银行信息安全管理

时间：2017-01-14 07:10:58 来源：免费论文网

篇一：XX银行员工信息安全行为规范

XX银行科技开发部员工信息安全行为规范V1.0

第一章总则

第一条为提高总行科技开发部员工(包括行内员工、在我行工作的外部员

工)的信息安全意识，规范员工的行为，指导员工合理、安全地使用信息资产，防止有意或无意的破坏信息安全行为的发生，保护我行信息资产安全，制定本规范。

第二条员工应主动了解本我行信息安全管理相关规定，积极参与我行组织

的信息安全培训，提升信息安全意识和技能，并严格遵守我行信息安全要求。

第二章资产管理声明

第三条禁止利用我行资产（包括我行配发的计算机、手机等个人终端设备）

处理个人事务，以避免我行在信息安全管理中触及个人隐私。

第四条员工利用我行的资产所产生、处理和存储的一切信息，其所有权归

我行拥有。

第五条我行出于对运营管理、安全管理和司法调查取证等需要，保留在任

何时候对我行任意资产进行监控、复制、披露、使用和删除的权利。

第三章工作环境安全要求

第六条进入我行工作区域时，应规范佩戴我行认可的身份识别证件或按照

我行相关管理规定登记并获得许可后方可进入。

第七条应遵守安全区域访问规定，进出非授权区域时，需按照我行相关规

定经相关责任人批准。

第八条员工应安全保管身份识别证件，丢失后及时向发证部门报告，禁止

将身份识别证件借与他人使用；调离我行时，应主动交还我行配发的身份识别证件。

第九条我行内调动或更换工作区域时应主动申请门禁权限变更。

第十条若发现任何可疑人员进入我行或进行非授权活动，要立即制止，并

报告相关部门。

第十一条启用门禁的区域进出时要防止人员尾随，进出后应及时关闭。

第四章用户账号安全

第十二条任何账号仅限申请账号时批准的所有者在授权范围内使用，严禁

使用账号访问未授权的资源，账号所有者承担使用该账号所产生的一切责任和后果。

第十三条账号正式启用前，必须为账号添加密码或修改缺省密码，密码应

具有足够的安全强度；对于重要核心系统的密码，应加强密码复杂度和密码长度。

第十四条具有足够强度密码设置要求如下：

(一) 口令最小长度：8位

(二) 口令字符组成复杂度：口令由数字、大小写字母及特殊字符，

且至少包含其中两种字符（动态口令除外）；

(三) 口令历史：修改后的口令至少与前4次口令不同；

(四) 口令最大连续尝试次数：10次；口令错误次数超过最大连续尝试次数后，应具有限制用户登录的机制。

(五) 口令最长有效期限： 180 天，可根据系统重要性和用户权限采取不同的有效期；口令使用期限即将达到口令最长有效期限时，应具有提示用户修改口令的机制。

(六) 主机系统、网络设备、安全设备等超级用户口令最长有效期应为90天，其它用户口令最长有效期应符合本章口令基本要求。

第十五条应安全保管或者随身携带实物密钥，如USBkey等，禁止随意放

置在桌面上。如发现实物密钥遗失或怀疑密码被窃取，应立即通知信息技术部门进行处理。

第十六条应安全保管密码，如没有可靠的物理控制措施，不要将密码写在

纸上，或记录于电子文件中；禁止将密码在终端软件（如IE浏览器）上自动保存；禁止公开本人或他人的密码信息，不得猜测窃取他人账号密码。

第十七条工作职责发生变动时，应主动申请帐号或者实物密钥权限的变更；

当不再需要某系统的访问权限时，应主动申请注销账号或者权限；对不能关闭的账号或者实物密钥，应及时移交给本部门指定责任人；在离职时，应主动移交全部账号和实物密钥。

第五章信息设备使用

第十八条终端计算机在配发时按照我行规范统一进行命名，使用人不得擅

自修改计算机名。

第十九条所有终端计算机应安装我行要求的桌面管理软件、防病毒软件等，

员工不得自行删除或修改。

