《期货公司网上期货信息系统技术指引》解读

《期货公司网上期货信息系统技术指引》

解读

一、出台《期货公司网上期货信息系统技术指引》（以下称《指引》）背景（一）、电子商务发展迅速（阿里巴巴、淘宝网、网银、证券、期货）（二）、安全问题日趋严峻（银行、证券、期货网上安全问题）２００４年４月，“网银大盗”。２００４年11月，“证券大盗”。期货方面：２００３年，“期货精灵”。

针对网上证券交易可能出现的安全风险（如：盗买盗卖）证监会于2008年年底发布《关于加强对投资者网上交易安全保护的通知》（证监办发〔2008〕136号）期货公司信息安全问题现状：在证券期货业中期货网上交易比例最高(90%以上)但安全却最为薄弱

问题原因：1.安全管理意识与制度建设问题；2.投入问题(人员、资金)；3.技术人员知识结构问题；4.供应商问题。

前期期货公司网站检查、复查情况：主要存在八大安全问题（漏洞）：1.SQL注入；2.弱口令、口令验证不足；3.网站被注入木马；4.后台管理权限泄漏；5.跨站脚本；6.目录遍历；7.HTTP协议追踪；8.敏感信息泄露。

（三）、技术监管和行业自律要求

2008年5月，证监会成立了证券期货业信息化工作领导小组及其办公室和专家委员会。

中期协成立了信息技术部，同时由证监会、交易所、交易所技术公司、中国保证金监控中心、期货公司等单位相关人员组成信息技术委员会。1.制定相关工作制度2.制定年度重点工作计划

关键要求：形成信息安全与业务资格审批联动机制（证监办发[2008]63号）。二、《指引》框架体系设计思路

（一）、原来思路：总则后分网上交易服务端、网上交易客户端、门户网站、移动期货等（二）、修改思路：总则、基本要求、主要安全威胁及防范措施、运营管理、应急处置、附则共6章（三）、成文过程：中期协IT委员会形成初稿→反复讨论、认真修改→形成统一文稿由协会向期货公司征求意见→充分吸收→根据证监会信息中心要求进一步完善→中期协理事会审议通过→证监会核准→中期协2009年6月23日正式发布（前后形成有十几稿之多）。三、《指引》条款解读

（一）、第一章总则（第1及2条）：制定《指引》的目的；适用范围。（第3条）描述期货公司对其网上期货信息系统采取技术和管理措施的保障目的要求:

网上期货信息系统：安全、可用；网上期货业务：连续、可靠客户信息：保密、完整。

（第4条）此条为指引中所用名词的释义：互联网（注意：指引中指广义的，不只是包括一般意义下的互联网）；网上期货业务（主要指：网上交易、网上行情、数据查询、信息发布等）；网上期货信息系统（主要指：网上期货服务端、客户端）；网上期货客户端（客户使用的计算机设备、网络设备及其软件，一般用于获得交易、行情、资讯等服务。）；网上期货服务端（期货公司用于提供交易、行情、资讯等业务接入的计算机设备、网络设备、软件及专用通讯线路等（包括网站））。第三方（是指除期货公司及其客户以外的其他方。）(二)、第二章基本要求（第5条）相关设备设置属地要求：核心服务器以及记录和存储客户信息和交易数据的设备，应设置在境内。（第6条）网站ICP许可证要求。(第7条）网上期货信息系统营运管理要求：自主运营、自主管理（托管方式怎么办？托管可以，但有管理上的要求)。（第8条）开展网上期货业务岗位设置要求：应设置技术和业务管理岗位（这里指专、兼均可）。（第9条）网上期货业务风险管理要求：纳入公司风险管理总体框架和内部控制体系中（作为其中的一部分）。（第10条）对期货合同风险揭示要求：有专门的条款充分揭示风险。（第11条）对系统的安全信息揭示要求：（一）在客户下载软件和登录系统时进行揭示；（二）系统提供预留验证信息，防仿冒的期货信息系统。(第12条）对网上交易软件的安全防护能力要求：（一）采取安全方式提供网上交易客户端软件。（二）对通过互联网传送的重要信息（如：客户信息、交易指令等）加密，且有足够的加密强度和抗攻击能力。

(第13条）对网上期货用户身份认证要求：客户端应采用多种认证方式与服务端进行身份认证：（一）用户身份认证方式除账号、口令、验证码外，还应提供一种以上强度更高的身份认证方式（客户端电脑或手机特征码绑定、数字证书、动态口令等）供客户选择采用（注意是供选择而非强制）；

