2016期货公司信息技术管理指引修订检查细则二类.docVIP

目 录 1. 总则 1 1.1 范围 1 1.2 术语和定义 1 1.2.1 检查方式 1 1.2.2 检查对象 1 1.2.3 检查措施 1 1.2.4 检查结果 1 1.3 检查原则 1 1.3.1 客观公正原则 1 1.3.2 检查结果二元原则 1 1.3.3 证明材料验证原则 2 1.3.4 进入机房原则 2 1.3.5 测试被检查单位系统的原则 2 1.3.6 保密原则 2 1.4 检查技术等级判定 2 1.4.1 完全达到某章要求的定义 2 1.4.2 基本达到某章要求的定义 2 1.4.3 达到等级类的定义 2 1.5 其他检查说明 2 2. 二类要求 3 2.1 技术管理 3 2.1.1 组织结构 3 2.1.2 培训 6 2.1.3 人员素质 7 2.1.4 信息技术服务提供商管理 8 2.1.5 IT投入 9 2.2 机房建设 10 2.2.1 基本 10 2.2.2 供电 12 2.2.3 空调 13 2.2.4 布线 13 2.2.5 维护 14 2.3 核心系统 14 2.3.1 功能 14 2.3.2 性能和容量 17 2.3.3 交易系统冗余 20 2.3.4 行情冗余 21 2.3.5 银期系统冗余 22 2.4 安全 22 2.4.1 网络隔离 22 2.4.2 防病毒、补丁和安全加固 24 2.4.3 网站安全 26 2.4.4 网上交易安全 28 2.4.5 账户与权限 29 2.4.6 口令管理 30 2.4.7 安全审计 31 2.5 日常运行 32 2.5.1 岗位 32 2.5.2 制度与巡检 33 2.5.3 机房进出 36 2.6 备份 37 2.6.1 数据备份 37 2.7 系统维护 39 2.7.1 变更管理 39 2.7.2 配置管理 41 2.7.3 容量管理 42 2.7.4 应急演练 43 2.7.5 技术事故管理 44 2.8 营业部技术要求 45 2.8.1 基本要求 45 2.8.2 交易保障 47 总则 范围 为加强期货公司信息系统建设，提高运维保障水平，依据《期货公司信息技术管理指引》（以下简称指引），特制订针对期货公司信息系统和技术管理的检查细则。依据指引中的四类要求，相应地制定了四类检查要点。从一类到四类，要求依次提高。 本检查细则可作为期货行业主管部门、行业协会及期货交易所检查期货公司信息系统和技术管理的指引，也可用于期货公司自查。 术语和定义 检查方式 检查方式是检查人员为判断被检查单位是否达到某检查项而采取的工作方式。本检查要点中，检查方式分为检查和访谈两种。 检查是通过对被检查单位按照预定的方法/工具使其产生特定的行为等活动，查看、分析输出结果，获取证据以证明其是否达到、满足检查项要求的一种方法。 访谈是通过与被检查单位有关人员（个人/群体）进行交流、讨论等活动，获取证据以证明其是否达到、满足检查项要求的一种方法。 检查对象 检查对象是指被检查单位的有关人员、相关机制、流程、数据或物理上可见的系统设备。 检查措施 检查措施是为判定被检查单位是否达到、满足检查项要求而采取的工作步骤或者方法。检查措施包括获取相关的制度、文档和记录，访谈有关人员，检查设备的存在及运行状态等等。 除了本检查细则中规定的内容，检查人员可以按照实际情况的需要，检查与要求相关的其他材料。 检查结果 检查结果是根据检查措施的执行结果，对被检查单位是否达到某项技术要求作出的判定，在本检查要点中，判定只能是“达到要求” 或者“未达到要求”两种。必要时，检查结果中还应包括证明该判定的相关材料。 检查原则 客观公正原则 检查工作应尽量减少个人主张或判断，在最小主观判断情形下，基于明确定义的检查方法和解释，对每个技术要求项进行检查。 检查结果二元原则 对于每一个技术要求项只有达到要求和未达到要求两种结论。对于被检查单位的等级结论也只有达到某等级类和未达到某等级类两种结论。 证明材料验证原则 对于被检查单位提供的证明材料,应根据具体技术要求项的检查措施进行验证,证明材料应符合实际情况。 进入机房原则 尽量安排非交易时间进入机房检查,最佳进入机房时间应为收盘后。 测试被检查单位系统的原则 原则上，不应对被检查单位系统进行操作，包括运行程序、脚本等。禁止交易期间操作被检查单位系统。不应在交易期间要求被检查单位进行各类系统切换测试和升级操作。 保密原则 在检查期间接触到被检查单位的技术、商业机密应严格保密。证明材料中不应包含被检查单位的相关机密。 检查技术等级判定 完全达到某章要求的定义 如果被检查单位对于某个等级类的某一章（包括：技术管理、机房建设、核心系统、安全、日常运行、备份、系统维护、营业部要求八大章）所有技术要求项（包括必须和可选）都能够达到要求，那么该被检查单位就是