第二十条终端计算机应设定统一的屏幕保护程序，屏幕保护程序等待时间

设在10分钟以内。

第二十一条自己使用的设备和系统应设置密码保护，如开机密码、登录密

码、屏幕保护密码。

第二十二条离开座位时，应锁定或关闭计算机；应安全保管终端信息设备，

周末或者节假日期间禁止将便携信息设备放在桌面上。

第二十三条原则上不要将我行配发的设备用于工作以外用途或接入办公

以外的环境，如因工作需要需与外部环境对接，再次接入办公环境时应先进行病毒的查杀。

第二十四条未经授权不得使用移动介质，使用移动介质前，应进行病毒检

测，确认安全后方可使用。

第二十五条使用公同终端后，应及时退出登录并关机或锁屏。

第二十六条未经授权不得将终端设备、移动介质、实体信息和软件等带离

办公区。

第二十七条未经授权任何人不得私自调换信息设备，禁止私自拆卸、维修

或者更换计算机硬件。

第二十八条设备及存储介质提交维修、回收、报废前，应对设备上的重要

数据进行备份和安全销毁。

第二十九条应保管好个人使用的信息设备，一旦丢失，应立即向本部门报

告，特别对于绑定用户账号的个人终端设备，还应立即报告信息技术部门，以及时锁定相应账号，以防止被冒用。

第六章软件使用

第三十条终端设备初装或重装操作系统，必须使用我行提供的操作系统，

不得随意使用其它操作系统安装包进行安装。

第三十一条应使用我行许可的软件，禁止安装与工作无关的软件和盗版软

件，不要随意安装从互联网下载的软件，禁止私自更改、禁用、卸载我行要求使用的软件。

第三十二条严禁使用黑客工具等影响或破坏我行信息安全的软件。第三十三条严禁擅自复制、传播和销售我行的计算机软件产品。

第三十四条不得使用扫描软件、压力测试软件或自编软件对我行内网及系

统进行扫描、攻击测试和干扰。

第七章计算机网络使用

第三十五条禁止将未经许可的计算机设备接入我行网络。

篇二：银行信息安全管理办法

XX银行

信息安全管理办法

第一章总则

第一条为加强XX银行（下称 “本行” ）信息安全管理，防范信息技术风险，保障本行计算机网络与信息系统安全和稳定运行，根据《中华人民共和国计算机信息系统安全保护条例》、《金融机构计算机信息系统安全保护工作暂行规定》等，特制定本办法。

第二条本办法所称信息安全管理，是指在本行信息化项目立项、建设、运行、维护及废止等过程中保障信息及其相关系统、环境、网络和操作安全的一系列管理活动。

第三条本行信息安全工作实行统一领导和分级管理，由分管领导负责。按照“谁主管谁负责，谁运行谁负责，谁使用谁负责”的原则，逐级落实部门与个人信息安全责任。第四条本办法适用于本行。所有使用本行网络或信息资源的其他外部机构和个人均应遵守本办法。

第二章组织保障

第五条常设由本行领导、各部室负责人及信息安全员组成的信息安全领导小组，负责本行信息安全管理工作，决策信息安全重大事宜。

第六条各部室、各分支机构应指定至少一名信息安全员，

配合信息安全领导小组开展信息安全管理工作，具体负责信息安全领导小组颁布的相关管理制度及要求在本部室的落实。。第七条本行应建立与信息安全监管机构的联系，及时报告各类信息安全事件并获取专业支持。

第八条本行应建立与外部信息安全专业机构、专家的联系，及时跟踪行业趋势，学习各类先进的标准和评估方法。

第三章人员管理

第九条本行所有工作人员根据不同的岗位或工作范围，履行相应的信息安全保障职责。日常员工信息安全行为准则参见《XX银行员工信息安全手册》。

第一节信息安全管理人员

第十条本办法所指信息安全管理人员包括本行信息安全领导小组和信息安全工作小组成员。

第十一条应选派政治思想过硬、具有较高计算机水平的人员从事信息安全管理工作。凡是因违反国家法律法规和本行有关规定受到过处罚或处分的人员，不得从事此项工作。第十二条信息安全管理人员每年至少参加一次信息安全相关培训。

