计算机信息系统安全的基本要求
计算机安全的基本原则
计算机安全的基本原则计算机安全是指在计算机系统中，通过采取一系列措施和方法，保护计算机资源不被非法访问、使用、修改、损坏或泄漏的一种技术手段。
在计算机安全领域中，有一些基本原则需要被遵守，以确保计算机系统的安全性和可靠性。
本文将从密码学、访问控制、防火墙和网络安全等方面，介绍计算机安全的基本原则。
1. 密码学原则密码学是研究如何加密和解密信息的学科，是计算机安全的基石。
在计算机系统中，密码学原则可以通过加密算法、密钥管理和访问控制来实现。
加密算法可以将明文转换成密文，同时只有持有正确密钥的人才能解密密文。
密钥管理则是确保密钥的安全性和合理分配的过程。
访问控制是通过对计算机系统中资源的访问进行授权和限制，只有合法用户才能使用系统。
2. 访问控制原则访问控制原则是保护计算机系统免受未经授权访问和使用的基本原则。
通过对用户进行身份验证、授权和权限管理，可以确保只有授权用户能够访问和使用系统中的资源。
常见的访问控制机制包括密码验证、双因素认证、访问令牌和访问审计等。
3. 防火墙原则防火墙是位于计算机系统和外部网络之间的一道屏障，用于限制未经授权的网络访问。
防火墙可以根据预先设定的规则过滤和监控网络通信，阻止恶意攻击和未经授权的访问。
其中包括对网络流量过滤、网络地址转换以及虚拟专用网络等技术手段。
4. 网络安全原则网络安全原则是指在计算机网络环境下保护网络系统免受网络威胁和攻击的基本原则。
网络安全包括对网络的保密性、完整性和可用性进行维护。
保密性是指确保敏感信息只能由授权用户访问，防止信息泄漏。
完整性是指确保数据在传输过程中没有被篡改或损坏，以保证数据的完整性和准确性。
可用性是指确保网络系统能够正常运行和提供服务，避免因攻击而导致的系统崩溃或服务中断。
5. 安全意识培养原则安全意识培养原则是指通过教育和培训，提高用户对计算机安全的认识和意识，培养正确的安全行为和习惯。
通过加强安全教育，用户能够识别网络威胁和风险，并采取相应的防护措施。
计算机信息安全管理规范
计算机信息安全管理规范目的:确保所有信息安全，防止公司重要数据泄露到允许范围以外。
规范计算机的管理，使之安全、稳定、可靠环境下运行。
一：病毒防护1、基本要求（1）严禁增删硬盘上的应用软件和系统软件，不得随意安装非工作需要的应用软件；软件安装必须通过IT部来完成；（2）所有计算机均不得安装游戏软件；（3）从软盘或光盘复制数据之前必须先用杀毒软件进行查杀，确保无毒后使用；（4）任何人不得向他人提供含有计算机病毒的文件、软件、媒体；（5）任何人在从INTERNET或INTRANET上复制文件前均应先行杀毒；（6）任何人不得通过互联网访问反动、色情、邪教等非法站点；（7）任何人未经同意，不得使用他人的电脑，公用电脑除外；（8）业务数据、文件应严格按照要求妥善存储在网络上相应的位置或本地硬盘上；（9）使用人在离开电脑前应先退出系统锁定电脑或关机。
2、监管措施（1）由公司IT部负责所有计算机的病毒检测和清查工作；（2）按照病毒防范（含检测周期、时间、方式、工具及责任人）规范实施杀毒措施；（3）工作时间内INTERNET只对必需部门和员工开放，如因工作需要可提出申请，经批准后方可开通；（4）使用网络版杀毒软件，确保全网自动安装、全网自动升级，采用集中式管理、分布式杀毒的方式，大大提高全网查杀病毒的效率；（5）由IT部负责对防病毒措施的落实情况进行监督。
