第一章??? 總則
第一條 為加強邵陽市農村商業(yè)銀行（以下簡稱農商行）信息系統(tǒng)信息安全、硬件設備、安全運行、故障申報、日常檢查、網(wǎng)絡安全等管理，防范和化解信息系統(tǒng)的運行風險，杜絕各類事故和案件的發(fā)生，根據(jù)《湖南省農村信用社信息安全管理辦法》、《中華人民共和國信息系統(tǒng)安全保護條例》、《金融機構計算機信息系統(tǒng)安全保護工作暫行規(guī)定》、《商業(yè)銀行信息科技風險管理指引》等規(guī)定，結合我農商行實際情況，特制定本辦法。
第二條 本辦法適用所有使用邵陽市農商行網(wǎng)絡或信息資源的其他外部機構和個人，包括農商行轄內網(wǎng)點所有員工，包括在編合同制員工、經(jīng)批準在崗的短期合同制員工。
第三條 信息系統(tǒng)信息安全工作堅持以預防為主、綜合治理、人員防范與技術防范相結合和的原則、按照“誰主管誰負責，誰運行誰負責，誰使用誰負責”的原則，逐級落實單位與個人信息安全責任制。
第四條 信息系統(tǒng)系統(tǒng)信息安全管理員，應當保障信息系統(tǒng)及配套設備的安全、運行環(huán)境的安全和信息的安全。
第五條 任何個人不得利用信息系統(tǒng)從事危害國家利益和集體利益的活動、不得危害計算機信息系統(tǒng)的安全。
第二章 組織保障
第六條 農商行設立科技信息部，由科技信息部歸口管理信息安全工作，并明確其信息安全管理職責。
第七條 根據(jù)省聯(lián)社要求，農商行成立由農商行領導和各職能部門主要負責人組成信息安全工作領導小組，領導小組辦公室設農商行科技信息部，負責協(xié)調轄內信息安全管理工作，決定轄內信息安全重大事宜。 第八條 農商行科技信息部門設立信息安全崗位，配備專職信息安全管理人員。負責邵陽農商行信息安全管理，建立完善信息安全管理辦法，并組織實施；對農商行信息安全管理工作進行指導和檢查督促。
第九條 農商行各支行及各職能部門主要負責人為本部門信息安全第一責任人，同時均應指定至少一名部門信息安全員，具體負責本部門的信息安全管理，協(xié)同科技信息部開展信息安全管理工作。
第三章??? 人員管理
農商行工作人員根據(jù)不同的崗位或工作范圍，履行相應的信息安全保障職責?？萍夹畔⒉繛檗r商行信息安全保護專職部門，設信息安全管理員、系統(tǒng)維護管理員、技術維護員等崗位負責全轄信息系統(tǒng)安全運行。各部門及支行要設立信息系統(tǒng)安全管理領導小組，設立部門信息安全員。
第一節(jié) 信息安全管理人員
第十條 農商行選派政治思想過硬、具有較高計算機水平的人員從事信息安全管理工作。凡是因違反國家法律法規(guī)和湖南省農村信用社有關規(guī)定受到過處罰或處分的人員，不得從事此項工作。
第十一條 信息安全管理人員應具有從事金融機構計算機工作三年以上經(jīng)歷，具有本科以上學歷。
第十二條 信息安全管理人員必須應經(jīng)過省聯(lián)社組織的專業(yè)培訓與審核，培訓與審核合格后方可上崗。上崗后，每年至少參加一次信息安全專業(yè)培訓。 第十三條 農商行信息安全管理人員在如下職責范圍內開展本單位信息安全管理工作： （一）組織落實上級信息安全管理規(guī)定，制定信息安全管理辦法，協(xié)調部門計算機安全員工作，監(jiān)督檢查信息安全保障工作。 （二）審核信息化建設項目中的安全方案，組織實施信息安全保障項目建設，維護、管理信息安全專用設施。 ?。ㄈz測網(wǎng)絡和信息系統(tǒng)的安全運行狀況，檢查運行操作、備份、機房環(huán)境與文檔等安全管理情況，發(fā)現(xiàn)問題，及時通報和預警，并提出整改意見。統(tǒng)計分析和協(xié)調處置信息安全事件。 （四）定期組織信息安全宣傳教育活動，開展信息安全檢查、評估與培訓工作。 第十四條 信息安全管理人員在履行職責時，確因工作需要查詢相關涉密信息，須經(jīng)本部門負責人同意后向本單位保密主管部門提交申請，獲得批準后方可查詢。 第十五條 信息安全管理人員實行備案管理辦法。信息安全管理人員的配備和變更情況應及時報上一級科技信息部備案。
第十六條 信息安全管理人員調離崗位，必須嚴格辦理調離手續(xù)，承諾其調離后的保密義務。涉及農村信用社業(yè)務核心技術的計算機安全人員調離單位，必須進行離崗審計，并在規(guī)定的脫密期后，方可調離。
第二節(jié) 部門信息安全員
第十七條 各部門和各級支行應指派素質好、較熟悉計算機知識的人員擔任部門信息安全員，并報農商行科技信息部備案。如有變更應做好交接工作，并及時通報科技信息部。 第十八條 部門信息安全員配合農商行信息安全管理人員工作，并參加各項信息安全技能培訓。 第十九條 部門信息安全員在如下職責范圍內開展工作： ?。ㄒ唬┴撠煴静块T計算機病毒防治工作，監(jiān)督檢查本部門客戶端安全管理情況。 ?。ǘ┴撠熖岢霰静块T信息安全保障需求，及時與農商行信息安全管理人員溝通信息安全信息。 ?。ㄈ┴撠煴静块T國際互聯(lián)網(wǎng)使用和接入安全管理，組織開展本部門信息安全自查，協(xié)助科技信息部完成對本部門的信息安全檢查工作。
第三節(jié) 技術支持人員
第二十條 本辦法所稱技術支持人員，是指參與邵陽農商行網(wǎng)絡、信息系統(tǒng)、機房環(huán)境等建設、運行、維護的內部技術支持人員和外包服務人員。 第二十一條 農商行內部技術支持人員在履行網(wǎng)絡和信息系統(tǒng)建設和日常運行維護職責過程中，應承擔如下安全義務： （一）不得對外泄露或引用工作中觸及的任何敏感信息。嚴格權限訪問，未經(jīng)批準不得擅自改變系統(tǒng)設置或修改系統(tǒng)生成的任何業(yè)務數(shù)據(jù)。 （二）主動檢查和監(jiān)控生產系統(tǒng)安全運行狀況，發(fā)現(xiàn)安全隱患或故障及時報告本部門主管領導，并及時響應、處置。 （三）嚴格操作管理、測試管理、應急管理、配置管理、變更管理、檔案管理等工作辦法，做好數(shù)據(jù)備份工作。 第二十二條 外部技術支持人員應嚴格履行外包服務合同（協(xié)議）的各項安全承諾。提供技術服務期間，嚴格遵守湖南省農村信用社相關安全規(guī)定與操作規(guī)程，關鍵操作應經(jīng)授權，并有農商行內部員工在場。不得拷貝或帶走任何配置參數(shù)信息或業(yè)務數(shù)據(jù)，不得對外泄露或引用任何工作信息。
第四節(jié) 業(yè)務系統(tǒng)操作人員
第二十三條 本辦法所稱業(yè)務系統(tǒng)操作人員是指直接操作業(yè)務系統(tǒng)進行業(yè)務處理的業(yè)務工作人員。 第二十四條 業(yè)務系統(tǒng)操作人員應承擔如下安全義務： ?。ㄒ唬﹪栏褚?guī)程操作，防止誤操作。定期修改操作密碼并妥善保管，按需、適時進行必要的數(shù)據(jù)備份。 ?。ǘ┌l(fā)現(xiàn)業(yè)務系統(tǒng)出現(xiàn)異常及時報告科技信息部。 （三）不得在操作終端上安裝與業(yè)務系統(tǒng)無關的軟件和硬件，不得擅自修改業(yè)務系統(tǒng)及其運行環(huán)境參數(shù)設置。 第二十五條 業(yè)務系統(tǒng)操作應按照“權限分散、不得交叉任職”原則，嚴格進行操作角色劃分和授權管理。技術支持人員不得兼任業(yè)務系統(tǒng)操作人員。
第五節(jié) 一般計算機用戶
第二十六條 本辦法所稱一般計算機用戶是指使用計算機設備的所有人員。 第二十七條 一般計算機用戶應承擔如下安全義務： ?。ㄒ唬┘皶r更新所用計算機的病毒防治軟件和安裝補丁程序，自覺接受本部門信息安全員的指導與管理。 ?。ǘ┎坏冒惭b與辦公和業(yè)務處理無關的其他計算機軟件和硬件，不得修改系統(tǒng)和網(wǎng)絡配置參數(shù)。 （三）未經(jīng)科技信息部檢測和授權，不得將接入湖南省農村信用社內部網(wǎng)絡的所用計算機轉接入國際互聯(lián)網(wǎng)；不得將便攜式計算機接入湖南省農村信用社內部網(wǎng)絡；不得隨意將個人計算機帶入機房或私自拷貝任何信息。
第六節(jié) 信息系統(tǒng)要害崗位人員
第二十八條 本辦法所稱信息系統(tǒng)要害崗位人員，是指與重要信息系統(tǒng)直接相關的系統(tǒng)管理員、網(wǎng)絡管理員、系統(tǒng)開發(fā)人員、系統(tǒng)維護員等內部技術支持人員和重要業(yè)務操作等崗位人員。
第二十九條 本辦法所稱重要信息系統(tǒng)是指湖南省農村信用社面向客戶的業(yè)務處理類、渠道類和涉及客戶風險管理等業(yè)務的管理類信息系統(tǒng)，以及支撐系統(tǒng)運行的機房和網(wǎng)絡等基礎設施。
第三十條 要害崗位人員上崗前必須經(jīng)農商行人事部門進行政治素質審查，技術部門進行業(yè)務技能考核，合格者方可上崗。
第三十一條 要害崗位人員上崗必須實行“權限分散、不得交叉覆蓋”的原則，按照“必需知道”和“最小授權”原則，嚴格設定各用戶的操作權限。
第三十二條 對要害崗位人員應實行年度強制休假辦法和定期考查辦法，并進行必要的安全教育和培訓。
第三十三條 要害崗位人員調離崗位，必須嚴格辦理調離手續(xù)，承諾其調離后的保密義務。涉及信用社業(yè)務保密信息的要害崗位人員調離單位，必須進行離崗審計，在規(guī)定的脫密期后，方可調離。
第三十四條 要害崗位人員離崗后，必須即刻更換操作密碼或注銷用戶。
第三十五條 系統(tǒng)管理員安全責任
（一）負責系統(tǒng)的運行管理，實施系統(tǒng)安全運行細則；
（二）嚴格用戶權限管理，維護系統(tǒng)安全正常運行；
（三）認真記錄系統(tǒng)安全事項，及時向計算機安全人員報告安全事件；
（四）對進行系統(tǒng)操作的其他人員予以安全監(jiān)督。
第三十六條 系統(tǒng)開發(fā)員安全責任
（一）系統(tǒng)開發(fā)建設中，應嚴格執(zhí)行系統(tǒng)安全策略，保證系統(tǒng)安全功能的準確實現(xiàn)；
（二）系統(tǒng)投產運行前，應完整移交系統(tǒng)源代碼和相關涉密資料；
（三）不得對系統(tǒng)設置后門；
（四）對系統(tǒng)核心技術保密。
第三十七條 系統(tǒng)維護員安全責任
（一）負責系統(tǒng)維護，及時解除系統(tǒng)故障，確保系統(tǒng)正常運行；
（二）不得擅自改變系統(tǒng)參數(shù)配置；
（三）不得安裝與系統(tǒng)無關的其他計算機程序；
（四）維護過程中，發(fā)現(xiàn)安全漏洞應及時報告計算機安全人員。
第三十八條 各要害崗位人員必須嚴格遵守保密法規(guī)和有關信息安全管理規(guī)定。
第四章 機房環(huán)境和設備資產管理
第一節(jié) 機房環(huán)境安全管理
第三十九條 本辦法所稱機房是指信息系統(tǒng)等主要設備放置、運行場所以及供配電、通信、空調、消防、監(jiān)控等配套環(huán)境設施。 第四十條 農商行機房的規(guī)劃、建設、改造、運行、維護由科技信息部負責。 第四十一條 農商行機房應符合國家計算機機房有關標準、監(jiān)管部門有關要求和省聯(lián)社有關規(guī)定，滿足下列基本安全要求：
（一）機房周圍100米內不得存在危險建筑物，如加油站、煤氣站等。
（二）機房應配備防電磁干擾、防電磁泄漏、防靜電、防水、防盜、防鼠害等設施。
（三）機房應安裝門禁系統(tǒng)、防雷系統(tǒng)、監(jiān)視系統(tǒng)、消防系統(tǒng)、報警系統(tǒng)。
（四）機房應設專用的供電系統(tǒng)，配備必要的UPS和發(fā)電機。
