6月9日，中國期貨業(yè)協(xié)會(huì)（簡稱中期協(xié)）公告稱，近日向期貨公司會(huì)員發(fā)布《期貨公司網(wǎng)絡(luò)和信息安全三年提升計(jì)劃（2023-2025）》（以下簡稱《提升計(jì)劃》），旨在引導(dǎo)期貨公司持續(xù)提升網(wǎng)絡(luò)安全工作能力和水平，防范化解系統(tǒng)性風(fēng)險(xiǎn)，為服務(wù)市場功能進(jìn)一步發(fā)揮和行業(yè)高質(zhì)量發(fā)展提供堅(jiān)實(shí)保障。

根據(jù)中期協(xié)公告，《提升計(jì)劃》圍繞提升期貨公司信息技術(shù)治理能力，加強(qiáng)系統(tǒng)運(yùn)行維護(hù)管理，提升網(wǎng)絡(luò)安全保障水平，培育自主研發(fā)能力四方面實(shí)際需要，提出了工作任務(wù)并配套制定了保障措施。不過，公告并未披露具體內(nèi)容。

券商中國記者獨(dú)家從業(yè)內(nèi)獲得了《提升計(jì)劃》全文，隨《提升計(jì)劃》下發(fā)的還有一份《任務(wù)清單》。相關(guān)文件顯示，共有四大類21項(xiàng)工作任務(wù)。其中，壓實(shí)網(wǎng)絡(luò)安全管理責(zé)任、強(qiáng)化信息技術(shù)組織架構(gòu)作用、制定信息科技和網(wǎng)絡(luò)安全規(guī)劃、提升全員網(wǎng)絡(luò)安全意識(shí)四項(xiàng)任務(wù)要求今年完成。就具體工作來看，年內(nèi)需要期貨公司完成的包括明確相關(guān)責(zé)任人、制定配套工作規(guī)劃、建立全員安全教育培訓(xùn)機(jī)制等。

【資料圖】

四大類21項(xiàng)工作任務(wù)、4項(xiàng)要求年內(nèi)完成

券商中國記者獲得的《提升計(jì)劃》全文顯示，主要任務(wù)有“著力提升信息技術(shù)治理能力”、“持續(xù)加強(qiáng)系統(tǒng)運(yùn)行維護(hù)管理”、“努力提升網(wǎng)絡(luò)安全保障水平”和“積極培育自主研發(fā)能力”四大類，合計(jì)共21項(xiàng)工作任務(wù)。

首先，著力提升信息技術(shù)治理能力。包含6項(xiàng)工作任務(wù)：一是壓實(shí)網(wǎng)絡(luò)安全管理責(zé)任。要求期貨公司建立健全公司網(wǎng)絡(luò)和信息安全管理制度體系，明確相關(guān)責(zé)任人、責(zé)任部門及職責(zé)分工。第一責(zé)任人原則上由公司主要負(fù)責(zé)人擔(dān)任，直接責(zé)任人由公司分管信息科技工作的高級(jí)管理人員擔(dān)任。二是強(qiáng)化信息技術(shù)組織架構(gòu)作用。要求公司信息技術(shù)治理委員會(huì)要吸納科技、業(yè)務(wù)、合規(guī)、風(fēng)險(xiǎn)管理等條線人員，定期召開會(huì)議。三是制定信息科技和網(wǎng)絡(luò)安全規(guī)劃。要求期貨公司結(jié)合公司實(shí)際情況，制定配套的信息科技和網(wǎng)絡(luò)安全工作規(guī)劃。四是持續(xù)加大信息技術(shù)投入。要求公司年度信息技術(shù)預(yù)算中，網(wǎng)絡(luò)安全相關(guān)預(yù)算占新系統(tǒng)建設(shè)預(yù)算比例不低于5%。行業(yè)總體信息技術(shù)投入年均增長率力爭達(dá)到20%，頭部公司信息技術(shù)投入年均增長率力爭達(dá)到30%。五是重視信息科技人員隊(duì)伍建設(shè)。六是優(yōu)化信息技術(shù)管理體系。

