某银行信用卡中心信息安全操作规范Word文档格式.docx
《某银行信用卡中心信息安全操作规范Word文档格式.docx》由会员分享，可在线阅读，更多相关《某银行信用卡中心信息安全操作规范Word文档格式.docx（13页珍藏版）》请在冰豆网上搜索。
信息安全事件发生时，按照信息事件的等级分类，启用相应的操作风险事件应急预案；
三、事后处理：
信息安全事件过后，对信息安全事件进行分析、总结、汇报和事后处理，制定相应的方案防止事件的再次发生。
第四条组建独立的信息安全评估小组，成员由技术部负责人及其指派的信息安全具体组织实施人员组成。
评估小组中需要有较强的技术专业知识人员，并对信用卡中心的系统技术架构及运行环境有深入的了解。
评估小组负责技术安全架构的建设，制定安全解决方案以及指导方案实施，处理信息安全事件。
第五条本规范适用于信用卡中心内部所有部门。
第二章信息安全日常管理
第一节信息系统研发过程安全评估
第六条应制定信息系统开发的相关细则，在研发过程应严格执行信用卡中心信息系统开发的相关细则，组织系统的设计开发以及上线投产工作。
第七条信息系统研发过程安全评估包括对新增信息系统和现有系统改造升级的安全评估。
第八条应将安全控制融入软件开发过程中，建立信息系统需求、设计、实现等方面的安全控制要求，控制应用系统用户的身份、权限并记录关键操作日志，防止信息被盗、篡改、故意或无意泄露，确保所有应用系统的安全，充分涵盖第二条涉及的五个安全问题。
第九条应采用加密等技术并建立相关标准、流程，对关键数据使用加密、防篡改等技术措施确保数据的采集、处理、存贮、传输、传播和销毁过程中的安全性，防范机密信息在信息系统或传输过程中丢失的风险。
保证数据的完整性、机密性和可用性。
第十条为确保卡中心系统安全稳定运行，对于2014年以后新建和升级改造的网络或系统应使用SM系列算法。
在采购密码产品时，同等条件下优先使用国家商用密码管理办公室发布的产品目录中的产品。
第十一条在确定信息系统设计方案过程中，评估小组需要对系统设计方案进行安全评估，最终出具项目研发安全评估报告。
评估内容包括但不限于以下内容：
（一）信息系统架构是否符合我行网络访问权限架构，是否与现有系统技术架构相冲突。
（二）信息系统所需公用资源是否会对在运行系统的安全稳定造成影响，并提出解决影响在运行系统安全稳定的方案。
如无解决方案，进行汇报。
（三）信息系统所设计的信息传递过程是否安全，传输报文中的重要信息是否经过加密，应当避免敏感信息被暴露或被窃取。
（四）信息系统是否存在信息泄露的漏洞。
第二节生产运行环境管理
第十二条系统开发与运行应该分离，确保内部的岗位制约，权限分离以达到系统稳定安全运行。
第十三条生产、测试用的服务器应当分离，以减少未授权访问或改变运行系统的风险。
第十四条应对网络进行相应的访问控制，至少划分为生产网段、准生产网段和办公网段。
准生产网段在被授权的情况下访问生产网段。
办公网段不能直接访问生产网段，只能通过准生产网段的业务系统访问到生产网段中的数据信息。
第十五条生产系统的部署应考虑数据信息安全，做到生产系统数据库和非直接与用户交互的中间层程序尽量部署在生产网段中，避免个人办公计算机直接访问。
运行用户直接交互的应用程序部署在准生产网段中。
第十六条对于重要的生产系统数据库或文件，必须采用同城同步灾备或异地准同步灾备存储系统存储数据，在条件及技术成熟的情况下尽量将异地准同步灾备改为异地同步灾备。
对于分析类等可通过其它业务系统重新获取的数据，可以存放在无同城灾备或异地灾备的存储系统中，但不能放在没有任何灾备的服务器磁盘中。
对生产数据及文件应视情况采用周期性覆盖或永久保存两种方式备份数据，并制定数据备份与恢复管理办法。
第十七条建立单独的操作间，并对操作间的门禁进行严格授权。
操作间的网络应与普通的办公区网络隔离，并且不能与互联网相连接。