第四十二條 機房建設、改造的方案應報上市網(wǎng)絡中心備案。必要時，由市網(wǎng)絡中心會同財務、保衛(wèi)等部門進行審核。 第四十三條 機房建設或改造應選擇具有國家建筑裝修裝飾工程專業(yè)承包三級以上資質、兩年以上從事計算機機房設計與施工經(jīng)驗的專業(yè)化公司。重要機房建設或改造工程應引入監(jiān)理辦法。
第四十四條 計算機機房實行分區(qū)管理原則。核心區(qū)實行24小時連續(xù)監(jiān)控，生產區(qū)實行工作時間連續(xù)監(jiān)控，輔助區(qū)實施聯(lián)動監(jiān)控。
第四十五條 監(jiān)控設備的安裝應符合安全保密原則，確保監(jiān)控的安全規(guī)范運作，防止監(jiān)控信息的泄密。
第四十六條 農商行機房應建立機房設施與場地環(huán)境集中監(jiān)控系統(tǒng)，對機房空調、消防、不間斷電源（UPS）、供配電、門禁系統(tǒng)等重要設施實行全面監(jiān)控，通過技術和管理手段，確保計算機機房及配套設施安全。 第四十七條 農商行機房投入使用前，應經(jīng)過當?shù)毓蚕啦块T的消防驗收和本單位科技、保衛(wèi)部門組織的驗收，并出具明確結論的驗收報告。未經(jīng)驗收或驗收不合格的機房均不得投入使用。 第四十八條 農商行建立健全機房管理辦法，并指派專人擔任機房管理員，落實機房安全責任制。機房管理員應經(jīng)過相關專業(yè)培訓，熟知機房各類設備的分布和操作要領，定期巡查機房，發(fā)現(xiàn)問題及時報告。
第四十九條 機房管理員負責妥善保管機房建設或改造的所有文檔、圖紙以及機房運行記錄等有關資料，并隨時提供調閱。
第五十條 農商行加強出入機房人員管理。禁止未經(jīng)批準的外部人員進入機房。非機房工作人員進出機房須經(jīng)主管部門領導批準，并辦理登記手續(xù)，由專人陪同。
第五十一條 建立機房定期維修保養(yǎng)辦法。易受季節(jié)、溫度等環(huán)境因素影響的設備、已逾保修期的設備、近期維修過的設備等應成為保養(yǎng)的重點。
第五十二條 向社會提供公眾服務的柜面和核心業(yè)務處理環(huán)境應嚴格出入安全管理，應安裝門禁、防入侵報警、視頻監(jiān)視錄像系統(tǒng)，實行定時錄像監(jiān)控，并適當配置自動監(jiān)控報警功能。 第五十三條 所有門禁、防入侵報警、視頻監(jiān)視錄像系統(tǒng)的信息資料由專人保管，至少保存三個月。
第二節(jié) 設備資產管理
第五十四條 農商行科技信息部建立完備的計算機設備登記辦法，嚴格資產管理，明確計算機設備使用者或管理者及其安全責任。 第五十五條 農商行科技信息部根據(jù)計算機設備重要程度采取不同的安全保護措施，制定完善的訪問控制策略，防止未經(jīng)授權使用設備或信息。有特殊安全要求的計算機設備應放置在機房的特殊功能區(qū)，必要時，單獨建立門禁與監(jiān)控系統(tǒng)，或配備防電磁泄露的屏蔽裝置等。
第五章 網(wǎng)絡安全管理
第一節(jié) 網(wǎng)絡規(guī)劃建設安全管理
第五十六條 省聯(lián)社信息科技部負責網(wǎng)絡和網(wǎng)絡安全的統(tǒng)一規(guī)劃、建設部署、策略配置和網(wǎng)絡資源（網(wǎng)絡設備、通訊線路、IP地址和域名等）分配。 第五十七條 農商行科技信息部按照省聯(lián)社信息科技部的統(tǒng)一規(guī)劃和總體部署，組織實施網(wǎng)絡建設、改造工程。農商行局域網(wǎng)的建設與改造方案應報上一級科技信息部審核、備案，投產前應通過本單位組織的安全測試。 第五十八條 農商行的網(wǎng)絡建設和改造應符合如下基本安全要求： （一）符合湖南省農村信用社網(wǎng)絡安全管理要求，使用內容過濾、身份認證、防火墻、病毒防范、入侵檢測、漏洞掃描、數(shù)據(jù)加密等技術手段，有效降低外部攻擊、信息泄漏等風險，保障網(wǎng)絡傳輸與應用安全。 ?。ǘ┚邆浔匾木W(wǎng)絡監(jiān)測、跟蹤和審計等管理功能。 ?。ㄈ└鶕?jù)信息安全級別，將網(wǎng)絡劃分為不同的邏輯安全域。針對不同的網(wǎng)絡安全域，采取必要和有效的安全控制措施。
第二節(jié) 網(wǎng)絡運行安全管理
第五十九條 農商行科技信息部建立健全網(wǎng)絡安全運行辦法，配備網(wǎng)絡管理員。網(wǎng)絡管理員負責日常監(jiān)測和檢查網(wǎng)絡安全運行狀況，管理網(wǎng)絡資源及其配置信息，建立健全網(wǎng)絡運行維護檔案，及時發(fā)現(xiàn)和解決網(wǎng)絡異常情況。
（一）負責網(wǎng)絡的運行管理，實施網(wǎng)絡安全策略和安全運行細則；
（二）安全配置網(wǎng)絡參數(shù)，嚴格控制網(wǎng)絡用戶訪問權限，維護網(wǎng)絡安全正常運行；
（三）監(jiān)控網(wǎng)絡關鍵設備、網(wǎng)絡端口、網(wǎng)絡物理線路，防范黑客入侵，及時向計算機安全人員報告安全事件；
（四）對操作網(wǎng)絡管理功能的其他人員進行安全監(jiān)督。
第六十條 網(wǎng)絡管理員定期參加網(wǎng)絡安全技術培訓，具備一定的非法入侵、病毒蔓延等網(wǎng)絡安全威脅的應對技能，緊急情況下，經(jīng)本部門主管領導授權后可采取“先斷網(wǎng)、后處理”的緊急應對措施。
第六十一條 農商行科技信息部嚴格網(wǎng)絡接入管理。任何設備接入網(wǎng)絡前，接入方案、設備的安全性等應經(jīng)過審核與必要的檢測，審核（檢測）通過后方可接入并分配相應的網(wǎng)絡資源。 第六十二條 農商行科技信息部嚴格網(wǎng)絡變更管理。網(wǎng)絡管理員在調整網(wǎng)絡重要參數(shù)配置和服務端口前，應書面請示本部門主管領導，變更信息應做好記錄。實施有可能影響網(wǎng)絡正常運行的重大網(wǎng)絡變更，應提前通知所有使用部門并安排在節(jié)假日進行，同時做好配置參數(shù)的備份和應急恢復準備。 第六十三條 農商行嚴格遠程訪問控制。確因工作需要進行遠程訪問的部門和人員應向科技信息部提出書面申請，并采取相應的安全防護措施。 第六十四條 信息安全管理人員經(jīng)本部門主管領導批準，有權對本單位或轄內網(wǎng)絡進行安全檢測、掃描和評估。檢測、掃描和評估結果屬敏感信息，不得向外界提供。未經(jīng)省聯(lián)社信息科技部授權，任何外部單位與人員不得檢測、掃描湖南省農村信用社內部網(wǎng)絡。 第六十五條 農商行應以不影響業(yè)務的正常網(wǎng)絡傳輸為原則，合理控制多媒體網(wǎng)絡應用規(guī)模和范圍。未經(jīng)省聯(lián)社信息科技部批準，不得在湖南省農村信用社內部網(wǎng)絡上提供跨轄區(qū)視頻點播等嚴重占用網(wǎng)絡資源的多媒體網(wǎng)絡應用。
第三節(jié) 網(wǎng)間互聯(lián)安全管理
第六十六條 本辦法所稱網(wǎng)間互聯(lián)是指為滿足邵陽市農村商業(yè)銀行與其他外部機構信息交換或信息共享需求實施的機構間網(wǎng)絡互聯(lián)。 第六十七條 網(wǎng)間互聯(lián)由省聯(lián)社信息科技部統(tǒng)一規(guī)劃，按照相關標準組織實施。未經(jīng)省聯(lián)社信息科技部核準，任何單位不得自行與外部機構實施網(wǎng)間互聯(lián)。
第六十八條 經(jīng)批準與其他業(yè)務相關機構進行網(wǎng)絡連接，應采用必要的技術隔離保護措施，對聯(lián)網(wǎng)使用的用戶必須采用一人一帳戶的訪問控制。
第四節(jié) 接入國際互聯(lián)網(wǎng)管理
第六十九條 邵陽市農村商業(yè)銀行內部網(wǎng)絡與國際互聯(lián)網(wǎng)實行物理隔離。所有接入邵陽市農村商業(yè)銀行內部網(wǎng)絡或存儲有敏感工作信息的計算機，不得直接或間接接入國際互聯(lián)網(wǎng)。 第七十條 計算機接入國際互聯(lián)網(wǎng)應通過本單位保密主管部門批準，并確保安裝有湖南省農村信用社選定的防病毒軟件和最新補丁程序。科技信息部憑相關批準證明實施聯(lián)網(wǎng)，并做好備案。曾接入邵陽市農村商業(yè)銀行內部網(wǎng)絡的計算機需改接入國際互聯(lián)網(wǎng)前應重新辦理以上審批手續(xù)，科技信息部確保該計算機已刪除敏感工作信息后方可實施接入。 第七十一條 未經(jīng)科技信息部安全檢測，曾接入國際互聯(lián)網(wǎng)的計算機不得直接接入湖南省農村信用社內部網(wǎng)絡。從國際互聯(lián)網(wǎng)下載的任何信息，未經(jīng)病毒檢測不得在內部網(wǎng)絡上使用。 第七十二條 使用國際互聯(lián)網(wǎng)的所有用戶應遵守國家有關法律法規(guī)和湖南省農村信用社相關管理規(guī)定，不得從事任何違法違規(guī)活動。
第六章 信息系統(tǒng)安全管理
第七十三條 本辦法所指的信息系統(tǒng)是邵陽市農村商業(yè)銀行業(yè)務處理系統(tǒng)、管理信息系統(tǒng)和日常辦公自動化系統(tǒng)等，包括數(shù)據(jù)庫、軟件和硬件支撐環(huán)境等。
第一節(jié) 信息系統(tǒng)規(guī)劃與立項
第七十四條 信息系統(tǒng)建設項目應在規(guī)劃與立項階段同步考慮安全問題，建設方案應滿足邵陽市農村商業(yè)銀行信息安全保障總體規(guī)劃的相關要求。項目技術方案應包括以下基本安全內容： ?。ㄒ唬I(yè)務需求部門提出的安全需求。 ?。ǘ┌踩枨蠓治龊蛯崿F(xiàn)。 ?。ㄈ┻\行平臺的安全策略與設計。
第七十五條 信息系統(tǒng)應采取與業(yè)務安全等級要求相應的安全機制，在安全防護方面應符合下列基本安全要求：
（一）采取必要的技術手段，建立嚴密的安全管理控制機制，保證數(shù)據(jù)信息在處理、存儲和傳輸過程中的完整性和安全性，防止數(shù)據(jù)信息被非法使用、修改和復制；
（二）提供完整的數(shù)據(jù)備份和恢復功能，能方便地根據(jù)系統(tǒng)和數(shù)據(jù)的備份介質進行災難恢復；
（三）具有嚴格的用戶和密碼管理，能對不同級別的用戶進行有限授權，特別應嚴格限制和分流特權用戶的權限，防止非法用戶的侵入和破壞；
（四）重要信息系統(tǒng)應設置審計監(jiān)控程序，具有身份識別和實體認證功能。能夠自動記錄操作人員的重要操作，具有防止抵賴機制；
（五）涉密信息系統(tǒng)的安全設計應符合涉密信息保密管理的有關規(guī)定。
第七十六條 農商行科技信息部負責對項目技術方案進行安全專項審查并提出審查意見，未通過安全審核的項目不得予以立項。
第二節(jié) 信息系統(tǒng)開發(fā)與集成
第七十七條 信息系統(tǒng)開發(fā)應符合軟件工程規(guī)范，依據(jù)安全需求進行安全設計，保證安全功能的完整、準確實現(xiàn)。
第七十八條 信息系統(tǒng)開發(fā)單位應在完成開發(fā)任務后將程序源代碼及其相關技術文檔全部移交邵陽市農村商業(yè)銀行科技信息部。外部開發(fā)單位還應與邵陽市農村商業(yè)銀行簽署相關知識產權保護協(xié)議和保密協(xié)議，不得將信息系統(tǒng)采用的關鍵安全技術措施和核心安全功能設計對外公開。 第七十九條 信息系統(tǒng)的開發(fā)人員不能兼任信息系統(tǒng)管理員或業(yè)務系統(tǒng)操作人員，不得在程序代碼中植入后門和惡意代碼程序。
