征信机构信息系统安全及内控机制.doc

1、第 1 页征 信 机 构 信 息 系 统 安 全 及 内 控 机 制、 征 信 机 构 信 息 系 统 安 全 等 级(一 ） 征 信 系 统 的 数 据 安 全 管 理电 子 数 据 安 全 是 征 信 系 统 安 全 管 理 的 重 要 组 成 部 分 需 要 构 建 全 方 位 、 立 体 化 的 征 信系 统 信 息 安 全 管 理 机 制 。1.网 络 访 问 控 制目 前 ， 个 人 信 用 信 息 基 础 数 据 库 和 企 业 信 用 信 息 基 础 数 据 库 等 业 务 客 户 端 系 统 同 其他 大 部 分 业 务 系 统 一 样 ， 都 支 持 Telnet 协 议

2、的 远 程 登 录 方 式 。 网 络 中 任 意 终 端 设 备在 安 装 相 对 应 的 客 户 端 后 ， 理 论 上 即 具 有 远 程 登 录 主 机 的 条 件 。 征 信 机 构 实 行 互 联 网 、办 公 网 和 业 务 网 物 理 隔 离 的 三 网 分 离 管 理 模 式 ， 网 络 访 问 控 制 清 晰 且 严 格 ， 但 同 一 网 络间 存 在 计 算 机 互 访 的 条 件 ， 如 控 制 不 当 将 为 远 程 入 侵 留 下 隐 患 ， 直 接 威 胁 到 数 据 通信 和 数 据 存 储 机 密 性 的 安 全 。 加 强 网 络 访 问 控 制 ， 关

3、键 是 阻 止 未 授 权 终 端 接 入 。 在 各 个使 用 征 信 系 统 业 务 终 端 的 金 融 机 构 的 交 换 机 和 路 由 设 备 中 设 定 多 层 访 问 控 制 列 表 及 划 定虚 拟 局 域 网 ， 通 过 授 权 将 指 定 的 业 务 终 端 绑 定 。2.加 强 身 份 认 证身 份 认 证 是 登 录 征 信 系 统 的 必 要 程 序 ， 此 要 素 出 现 缺 陷 ， 将 直 接 影 响 到 数 据 使 用 的 可 控 性 。 而 强 身 份 认 证 则 是 在 其 基 础 上 贯 彻 强 化 原 则 ， 明 确 各 项 规 章 制 度 在 安 全

4、管 理 方面 的 要 求 。 首 先 ， 要 强 化 用 户 的 资 格 管 理 。 这 是 经 身 份 认 证 并 登 录 系 统 进 行 操 作 的 基 础 。用 户 的 建 立 须 经 过 岗 前 培 训 ， 具 备 相 关 从 业 资 格 ， 签 订 岗 位 安 全 责 任 状 、 保 密 责 任 书及 协 议 等 一 系 列 制 度 要 求 的 程 序 。 其 次 ， 要 强 化 用 户 的 口 令 管 理 。 用 户 代 码 及 口 令 是身 份 认 证 的 体 现 方 式 ， 一 个 用 户 代 码 只 限 一 个 用 户 使 用 ， 用 户 在 接 到 分 配 的 用 户 代

5、码后 ， 应 立 即 登 录 系 统 并 修 改 口 令 ， 勤 更 换 ， 并 仅 限 持 有 该 用 户 代 码 的 本 人 掌 握 。 最 后 ，要 强 化 用 户 的 制 约 管 理 。 合 理 设 定 兼 岗 用 户 ， 及 时 撤 销 停 止 使 用 的 用 户 权 限 ， 负 责 保管 密 封 口 令 的 管 理 人 员 不 得 拥 有 各 级 身 份 认 证 权 限 。 强 身 份 认 证 亦 可 通 过 安 全 证 书 、USB Key (硬 件 数 字 证 书 载 体 ） 、 智 能 卡 芯 片 等 方 式 实 现 ， 其 作 用 不 仅 体 现 在 有 效 防止 用 户