（二）用户身份认证信息应在服务器上加密存放，客户的账号、口令等身份信息不可明文存放在数据库表或配置文件中。警示案例：以前有一家供应商的软件系统就是明文存放方式的！（第14条）网上期货服务端日志信息保存要求：能产生、记录录并集中存储储必要的日志志信息（如客客户信息、交交易信息和IP地址等））。（第15条））服务端安全全域划分、安安全隔离要求求：对服务端端各个子系统统合理划分安安全域；有效效隔离；对安安全措施的持持续调整优化化。（第16条））对实时监控控和防范非法法访问的要求求：具备相关关功能或有相相关设施；对相关日志文文件保存要求求：能保存关关键软件（如如操作系统、、数据库系统统、网络监控控系统）的日日志文件和审审计记录。（第17条））对开展移动动期货业务的的要求：评估供应商的的资质，检查查移动期货技技术安全方案案并留档备查查。（第18条））网上行情和和资讯信息要要求：来源合合法；至少两套不同同的网上行情情系统，且行行情服务器置置于至少两个个不同的机房房。（第19条））对采取外包包网上期货信信息系统方式式的要求:尽尽职调查；；签署服务协协议（第20条））开发、测试试与运营要求求：开发人员员、开发环境境应与运营人人员、生产环环境分离；开开发人员访问问、修改须先先获授权。（第21条））对不同互联联网运营商的的互联瓶颈要要求：保证系系统在局部灾灾难或灾害发发生时的对外外服务质量和和能力（具体体做法自定））。（第22条条）培培训要要求:安全全知识识更新新，管管理能能力提提高。。(三））、第第三章章主主要要安全全威胁胁及防防范措措施（第23到到36条））目前前主要要安全全问题题：包括但但不限限于：：（一））端口口漏洞洞攻击击;（（二））口令令攻击击;（三））注入入式攻攻击;（（四四）溢溢出攻攻击;（五））木马马程序序;（（六））拒绝绝服务务攻击击;（七））病毒毒攻击击;（（八））垃圾圾邮件件攻击击;（九））非授授权访访问攻攻击;（（十十）内内容篡篡改攻攻击;（十一一）信信息偷偷窃;（（十十二））业务务行为为抵赖赖；（十三三）跨跨站脚脚本和和协议议追踪踪攻击击等。。逐条释释义并并给出出目前前应对对该攻攻击的的一些些技术术方法法。（道高高一尺尺魔高高一丈丈；永永无止止境的的角力力！））（第37条条）此此条表表明除除应防防范第第23到36条条列出出的安安全威威胁外外，还还应及及时根根据安安全防防范新新技术术的应应用以以及出出现的的新的的安全全威胁胁情况况及时时调整整、加加强安安全策策略和和安全全管理理。（与时时俱进进！））（四））、第第四章章运运营营管理理（第38条条）实实时监监控客客户账账号异异常情情况要要求：：采取取技术术、人人工相相结合合方式式，发发现异异常情情况及及时提提醒客客户并并留存存记录录备查查）。。问题：：“异异常情情况””如何何定义义？（第39条条）安全访访问控控制要要求：：建立立业务务服务务及端端口明明细表表；关关闭与与业务务无关关的服服务及及端口口；端端口开开放需需要审审核和和批准准。（第第40条条））对对网网络络流流量量和和应应用用系系统统实实时时监监控控要要求求：：对对网网络络流流量量和和应应用用系系统统健健康康状状况况进进行行实实时时监监控控和和事事后后安安全全审审计计；；每每日日检检查查分分析析相相关关日日志志信信息息，，检检查查分分析析报报告告应应留留档档备备查查。。（第41条）对对网站内内容发布布管理要要求：对对网页内内容监控控；对有有害信息息过滤。。（第42条）客客户服务务要求：：尽可能能统一的的客服电电话、域域名、短短信号码码；明确确正确途途径、故故障处理理办法、、联系方方式等。。（第43条）管管理与操操作权限限要求：：有管理理和操作作权限规规定、责责任划分分和操作作流程；；对操作作记录妥妥善保管管。（第44条）系系统备份份和容量量要求：：有可靠靠的热备备或冷备备措施；；互联网网接入带带宽、网网络设备备、系统统设备，，应用软软件处理理能力等等应有足足够的余余量；对对服务能能力及时时评估并并扩容。。（第45条）数数据备份份和故障障恢复要要求：应应纳入公公司整体体业务数数据备份份和故障障恢复措措施中；；对配置置参数、、系统日日志等重重要数据据进行备备份，并并记录操操作日志志。（第46条）变变更管理理要求：：上线或或重大版版本升级级，应先先制定详详细方案案；测试试、维护护和升级级应选择择非交易易时间，，需暂停停业务服服务的应应至少提提前三天天公告，，因非期期货公司司自身原原因无法法做到提提前三天天公告的的应至少少提前一一天公告告。（第47条）安安全事故故报告要要求：及及时向中中期协报报告，必必要时还还应向公公安部门门报案。。（第48条）发发现假冒冒非法活活动时处处置要求求：及时时向公安安部门报报案；同同时通过过网站、、电话语语音提示示或短信信平台等等多种渠渠道提醒醒客户；；书面报报中期协协。（五）、、第五章章应应急处理理（第49条到52条））应急处处理预案案及演练练要求：：纳入公司司总体应应急处理理预案体体系中；；应急处处理预案案原则：：统一领领导、快快速响应应、协调调配合、、最小损损失。针对不同同情况（（设备故故障、通通信中断断、电力力中断、、应用软软件故障障、误操操作、病病毒攻击击、网络络攻击、、自然灾灾害等））制定对对应的应应急恢复复操作流流程或步步骤；至至少每半半年演练练一次，，演练记记录留存存。应急预案案的演