第八十條 信息系統(tǒng)開發(fā)、測試和程序的修改工作不得在生產環(huán)境中進行。 第八十一條 涉密信息系統(tǒng)集成應選擇具有國家相關部門頒發(fā)的涉密系統(tǒng)集成資質證書的單位或企業(yè)，并簽訂嚴格的保密協(xié)議。
第三節(jié) 信息系統(tǒng)上線與運行
第八十二條 農商行信息系統(tǒng)上線運行實行安全審查辦法，未通過安全審查的任何新建或改造信息系統(tǒng)不得投產運行。具體要求如下： ?。ㄒ唬╉椖砍袚鷨挝唬ú块T）應組織制定安全測試方案，進行系統(tǒng)上線前的自測試并形成測試報告，報科技信息部審查。 ?。ǘ┛萍夹畔⒉繎岢雒鞔_的測試方案和測試報告審查意見。必要時，可組織專家評審或實施信息系統(tǒng)漏洞掃描檢測。
（三）信息系統(tǒng)建設牽頭業(yè)務部門應在信息系統(tǒng)投產運行前同步制定相關安全操作規(guī)定，報科技信息部備案。
第八十三條 信息系統(tǒng)投入運行前，應向省聯(lián)社科技部和市網(wǎng)絡中心提出安全評估和審批申請，并報送下列材料：
（一）系統(tǒng)的用途、總體結構及軟硬件配置等基本情況；
（二）關于系統(tǒng)安全需求、安全策略、安全性指標、安全保護措施以及安全功能設計等情況的說明；
（三）系統(tǒng)安全性測試提綱和測試報告；
（四）信息系統(tǒng)安全評估和審批報告書。
第八十四條 科技信息部應當對報送的書面材料進行初步審查。委托相關權威機構組建由相關業(yè)務和技術專家組成的安全評估委員會或安全評估專家組，對信息系統(tǒng)進行安全性測試、認證。
第八十五條 對信息系統(tǒng)的安全評估應當包括以下內容：
（一）系統(tǒng)的安全策略；
（二）系統(tǒng)安全措施；
（三）系統(tǒng)安全功能的實現(xiàn)程度；
（四）系統(tǒng)運行的穩(wěn)定性、可靠性；
（五）系統(tǒng)運行平臺的安全可靠性。
第八十六條 安全評估委員會或安全評估專家組應對測試、認證的信息系統(tǒng)提出安全評估報告，并出具信息系統(tǒng)安全評估和審批報告書。
第八十七條 信息系統(tǒng)運行平臺應符合以下安全管理要求：
（一）合理配置操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)所提供的安全審計功能，以達到相應安全等級標準。
（二）屏蔽與應用系統(tǒng)無關的所有網(wǎng)絡功能，防止非法用戶的侵入。
（三）按照網(wǎng)絡管理規(guī)范及其業(yè)務應用范圍設置聯(lián)網(wǎng)設備的IP地址及網(wǎng)絡參數(shù)。
（四）及時安裝正式發(fā)布的系統(tǒng)補丁，修補系統(tǒng)存在的安全漏洞。
第八十八條 農商行科技信息部明確系統(tǒng)管理員（系統(tǒng)維護員），具體負責信息系統(tǒng)的日常運行管理，監(jiān)測系統(tǒng)運行日志，掌握系統(tǒng)運行狀況，并建立重要信息系統(tǒng)運行維護檔案，詳細記錄系統(tǒng)變更及操作過程。重要業(yè)務系統(tǒng)的系統(tǒng)設置要求雙人在場。
第八十九條 系統(tǒng)管理員不得兼任業(yè)務操作人員，不得安裝與系統(tǒng)無關的其他計算機程序；維護過程中，發(fā)現(xiàn)安全漏洞應及時報告計算機安全人員。
第九十條 系統(tǒng)管理員確需對業(yè)務系統(tǒng)進行維護性操作的，應征得業(yè)務部門同意并在業(yè)務操作人員在場的情況下進行，并詳細記錄維護內容、人員、時間等信息。
第九十一條 未經(jīng)業(yè)務主管部門領導書面批準，其他任何人不得擅自使用業(yè)務操作人員用機，不得擅自設置、分配、使用、修改、刪除操作員代碼、口令和業(yè)務數(shù)據(jù)，不得擅自改變用戶權限。
第四節(jié) 業(yè)務操作
第九十二條 業(yè)務部門負責信息系統(tǒng)業(yè)務操作用戶和權限設定，科技信息部根據(jù)-授權進行相關設定操作。 第九十三條 業(yè)務操作人員應嚴格按照安全操作規(guī)程進行業(yè)務操作和必要的數(shù)據(jù)備份，并配合科技信息部保障信息安全。一旦發(fā)現(xiàn)信息系統(tǒng)運行異常及時向本部門領導和科技信息部報告。 第九十四條 業(yè)務操作人員應設置本人口令密碼，并嚴格保密，防止口令密碼泄漏。嚴禁向其他任何人泄露本人口令密碼。 第九十五條 凡是能夠執(zhí)行錄入、復核辦法的信息系統(tǒng)，業(yè)務操作人員不得一人兼錄入、復核兩職。未經(jīng)業(yè)務部門主管領導批準，不得代崗、兼崗。 第九十六條 業(yè)務操作人員離開操作用機時，應按序退出信息系統(tǒng)，回到操作系統(tǒng)初始狀態(tài)，防止業(yè)務數(shù)據(jù)被復制、修改、刪除以及誤操作。
第五節(jié) 信息系統(tǒng)廢止
第九十七條 實行信息系統(tǒng)廢止申報、備案辦法。使用信息系統(tǒng)的業(yè)務部門根據(jù)需要向科技信息部提出廢止申請，由科技信息部組織進行安全檢查后予以廢止，同時備案。 第九十八條 對已經(jīng)廢止的信息系統(tǒng)軟件和數(shù)據(jù)備份介質，科技信息部按業(yè)務規(guī)定在一定期限內妥善保存。超過保存期限后需要銷毀的，應在本單位保密主管部門監(jiān)督下予以不可恢復性銷毀。
第七章 客戶端安全管理
第九十九條 本辦法所稱客戶端是指邵陽市農村商業(yè)銀行計算機用戶、網(wǎng)絡與信息系統(tǒng)所使用的終端設備，包括臺式個人計算機（PC）、便攜式計算機、柜員終端、自動柜員機（ATM）、存折打印機、讀卡器、銷售終端（POS）和個人數(shù)字助理（PDA）等。 第一百條 農商行應建立完善的客戶端管理辦法，記錄所有客戶端設備信息和軟件配置信息，采用桌面終端安全管理軟件集中實現(xiàn)桌面終端安全策略。 第一百零一條 客戶端應安裝和使用正版軟件，不得安裝和使用盜版軟件，不得安裝和使用與工作無關的軟件。 第一百零二條 客戶端應統(tǒng)一安裝病毒防治軟件，設置用戶密碼和屏幕保護口令等安全防護措施，確保安裝最新的病毒特征碼和必要的補丁程序。 第一百零三條 確因工作需要經(jīng)授權可遠程接入內部網(wǎng)絡的用戶，應嚴格保存其身份認證介質及口令密碼，不得轉借其他人使用。
第八章 信息安全專用產品與服務管理
第一節(jié) 資質審查與選型購置
第一百零四條 本辦法所稱信息安全專用產品，是指邵陽市農村商業(yè)銀行安裝使用的專用安全軟件、硬件產品。本辦法所稱信息安全服務，是指邵陽市農村商業(yè)銀行向社會購買的專業(yè)化安全服務。 第一百零五條 省聯(lián)社信息科技部負責信息安全服務提供商的資質審查和信息安全專用產品的選型，農商行在選型范圍內按規(guī)定選購。 第一百零六條 農商行購置掃描、檢測類信息安全專用產品應報省聯(lián)社信息科技部批準，省聯(lián)社信息科技部應進行登記備案。
第二節(jié) 使用管理
第一百零七條 農商行科技信息部建立信息安全專用產品登記使用辦法，建立信息安全類固定資產使用登記簿并由專人負責管理。掃描、檢測類信息安全專用產品僅限于本單位信息安全管理人員使用。 第一百零八條 農商行科技信息部隨時檢查各類信息安全專用產品使用情況，認真查看相關日志和報表信息并定期匯總分析。如發(fā)現(xiàn)重大問題，立即采取控制措施并按規(guī)定程序報告。 第一百零九條 各類信息安全專用產品在使用中產生的日志和報表信息屬于重要技術資料，應備份存檔至少三個月。 第一百一十條 農商行科技信息部及時升級維護信息安全專用產品，凡因超過使用期限的或不能繼續(xù)使用的信息安全專用產品，按照固定資產報廢審批程序處理。 第一百一十一條 防火墻、入侵檢測等安全專用產品原則上應在本地配置。如需要進行遠程配置，由科技信息部或經(jīng)科技信息部授權在可信網(wǎng)絡內并采取了必要的安全控制措施后進行操作。
第九章 數(shù)據(jù)、文檔與密碼管理
第一節(jié) 數(shù)據(jù)安全
第一百一十二條 本辦法中所稱的數(shù)據(jù)是指以電子形式存儲的邵陽市農村商業(yè)銀行業(yè)務數(shù)據(jù)、客戶信息、系統(tǒng)運行日志、故障維護日志以及其他內部資料。
第一百一十三條? 農商行應建立和實施信息分類及保護體系，明確科技信息分類、定密、解密、備份、調用、保管、運輸?shù)确矫娴墓ぷ髁鞒毯凸芾硪蟆? 第一百一十四條 農商行業(yè)務部門負責提出數(shù)據(jù)在輸入、處理、輸出等不同狀態(tài)下的安全需求，科技信息部負責審核安全需求并提供一定的技術實現(xiàn)手段。
第一百一十五條 農商行應制定數(shù)據(jù)管理辦法和數(shù)據(jù)處理的流程和審批手續(xù)，加強數(shù)據(jù)的保密管理。 第一百一十六條 農商行業(yè)務部門應嚴格管理業(yè)務數(shù)據(jù)的增加、修改、刪除等變更操作，適時進行業(yè)務數(shù)據(jù)有效性檢查，按照既定備份策略執(zhí)行數(shù)據(jù)備份任務，并定期測試備份數(shù)據(jù)的有效性和預演數(shù)據(jù)恢復流程。 第一百一十七條 農商行科技信息部系統(tǒng)管理員(網(wǎng)絡管理員)負責定期導出重要信息系統(tǒng)和網(wǎng)絡日志文件并明確標識存儲內容、時間、密級等信息。日志文件應至少保留一年，妥善保管。 第一百一十八條 農商行業(yè)務部門應明確規(guī)定備份數(shù)據(jù)的保存時限和密級，建立備份數(shù)據(jù)調閱、銷毀審批登記辦法，并根據(jù)數(shù)據(jù)重要性級別分類采取相應的安全銷毀措施。 第一百一十九條 所有數(shù)據(jù)備份介質應注意防磁、防潮、防塵、防高溫、防擠壓存放?；謴图笆褂脗浞輸?shù)據(jù)時需要提供相關口令密碼的，應把口令密碼密封后與數(shù)據(jù)備份介質一并妥善保管。
第一百二十條 農商行應制定客戶信息管理辦法和流程，嚴格管理客戶信息的采集、處理、存儲、傳輸、分發(fā)、備份、恢復、清理和銷毀。不得非法買賣、泄露客戶個人信息，包括客戶基本信息及存貸款與征信等業(yè)務信息。禁止通過互聯(lián)網(wǎng)傳輸客戶資料和交易數(shù)據(jù)信息。
第二節(jié) 技術文檔
第一百二十一條 本辦法所稱技術文檔是邵陽市農村商業(yè)銀行網(wǎng)絡、信息系統(tǒng)和機房環(huán)境等建設與運行維護過程中形成的各種紙質技術資料，包括文檔、電子文檔、視頻和音頻文件等。包括系統(tǒng)與網(wǎng)絡設計文檔、參數(shù)配置文檔、軟件開發(fā)文檔及其源程序等。 第一百二十二條 農商行科技信息部負責將技術文檔統(tǒng)一歸檔，嚴格管理，并實行借閱登記辦法。未經(jīng)科技信息部領導批準，任何人不得將技術文檔轉借、復制和對外公布。
第三節(jié) 存儲介質
第一百二十三條 農商行應建立健全磁帶、光盤、移動存儲介質、已打印文檔等存儲介質管理流程。已存儲信息的存儲介質應保存在安全的物理環(huán)境中并有明晰的標識，統(tǒng)一編號，并標明信息生成或備份日期、密級及保密期限。重要信息系統(tǒng)備份介質應按規(guī)定異地存放。 第一百二十四條 農商行應做好存儲介質在物理傳輸過程中的安全控制，應選擇可靠的傳遞方式和防盜控制措施。重要信息的存取需要授權和記錄。 第一百二十五條 農商行應制定移動存儲設備（U盤、移動硬盤等）管理辦法，加強移動存儲設備在生產環(huán)境中的管理和使用。禁止內網(wǎng)移動存儲設備在外網(wǎng)使用，禁止外網(wǎng)移動存儲設備在內網(wǎng)系統(tǒng)中使用。 第一百二十六條 農商行應建立存儲介質銷毀辦法，對載有敏感信息的存儲介質應采用焚燒或粉碎等方式進行處置并做好記錄。
