网络建设规范，并统一规划管理证券营业部网络配置参数和IP地址段。

第十八条 证券公司应确保证券营业部局域网与公司广域网、互联网实现有效隔离。

第十九条 证券公司应根据业务需要，合理划分证券营业部局域网安全域，确定各安全域的功能定位，在各安全域之间采取安全措施实现有效隔离。

第二十条 证券公司应对证券营业部与客户建立的网络连接进行审批，对连接方式进行统一规划和管理，并采取安全措施，实现有效隔离。

第二十一条 证券公司应确保证券营业部部署防病毒、防木马、防恶意代码等系统安全防护软件，保护证券营业部信息系统安全。

第二十二条 证券公司应确保证券营业部提供行情、开户、交易、资讯等客户服务的信息系统，具备足够的健壮性，系统处理能力具有一定的冗余度，并采用热备或冷备等手段，避免单点故障，提高系统可用性。

第二十三条 证券公司应确保A型和B型证券营业部提供至少2种相互独立的行情揭示系统、委托方式。

第二十四条 证券公司应对证券营业部安装使用的应用软件进行统一管理，证券营业部不得擅自安装与业务及技术维护无关的应用软件。

第三章 运维管理

第二十五条 证券公司应加强证券营业部机房管理，确保任何人员未经许可不得擅自挪动机房内设备、更改网络线路，外来人员未经允许不得进出机房。机房内不得安置易燃易爆及强磁物品。

第二十六条 证券公司应加强证券营业部网络配置、访问控制、安全审计等网络管理，确保证券营业部的网络设备按最小安全访问原则设置访问控制权限，每一次变更后及时更新备份网络设备的配置信息。

第二十七条 证券公司应加强证券营业部设备选型、购置、登记、保养、维修、报废等设备管理，确保对关键设备建立维护档案。

第二十八条 证券公司应加强证券营业部数据备份、存放、保密、调阅、销毁等数据管理，确保证券营业部指定专人负责数据管理，数据调阅须经审批，且不得对外泄露。

第二十九条 证券公司应加强证券营业部技术文档的收集、更新、保管、借阅等管理，确保证券营业部根据信息系 统的变更情况及时更新技术文档。证券营业部技术文档包括但不限于机房平面图、供配电图、网络拓扑图、信息点对照表、系统手册、应急预案、运维日志、设备维护档案等资料。

第三十条 证券公司应确保证券营业部在关键系统和关键设备的用户管理上遵循权限最小化原则，建立用户和权限的清单，定期进行检查核对。用户和权限变更应执行相关审批流程，并保留完整的变更记录。

第三十一条 证券公司应确保证券营业部关键系统和关键设备的管理员用户密码实行专人管理，采用不低于8位的复合密码，每半年至少更换一次。发生人员变动时应及时更新密码。

第三十二条 证券公司应统一管理和指导证券营业部进行生产环境下的测试工作，制定详细的测试计划，并确保做好系统、数据和应用程序测试前的备份工作。测试完成后做好系统的恢复和验证等工作。

第三十三条 证券公司应确保证券营业部在供电、网络通信、服务器、现场交易服务相关系统等关键设备或系统变更时经过严格的测试。

第三十四条 证券公司应确保证券营业部在信息系统变更前制定详细的变更方案和变更应急预案，并做好系统和数据的备份。

第三十五条 除故障应急外，证券公司应确保证券营业部在交易时间内不得进行任何与现场交易服务相关的信息系统变更操作。

第三十六条 证券公司应确保A型证券营业部具备完善的监控体系，以对信息系统的运行环境、运行状况等进行定时监控和事后分析。

第三十七条 证券公司应确保A型和B型证券营业部对系统运维日志进行规范管理，日常操作及异常事件处理均应在系统运维日志中详细记录。运维日志可采用电子文档或纸质件记录，并妥善保管，保留期限不少于2年。

第三十八条 证券公司应确保证券营业部每半年检查电力、机房空调、消防等设施，每季度选择非交易时间进行UPS电池的充放电测试，并详细记录。

第三十九条 证券公司根据需要可外包B型和C型证券营业部的信息系统运维工作。运维外包应满足但不限于以下要求：

（一）运维外包服务人员满足本指引第五条的相关要求。

（二）与外包服务提供单位签订外包合同与保密协议，确保信息系统安全运行、风险可控。

（三）外包人员不得具备业务系统操作权限。

第四章 安全管理 第四十条 证券公司应加强证券营业部网络安全管理，确保证券营业部不得擅自对外互联或设立网站。如确有必要，证券公司应对网站的设立和维护进行统一管理。

