住房公积金业务管理信息系统建设指引.doc

住房公积金业务管理信息系统建设指引第一章 总则第一条 为进一步指导住房公积金业务管理信息系统建设和管理，提高各地住房公积金中心的信息化管理水平，有效控制技术风险，促进信息系统规范化与标准化建设，依据住房公积金管理条例、住房公积金行政监督办法(建金管200434号)、人民币利率管理规定的通知（银发199977号）、计算机信息系统安全保护等级划分准则、电子计算机机房设计规范等制定本技术指引。第二条 本技术指引中的住房公积金管理中心指的是中华人民共和国境内依法设立的设区城市住房公积金管理中心、以及机构暂时未调整到位的分中心; 本技术指引中的条例指的是住房公积金管理条例。第二章 管理组织体系第三条 住房公积金管理中心应建立健全对住房公积金归集、提取、贷款业务的管理的组织体系和配套的业务体系，业务与技术有机结合，相互支持。第四条 住房公积金管理中心应加强内控管理，推荐引入ISO9000质量管理体系对中心进行管理。第五条 住房公积金管理中心应设立信息主管（或同等职责）岗位，信息主管负责住房公积金管理系统建设项目的规划、论证、实施以及其它与业务管理系统相关的业务需求设计、系统开发、运营管理、技术审计、安全保障等工作的管理与组织协调。第六条 住房公积金管理中心应对业务管理信息系统及其安全管理进行合规性审核、技术审计及定期风险评估。第七条 住房公积金业务管理信息系统应实现业务运作与技术支持之间的相互隔离，信息技术人员、财会人员之间与其它业务人员之间职责不得相互交叉。第八条 对各重要岗位的人员上岗要有相应的资质要求和必要的上岗培训，对重要岗位人员建立轮岗制度和定期培训制度。第三章 机房和运行环境第九条 实施住房公积金信息化管理应建设相应的中心机房。机房建设、机房环境、供电系统等应符合电子计算机机房设计规范（GB50174）。第十条 中心机房监控应达到以下要求：1. 机房进出口和重要通道应安装监视系统和门禁系统；监视资料应完备、清晰，妥善存放，便于检查且保存足够长的时间；2. 安装环境监控系统和设备监控系统，对环境和设备的异常情况及时报警。第十一条 中心机房管理应达到以下要求：1. 建立人员和设备的进出管理制度；2. 实施7x24小时安全保卫值班； 3. 建立机房设备管理制度，并根据设备的运行状况定期对其进行更新和保养，提高设备的可靠性，降低故障隐患；4. 机房供电系统由专人负责管理，定期进行检修和维护；5. 对机房的照明、空调、防火、门禁等机房环境系统进行定期检查，确保其处于正常工作状态；6. 严禁易燃、易爆、强磁及其它与机房工作无关的物品进入机房。第四章 网络和通信第十二条 用于住房公积金管理系统的核心网络应做好统一规划。对于核心网络的建设应遵循高可靠性、高安全性、高性能、可扩展性、可管理性、标准化等原则。第十三条 核心网络的建设应达到以下要求：1. 网络承建集成商应具有国家有关部门颁发的二级以上（含二级）计算机信息系统集成资质证书。2. 网络设备的性能和通信带宽应保证满足业务需求；3. 网络不应存在单点故障，其交换机、路由器和防火墙应有热备份；4. 针对不同业务或应用应采取适当技术手段，以提高网络安全性；5. 与互联网、外联单位的连接应采用可靠的技术隔离手段（如防火墙、安全网关等），以确保网络的安全。第十四条 核心网络的管理应达到以下要求：1. 建立健全网络管理制度，采用统一的网络管理策略；2. 设置专职、双岗网络管理员，实行网络分级管理；网络管理员应具备相应的素质和技能，持有相应的资格证书；3. 配备网管系统，对网络进行监控、管理和维护，重要网络设备开启日志和审计功能；4. 建立完整的网络技术文档，定期对网络设备和线路进行巡检和维护，详细记录网络故障处理过程。第十五条 核心网络的安全应达到以下要求：1. 建立健全网络安全体系，统一制定网络安全策略，网络安全策略遵循技术保护和管理保护相结合的原则；2. 应设置专门的安全管理岗位，配备专业的安全管理人员；3. 利用成熟的网络安全技术，防止非法访问、攻击和破坏计算机网络等活动；4. 