第四節(jié) 口令密碼
第一百二十七條 農商行信息系統(tǒng)要害崗位人員均須設置用戶口令密碼，并獨享使用，不得泄露，且至少每三個月更換一次。口令密碼的強度應滿足不同安全性要求，不得設置過于簡單的弱口令密碼。 第一百二十八條 敏感信息系統(tǒng)和設備的口令密碼設置應在安全的環(huán)境下進行，必要時應將口令密碼筆錄、密封交主管部門保管,并確保記錄載體的安全。未經(jīng)主管部門領導許可，任何人不得擅自拆閱密封的口令密碼。拆閱后的口令密碼使用后應立即更改并再次密封存放。 第一百二十九條 農商行應根據(jù)實際情況在一定時限內妥善保存重要信息系統(tǒng)升級改造前的口令密碼。
第五節(jié) 密碼技術應用管理
第一百三十條 農商行涉密網(wǎng)絡和信息系統(tǒng)應嚴格按照國家密碼政策規(guī)定，采用相應的加密措施。非涉密網(wǎng)絡和信息系統(tǒng)應依據(jù)湖南省農村信用社實際需求和統(tǒng)一安全策略，合理選擇加密措施。 第一百三十一條 農商行選用的密碼產品和加密算法應符合國家相關密碼管理政策規(guī)定，密碼產品自身的物理和邏輯安全性應符合湖南省農村信用社的相關安全要求。 第一百三十二條 農商行應建立嚴格的密鑰管理體制，密鑰管理人員必須是本單位在編的正式員工，并逐級進行備案，規(guī)范管理密鑰產生、存儲、分發(fā)、使用、廢除、歸檔、銷毀等過程。 第一百三十三條 農商行應在安全環(huán)境中進行關鍵密鑰的備份工作，并確保密鑰副本的物理安全，且須設置遇緊急情況下密鑰自動銷毀功能。 第一百三十四條 各類密鑰應定期更換，對已泄露或懷疑泄露的密鑰應及時廢除，過期密鑰應安全歸檔或定期銷毀。
第十章 第三方訪問和外包安全管理
第一節(jié) 第三方訪問控制
第一百三十五條 本辦法所稱第三方訪問是指邵陽市農村商業(yè)銀行之外的單位和個人物理訪問邵陽市農村商業(yè)銀行計算機房或者通過網(wǎng)絡連接邏輯訪問邵陽市農村商業(yè)銀行數(shù)據(jù)庫和信息系統(tǒng)等活動。 第一百三十六條 農商行保密工作委員會負責涉密信息系統(tǒng)和網(wǎng)絡相關的第三方訪問授權審批，農商行科技信息部負責非涉密信息系統(tǒng)和網(wǎng)絡相關的第三方訪問授權審批。未經(jīng)邵陽市農村商業(yè)銀行授權的任何第三方訪問均視為非法入侵行為。 第一百三十七條 允許被第三方訪問的邵陽市農村商業(yè)銀行信息系統(tǒng)和資源應建立存取控制機制、認證機制，列明所有用戶名單及其權限，嚴格監(jiān)督第三方訪問活動。 第一百三十八條 獲得第三方訪問授權的所有單位和個人應與湖南省農村信用社簽訂安全保密協(xié)議，不得進行未授權的修改、增加、刪除數(shù)據(jù)操作，不得復制和泄露湖南省農村信用社任何信息。
第二節(jié) 外包安全管理
第一百三十九條 本辦法所稱外包服務是指由邵陽市農村商業(yè)銀行之外的其他社會廠商為邵陽市農村商業(yè)銀行信息系統(tǒng)、網(wǎng)絡或桌面環(huán)境提供全面或部分的開發(fā)、維護技術支持、咨詢等服務。
第一百四十條 信息科技外包服務應按照《湖南省農村信用社信息科技外包管理暫行辦法》簽訂正式的外包服務協(xié)議，協(xié)議應明確約定外包服務商的安全義務。
第一百四十一條 經(jīng)本單位科技信息部領導批準，外包服務提供商可提供上門維護服務并由邵陽市農村商業(yè)銀行科技人員在場準確記錄所有技術配置變更信息。外包服務提供商不得查看、復制涉密信息或將涉密介質帶離湖南省農村信用社。 第一百四十二條 計算機設備確需送外單位維修時，科技信息部應徹底清除所存工作信息，必要時應與設備維修廠商簽訂保密協(xié)議。與密碼設備配套使用的計算機設備送修前必須請生產設備的科研單位拆除與密碼有關的硬件，并徹底清除與密碼有關的軟件和信息。
第十一章 災難備份與應急管理
第一節(jié) 災難備份管理
第一百四十三條 災難備份是指利用技術、管理手段以及相關資源，確保已有業(yè)務數(shù)據(jù)和信息系統(tǒng)在地震、水災、火災、戰(zhàn)爭、恐怖襲擊、網(wǎng)絡攻擊、設備系統(tǒng)故障、人為破壞等無法預料的突發(fā)事件（以下稱“災難”）發(fā)生后在規(guī)定的時間內可以恢復和繼續(xù)運營的有序管理過程。 第一百四十四條 科技信息部按照“統(tǒng)籌安排、資源共享、平戰(zhàn)結合”的原則，負責邵陽市農村商業(yè)銀行重要信息系統(tǒng)災難備份的統(tǒng)一規(guī)劃、實施和管理。 第一百四十五條 農商行相關業(yè)務部門負責提出業(yè)務系統(tǒng)災難備份需求，明確可容忍的業(yè)務中斷時間（恢復時間目標RTO）和數(shù)據(jù)丟失量(恢復點目標RPO)。省聯(lián)社信息科技部據(jù)此確定災難備份等級和備份方案。 第一百四十六條 農商行應建立健全災難恢復計劃，定期開展災難恢復培訓。在條件許可的情況下，由省聯(lián)社信息科技部統(tǒng)一部署，重要信息系統(tǒng)至少每年進行一次災難恢復演練，包括異地備份站點切換演練和本地系統(tǒng)災難恢復演練。
第二節(jié) 應急管理
第一百四十七條 應急預案是針對可能發(fā)生的意外事件并可能導致業(yè)務差錯和停頓，甚至系統(tǒng)混亂、崩潰等災難而采取的應對策略、措施的有機集合。 第一百四十八條 在信息系統(tǒng)推廣應用方案中應同時設計應急備份策略，同步實施備份方案。 第一百四十九條 農商行應制定和不斷完善網(wǎng)絡、信息系統(tǒng)和機房環(huán)境等應急預案。預案的編制工作由科技信息部和相關業(yè)務部門共同完成。 第一百五十條 應急預案應包括以下基本內容： ?。ㄒ唬┛倓t（目標、原則、適用范圍、預案調用關系等）。 （二）應急組織機構。 （三）預警響應機制（報告、評估、預案啟動等）。 ?。ㄋ模└黝愇C處置流程。 ?。ㄎ澹辟Y源保障。 ?。┦潞筇幚砹鞒?。 （七）預案管理與維護（生效、演練、維護等）。 第一百五十一條 農商行應定期組織應急預案的演練，并指定專人管理和維護應急預案，根據(jù)人員、信息資源等變動情況以及演練情況適時予以更新和完善，確保應急預案的有效性和災難發(fā)生時的可獲取性。 第一百五十二條 農商行信息安全工作領導小組統(tǒng)一負責各業(yè)務系統(tǒng)的應急協(xié)調與指揮，決定重大事宜（決定應急預案的啟動、災難宣告、預警相關單位等）和調動應急資源。 第一百五十三條 農商行應按照湖南省農村信用社信息安全事件報告辦法進行信息通報，一般信息安全事件應逐級通報，發(fā)生因人為、自然原因造成信息系統(tǒng)癱瘓以及利用計算機實施犯罪等影響和損失較大的信息安全事件（下稱“重大信息安全事件”）應直接報省聯(lián)社信息科技部。
第一百五十四條 重大信息安全事件發(fā)生后，農商行相關人員應注意保護事件現(xiàn)場，采取必要的控制措施，調查事件原因，并及時報告本單位主管領導。
第一百五十五條 農商行應在重大信息安全事件發(fā)生后的兩小時內按規(guī)定程序報上一級科技信息部。 ??? 第一百五十六條 農商行辦公室負責統(tǒng)一向社會發(fā)布應急事件公告，其他任何單位或個人不得向社會發(fā)布應急事件公告。
第十二章 安全檢查評估與培訓
第一節(jié) 監(jiān)測檢查
第一百五十七條 農商行科技信息部應整合和利用現(xiàn)有網(wǎng)絡管理系統(tǒng)、計算機資源監(jiān)控系統(tǒng)、專用安全監(jiān)控系統(tǒng)以及相關設備與系統(tǒng)的運行日志等監(jiān)控資源，加強對網(wǎng)絡、重要信息系統(tǒng)和機房環(huán)境等設施的安全運行監(jiān)測。 第一百五十八條 農商行科技信息部應建立運行監(jiān)測周報、月報或季報辦法，報送本單位信息安全工作領導小組和上一級科技信息部，抄送相關業(yè)務部門。 第一百五十九條 農商行要及時預警、響應和處置運行監(jiān)測中發(fā)現(xiàn)的問題，發(fā)現(xiàn)重大隱患和運行事故應及時協(xié)調解決，并報上一級單位相關部門。
第一百六十條 農商行科技信息部應至少每年組織一次本單位或轄內的信息安全專項檢查，安全檢查方式可以是自查、互查或上級檢查多種方式。 第一百六十一條 農商行在開展安全檢查前應以安全管理辦法為依據(jù)制訂詳細的檢查方案和計劃，確保檢查工作的可操作性和規(guī)范性。安全檢查完成后應及時形成檢查報告，經(jīng)本單位主管領導批準后將檢查整改報告盡快送達被檢查單位。要求限期整改的，需要對相關整改情況進行后續(xù)跟蹤。 第一百六十二條 農商行參加檢查的人員對檢查中的涉密信息負有保密責任。所有檢查報告和資料應作為湖南省農村信用社內部材料妥善保管，不得向外界泄露。 第一百六十三條 農商行應將每次安全檢查報告和整改落實情況整理匯總后報上一級科技信息部備案。
第二節(jié) 評估審計
第一百六十四條 農商行科技信息部可采用自評估、檢查評估和委托評估等方式，每年至少組織一次對本單位或轄內重要信息系統(tǒng)的安全評估。
第一百六十五條 安全評估應在不影響信息系統(tǒng)正常運行的情況下進行。評估開始前，應制定評估方案并進行必要的培訓。評估結束后，形成評估報告，提出整改意見報本單位科技信息部主管領導。 第一百六十六條 農商行如聘請第三方機構進行安全評估，報省聯(lián)社信息科技部批準，并與第三方評估機構簽訂安全保密協(xié)議后方可進行。本單位信息安全管理人員全程參與評估過程并實施監(jiān)督。 第一百六十七條 農商行妥善保管信息安全評估報告，未經(jīng)授權不得對外透露評估信息。
第一百六十八條 農商行定期對重要信息系統(tǒng)進行安全等級保護測評。開展等保測評工作應遵循《金融行業(yè)信息系統(tǒng)信息安全等級保護測評指南》和《金融行業(yè)信息安全等級保護測評服務安全指引》的有關規(guī)定，確保測評有效和測評安全。
第一百六十九條 農商行科技信息部在支持與配合內審部門開展信息安全工作審計的同時，應適時開展本單位和轄內的信息系統(tǒng)日常運行管理和信息安全事件全過程的技術審計，發(fā)現(xiàn)問題及時報本單位或上一級單位主管領導。 第一百七十條 農商行應做好操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)等審計功能配置管理，并完整保留相關日志記錄。
第三節(jié) 安全培訓
第一百七十一條 農商行應至少每年對信息安全管理人員進行一次專業(yè)培訓，不斷提高信息安全管理人員專業(yè)技能和管理水平。
第一百七十二條 農商行應開展全員信息安全教育，對本單位全體正式和非正式員工進行必要的培訓，提高全體員工信息安全意識，使全體員工充分了解其職責范圍內的信息保護流程及違反規(guī)定的后果。
第十三章 獎勵與處罰
第一百七十三條 農商行將本單位和轄內信息安全管理工作納入年度考評，對表現(xiàn)突出的單位和個人應進行通報表彰并給予一定形式的獎勵。 第一百七十四條 對于違反本辦法，造成重大信息安全事件的單位及個人，要給予通報批評；情節(jié)嚴重的，依據(jù)相關法律法規(guī)，追究其主管領導、相關部門負責人及直接責任人的責任；構成犯罪的，依法追究刑事責任。
第十四章 附 則
第一百七十五條 之前發(fā)布的其他信息安全管理辦法有關規(guī)定條款如與本辦法不一致的，按本辦法執(zhí)行。
第一百七十六條 本辦法由邵陽市農村商業(yè)銀行負責解釋。
?
