（１９９８年２月２４日　開行辦電腦〔１９９８〕９號） 　 各廳、局、直屬單位，武漢分行、各代表處： 　現將《國家開發銀行計算機信息系統安全保密暫行辦法》印發給你們，請認真組織學習，并結合實際貫徹落實。 附：　　　 國家開發銀行計算機信息系統安全保密暫行辦法 　 第一章　總則 　　第一條　國家開發銀行（以下簡稱本行）計算機應用系統是本行信息和業務處理的核心技術手段，為了保護本行計算機信息系統的安全，特制定本辦法。 　　第二條　本辦法所稱的計算機系統，是指由計算機、數據信息網絡及其相關和配套的設備、設施構成的。它是按照一定的應用目標和規則對信息進行采集、加工、存儲、傳輸、檢索等處理的人機系統。 　　第三條　本辦法下列用語的含義： 　　計算機信息系統安全是指計算機信息系統的硬件、軟件、網絡和數據的安全必須受到保護，不因自然的和人為的原因而遭到破壞、更改和丟失，以保證計算機信息系統能連續正常運行。 　　計算機保密是指利用密碼技術對信息進行加密處理，防止信息非法泄露。 　　第四條　計算機信息系統的安全保密，應當保障計算機、數據信息網絡及其相關的和配套的設備、設施的安全，保障運行環境（機房）的安全，保障信息的安全，保障計算機和網絡功能的正常發揮，防止和處理政治因素造成的失泄密、人為或自然災害等造成的破壞，以及防止利用計算機犯罪等。 　　第五條　在行電子化領導小組的領導下，電腦中心、行保密辦主要負責行計算機信息系統安全保密工作，辦公廳給予支持。 　　第六條　各有關廳局必須指定專人負責本單位有關信息系統的安全保密工作。其主要任務是：定期向電腦中心、行保密辦通報安全保密工作情況；督促本單位安全保密措施的貫徹執行；組織安全保密檢查，進行安全保密教育。 　　第七條　任何單位和個人，不得利用我行信息系統從事危害我行利益的活動，不得危害我行信息系統的安全。 　 第二章　計算機及網絡系統 　　 　　第八條　購置設備要經過周密調查，慎重選型；落實售后服務和軟、硬件后援，嚴格驗收；對通信設備要特別考慮其保密性能。 　　第九條　對引進的各種服務器，在應用系統投入運行之前，應報請國家安全部門進行保密檢查，系統運行期間，不得隨意更動系統配置。 　　第十條　建立常規硬件系統維護管理制度，保持維護計算機和網絡、設備、工具和資料處于良好狀態，備件應有庫存賬，可隨時查閱，并根據具體情況補充和更新。防止重大事故，應有應急處理的措施。 　　第十一條　操作人員必須進行必要的培訓，并經考試合格后方準持證上崗操作。操作人員必須嚴格按規程進行操作。 　　第十二條　重要業務部門的實時應用系統要求軟件、數據有備份；有故障時的處理措施；并應對工作人員定期進行訓練和演習。根據具體情況，有計劃地安排配置備份機。 　　第十三條　應用系統在設計上嚴格控制涉密文件信息查詢檢索的人員范圍，嚴格管理用戶使用權限。系統軟硬件一經安裝、調試、正式運行，未經電腦中心許可，不得自行對其更改配置或移動位置。 　　第十四條　各廳局制定設備、軟件管理細則，應用軟件開發要嚴格按照我行有關規定執行，實現《國家經濟信息系統設計與應用系統標準規范》中的安全保密要求。 　　第十五條　應用系統版本的更改、更新必須報電腦中心批準后由技術人員進行。應用系統的文檔資料，無關人員一律不得查閱。 　　第十六條　傳輸秘密以上級別的信息時，通信兩端設備需在相應安全環境中，對所傳輸數據，要采取加密措施。 　 第三章　介質（資料）的儲送 　　 　　第十七條　對應用系統使用、產生的介質或資料要按其重要性進行分類，對存放有關鍵或重要數據的介質（資料），如會計賬、計劃統計表格，應復制必要的份數，并分別存放在不同的安全地方，建立嚴格的保密保管制度。 　　第十八條　保留在機房內的介質（資料），應為系統有效運行所必需的最少數量，除此之外，不應保留在機房內。 　　第十九條　存放機房內的介質（資料）應該存放于防火、防高溫、防震、防電磁場、防靜電及防盜的房間或保險柜中。 　　第二十條　介質（資料）庫，應設專人負責登記保管，未經批準，不得隨意提供介質（資料）。 　　第二十一條　在使用介質（資料）期間，應嚴格按國家保密規定控制轉借或復制，需要使用或復制的須經主管部門批準。 　　