信息安全基础知识培训 2010年7月15日

目录 一、信息安全基础知识 二、证券行业面临的安全威胁 三、公司安全防护体系 四、公司信息安全标准 9/12/2017

一、信息安全基础知识 信息安全发展史 信息安全的内涵 信息系统安全保障体系的基本内容 等级保护有关背景情况介绍 9/12/2017

信息安全发展史 初级阶段：通信保密阶段 上世纪八十年代前，人们认为信息安全就是通信保密，采用的保障措施就是加密和基于计算机规则的访问控制 中级阶段：计算机系统安全阶段(静态信息防护) 本世纪前，对主机安全的关注及网络攻击的防护是信息安全的核心内容 现阶段：信息安全保障阶段 人们关心的是信息及信息系统的保障，如何建立完整的保障体系，以便保障信息及信息系统的正常运行 9/12/2017

初级阶段——通信保密 40～70年代 重点是通过密码技术解决通信保密，保证数据的保密性与完整性 主要安全威胁是搭线窃听、密码学分析 主要保护措施是加密 重要标志： 1949年shannon发表的《保密通信的信息原理》 1977年美国国家标准局公布的数据加密标准（DES），对称算法 1976年由Diffie、Hellman提出公钥密码体制，非对称算法 1、通信保密最初是从战争中提出的需求。与当时信息化应用较为简单，仅仅限制在少数领域内的远程通信的状况是相对应的。其根本原因是由于基本通信机制的可复制性，为了实现不被通信的第三方知晓，需要进行加密。 9/12/2017 5

中级阶段——计算机系统安全 70～80年代 重点是确保计算机系统中硬件、软件及正在处理、存储、传输信息的机密性、完整性和可控性 主要安全威胁扩展到非法访问、恶意代码、弱口令等 主要保护措施是安全操作系统涉及技术（TCB） 主要标志 1985年美国国防部公布的可信计算机系统评估准则（TCSEC) 9/12/2017 6

TCSEC标准系列 TCSEC系列标准 需要采取的各类硬件、软件本身具备一定的安全强度 需要由软硬件组成的系统具备一定的安全程度 为了评价对“信息的安全”的保护程度，需要对产品的安全强度、系统的安全强度进行评估。 主要表现为： 产品安全强度分级：A1 B1 B2 B3 C1 C2 D1 9/12/2017 7

现阶段——信息安全保障 重点需要保护信息，确保信息在产生、存储、处理、传输过程中及信息系统不被破坏，确保合法用户的服务和限制非授权用户的服务，以及必要的防御攻击的措施。 强调信息的保密性、完整性、可用性 主要安全威胁是人为破坏、网络入侵、病毒破坏、信息对抗 主要保护措施包括防火墙、防病毒软件、漏洞扫描、入侵检测、PKI、VPN等 特点：涉及与信息系统相关的各类要素。 9/12/2017 8

现阶段——信息安全保障 提出了“信息安全保障”的概念和要求，是一种立体的保障 9/12/2017 9

信息安全的内涵 C I A 信息安全经典模型（CIA模型） 保密性 Confidentiality 完整性 Integrity 可用性 Availability 9/12/2017 10

信息安全的内涵 保密性（C） 保证没有经过授权的用户、实体或进程无法窃取信息 泄密的表现形式 组织信息给未授权的人获取 系统被未授权的人进入 个人信息被不相关的人获知 9/12/2017 11

信息安全的内涵 完整性（I） 保证没有经过授权的用户不能改变或者删除信息，从而信息在传送的过程中不会被偶然或故意破坏，保持信息的完整、统一 保护信息及处理方法的准确性和完备性； 不因人为的因素改变原有的内容，保证不被非法改动和销毁。 分成 系统完整性 数据完整性 9/12/2017 12

信息安全的内涵 可用性（A） 保证合法用户的正常请求能及时、正确、安全地得到服务或回应,确保授权使用者需要时能够访问信息及相关资产 当授权用户要求时，即可使用信息和相关资产 不因系统故障或误操作使资源丢失 对响应时间有一定要求，并且在局部故障下实现持续运行 分成 系统通信可用性 系统的可用性 数据的可用性 9/12/2017 13

信息安全的内涵 随着信息技术、安全技术以及信息化应用的不断发展，信息安全的定义在某些领域已有所拓展，在原来三性的基础上，增加了：可控性和不可否认性 可控性：对信息和信息系统实施安全监控管理，防止为非法者所用。规模较大的信息系统已建成或着手建设实现“大集中”安全管理方式的安全监管中心 不可否认性：保证信息行为人不能否认自己的行为，比较常见的应用是：使用数字签名实现交易操作的抗抵赖（不可否认） 9/12/2017 14

几个基本概念 信息安全指保护信息和信息系统不被未经授权的访问、使用、泄露、中断、修改和破坏，为信息和信息系统提供保密性、完整性、可用性、可控性和不可否认性。 信息安全保障是保证信息与信息系统的保密性、完整性、可用性、可控性和不可否认性的信息安全保护和防御过程。它要求加强对信息和信息系统的保护，加强对信息安全事件和各种脆弱性的检测，提高应急反应能力和系统恢复能力。 信息安全保障体系是实施信息安全保障的法制、组织管理和技术等层面有机结合的整体，是信息社会国家安全的基本组成部分，是保证国家信息化顺利进行的基础。 9/12/2017

信息系统安全保障体系的基本内容 9/12/2017

信息系统 用于采集、处理、存储、传输、分发和部署信息的整个基础设施、组织结构、人员和组件的总和。 信息安全保障中的几个概念 信息技术系统： 作为信息系统一部分的执行组织机构信息功能的用于采集、创建、通信、计算、分发、处理、存储和/或控制数据或信息的计算机硬件、软件和/或固件的任何组合。 信息系统 信息系统 用于采集、处理、存储、传输、分发和部署信息的整个基础设施、组织结构、人员和组件的总和。 信息系统是在信息技术系统的基础上，综合考虑了人员、管理等系统综合运行环境的一个整体。 1、由于系统的软硬件都是人设计的，不可能十全十美，各种技术又在发展，因此使得一些设备的薄弱点总是不断被发现。例如，操作系统的漏洞、应用软件的不合理等。 2、对信息系统这个概念的理解已经突破了90年代仅限于”有形设备“的理解，这实际是与目前信息系统与业务不可区分的趋势相关的。 9/12/2017 17

信息安全保障的含义 信息安全保障的对象： 整个信息系统！ 9/12/2017 我们这一部分讲”信息安全保障“，是从微观的角度，讲”信息系统安全保障“ 9/12/2017 18

信息系统安全保障模型 P2DR模型 Pt代表防护时间；或者理解为入侵者攻击安全目标所花费的时间。 Dt代表从入侵者开始发动入侵开始，系统能够检测到入侵行为所花费的时间。 Rt代表从发现入侵行为开始，系统能够做出足够的响应。 公式 ：Pt > Dt + Rt 。 重点：防护时间大于检测时间加上响应时间，那么系统是安全的。 9/12/2017