第一章??? 總則
第一條 為加強邵陽市農村商業(yè)銀行（以下簡稱農商行）信息系統(tǒng)信息安全、硬件設備、安全運行、故障申報、日常檢查、網(wǎng)絡安全等管理，防范和化解信息系統(tǒng)的運行風險，杜絕各類事故和案件的發(fā)生，根據(jù)《湖南省農村信用社信息安全管理辦法》、《中華人民共和國信息系統(tǒng)安全保護條例》、《金融機構計算機信息系統(tǒng)安全保護工作暫行規(guī)定》、《商業(yè)銀行信息科技風險管理指引》等規(guī)定，結合我農商行實際情況，特制定本辦法。
第二條 本辦法適用所有使用邵陽市農商行網(wǎng)絡或信息資源的其他外部機構和個人，包括農商行轄內網(wǎng)點所有員工，包括在編合同制員工、經(jīng)批準在崗的短期合同制員工。
第三條 信息系統(tǒng)信息安全工作堅持以預防為主、綜合治理、人員防范與技術防范相結合和的原則、按照“誰主管誰負責，誰運行誰負責，誰使用誰負責”的原則，逐級落實單位與個人信息安全責任制。
第四條 信息系統(tǒng)系統(tǒng)信息安全管理員，應當保障信息系統(tǒng)及配套設備的安全、運行環(huán)境的安全和信息的安全。
第五條 任何個人不得利用信息系統(tǒng)從事危害國家利益和集體利益的活動、不得危害計算機信息系統(tǒng)的安全。
第二章 組織保障
第六條 農商行設立科技信息部，由科技信息部歸口管理信息安全工作，并明確其信息安全管理職責。
第七條 根據(jù)省聯(lián)社要求，農商行成立由農商行領導和各職能部門主要負責人組成信息安全工作領導小組，領導小組辦公室設農商行科技信息部，負責協(xié)調轄內信息安全管理工作，決定轄內信息安全重大事宜。 第八條 農商行科技信息部門設立信息安全崗位，配備專職信息安全管理人員。負責邵陽農商行信息安全管理，建立完善信息安全管理辦法，并組織實施；對農商行信息安全管理工作進行指導和檢查督促。
第九條 農商行各支行及各職能部門主要負責人為本部門信息安全第一責任人，同時均應指定至少一名部門信息安全員，具體負責本部門的信息安全管理，協(xié)同科技信息部開展信息安全管理工作。
第三章??? 人員管理
農商行工作人員根據(jù)不同的崗位或工作范圍，履行相應的信息安全保障職責?？萍夹畔⒉繛檗r商行信息安全保護專職部門，設信息安全管理員、系統(tǒng)維護管理員、技術維護員等崗位負責全轄信息系統(tǒng)安全運行。各部門及支行要設立信息系統(tǒng)安全管理領導小組，設立部門信息安全員。
第一節(jié) 信息安全管理人員
第十條 農商行選派政治思想過硬、具有較高計算機水平的人員從事信息安全管理工作。凡是因違反國家法律法規(guī)和湖南省農村信用社有關規(guī)定受到過處罰或處分的人員，不得從事此項工作。
第十一條 信息安全管理人員應具有從事金融機構計算機工作三年以上經(jīng)歷，具有本科以上學歷。
第十二條 信息安全管理人員必須應經(jīng)過省聯(lián)社組織的專業(yè)培訓與審核，培訓與審核合格后方可上崗。上崗后，每年至少參加一次信息安全專業(yè)培訓?！ 〉谑龡l 農商行信息安全管理人員在如下職責范圍內開展本單位信息安全管理工作： ?。ㄒ唬┙M織落實上級信息安全管理規(guī)定，制定信息安全管理辦法，協(xié)調部門計算機安全員工作，監(jiān)督檢查信息安全保障工作。 ?。ǘ徍诵畔⒒ㄔO項目中的安全方案，組織實施信息安全保障項目建設，維護、管理信息安全專用設施?！ 。ㄈz測網(wǎng)絡和信息系統(tǒng)的安全運行狀況，檢查運行操作、備份、機房環(huán)境與文檔等安全管理情況，發(fā)現(xiàn)問題，及時通報和預警，并提出整改意見。統(tǒng)計分析和協(xié)調處置信息安全事件?！ 。ㄋ模┒ㄆ诮M織信息安全宣傳教育活動，開展信息安全檢查、評估與培訓工作?！ 〉谑臈l 信息安全管理人員在履行職責時，確因工作需要查詢相關涉密信息，須經(jīng)本部門負責人同意后向本單位保密主管部門提交申請，獲得批準后方可查詢?！ 〉谑鍡l 信息安全管理人員實行備案管理辦法。信息安全管理人員的配備和變更情況應及時報上一級科技信息部備案。
第十六條 信息安全管理人員調離崗位，必須嚴格辦理調離手續(xù)，承諾其調離后的保密義務。涉及農村信用社業(yè)務核心技術的計算機安全人員調離單位，必須進行離崗審計，并在規(guī)定的脫密期后，方可調離。
第二節(jié) 部門信息安全員
第十七條 各部門和各級支行應指派素質好、較熟悉計算機知識的人員擔任部門信息安全員，并報農商行科技信息部備案。如有變更應做好交接工作，并及時通報科技信息部?！ 〉谑藯l 部門信息安全員配合農商行信息安全管理人員工作，并參加各項信息安全技能培訓?！ 〉谑艞l 部門信息安全員在如下職責范圍內開展工作： ?。ㄒ唬┴撠煴静块T計算機病毒防治工作，監(jiān)督檢查本部門客戶端安全管理情況?！ 。ǘ┴撠熖岢霰静块T信息安全保障需求，及時與農商行信息安全管理人員溝通信息安全信息?！ 。ㄈ┴撠煴静块T國際互聯(lián)網(wǎng)使用和接入安全管理，組織開展本部門信息安全自查，協(xié)助科技信息部完成對本部門的信息安全檢查工作。
第三節(jié) 技術支持人員
第二十條 本辦法所稱技術支持人員，是指參與邵陽農商行網(wǎng)絡、信息系統(tǒng)、機房環(huán)境等建設、運行、維護的內部技術支持人員和外包服務人員?！ 〉诙粭l 農商行內部技術支持人員在履行網(wǎng)絡和信息系統(tǒng)建設和日常運行維護職責過程中，應承擔如下安全義務： ?。ㄒ唬┎坏脤ν庑孤痘蛞霉ぷ髦杏|及的任何敏感信息。嚴格權限訪問，未經(jīng)批準不得擅自改變系統(tǒng)設置或修改系統(tǒng)生成的任何業(yè)務數(shù)據(jù)?！ 。ǘ┲鲃訖z查和監(jiān)控生產系統(tǒng)安全運行狀況，發(fā)現(xiàn)安全隱患或故障及時報告本部門主管領導，并及時響應、處置?！ 。ㄈ﹪栏癫僮鞴芾怼y試管理、應急管理、配置管理、變更管理、檔案管理等工作辦法，做好數(shù)據(jù)備份工作。 第二十二條 外部技術支持人員應嚴格履行外包服務合同（協(xié)議）的各項安全承諾。提供技術服務期間，嚴格遵守湖南省農村信用社相關安全規(guī)定與操作規(guī)程，關鍵操作應經(jīng)授權，并有農商行內部員工在場。不得拷貝或帶走任何配置參數(shù)信息或業(yè)務數(shù)據(jù)，不得對外泄露或引用任何工作信息。
第四節(jié) 業(yè)務系統(tǒng)操作人員
第二十三條 本辦法所稱業(yè)務系統(tǒng)操作人員是指直接操作業(yè)務系統(tǒng)進行業(yè)務處理的業(yè)務工作人員。 第二十四條 業(yè)務系統(tǒng)操作人員應承擔如下安全義務： ?。ㄒ唬﹪栏褚?guī)程操作，防止誤操作。定期修改操作密碼并妥善保管，按需、適時進行必要的數(shù)據(jù)備份?！ 。ǘ┌l(fā)現(xiàn)業(yè)務系統(tǒng)出現(xiàn)異常及時報告科技信息部。 ?。ㄈ┎坏迷诓僮鹘K端上安裝與業(yè)務系統(tǒng)無關的軟件和硬件，不得擅自修改業(yè)務系統(tǒng)及其運行環(huán)境參數(shù)設置?！ 〉诙鍡l 業(yè)務系統(tǒng)操作應按照“權限分散、不得交叉任職”原則，嚴格進行操作角色劃分和授權管理。技術支持人員不得兼任業(yè)務系統(tǒng)操作人員。
第五節(jié) 一般計算機用戶
第二十六條 本辦法所稱一般計算機用戶是指使用計算機設備的所有人員。 第二十七條 一般計算機用戶應承擔如下安全義務： ?。ㄒ唬┘皶r更新所用計算機的病毒防治軟件和安裝補丁程序，自覺接受本部門信息安全員的指導與管理。 ?。ǘ┎坏冒惭b與辦公和業(yè)務處理無關的其他計算機軟件和硬件，不得修改系統(tǒng)和網(wǎng)絡配置參數(shù)?！ 。ㄈ┪唇?jīng)科技信息部檢測和授權，不得將接入湖南省農村信用社內部網(wǎng)絡的所用計算機轉接入國際互聯(lián)網(wǎng)；不得將便攜式計算機接入湖南省農村信用社內部網(wǎng)絡；不得隨意將個人計算機帶入機房或私自拷貝任何信息。
第六節(jié) 信息系統(tǒng)要害崗位人員
第二十八條 本辦法所稱信息系統(tǒng)要害崗位人員，是指與重要信息系統(tǒng)直接相關的系統(tǒng)管理員、網(wǎng)絡管理員、系統(tǒng)開發(fā)人員、系統(tǒng)維護員等內部技術支持人員和重要業(yè)務操作等崗位人員。
第二十九條 本辦法所稱重要信息系統(tǒng)是指湖南省農村信用社面向客戶的業(yè)務處理類、渠道類和涉及客戶風險管理等業(yè)務的管理類信息系統(tǒng)，以及支撐系統(tǒng)運行的機房和網(wǎng)絡等基礎設施。
第三十條 要害崗位人員上崗前必須經(jīng)農商行人事部門進行政治素質審查，技術部門進行業(yè)務技能考核，合格者方可上崗。
第三十一條 要害崗位人員上崗必須實行“權限分散、不得交叉覆蓋”的原則，按照“必需知道”和“最小授權”原則，嚴格設定各用戶的操作權限。
第三十二條 對要害崗位人員應實行年度強制休假辦法和定期考查辦法，并進行必要的安全教育和培訓。
第三十三條 要害崗位人員調離崗位，必須嚴格辦理調離手續(xù)，承諾其調離后的保密義務。涉及信用社業(yè)務保密信息的要害崗位人員調離單位，必須進行離崗審計，在規(guī)定的脫密期后，方可調離。
第三十四條 要害崗位人員離崗后，必須即刻更換操作密碼或注銷用戶。
第三十五條 系統(tǒng)管理員安全責任
（一）負責系統(tǒng)的運行管理，實施系統(tǒng)安全運行細則；
（二）嚴格用戶權限管理，維護系統(tǒng)安全正常運行；
（三）認真記錄系統(tǒng)安全事項，及時向計算機安全人員報告安全事件；
（四）對進行系統(tǒng)操作的其他人員予以安全監(jiān)督。
第三十六條 系統(tǒng)開發(fā)員安全責任
（一）系統(tǒng)開發(fā)建設中，應嚴格執(zhí)行系統(tǒng)安全策略，保證系統(tǒng)安全功能的準確實現(xiàn)；
（二）系統(tǒng)投產運行前，應完整移交系統(tǒng)源代碼和相關涉密資料；
（三）不得對系統(tǒng)設置后門；
（四）對系統(tǒng)核心技術保密。
第三十七條 系統(tǒng)維護員安全責任
（一）負責系統(tǒng)維護，及時解除系統(tǒng)故障，確保系統(tǒng)正常運行；
（二）不得擅自改變系統(tǒng)參數(shù)配置；
（三）不得安裝與系統(tǒng)無關的其他計算機程序；
（四）維護過程中，發(fā)現(xiàn)安全漏洞應及時報告計算機安全人員。
第三十八條 各要害崗位人員必須嚴格遵守保密法規(guī)和有關信息安全管理規(guī)定。
第四章 機房環(huán)境和設備資產管理
第一節(jié) 機房環(huán)境安全管理
第三十九條 本辦法所稱機房是指信息系統(tǒng)等主要設備放置、運行場所以及供配電、通信、空調、消防、監(jiān)控等配套環(huán)境設施?！ 〉谒氖畻l 農商行機房的規(guī)劃、建設、改造、運行、維護由科技信息部負責。 第四十一條 農商行機房應符合國家計算機機房有關標準、監(jiān)管部門有關要求和省聯(lián)社有關規(guī)定，滿足下列基本安全要求：
（一）機房周圍100米內不得存在危險建筑物，如加油站、煤氣站等。
（二）機房應配備防電磁干擾、防電磁泄漏、防靜電、防水、防盜、防鼠害等設施。
（三）機房應安裝門禁系統(tǒng)、防雷系統(tǒng)、監(jiān)視系統(tǒng)、消防系統(tǒng)、報警系統(tǒng)。
（四）機房應設專用的供電系統(tǒng)，配備必要的UPS和發(fā)電機。