第二十二條　對所有介質（資料）應定期檢查，要考慮介質的安全保存期限，及時更新復制。損壞、廢棄或過時的介質（資料）應由專人負責處理，秘密級以上的介質（資料）在過保密期或廢棄不用時，要及時銷毀。 　　第二十三條　機密數據處理作業結束時，應及時清除存儲器、聯機磁帶、磁盤及其他介質上有關作業的程序和數據，應及時銷毀廢棄的打印紙。 　 第四章　計算機及網絡系統的環境 　　 　　第二十四條　機房環境的選擇，應符合國家標準ＧＢ２８８７《計算機站場地技術要求》的有關規定。機房主體結構應具有與其功能相適應的抗震性、輻射屏蔽、防水等級和耐火等級。變形縫和伸縮縫等不應穿過機房。機房應設置齊全靈敏的水災、滲漏水報警和足夠的滅火、排水系統，應設置靈敏的溫度、濕度傳感器。空調的制冷能力需留有一定的余量并配有備用空調設備。中心機房應配有獨立的供電、變電設備，供電功率需留有余量。 　　第二十五條　機房選點盡量避開便于駐留無關人員的場所。 　　第二十六條　計算機系統設備場地，應具備應急照明供電，應急報警設施，應急安全斷電線路。中心機房應有若干設有明顯標志的疏散出口。 　　第二十七條　在計算機房、辦公設施、通訊及動力設施附近施工危害計算機信息系統安全的，由電腦中心會同有關單位進行交涉。 　　第二十八條　制定機房出入管理制度，對每個工作人員授予不同權限，規定活動區域。設立值班人員負責監督制度的執行和安全保衛工作。 　 第五章　安全保密制度 　　 　　第二十九條　計算機信息系統的建設和應用，應當遵守國家有關法律、行政法規和本行其他有關規定。 　　第三十條　計算機信息系統實行安全等級保護。存儲國家秘密信息的計算機，應按所存儲信息的最高密級標明，并按相應密級的文件進行管理，采取相應的保密措施。機密級及以上國家秘密信息不得進入計算機信息系統。安全等級的劃分標準和安全等級保護的具體辦法由電腦中心、辦公廳商國家有關部門制定。 　　第三十一條　計算機機房、辦公設施、通訊及動力設施應當符合國家標準和國家有關規定。在上述設施附近施工，不得危害我行信息系統的安全。因施工危害計算機信息系統安全的，由電腦中心會同有關單位進行交涉。 　　第三十二條　未經許可不得隨意使用調制解調器等設備與因特網聯網，個別確因特殊工作需要的應事先與電腦中心取得溝通并征得同意。 　　第三十三條　攜帶或郵寄計算機介質（資料）進出國家開發銀行的，應當如實向電腦中心申報。 　　第三十四條　各廳局應當自行建立健全安全管理制度，負責本單位計算機信息系統安全保密工作。 　　第三十五條　對計算機信息系統中發生的案件，有關廳局應在２４小時內向電腦中心、行保密辦報告。 　　第三十六條　對計算機病毒、我行電子信息系統的安全保密等方面研究工作，由電腦中心和行保密辦歸口管理。 　 第六章　人員內控管理 　　 　　第三十七條　人員審查。 　　人員的審查必須根據金融電子化系統所規定的安全等級來確定審查標準。凡接觸系統安全三級以上信息系統的所有人員，必須按機要人員的條件進行審查。 　　第三十八條　關鍵崗位人選。 　　對金融電子化系統的關鍵崗位人選，如安全負責人、系統管理員等，不僅需要進行嚴格的政審，還要考核其業務能力，以保證這部分人員可信可靠，勝任本職工作。必要時要實行定期強制休假。 　　第三十九條　人員培訓。 　　對在金融電子化系統上崗的所有工作人員，均需由有關部門組織上崗培訓，包括計算機及網絡操作、維護培訓，應用軟件操作培訓，金融電子化系統安全課程及保密教育培訓，經培訓合格的人員持證上崗工作。對培訓不合格者或未參加培訓者，嚴禁上崗工作。 　　第四十條　人員考核。 　　人事部門要定期組織有關方面人員對金融電子化系統所有的工作人員從政治思想、業務水平、工作表現、遵守安全規程等方面進行考核，對于考核發現有違反安全法規行為的人員或發現不適于接觸金融電子化系統的人員要及時調離崗位，不應讓其再接觸系統，對情節嚴重的應追究其法律責任。 　　第四十一條　簽訂保密契約。 　　對于所有進入金融電子化系統工作的人員，均應簽訂保密契約，承諾其對系統應盡的安全保密義務，保證在崗工作期間和離崗后均不得違反保密契約，泄漏系統秘密。