信息系统安全保障模型 P2DR3模型 9/12/2017 20

信息系统安全保障模型要素之一 安全策略 根据风险评估的结果来设计系统安全的整体保障方案 按照等级保护的要求，确定系统的防护等级 根据信息安全保障强度，合理划分网络与系统中不同的信息安全域 按照分级、分域、分层的思想确定相应的防护措施 9/12/2017 21

安全策略的重要性 ISO 9000 质量管理 ISO 27000 安全管理 9/12/2017

安全策略 各种细化的安全策略 1、身份鉴别策略 5、安全管理策略 2、访问控制策略 6、安全传输策略 3、数据加密策略 7、备份恢复策略 1、身份鉴别策略 5、安全管理策略 2、访问控制策略 6、安全传输策略 3、数据加密策略 7、备份恢复策略 4、安全审计策略 等等。。。 9/12/2017

信息系统安全保障模型要素之二 安全防护 在统一的安全策略的指导下，进行有针对性的防护： 使用网闸进行物理隔离 使用防火墙对外部进行访问控制 使用入侵检测分析网内的数据包 使用安全审计监控记录用户的行为操作 采用认证技术对用户进行身份鉴别（PKI） 部署防病毒软件来防范恶意代码的传播 使用漏洞扫描技术对系统进行安全加固 使用防水墙防止内部信息的泄漏 采用防篡改软件保障网页安全 采用容错软件来保障系统的高可用性 9/12/2017 24

防火墙 防火墙技术的基本功能 控制信息的出入 保护内部网络免遭某些基于路由的攻击 对网络存取和访问进行监控审计 防止内部网络信息的泄漏 防火墙技术的其他功能 强化网络安全策略 隐藏内部网络结构细节 保密通信功能 9/12/2017 25

身份鉴别 身份验证（Identification）是用户向系统出示自己身份证明的过程。口令认证、数字证书认证是比较普遍采用的身份验证方式 提供的内容：你有什么？你知道什么？你是什么？ 一是只有该主体了解的秘密，如口令、密钥 二是主体携带的物品，如智能卡和令牌卡 三是只有该主体具有的独一无二的特征或能力，如指纹、声音、视网膜或签字等 鉴别的方式：口令、数字证书、Keberos、动态密码 9/12/2017 26

身份鉴别 两种高安全强度的鉴别机制 智能卡：访问不但需要口令，也需要使用物理智能卡。在允许其进入系统之前检查是否允许其访问系统 智能卡大小形如信用卡，一般由微处理器、存储器及输入、输出设施构成。微处理器可计算该卡的一个唯一数（ID）和其它数据的加密形式 为防止智能卡遗失或被窃，许多系统需要卡和身份识别码（PIN）同时使用 生物特征鉴别：利用个人特征进行鉴别，具有很高的安全性。目前已有的设备包括：视网膜扫描仪、声音验证设备、手型识别器 9/12/2017 27

安全审计 根据审计对象，安全审计可以分成三个层次 网络层安全审计 系统安全审计 信息内容安全审计，属高层审计 安全审计的主要功能 通过事后的安全审计来检测和调查安全策略执行的情况以及安全遭到破坏的情况 监督可疑用户，取消可疑用户的权限，调用更强的保护机制，去掉或修复故障网络以及系统的某个或某些失效部件 9/12/2017 28

安全审计 网络的安全审计 在网络的边界设置信息审计系统，通过对进出网络通信内容的还原、备份与审计，可在一定程度上防止网内机密信息的流出和网外不良信息的流入，并为网上泄密事件的追查提供有力的技术手段 同时根据系统设定的规则，对违规行为进行智能分析和判断并对其采取相应的动作 例如：防火墙、入侵检测的审计功能。 9/12/2017 29

安全审计 系统的安全审计：主要是利用各种操作系统和应用软件系统的审计功能实现。包括 用户访问时间 操作记录 系统运行信息 资源占用 系统事件 9/12/2017 30

安全审计 内容的安全审计 通过定义的审计规则，如关键字、语句等，对信息的内容进行审核 根据审计规则，监视、记录或阻断通信的内容 如邮件审查，对所有邮件及附件内容进行控制。 9/12/2017 31

PKI公共密钥体系 公共密钥基础设施（Public Key Infrastructure） 是应用公钥概念和公钥密码技术提供信息安全及信任服务的基础设施 利用PKI/CA可以实现 加密传输 数字认证 数字签名 抗抵赖 基于非对称算法 9/12/2017 32

PKI公共密钥体系 功能 认证（鉴别） 我不认识你！ －－你是谁？ 我怎么相信你就是你？ －－要是别人冒充你怎么办 授权 我不认识你！ －－你是谁？ 我怎么相信你就是你？ －－要是别人冒充你怎么办 授权 我能干什么？ －－我有什么权利？ 你能干这个，不能干那个。 保密性 我与你说话时，别人能不能偷听？ 完整性 收到的传真不太清楚？ 传送过程中别人篡改过没有？ 抗抵赖 我收到货后，不想付款，想抵赖，怎么样？ 我将钱寄给你后，你不给发货，想抵赖，如何？ 9/12/2017 33

PKI公共密钥体系 数字证书：用户身份的表征 数字证书：内容包括用户的公钥， 用户姓名及用户的其他信息 数字证书解决了公钥发放问题，公钥的拥有者是身份的象征，对方可以据此验证身份 CA中心对含有公钥的证书进行数字签名，使证书无法伪造 9/12/2017 34

PKI公共密钥体系 验证数字证书的合法性 B的证书 证书目录服务 数字签名验证 有效性检查 9/12/2017 35

防病毒 计算机病毒：编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码 计算机病毒的特点 影响面广、危害大。 病毒产生速度快（已经出现病毒制造机） 数量巨大（已经达到数万种） 传播速度快（通过Internet） 技术手段越来越先进 9/12/2017 36

漏洞扫描 漏洞扫描，就是对重要网络信息系统进行检查，发现其中可能被攻击者利用的漏洞。系统安全漏洞扫描是一种事先检查型安全工具 扫描设定网络内的服务器、路由器、交换机、防火墙等安全设备的漏洞，并可设定模拟攻击，以测试系统的防御能力 从操作系统的角度监视专用主机的整个安全性。如password文件，目录和文件权限，共享文件系统，敏感服务，软件，系统漏洞等 9/12/2017 37

信息系统安全保障模型要素之三 实时监测 安全防护无法百分之百有效 网络与信息系统架构和应用不断变化 新的技术和威胁不断出现 实时监测和及时整改才能保障防护措施的长期有效 众多“点”上的实时监测信息为“面”上的预警提供信息渠道 9/12/2017 38