第四十二條 機房建設、改造的方案應報上市網(wǎng)絡中心備案。必要時，由市網(wǎng)絡中心會同財務、保衛(wèi)等部門進行審核?！ 〉谒氖龡l 機房建設或改造應選擇具有國家建筑裝修裝飾工程專業(yè)承包三級以上資質、兩年以上從事計算機機房設計與施工經(jīng)驗的專業(yè)化公司。重要機房建設或改造工程應引入監(jiān)理辦法。
第四十四條 計算機機房實行分區(qū)管理原則。核心區(qū)實行24小時連續(xù)監(jiān)控，生產區(qū)實行工作時間連續(xù)監(jiān)控，輔助區(qū)實施聯(lián)動監(jiān)控。
第四十五條 監(jiān)控設備的安裝應符合安全保密原則，確保監(jiān)控的安全規(guī)范運作，防止監(jiān)控信息的泄密。
第四十六條 農商行機房應建立機房設施與場地環(huán)境集中監(jiān)控系統(tǒng)，對機房空調、消防、不間斷電源（UPS）、供配電、門禁系統(tǒng)等重要設施實行全面監(jiān)控，通過技術和管理手段，確保計算機機房及配套設施安全?！ 〉谒氖邨l 農商行機房投入使用前，應經(jīng)過當?shù)毓蚕啦块T的消防驗收和本單位科技、保衛(wèi)部門組織的驗收，并出具明確結論的驗收報告。未經(jīng)驗收或驗收不合格的機房均不得投入使用。 第四十八條 農商行建立健全機房管理辦法，并指派專人擔任機房管理員，落實機房安全責任制。機房管理員應經(jīng)過相關專業(yè)培訓，熟知機房各類設備的分布和操作要領，定期巡查機房，發(fā)現(xiàn)問題及時報告。
第四十九條 機房管理員負責妥善保管機房建設或改造的所有文檔、圖紙以及機房運行記錄等有關資料，并隨時提供調閱。
第五十條 農商行加強出入機房人員管理。禁止未經(jīng)批準的外部人員進入機房。非機房工作人員進出機房須經(jīng)主管部門領導批準，并辦理登記手續(xù)，由專人陪同。
第五十一條 建立機房定期維修保養(yǎng)辦法。易受季節(jié)、溫度等環(huán)境因素影響的設備、已逾保修期的設備、近期維修過的設備等應成為保養(yǎng)的重點。
第五十二條 向社會提供公眾服務的柜面和核心業(yè)務處理環(huán)境應嚴格出入安全管理，應安裝門禁、防入侵報警、視頻監(jiān)視錄像系統(tǒng)，實行定時錄像監(jiān)控，并適當配置自動監(jiān)控報警功能?！ 〉谖迨龡l 所有門禁、防入侵報警、視頻監(jiān)視錄像系統(tǒng)的信息資料由專人保管，至少保存三個月。
第二節(jié) 設備資產管理
第五十四條 農商行科技信息部建立完備的計算機設備登記辦法，嚴格資產管理，明確計算機設備使用者或管理者及其安全責任。 第五十五條 農商行科技信息部根據(jù)計算機設備重要程度采取不同的安全保護措施，制定完善的訪問控制策略，防止未經(jīng)授權使用設備或信息。有特殊安全要求的計算機設備應放置在機房的特殊功能區(qū)，必要時，單獨建立門禁與監(jiān)控系統(tǒng)，或配備防電磁泄露的屏蔽裝置等。
第五章 網(wǎng)絡安全管理
第一節(jié) 網(wǎng)絡規(guī)劃建設安全管理
第五十六條 省聯(lián)社信息科技部負責網(wǎng)絡和網(wǎng)絡安全的統(tǒng)一規(guī)劃、建設部署、策略配置和網(wǎng)絡資源（網(wǎng)絡設備、通訊線路、IP地址和域名等）分配?！ 〉谖迨邨l 農商行科技信息部按照省聯(lián)社信息科技部的統(tǒng)一規(guī)劃和總體部署，組織實施網(wǎng)絡建設、改造工程。農商行局域網(wǎng)的建設與改造方案應報上一級科技信息部審核、備案，投產前應通過本單位組織的安全測試?！ 〉谖迨藯l 農商行的網(wǎng)絡建設和改造應符合如下基本安全要求： （一）符合湖南省農村信用社網(wǎng)絡安全管理要求，使用內容過濾、身份認證、防火墻、病毒防范、入侵檢測、漏洞掃描、數(shù)據(jù)加密等技術手段，有效降低外部攻擊、信息泄漏等風險，保障網(wǎng)絡傳輸與應用安全。 ?。ǘ┚邆浔匾木W(wǎng)絡監(jiān)測、跟蹤和審計等管理功能?！ 。ㄈ└鶕?jù)信息安全級別，將網(wǎng)絡劃分為不同的邏輯安全域。針對不同的網(wǎng)絡安全域，采取必要和有效的安全控制措施。
第二節(jié) 網(wǎng)絡運行安全管理
第五十九條 農商行科技信息部建立健全網(wǎng)絡安全運行辦法，配備網(wǎng)絡管理員。網(wǎng)絡管理員負責日常監(jiān)測和檢查網(wǎng)絡安全運行狀況，管理網(wǎng)絡資源及其配置信息，建立健全網(wǎng)絡運行維護檔案，及時發(fā)現(xiàn)和解決網(wǎng)絡異常情況。
（一）負責網(wǎng)絡的運行管理，實施網(wǎng)絡安全策略和安全運行細則；
（二）安全配置網(wǎng)絡參數(shù)，嚴格控制網(wǎng)絡用戶訪問權限，維護網(wǎng)絡安全正常運行；
（三）監(jiān)控網(wǎng)絡關鍵設備、網(wǎng)絡端口、網(wǎng)絡物理線路，防范黑客入侵，及時向計算機安全人員報告安全事件；
（四）對操作網(wǎng)絡管理功能的其他人員進行安全監(jiān)督。
第六十條 網(wǎng)絡管理員定期參加網(wǎng)絡安全技術培訓，具備一定的非法入侵、病毒蔓延等網(wǎng)絡安全威脅的應對技能，緊急情況下，經(jīng)本部門主管領導授權后可采取“先斷網(wǎng)、后處理”的緊急應對措施。
第六十一條 農商行科技信息部嚴格網(wǎng)絡接入管理。任何設備接入網(wǎng)絡前，接入方案、設備的安全性等應經(jīng)過審核與必要的檢測，審核（檢測）通過后方可接入并分配相應的網(wǎng)絡資源?！ 〉诹l 農商行科技信息部嚴格網(wǎng)絡變更管理。網(wǎng)絡管理員在調整網(wǎng)絡重要參數(shù)配置和服務端口前，應書面請示本部門主管領導，變更信息應做好記錄。實施有可能影響網(wǎng)絡正常運行的重大網(wǎng)絡變更，應提前通知所有使用部門并安排在節(jié)假日進行，同時做好配置參數(shù)的備份和應急恢復準備?！ 〉诹龡l 農商行嚴格遠程訪問控制。確因工作需要進行遠程訪問的部門和人員應向科技信息部提出書面申請，并采取相應的安全防護措施?！ 〉诹臈l 信息安全管理人員經(jīng)本部門主管領導批準，有權對本單位或轄內網(wǎng)絡進行安全檢測、掃描和評估。檢測、掃描和評估結果屬敏感信息，不得向外界提供。未經(jīng)省聯(lián)社信息科技部授權，任何外部單位與人員不得檢測、掃描湖南省農村信用社內部網(wǎng)絡?！ 〉诹鍡l 農商行應以不影響業(yè)務的正常網(wǎng)絡傳輸為原則，合理控制多媒體網(wǎng)絡應用規(guī)模和范圍。未經(jīng)省聯(lián)社信息科技部批準，不得在湖南省農村信用社內部網(wǎng)絡上提供跨轄區(qū)視頻點播等嚴重占用網(wǎng)絡資源的多媒體網(wǎng)絡應用。
第三節(jié) 網(wǎng)間互聯(lián)安全管理
第六十六條 本辦法所稱網(wǎng)間互聯(lián)是指為滿足邵陽市農村商業(yè)銀行與其他外部機構信息交換或信息共享需求實施的機構間網(wǎng)絡互聯(lián)。 第六十七條 網(wǎng)間互聯(lián)由省聯(lián)社信息科技部統(tǒng)一規(guī)劃，按照相關標準組織實施。未經(jīng)省聯(lián)社信息科技部核準，任何單位不得自行與外部機構實施網(wǎng)間互聯(lián)。
第六十八條 經(jīng)批準與其他業(yè)務相關機構進行網(wǎng)絡連接，應采用必要的技術隔離保護措施，對聯(lián)網(wǎng)使用的用戶必須采用一人一帳戶的訪問控制。
第四節(jié) 接入國際互聯(lián)網(wǎng)管理
第六十九條 邵陽市農村商業(yè)銀行內部網(wǎng)絡與國際互聯(lián)網(wǎng)實行物理隔離。所有接入邵陽市農村商業(yè)銀行內部網(wǎng)絡或存儲有敏感工作信息的計算機，不得直接或間接接入國際互聯(lián)網(wǎng)?！ 〉谄呤畻l 計算機接入國際互聯(lián)網(wǎng)應通過本單位保密主管部門批準，并確保安裝有湖南省農村信用社選定的防病毒軟件和最新補丁程序?？萍夹畔⒉繎{相關批準證明實施聯(lián)網(wǎng)，并做好備案。曾接入邵陽市農村商業(yè)銀行內部網(wǎng)絡的計算機需改接入國際互聯(lián)網(wǎng)前應重新辦理以上審批手續(xù)，科技信息部確保該計算機已刪除敏感工作信息后方可實施接入?！ 〉谄呤粭l 未經(jīng)科技信息部安全檢測，曾接入國際互聯(lián)網(wǎng)的計算機不得直接接入湖南省農村信用社內部網(wǎng)絡。從國際互聯(lián)網(wǎng)下載的任何信息，未經(jīng)病毒檢測不得在內部網(wǎng)絡上使用?！ 〉谄呤l 使用國際互聯(lián)網(wǎng)的所有用戶應遵守國家有關法律法規(guī)和湖南省農村信用社相關管理規(guī)定，不得從事任何違法違規(guī)活動。
第六章 信息系統(tǒng)安全管理
第七十三條 本辦法所指的信息系統(tǒng)是邵陽市農村商業(yè)銀行業(yè)務處理系統(tǒng)、管理信息系統(tǒng)和日常辦公自動化系統(tǒng)等，包括數(shù)據(jù)庫、軟件和硬件支撐環(huán)境等。
第一節(jié) 信息系統(tǒng)規(guī)劃與立項
第七十四條 信息系統(tǒng)建設項目應在規(guī)劃與立項階段同步考慮安全問題，建設方案應滿足邵陽市農村商業(yè)銀行信息安全保障總體規(guī)劃的相關要求。項目技術方案應包括以下基本安全內容： （一）業(yè)務需求部門提出的安全需求?！ 。ǘ┌踩枨蠓治龊蛯崿F(xiàn)?！ 。ㄈ┻\行平臺的安全策略與設計。
第七十五條 信息系統(tǒng)應采取與業(yè)務安全等級要求相應的安全機制，在安全防護方面應符合下列基本安全要求：
（一）采取必要的技術手段，建立嚴密的安全管理控制機制，保證數(shù)據(jù)信息在處理、存儲和傳輸過程中的完整性和安全性，防止數(shù)據(jù)信息被非法使用、修改和復制；
（二）提供完整的數(shù)據(jù)備份和恢復功能，能方便地根據(jù)系統(tǒng)和數(shù)據(jù)的備份介質進行災難恢復；
（三）具有嚴格的用戶和密碼管理，能對不同級別的用戶進行有限授權，特別應嚴格限制和分流特權用戶的權限，防止非法用戶的侵入和破壞；
（四）重要信息系統(tǒng)應設置審計監(jiān)控程序，具有身份識別和實體認證功能。能夠自動記錄操作人員的重要操作，具有防止抵賴機制；
（五）涉密信息系統(tǒng)的安全設計應符合涉密信息保密管理的有關規(guī)定。
第七十六條 農商行科技信息部負責對項目技術方案進行安全專項審查并提出審查意見，未通過安全審核的項目不得予以立項。
第二節(jié) 信息系統(tǒng)開發(fā)與集成
第七十七條 信息系統(tǒng)開發(fā)應符合軟件工程規(guī)范，依據(jù)安全需求進行安全設計，保證安全功能的完整、準確實現(xiàn)。
第七十八條 信息系統(tǒng)開發(fā)單位應在完成開發(fā)任務后將程序源代碼及其相關技術文檔全部移交邵陽市農村商業(yè)銀行科技信息部。外部開發(fā)單位還應與邵陽市農村商業(yè)銀行簽署相關知識產權保護協(xié)議和保密協(xié)議，不得將信息系統(tǒng)采用的關鍵安全技術措施和核心安全功能設計對外公開?！ 〉谄呤艞l 信息系統(tǒng)的開發(fā)人員不能兼任信息系統(tǒng)管理員或業(yè)務系統(tǒng)操作人員，不得在程序代碼中植入后門和惡意代碼程序。