6、名 及 密 码 被 盗 用 方 面 ， 更 体 现 在 对 发 生 安 全 风 险 的 责 任 认 定 方 面 。3.数 据 通 信 机 密 性第 2 页征 信 系 统 采 集 的 各 类 征 信 数 据 信 息 因 与 各 个 机 构 分 别 进 行 沟 通 协 调 ， 导 致 征 信 数 据 信 息 在 通 信 过 程 中 的 加 密 方 式 采 取 不 同 标 准 。 采 用 密 押 设 备 来 统 一 保 证 征 信 数 据 信 息 的 通 信 机 密 性 。 密 押 设 备 应 统 一 定 制 配 发 ， 拥 有 防 撬 检 测 电 路 ， 确 保 密 钥 及 密 码 算 法 不 会

7、 暴 露 于 物 理 安 全 的 环 境 之 外 。 密 押 设 备 由 各 征 信 系 统 运 行 部 门 指 定 专 人 配 置 、 维 护 和 保 管 。 可 以 说 ， 密 押 设 备 的 应 用 能 有 效 地 保 护 征 信 数 据 信 息 的 通 信 安 全 ， 并 与 网 络 访 问 控 制 的 安 全 要 素 息 息 相 关 。4.数 据 存 储 机 密 性数 据 存 储 是 数 据 以 某 种 格 式 记 录 在 计 算 机 内 部 或 外 部 存 储 介 质 上 。 与 其 他 安 全 管 理 要 素 相 比 ， 强 身 认 证 对 其 保 护 作 用 更 加 明 显 。

8、 对 存 储 在 计 算 机 内 部 的 数 据 ， 主 要 是 服 务 器 中 的 数 据 ， 要 按 规 定 将 系 统 服 务 器 主 备 机 在 中 心 机 房 安 全 摆 放 ， 设 置 双 M 以 上门 禁 ； 未 经 主 管 部 门 领 导 批 准 ， 非 机 房 工 作 人 员 不 得 进 人 机 房 。 系 统 管 理 员 进 行 系 统维 护 时 ， 应 有 业 务 主 管 或 操 作 员 在 场 ， 严 格 控 制 对 数 据 库 的 直 接 操 作 ， 并 对 维 护 内 容作 详 细 记 录 。对 于 存 储 在 计 算 机 外 部 介 质 中 的 数 据 ， 如 磁

9、 盘 、 U 盘 、 光 盘 、 本 地 设 备 等 ， 要 严格 管 理 、 妥 善 保 存 ， 并 实 行 数 据 加 密 制 度 。 征 信 系 统 及 其 导 出 数 据 使 用 的 存 储 介 质 ，应 进 行 严 格 的 病 毒 检 査 ， 防 止 计 算 机 病 毒 侵 入 ， 禁 止 在 征 信 系 统 终 端 设 备 上 使 用 非 征信 系 统 专 用 的 存 储 介 质 ， 禁 止 在 征 信 系 统 及 其 相 关 的 设 备 上 安 装 与 系 统 运 行 无 关 的 软件 ， 最 大 限 度 地 保 证 数 据 存 储 机 密 性 不 受 影 响 。(二 ） 我 国

10、 征 信 机 构 管 理 办 法 对 征 信 系 统 安 全 等 级 的 规 定 根 据 中 华 人 民 共和 国 中 国 人 民 银 行 法 征 信 业 管 理 条 例 等 法 律 法 规 ， 中 国 人 民 银 行 制 定 了 征信 机 构 管 理 办 法 ， 自 2013 年 12 月 20 日 起 施 行 。 征 信 机 构 管 理 办 法 明 确 要 求设 立 个 人 征 信 机 构 ， 应 当 经 中 国 人 民 银 行 批 准 ， 且 信 用 信 息 系 统 应 当 符 合 国 家 信息 安 全 保 护 等 级 二 级 或 二 级 以 上 标 准 。根 据 我 国 信 息 安 全

11、 等 级 保 护 管 理 办 法 第 二 章 ， 等 级 划 分 与 保 护 规 定 ： 第 二 级 ，信 息 系 统 受 到 破 坏 后 ， 会 对 公 民 、 法 人 和 其 他 组 织 的 合 法 权 益 产 生 严 重 损 害 ， 或 者 对社 第 六 章 信 息 主 体 权 益 保 护第 3 页会 秩 序 和 公 共 利 益 造 成 损 害 ， 但 不 损 害 国 家 安 全 。 对 于 第 二 级 国 家 的 监 督 管 理 要 求为 ， 第 二 级 信 息 系 统 运 营 、 使 用 单 位 应 当 依 据 国 家 有 关 管 理 规 范 和 技 术 标 准 进 行 保 护 。国