入侵检测 IDS（Intrusion Detection System）就是入侵检测系统，它通过抓取网络上的所有报文，分析处理后，报告异常和重要的数据模式和行为模式，使网络安全管理员清楚地了解网络上发生的事件，并能够采取行动阻止可能的破坏 入侵检测的功能 监视、分析用户和系统的行为 识别攻击行为 对异常行为进行统计 进行审计跟踪、识别违反安全法规的行为 监视、审计、评估系统 9/12/2017 39

入侵检测 入侵检测系统基本组成 Scanner： Sensor： Analyzer： 收集系统的静态配置信息中可能包括的恶意代码、访问控制配置、服务配置、授权配置、帐号策略和已知脆弱性 Sensor： 收集系统中表示可能导致资源误用、不正当访问和恶意活动的信息,如如抓获网络中的所有数据包 Analyzer： 分析器接受传感器和/扫描器收集的数据，进行信息分析处理，导出有关潜在的、过去的或将来的入侵行为信息 9/12/2017 40

信息系统安全保障模型要素之四 应急响应 一旦在实时监测中发现重大问题要进行应急响应 及时启动预案 协调相关资源 进行有针对性地的响应措施：如事件定性、故障或事件定位、及时隔离、阻断、甚至对抗等 必要时请求外部协助，如专业服务厂商、信息安全测评中心、计算机病毒防范服务中心、9682000热线等第三方服务机构 直至启用备份系统 9/12/2017 41

信息系统安全保障模型要素之五 灾难恢复 信息安全保障闭环的最后一道闸门 实在不行了启用备份数据或备用系统 各单位要建立多层次立体的灾难恢复体系 根据系统的重要程度、系统中断的容忍时间和费效比选取恰当的灾难恢复等级 在消除单点故障和保障高可用性的基础上，配置数据恢复手段，并进行异地的灾难备份 根据系统的灾难恢复级别要求，选取市里提供的介质异地存放、数据备份、应用备份等服务方式 系统恢复后应及时对系统实施风险评估 9/12/2017 42

信息系统安全保障模型要素之六 风险评估：资产+威胁+弱点=风险 资产：确定重要资产-CIA三性取向 威胁：发生可能性、可能后果 弱点：利用难度、可能后果 9/12/2017 43

等级保护基本知识介绍 9/12/2017

等级保护有关背景情况介绍 等级保护的政策依据 等级保护的关键环节（流程） 等级保护的现实意义 等级保护的相关标准 《基本要求》核心思想解读 9/12/2017

等级保护政策依据 《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号 ） 公安部、国家保密局、国家密码管理委员会办公室、国务院信息化工作办公室联合下发的《关于信息安全等级保护工作的实施意见》（公通字[2004]66号） 公安部、国家保密局、国家密码管理局、国务院信息化工作办公室联合下发的《信息安全等级保护管理办法》（试行）（公通字[2006]7号） 《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861号） 关于印发《信息安全等级保护管理办法》的通知（公通字[2007]43号） 9/12/2017

等级保护政策依据 中办发[2003]27号文 明确指出“实行信息安全等级保护”。 “要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南”。 9/12/2017

等级保护政策依据 公通字[2004]66号文 进一步明确了信息安全等级保护制度的基本内容： 一是根据信息和信息系统在国家安全、社会秩序、公共利益、社会生活中的重要程度；遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度；针对信息的保密性、完整性和可用性要求及信息系统必须要达到的基本的安全保护水平等因素，确定信息和信息系统的安全保护等级，共分五级。 二是国家通过制定统一的管理规范和技术标准，组织行政机关、公民、法人和其他组织根据信息和信息系统的不同重要程度开展有针对性的保护工作。国家对不同安全保护级别的信息和信息系统实行不同强度的监管政策。 三是国家对信息安全产品的使用实行分等级管理。 四是信息安全事件实行分等级响应、处置的制度。 9/12/2017

等级保护政策依据 公通字[2006]7号文 明确了信息安全等级保护的具体要求。 为推广和实施信息安全等级保护提供法律保障。 公信安[2007]861号 标志着等级保护工作正式推向实施阶段。 9/12/2017

等级保护政策依据 公通字[2007]43号文 2007.6.22 明确主管单位： 公安机关负责信息安全等级保护工作的监督、检查、指导。 国家保密部门负责等保中保密工作的监督、检查、指导。 国家密码管理部门负责等保中有关密码工作的监督、检查、指导。 确定5个等级，但去掉了[2006 7号文]“自主保护”、“指导保护”、“监督保护”等称为。 9/12/2017

等级保护政策依据 公通字[2007]43号文 五个等级的基本情况 第一级：运营、使用单位根据国家管理规范、技术标准自主防护。 第二级：运营、使用单位根据国家管理规范、技术标准自主防护。国家有关部门进行指导。 第三级：自主防护。国家有关部门进行监督、检查。 第四级：运营、使用单位根据国家管理规范、技术标准和业务专门需求进行保护，国家有关部门进行强制监督、检查。 第五级：（略）。 9/12/2017

等级保护政策依据 公通字[2007]43号文 测评周期要求 第三级信息系统应当每年至少进行一次等级测评； 第四级信息系统应当每半年至少进行一次等级测评； 第五级信息系统应当依据特殊安全需求进行等级测评。 自查周期要求 第三级信息系统应当每年至少进行一次自查； 第四级信息系统应当每半年至少进行一次自查； 第五级信息系统应当依据特殊安全需求进行自查。 根据测评、自查情况制定整改方案并实施。 9/12/2017

等级保护政策依据 公通字[2007]43号文 检查周期要求 受理备案的公安机关应当对第三级、第四级信息系统的运营、使用单位的信息安全等级保护工作情况进行检查。 对第三级信息系统每年至少检查一次； 对第四级信息系统每半年至少检查一次。 对第五级信息系统，应当由国家指定的专门部门进行检查。 9/12/2017

等级保护政策依据 公通字[2007]43号文 等级保护的检查内容 （一）信息系统安全需求是否发生变化，原定保护等级是否准确； （二）运营、使用单位安全管理制度、措施的落实情况； （三）运营、使用单位及其主管部门对信息系统安全状况的检查情况； （四）系统安全等级测评是否符合要求； （五）信息安全产品使用是否符合要求； （六）信息系统安全整改情况； （七）备案材料与运营、使用单位、信息系统的符合情况； （八）其他应当进行监督检查的事项。 9/12/2017

等级保护政策依据 公通字[2007]43号文 第三级以上信息系统应当选择使用符合以下条件的信息安全产品： （一）产品研制、生产单位是由中国公民、法人投资或者国家投资或者控股的，在中华人民共和国境内具有独立的法人资格； （二）产品的核心技术、关键部件具有我国自主知识产权； （三）产品研制、生产单位及其主要业务、技术人员无犯罪记录； （四）产品研制、生产单位声明没有故意留有或者设置漏洞、后门、木马等程序和功能； （五）对国家安全、社会秩序、公共利益不构成危害； （六）对已列入信息安全产品认证目录的，应当取得国家信息安全产品认证机构颁发的认证证书。 9/12/2017