第八十條 信息系統(tǒng)開發(fā)、測試和程序的修改工作不得在生產環(huán)境中進行。 第八十一條 涉密信息系統(tǒng)集成應選擇具有國家相關部門頒發(fā)的涉密系統(tǒng)集成資質證書的單位或企業(yè)，并簽訂嚴格的保密協(xié)議。
第三節(jié) 信息系統(tǒng)上線與運行
第八十二條 農商行信息系統(tǒng)上線運行實行安全審查辦法，未通過安全審查的任何新建或改造信息系統(tǒng)不得投產運行。具體要求如下： ?。ㄒ唬╉椖砍袚鷨挝唬ú块T）應組織制定安全測試方案，進行系統(tǒng)上線前的自測試并形成測試報告，報科技信息部審查?！ 。ǘ┛萍夹畔⒉繎岢雒鞔_的測試方案和測試報告審查意見。必要時，可組織專家評審或實施信息系統(tǒng)漏洞掃描檢測。
（三）信息系統(tǒng)建設牽頭業(yè)務部門應在信息系統(tǒng)投產運行前同步制定相關安全操作規(guī)定，報科技信息部備案。
第八十三條 信息系統(tǒng)投入運行前，應向省聯(lián)社科技部和市網(wǎng)絡中心提出安全評估和審批申請，并報送下列材料：
（一）系統(tǒng)的用途、總體結構及軟硬件配置等基本情況；
（二）關于系統(tǒng)安全需求、安全策略、安全性指標、安全保護措施以及安全功能設計等情況的說明；
（三）系統(tǒng)安全性測試提綱和測試報告；
（四）信息系統(tǒng)安全評估和審批報告書。
第八十四條 科技信息部應當對報送的書面材料進行初步審查。委托相關權威機構組建由相關業(yè)務和技術專家組成的安全評估委員會或安全評估專家組，對信息系統(tǒng)進行安全性測試、認證。
第八十五條 對信息系統(tǒng)的安全評估應當包括以下內容：
（一）系統(tǒng)的安全策略；
（二）系統(tǒng)安全措施；
（三）系統(tǒng)安全功能的實現(xiàn)程度；
（四）系統(tǒng)運行的穩(wěn)定性、可靠性；
（五）系統(tǒng)運行平臺的安全可靠性。
第八十六條 安全評估委員會或安全評估專家組應對測試、認證的信息系統(tǒng)提出安全評估報告，并出具信息系統(tǒng)安全評估和審批報告書。
第八十七條 信息系統(tǒng)運行平臺應符合以下安全管理要求：
（一）合理配置操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)所提供的安全審計功能，以達到相應安全等級標準。
（二）屏蔽與應用系統(tǒng)無關的所有網(wǎng)絡功能，防止非法用戶的侵入。
（三）按照網(wǎng)絡管理規(guī)范及其業(yè)務應用范圍設置聯(lián)網(wǎng)設備的IP地址及網(wǎng)絡參數(shù)。
（四）及時安裝正式發(fā)布的系統(tǒng)補丁，修補系統(tǒng)存在的安全漏洞。
第八十八條 農商行科技信息部明確系統(tǒng)管理員（系統(tǒng)維護員），具體負責信息系統(tǒng)的日常運行管理，監(jiān)測系統(tǒng)運行日志，掌握系統(tǒng)運行狀況，并建立重要信息系統(tǒng)運行維護檔案，詳細記錄系統(tǒng)變更及操作過程。重要業(yè)務系統(tǒng)的系統(tǒng)設置要求雙人在場。
第八十九條 系統(tǒng)管理員不得兼任業(yè)務操作人員，不得安裝與系統(tǒng)無關的其他計算機程序；維護過程中，發(fā)現(xiàn)安全漏洞應及時報告計算機安全人員。
第九十條 系統(tǒng)管理員確需對業(yè)務系統(tǒng)進行維護性操作的，應征得業(yè)務部門同意并在業(yè)務操作人員在場的情況下進行，并詳細記錄維護內容、人員、時間等信息。
第九十一條 未經(jīng)業(yè)務主管部門領導書面批準，其他任何人不得擅自使用業(yè)務操作人員用機，不得擅自設置、分配、使用、修改、刪除操作員代碼、口令和業(yè)務數(shù)據(jù)，不得擅自改變用戶權限。
第四節(jié) 業(yè)務操作
第九十二條 業(yè)務部門負責信息系統(tǒng)業(yè)務操作用戶和權限設定，科技信息部根據(jù)-授權進行相關設定操作?！ 〉诰攀龡l 業(yè)務操作人員應嚴格按照安全操作規(guī)程進行業(yè)務操作和必要的數(shù)據(jù)備份，并配合科技信息部保障信息安全。一旦發(fā)現(xiàn)信息系統(tǒng)運行異常及時向本部門領導和科技信息部報告?！ 〉诰攀臈l 業(yè)務操作人員應設置本人口令密碼，并嚴格保密，防止口令密碼泄漏。嚴禁向其他任何人泄露本人口令密碼?！ 〉诰攀鍡l 凡是能夠執(zhí)行錄入、復核辦法的信息系統(tǒng)，業(yè)務操作人員不得一人兼錄入、復核兩職。未經(jīng)業(yè)務部門主管領導批準，不得代崗、兼崗?！ 〉诰攀鶙l 業(yè)務操作人員離開操作用機時，應按序退出信息系統(tǒng)，回到操作系統(tǒng)初始狀態(tài)，防止業(yè)務數(shù)據(jù)被復制、修改、刪除以及誤操作。
第五節(jié) 信息系統(tǒng)廢止
第九十七條 實行信息系統(tǒng)廢止申報、備案辦法。使用信息系統(tǒng)的業(yè)務部門根據(jù)需要向科技信息部提出廢止申請，由科技信息部組織進行安全檢查后予以廢止，同時備案?！ 〉诰攀藯l 對已經(jīng)廢止的信息系統(tǒng)軟件和數(shù)據(jù)備份介質，科技信息部按業(yè)務規(guī)定在一定期限內妥善保存。超過保存期限后需要銷毀的，應在本單位保密主管部門監(jiān)督下予以不可恢復性銷毀。
第七章 客戶端安全管理
第九十九條 本辦法所稱客戶端是指邵陽市農村商業(yè)銀行計算機用戶、網(wǎng)絡與信息系統(tǒng)所使用的終端設備，包括臺式個人計算機（PC）、便攜式計算機、柜員終端、自動柜員機（ATM）、存折打印機、讀卡器、銷售終端（POS）和個人數(shù)字助理（PDA）等?！ 〉谝话贄l 農商行應建立完善的客戶端管理辦法，記錄所有客戶端設備信息和軟件配置信息，采用桌面終端安全管理軟件集中實現(xiàn)桌面終端安全策略?！ 〉谝话倭阋粭l 客戶端應安裝和使用正版軟件，不得安裝和使用盜版軟件，不得安裝和使用與工作無關的軟件。 第一百零二條 客戶端應統(tǒng)一安裝病毒防治軟件，設置用戶密碼和屏幕保護口令等安全防護措施，確保安裝最新的病毒特征碼和必要的補丁程序?！ 〉谝话倭闳龡l 確因工作需要經(jīng)授權可遠程接入內部網(wǎng)絡的用戶，應嚴格保存其身份認證介質及口令密碼，不得轉借其他人使用。
第八章 信息安全專用產品與服務管理
第一節(jié) 資質審查與選型購置
第一百零四條 本辦法所稱信息安全專用產品，是指邵陽市農村商業(yè)銀行安裝使用的專用安全軟件、硬件產品。本辦法所稱信息安全服務，是指邵陽市農村商業(yè)銀行向社會購買的專業(yè)化安全服務?！ 〉谝话倭阄鍡l 省聯(lián)社信息科技部負責信息安全服務提供商的資質審查和信息安全專用產品的選型，農商行在選型范圍內按規(guī)定選購?！ 〉谝话倭懔鶙l 農商行購置掃描、檢測類信息安全專用產品應報省聯(lián)社信息科技部批準，省聯(lián)社信息科技部應進行登記備案。
第二節(jié) 使用管理
第一百零七條 農商行科技信息部建立信息安全專用產品登記使用辦法，建立信息安全類固定資產使用登記簿并由專人負責管理。掃描、檢測類信息安全專用產品僅限于本單位信息安全管理人員使用。 第一百零八條 農商行科技信息部隨時檢查各類信息安全專用產品使用情況，認真查看相關日志和報表信息并定期匯總分析。如發(fā)現(xiàn)重大問題，立即采取控制措施并按規(guī)定程序報告?！ 〉谝话倭憔艞l 各類信息安全專用產品在使用中產生的日志和報表信息屬于重要技術資料，應備份存檔至少三個月。 第一百一十條 農商行科技信息部及時升級維護信息安全專用產品，凡因超過使用期限的或不能繼續(xù)使用的信息安全專用產品，按照固定資產報廢審批程序處理?！ 〉谝话僖皇粭l 防火墻、入侵檢測等安全專用產品原則上應在本地配置。如需要進行遠程配置，由科技信息部或經(jīng)科技信息部授權在可信網(wǎng)絡內并采取了必要的安全控制措施后進行操作。
第九章 數(shù)據(jù)、文檔與密碼管理
第一節(jié) 數(shù)據(jù)安全
第一百一十二條 本辦法中所稱的數(shù)據(jù)是指以電子形式存儲的邵陽市農村商業(yè)銀行業(yè)務數(shù)據(jù)、客戶信息、系統(tǒng)運行日志、故障維護日志以及其他內部資料。
第一百一十三條?農商行應建立和實施信息分類及保護體系，明確科技信息分類、定密、解密、備份、調用、保管、運輸?shù)确矫娴墓ぷ髁鞒毯凸芾硪蟆！ 〉谝话僖皇臈l 農商行業(yè)務部門負責提出數(shù)據(jù)在輸入、處理、輸出等不同狀態(tài)下的安全需求，科技信息部負責審核安全需求并提供一定的技術實現(xiàn)手段。
第一百一十五條 農商行應制定數(shù)據(jù)管理辦法和數(shù)據(jù)處理的流程和審批手續(xù)，加強數(shù)據(jù)的保密管理?！ 〉谝话僖皇鶙l 農商行業(yè)務部門應嚴格管理業(yè)務數(shù)據(jù)的增加、修改、刪除等變更操作，適時進行業(yè)務數(shù)據(jù)有效性檢查，按照既定備份策略執(zhí)行數(shù)據(jù)備份任務，并定期測試備份數(shù)據(jù)的有效性和預演數(shù)據(jù)恢復流程?！ 〉谝话僖皇邨l 農商行科技信息部系統(tǒng)管理員(網(wǎng)絡管理員)負責定期導出重要信息系統(tǒng)和網(wǎng)絡日志文件并明確標識存儲內容、時間、密級等信息。日志文件應至少保留一年，妥善保管?！ 〉谝话僖皇藯l 農商行業(yè)務部門應明確規(guī)定備份數(shù)據(jù)的保存時限和密級，建立備份數(shù)據(jù)調閱、銷毀審批登記辦法，并根據(jù)數(shù)據(jù)重要性級別分類采取相應的安全銷毀措施?！ 〉谝话僖皇艞l 所有數(shù)據(jù)備份介質應注意防磁、防潮、防塵、防高溫、防擠壓存放。恢復及使用備份數(shù)據(jù)時需要提供相關口令密碼的，應把口令密碼密封后與數(shù)據(jù)備份介質一并妥善保管。
第一百二十條 農商行應制定客戶信息管理辦法和流程，嚴格管理客戶信息的采集、處理、存儲、傳輸、分發(fā)、備份、恢復、清理和銷毀。不得非法買賣、泄露客戶個人信息，包括客戶基本信息及存貸款與征信等業(yè)務信息。禁止通過互聯(lián)網(wǎng)傳輸客戶資料和交易數(shù)據(jù)信息。
第二節(jié) 技術文檔
第一百二十一條 本辦法所稱技術文檔是邵陽市農村商業(yè)銀行網(wǎng)絡、信息系統(tǒng)和機房環(huán)境等建設與運行維護過程中形成的各種紙質技術資料，包括文檔、電子文檔、視頻和音頻文件等。包括系統(tǒng)與網(wǎng)絡設計文檔、參數(shù)配置文檔、軟件開發(fā)文檔及其源程序等。 第一百二十二條 農商行科技信息部負責將技術文檔統(tǒng)一歸檔，嚴格管理，并實行借閱登記辦法。未經(jīng)科技信息部領導批準，任何人不得將技術文檔轉借、復制和對外公布。
第三節(jié) 存儲介質
第一百二十三條 農商行應建立健全磁帶、光盤、移動存儲介質、已打印文檔等存儲介質管理流程。已存儲信息的存儲介質應保存在安全的物理環(huán)境中并有明晰的標識，統(tǒng)一編號，并標明信息生成或備份日期、密級及保密期限。重要信息系統(tǒng)備份介質應按規(guī)定異地存放?！ 〉谝话俣臈l 農商行應做好存儲介質在物理傳輸過程中的安全控制，應選擇可靠的傳遞方式和防盜控制措施。重要信息的存取需要授權和記錄。 第一百二十五條 農商行應制定移動存儲設備（U盤、移動硬盤等）管理辦法，加強移動存儲設備在生產環(huán)境中的管理和使用。禁止內網(wǎng)移動存儲設備在外網(wǎng)使用，禁止外網(wǎng)移動存儲設備在內網(wǎng)系統(tǒng)中使用?！ 〉谝话俣鶙l 農商行應建立存儲介質銷毀辦法，對載有敏感信息的存儲介質應采用焚燒或粉碎等方式進行處置并做好記錄。