對違反保密契約的，應有懲處條款。對接觸機密信息的人員，應規定在離崗后的多長時期內不得離境。 　　第四十二條　人員調離。 　　對調離人員，特別是因不適合安全管理要求被調離的人員，必須嚴格辦理調離手續。進行調離談話，承諾其調離后的保密義務，交回所有鑰匙及證件，退還全部技術手冊、軟件及有關資料。更換系統口令和機要鎖。自調離決定通知之日起，必須立即進行上述工作，不得拖延。 　 第七章　操作安全管理 　　 　　第四十三條　系統操作安全管理目標。 　　系統操作是指金融電子化系統的人員開發、操作、維護、管理電子化系統的行為或活動。金融電子化系統操作安全管理的目標是： 　　１．對系統管理及系統操作均應進行有效的監督或監控； 　　２．所有接觸系統的人員均應承擔與其工作性質相應的安全責任。 　　第四十四條　操作人員分類。 　　對金融電子化系統的操作人員，應根據確保金融電子化系統有限職責、有限使用授權原則進行分類。 　　１．一線生產系統操作、管理人員； 　　２．二線監督系統操作、管理人員； 　　３．辦公自動化系統操作、管理人員； 　　４．硬件維修人員； 　　５．軟件開發、維護人員； 　　６．系統分析人員； 　　７．系統稽核人員、安全管理人員； 　　８．行政管理人員。 　　系統開發人員與系統操作人員應嚴格限定業務分工，不得交叉使用。 　　第四十五條　系統操作控制管理。 　　１．應按照分工負責、互相制約的原則制定各類系統操作人員的職責，職責不允許交叉覆蓋。 　　２．各類人員在履行職責時要按規定行事，不得從事超越自己職能以外的任何作業，如操縱系統、更改數據等。 　　３．一線生產系統和二線監督系統進行系統維護、復原、強行更改數據時，至少應有兩名操作人員在場，并進行詳細的登記及簽名。 　　４．七類人員有權對一線生產系統和一類人員進行監督與核查，但該過程必須履行必要的手續和按照一定的程序進行。 　　５．應為長期從事計算機工作的人員創造合適的人機工作環境。使他們享有相應的勞動保護，定期進行專門體檢，保持身心健康。 　 第八章　安全保密監督 　　 　　第四十六條　電腦中心和行保密辦對計算機信息系統安全保密工作行使下列監督職權： 　　（一）監督、檢查、指導計算機信息系統安全保密工作； 　　（二）檢查危害計算機信息系統安全的違規事件； 　　（三）履行計算機信息系統安全保密工作的其他監督職責。 　　第四十七條　電腦中心和行保密辦發現影響計算機信息系統安全保密的隱患時，應當及時通知使用單位采取安全保護措施，在緊急情況下，有權直接先采取必要的措施，然后再向領導報告，遇有重大問題，可以要求召集行電子化領導小組成員會議商議對策。 　 第九章　獎勵和懲處 　　 　　第四十八條　違反本辦法的規定，有下列行為之一的，由行電子化領導小組處以警告或者停機整頓，嚴重的應依據《中華人民共和國保守國家秘密法》的有關條款進行處理并追究單位領導的責任。 　　（一）違反計算機信息系統安全等級制度，危害計算機信息系統安全的； 　　（二）不按照本辦法規定時間報告計算機信息系統中發生的案件的； 　　（三）接到我行有關要求改進安全保密狀況的通知后，在限期內不予改進的； 　　（四）對本辦法貫徹不力，造成事故隱患，影響系統正常運行的； 　　（五）違反本辦法造成嚴重損失或造成重大失泄密的。 　　第四十九條　對于引入計算機病毒以及其他有害數據危害計算機信息系統安全的，或者未經許可使用計算機信息系統安全專用產品的單位和個人，由電腦中心和行保密辦給予嚴肅處理。 　　第五十條　凡是認真貫徹本規定要求，維護系統安全運行，杜絕事故發生，防止失泄密成績顯著者，或迅速排除故障，恢復系統正常運行或減少損失者，均應視情況給予表揚或獎勵。 　 第十章　附則 　　 　　第五十一條　各廳局可以根據本辦法制定暫行細則，但應報電腦中心和行保密辦備案。 　　第五十二條　計算機病毒的防治工作屬本暫行辦法的重要內容，具體按照《國家開發銀行防治計算機病毒規定》執行。 　　第五十三條　本辦法由電腦中心和行保密辦負責解釋。 　　第五十四條　本辦法自發布之日起施行。