等级保护政策依据 公通字[2007]43号文 第三级以上信息系统的安全测评机构应具备的条件： （一）在中华人民共和国境内注册成立（港澳台地区除外）； （二）由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）； （三）从事相关检测评估工作两年以上，无违法记录； （四）工作人员仅限于中国公民； （五）法人及主要业务、技术人员无犯罪记录； （六）使用的技术装备、设施应当符合本办法对信息安全产品的要求； （七）具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度； （八）对国家安全、社会秩序、公共利益不构成威胁。 9/12/2017

等级保护政策依据 公通字[2007]43号文 其他： （一）涉密系统根据BMB17建设，根据BMB22测评； （二）秘密、机密、绝密对应第三、四、五等级。 （三）密码管理根据《商用秘密管理条例》执行。 9/12/2017

等级保护工作的主要流程 一是定级。 二是备案（二级以上信息系统）。 三是系统建设、整改（按条件选择产品）。 四是开展等级测评（按条件选择测评机构）。 五是信息安全监管部门定期开展监督检查。 9/12/2017

确保重点：需要通过国家政策、制度来保障有关国计民生、大型活动（如奥运、世博）信息系统的安全。 等级保护现实意义 确保重点：需要通过国家政策、制度来保障有关国计民生、大型活动（如奥运、世博）信息系统的安全。 适度防护：由于资金投入、人力资源是有限的，因此要根据不同等级的安全需求进行安全建设与管理，避免过度投入造成的浪费。 普及经验：信息安全工作到底怎样做，多数单位缺乏办法、经验、底数。因此，等级保护吸取了我国多年信息安全技术、管理成败经验教训，科学的规范了信息安全工作的开展。 9/12/2017

等级保护相关标准 《计算机信息系统安全保护等级划分准则》（GB17859-1999） 《信息安全技术网络基础安全技术要求》（GB/T20270-2006） 《信息安全技术信息系统通用安全技术要求》GB/T20271-2006） 《信息安全技术操作系统安全技术要求》（GB/T20272-2006） 《信息安全技术数据库管理系统安全技术要求》（GB/T20273-2006） 《信息安全等级保护基本要求》（GB/T22239-2008） 《信息安全等级保护定级指南》（GB/T22240-2008） 《信息安全等级保护测评要求》（送审稿） 《信息安全技术 信息系统等级保护安全设计技术要求》（征求意见） 9/12/2017

等级保护核心标准关系的说明 系统建设：《信息系统安全等级保护定级指南》确定出系统等级以及业务信息安全性等级和系统服务安全等级后，需要按照相应等级，根据《信息安全等级保护基本要求》选择相应等级的安全保护要求进行系统建设实施。 系统测评：《信息系统安全等级保护测评要求》是针对《信息安全等级保护基本要求》的具体控制要求开发的测评要求，旨在强调系统按照《信息安全等级保护基本要求》进行建设完毕后，检验系统的各项保护要求是否符合相应等级的基本要求。 由上可见，《信息安全等级保护基本要求》在整个标准体系中起着承上启下的作用。相关技术要求可以作为《信息安全等级保护基本要求》的补充和详细指导标准。 9/12/2017

《基本要求》的主要思想及作用 信息系统的定级 9/12/2017

各级系统的保护要求差异 防护 一级系统 防护/监测 二级系统 策略/防护/监测/恢复 三级系统 策略/防护/监测/恢复/响应 四级系统 9/12/2017

各级系统的保护要求差异 通信/边界（基本） 一级系统 通信/边界/内部（关键设备） 二级系统 通信/边界/内部（主要设备） 三级系统 通信/边界/内部/基础设施（所有设备） 四级系统 9/12/2017

各级系统的保护要求差异 计划和跟踪（主要制度） 一级系统 计划和跟踪（主要制度） 二级系统 良好定义（管理活动制度化） 三级系统 持续改进（管理活动制度化/及时改进） 过程管理模型 四级系统 9/12/2017

构建系统模型_技术模型 9/12/2017

构建系统模型_管理模型 9/12/2017

目录 一、信息安全基础知识 二、证券行业面临的安全威胁 三、公司安全防护体系 四、公司信息安全标准 9/12/2017

二 证券行业面临的安全威胁 证券盗买盗卖 蠕虫、病毒和木马 恶意攻击 钓鱼网站，网络欺诈 …… 违背公司安全策略 非法外联和内联 DDoS SQL注入 域名攻击 跨站脚本 钓鱼网站，网络欺诈 …… 违背公司安全策略 非法外联和内联 安装盗版软件 未授权访问 卸载指定杀毒软件 访问挂马网站 口令明文传输 …… 源程序包含恶意代码和后门 数据无完整性保护 文件传输和保存不能抗抵赖 …… 9/12/2017

目录 一、信息安全基础知识 二、证券行业面临的安全威胁 三、公司安全防护体系 四、公司信息安全标准 9/12/2017

原因 建设安全体系的必要性和迫切性 证券行业信息安全工作是国家信息安全战略的一个重要组成部分 监管部门已将业务资格、分类评价和证券公司信息安全水平已形成挂钩联动机制 互联网安全威胁增加，攻击技术不断更新，金融网络犯罪呈团伙化的趋势 公司业务规模扩大，系统持续扩容，创新业务不断推出，现有安全防护体系力不从心 公司信息化程度不断提高，业务部门高度依赖信息技术，遵循统一的信息安全标准是系统开发和运维的需要 信息安全专业人员占比较低，与其他券商有差距，不符合等保三级对专职安全管理员的要求 9/12/2017 9/12/2017 71 71

目标与原则 安全防护体系建设目标 安全防护体系建设原则 安全防护体系建设思路 在保证公司信息系统符合国家有关部门和监管部门要求的前提下，确保公司信息系统可以在3-5年内可以抵御黑客、病毒、恶意代码等各种形式对系统发起的恶意破坏，特别是能够对抗大型的、有组织的团体发起的恶意攻击，并在威胁发生后的短时间内恢复绝大部分功能，保障公司业务的正常平稳运行。 安全防护体系建设原则 积极防御，综合防范 立足实际，适度安全 安全防护体系建设思路 行业监管要求 等级保护策略 9/12/2017 9/12/2017 72 72

安全防护体系建设框架 – 要素 安全防护体系四要素 安全专项资金 安全专业队伍 安全管理制度 安全技术体系 9/12/2017 73 73

安全防护体系建设内容 –组织架构 安全管理领导机构 安全管理执行机构 组长：冯国荣； 副组长：杜平； 信息安全领导小组 组长：冯国荣； 副组长：杜平； 成员：李静、顾百俭、姜建勤、张磊、陈跃华、谈伟军、郭怡峰 安全管理执行机构 信息安全办公室 主任：郭怡峰； 副主任：周姗、陆中兵 成员：沈永刚、陆俭、于敬兢、郑炜、邵斌、崔石、李海文、施华