其次，持續(xù)加強(qiáng)系統(tǒng)運(yùn)行維護(hù)管理。包括5項(xiàng)工作任務(wù)：一是評(píng)估完善信息技術(shù)制度流程。期貨公司應(yīng)對(duì)照法律法規(guī)、監(jiān)管規(guī)定、自律規(guī)則制修訂情況，每年至少開展一次信息技術(shù)管理制度和流程評(píng)估，根據(jù)評(píng)估結(jié)果及時(shí)開展制度制修訂。二是加強(qiáng)制度執(zhí)行落實(shí)和IT審計(jì)。相關(guān)執(zhí)行情況記錄至少保存1年，每年至少開展1次覆蓋采購、運(yùn)維、開發(fā)、重大變更等關(guān)鍵環(huán)節(jié)的內(nèi)部審計(jì)或外部審計(jì)。三是運(yùn)用新技術(shù)提升運(yùn)維效能。要求積極研究使用自動(dòng)化運(yùn)維工具降低人工操作風(fēng)險(xiǎn)，嘗試建設(shè)一體化運(yùn)維監(jiān)控監(jiān)測平臺(tái)，積極引入運(yùn)維數(shù)據(jù)可視化等技術(shù)等。四是加強(qiáng)災(zāi)備能力建設(shè)。五是提升應(yīng)急處置能力。

再者，努力提升網(wǎng)絡(luò)安全保障水平。其中有6項(xiàng)工作任務(wù)：一是評(píng)估完善網(wǎng)絡(luò)安全架構(gòu)。要求全面盤點(diǎn)信息技術(shù)資產(chǎn)，定期梳理評(píng)估網(wǎng)絡(luò)安全架構(gòu)體系。二是健全數(shù)據(jù)安全管理體系。期貨公司應(yīng)建立健全數(shù)據(jù)安全管理體系，持續(xù)加強(qiáng)數(shù)據(jù)安全管理。三是落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)要求。2023年，所有期貨公司應(yīng)完成核心交易系統(tǒng)的定級(jí)及備案工作，并按要求開展等保測評(píng)；2024年，完成全部信息系統(tǒng)的定級(jí)及備案工作，并按要求開展等保測評(píng)。四是加快商用密碼應(yīng)用上線。五是加強(qiáng)安全威脅感知能力建設(shè)。六是提升全員網(wǎng)絡(luò)安全意識(shí)。期貨公司要建立全員安全教育培訓(xùn)機(jī)制，每年常態(tài)化開展全員安全意識(shí)教育培訓(xùn)不少于4學(xué)時(shí)，并將員工參加培訓(xùn)情況納入年度考核。

最后，積極培育自主研發(fā)能力。具體有4項(xiàng)工作任務(wù)：一是培育自有研發(fā)團(tuán)隊(duì)和能力。二是加強(qiáng)軟件研發(fā)全過程管控。三是開展代碼審計(jì)和檢測認(rèn)證。要求期貨公司進(jìn)一步加強(qiáng)軟件源代碼安全管理，將代碼審計(jì)工作制度化、流程化。四是推動(dòng)核心系統(tǒng)架構(gòu)優(yōu)化升級(jí)。要求期貨公司主動(dòng)聯(lián)合相關(guān)技術(shù)廠商加強(qiáng)核心交易系統(tǒng)架構(gòu)研究和優(yōu)化，探索研發(fā)快速、安全、高效、靈活的新一代核心交易系統(tǒng)架構(gòu)。

隨《提升計(jì)劃》下發(fā)的還有一份《任務(wù)清單》。根據(jù)這份清單，壓實(shí)網(wǎng)絡(luò)安全管理責(zé)任、強(qiáng)化信息技術(shù)組織架構(gòu)作用、制定信息科技和網(wǎng)絡(luò)安全規(guī)劃、提升全員網(wǎng)絡(luò)安全意識(shí)四項(xiàng)任務(wù)要求今年完成，評(píng)估完善信息技術(shù)制度流程、加強(qiáng)災(zāi)備能力建設(shè)等四項(xiàng)任務(wù)要求2024年完成，其余任務(wù)要求2025年完成或作為長期任務(wù)、未設(shè)具體完成時(shí)間。

