第三章 持续保障要求
第二十条 核心机构和经营机构应当保障充足、稳定的信息技术经费投入,配备足够的信息技术人员。
第二十一条 核心机构和经营机构应当根据行业规划和本机构发展战略,制定信息化与信息安全发展规划,满足业务发展和信息安全管理的需要。
第二十二条 核心机构和经营机构开展信息系统新建、升级、变更、换代等建设项目,应当进行充分论证和测试。
第二十三条 核心机构交易、行情、开户、结算、通信等重要信息系统上线或者进行重大升级变更时,应当组织市场相关主体进行联网测试,并按规定进行报告。
第二十四条 核心机构和经营机构应当规范开展信息技术基础设施和重要信息系统的运行维护,保障系统安全稳定运行。
第二十五条 核心机构应当指导市场相关主体正确运行维护与本机构互联的系统和通信设施。
第二十六条 核心机构和经营机构应当建立数据备份设施,并按照规定在同城和异地保存备份数据。
第二十七条 核心机构和经营机构应当建立重要信息系统的故障备份设施和灾难备份设施,保证业务活动连续。
第二十八条 核心机构和经营机构应当按照规定向中国证监会指定的证券期货业数据中心报送数据。报送的数据必须真实、完整、准确、及时。
证券期货业数据中心应当按照中国证监会的有关规定开展行业数据的集中保存工作,确保数据的安全、完整、可靠。
第二十九条 核心机构负责建设和运营行业信息技术公共基础设施。
第三十条 核心机构和经营机构应当加强信息安全保密管理,保障投资者信息安全。
第三十一条 核心机构和经营机构应当建立网络与信息安全风险检测、监测、评估和预警机制,发现风险隐患应当及时处置,并按照规定进行报告。
第三十二条 核心机构和经营机构应当建立信息安全应急处置机制,及时处置突发信息安全事件,尽快恢复信息系统的正常运行,并按照规定进行报告,不得迟报、漏报、瞒报。
核心机构和经营机构应当对信息安全事件进行内部调查、责任追究和采取整改措施,并配合中国证监会及其派出机构对事件进行调查处理。
与核心机构和经营机构发生信息安全事件相关的软硬件产品或者技术服务供应商,应当配合相关调查工作。
第三十三条 核心机构应当每年组织市场相关主体进行一次信息安全应急演练,并于实施前15个工作日向中国证监会报告。
第三十四条 核心机构和经营机构应当对信息技术人员进行培训,确保其具有履行岗位职责的能力。
第三十五条 核心机构和经营机构应当建立信息安全内部审计制度,定期开展内部审计,对发现的问题进行整改。
第四章 产品及服务采购要求
第三十六条 核心机构和经营机构应当建立供应商管理制度,定期对供应商的资质、专业经验、产品和服务的质量进行了解和评估。
第三十七条 核心机构和经营机构在采购软硬件产品或者技术服务时,应当与供应商签订合同和保密协议,并在合同和保密协议中明确约定信息安全和保密的权利和义务。
涉及证券期货交易、行情、开户、结算等软件产品或者技术服务的采购合同,应当约定供应商须接受中国证监会及其派出机构的信息安全延伸检查。
第三十八条 核心机构和经营机构采购的软硬件产品或者技术服务应当满足审慎经营和风险管理的要求。软硬件产品或者技术服务不符合要求,影响核心机构和经营机构持续经营的,中国证监会有权要求核心机构和经营机构予以改进或者更换。
第五章 行业自律
第三十九条 证券期货行业协会应当制定信息技术指引,督促、引导会员执行国家和行业信息安全相关规定和技术标准。
第四十条 证券期货行业协会应当引导行业加强信息技术人才队伍建设,定期组织信息技术培训和交流,提高信息技术人员执业素质。