第四十一条 证券公司应确保证券营业部加强计算机终端的管理，记录网卡地址，防止非法使用。未经许可，不得将客户和员工的自备计算机接入证券营业部网络。

证券营业部提供无线网络服务的，证券公司应统一制定证券营业部无线网络使用规范，采取有效的无线网络准入控制措施，登记并记录无线接入设备的信息。

第四十二条 证券公司应确保证券营业部加强客户和员工访问互联网的管理，出现网络违法犯罪情况时应及时配合公安机关进行处理。

第四十三条 证券公司应确保证券营业部及时更新系统补丁、升级系统安全防护软件，定期进行全面的病毒和木马检测，发现病毒和木马立即处理并报告。移动存储、外来电子文档、软件系统使用前应进行病毒和木马查杀。

第四十四条 证券公司应统一制定证券营业部信息系统故障应急处理流程，并确保证券营业部建立信息系统应急预案并及时更新。

第四十五条 证券公司应确保证券营业部每年至少进行两次应急演练，并留存演练记录。

第四十六条 证券营业部发生影响交易业务的技术故障时，证券公司应立即启动应急预案，尽快恢复交易业务，并按有关要求及时上报公司和证券营业部所在地监管部门。应急事件处理完成后，应以书面形式上报公司和证券营业部所在地监管部门。

第五章 附则

第四十七条 中国证券业协会对证券公司执行本指引的情况进行指导和检查。

第四十八条 本指引由中国证券业协会负责解释。第四十九条 本指引自发布之日起施行。

第三篇：2--证券公司参与支付业务信息系统技术指引

证券公司参与支付业务信息系统技术指引

第一章 总则

第一条 为推动证券公司支付系统建设、管理、运行的规范化和标准化，依据《中华人民共和国证券法》、中国人民银行规章文件、中国证监会规章文件和中国证券业协会自律规则的有关规定制定本技术指引。

第二条 本指引所指的支付系统，是指各参与方支撑证券公司参与支付业务运行的网络与信息系统。各参与方包括参与支付业务的证券公司、支付服务机构（包括行业支付服务机构、第三方支付机构、商业银行等）以及提供数据交换服务的机构（以下简称为“中介服务机构”）。

第三条 本指引中所提出的各项要求，是支撑证券公司开展支付业务相关系统应达到的基本要求。证券公司在参与支付业务时自建或所选用的相关合作方系统应符合本指引规定的相关要求。

第四条 中国证券业协会（以下简称“协会”）依据本指引对参与支付业务的证券公司实施自律管理。

第二章 系统建设

第五条 支付系统建设应遵循松耦合、可扩展、可靠性、安全性原则，应充分利用行业信息化公共基础设施实现资源的优化配置，系统功能应满足支付业务的相关业务需求、内控及监管要求。

第六条 证券公司支付系统与其他各参与方的系统对接应遵循总对总原则，联接方式既可以采用直联，也可以通过相关中介服务机构进行联接。

第七条 支付系统数据交换接口定义应科学规范、统一标准，并具有良好的可扩展性。在时机成熟时，应全面推广使用行业标准数据交换接口。

第八条 证券公司支付系统应与其他各参与方之间至少建立两条不同运营商或不同类型的通信线路，各条通信线路之间互为备份，线路带宽能够满足业务需要并留有冗余。

第九条 支付系统在进行文件交换时，应校验文件的合法性、真实性和完整性。

第十条 支付系统处理性能应满足业务开展的要求，性能应达到：支付类业务的处理能力大于每百万客户50 笔/秒；查询类业务的处理能力大于每百万客户150 笔/秒；单笔业务最长处理时间小于20秒。

第十一条 支付系统应配备独立的测试系统。测试规程应包括单项测试、联合测试、系统备份及恢复等环节。测试内容应包括业务流程测试、全覆盖性的功能测试、部署环境与运行模块测试、压力与性能测试等。

第十二条 证券公司应按照《证券市场交易结算资金监控系统证券公司接口规范》以及中国证监会的相关要求进行系统建设和数据报送。

第十三条 支付系统应具备支付类交易、清算的对账与调账机制。

第三章 安全保障

第十四条 支付系统应从系统安全性、应用安全性、物理安全性、信息处理安全性、网络安全性、数据安全性等方面进行安全风险控制。系统整体的安全防护能力应不低于《证券期货业信息系统安全等级保护基本要求》二级技术要求。

第十五条 支付系统的备份建设应按照《证券期货经营机构信息系统备份能力标准》中实时系统的相关规定执行。

第十六条 证券公司应合理划分支付系统各子系统的安全域，在不同的系统安全域之间进行有效隔离，同时做好支付系统与外部系统，如交易系统、账户系统、业务终端和网站后台管理等系统的有效隔离。

