《证券公司网络和信息安全三年提升计划 (2023-2025)》解读

章节

发布版内容

主要区别与分析

（一）持续提升科技治理水平

3.大力推动信息科技管理体系建设。健全网络和信息安全管理制度体系，筹划、建立和完善信息系统开发、测试、运维及信息安全等技术领域的管理体系……

出于系统性原则考虑，新增了“健全网络和信息安全管理制度体系”，要求证券公司补齐安全管理制度体系。

4．健全信息科技风险管理三道防线。充分发挥信息技术、合规风控、稽核审计三道防线的监控和督导作用，全面识别风险、揭示问题，定期组织各防线的内部检查、风险评估与审计，建立风险及问题闭环管理机制，确保风险及问题妥当处理。

由“二道防线”升级为“信息技术、合规风控、稽核审计三道防线”，突出了要加强对信息科技风险的监测与评估。

5．持续完善供应商管理机制。定期开展供应商评估，对合作供应商的资质、服务质量等内容进行评估与审查，持续保障系统和服务的可靠性。

删除了对合作供应商的响应效率的评估和审查。

（二）建立科学合理的科技投入机制

1．合理加大科技资金投入。鼓励有条件的证券公司在2023-2025三个年度信息科技平均投入金额不少于上述三个年度平均净利润的10%或平均营业收入的7%，并保持稳定的资金投入。持续优化信息科技投入结构，加大研发类、网络和信息安全类以及信创建设等方面的投入，深化信息技术架构设计、系统测试、安全防护、数字化转型能力建设。

信息科技平均投入金额由“平均净利润的8%或平均营业收入的6%”增加到“平均净利润的10%或平均营业收入的7%”，删除了“其中网络和信息安全投入不低于信息科技投入总额的7%”的要求。

2.加强科技人才队伍建设。持续充实信息科技专业人才队伍，鼓励有条件的证券公司结合自身实际情况逐步提升信息科技专业人员比例至企业员工总数的7%，其中信息安全专业人员比例至信息科技专业人员总数的3%并且不少于2人。

信息科技专业人员占比由6%增加到7%，网络和信息安全人员由不少于4人减少到不少于2人。从整体出发，充分考虑了中小型证券机构的实际情况。

（三）增强信息系统架构规划掌控能力

1.建立及完善系统架构管理机制。……加强开源软件治理,防范安全风险。……

增加了对开源软件治理的安全要求。

4.多方位推进技术架构转型升级。……根据不同客户群开展核心系统技术架构的转型升级工作。……鼓励有条件的证券给公司加快信息系统在私有云与行业云部署，提升系统云化比例。

出于稳健性原则考虑，删除了“通过云计算平台承载及运行的信息系统比例不低于 60%，由容器等云平台承载的云原生系统比例不低于 10%”。明确了在私有云与行业云的部署，排除了公有云情况。

（四）强化系统研发测试管理能力

4.全面加强信息系统测试质量管控。……鼓励有条件的证券公司，稳健提升重要信息系统的自动化测试比例……

删除了“重要信息系统的自动化测试比例不低于整体测试比例 30%”。

重点任务清单里删除了“测试人员不低于研发测试人数的20%”。

（五）夯实系统运行保障能力

2.全面管控信息系统变更风险。……鼓励有条件的证券公司，稳健提升重要信息系统自动化发布比率，……

出于稳健性原则考虑，删除了“重要信息系统组件的自动化发布比率不低于 40%”。

（六）健全信息安全防护体系

1.落实等级保护定级和测评要求。……对所有信息系统开展等级保护定级，遵循网络安全等级保护基本要求和评测行业标准，……

删除了“按照监管机构的指导意见将重要信息系统定为三级或二级”。

6.加强数据安全管理体系建设。……对于有权访问数据资产的用户，能够综合采用口令、密码技术、生物技术等信息识别用户身份……严格遵照法律法规要求对核心数据、重要数据处理活动进行风险评估，开展有效的个人信息保护影响评估，规范投资者个人信息处理活动，建立健全数据全生命周期的安全管理长效机制和防护措施。具有跨境相关业务与应用场景的证券公司，要严格落实国家法律法规和监管部门关于数据安全的各项管理规定，重点加强核心数据、重要数据及个人信息等的安全管理，认真组织开展数据安全评估，确保数据安全。

（1）增加了“密码技术”的身份认证方式，与密评要求保持一致；

（2）出于系统性原则考虑，增加了全数据生命周期安全的防护以及风险评估要求；增加了个人信息保护的要求；增加了数据跨境安全的要求。以上三点内容为当前证券公司在数据安全方面的新增要求，给接下来证券公司数据安全工作提供了指导。

（3）出于稳健性原则考虑，删除了“鼓励参与经营机构间共享数据，主动探索数消费场景，……，充分发挥数据要素的价值”。这一点主要是考虑到当前隐私计算技术等仍存在合规问题。

四、组织保障

（三）完善评估激励

各证券公司要建立网络和信息安全提升工作统计考评的长效机制，奖优惩劣。协会建立证券公司网络和信息安全提升的信息统计和评估机制，推动相关配套激励政策落实。

删除了“为网络和信息安全情况纳入证券公司信息科技分类监管评级提供公允的参考依据”。2009 年 5 月，证监会出台《证券公司分类监管规定》，确立了分类评价指标体系，并于2010 年 5 月、2017 年 7 月、2020年7月进行了三次修改，或许下次修订时，该指标有希望纳入评价体系。