安全防护体系建设内容 –安全技术 安全标准 安全指标体系 完善防范、监控和应急手段 安全技术：物理、网络、主机、应用、数据 安全管理：人员、组织、制度、系统建设、系统运维 安全指标体系 量化公司信息系统现状 考核信息安全工作落实情况 完善防范、监控和应急手段 事前防范：漏洞扫描、安全测试、网关防毒等 事中监控：安全事件管理中心、入侵检测、抗DDoS、安全审计等 事后应急：操作系统应急预案、网络攻击应急预案、防病毒应急预案 9/12/2017

安全防护体系建设内容 –安全管理 信息安全标准（红皮书） 岗位安全职责 详细的操作流程 简洁清晰的报告路径 定期应急演练 系统建设过程审核 系统运维合规审核 岗位考核和责任追究 安全知识宣传和培训 安全指标体系 9/12/2017

安全防护体系建设内容 –安全制度 梳理后的制度框架 《信息技术系统管理办法》 《电脑类项目管理实施细则》 《电脑软件管理实施细则》 《电脑机房建设与运行管理实施细则》 《电脑设备管理实施细则》 《电子数据管理实施细则》 《网络通讯管理实施细则》 《信息技术系统安全管理实施细则》 《技术应急指挥分中心突发事件应急处置预案》 《互联网域名规划管理办法》 《营业部电脑人员管理办法》 《营业部电脑人员上岗证及日常考核管理办法》 《信托产品“交易系统接入”技术管理暂行办法》 《境外客户FIX系统对接技术管理办法》 《沪港专线管理办法》

安全防护体系建设内容 – 技术标准 技术标准与操作规程 《技术白皮书》 《技术黄皮书》 《技术红皮书》 《技术蓝皮书》 《技术绿皮书》

目录 一、信息安全基础知识 二、证券行业面临的安全威胁 三、公司安全防护体系 四、公司信息安全标准（红皮书） 9/12/2017

主要内容 申银万国信息系统 基本要求 技术要求 管理要求 物理安全 网络安全 主机安全 应用安全 数据安全 安全管理机构 安全管理制度 人员安全管理 系统建设管理 系统运维管理 9/12/2017

不同级别系统控制点的差异 安全要求类 层面 一级 二级 三级 四级 技术要求 物理安全 7 10 网络安全 3 6 主机安全 4 9 应用安全 11 数据安全及备份恢复 2 管理要求 安全管理制度 安全管理机构 5 人员安全管理 系统建设管理 系统运维管理 12 13 合计 / 48 66 73 77 级差 18 9/12/2017

不同级别系统要求项的差异 9/12/2017 安全要求类 层面 一级 二级 三级 四级 技术要求 物理安全 9 19 32 33 网络安全 18 主机安全 6 36 应用安全 7 31 数据安全及备份恢复 2 4 8 11 管理要求 安全管理制度 3 14 安全管理机构 20 人员安全管理 16 系统建设管理 28 45 48 系统运维管理 41 62 70 合计 / 85 175 290 318 级差 90 115 9/12/2017

等级保护基本要求的具体介绍 9/12/2017

等级保护物理安全具体要求 控制点 一级 二级 三级 四级 物理位置的选择 * 物理访问控制 防盗窃和防破坏 防雷击 防火 防水和防潮 防静电 温湿度控制 电力供应 电磁防护 合计 7 10 9/12/2017

等级保护物理安全具体要求 （一）物理位置选择 机房防震、防风和防雨 应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。 www.shtec.gov.cn （一）物理位置选择 机房防震、防风和防雨 应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。 9/12/2017

等级保护物理安全具体要求 （二）物理访问控制 专人值守 申请和审批 划分区域进行管理 配置电子门禁 9/12/2017 www.shtec.gov.cn （二）物理访问控制 专人值守 申请和审批 划分区域进行管理 配置电子门禁 9/12/2017

等级保护物理安全具体要求 （三）防盗窃和防破坏 设备或主要部件进行固定 设置标记（不易去除）。 通信线缆铺设铺设在地下或管道中 防盗报警 www.shtec.gov.cn （三）防盗窃和防破坏 设备或主要部件进行固定 设置标记（不易去除）。 通信线缆铺设铺设在地下或管道中 防盗报警 9/12/2017

等级保护物理安全具体要求 （四）防雷击 设置避雷装置； 防雷保安器，防止感应雷； 设置交流电源地线。 9/12/2017 www.shtec.gov.cn （四）防雷击 设置避雷装置； 防雷保安器，防止感应雷； 设置交流电源地线。 9/12/2017

等级保护物理安全具体要求 （五）防火 火灾自动消防系统； 采用耐火建筑材料； 区域隔离防火措施. 9/12/2017 www.shtec.gov.cn （五）防火 火灾自动消防系统； 采用耐火建筑材料； 区域隔离防火措施. 9/12/2017

等级保护物理安全具体要求 （六）防水和防潮 水管不穿过机房屋顶和活动地板下； 防止雨水通过机房窗户、屋顶和墙壁渗透； www.shtec.gov.cn （六）防水和防潮 水管不穿过机房屋顶和活动地板下； 防止雨水通过机房窗户、屋顶和墙壁渗透； 防止机房内水蒸气结露和地下积水的转移与渗透； 对机房进行防水检测和报警。 9/12/2017

等级保护物理安全具体要求 www.shtec.gov.cn （七）防静电 防静电地板。 9/12/2017

等级保护物理安全具体要求 （八）温湿度控制 应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内（大型的精密空调） www.shtec.gov.cn （八）温湿度控制 应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内（大型的精密空调） 9/12/2017

等级保护物理安全具体要求 （九）电力供应 供电线路上配置稳压器和过电压防护设备； 提供短期的备用电力供应（UPS设备）； www.shtec.gov.cn （九）电力供应 供电线路上配置稳压器和过电压防护设备； 提供短期的备用电力供应（UPS设备）； 设置并行电力线路为计算机系统供电（2路供电）； 应建立备用供电系统（发电机）。 9/12/2017

等级保护物理安全具体要求 （十）电磁防护 电源线和通信线缆应隔离铺设，避免互相干扰； 对关键设备（泄露）和磁介质（损坏）实施电磁屏蔽。 www.shtec.gov.cn （十）电磁防护 电源线和通信线缆应隔离铺设，避免互相干扰； 对关键设备（泄露）和磁介质（损坏）实施电磁屏蔽。 9/12/2017

等级保护网络安全具体要求 控制点 一级 二级 三级 四级 结构安全 * 访问控制 安全审计 边界完整性检查 入侵防范 恶意代码防范 www.shtec.gov.cn 控制点 一级 二级 三级 四级 结构安全 * 访问控制 安全审计 边界完整性检查 入侵防范 恶意代码防范 网络设备防护 合计 3 6 7 9/12/2017