第十三条安全工作小组在如下职责范围内开展信息安全管理工作：

（一）组织落实上级信息安全管理规定，制定信息安全管理制度，协调信息安全领导小组成员工作，监督检查信息安全管理工作。

（二）审核信息化建设项目中的安全方案，组织实施信息安全保障项目建设。

（三）定期监督网络和信息系统的安全运行状况，检查运行操作、备份、机房环境与文档等安全管理情况，发现问题，及时通报和预警，并提出整改意见。

（四）统计分析和协调处臵信息安全事件。

（五）定期组织信息安全宣传教育活动，开展信息安全检查、评估与培训工作。第十四条信息安全领导小组成员在如下职责范围内开展工作：

（一）负责本行信息安全管理体系的落实。（二）负责提出本行信息安全保障需求。（三）

负责组织开展本行信息安全检查工作。

第二节技术支持人员

第十五条本办法所称技术支持人员，是指参与本行网络、信息系统、机房环境等建设、运行、维护的内部技术支持人员和外包服务人员。

第十六条本行内部技术支持人员在履行网络和信息系统建设和日常运行维护职责过程中，应承担如下安全义务：

（一）不得对外泄漏或引用工作中触及的任何敏感信息。

（二）严格权限访问，未经业务主管部室授权不得擅自改变系统设臵或修改系统生成的任何数据。

—4—

（三）主动检查和监控生产系统安全运行状况，发现安全隐患或故障及时报告本部室主管领导，并及时响应、处臵。

（四）严格操作管理、测试管理、应急管理、配臵管理、变更管理、档案管理等工作制度，做好数据备份工作。

第十七条外部技术支持人员应严格履行外包服务合同（协议）的各项安全承诺，签署保密协议。提供技术服务期间，严格遵守本行相关安全规定与操作规程。不得拷贝或带走任何配臵参数信息或业务数据，不得对外泄漏或引用任何工作信息。

第三节一般计算机用户

第十八条本规定所称一般计算机用户是指使用计算机设备的所有人员。

第十九条一般计算机用户应承担如下安全义务：

（一）及时更新所用计算机的病毒防治软件和安装补丁程序，自觉接受本部室信息安全员的指导与管理。

（二）不得安装与办公和业务处理无关的其他计算机软件和硬件，不得修改系统和网络配臵以屏蔽信息安全防护。

（三）不得在办公用计算机上安装任何盗版或非授权软件。

（四）未经信息安全管理人员检测和授权，不得将内部网络的计算机转接入国际互联网；不得将个人计算机接入内部网络或私自拷贝任何信息。

第四章资产管理

第二十条本行对所有信息资产进行识别、评估相对价值及重要性，建立资产清单并说明使用规则，明确定义信息资产责任人及其职责。细则参见《XX银行信息资产分类分级管理规定》。

第二十一条按照信息资产的价值、法律要求及敏感程度和对业务关键程度，分别依据机密性、完整性、可用性三个属性对信息资产进行分类分级，并建立相应的标识和处理制度。第二十二条依照信息资产的分类分级采取不同的安全保护措施，制定完善的访问控制策略，防止未经授权的使用。

第二十三条依据《XX银行介质管理规范》加强介质管理与销毁操作管理，确保本行数据的可用性、保密性、完整性。

第五章物理环境安全管理第一节机房安全管理

第二十四条本规定所称机房是指信息系统主要设备放臵、运行的场所以及供配电、通信、空调、消防、监控等配套环境设施。

第二十五条本行机房的信息安全管理由本行本行信息科技部门负责具体实施和落实。第二十六条建立机房设施与场地环境监控系统，对机房空调、消防、不间断电源（UPS）、供配电、门禁系统等重要设施实行全面监控。

第二十七条建立健全机房管理制度，并指派专人担任机房管理员，落实机房安全责任制。机房管理员应经过相关专业培训，熟知机房各类设备的分布和操作要领，定期巡查机房，发现问题及时报告。机房管理员负责保管机房建设或改造的所有文档、图纸以及机房运行记录等有关资料，并随时提供调阅。