所有可配置的网络设备按最小安全访问原则设置访问控制权限，关闭不必要的端口及服务，妥善保管和定期更换网络设备的远程访问口令； 5. 对于来自互联网的访问采用可靠的身份认证、访问控制和安全审计措施，防止非法接入和非法访问；6. 建立完善的计算机病毒防范制度：（1） 设置专人负责计算机病毒防范工作，统一组织和实施网络的计算机病毒防范工作；（2） 建立计算机病毒预警机制，严格执行病毒检测及报告措施；（3） 应安装经国家安全部门认证的正版网络防病毒软件；（4） 应及时更新防病毒软件版本、杀毒引擎和病毒库；（5） 建立病毒监控中心，对网络内计算机感染病毒的情况进行监控。7. 定期对网络进行安全检查，发现问题，及时解决, 并记录存档。第五章 系统建设第十六条 按照条例第十三条的规定住房公积金管理中心应该为缴存人建立住房公积金个人明细帐户；同时，推荐建立以中心为核算主体的个人贷款管理系统。第十七条 住房公积金业务系统的数据应符合住房公积金基础数据标准的要求。第十八条 住房公积金管理中心自建业务管理信息系统时，应实现业务数据与财务数据一体化无缝接口，保障业务数据与财务数据的一致性。第十九条 按照条例第三十六条的规定，职工有权查询本人的缴存、提取情况。住房公积金管理中心应该提供有效的服务渠道供职工查询核对帐户信息。推荐提供网站查询、呼叫中心查询和住房公积金银行联名卡查询系统。第二十条 住房公积金业务管理信息系统应提供统计报表自动生成功能，满足上级部门报表报送的要求。第二十一条 住房公积金业务管理信息系统在建设过程中，应提供数据接口，满足稽核、审计及监控等要求。第二十二条 住房公积金业务管理信息系统应实现一人只能开立一个公积金帐户，一人只能有一笔未还清贷款。第二十三条 住房公积金业务管理信息系统建设过程中，应提供贷款风险防范功能，推荐实现贷款机器自动审批，避免人为因素违规放贷。第二十四条 住房公积金业务管理信息系统的个人归集帐户的结息算法应符合中国人民银行印发人民币利率管理规定的通知（银发199977号）的要求，职工个人住房公积金存款，当年归集的按结息日挂牌公告的活期存款利率计息，结息后转入上年结转户；上年结转的按结息日挂牌公告的三个月定期整存整取存款利率计息。公积金存款的结息日为每年的6月30日。第二十五条 住房公积金管理系统建设总体上至少还应达到如下要求：1.项目管理过程应符合国家有关法规规定；2.系统功能应符合国家颁布的法律法规、业务规则和住房公积金管理中心的内控要求； 3.核心部分与外围系统之间的接口定义应清晰明确、整体技术架构及数据库结构设计应便于维护；4.核心业务系统至少应按照99.99可用性和7x8小时连续性指标对住房公积金管理系统进行整体设计；5.系统最大处理能力应达到日常实际处理量的5倍以上；6.应建立灾难备份系统，主备系统实际切换时间应少于60分钟，灾备系统处理能力应不低于主用系统处理能力的50，通信线路应分别接入主备系统。有条件时可采用主、备系统处理能力相同、轮换交替使用的双系统模式；7.应配备独立的测试系统。测试系统应具有与主用系统相同的技术架构，物理上应具有与主用系统完全独立的通讯、主机及操控系统；8.安全等级应达到计算机信息系统安全保护等级划分准则（GB17859-1999）二级以上（含二级）。第二十六条 系统的性能和功能应达到以下要求：1. 在系统构架和功能上，保证客户端操作与数据库服务端的物理无关性；2. 具有完备的操作日志和错误报告；3. 业务数据在通信网络上以加密方式传输；4、客户口令等关键数据不得以明码存放；5. 防止异常中断后非法进入系统；6. 能防止强力试探口令，并具有超时自动锁定功能；7. 具有防止数据的重发攻击、篡改和伪造等功能；8. 建立工作站点与功能操作相关联的全面安全控制机制；9. 保证系统的可扩展性与可维护性。第二十七条 系统建设过程中，应实行第三方项目监理和项目审计。在系统交付使用前，应组织公司相关部门进行项目验收。第二十八条 系统的功能设计与技术实现要最大限度地符合规范化业务发展的实际需求，禁止对违规业务功能的设计与实现。第六章 运行管理第二十九条 应建立系统运营管理组织，负责系统的运行和管理。 