等级保护网络安全具体要求 （一）结构安全 主要网络设备处理能力具备冗余空间（CPU；MEM；I/O）； 网络各个部分的带宽满足业务高峰期需要； 安全访问路径（可控路由；静态路由）； 网络拓扑结构图(与当前运行情况相符)； 划分子网或网段；重要网段与其他网段之间技术隔离； 确定服务重要次序指定带宽分配优先级别。（很难，除非协议不同） 9/12/2017

等级保护网络安全具体要求 （二）访问控制 边界部署访问控制设备（FW） 数据流控制粒度为端口级； 实现命令级（ftp、telnet）的控制； www.shtec.gov.cn （二）访问控制 边界部署访问控制设备（FW） 数据流控制粒度为端口级； 实现命令级（ftp、telnet）的控制； 会话终止（非活跃一定时间）； 限制网络最大流量数及网络连接数； 重要网段应采取技术手段防止地址欺骗（MAC地址邦定）； 限制具有拨号访问权限的用户数量 9/12/2017

等级保护网络安全具体要求 （三）安全审计 记录网络设备运行状况、网络流量、用户行为等进行日志记录； www.shtec.gov.cn （三）安全审计 记录网络设备运行状况、网络流量、用户行为等进行日志记录； 记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； 能够根据记录数据进行分析，并生成审计报表； 审计记录保护，避免删除、修改或覆盖等 9/12/2017

等级保护网络安全具体要求 www.shtec.gov.cn （四）边界完整性检查 对非授权设备进行有效阻断； 外联监控 9/12/2017

等级保护网络安全具体要求 www.shtec.gov.cn （五）入侵防范 在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等； 记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。 9/12/2017

等级保护网络安全具体要求 （六）恶意代码防范 在网络边界处对恶意代码进行检测和清除； 恶意代码库的升级和检测系统的更新。 9/12/2017 www.shtec.gov.cn （六）恶意代码防范 在网络边界处对恶意代码进行检测和清除； 恶意代码库的升级和检测系统的更新。 9/12/2017

等级保护网络安全具体要求 （七）网络设备防护 管理员登录地址限制 两种或两种以上组合的鉴别技术 口令应有复杂度要求并定期更换 www.shtec.gov.cn （七）网络设备防护 管理员登录地址限制 两种或两种以上组合的鉴别技术 口令应有复杂度要求并定期更换 登录失败处理功能 远程管理加密鉴别信息 设备特权用户的权限分离 9/12/2017

等级保护主机安全具体要求 控制点 一级 二级 三级 四级 身份鉴别 * 安全标记 访问控制 可信路径 安全审计 剩余信息保护 入侵防范 www.shtec.gov.cn 控制点 一级 二级 三级 四级 身份鉴别 * 安全标记 访问控制 可信路径 安全审计 剩余信息保护 入侵防范 恶意代码防范 资源控制 合计 4 6 7 9 9/12/2017

等级保护主机安全具体要求 （一）身份鉴别 口令应有复杂度要求并定期更换； 登录失败处理 远程管理时，加密鉴别信息 www.shtec.gov.cn （一）身份鉴别 口令应有复杂度要求并定期更换； 登录失败处理 远程管理时，加密鉴别信息 用户名具有唯一性（避免多人使用相同帐号） 两种或两种以上组合的鉴别技术 9/12/2017

等级保护主机安全具体要求 （二）访问控制 角色分配，最小授权原则； 特权用户的权限分离（系统管理员、安全员、审计员）； www.shtec.gov.cn （二）访问控制 角色分配，最小授权原则； 特权用户的权限分离（系统管理员、安全员、审计员）； 重命名默认帐户，修改默认口令； 删除多余的、过期的帐户。 设置敏感标记 9/12/2017

等级保护主机安全具体要求 （三）安全审计 范围覆盖到每个用户； 审计内容包括重要用户管理、登录/登出、非授权访问等安全相关事件； www.shtec.gov.cn （三）安全审计 范围覆盖到每个用户； 审计内容包括重要用户管理、登录/登出、非授权访问等安全相关事件； 记录包括日期、时间、类型、主体标识、客体标识和结果等； 根据记录数据进行分析，并生成审计报表； 保护审计记录，避免删除、修改或覆盖等。 9/12/2017

等级保护主机安全具体要求 （四）剩余信息保护 鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除； www.shtec.gov.cn （四）剩余信息保护 鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除； 系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。 9/12/2017

等级保护主机安全具体要求 www.shtec.gov.cn （五）入侵防范 检测到对重要服务器进行入侵的行为，记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警； 对重要程序的完整性进行检测，检测+恢复措施； 遵循最小安装的原则+保持系统补丁及时得到更新。 9/12/2017

等级保护主机安全具体要求 （六）恶意代码防范 安装防恶意代码软件+更新恶意代码库； 与网络防恶意代码产品不同的恶意代码库； www.shtec.gov.cn （六）恶意代码防范 安装防恶意代码软件+更新恶意代码库； 与网络防恶意代码产品不同的恶意代码库； 统一管理（网络版）。 9/12/2017

等级保护主机安全具体要求 （七）资源控制 设定终端接入方式、网络地址范围 操作超时锁定； 监视服务器的CPU、硬盘、内存、网络等资源 www.shtec.gov.cn （七）资源控制 设定终端接入方式、网络地址范围 操作超时锁定； 监视服务器的CPU、硬盘、内存、网络等资源 限制单个用户对系统资源的最大或最小使用限度； 对系统的服务水平（CPU、内存、硬盘、I/O）降低到预定最小值进行检测报警。 9/12/2017

等级保护应用安全具体要求 控制点 一级 二级 三级 四级 身份鉴别 * 安全标记 访问控制 可信路经 安全审计 剩余信息保护 通信完整性 通信保密性 抗抵赖 软件容错 资源控制 合计 4 7 9 11 www.shtec.gov.cn 9/12/2017

等级保护应用安全具体要求 （一）身份鉴别 采用两种或两种以上组合的鉴别技术 身份标识唯一和鉴别信息复杂度检查功能 www.shtec.gov.cn （一）身份鉴别 采用两种或两种以上组合的鉴别技术 身份标识唯一和鉴别信息复杂度检查功能 登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出 9/12/2017

等级保护应用安全具体要求 （二）访问控制 访问控制涵盖主体、客体、操作 限制默认账户/角色的访问权限 www.shtec.gov.cn （二）访问控制 访问控制涵盖主体、客体、操作 限制默认账户/角色的访问权限 最小授权，相互制约-系统管理员、系统安全员、系统审计员三权分立 敏感标记-介于自主访问控制与强制访问控制之间的控制要求 9/12/2017

等级保护应用安全具体要求 （三）安全审计 审计涵盖每个用户，包括管理员等特权用户 审计功能不能单独中断 审计日志不能单条删除、修改 www.shtec.gov.cn （三）安全审计 审计涵盖每个用户，包括管理员等特权用户 审计功能不能单独中断 审计日志不能单条删除、修改 审计日志可读性强，便于分析统计 9/12/2017