第十七条 证券公司应对支付系统做好病毒、木马和恶意代码的防护措施，定期扫描系统，及时升级系统补丁和病毒库，防范安全漏洞。

第十八条 证券公司应做好支付门户网站的监控与安全管理。支付门户网站应具备防范SQL注入、跨站脚本、网页篡改、Session欺骗、拒绝式服务攻击和缓冲区溢出等攻击的能力。可定期聘请专业安全机构对网站实施渗透测试，对SQL注入、跨站脚本等WEB漏洞进行检测。证券公司发现钓鱼网站，应及时报告，并在其支付门户网站醒目位置进行风险揭示。

第十九条 证券公司应做好支付系统客户端（含移动终端）的安全管理，程序应具备防木马、防篡改、防密码窃取能力，前台与后台的通信应采用加密机制。

第二十条 证券公司应做好支付网关与其他参与方网关间的连接互信认证，应采用数字证书对报文加密、关键域签名等方式保障数据传输的安全性。

第二十一条 支付系统应采用数字证书、动态口令、短信密码等身份认证机制提高安全性，防窃取、防篡改。

第二十二条 证券公司应加密存储支付系统的关键数据，保证传输过程中的数据完整性。对数据库的操作应有日志留痕，应定期备份数据以满足恢复需要。支付交易数据应至少保存20年。

第二十三条 证券公司应建立网络防火墙隔离机制，对网络外部边界访问策略进行最小化管理并部署防火墙等安全设备。支付网关对外应关闭所有与业务和维护无关的服务及端口。

第二十四条 证券公司网络与安全设备的访问口令不能使用缺省口令及弱密码，管理员密码应由指定人员设置并定期修改。

第二十五条 证券公司应做好支付相关系统网络信息安全事件监控工作，监控工作应至少包括以下内容：能够发现常见的网络信息安全攻击事件，并及时做好防范措施；能够对发生的网络信息安全事件进行有效控制、隔离与遏制，并及时做好应急措施；能够对网络信息安全态势进行准确分析与预测，不断提高网络信息安全事件监控、预防、应急处置能力。

第四章 运维管理

第二十六条 证券公司应建立与其他各参与方的技术沟通协调机制，成立由各参与方共同组成的技术协调小组，就系统重大变更、重大问题及安全情况进行沟通、协调和通报。

第二十七条 支付系统运营应建立完备的系统监控机制，将支付系统监控纳入证券公司信息系统统一监控范围的要求，对系统的运行环境、运行状况进行实时监控。监控记录应至少保存一年。

第二十八条 证券公司应建立支付系统的软件升级、变更等流程规范，确保变更的请求发起、开发测试、发布实施等工作规范开展。

第二十九条 证券公司应安排专人负责支付系统测试。联合测试时应成立由各参与方信息技术管理及相关业务管理部门组成的联合测试小组，共同制定测试方案及预期测试结果，对测试结果进行记录、评估和确认。

第三十条 各参与方应建立容量管理制度，实时监测系统资源，定期分析评估系统容量，及时调整资源配置。

第五章 应急处置

第三十一条 证券公司应建立跨行业的应急处理组织体系，并制定相应的应急预案及应急协调机制。应急预案应纳入行业的应急预案体系，并按照有关规定定期组织联合演练。

第三十二条 证券公司应妥善处置支付系统发生的信息安全事件。任何一方出现预警信息或者发生信息安全事件时，应按照《证券期货业信息安全事件报告与调查处理办法》中第三方存管系统相关要求及《证券期货业网络与信息安全事件应急预案》相关规定执行。

第三十三条 各参与方应建立资金交收应急预案，避免出现因资金交收异常造成客户资金出现缺口或挤占其他客户资金的情况。

第六章 自律管理

第三十四条 协会应对证券公司执行本指引的情况组织定期或不定期的现场检查或非现场检查。检查内容包括但不限于技术方案、系统部署、测试报告、容量规划、运维流程、安全措施、应急预案。

第三十五条 证券公司应配合协会进行检查，不得以任何理由拒绝、拖延提供有关资料，或者提供不真实、不准确、不完整的资料。

第七章 附则

第三十六条 本指引由协会负责解释。第三十七条 本指引自发布之日起施行。

第四篇：2013《证券公司证券营业部信息技术指引》C13024解读

C13024《证券公司证券营业部信息技术指引》解读

一、单项选择题

1.根据《证券公司证券营业部信息技术指引》的规定，（A）应全面负责证券营业部信息技术管理，统一制定证券营业部信息技术建设、运维、安全等管理制度。A.证券公司

B.证券公司分支机构 C.证券营业部

D.证券公司区域中心

2.根据《证券公司证券营业部信息技术指引》的规定，部署证券公司网上交易站点的证券营业部，或作为其他证券营业部网络通信汇聚节点且所连接的证券营业部中提供现场交易的证券营业部，视同为（B）型证券营业部。A.C B.A C.B D.D

3.根据《证券公司证券营业部信息技术指引》的规定，证券公司应确保A型和B型证券营业部提供至少（A）种相互独立的行情揭示系统、委托方式。A.2 B.1 C.4 D.3