二：硬件保护及保养1、基本要求（1）除公司IT部外，任何人不得随意拆卸所使用的电脑或相关的电脑设备；（2）各计算机的硬件配置统一由IT部负责，任何部门或个人不得私自更改配置或调换；（3）IT部人员在拆卸电脑时，必须采取必要的防静电措施；（4）IT部人员在作业完成后或准备离开时，必须将所拆卸的设备复原；（5）员工对自己所使用的电脑负有日常清洁维护的责任，应按标准操作规范操作电脑，定期进行维护清洁，保持所用电脑及外设始终处于整洁和良好的状态；（6）对关键的电脑及设备应配备必要的断电继电设施以保护电源；（7）硬件设施或加密狗（与USB接口的设施除外）不得带电插拔；（8）应保持设备及其所在环境的清洁，不准在主机和显示器等设备上放置任何物品，下班时，务必关机切断电源。
计算机三级等保标准
计算机三级等保标准是指符合国家信息安全等级保护制度三级基本要求的计算机系统安全标准。
以下是关于计算机三级等保标准的800字介绍：
首先，计算机三级等保标准是依据国家信息安全等级保护相关制度制定的，旨在保障计算机及其网络的安全、稳定、可控，防范安全风险。
其次，三级等保标准要求应用系统能够抵御网络攻击、病毒入侵、数据泄露等安全威胁，具备灾难恢复能力，确保数据和系统安全。
具体来说，应用系统需要具备身份鉴别、访问控制、安全审计、数据保护、安全通信、安全检测、抗攻击等安全机制和安全技术措施。
同时，还需要建立完善的安全管理制度、人员管理制度、应急预案等安全管理体系，确保应用系统的安全稳定运行。
第三，三级等保标准要求网络结构符合相关安全要求，能够实现网络隔离控制、入侵检测和阻断、网络加密等安全技术措施。
同时，还需要建立完善的安全管理制度和安全管理体系，确保网络结构的安全稳定。
第四，三级等保标准要求设备和计算环境的安全符合相关要求，能够实现设备和计算环境的身份鉴别、访问控制、安全审计等安全技术措施和管理制度。
同时，还需要建立完善的安全管理制度和安全运维体系，确保设备和计算环境的安全稳定。
最后，三级等保标准还要求建立完善的安全管理流程和制度，包括安全事件处置、安全检查、安全培训等制度，确保安全管理体系的有效运行。
同时，还需要定期进行安全风险评估和漏洞扫描，及时发现和处置安全风险和漏洞。
总之，计算机三级等保标准是一个全面、严格的安全标准，需要综合考虑应用系统、网络结构、设备和计算环境等多个方面的安全因素，采取多种安全技术和措施，建立完善的安全管理体系和制度，以确保计算机及其网络的安全、稳定、可控。
计算机信息系统安全 标准
计算机信息系统安全标准随着计算机技术的快速发展和广泛应用，计算机信息系统的安全问题备受关注。
为了保护计算机信息系统不受未经授权的访问、篡改、破坏等威胁，各国都制定了一系列计算机信息系统安全标准。
本文将介绍计算机信息系统安全标准的基本概念、分类和应用。
一、计算机信息系统安全标准的概念计算机信息系统安全标准是指规范计算机信息系统安全防护措施的技术要求和操作指南，旨在确保计算机信息系统的保密性、完整性和可用性。
安全标准制定的目的是为了减少信息系统安全漏洞，提高系统的安全性。
二、计算机信息系统安全标准的分类根据不同的标准体系和制定机构，计算机信息系统安全标准可分为国际标准和国家标准两类。
国际标准是由国际标准化组织（ISO）制定的，是全球范围内认可的计算机信息系统安全标准。
ISO/IEC 27001信息安全管理体系标准是其中最重要的一个，它提供了信息安全管理的基本要求，并给出了信息安全管理体系的建立、实施、运行、监督、评审和改进的过程。
国家标准是各国政府或制定机构依据本国特点和需求制定的计算机信息系统安全标准。
以我国为例，计算机信息系统安全国家标准主要由国家信息安全标准化技术委员会制定，其中包括《信息安全技术个人信息安全规范》、《信息安全技术网络安全等级保护管理办法》等。
三、计算机信息系统安全标准的应用计算机信息系统安全标准的应用范围广泛，涵盖了各个行业和领域。
首先，在政府和军事领域，计算机信息系统安全标准的应用是非常重要的，可以确保国家机密信息和军事信息的安全。
其次，在企事业单位中，计算机信息系统安全标准的应用可以保护组织的核心业务、客户信息和财务数据的安全。