12、 家 信 息 安 全 监 管 部 门 对 该 级 信 息 系 统 信 息 安 全 等 级 保 护 工 作 进 行 指 导 。知 识 链 接 ： 中 国 金 融 新 闻 网 11315 全 国 企 业 征 信 系 统 我 国 社 会 征 信 新 模 式 。我 国 信 息 安 全 等 级 保 护 等 级 划 分 和 监 管 方 式1.信 息 系 统 的 安 全 保 护 等 级 应 当 根 据 信 息 系 统 在 国 家 安 全 、 经 济 建 设 、 社 会 生 活 中 的 重 要 程 度 ， 信 息 系 统 遭 到 破 坏 后 对 国 家 安 全 、 社 会 秩 序 、 公 共 利 益 以 及

13、公 民 、 法 人 和 其 他 组 织 的 合 法 权 益 的 危 害 程 度 等 因 素 确 定 。 信 息 系 统 的 安 全 保 护 等 级 分 为 以 下 五 级 ：第 一 级 ， 信 息 系 统 受 到 破 坏 后 ， 会 对 公 民 、 法 人 和 其 他 组 织 的 合 法 权 益 造 成 损 害 ， 但 不 损 害 国 家 安 全 、 社 会 秩 序 和 公 共 利 益 。第 二 级 ， 信 息 系 统 受 到 破 坏 后 ， 会 对 公 民 、 法 人 和 其 他 组 织 的 合 法 权 益 产 生 严 重 损 害 ， 或 者 对 社 会 秩 序 和 公 共 利 益 造 成

14、损 害 ， 但 不 损 害 国 家 安 全 。第 三 级 ， 信 息 系 统 受 到 破 坏 后 ， 会 对 社 会 秩 序 和 公 共 利 益 造 成 严 重 损 害 ， 或 者 对 国 家 安 全 造 成 损 害 。第 四 级 ， 信 息 系 统 受 到 破 坏 后 ， 会 对 社 会 秩 序 和 公 共 利 益 造 成 特 别 严 重 损 害 ， 或 者 对 国 家 安 全 造 成 严 重 损 害 。第 五 级 ， 信 息 系 统 受 到 破 坏 后 ， 会 对 国 家 安 全 造 成 特 别 严 重 损 害 。2.信 息 系 统 运 营 、 使 用 单 位 依 据 征 信 机 构 管

15、理 办 法 和 相 关 技 术 标 准 对 信 息 系统 进 行 保 护 ， 国 家 有 关 信 息 安 全 监 管 部 门 对 其 信 息 安 全 等 级 保 护 工 作 进 行 监 督 管 理 。第 一 级 信 息 系 统 运 营 、 使 用 单 位 应 当 依 据 国 家 有 关 管 理 规 范 和 技 术 标 准 进 行 保 护 。第 二 级 信 息 系 统 运 营 、 使 用 单 位 应 当 依 据 国 家 有 关 管 理 规 范 和 技 术 标 准 进 行 保 护 。 国 家 信 息 安 全 监 管 部 门 对 该 级 信 息 系 统 信 息 安 全 等 级 保 护 工 作 进 行

16、 指 导 。第 三 級 信 息 系 统 运 营 、 使 用 单 位 应 当 依 据 国 家 有 关 管 理 规 范 和 技 术 标 准 进 行 保 护 。 国 家 信 息 安 全 监 管 部 门 对 该 级 信 息 系 统 信 息 安 全 等 级 保 护 工 作 进 行 监 督 、 检 查 。第 4 页第 四 级 信 息 系 铳 运 营 、 使 用 单 位 应 当 依 据 国 家 有 关 管 理 规 范 、 技 术 标 准 和 业 务 专 门 需 求 进 行 保 护 。 国 家 信 息 安 全 监 管 部 门 对 该 级 信 息 系 统 信 息 安 全 等 级 保 护 工 作 进 行 强 制