第三十条 有条件的中心可以设置专职的应用管理员、系统管理员、网络管理员、数据管理员和安全专员，分别负责系统的应用管理、系统管理、网络管理、数据管理和安全管理。没有条件的至少设置信息系统管理员岗位。第三十一条 系统安全管理应达到以下要求：1在系统构架上支持前台操作与后台数据的分离； 2在系统管理和业务操作的各层面建立相应的操作权限制约机制：（1） 实行权限集中管理，统一授权；（2）在权限体系中支持前台业务操作、中台业务管理与后台业务支持的分离；3帐户和口令专人专用，加强对缺省帐户和口令的管理；4禁止为客户设置统一的、有规律的、易猜测的初始口令；5所设置的管理员口令应具有足够的强度，由字母、数字、特殊字符等混合组成，并定期更换； 第三十二条 应建立系统运行管理考核体系，设立考核指标，完善奖惩制度。第三十三条 应制定规范化的系统上线流程：1.未经严格、完备测试，系统不得上线运行；2.评估系统上线风险，做好相应的应急和备份计划；3.系统通过规定流程审批后，才能获准上线。第三十四条 系统的软件升级和变更、系统设置变更等操作应建立规范的流程；应建立完整、规范的系统测试操作流程，对测试工作的计划、实施及总结做出详细的规定。对于在生产系统上进行的测试工作，必须制定详细的系统及数据备份、测试环境搭建、测试后系统及数据恢复、生产系统审核等计划，确保生产系统的安全。第七章 灾难备份第三十五条 设区城市住房公积金管理中心应建立灾难备份中心，灾难备份中心与中心机房应有足够的安全距离。第三十六条 灾备机房的等级应达到电子计算机机房设计规范（GB50174-93）B类以上（含B类）；第三十七条 应制定完善的灾难备份中心管理制度、应急预案和应急计划。第三十八条 应定期组织灾难备份应急预案和应急计划的演练，至少每年二次，并根据演练的结果和发现的问题进行总结，对系统和应急方案进行优化及完善。第三十九条 灾难备份中心应配备足够的运行管理人员。第四十条 没有能力建立灾难备份中心的城市至少要建立t+1天的数据异地备份机制。第八章 技术委托与外包第四十一条 住房公积金管理中心在保障安全的前提下，可以将系统集成、应用开发、运营维护、设备托管、网络通信、技术咨询等专业服务按市场公平竞争的原则外包给具有国家相应资质的专业服务商（包括产品提供商、系统开发商、运行服务商）。第四十二条 专业服务商应具备ISO9000或CMM质量管理体系认证，系统开发商三年内应具有良好的经营效益，运营服务商核心服务人员应该具有丰富的公积金行业经验和软件执业资格。第四十三条 住房公积金管理中心实施技术外包，其安全运营的最终管理责任依然由住房公积金管理中心承担。住房公积金管理中心与技术外包方应签订详细的商业契约或合同，明确约定相关责任。外包服务商根据合同约定承担相应的经济责任和法律责任。第四十四条 住房公积金管理中心应重视知识产权保护，业务管理系统的版权应该归公积金管理中心所有。第四十五条 住房公积金管理中心应重视持续的技术维护与服务，应与住房公积金管理系统有关的产品提供、系统开发和运营服务厂商签订规范的售后服务合同。第四十六条 住房公积金管理中心应建立产品提供、系统开发和运营服务厂商的退出机制，以保障其退出之后住房公积金管理系统的持续运行和系统重要数据的安全。由住房公积金管理中心组织定制开发的核心业务系统，应要求开发商提供源代码或对源代码实行第三方托管。第九章 应急恢复与事故处理第四十七条 住房公积金管理中心应根据应急计划和应急预案妥善处置住房公积金管理系统发生的重大技术故障。应急预案中，应规定各业务部门（包括一线客户服务人员）的应急处置措施和相应职责分工，以及必要的业务规程和保障机制。在系统故障时做好缴存单位和缴存人的安抚工作，保护缴存人的利益。第四十八条 住房公积金管理中心应建立内部的责任机制，坚持安全事故问责制度。第四十九条 住房公积金管理中心在与技术服务厂商签订的服务协议中应包含与技术故障相关的责任条款，在条款中应揭示风险，明确权责义务，确定补偿措施与限额，保障双方的合法权益。第五十条 技术故障影响交易2小时以上构成重大安全事故，应及时上报上级监管部门。 第十章 技术监管第