操作间的计算机进行网络识别，采用技术手段限制外来计算机的接入，确保网络访问安全。
第十八条对在运行生产系统进行等级分类，操作运行等级高的系统所在服务器，必须严格执行双人在场，在操作单上记录操作内容，并由两人签字确认。
第十九条规定投产时间，严格执行投产窗口的时间规定，其它非投产窗口时间须经总经理室成员签字同意后方可进行投产。
第二十条应制定系统运行维护管理办法，并严格按照规定进行生产环境的管理，避免因人为操作失误引起信息安全事件。
第二十一条应制定相关的系统安全基线，各操作系统及数据库应根据系统基线要求统一设定系统安全基线。
第三节办公环境信息安全管理
第二十二条办公环境的信息安全管理包括但不限于网络使用、系统访问、信息传递、外包人员的管理。
第二十三条移动存储的使用管理
一、信用卡中心的办公环境内不允许使用除总行统一安全UKey外的其它U盘、移动硬盘等移动存储设备复制拷贝带有敏感信息的文件。
二、技术部采用相关的技术手段，禁止拷贝带有敏感信息或不可识别的文件。
第二十四条禁止在信用卡中心网络环境中接入使用无线路由器。
第二十五条为确保银行信息资产（包括客户资料和其他重要信息）的安全，应当按照我行外包管理办法对外包人员进行管理。
第二十六条信用卡中心的办公计算机按照要求统一安装总行的桌面管理软件和杀毒软件，以及信用卡中心防信息泄密管理软件。
第四节文档及数据信息的传输管理
第二十七条原则上文件及数据信息的传输应统一采用总行的文件加密传输平台。
如有特殊原因采用其它途径传输文档及数据信息，应采取相应的措施确保数据安全。
第二十八条对于传输量大，传输频率高的数据传输需求，应采用专线进行数据传输。
如传输的数据属于机密级别，还应对数据进行加密。
第二十九条禁止将带有敏感信息或涉及机密的文件发送至外网的FTP、网络磁盘、邮箱等外部存储空间。
第三十条禁止采用传真、打印等途径大量传输敏感信息。
第五节权限安全性管理
第三十一条权限管理员平台及业务系统的权限管理，包括操作系统用户权限的管理、数据库系统权限的管理等系统级别的权限管理；
负责业务系统权限的开通、变更、关闭以及审核。
第三十二条主机平台主机ID申请审批流程：
ID使用申请人员提交申请至权限管理员，权限管理员确认有以下完整的审批手续后发放主机ID。
1、对于上线项目及变更申请类别的ID使用申请审批，需要确认该ID涉及的项目已于项目评审会议通过；
2、对于日常变更工作的ID使用申请审批，需要确认在规定的日常工作范围。
主机负责人根据业务及系统运行状况定期对日常工作范围进行更新。
3、申请人提交申请前需要得到各平台负责人的确认，并且有主机负责人的审批意见。
4、对于延期的申请，需要重新提交ID申请并按照申请的审批流程确认。
第三十三条业务系统权限的变更申请审批流程：
业务系统权限的开通、变更以及关闭必须向本部门提出申请，填写《ⅩⅩ银行信用卡中心系统用户权限变更申请单》,由所在部门负责人审批通过后提交技术部。
各分支行权限申请由归口部门负责汇总至技术部。
第三十四条涉及总行管辖范围的系统权限申请变更需按总行相关规定填写相应的权限变更申请；
涉及银行外部系统（如人行正信系统）的权限申请变更需按其相关规定填写相应的申请变更申请。
按照规定流程申请变更权限。
第三十五条每个业务系统权限应做到一人一账号，不得由两人或两人以上共用一个账号登入业务系统进行操作。
第三十六条系统账号严禁转交他人使用，对于因泄漏账号密码造成的后果，由本人负责。
第三十七条因人员岗位变动、调离、劳动合同到期未续签、退休及其他原因不再从事原岗位工作的，须由所在部门及时填报《ⅩⅩ银行信用卡中心系统用户权限变更申请单》，注销该用户相应的操作权限。
第三十八条权限管理员应至少每年开展一次权限的核对，检查结果应在《系统用户权限核查情况表》如实填写，并配合质量监控部检查系统权限情况。
第三十九条用户密码应符合由数字和字母混合组成的密码串的复杂密码策略，长度要求7位或以上。
第六节密钥管理
