征信机构信息安全规范.docxVIP

征信机构信息安全规范 一、总则 1.1标准适用范围 标准规定了不同安全保护等级征信系统的安全要求，包括安全管理、安全技术和业务运作三个方面。 标准适用于征信机构信息系统的建设、运行和维护，也可作为各单位开展安全检查和内部审计的安全依据。接入征信机构信息系统的信息提供者、信息使用者也可以参照与本机构有关条款执行，标准还可作为专业检测机构开展检测、认证的依据。 1.2相关定义 （一）征信系统：征信机构与信息提供者协议约定，或者通过互联网、政府信息公开等渠道，对分散在社会各领域的企业和个人信用信息，进行采集、整理、保存和加工而形成的信用信息数据库及相关系统。 （二）敏感信息：影响征信系统安全的密码、密钥以及业务敏感数据等信息。 1、密码包括但不限与查询密码、登录密码、证书的PIN等。 2、密钥包括但不限与用于确保通讯安全、报告完整性的密钥。 3、业务敏感数据包括但不限于信息主体的身份信息、婚姻状况以及银行账户信息等涉及个人隐私的数据。 （三）客户端程序：征信机构开发的、通过浏览器访问征信系统并为征信系统其他功能（如数据采集）的程序，并提供必需功能的组件，包括但不限于：可执行文件、控件、浏览器插件、静态链接库、动态链接库等（不包括IE等通用浏览器）；或信息提供者、信息使用者以独立开发的软件接入征信系统的客户端程序。 （四）通讯网络：通讯网络指的是由客户端、服务器以及相关网络基础设施组建的网络连接。征信系统通过互联玩或网络专线等方式与信息提供者、信息使用者相连，征信系统安全设计应在考虑建设成本、网络便利性等因素的同时，采取必要的技术防护措施，有效应对网络通讯安全威胁。 （五）服务器端：服务器端指用于提供征信系统核心业务处理和应用服务的服务器设备及安装的相关软件程序，征信机构应充分利用有效的物理安全技术、网络安全技术、主机安全技术、应用安全技术及数据安全与备份恢复技术等，在外部威胁和受保护的资源间建立多道严密的安全防线。 1.3总体要求 本标准从安全管理、安全技术和业务运作三个方面提出征信系统的安全要求。 （一）安全管理从安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理等方面提出要求。 （二）安全技术从客户端、通讯网络、服务器端等方面提出要求。 （三）业务运作从系统接入、系统注销、用户管理、信息采集和处理、信息加工、信息保存、信息查询、异议处理、信息跨境流动、研究分析、安全检查与评估等方面提出要求。 二、安全管理 2.1安全管理制度 征信机构根据征信系统的建设、运行和管理情况，建立和完善信息安全管理制度，并定期进行评审和修订。 2.1.1内部管理制度 基本要求： （一）应制定信息安全工作的总体方针和安全策略，说明本机构安全工作的总体原则、目标、范围和安全框架等； （二）应建立征信系统建设和运维管理制度，对机房管理、资金安全、设备管理，网络安全和系统安全等方面做出明确规定。 （三）应建立征信系统安全审批流程，系统投入运行、网路系统接入等重大事项由信息安全管理负责人审批，并确认签字。 （四）应对安全管理人员及操作人员执行的重要操作建立操作规程，并进行定期培训。 （五）应建立日常故障处理流程，重要岗位应建立双人负责制。 （六）应建立软件开发管理制度，明确说明开发过程的控制方法和人员行为准则。 （七）应建立数据库管理制度，对数据的存储、访问、使用、展示、备份与恢复、传输及样本数据处理等进行规范。 （八）应建立外包服务管理、外部人员访问等方面的管理制度，对外部人员对本机构内的活动进行规范化管理。 （九）应建立突发事件及重大事项报告制度，对外部人员在本机构内的活动进行规范化管理。 （十）应建立突发事件应急预案制度，有效避免事故造成的危害。 （十一）应建立信息安全检查制度，定期或者根据需要(如可能存在安全隐患时)不定期开展安全自查工作，主动接受和配合中国人民银行及其派出所机构的安全检查。 增强要求： （一）应建立征信系统建设工程实施方面的管理制度，明确说明实施过程的控制方法和人员行为准则。 （二）应建立密码使用、变更管理及数据备份与恢复等方面的管理制度，对系统运行维护过程中重要环节的审批与操作等作出的明确规定。 （三）应按照ISO/IEC 27001:2013的相关要求建立完善的信息安全管理体系。 2.1.2安全审计制度 基本要求： （一）应建立信息安全内部审计制度，定期可能带来信息安全风险的因素进行审计和评估，个人征信机构每年至少1次，企业征信机构每年至少1次。 （二）应对安全管理制度的制定和执行情况进行审计，审计内容包括是否按照法律法规和中国人民银行的相关规定建立信息安全管理制度，安全管理制度的执行情况，是否定期对制度进行评审和修订。 （三）应对网络安全、主机安全、应用安全和数据安全等技术安全进行审计，审计内容包括安全配置、设备