此外，在金融、电信、医疗等行业中，计算机信息系统安全标准的应用也是必不可少的，可以防止个人隐私泄露、网络攻击和数据篡改。
四、计算机信息系统安全标准的挑战和展望虽然计算机信息系统安全标准的应用已经取得了一定的成效，但仍然面临着一些挑战。
首先，计算机技术的快速发展导致信息系统安全标准的更新速度跟不上技术的进步。
计算机信息系统安全 标准
计算机信息系统安全标准计算机信息系统安全是指保护计算机及其相关设备、软件和数据免受未经授权的访问、更改、破坏或泄露的威胁的一系列措施。
在进行计算机信息系统安全的工作中，需要参考相关的标准来指导和规范。
一、国内外计算机信息系统安全标准的发展和现状1. 国际标准：- ISO/IEC 27001信息技术安全技术系列标准：ISO/IEC 27001是国际标准化组织和国际电工委员会在信息安全管理系统(ISMS)方面的合作成果，为组织提供了确定、实施、监督和持续改进信息安全管理系统的要求。
- NIST SP 800系列：美国国家标准与技术研究院（NIST）发布的一系列计算机安全标准，包括一般计算机安全标准（NIST SP 800-53）、云计算安全标准（NIST SP 800-144）等。
2. 国内标准：- 信息安全技术网络安全等级保护基本要求（GB/T 22240-2019）：该标准规定了网络安全等级保护的基本要求，包括安全需求划分、系统安全设计、安全评估与测试、安全管理和安全保障等。
- 信息安全技术信息系统安全评估标准（GB/T 22239-2019）：该标准规定了信息系统安全评估的基本要求，包括评估方法、评估管理、评估需求、评估过程和评估结果等。
二、计算机信息系统安全标准内容及参考1. 系统规划与设计：- 安全需求分析：明确系统安全目标和需求，识别系统面临的威胁、漏洞和风险。
- 安全架构设计：基于安全需求和风险评估结果，设计安全架构，包括身份认证、访问控制、数据保护等措施。
- 安全策略和政策：制定安全策略和政策，明确组织层面的安全要求和管理措施，包括密码策略、权限管理等。
2. 操作系统和应用软件安全：- 系统和软件配置安全：对操作系统和应用软件进行安全配置，禁用不必要的服务和功能，限制用户权限。
- 漏洞管理和补丁管理：及时获取、评估和应用系统和软件的安全补丁，修复已知漏洞。
- 安全审计和监控：建立日志审计机制，监控系统和软件的安全事件和异常行为，及时响应和处理。
计算机信息系统等级保护二级基本要求
测试验收包括功能测试、性能测试、安全测试等方面，以确保系统的稳定性和安全性。
测试验收过程中需要编写相应的测试用例和测试报告，并记录测试结果和问题。
测试验收通过后，需要进行系统移交和试运行，确保系统能够正常运行并满足用户需求。
系统运维管理
岗位设置：根据系统等级保护要求，设置相应的运维岗位，并明确岗位职责。
目的：降低成本、提高开发效率、专注于核心业务。
注意事项：选择合适的软件公司或团队、确保信息安全、建立有效的沟通机制。
适用范围：适用于需要快速开发软件或缺乏足够的技术资源的企业或组织。
制定系统建设方案
采购和配置硬件和软件
开发、安装和调试系统
制定系统运行和维护计划
测试验收的目的是确保系统建设符合国家相关标准和用户需求。
培训内容应涵盖安全政策、法律法规、技术防范措施等
培训对象应包括全体员工和第三方人员
培训效果应进行评估和记录
系统建设管理
确定安全需求和目标
实施安全措施和管理
设计安全体系架构
制定安全策略和规范
采购：应确保产品符合等级保护要求，并经过安全检测和认证
使用：应建立产品管理制度，包括使用权限、配置管理、维护保养等
要求：在二级基本要求中，安全区域边界应采取有效的安全措施，如防火墙、入侵检测系统等，以防止未经授权的访问和攻击。