法律人士這樣建議

值得注意的是，本次除了中期協(xié)發(fā)布《期貨公司網(wǎng)絡(luò)和信息安全三年提升計(jì)劃》，中證協(xié)也印發(fā)了《證券公司網(wǎng)絡(luò)和信息安全三年提升計(jì)劃（2023-2025）》，證券期貨業(yè)的網(wǎng)絡(luò)和信息安全工作被進(jìn)一步加強(qiáng)。

中倫律師事務(wù)所合伙人劉新宇指出，證券期貨機(jī)構(gòu)作為持牌金融機(jī)構(gòu)，其所開展的數(shù)據(jù)處理活動(dòng)具有敏感度高、個(gè)人信息數(shù)量多、涉及信息系統(tǒng)復(fù)雜等特點(diǎn)。基于上述特點(diǎn)，證券期貨行業(yè)應(yīng)當(dāng)在開展信息安全工作過程中著重關(guān)注以下兩大要點(diǎn)：

一是個(gè)人信息處理。證券期貨公司在開展經(jīng)紀(jì)業(yè)務(wù)的過程中，會(huì)直接或間接收集大量的投資者的個(gè)人信息，其中不乏銀行賬戶、人臉照片等敏感個(gè)人信息，因此個(gè)人信息處理行為的合規(guī)性是其開展信息安全工作時(shí)的第一大合規(guī)要點(diǎn)。2022年4月，國家移動(dòng)互聯(lián)網(wǎng)應(yīng)用安全管理中心（CNAAC）曾點(diǎn)名12家證券公司APP在個(gè)人信息處理方面存在合規(guī)瑕疵，可以預(yù)見后續(xù)監(jiān)管機(jī)關(guān)將會(huì)持續(xù)關(guān)注證券期貨公司的個(gè)人信息處理合規(guī)情況。

二是網(wǎng)絡(luò)數(shù)據(jù)安全。在《網(wǎng)絡(luò)安全法》以及《數(shù)據(jù)安全法》出臺(tái)后，許多人對(duì)這兩部法律的實(shí)效性提出了質(zhì)疑，認(rèn)為其部分規(guī)定缺少具體的落地指南。但隨著2023年2月《證券期貨業(yè)網(wǎng)絡(luò)和信息安全管理辦法》的出臺(tái)，證券期貨行業(yè)網(wǎng)絡(luò)數(shù)據(jù)安全相關(guān)事宜既有了詳細(xì)的落地指引，又有了明確的執(zhí)法依據(jù)。可以預(yù)見，證券期貨機(jī)構(gòu)的信息系統(tǒng)建設(shè)、網(wǎng)絡(luò)安全等級(jí)保護(hù)情況、數(shù)據(jù)容災(zāi)備份等網(wǎng)絡(luò)數(shù)據(jù)安全領(lǐng)域內(nèi)的事項(xiàng)將成為監(jiān)管機(jī)關(guān)重點(diǎn)關(guān)注的對(duì)象，各證券期貨公司應(yīng)當(dāng)提早制定并落實(shí)合規(guī)計(jì)劃，降低執(zhí)法風(fēng)險(xiǎn)。

他還建議證券期貨機(jī)構(gòu)提高自身信息技術(shù)能力；加強(qiáng)與外部機(jī)構(gòu)在網(wǎng)絡(luò)信息安全方面的合作，定期聘請(qǐng)外部機(jī)構(gòu)對(duì)公司核心系統(tǒng)在壓力測試、信息系統(tǒng)容量等方面進(jìn)行IT審計(jì)，分析其中潛在的合規(guī)問題，制定并落實(shí)相應(yīng)的解決方案；制定完善的內(nèi)控制度，與法律法規(guī)和監(jiān)管規(guī)定做好銜接，建立完善的個(gè)人信息保護(hù)與網(wǎng)絡(luò)數(shù)據(jù)安全內(nèi)控制度，同時(shí)進(jìn)一步加強(qiáng)內(nèi)控制度執(zhí)行情況現(xiàn)場及非現(xiàn)場檢查，確保其有效執(zhí)行。

責(zé)編:王時(shí)丹 | 審校:李金雨 | 審核:李震 | 監(jiān)制:萬軍偉