第四十条为规范和加强信用卡中心应用系统密钥管理，保证银行应用系统数据安全，根据《ⅩⅩ银行数据政策》、《ⅩⅩ银行信息安全策略和指导原则》及《ⅩⅩ银行应用系统密钥管理办法》制定密钥管理管理办法。
第四十一条术语定义。
（一）信用卡中心应用系统密钥：
指信用卡中心所辖范围内所有应用系统（包括信用卡中心行内应用系统、总行与信用卡中心应用系统信用卡中心端系统、信用卡中心与行外机构互联应用系统行内端系统等）所使用的对称密钥。
（二）第三方应用系统密钥：
指与行外机构约定由我行制作的（包括总行、信用卡中心、分行）与行外机构互联应用系统行外机构端系统所使用的对称密钥。
第四十二条信用卡中心各相关密钥管理部门必须遵照密钥管理办法规定开展密钥管理工作，执行以下原则：
（一）集中接收：
总行召集各相关密钥管理人员定期在总行集中制作各类应用系统密钥。
（二）统一存放：
各类密钥必须统一存放在行内密钥专用保险柜中。
（三）分权管理：
同一密钥的多个成份应由对应数量的密钥管理人员分别管理。
（四）过程控制：
建立完善的监督控制机制，合法、合规执行密钥管理过程中各项操作。
（五）及时更新：
对存在风险的密钥必须及时更新。
（六）合理授权：
为提高密钥管理效率，更好的支持卡中心业务发展，在保证密钥安全使用的情况下，信用卡中心密钥管理人员可将密钥及相关管理权限授权卡中心内备岗密钥管理人员代为执行。
第四十三条信用卡中心、第三方应用系统密钥以及相关密钥管理流程。
第四十四条信用卡中心密钥管理内容和范围。
（一）提出信用卡中心、第三方应用系统密钥制作申请。
（二）管理、接收、销毁信用卡中心应用系统各类密钥明文码单、密钥备份文件、密钥备份IC卡。
（三）在专用硬件设备和系统上实地注入由本机构保管的各类密钥。
（四）其他经总行授权的密钥管理工作。
第四十五条信用卡中心作业部、风险管理部、技术部为信用卡中心的密钥管理部门，设置专门岗位持有并管理密钥。
第四十六条信用卡中心相关业务部门负责发起本部门主管的信用卡、第三方应用系统密钥的制作申请、接收申请、使用申请、销毁申请工作，负责组织该机构各密钥管理部门密钥管理岗完成本部门主管应用系统密钥的各项操作工作。
第四十七条信用卡中心作业部密钥管理岗工作职责如下：
（一）审核本机构业务部门提出的由本部门具体负责管理密钥分量的接收、使用、销毁申请；
（二）接收、使用、销毁信用卡应用系统密钥第一段明文码单，并负责制作、使用、销毁上述密钥备份件；
（三）接收、使用、销毁经总行授权的总行应用系统密钥第一段明文码单；
第四十八条信用卡中心风险管理部密钥管理岗工作职责如下：
（二）接收、使用、销毁信用卡应用系统密钥第二段明文码单，并负责制作、使用、销毁上述密钥备份件。
（三）接收、使用、销毁经总行授权的总行应用系统密钥第二段明文码单；
第四十九条信用卡中心技术部密钥管理岗位及职责如下：
（一）密钥管理协调岗工作职责
（1）牵头本机构密钥管理工作，在机构范围内对密钥管理执行情况进行监督、检查；
（2）向总行提交各类密钥制作申请；
（3）提供密钥操作所需要的技术环境和密钥操作技术支持；
（4）负责本机构密钥专用保险柜的管理，协助各部门密钥管理人员领取、归还密钥，并对相关操作进行登记。
（二）密钥管理岗工作职责
（1）审核本机构业务部门提出的由本部门具体负责管理密钥分量的接收、使用、销毁申请。
（2）接收、使用、销毁信用卡或分行级应用系统密钥第三段明文码单，并负责制作、使用、销毁上述密钥备份件。
（3）接收、使用、销毁经总行授权的总行应用系统密钥第三段明文码单；
第五十条信用卡中心各密钥管理部门密钥管理岗位发生人员更换，必须在该机构密钥管理协调岗监督下，完成密钥交接
第五十一条信用卡中心由总经理授权为密钥管理相关岗位指定备用人员，备用人员必须熟悉该岗位各项业务
第七节存储备份介质管理
第五十二条存储备份介质是指存储了信息的硬盘、磁带、光盘、软盘、移动硬盘及U盘等。