注意事项：在设置安全区域边界时，应充分考虑系统的实际需求和安全风险，选择合适的安全措施和技术，并进行定期的安全审计和评估。
身份鉴别：采用多因素身份鉴别技术，确保用户身份的真实性。
访问控制：根据用户角色和权限，限制对资源的访问和操作。
建立安全审计机制，记录网络运行状况和安全事件，以便分析和追溯。
信息系统安全等级保护基本要求-中国网络安全等级保护网
信息安全等级保护培训教材《信息系统安全等级保护基本要求》公安部2007年7月目录1概述 (3)1.1 背景介绍 (3)1.2 主要作用及特点 (3)1.3 与其他标准的关系 (4)1.4 框架结构 (4)2描述模型 (5)2.1 总体描述 (5)2.2 保护对象 (6)2.3 安全保护能力 (6)2.4 安全要求 (8)3逐级增强的特点 (9)3.1 增强原则 (9)3.2 总体描述 (10)3.3 控制点增加 (11)3.4 要求项增加 (11)3.5 控制强度增强 (12)4各级安全要求 (13)4.1 技术要求 (13)4.1.1 物理安全 (13)4.1.2 网络安全 (19)4.1.3 主机安全 (24)4.1.4 应用安全 (29)4.1.5 数据安全及备份恢复 (35)4.2 管理要求 (38)4.2.1 安全管理制度 (38)4.2.2 安全管理机构 (40)4.2.3 人员安全管理 (43)4.2.4 系统建设管理 (47)4.2.5 系统运维管理 (52)本教材根据《信息系统安全等级保护管理办法》公通字[2007]43号和《关于开展全国重要信息系统安全等级保护定级工作的通知》公信安[2007]861号文件，围绕信息安全等级工作，介绍信息系统安全建设和改造过程中使用的主要标准之一《信息系统安全等级保护基本要求》（以下简称《基本要求》），描述《基本要求》的技术要求分级思路、逐级增强特点以及具体各级安全要求。
通过培训，使得用户能够了解《基本要求》在信息系统安全等级保护中的作用、基本思路和主要内容，以便正确选择合适的安全要求进行信息系统保护。
1概述1.1背景介绍2004年，66号文件中指出“信息安全等级保护工作是个庞大的系统工程，关系到国家信息化建设的方方面面，这就决定了这项工作的开展必须分步骤、分阶段、有计划的实施，信息安全等级保护制度计划用三年左右的时间在全国范围内分三个阶段实施。
计算机信息系统保密管理规定范本
计算机信息系统保密管理规定范本一、总则1. 为了保护计算机信息系统的安全，防止未经授权的访问、使用、披露和篡改等行为，制定本规定。
2. 本规定适用于本公司及其所有部门、员工和外部合作伙伴等与本公司相关的范围。
二、基本原则1. 保密责任原则：所有参与计算机信息系统的人员都应承担保密责任，不得泄露任何机密信息。
2. 严格访问控制原则：未经授权的人员不得访问计算机信息系统，且已授权人员仅限于其工作职责范围内的访问。
3. 用途限制原则：计算机信息系统仅用于本公司业务相关的目的，任何非法、违规的使用行为均禁止。
4. 安全审计原则：对计算机信息系统进行定期安全审计，及时发现和解决潜在的安全问题。
5. 安全教育培训原则：对参与计算机信息系统的人员进行安全教育培训，提高其保密意识和安全知识。
三、保密管理措施1. 访问控制措施(1) 分配唯一账户和密码给计算机信息系统的每个授权人员。
(2) 设置严格的权限控制，根据不同职责和需求，给予不同人员不同的访问权限。
(3) 定期更新账户密码，并要求授权人员采用强密码规范。
(4) 禁止共享账户和密码，严禁借用他人账户进行操作。
(5) 使用双因素认证或其他更加安全的认证方式，提高系统的访问控制能力。
2. 数据加密措施(1) 对计算机信息系统中的重要数据进行加密，确保数据在传输和存储过程中不被非法获取。
(2) 对敏感信息进行脱敏处理，确保敏感信息在系统中的使用不暴露真实内容。