第二十八条建立机房定期维修保养制度。易受季节、温度等环境因素影响的设备、已逾保修期的设备、近期维修过的设备等应成为保养的重点。

第二十九条依据《浙江省农村合作金融机构机房管理指引》进一步规范机房建设、改造和验收过程，落实机房管理。第三十条信息安全领导小组负责定期审核机房安全管理落实情况，并保留相应的审核记录和审核结果。

第二节重要区域安全管理

第三十一条本章节所指重要区域为：本行信息中心主备机房和运维监控室等区域。本行信息中心负责制定和执行运维监控方面的安全管理制度。

第三十二条重要区域应严格出入安全管理，安装门禁、视频监视录像系统，实行定时录像监控，并适当配臵自动监控报警功能。

第三十三条所有门禁、视频监视录像系统的信息资料至少保存三个月。

第三节办公环境安全管理

第三十四条在本行大楼入口应设臵门卫或接待员，负责出入或公共访问区域的物理安全管理和外来人员的出入登记。第三十五条本行信息中心楼层设立门禁，加强人员进出管理。

第三十六条本行信息中心员工应在公共接待区接待外来人员，未经允许，不得私自将外来人员带入办公区域内。第三十七条未经允许，严禁在信息中心办公区域内进行摄影、摄像、录音等记录日常办公行为的活动。

第六章网络安全管理

第一节网络规划、建设中的安全管理

第三十八条本行网络信息科技部负责网络和网络安全的统一规划、建设部署、策略配臵和网络资源（网络设备、通讯线路、IP 地址和域名等）分配。

第三十九条按照统一规划和总体部署原则，由信息科技部组织实施网络建设、改造工程，工程投产前应通过安全测试与评估。

第四十条本行网络建设和改造应符合如下基本安全要求：

（一）网络规划应有完整的安全策略，保障网络传输与应用安全。

（二）具备必要的网络监测、跟踪和审计等管理功能。

（三）针对不同的网络安全域，采取必要的安全隔离措施。

（四）能有效防止计算机病毒对网络系统的侵扰和破坏。

第二节网络运行安全管理

第四十一条信息科技部应建立健全网络安全运行方面的制度，配备专职网络管理员。网络管理员负责日常监测和检查网络安全运行状况，管理网络资源及其配臵信息，建立健全网络运行维护档案，及时发现和解决网络异常情况。

第四十二条网络管理员应定期参加网络安全技术培训，具备一定的非法入侵、病毒蔓延等网络安全威胁的应对技能。

第四十三条严格网络接入管理。任何设备接入网络前，接入方案、设备的安全性等应经过网络管理人员的审核与检测，审核（检测）通过后方可接入并分配相应的网络资源。第四十四条严格网络变更管理。网络管理员调整网络重要参数配臵和服务端口时，应严格遵循变更管理流程。实施有可能影响网络正常运行的重大网络变更，应提前通知相关业务部门并安排在非交易时间或交易较少时间进行，同时做好配臵参数的备份和应急恢复准备。

第四十五条严格远程访问控制。确因工作需要进行远程访问的人员应向信息简科技部提出书面申请，并采取相应的安全防护措施。

第四十六条信息安全管理人员负责定期对网络进行安全检测、扫描和评估。检测、扫描和评估结果属敏感信息，不得向外界提供。未经授权，任何外部单位与人员不得检测、扫描本行网络。

第三节接入国际互联网管理

第四十七条信息科技部负责制定本行互联网方面管理制度，对互联网接入进行严格的控制，防范来自互联网的威胁。

第四十八条本行内部业务网、办公网与国际互联网实行安全隔离。所有接入内部网络或存储有敏感工作信息的计算机，不得直接或间接接入国际互联网。

第四十九条内部网络计算机严禁接入国际互联网，确有必要接入国际互联网的应通过信息安全工作小组审核并上报相关领导审批，确保安装有指定的防病毒软件和最新补丁程序。经审批后连接国际互联网的计算机，不得存留涉密金融数据信息；存有涉密金融数据信息的介质，不得在接入国际互联网的计算机上使用。

