附件1金融行业信息系统信息安全等级保护实施指

《附件1金融行业信息系统信息安全等级保护实施指》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、ICS03.060All备案号：中华人民共和国金融行业标准JR/Txxxx—xxxx金融行业信息系统信息安全等级保护实施指引Implementationguideforclassifiedprotectionofinformationsystemoffinancialindustry（报批稿）（本稿完成LI期：2012年5刀）XXXX-XX发布XXXX-XX实施中国人民银彳丁发布目次前言II引言III1范围12规范性引用文件13术语和定义14指引编制策略25信息安全保障框架66保护要求9附录A（资料性附录）等级保护实施措施55附录B（资料性附

2、录）金融行业安全要求的选择和使用说明111参考文献113本标准由中国人民银行提出。本标准由全国金融标准化技术委员会归口。本标准负责起草单位：中国人民银行科技司。本标准参加起草单位：中国金融电子化公司。本标准主要起草人：王永红王小青张永福王晓燕王海涛杨剑沈力克白智勇徐明许自强仇宁宁李凡叶强林陈广辉郑凯一赵义斌杨英周庆斌。本标准为首次制定。金融行业重要的信息系统关系到国计民牛，是国家信息安全重点保护対彖，国家信息安全监管职能部门需要对其重要信息和信息系统的信息安全保护工作进行指导监怦。信息安全等级保护是国家在信息安全保障丄作的一项基本制度，金融行

3、业作为重要信息系统行业部门之一，应遵照实施该制度。围绕金融信息安全等级保护工作的开展，需要一系列适合金融行业的等级保护标准体系作为支撑，以规范和指导金融等级保护工作的实施。中国人民银行作为我国中央银行，负有监管金融行业的重任，需要在金融行业内建立符合金融行业特点的信息安全等级保护体系规范，通过备案、指导、检查、督促整改筹方式來推进金融行业信息安全等级保护工作建设。为此，人民银行科技司组织安全等级保护领域专家和相关技术人员，根据国家关于信息安全等级保护工作的相关制度和标准，制定符合金融行业特点的、切实可行的信息安全等级保护行业标准和实施指南。信

4、息系统安全等级保护实施指引1范围本实施指引适用于金融机构（包括其分支机构）的系统规划建设部门（业务与技术）、应用开发部门、系统运行部门、安全管理部门、系统使用部门、内部监察、审计等部门。也可作为信息安全职能部门进行监仰、检查和指导的依据。随着内容的补充和丰富，为等级保护工作的开展提供指导。2规范性引用文件下列文件屮的条款通过在本标准的引用而成为本标准的条款。凡是注口期的引用文件，其随后所冇的修改单（不包括勘谋的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使川这些文件的最新版木。凡是不注明口期的引川文件，其最新版木

5、适川丁•木标准。GB/T22239-2008信息系统女全等级保护基本要求GB/T25070-2010信息系统等级保护安全设计技术要求GB/T22240-2008信息系统安全等级保护尬级指南JR/T0044-2008银行业信息系统灾难恢复管理规范JR/T0013-2004金融业星型网间互联安全规范JR/T0003-2001银行卡联网联合安全规范JR/T0055.4-2009银行联网联合技术规范第4部分：数据安全传输控制JR/T0026-2006银行业让算机信息系统雷电防护技术规范JR/T0023-2004证券公司信息技术管理规范JR/T0011

6、-2004银行集中式数据中心规范银监会（2009〕19号商业银行信息科技风险管理指引保监会令（2003）3号保险业重大突发事件应急处理规定银临发（2008）50号银行业金融机构重要信息系统投产及变更管理办法银监办发中期协发屮证协发中证协发银监办发(2009)(2009)(2006)(2009)(2010〕437号银行、证券跨行业信息系统突发事件应急处置工作指引期货公司网上期货信息系统技术指引证券公司集屮交易安全管理技术指引154号证券营业部信息技术指引112号商业银行数据中心监管指引银科技〔2006）73号中国人民银行信息系统安全配置指引银发

7、（2010）276号中国人民银行计算机系统信息安全管理规定银办发（2006）154号屮国人民银行TT应急预案指引银发（2010）276号中国人民银行计算机系统信息安全管理规定银发（2002）260号中国人民银行关于加强银行数据集中安全工作的指导意见银办发2006-9中国人民银行计算机机房规范化工作指引证券期货业信息系统等级保护基本要求（征求意见稿）期货交易所、期货经营机构_信息技术管理规范（试行）3术语和定义下列术语和定义适用于本指导性技术文件。敏感数据sensitivedata敏感数据是指一旦泄露可能会对用户或金融机构造成损失的数据，包括但

8、不限于：a）用户敏感数据，如用户口令、密钥等；b）系统敏感数据，如系统的密钥、关键的系统管理数据：c）其他需要保密的敏感业务数据；d）关键性的操作指令；e）系统主要