【法规名称】
【颁布部门】 中国证券监督管理委员会
【发文字号】 中国证券监督管理委员会公告[2011]38号
【颁布时间】 2011-12-22
【实施时间】 2011-12-22
【效力属性】 有效
【法规编号】 576389 什么是编号？
【正 文】
第20页 证券监督管理委员会公告(2011)38号――证券期货业信息系统安全等级保护基本要求(试行)
|
[接上页] c）应建立配套设施、软硬件维护方面的管理制度，对其维护进行有效的管理，包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等； d）应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现主要设备（包括备份和冗余设备）的启动/停止、加电/断电等操作； e）应确保信息处理设备必须经过审批才能带离机房或办公地点。 7.2.5.5. 监控管理和安全管理中心（g3） 本项要求包括： a）应对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警，形成记录并妥善保存； b）应组织相关人员定期对监测和报警记录进行分析、评审，发现可疑行为，形成分析报告，并采取必要的应对措施； c）应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。 7.2.5.6. 网络安全管理（g3） 本项要求包括： a）应指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作； b）应建立网络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定； c）应根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份 持续跟踪厂商提供的网络设备的软件升级更新情况，在经过充分的测试评估后对必要的补丁进行更新，并在更新前对现有的重要文件进行备份。 d）应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补； 1） 每季度至少进行一次漏洞扫描，对漏洞风险持续跟踪，在经过充分的验证测试后对必要的漏洞开展修补工作； 2） 实施漏洞扫描或漏洞修补前，应对可能的风险进行评估和充分准备，如选择恰当时间，并做好数据备份和回退方案； 3） 漏洞扫描或漏洞修补后应进行验证测试，以保证网络系统的正常运行。 e）应实现设备的最小服务配置，并对配置文件进行定期离线备份； 应在配置变更前、变更后分别对网络设备的配置文件进行备份。 f）应保证所有与外部系统的连接均得到授权和批准； g）应依据安全策略允许或者拒绝便携式和移动式设备的网络接入； h）应定期检查违反规定拨号上网或其他违反网络安全策略的行为。 7.2.5.7. 系统安全管理（g3） 本项要求包括： a）应根据业务需求和系统安全分析确定系统的访问控制策略； b）应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补； 1） 每季度至少进行一次漏洞扫描，对漏洞风险持续跟踪，在经过充分的验证测试后对必要的漏洞开展修补工作； 2） 实施漏洞扫描或漏洞修补前，应对可能的风险进行评估和充分准备，如选择恰当时间，并做好数据备份和回退方案； 3） 漏洞扫描或漏洞修补后应进行验证测试，以保证系统的正常运行。 c）应安装系统的最新补丁程序，在安装系统补丁前，首先在测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装； 持续跟踪厂商提供的系统升级更新情况，应在经过充分的测试评估后对必要的补丁进行及时更新，并在安装系统补丁前对现有的重要文件进行备份。 d）应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出具体规定； e）应指定专人对系统进行管理，划分系统管理员角色，明确各个角色的权限、责任和风险，权限设定应当遵循最小授权原则； f）应依据操作手册对系统进行维护，详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和修改等内容，严禁进行未经授权的操作； g）应定期对运行日志和审计数据进行分析，以便及时发现异常行为。 应至少每月对运行日志和审计数据进行分析。 7.2.5.8. 恶意代码防范管理（g3） 本项要求包括： a）应提高所有用户的防病毒意识，及时告知防病毒软件版本，在读取移动存储设备上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也应进行病毒检查； b）应指定专人对网络和主机进行恶意代码检测并保存检测记录； c）应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定； |
- 此法规有错误，我来纠正。请点击在此 提交错误内容或者您纠正的内容！