(3) 采用强加密算法和安全协议，保障数据传输的安全性。
3. 安全审计措施(1) 定期对计算机信息系统进行安全审计，发现潜在漏洞和安全威胁，并及时采取措施解决。
(2) 监控计算机信息系统的登录、操作和访问记录，排查异常操作和异常行为。
4. 安全教育培训措施(1) 定期组织计算机信息系统安全知识培训，提高员工的保密意识和安全素养。
(2) 向员工普及信息安全的基本知识，包括密码安全、网络钓鱼等常见安全威胁。
(3) 强调员工在使用计算机信息系统时的责任和义务，警示员工遵守规定，确保安全使用。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
计算机信息系统安全的基本要求［作者：佚名转贴自：摘自法规汇编点击数：915 文章录入：admin ］根据公安部的有关规定，下面是计算机信息系统安全的基本要求：一、实体安全1、中心周围100米内没有危险建筑，主要指没有易燃、易爆、有害气体等存放的场所，如加油站、燃气管道、煤气站散发较强腐蚀气体的设施等。
2、设有监控系统，指对系统运行的外围环境、操作环境实施监控（视）的设施。
3、有防火、防水措施。
如机房内有火灾自动报警系统，有适用于计算机机房的灭火器材（气体灭火器），有应急计划及相关制度。
防水：指机房内无渗水、漏水现象，如果机房上层有用水设施需加防水层。
4、机房环境（温度、湿度、洁净度）达到要求。
作为中心机房温度应保持在18-24度，相对湿度保持在40-60％为好。
机房和设备应保持清洁、卫生，进出机房时要更衣、换鞋，机房的门窗在建造时应考虑封闭性能。
5、防雷（防雷装置、接地）措施。
机器设备应有专用地线，机房本身有避雷设施，设备（包括通信设备和电源设备）有防雷击技术设施。
6、有备用电源，如长时间ups，停电后可供电8小时或更长时间，或者自备发电机。
7、平时使用ups供电。
8、有防静电措施，如防静电地板、设备接地良好等。
9、为保证设备用电质量，采取专线供电，与空调、照明、动力等分开。
10、采取防盗措施，中心应有值班守卫，出入口安装防盗安全门，窗户安装金属防护装置。
二、网络通信安全1、装有通信设备的场所要设有标志，如“机房重地”、“请勿触摸”等醒目的文字、图形等。
2、重要的通信线路及通信控制装置要有备份，如备用网络通信线路，类似于调制解调器等服务于网络通信的设备也要有备用。
3、加密措施，包括网络通讯及软、硬件，即网络传输的信息要加密，软件、硬件有防止非法入侵的手段4、网络运行状态应有安全审计跟踪措施，能随时掌握网络用户的工作状况。
安全审计是指在计算机信息系统中模拟社会的监察机构对于系统（包括网络）的活动进行监视和记录的一种机制。
其主要功能有：监视和记录系统的活动情况，使影响系统安全性的存取以及其他非法企图留下线索，以便查出非法操作者；检测和判定对系统的攻击，及时提供报警和处理；提供审计报告，使系统安全管理人员能够了解运行情况；识别合法用户的误操作等。
5、网络系统有访问控制措施，根据工作性质划分网络用户的访问权限。
6、有工作站身份识别措施，以辨别该工作站是否本网络的合法用户。
三、软件与信息安全1、操作系统及数据库要有访问控制措施，按工作性质划分对操作系统及数据库的访问权限。
能对不正常的运行状况或操作及时发现并进行控制或纠正。
2、应用软件、系统信息能防止恶意攻击和非法存取。
3、对数据库及系统状态要有监控、防护措施。
（1）系统标识与验证，即将系统有关数据处理的有关成份如用户、数据文件、软件和硬件设置唯一的机器可识别的标识符，使这些组件在预先建立的存取控制规则的控制下进行运作。
（2）系统存取控制，是对处理状态下的信息进行保护的措施，它通过对所有直接存取活动进行授权的措施，对访问系统或系统资源（如数据库）的程序和行为进行是否合法的检查。
（3）隔离技术，其目的在于堵住安全缺口。