第五十三条涉密存储备份介质应存放在避免遭破坏的环境中，如磁盘、磁带、软盘等应存放在防消磁的保管柜中，并保证环境的温度湿度等适合存放存储介质。
第五十四条涉密存储备份介质的调用需进行审批通过后方可调取，并应对调取的信息做相应的保密及保护措施，防止信息泄露或遭到损坏的信息安全事件发生。
第五十五条存储备份介质应至少有两份以上的拷贝，并存放在不同的地点。
存储备份介质的地点转移过程需由两人以上全程陪同参与，并填写《存储备份介质转移记录表》。
第五十六条涉及需要报废的存储备份介质必须销毁数据后方可报废，如磁带、磁盘等设备需要采用消磁设备对其消磁后进行报废。
第五十七条需要定期检查存储备份介质的可用性，保存时间较长的数据需要在存储备份介质寿命时间内将数据转存至新的存储备份介质中，以避免数据的丢失。
第三章附则
第五十八条本管理办法由信用卡中心技术部负责制定、解释和修订。
第五十九条本管理办法自下发之日起执行。
记录编号：
L3-JS-01-R01
密钥保管箱启用记录表
启用日期/时间
密钥名称
保管箱责任人
审计人
L3-JS-01-R02
密钥交接记录表
日期
转交人
接收人
L3-JS-01-R03
存储备份介质转移记录表
介质标识
L3-JS-01-R04
ⅩⅩ银行信用卡中心系统用户权限变更申请单
申请资料
部门：
姓名：
电话：
邮箱：
权限变更原因：
变更系统编号（名称）：
_______________________（如未出现在以下列表，请直接填写系统名称）
01V+系统
02PRM系统
03CallCenter系统
04FTP文件备份系统
05信用卡申请查询系统
06风险系统一期
07文档管理系统
08信用卡数据分析系统
09人行征信系统
10积分系统
11FTP报表系统
12申请表凭证管理系统
13信用卡网上商城门户CMS后台
14大客户管理系统
15调额系统
16销售系统
17文档管理系统
18申请表凭证管理系统
19外呼系统
20补退件系统
21对私客户交叉销售
22信用卡商户管理系统
23存贷合一预制卡
审批纪录
申请部门负责人意见：
日期：
年月日
变更纪录
维护内容
执行人
完成日期
备注
系统权限设置
权限审计
信用卡中心系统用户权限变更申请单附表
序号
中文姓名
汉语拼音
系统用户号
开通（O）
关闭（C）
组别
功能
领用签字
说明：
本表仅用于权限调整。
新增或去除某功能所有屏幕的，在屏幕填写“++”。
L3-JS-01-R05
系统用户权限核查情况表
部门名称：
项目
系统名称
待查情况
核查结果
总待查用户数
权限相符用户数
需变更权限用户数
部门负责人：
填表人：
填表日期：
L3-JS-01-R06
ⅩⅩ银行个人信用信息数据库用户创建申请表
行名：
ⅩⅩ银行信用卡中心
申请栏
批复栏
申请部门：
申请日期：
使用者
姓名
员工号
电话
邮箱
经办人
（签字）
部门主管（签字）
用户名
批复意见：
批复意见:
经办人（签字）：
日期:
部门领导（签字）:
填写说明：
1、此表适用于各级行
2、用户名创建规则为：
×
gd+员工号，例如：
上海ⅩⅩ银行的创建规则为：
shgd+员工号
3、用户名应严格按照以上规则创建
4、本表各项内容均为必填项
5、各项签字应为本人签字
L3-JS-01-R07
ⅩⅩ银行个人信用信息数据库用户停用/启用申请表
申请栏
使用者姓名
停用/重新启用原因
（签字、日期）
部门领导
批复栏
经办人意见
经办人（签字）
部门主管
2、本表各项内容均为必填项
3、各项签字应为本人签字
L3-JS-01-R08
ⅩⅩ银行个人信用信息数据库用户密码重置申请单
申请人姓名：
申请人用户名：
申请人所属机构：
申请人联系电话：
申请密码重置原因：
申请人签字、日期：
部门主管签字、日期：
受理申请管理员用户签字：
1、此表适用于各级行。
2、本表各项内容均为必填项。
3、各项签定应为本人签字。
升级会员 