证券公司信息技术与网络安全手册.docxVIP

证券公司信息技术与网络安全手册

第1章总则与组织管理

1.1网络安全工作方针与目标

公司确立了“安全第一、预防为主、综合治理”的总方针，将网络安全作为公司战略核心，确保所有业务系统7×24小时连续稳定运行，杜绝重大安全事件发生。设定了量化指标，要求核心业务系统可用性不低于99.99%，年重大安全事件发生率为零，数据备份恢复时间目标（RTO）不超过4小时，恢复点目标（RPO）不超过15分钟。

明确了以“零信任”架构为技术底座，构建“全员有责、全链条管控”的安全目标体系，确保从物理环境到应用层的全方位防御能力。确立了数据主权保护目标，对境内核心客户数据实施加密存储，确保数据在传输和存储过程中始终处于受控状态，防止数据泄露或篡改。设定了业务连续性目标，通过多活架构和异地灾备中心，确保在极端网络攻击或自然灾害下，关键业务系统能在30分钟内恢复至正常状态。

承诺了合规目标，严格遵循《网络安全法》、《数据安全法》及金融行业监管规定，确保公司网络安全管理体系符合监管要求，无重大违规记录。

1.2组织架构与职责分工

成立了由公司主要负责人任组长的网络安全委员会，负责审议安全重大事项，授权协调跨部门资源，确保安全战略的有效落地。设立首席信息安全官（CISO），直接向公司高管汇报，统筹规划整体安全策略，并对公司网络安全承担最终领导责任。

组建由首席安全官带