17、监 督 、 检 查 。需 求 进 行 保 护 。 国 家 指 定 专 门 部 门 对 该 级 信 息 系 统 信 息 安 全 等 级 保 护 工 作 进 行 专 门监 督 、 检 查 。二 、 征 信 机 构 内 控 机 制内 控 机 制 建 设 就 是 一 个 组 织 为 了 实 现 既 定 目 标 ， 防 范 和 减 少 风 险 的 发 生 ， 由 全 体 成 员 共 同 参 与 ， 对 内 部 业 务 流 程 进 行 全 过 程 的 介 入 和 监 控 ， 采 取 权 力 分 解 、 相 互 制 衡 手 段 ，制 定 出 完 备 的 制 度 保 证 的 过 程 。 征 信 机 构 是 征

18、 信 体 系 建 设 的 核 心 机 构 ， 在 信 用 体 系 的建 设 中 承 担 重 要 的 职 责 ， 其 客 观 公 正 的 评 估 有 赖 于 内 部 有 效 的 管 理 机 制 。(一 ） 我 国 征 信 机 构 内 控 机 的 相 关 规 定1. 征 信 业 管 理 条 例 相 关 规 定2013 年 3 月 15 日 开 始 实 施 的 征 信 业 管 理 条 例 第 6 条 规 定 ， 设 立 经 营 个 人 征信 业 务 的 征 信 机 构 ， 应 当 符 合 中 华 人 民 共 和 国 公 司 法 规 定 的 公 司 设 立 条 件 和 下列 条 件 ， 并 经 国 务

19、 院 征 信 业 监 督 管 理 部 门 批 准 ： （ 1)主 要 股 东 信 誉 良 好 ， 最 近 3年 无 重 大 违 法 违 规 记 录 ； （ 2)注 册 资 本 不 少 于 人 民 币 5 000 万 元 ； （ 3)有 符 合 国务 院 征 信 业 监 督 管 理 部 门 规 定 的 保 障 信 息 安 全 的 设 施 、 设 备 和 制 度 、 措 施 ； （ 4)拟 任 董 事 、 监 事 和 高 级 管 理 人 员 符 合 该 条 例 第 8 条 规 定 的 任 职 条 件 ； （ 5)国 务 院征 信 业 监 督 管 理 部 门 规 定 的 其 他 审 慎 性 条 件

20、。 第 8 条 规 定 ， 经 营 个 人 征 信 业 务 的 征信 机 构 的 董 事 、 监 事 和 高 级 管 理 人 员 ， 应 当 熟 悉 与 征 信 业 务 相 关 的 法 律 法 规 ， 具 有履 行 职 责 所 需 的 征 信 业 从 业 经 验 和 管 理 能 力 ， 最 近 3 年 无 重 大 违 法 违 规 记 录 ， 并 取得 国 务 院 征 信 业 监 督 管 理 部 门 核 准 的 任 职 资 格 。2. 征 信 机 构 管 理 办 法 2013 年 I2 月 20 日 起 实 施 的 征 信 机 构 管 理 办 法 第 6 条 规 定 ， 设 立 个 人 征 信机

21、 构 ， 除 应 当 符 合 征 信 业 管 理 条 例 第 6 条 规 定 外 ， 还 应 当 具 备 以 下 条 件 ： （ 1)有健 全 的 组 织 机 构 ； （ 2)有 完 善 的 业 务 操 作 、 信 息 安 全 管 理 、 合 规 性 管 理 等 内 控 制 度 ；（ 3)个 人 信 用 信 息 系 统 符 合 国 家 信 息 安 全 保 护 等 级 二 级 或 二 级 以 上 标 准 。第 5 页对 于 征 信 机 构 的 业 务 开 拓 以 及 跨 域 经 营 等 内 容 ， 则 充 分 尊 重 了 企 业 的 自 主 经 营 权 ， 促 使 征 信 机 构 发 挥 经 营

22、 的 积 极 性 和 主 动 性 。(二 ） 西 方 国 际 征 信 机 构 内 控 机 制征 信 机 构 运 营 模 式 可 以 大 致 划 分 为 两 种 类 型 ： 以 美 、 英 为 代 表 的 市 场 主 导 型 和 欧 洲 大 陆 大 多 数 国 家 所 采 纳 的 政 府 主 导 型 ， 其 内 控 机 制 和 管 理 模 式 则 呈 现 不 同 的 特 点 。1.美 国 征 信 机 构 的 市 场 化 的 内 控 模 式美 国 征 信 机 构 组 织 模 式 ， 是 蝕 立 于 政 府 之 外 的 第 三 方 私 营 机 构 ， 将 个 人 信 息 进 行 收集 、 加 工 后