第四節(jié) 口令密碼
第一百二十七條 農商行信息系統(tǒng)要害崗位人員均須設置用戶口令密碼，并獨享使用，不得泄露，且至少每三個月更換一次?？诹蠲艽a的強度應滿足不同安全性要求，不得設置過于簡單的弱口令密碼?！ 〉谝话俣藯l 敏感信息系統(tǒng)和設備的口令密碼設置應在安全的環(huán)境下進行，必要時應將口令密碼筆錄、密封交主管部門保管,并確保記錄載體的安全。未經(jīng)主管部門領導許可，任何人不得擅自拆閱密封的口令密碼。拆閱后的口令密碼使用后應立即更改并再次密封存放?！ 〉谝话俣艞l 農商行應根據(jù)實際情況在一定時限內妥善保存重要信息系統(tǒng)升級改造前的口令密碼。
第五節(jié) 密碼技術應用管理
第一百三十條 農商行涉密網(wǎng)絡和信息系統(tǒng)應嚴格按照國家密碼政策規(guī)定，采用相應的加密措施。非涉密網(wǎng)絡和信息系統(tǒng)應依據(jù)湖南省農村信用社實際需求和統(tǒng)一安全策略，合理選擇加密措施。 第一百三十一條 農商行選用的密碼產品和加密算法應符合國家相關密碼管理政策規(guī)定，密碼產品自身的物理和邏輯安全性應符合湖南省農村信用社的相關安全要求?！ 〉谝话偃l 農商行應建立嚴格的密鑰管理體制，密鑰管理人員必須是本單位在編的正式員工，并逐級進行備案，規(guī)范管理密鑰產生、存儲、分發(fā)、使用、廢除、歸檔、銷毀等過程。 第一百三十三條 農商行應在安全環(huán)境中進行關鍵密鑰的備份工作，并確保密鑰副本的物理安全，且須設置遇緊急情況下密鑰自動銷毀功能?！ 〉谝话偃臈l 各類密鑰應定期更換，對已泄露或懷疑泄露的密鑰應及時廢除，過期密鑰應安全歸檔或定期銷毀。
第十章 第三方訪問和外包安全管理
第一節(jié) 第三方訪問控制
第一百三十五條 本辦法所稱第三方訪問是指邵陽市農村商業(yè)銀行之外的單位和個人物理訪問邵陽市農村商業(yè)銀行計算機房或者通過網(wǎng)絡連接邏輯訪問邵陽市農村商業(yè)銀行數(shù)據(jù)庫和信息系統(tǒng)等活動?！ 〉谝话偃鶙l 農商行保密工作委員會負責涉密信息系統(tǒng)和網(wǎng)絡相關的第三方訪問授權審批，農商行科技信息部負責非涉密信息系統(tǒng)和網(wǎng)絡相關的第三方訪問授權審批。未經(jīng)邵陽市農村商業(yè)銀行授權的任何第三方訪問均視為非法入侵行為?！ 〉谝话偃邨l 允許被第三方訪問的邵陽市農村商業(yè)銀行信息系統(tǒng)和資源應建立存取控制機制、認證機制，列明所有用戶名單及其權限，嚴格監(jiān)督第三方訪問活動?！ 〉谝话偃藯l 獲得第三方訪問授權的所有單位和個人應與湖南省農村信用社簽訂安全保密協(xié)議，不得進行未授權的修改、增加、刪除數(shù)據(jù)操作，不得復制和泄露湖南省農村信用社任何信息。
第二節(jié) 外包安全管理
第一百三十九條 本辦法所稱外包服務是指由邵陽市農村商業(yè)銀行之外的其他社會廠商為邵陽市農村商業(yè)銀行信息系統(tǒng)、網(wǎng)絡或桌面環(huán)境提供全面或部分的開發(fā)、維護技術支持、咨詢等服務。
第一百四十條 信息科技外包服務應按照《湖南省農村信用社信息科技外包管理暫行辦法》簽訂正式的外包服務協(xié)議，協(xié)議應明確約定外包服務商的安全義務。
第一百四十一條 經(jīng)本單位科技信息部領導批準，外包服務提供商可提供上門維護服務并由邵陽市農村商業(yè)銀行科技人員在場準確記錄所有技術配置變更信息。外包服務提供商不得查看、復制涉密信息或將涉密介質帶離湖南省農村信用社?！ 〉谝话偎氖l 計算機設備確需送外單位維修時，科技信息部應徹底清除所存工作信息，必要時應與設備維修廠商簽訂保密協(xié)議。與密碼設備配套使用的計算機設備送修前必須請生產設備的科研單位拆除與密碼有關的硬件，并徹底清除與密碼有關的軟件和信息。
第十一章 災難備份與應急管理
第一節(jié) 災難備份管理
第一百四十三條 災難備份是指利用技術、管理手段以及相關資源，確保已有業(yè)務數(shù)據(jù)和信息系統(tǒng)在地震、水災、火災、戰(zhàn)爭、恐怖襲擊、網(wǎng)絡攻擊、設備系統(tǒng)故障、人為破壞等無法預料的突發(fā)事件（以下稱“災難”）發(fā)生后在規(guī)定的時間內可以恢復和繼續(xù)運營的有序管理過程。 第一百四十四條 科技信息部按照“統(tǒng)籌安排、資源共享、平戰(zhàn)結合”的原則，負責邵陽市農村商業(yè)銀行重要信息系統(tǒng)災難備份的統(tǒng)一規(guī)劃、實施和管理?！ 〉谝话偎氖鍡l 農商行相關業(yè)務部門負責提出業(yè)務系統(tǒng)災難備份需求，明確可容忍的業(yè)務中斷時間（恢復時間目標RTO）和數(shù)據(jù)丟失量(恢復點目標RPO)。省聯(lián)社信息科技部據(jù)此確定災難備份等級和備份方案。 第一百四十六條 農商行應建立健全災難恢復計劃，定期開展災難恢復培訓。在條件許可的情況下，由省聯(lián)社信息科技部統(tǒng)一部署，重要信息系統(tǒng)至少每年進行一次災難恢復演練，包括異地備份站點切換演練和本地系統(tǒng)災難恢復演練。
第二節(jié) 應急管理
第一百四十七條 應急預案是針對可能發(fā)生的意外事件并可能導致業(yè)務差錯和停頓，甚至系統(tǒng)混亂、崩潰等災難而采取的應對策略、措施的有機集合?！ 〉谝话偎氖藯l 在信息系統(tǒng)推廣應用方案中應同時設計應急備份策略，同步實施備份方案?！ 〉谝话偎氖艞l 農商行應制定和不斷完善網(wǎng)絡、信息系統(tǒng)和機房環(huán)境等應急預案。預案的編制工作由科技信息部和相關業(yè)務部門共同完成?！ 〉谝话傥迨畻l 應急預案應包括以下基本內容： （一）總則（目標、原則、適用范圍、預案調用關系等）?！ 。ǘ苯M織機構?！ 。ㄈ╊A警響應機制（報告、評估、預案啟動等）?！ 。ㄋ模└黝愇C處置流程?！ 。ㄎ澹辟Y源保障。 ?。┦潞筇幚砹鞒獭！ 。ㄆ撸╊A案管理與維護（生效、演練、維護等）?！ 〉谝话傥迨粭l 農商行應定期組織應急預案的演練，并指定專人管理和維護應急預案，根據(jù)人員、信息資源等變動情況以及演練情況適時予以更新和完善，確保應急預案的有效性和災難發(fā)生時的可獲取性。 第一百五十二條 農商行信息安全工作領導小組統(tǒng)一負責各業(yè)務系統(tǒng)的應急協(xié)調與指揮，決定重大事宜（決定應急預案的啟動、災難宣告、預警相關單位等）和調動應急資源?！ 〉谝话傥迨龡l 農商行應按照湖南省農村信用社信息安全事件報告辦法進行信息通報，一般信息安全事件應逐級通報，發(fā)生因人為、自然原因造成信息系統(tǒng)癱瘓以及利用計算機實施犯罪等影響和損失較大的信息安全事件（下稱“重大信息安全事件”）應直接報省聯(lián)社信息科技部。
第一百五十四條 重大信息安全事件發(fā)生后，農商行相關人員應注意保護事件現(xiàn)場，采取必要的控制措施，調查事件原因，并及時報告本單位主管領導。
第一百五十五條 農商行應在重大信息安全事件發(fā)生后的兩小時內按規(guī)定程序報上一級科技信息部。??? 第一百五十六條 農商行辦公室負責統(tǒng)一向社會發(fā)布應急事件公告，其他任何單位或個人不得向社會發(fā)布應急事件公告。
第十二章 安全檢查評估與培訓
第一節(jié) 監(jiān)測檢查
第一百五十七條 農商行科技信息部應整合和利用現(xiàn)有網(wǎng)絡管理系統(tǒng)、計算機資源監(jiān)控系統(tǒng)、專用安全監(jiān)控系統(tǒng)以及相關設備與系統(tǒng)的運行日志等監(jiān)控資源，加強對網(wǎng)絡、重要信息系統(tǒng)和機房環(huán)境等設施的安全運行監(jiān)測?！ 〉谝话傥迨藯l 農商行科技信息部應建立運行監(jiān)測周報、月報或季報辦法，報送本單位信息安全工作領導小組和上一級科技信息部，抄送相關業(yè)務部門?！ 〉谝话傥迨艞l 農商行要及時預警、響應和處置運行監(jiān)測中發(fā)現(xiàn)的問題，發(fā)現(xiàn)重大隱患和運行事故應及時協(xié)調解決，并報上一級單位相關部門。
第一百六十條 農商行科技信息部應至少每年組織一次本單位或轄內的信息安全專項檢查，安全檢查方式可以是自查、互查或上級檢查多種方式。 第一百六十一條 農商行在開展安全檢查前應以安全管理辦法為依據(jù)制訂詳細的檢查方案和計劃，確保檢查工作的可操作性和規(guī)范性。安全檢查完成后應及時形成檢查報告，經(jīng)本單位主管領導批準后將檢查整改報告盡快送達被檢查單位。要求限期整改的，需要對相關整改情況進行后續(xù)跟蹤?！ 〉谝话倭l 農商行參加檢查的人員對檢查中的涉密信息負有保密責任。所有檢查報告和資料應作為湖南省農村信用社內部材料妥善保管，不得向外界泄露?！ 〉谝话倭龡l 農商行應將每次安全檢查報告和整改落實情況整理匯總后報上一級科技信息部備案。
第二節(jié) 評估審計
第一百六十四條 農商行科技信息部可采用自評估、檢查評估和委托評估等方式，每年至少組織一次對本單位或轄內重要信息系統(tǒng)的安全評估。
第一百六十五條 安全評估應在不影響信息系統(tǒng)正常運行的情況下進行。評估開始前，應制定評估方案并進行必要的培訓。評估結束后，形成評估報告，提出整改意見報本單位科技信息部主管領導?！ 〉谝话倭鶙l 農商行如聘請第三方機構進行安全評估，報省聯(lián)社信息科技部批準，并與第三方評估機構簽訂安全保密協(xié)議后方可進行。本單位信息安全管理人員全程參與評估過程并實施監(jiān)督?！ 〉谝话倭邨l 農商行妥善保管信息安全評估報告，未經(jīng)授權不得對外透露評估信息。
第一百六十八條 農商行定期對重要信息系統(tǒng)進行安全等級保護測評。開展等保測評工作應遵循《金融行業(yè)信息系統(tǒng)信息安全等級保護測評指南》和《金融行業(yè)信息安全等級保護測評服務安全指引》的有關規(guī)定，確保測評有效和測評安全。
第一百六十九條 農商行科技信息部在支持與配合內審部門開展信息安全工作審計的同時，應適時開展本單位和轄內的信息系統(tǒng)日常運行管理和信息安全事件全過程的技術審計，發(fā)現(xiàn)問題及時報本單位或上一級單位主管領導?！ 〉谝话倨呤畻l 農商行應做好操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)等審計功能配置管理，并完整保留相關日志記錄。
第三節(jié) 安全培訓
第一百七十一條 農商行應至少每年對信息安全管理人員進行一次專業(yè)培訓，不斷提高信息安全管理人員專業(yè)技能和管理水平。
第一百七十二條 農商行應開展全員信息安全教育，對本單位全體正式和非正式員工進行必要的培訓，提高全體員工信息安全意識，使全體員工充分了解其職責范圍內的信息保護流程及違反規(guī)定的后果。
第十三章 獎勵與處罰
第一百七十三條 農商行將本單位和轄內信息安全管理工作納入年度考評，對表現(xiàn)突出的單位和個人應進行通報表彰并給予一定形式的獎勵?！ 〉谝话倨呤臈l 對于違反本辦法，造成重大信息安全事件的單位及個人，要給予通報批評；情節(jié)嚴重的，依據(jù)相關法律法規(guī)，追究其主管領導、相關部門負責人及直接責任人的責任；構成犯罪的，依法追究刑事責任。
第十四章 附 則
第一百七十五條 之前發(fā)布的其他信息安全管理辦法有關規(guī)定條款如與本辦法不一致的，按本辦法執(zhí)行。
第一百七十六條 本辦法由邵陽市農村商業(yè)銀行負責解釋。