第五十条曾接入国际互联网的计算机严禁接入内部网络，确有必要接入内部网络的应通过安全工作小组审核并上报相关领导审批，经安全检测后方能接入。从国际互联网下载的任何信息，未经病毒检测不得在内部网络上使用。

第五十一条使用国际互联网的所有用户应遵守国家有关法律法规和本行相关管理规定，不得从事任何违法违规活动。

第七章访问控制

第五十二条本行负责建立访问控制制度，对信息资产和服务的访问和权限分配进行控制。

第五十三条信息资产的责任人负责确定信息资产和服务的访问权限，运行维护科根据授权进行相关设定操作。第五十四条信息系统用户设臵本人的用户和密码，并对其访问控制权限负责。重要信息系统操作人员的密码应由系统管理员和业务部门负责人分段设立。第五十五条凡是能够执行录入、复核制度的信息系统，操作人员不得一人兼录入、复核两职。未经主管领导批准，不得代岗、兼岗。

第五十六条应启用安全措施限制授权用户对操作系统的访问，包括但不限于：

（一）按照已定义的访问控制策略鉴别授权用户；

（二）记录成功和失败的系统访问企图；

（三）记录专用系统特殊权限的使用情况；

（四）当违反系统安全策略时发布警报；

（五）提供合适的身份鉴别手段；

（六）限制用户的连接时间。

第五十七条对应用系统和信息的逻辑访问应只限于已授权的用户。对应用系统的访问控制措施包括但不限于：

（一）按照定义的访问控制策略，控制用户访问信息和应用系统的特定功能；

（二）防止能够绕过系统控制或应用控制的任何实用程序、系统软件和恶意软件对系统进行未授权访问；

（三）为重要的敏感系统设立隔离的运行环境。

第五十八条访问控制实施细则详见《XX银行信息系统访问控制管理规定》。

第八章信息系统安全管理

第五十九条本规定所指的信息系统是本行业务处理系统、管理信息系统和日常办公自动

化系统等，包括数据库、软件和硬件支撑环境等。

第六十条信息系统安全管理实施细则详见《XX银行计算机信息系统安全管理规定》。

第一节信息系统规划与立项

第六十一条信息系统建设项目应在规划与立项阶段同步考虑安全问题，建设方案应满足信息安全管理的相关要求。项目技术方案应包括以下基本安全内容：

（一）业务需求部室提出的安全需求。（二）安全需求分析和实现。（三）运行平台的安全策略与设计。

第六十二条信息安全领导小组负责派遣相关部室安全员对项目技术方案进行安全专项审查并提出审查意见，未通过安全审核的项目不得予以立项。

第二节信息系统开发与集成

第六十三条信息系统开发应符合软件工程规范，依据安全需求进行安全设计，保证安全功能的完整实现。

第六十四条信息系统开发单位应在完成开发任务后将程序源代码及相关技术资料全部移交本行。外部开发单位还应与本行签署相关知识产权保护协议和保密协议，不得将信息系统采用的关键安全技术措施和核心安全功能设计对外公开。