4.根据《证券公司证券营业部信息技术指引》的规定，证券公司与证券营业部之间应采用至少（C）条不同运营商或不同介质的通信线路。A.4 B.3 C.2 D.1

二、多项选择题

5.根据《证券公司证券营业部信息技术指引》的相关要求，机房供电应满足如下要求（ABCD）。

A.相关电器设备、电线应与机柜用电负载相适应，并留有余量 B.应配置UPS电源，并不得将与业务无关的设备接入UPS电源

C.应具有独立于一般照明电的专用供电线路，设有独立的配电柜或配电箱 D.市电插座与UPS插座应严格区分，插座面板应有提示性的标识或标签

6.根据《证券公司证券营业部信息技术指引》的相关要求，机房建设应满

足以下要求（ABCD）。

A.避让主干电力电缆穿越场所，避让供水、消防管网经过；设备放置处应考虑地面承重，应尽量选择有主干墙、承重墙的位置放置，必要时应进行地面加固 B.选择通信设施健全，相对安全、易于管理的区域 C.应配备应急照明装置及防火防盗门等有效安保设施

D.尽量避让建筑物顶层、地下室、用水设备的下层或隔壁以及易漏雨、易渗水和易遭雷击的区域，避开易发生火灾危险的区域

三、判断题

7.根据《证券公司证券营业部信息技术指引》的规定，证券公司应对证券营业部与客户建立的网络连接进行审批，对连接方式进行统一规划和管理，并采取安全措施，实现有效隔离。（对）

正确

错误

8.证券公司需根据《证券公司证券营业部信息技术指引》的规定，建设证券营业部的信息系统，不可以自主选择证券营业部信息系统建设模式。（错）

正确

错误

9.根据《证券公司证券营业部信息技术指引》的规定，证券公司应确保证券营业部局域网与公司广域网、互联网实现有效隔离。（对）

正确

错误

10.根据《证券公司证券营业部信息技术指引》的规定，证券公司应为A型和B型证券营业部至少配备一名专职技术人员。（错）正确 错误

第五篇：《证券公司证券营业部信息技术指引》解读答案 80分

一、单项选择题

1.根据《证券公司证券营业部信息技术指引》的规定，机房应具备独立空调系统，使机房温度保持在（A）范围内。

A.23℃±5℃ B.25℃±3℃ C.25℃±5℃ D.23℃±3℃

2.在营业场所内未部署与现场交易服务相关的信息系统且不提供现场交易服务。采用该类型信息系统建设模式的证券营业部，在《证券公司证券营业部信息技术指引》中简称为（C）型证券营业部。

A.B B.C C.A D.D 3.在营业场所内未部署与现场交易服务相关的信息系统，但依托公司总部或其他证券营业部的信息系统为客户提供现场交易服务。采用该类型信息系统建设模式的证券营业部在《证券公司证券营业部信息技术指引》中被称为（B）型营业部。

A.C B.B C.D D.A 4.根据《证券公司证券营业部信息技术指引》的规定，A型和B型证券营业部应至少配备一种持续供电方式，在市电中断情况下，保证不低于（A）的现场交易终端或同等支持能力的其他交易终端在交易时间内持续工作。

A.30% B.25% C.20% D.35%

二、多项选择题

5.根据《证券公司证券营业部信息技术指引》的相关要求，机房选址应满足的要求包含（ABCD）。

A.远离强震源、强磁场源和强噪声源，远离电磁干扰源或实施有效电磁干扰防护；远离产生粉尘、油烟、有害气体以及具有腐蚀性、易燃、易爆物品的工厂、仓库等场所

B.选择具备可靠供电的场所 C.尽量避免低洼地带

D.符合当地抗震强度要求；符合当地消防主管部门的消防安全要求

6.根据《证券公司证券营业部信息技术指引》的相关要求，（）型营业部可以不设机房。CA

A.C B.D C.B D.A

三、判断题 7.根据《证券公司证券营业部信息技术指引》的规定，证券营业部提供无线网络服务的，应由提供该服务的证券营业部制定证券营业部无线网络使用规范，采取有效的无线网络准入控制措施，登记并记录无线接入设备的信息。（A）

正确 错误

8.根据《证券公司证券营业部信息技术指引》的规定，A型、B型、C型证券营业部的通信线路中应有一条为地面数据专线。（B）

正确 错误

9.证券公司需根据《证券公司证券营业部信息技术指引》的规定，证券营业部采用结构化综合布线系统的，综合布线应符合《建筑与建筑群综合布线工程系统设计规范》（GBT/T 50311）要求。（A）

正确 错误

10.根据《证券公司证券营业部信息技术指引》的规定，C型证券营业部至少配备一名兼职技术人员，并制定顶岗、备岗等相关制度，确保在交易时间内有技术人员值守。（C）

正确 错误