隔离技术使操作系统内受到破坏的部份不影响其它部份。
4、有用户身份识别措施，工作站开机有输入用户名、口令等要求。
5、系统用户信息要有异地备份，即备份信息不能存放在同一建筑物内，至少不能放在同一楼层，是否异地备份和备份的份数视信息数据的重要性和恢复的难度而定。
四、管理组织与制度安全1、有专门的安全防范组织和计算机安全员。
2、有健全的安全管理规章制度，如机房安全管理制度、设备、数据管理制度及人员调离的安全管理制度等。
例如在宣布人员调离的同时应马上收回钥匙、更换口令、取消帐户等，并向被调离人员申明其保密义务。
3、要有详尽的工作手册和完整的工作记录。
4、定期进行风险分析，制定灾难处理对策，如关键岗位人员的联络方法，备份设备如何取得，如何组织系统重建等。
5、建立有安全培训制度，进行计算机安全法律教育、职业道德教育及计算机安全常识教育。
6、制定有人员的安全管理制度，如关键岗位人员的定期考核、各部门人员职责的明确、参观中心机房人员的审批和陪同等。
五、安全技术措施1、有灾难恢复的技术措施。
这里所说的灾难，是指计算机系统受火灾、水灾或人为破坏而产生的严重的后果，灾难恢复是指灾难产生后迅速采取措施恢复计算机系统的正常运行。
2、采取开发工作与业务工作分离的措施3、有应用业务、系统安全审计功能4、有系统操作日志，如每天开、关机、设备运行状况等文字记录。
5、有服务器备份措施6、有计算机防病毒措施，即计算机预防、清除病毒的软、硬件产品。
2003-09-27金融机构计算机信息系统安全保护工作暂行规定（公安部、中国人民中国人民银行1998年8月31日发布）第一章总则第一条为加强金融机构计算机信息系统安全保护工作，保障国家财产的安全，保证金融事业的顺利发展，根据《中华人民共和国中国人民银行法》《中华人民共和国计算机信息系统安全保护条例》等有关法律、法规制定本暂行规定。
第二条金融机构计算机信息系统安全保护工作实行谁主管、谁负责、预防为主、综合治理、人员防范和技术防范相结合的原则，逐级建立安全保护责任制，加强制度建设，逐步实现科学化、规范化管理。
第三条金融机构计算机信息系统安全保护工作的基本任务是：预防、打击利用或者针对金融机构计算机信息系统进行的违法犯罪活动，预防、处理各种安全事故，提高金融机构计算机信息系统的整体安全水平，保障国家、集体和个人财产的安全。
第四条金融机构的主要负责人为本单位计算机信息系统安全保护工作的第一责任人。
金融机构的计算机信息系统安全保护领导小组、专职部门和专（兼）职安全管理人员以及其他有关人员应当协助第一责任人组织落实有关规定。
第五条金融机构应当建立同公安机关计算机管理监察部门的通报联系制度，及时通报有关计算机信息系统案件和事故情况，协助公安机关查处与本单位有关的案件和事故。
第六条公安机关计算机管理监察部门应当加强对金融机构计算机信息系统安全保护工作实施的指导和监督，及时查处金融机构计算机信息系统发生的案件和事故。
第二章安全防范设施第七条本暂行规定所称金融机构计算机信息系统安全防范设施包括计算机主机房的构筑防护设施和计算机信息系统及其相关的配套设备的技术防护设施。
第八条金融机构的数据处理中心计算机主机房应当符合下列基本要求：（一）主机房在建筑内应为独立区域。
（二）主机房周围100米内不得有危险建筑，如：加油站、煤气站等。
（三）主机房必须按照有关标准配置防火、防水、防盗设施并和当地公安机关110联网，以便报警。
（四）对不能停机的主机房必须采用双回路供电，或者配置发电机、持续工作八小时以上的UPS等设施。
第九条计算机设备必须有可靠接地，接地电阻不大于相应设备的技术要求，并装置必要的防雷电设施。
第十条金融机构应当在主机房、柜面等要害部位安装监控设备，落实值班监视制度。
第十一条对不能停机的计算机信息系统，金融机构应当配置必要的备份机，以便故障时切换使用。