第六十五条信息系统的开发人员不能兼任信息系统管理员或业务系统操作人员，不得在程序代码中植入后门和恶意代码程序。

第六十六条信息系统开发、测试、修改工作不得在生产环境中进行。

第六十七条涉密信息系统集成应选择具有国家相关部门颁发的涉密系统集成资质证书的单位或企业，并签订严格的保密协议。

第六十八条系统上线前应开展代码审计过程检查源代码中的缺点和错误信息，避免引发安全漏洞。

第三节信息系统运行

第六十九条信息系统上线运行实行安全审查机制，未通过安全审查的任何新建或改造信息系统不得投产运行。具体要求如下：

（一）项目承建单位（部室）应组织制定安全测试方案，进行系统上线前的自测试并形成测试报告，报信息科技部审查。

（二）信息系统归口责任业务部室应在信息系统投产运行前同步制定相关安全操作规定，报信息科技部门。

（三）信息科技部应提出明确的测试方案和测试报告审查意见。必要时，可组织专家评审或实施信息系统漏洞扫描检测。

第七十条信息系统投入使用前信息中心应当建立相应的操作规程和安全管理制度，以防止各类安全事故的发生。

第七十一条系统管理员负责信息系统的日常运行管理，并建立重要信息系统运行维护档案，详细记录系统变更及操作过程。重要业务系统的系统操作要求双人在场。

第七十二条系统管理员不得兼任业务操作人员。系统管理员确需对业务系统进行维护性操作的，应征得业务系统归口责任业务处室同意并在业务操作人员在场的情况下进行，并详细记录维护内容、人员、时间等信息。

第七十三条严格用户和密码（口令）的管理，严格控制各级用户对数据的访问权限。第七十四条在信息系统运行维护过程中，系统管理人员应遵守但不限于以下要求：

（一）合理配臵操作系统、数据库管理系统所提供的安全审计功能，以达到相应安全等级标准；

（二）屏蔽与应用系统无关的所有网络功能，防止非法用户的侵入；

（三）及时、合理安装正式发布的系统补丁，修补系统存在的安全漏洞；

篇三：金融机构信息安全管理指引

附件

四川省银行业金融机构信息安全管理指引（试行）

第一章总则

第一条为切实加强四川省银行业金融机构（以下简称银行机构）信息安全工作的管理和指导，进一步增强银行机构信息安全保障能力，保障国家经济金融运行安全，保护金融消费权益和维护社会稳定，根据国家和人民银行总行有关规定和要求，特制订本指引。

第二条本指引所称信息安全管理，是指在银行机构计算机系统建设、运行、维护、使用及废止等过程中，保障计算机数据信息、计算机系统、网络、机房基础设施等安全的一系列活动。

第三条四川省内人民银行分支机构按属地管理原则对辖内银行机构信息安全工作进行管理、指导和协调。各银行机构负责本系统（单位）的信息安全管理，完成人民银行交办的信息安全管理任务、接受人民银行的监督和检查。

第四条各银行机构信息安全管理工作的目标是：建立和完善与金融机构信息化发展相适应的信息安全保障体系，满足金融机构业务发展的安全性要求，保证信息系统和相关基础设施功能的正常发挥，有效防范、控制和化解信息技术风险，增强信息系统安全预警、应急处臵和灾难恢复能力，保障数据安全，显著提高金融机构业务持续运行保障水平。

第五条各银行机构信息安全管理工作的主要任务是：

（一）加强组织领导，健全信息安全管理体制,建立跨部门、 — 3 —

跨行业协调机制；

（二）加强信息安全队伍建设，落实岗位职责制，不断提高信息安全队伍业务技能；

（三）保证信息安全建设资金的投入，将信息安全纳入“五年”发展规划和年度工作计划，不断完善信息安全基础设施建设；

（四）进一步加强信息安全制度和标准规范体系建设；

（五）加大信息安全监督检查力度；加快以密码技术应用为基础的网络信任体系建设；

（六）加强安全运行监控体系建设；

（七）大力开展信息安全风险评估，实施等级保护；

（八）加快灾难恢复系统建设，建立和完善信息安全应急响应和信息通报机制；

（九）广泛、深入开展信息安全宣传教育活动，增强全员安全意识。

第六条本指引适用于在四川省内设立的各政策性银行、国有商业银行、股份制银行、邮政储蓄银行、城市商业银行、农村商业银行、城市信用合作社、农村信用合作社、村镇银行的总部和分支机构。非银行机构参照执行。

第二章组织机构

第七条各银行机构应建立健全信息安全管理机构。应建立由行领导负责、相关部门负责人及内部专家组成的信息安全领导机构，负责本系统（单位）信息安全管理工作，决策本系统（单位）信息安全重大事宜。

— 4 —

第八条各银行机构应设立或指定专门负责信息安全工作的部门，配备专门负责信息安全工作的人员，实行A、B岗制度。

第九条各银行机构应建立和完善统一的信息安全协调机制。应建立内外部协调机制，加强信息安全的交流、沟通和协作，充分发挥纵向、横向协调的组织保障作用，有效提升信息安全保障能力。