等级保护应用安全具体要求 （四）剩余信息保护 www.shtec.gov.cn （四）剩余信息保护 鉴别信息的存储空间被释放或再分配给其他用户前得到完全清除，主要是存在硬盘、内存（cookie等） 文件、目录和数据库记录等资源的存储空间被释放或重新分配给其他用户前得到完全清除（临时文件等） 9/12/2017

等级保护应用安全具体要求 （五）通信完整性 www.shtec.gov.cn （五）通信完整性 采用密码技术保证通信过程中数据的完整性。（用HASH算法等保证数据的完整性，但是不符合国密局要求，国产算法连算法也保密） 9/12/2017

等级保护应用安全具体要求 （六）通信保密性 应用系统应利用密码技术进行会话初始化验证（双向验证） www.shtec.gov.cn （六）通信保密性 应用系统应利用密码技术进行会话初始化验证（双向验证） 强调对整个报文或会话过程进行加密（一般网络加密可能存在后端明文传输的情况） 加密卡 网络 加密机 服务器 用户 加密信道 明文传输 9/12/2017

等级保护应用安全具体要求 www.shtec.gov.cn （七）抗抵赖 提供原发证据 提供接受证据 9/12/2017

等级保护应用安全具体要求 （八）软件容错 人机接口输入格式化要求（如身份证一定是数字，15或18位） www.shtec.gov.cn （八）软件容错 人机接口输入格式化要求（如身份证一定是数字，15或18位） 应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。（手工恢复） 9/12/2017

等级保护应用安全具体要求 （九）资源控制 一段时间内未作任何操作，应能够自动结束会话；（防止应用D.D.O.S.） www.shtec.gov.cn （九）资源控制 一段时间内未作任何操作，应能够自动结束会话；（防止应用D.D.O.S.） 限制系统最大并发会话连接数 限制一个时间段内可能的并发会话连接数 限制单个帐户的多重并发会话 对系统服务水平降低到预先规定的最小值进行检测和报警 根据优先级分配系统资源（查询、处理冲突时） 9/12/2017

等级保护数据安全具体要求 控制点 一级 二级 三级 四级 数据完整性 * 数据保密性 备份和恢复 合计 2 3 9/12/2017 www.shtec.gov.cn 控制点 一级 二级 三级 四级 数据完整性 * 数据保密性 备份和恢复 合计 2 3 9/12/2017

等级保护数据安全的具体要求 （一）数据完整性 系统管理数据、鉴别信息和重要业务数据在传输和存储过程中都要进行完整性检验及必要的恢复措施。 www.shtec.gov.cn （一）数据完整性 系统管理数据、鉴别信息和重要业务数据在传输和存储过程中都要进行完整性检验及必要的恢复措施。 系统管理数据：配置数据 鉴别信息：用于用户身份鉴别的信息 恢复措施：可用手工完成 9/12/2017

等级保护数据安全的具体要求 （二）数据保密性 系统管理数据、鉴别信息和重要业务数据在传输和存储过程中都要采取加密或其他措施。 www.shtec.gov.cn （二）数据保密性 系统管理数据、鉴别信息和重要业务数据在传输和存储过程中都要采取加密或其他措施。 9/12/2017

等级保护数据安全的具体要求 （三）备份和恢复 完全数据备份至少每天一次，备份介质场外存放； 应提供异地数据备份功能； www.shtec.gov.cn （三）备份和恢复 完全数据备份至少每天一次，备份介质场外存放； 应提供异地数据备份功能； 采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障； 应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。 与应用开发无关。 9/12/2017

等级保护管理要求中涉及系统开发的具体要求 方案设计 软件开发 工程实施 测试验收 9/12/2017

等级保护开发安全的具体要求 （一）方案设计 文档1：系统建设方案、详细设计方案 要求1：方案中提到安全要求 文档2：近期和远期的安全建设计划 www.shtec.gov.cn （一）方案设计 文档1：系统建设方案、详细设计方案 要求1：方案中提到安全要求 文档2：近期和远期的安全建设计划 要求2：每个系统均有安全建设计划 9/12/2017

等级保护开发安全的具体要求 （二）自行软件开发 文档1：软件开发管理制度 文档2：代码编写规范 文档3：软件设计相关文档和使用指南 www.shtec.gov.cn （二）自行软件开发 文档1：软件开发管理制度 文档2：代码编写规范 文档3：软件设计相关文档和使用指南 要求3：包括《项目立项申请表》、《项目开发任务书》，《需求分析说明书》、《系统设计说明书》、《系统测试计划》、《系统测试报告》、《项目投产方案》、《系统操作手册》等。 文档4：源代码修改、更新、发布的授权审批记录 9/12/2017

等级保护开发安全的具体要求 （三）外包软件开发 文档1：软件开发安全协议（包含保密协议） 文档2：验收检测报告 www.shtec.gov.cn （三）外包软件开发 文档1：软件开发安全协议（包含保密协议） 文档2：验收检测报告 要求2：包含功能测试、性能测试、源代码恶意代码检查。 文档3：需求分析说明书、软件设计说明书、软件操作手册、用户培训计划、用户培训记录 9/12/2017

等级保护开发安全的具体要求 （四）工程实施 文档1：信息系统工程安全建设方案 www.shtec.gov.cn （四）工程实施 文档1：信息系统工程安全建设方案 要求1：项目建设方案（项目管理计划）其中明确实施方责任、项目时间进度、任务要求、质量控制等。 文档2：工程实施管理制度 要求2：针对项目集成单位的管理制度。 文档3：阶段性工作报告 要求3：项目管理过程中周报、月报、项目总结等。 9/12/2017

等级保护开发安全的具体要求 （五）测试验收及系统交付 文档1：系统测试方案、测试记录、测试报告、验收测试管理制度、验收报告 www.shtec.gov.cn （五）测试验收及系统交付 文档1：系统测试方案、测试记录、测试报告、验收测试管理制度、验收报告 要求1：系统测试包括业务功能测试、性能测试、安全性测试等。 文档2：系统交付管理制度、系统交付清单、运维技术人员培训记录 要求2：开发厂商或交通银行开发部人员，对业务用户、运维管理人员的培训。 9/12/2017

等级保护管理要求中涉及系统运维的具体要求 系统安全管理 恶意代码防范 密码管理 变更管理 备份恢复 安全事件处置 应急预案管理 环境管理 资产管理 介质管理 设备管理 监控管理 网络安全管理 9/12/2017

等级保护运维安全的具体要求 （一）环境管理 文档1：机房安全管理制度 要求1：包括机房物理访问、物品出入、机房环境安全等方面。 www.shtec.gov.cn （一）环境管理 文档1：机房安全管理制度 要求1：包括机房物理访问、物品出入、机房环境安全等方面。 文档2：机房供配电系统、空调设备、温湿度控制的维护记录 9/12/2017

