证券公司网络和信息安全三年提升计划（2023-2025）

一、导语 在数字化加速发展和新技术应用深入的大背景下，证券公司网络和信息安全重要性提升，但管理日趋复杂。为响应党的二十大报告和监管要求，中国证券业协会组织起草了《证券公司网络和信息安全三年提升计划（2023-2025）》，旨在提升行业网络和信息安全能力，防范化解风险，推动高质量发展。

二、总体要求 （一）指导思想 以习近平新时代中国特色社会主义思想为指导，贯彻网络强国、数字中国战略，统筹发展和安全，探索安全可靠的数字化新技术、新模式，提升行业网络和信息安全防护能力，守住不发生系统性金融风险的底线。

（二）基本原则 遵循稳健性、系统性、差异性、创新性原则，强化合规风控，整体规划，因司制宜，科技赋能，实现业务创新和技术创新相互带动。

（三）总体目标 力争到2025年，行业从业人员网络和信息安全意识明显增强，科技治理能力有效提升，信息系统架构掌控能力全面加强，科技资金投入和人才培养力度持续加大，网络和信息安全防护体系基本健全，行业科技创新和数字化转型迈上新的台阶，为行业高质量发展提供有力支撑，全力支持资本市场改革发展，牢牢守住不发生系统性网络和信息安全风险的底线。

三、主要任务 （一）持续提升科技治理水平

1. 全面完善信息科技战略发展规划，明确实施策略和具体路径，涵盖网络和信息安全领域。
2. 充分发挥科技治理组织作用，推动网络和信息安全工作由被动防御转变为主动加固和动态保障。
3. 大力推动信息科技管理体系建设，健全网络和信息安全管理制度体系，提升研发效能与软件质量。
4. 健全信息科技风险管理三道防线，全面识别风险、揭示问题，建立风险及问题闭环管理机制。
5. 持续完善供应商管理机制，定期开展供应商评估，加强供应商服务过程管控。

（二）建立科学合理的科技投入机制

1. 合理加大科技资金投入，鼓励有条件的证券公司在2023-2025三个年度信息科技平均投入金额不少于上述三个年度平均净利润的10%或平均营业收入的7%。
2. 加强科技人才队伍建设，制定人才培养计划，建立健全人才激励保障和发展机制，逐步提升信息科技专业人员比例至企业员工总数的7%，其中信息安全专业人员比例至信息科技专业人员总数的3%并且不少于2人。

（三）增强信息系统架构规划掌控能力

1. 建立及完善系统架构管理机制，设立专业的信息系统架构管控角色、岗位、团队或联合组织。
2. 建设及健全企业级应用架构，建立企业级通用服务或能力，加强业务一体化服务平台建设。
3. 持续加强数据架构体系治理，建立长期有效的企业级数据规划和发展战略。
4. 多方位推进技术架构转型升级，积极从集中式专有技术架构向分布式、低时延、开放技术架构转型，鼓励利用分布式、云原生等先进技术对信息系统进行架构升级。
5. 持续提高核心系统自主掌控能力，加强核心系统的技术攻关，积极加强核心系统的自主掌控能力。

（四）强化系统研发测试管理能力

1. 建立及完善需求设计及分析机制，参照国际国内标准，全面梳理研发项目生命周期。
2. 持续提升代码开发效率及安全，建设统一的源代码管理工具和标准化的研发运维一体化工具平台。
3. 制定并落实信息系统代码审计规范，自研系统实现自研代码审计全覆盖。
4. 全面加强信息系统测试质量管控，组建与系统规模相匹配的测试人员或团队，建立完备的重要信息系统研发测试管理机制。

（五）夯实系统运行保障能力

1. 加强信息系统上下线管理，组织对重要信息系统上线的业务流程合规性、权限设置清晰度等方面进行全面评估。
2. 全面管控信息系统变更风险，加强信息系统变更风险管控，持续完善变更管理机制。
3. 持续提升信息系统故障发现能力，建立覆盖业务、应用、底层基础架构和基础设施的信息系统运行监测体系。
4. 全面提高事件预警及处置效率，建立专业化团队协同分工机制，持续完善事件管理制度。
5. 健全组织级应急响应管理机制，建立健全自上而下、协同联动、高效有力的应急管理和舆情管理机制。
6. 做好信息系统容量与性能管理，结合信息科技战略发展规划及现有资源，建设信息系统容量评估机制。
7. 完善重要信息系统数据备份能力，制定信息系统数据备份管理策略，建立数据防丢、防删的权限管控机制和技术手段。

（六）健全信息安全防护体系

1. 落实等级保护定级和测评要求，对所有信息系统开展等级保护定级，做好定级备案系统的安全建设和等保测评工作。
2. 深化漏洞全生命周期管控，建立完善的漏洞管理制度，漏洞管理覆盖研发过程管理、供应链管理和常态化风险巡检等方面。
3. 提升安全攻击防控能力，持续提升安全攻击防控体系建设，建立完善的应急处置制度、流程和预案。
4. 持续加强网络安全态势感知和通报预警，开展机构网络安全风险信息的收集、汇总、分析，与行业网络和信息安全态势感知平台进行系统对接。
5. 完善移动客户端应用软件认证机制，鼓励委托具有资质的第三方专业机构开展App安全认证。
6. 加强数据安全管理体系建设，建立个人信息保护制度体系，加强数据安全管理体系建设，对数据进行分类分级。
7. 持续加强安全意识培训，每年至少开展一次安全培训，由上而下推动全员形成对于信息安全重要性的一致共识。
8. 做好安全全局性建设，持续跟进新技术演变趋势，加强安全体系的“同步规划、同步建设、同步运营”。

四、组织保障 （一）加强组织领导 各证券公司要提高思想认识，加强组织领导，建立健全网络和信息安全提升工作机制，协会加强对证券行业网络和信息安全提升工作的督导。

（二）重视人才培养 各证券公司要优化技术从业人员结构，聚焦专业素质能力提升，完善从业人员梯队结构，健全从业人员培养体系，完善市场化激励约束机制。

（三）完善评估激励 各证券公司要建立网络和信息安全提升工作统计考评的长效机制，奖优惩劣，协会建立证券公司网络和信息安全提升的信息统计和评估机制。

（四）强化制度供给 各证券公司要加强技术领域企业标准建设，鼓励制定并执行严于国家标准、行业标准的企业技术标准，协会配套制定、修订证券公司及营业部信息技术方面的自律规则和业务规范。

（五）做好安全服务 协会积极推动加强行业网络安全服务生态建设，充分发挥行业信息安全联合实验室等行业网络安全机构的专业力量，为证券公司提供网络安全监测检查、风险评估分析、威胁追踪溯源和事件应急响应等在内的多样化、专业化、符合行业特点的安全服务。

（六）积极宣传引导 各证券公司要认真总结网络和信息安全提升工作经验和实践成果，开展网络和信息系统安全宣传活动，协会将通过开展行业培训和经验交流，总结推广优秀案例、最佳实践，引导行业对标提升，构建良好的证券技术生态。