23、 ， 有 偿 提 供 给 信 息 需 求 者 ， 并 且 依 据 市 场 的 需 求 来 完 善 自 己 的 经 营 与 管 理 模 式 ， 提 升 运 营 效 率 。 具 有 以 下 几 个 特 点 ： 首 先 ， 征 信 机 构 私 有 化 。 个 人 征 信 机 构 都 是 由 私 营 的 工 商 企 业 、 征 信 专 业 公 司 、 授 信 机 构 共 同 发 挥 作 用 的 征 信 主 体 。 其 次 ， 独 立 性 强 。征 信 机 构 既 与 政 府 隔 离 ， 同 时 又 与 其 拖 市 场 主 体 相 分 离 ， 作 为 真 正 意 义 上 的 第 三 方 存在 。 最 后

24、 ， 按 市 场 化 原 则 运 作 。 征 信 机 构 伴 随 着 信 用 交 易 的 市 场 需 求 产 生 而 产 生 ， 随着 市 场 信 用 交 易 规 模 的 发 展 而 发 展 。 其 公 司 机 制 为 公 司 制 形 式 ， 以 营 利 为 目 的 ， 以 股东 利 益 最 大 化 为 前 提 ， 股 东 出 资 比 例 决 定 公 司 投 票 权 比 例 ， 一 切 决 策 按 照 商 业 化 目 的进 行 ， 服 务 的 范 围 不 受 限 制 。美 国 公 平 信 用 报 告 法 规 定 ， 作 为 个 人 征 信 机 构 ， 必 须 同 时 具 备 下 列 5 项 基

25、本 特 征 ： A.消 费 者 信 用 调 查 和 生 产 调 查 报 告 时 期 日 常 业 务 ； B.专 门 从 事 收 集 消 费 者信 用 调 查 或 评 价 消 费 者 信 用 价 值 ； C.从 事 有 偿 服 务 、 以 营 利 为 目 的 ； D.服 务 的 目的 是 向 第 三 方 提 供 消 费 者 信 用 调 查 报 告 ； E.向 全 国 市 场 提 供 公 开 的 服 务 ， 不 仅 仅 向关 系 企 业 提 供 报 告 服 务 。在 全 球 征 信 机 构 中 ， 像 益 百 利 、 环 联 、 邓 百 氏 等 大 型 的 征 信 机 构 全 部 采 用 公 司

26、制 的 治 理 架 构 ， 并 且 ， 有 些 征 信 公 司 已 经 是 上 市 公 司 。 美 国 征 信 机 构 市 场 化 的 运 作 机 制 ， 政 府 并 没 有 对 其 具 体 的 内 控 机 制 进 行 明 确 的 法 律 规 定 。2.以 德 国 为 代 表 的 征 信 机 构 组 织 模 式以 德 国 为 代 表 的 公 共 征 信 模 式 又 称 为 政 府 主 导 的 征 信 模 式 ， 即 主 要 是 依 靠 政 府 的 力 量 建 立 征 信 机 构 ， 政 府 通 过 行 政 手 段 强 制 要 求 个 人 或 企 业 向 征 信 机 构 提 供 其 信 用 信

27、息 或 数 据 ， 从 而 建 立 个 人 信 用 信 息 数 据 库 ， 并 通 过 法 律 形 式 保 障 信 息 或 数 据 的 真 实 性 。 其 特 第 6 页点 如 下 ： A.具 有 一 定 的 强 制 性 。 通 过 法 律 与 决 议 的 形 式 保 证 个 人 信 用 信 息 的 可 得 性 与 真 实 性 。 B.公 私 征 信 机 构 并 存 。 公 共 与 私 营 征 信 机 构 并 立 ， 且 互 为 补 充 。 C.垄 断 与 竞争 并 存 。 既 有 公 共 征 信 机 构 对 个 人 基 本 信 用 信 息 的 垄 断 ， 又 有 私 营 机 构 间 的 竞 争 。政 府 主 导 的 征 信 机 构 征 信 模 式 ， 虽 然 体 现 政 府 对 于 征 信 机 构 数 据 的 来 源 和 分 享 有 一 定 的 强 制 性 ， 但 是 对 征 信 机 构 的 日 常 运 行 管 理 ， 则 干 预 较 少 。