等级保护运维安全的具体要求 （二）资产管理 文档1：资产安全管理制度 www.shtec.gov.cn （二）资产管理 文档1：资产安全管理制度 要求1：包括资产管理的责任部门、信息分类和资产标识的方法，信息的使用、存储、传输等方面。 文档2：与信息系统相关的资产清单 要求2：资产名称 责任部门、重要程度、所处位置等 9/12/2017

等级保护运维安全的具体要求 （三）介质管理 文档1：介质安全管理制度 要求1：包括对介质的存放环境、使用、维护、销毁等方面。 www.shtec.gov.cn （三）介质管理 文档1：介质安全管理制度 要求1：包括对介质的存放环境、使用、维护、销毁等方面。 文档2：介质的归档、查询和借用的记录、介质定期盘点记录、介质的送修和销毁记录、对于保密性高的介质销毁需要有领导批准记录、介质物理传输的交接记录 9/12/2017

等级保护运维安全的具体要求 （四）设备管理 文档1：设备管理制度 www.shtec.gov.cn （四）设备管理 文档1：设备管理制度 要求1：包括明确设备的选型、采购、领用、发放维护人员责任、涉外维修和服务的审批、维修过程的监控等。 文档2：服务器、网络设备的操作规程 要求2：覆盖启动、停止、加电、断电等操作 文档3：各种设备、线路的维护记录 要求3：覆盖备份和冗余设备 文档4：设备带离机房或办公环境的审批记录 9/12/2017

等级保护运维安全的具体要求 （五）监控管理 文档1：监控记录、监控分析报告 www.shtec.gov.cn （五）监控管理 文档1：监控记录、监控分析报告 要求1：包括通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等。 9/12/2017

等级保护运维安全的具体要求 （六）网络安全管理 文档1：网络设备漏洞扫描报告 要求1：覆盖漏洞的严重级别、原因分析、改进意见等。 www.shtec.gov.cn （六）网络安全管理 文档1：网络设备漏洞扫描报告 要求1：覆盖漏洞的严重级别、原因分析、改进意见等。 文档2：网络设备配置等重要文件备份记录、报警信息的分析和处理记录、设备安全策略、服务开启和关闭的审批记录、网络特权用户的授权记录、网络的外联，与外部系统的连接批准记录、移动设备接入系统的批准记录、对违反网络安全策略行为的检查记录等 9/12/2017

等级保护运维安全的具体要求 （七）系统安全管理 文档1：系统安全管理制度 www.shtec.gov.cn （七）系统安全管理 文档1：系统安全管理制度 要求1：包括主机系统安全策略、安全配置、日志管理和日常操作流程等方面等。 文档2：系统补丁测试记录、安装最新补丁前重要文件的备份记录、主机漏洞扫描报告、主机系统特权用户的授权记录、主机设备的操作规程、主机设备的操作记录 要求2：漏扫报告必须覆盖漏洞的严重级别、原因分析、改进意见等； 9/12/2017

等级保护运维安全的具体要求 （八）恶意代码防范 文档1：恶意代码防范管理制度 www.shtec.gov.cn （八）恶意代码防范 文档1：恶意代码防范管理制度 要求1：包括防恶意代码软件的授权使用、恶意代码库升级、定期汇报等。 文档2：网络和主机恶意代码的检测记录、恶意代码库升级记录、病毒、恶意代码的分析记录和报告 9/12/2017

等级保护运维安全的具体要求 （九）密码管理 文档1：密码使用管理制度 要求1：使用符合国家密码管理规定的密码技术和产品 9/12/2017 www.shtec.gov.cn （九）密码管理 文档1：密码使用管理制度 要求1：使用符合国家密码管理规定的密码技术和产品 9/12/2017

等级保护运维安全的具体要求 （十）变更管理 文档1：变更管理制度、系统变更的申请和审批记录、系统变更的变更记录 www.shtec.gov.cn （十）变更管理 文档1：变更管理制度、系统变更的申请和审批记录、系统变更的变更记录 要求1：包括变更前审批、变更过程记录、变更后通报等 文档2：信息系统变更方案 要求2：覆盖变更原因、变更类型、变更过程、变更影响分析和变更失败后恢复程序 9/12/2017

等级保护运维安全的具体要求 （十一）备份与恢复 文档1：备份与恢复管理制度、备份策略 www.shtec.gov.cn （十一）备份与恢复 文档1：备份与恢复管理制度、备份策略 要求1：包括信息的备份方式、备份频度、存储介质和保存期限等方面 文档2：备份记录、备份恢复演练记录 要求2：覆盖备份时间、备份内容、备份操作、备份介质存放等内容 9/12/2017

等级保护运维安全的具体要求 （十二）安全事件处置 文档1：安全事件报告和处置管理制度 www.shtec.gov.cn （十二）安全事件处置 文档1：安全事件报告和处置管理制度 要求1：明确安全事件定义、安全事件等级划分、规定安全事件的现场处理、事件报告流程等管理职责 文档2：信息安全事件记录和报告 要求2：覆盖事件产生的原因、处理过程、预防措施等内容 9/12/2017

等级保护运维安全的具体要求 （十三）应急预案管理 文档1：应急预案 www.shtec.gov.cn （十三）应急预案管理 文档1：应急预案 要求1：包括应急预案启动条件、应急处理流程、系统恢复程序、事后教育和培训等内容 文档2：应急预案评审记录、应急预案培训记录、应急预案演练记录 9/12/2017

公司等级保护落实情况

等级保护备案情况 三级系统：2个 二级系统：8个 核心交易清算系统 网上交易系统 其他信息系统、非现场客户服务系统、网点客户自助服务系统、机构客户服务系统、登记结算系统、风险监控系统、门户网站、反洗钱系统 一级系统：10个 财务管理系统、人力资源管理系统、档案管理系统、设备管理系统、数据仓库系统、统计信息系统、经纪人考核系统、其他数据仓库衍生应用系统、协同办公系统

等级保护备案最新情况 行业要求 进展情况 集中交易系统 三级 （78%） 网上交易系统 三级 (80%) 网站系统 二级 呼叫中心系统 二级 上海证监局《关于进一步做好证券期货业重要信息系统安全等级保护定级备案工作的通知》（沪证监调研字[2009]7号） 进展情况 已经从上海证监局获得以下系统的审批意见 集中交易系统 三级 （78%） 网上交易系统 三级 (80%) 网站系统 二级 呼叫中心系统 二级 法人清算系统 二级 审批意见已经送报上海市等保办

谢 谢!

信息安全建设依据及参考标准 《中华人民共和国计算机信息系统安全保护条例》 《国家信息化领导小组关于加强信息安全保障工作的意见》 《计算机信息系统安全保护等级划分准则-GB/T 17859 》 《信息系统安全保护等级定级指南》 《信息系统安全保护等级基本要求》 《信息系统安全保护等级实施指南》 《证券期货业信息安全保障管理暂行办法》 《证券公司网上证券信息系统技术指引》 《电脑网络中心电脑网络技术红皮书》 9/12/2017