第十二条重要的通讯控制装置及通讯线必须要有备份。
第十三条网络通讯设施要有安全技术措施。
第三章安全防范管理第十四条中国人民银行和各政策性银行、商业银行应当加强信息科技管理部门，并设立专职的计算机信息系统安全管理人员。
第十五条县级以上金融机构必须成立计算机信息系统安全保护领导小组，由分管领导任组长，并确定专职部门负责日常的计算机信息系统安全保护工作。
领导小组名单应当报同级人民银行计算机信息系统安全保护领导小组和公安机关计算机管理监察部门备案。
其专职部门应当接受公安机关计算机管理监察部门的工作指导和监督。
第十六条金融基层单位应当设立专职或者兼职计算机信息系统安全管理人员。
第十七条各级金融机构应当将计算机信息系统安全防范工作纳入职工的岗位责任制，并与其他工作同时进行检查考核。
定期对职工进行法制教育、安全意识教育和防范技能训练。
第十八条计算机信息系统安全保护领导小组负责本单位内各部门计算机信息系统安全管理和检查，并积极配合和支持公安机关计算机管理监察部门开展安全监察和查处案件。
第十九条计算机信息系统安全保护专职部门或者安全管理人员应当对本单位的主要计算机信息系统资源配置、技术人员构成进行登记，报同级公安机关计算机管理监察部门备案。
第二十条金融机构应当加强主要岗位工作人员的录用、考核制度，不适宜的人员必须及时调离。
对重要岗位计算机信息系统的安全情况经常进行检查，及时整改不安全隐患。
第二十一条计算机工作人员调离时，必须移交全部技术手册及有关资料，并更换计算机的有关口令和密钥。
涉及银行业务核心部分开发的技术人员调离本系统时，应当确认对本系统安全不会造成危害后方可调离。
第二十二条金融机构应当对与计算机有关的卫星天线、电源接口、通信接口等设备进行定期检查维护。
第二十三条金融机构应当建立计算机主机房的值班及人员出入管理登记等制度。
第二十四条金融机构应当建立操作人员密码制度，分清各自责任。
密码修改要有记录。
第二十五条金融机构应当实行权限分散原则。
明确系统管理员、系统操作员、终端操作员、程序员的权限和操作范围。
建立系统运行日志，每天打印重要的操作清单。
日志信息长期保存，以备稽查。
第二十六条金融机构应当对易受病毒攻击的计算机信息系统，定期进行病毒检查。
用介质交换信息要按规定手续管理，并进行病毒预检，防止病毒对系统和数据的破坏。
第二十七条金融机构对证券交易、储蓄、会计等业务的计算机数据处理，应当建立严格的管理措施，以防止各类事故的发生。
第二十八条金融机构应当用软、硬件技术严格控制各级用户对数据信息的访问权限，包括访问的方式和内容。
第二十九条金融机构应当对重要的数据建立数据备份制度，并做到异地保存。
第三十条金融机构应当对贮有重要数据的故障设备，交外单位人员修理时，本单位必须派专人在场监督。
第三十一条金融机构应当建立废弃数据、介质的处理制度。
第三十二条金融机构修改金融业务程序和系统参数，必须履行一定的审批手续，并做好文档资料的相应修改。
第三十三条金融机构的开发系统应当和业务系统分离，程序员只能在开发系统上工作。
业务用机不得用于项目开发，不得含有源程序、编译工具、连接工具等工具软件，不使用与业务无关的任何存贮介质。
第三十四条系统管理员不能兼任柜面及事后稽核等工作，不得参与相关软件开发。
参加过应用系统开发的人员，不得担任相应系统的管理员。
第三十五条金融机构启用新的应用软件，应当按规定手续交系统维护人员安装到业务系统，并做好日志记录。
第三十六条重要系统应用软件运行过程中出现异常现象，金融机构应当立即报告本级银行安全管理职能部门，做好详细记录，经领导同意后，由系统管理人员进行检查、修改、维护。
第三十七条金融机构应当建立定期的系统和程序备份制度，异地保存两个以上最新的版本及其目录打印清单，以备系统和程序的恢复。