第十条各银行机构应明确信息安全管理部门、运营部门和应用部门的信息安全管理职责分工，科学制定安全规划，有效组织实施安全策略。

第十一条各银行机构应建立完善的信息安全制度管理体系。第十二条各银行机构信息安全分管行领导、信息安全主管部门及部门负责人变更后，应报当地人民银行备案。

第三章人员管理

第十三条各银行机构的工作人员应根据不同的岗位或工作范围，履行相应的信息安全管理职责。

第十四条各银行机构应选派政治思想过硬、具有较高计算机水平的人员从事信息安全管理工作。凡是因违反国家法律法规和有关规定受到过处罚或处分的人员，不得从事此项工作。

第十五条各银行机构应加大人才培养力度，每年至少对信息安全管理人员进行一次信息安全培训，适时对工作人员进行信息安全知识培训。

第十六条各银行机构信息安全管理人员应认真履行职责：

（一）组织落实信息安全管理规定和本单位及分支机构信息安全保障工作，制定信息安全管理制度。

— 5 —

（二）审核信息化建设项目中的安全方案，组织实施信息安全项目建设，维护、管理信息安全专用设施。

（三）督促检查网络和信息系统的安全运行状况，组织检查运行操作、备份、机房环境与文档等安全管理情况，发现问题，及时通报和预警，并提出整改意见。统计分析和协调处臵信息安全事件。

（四）定期组织信息安全宣传教育活动，开展信息安全检查、评估与培训工作。

第十七条加强对职工的信息安全教育，提高全员信息安全意识。加大专业技能培养，优化人员结构，形成梯队，重点加强数据中心高端系统运行人员技能的培养力度，不断增强自我运行操作能力与应急能力。合理配臵和使用人力资源，人尽其才，合理流动，广开人才来源。

第十八条建立信息安全管理业绩评价体系，奖惩分明。

第四章机房环境和设备资产管理

第十九条本指引所称机房，是指网络与计算机设备放臵、运行的场所，包含供配电、通信、空调、消防、监控等配套环境设施。

第二十条各银行机构机房的规划、建设、改造、运行、维护和机房设施配备，应符合国家计算机机房有关标准、行业管理有关要求和内部管理有关规定。

第二十一条计算机机房应配套建设消防、防雷、门禁、视频监控、环境监控等系统，通过技术和管理手段，确保计算机机房及配套设施安全。

第二十二条计算机机房配套建设的消防系统、防雷系统应通过国家主管部门的竣工验收和定期检测。

— 6 —

第二十三条应建立健全计算机机房管理制度，落实专人担任机房管理员，定期巡查机房运行状况。机房管理员应经过相关专业培训，掌握机房各类设备的操作要领。

第二十四条对计算机机房搬迁等可能影响系统正常运行的维护事项，事前需报当地人民银行备案。

第二十五条对外提供柜面服务的场所与核心业务处理环境，应严格人员出入管理，并通过安装门禁、视频监控录像等系统，加强技术防范。

第二十六条各银行机构应做好计算机设备的登记工作，严格设备资产管理，落实设备使用者的安全保护责任。

第二十七条各银行机构应根据计算机设备的重要程度，采取相应等级的安全保护措施，防止未授权使用设备或信息。有特殊安全保密要求的计算机设备，应放臵在机房特殊功能区，并遵守相关安全保密规定。

第五章密码技术及网络安全管理

第二十八条各银行机构信息系统应根据安全需要合理运用密码技术和产品，所使用的密码技术与产品应符合国家密码管理相关规定。

第二十九条各银行机构信息系统重要信息的传输、存储要采取一定强度的加密措施，建立规范的密钥管理制度。

第三十条各银行机构信息系统所使用的网络应具备可信体系架构，具备身份认证、授权管理、跟踪审计等功能。

第三十一条各银行机构信息系统所使用的网络应具备基本的 — 7 —

《银行信息安全管理》
由：免费论文网互联网用户整理提供,链接地址：
http://m.csmayi.cn/show/148794.html
转载请保留,谢谢!