中证协发文规范网上证券交易

2009年6月23日，中国证券业协会在其官方网站上发布了《证券公司网上证券信息系统技术指引》（以下简称《指引》），对证券公司网上证券信息系统的安全、可靠、高效运行提出了详细要求，并对移动证券交易（手机炒股）提出要求。这是继2000年3月中国证监会颁布了《网上证券委托暂行管理办法》后，监管机构再次对网上证券交易提出要求。

专家指出，到2006年，通过网上进行的交易量达到40%以上，目前这一比例平均已经达到了70%以上，比较高的证券公司达到了90%以上，成为现在最主要的交易方式。因此，现在出台《指引》，有利于规范和推动网上交易的发展。

安全是最主要监管要求

与传统的现场交易方式相比，网上交易也有很多缺点和不足，如容易受电子设备、通信线路和电力等影响而产生“堵单”、断线、甚至中断交易等，最大的缺点是有安全隐患，交易信息容易在网上泄露，甚至遭受木马和病毒的攻击；账号和口令一旦被盗，就可能发生盗买盗卖，给投资者造成直接经济损失。最近网上交易系统被侵入、盗买盗卖现象时有发生，在一定程度上影响了证券公司信誉，损害了投资者的利益。由于上述情况，网上交易系统成为证券公司最重要的安全防范和保护目标之一。因此，起草发布该指引已是行业的当务之急。

由于网上证券信息系统与集中交易柜台系统的衔接复杂，在指引的起草过程中，听取了各方面的意见；在技术逻辑、安全与效率、移动证券等一些重要问题上组织了大量的讨论，特别是针对近两年发生网上入侵证券公司事件，指引增强具体安全措施。

《指引》作为行业技术标准有重要的指导作用：首先强调网上证券信息系统安全的重要性，使证券公司对网上证券信息系统进行统一规划、建设、管理和运行，提升行业网上证券信息系统安全的整体水平，保障网上证券信息系统安全运行；第二提出了确保网上证券信息系统安全的一些基本要求；第三明确了网上证券信息系统建设中的网络隔离、身份认证、防入侵、防攻击等一些具体的技术指标和要求，为公司的系统技术建设提供具体的指导；第四明确了网上证券信息系统安全管理相关的具体措施和要求，如人员分离、软件升级、测试、评估、系统的访问控制、容量管理、应急预案等，为公司的系统安全建设提供具体的指导。

指引就网上证券系统进行了具体规范，特别在六个方面提出了更加明确的要求：

（一）重新界定了网上证券客户端和服务端的问题。本指引是按照公司业务和数据流程的逻辑来组织起草，这样符合证券公司约定成俗的用语和做法，同时可以更清楚界定其技术特征。网上证券客户端是证券公司提供给投资者使用的软件，而网上证券服务端是证券公司向客户提供接入、身份认证、行情、交易、查询等服务信息系统，投资者的信息和数据是从客户端流向服务端再到柜台系统，或者反向流转。指引遵循这一过程，提出了一些具体安全技术要求，其中特别强调了身份认证问题，如指引第三十八条规定：证券公司应提供可靠的用户身份认证机制，支持网上证券客户端采用多种认证方式与服务端进行身份认证。除输入账户名、口令、验证码的身份认证方式之外，还应向客户提供一种以上强度更高的身份认证方式，如，客户端与电脑或手机特征码绑定、软硬件证书、动态口令等认证方式，确认网上交易客户的身份和登录的合法性，防止非法接入。用户身份认证信息应当在服务器上加密存放。

（二）明确了移动证券的安全要求。移动证券俗称“手机炒股”，其采用的硬件还包括掌声电脑等具有与手机相似的移动通信功能的电子设备。移动证券的系统结构和实现模式与一般的基于PC机的互联网网上交易系统基本一样，只是目前由于手机功能和无线通信网络带宽等技术因素的限制，移动证券系统更简单一些。随着技术的发展和进步，移动证券与一般的网上交易将越来越接近甚至可能完全融合为一体。

移动证券现在发展很快,目前主要有移动通信运营商主导运营、IT开发商主导运营和证券公司自主运营的三种模式，前两种模式发展得较早较快，随着3G的发展，移动证券可能成为新的重要的交易通道。因此指引第6章对移动证券系统提出了一些技术要求。如第五十三条要求“证券公司应使用安全、可靠的移动证券系统。移动证券系统宜自主运营，实现数据从用户终端到网上证券服务端之间的加密传送和控制，并随着技术的发展，不断提高加密强度，完善认证算法。”

（三）网络隔离成为网上证券安全的重要手段。2008年年7月份证券公司IT系统安全大检查中发现，一些公司的门户网站、办公网、核心业务网等几大网络未有效隔离甚至是互相直连的，针对此类问题，指引第十七条要求：证券公司应对网上证券信息系统的各个子系统合理划分安全域，在不同安全域之间进行有效的隔离，保障网上证券信息系统的接入系统与其后台系统在技术上进行有效隔离，后台系统应与行情、资讯处理系统进行网络隔离，并应部署在证券公司可控的物理安全域内。在指引的其它相关地方也提了一些相应的要求。

（四）门户网站成为网上证券系统的组成部分。门户网站不仅是公司对外的窗口，代表着公司的品牌，而且是向投资者发放网上交易软件（即客户端）的主要渠道。在后台上，某些公司的门户网站与网上交易系统的服务器和数据、甚至公司的核心系统没有进行严格的有效隔离，还有一些公司在门户网站上开发了直接下单系统，所以门户网站对网上证券信息系统的安全有着很大的影响，监管部门对此要求很高，各级公安部门检查的也较多，所以指引对此提出了一些技术安全要求。如，第二十三条要求“证券公司应在门户网站部署防篡改系统，当网站上的页面内容、提供给投资者下载的客户端软件及其它文件被异常修改时，能自动告警或自动恢复，防止被捆绑木马程序。”第二十四条要求“ 与核心交易业务有关的客户资料、交易数据等客户敏感数据不得存放在门户网站数据库中。网上客户业务处理的日志应单独存放。”

（五）提出了网络安全的具体措施。本指引内容几乎全部都是技术安全要求，贯穿第2至第7章，涵盖了网上证券信息系统的各个环节。如第十八条要求证券公司应在两个以上的物理地点建立网上证券信息系统，互为备份，并应具备2个或2个以上不同运营商的互联网接入，避免在同一运营商的线路接入上出现单点故障和瓶颈，同时应充分考虑不同互联网运营商的互联瓶颈问题，确保局部故障或灾难发生时，系统能继续对用户提供服务。针对网上盗买盗卖证券和盗取用户账号、口令的犯罪行为，除了第三十七条提出防止仿冒的网上证券信息系统的措施外，指引的第四十四条要求：“网上证券服务端应对不完整、被篡改、重发的数据包进行监控，对登录、委托方式、品种、价格、数量、操作频率、转账等异常行为进行跟踪、监控和限制，记录其账号、IP地址等相关信息，并通过短信、电话等方式及时提示投资者，必要时进行用户临时锁定。监控和处置情况应形成记录备查。”

（六）强调网上证券系统的安全管理。指引的第七章对安全管理中的人员设置、业务连续性和应急预案、系统访问控制、防病毒防木马、运行维护、监控等方面提出了一些具体要求。如关于系统访问控制的要求：“原则上不允许通过互联网对网上证券信息系统（如防火墙、网络设备、服务器等）进行远程管理和日常维护等操作，同时也对网上证券信息系统的访问控制提出了三点具体要求。

指引发布实施后，协会将依据自律管理的职能，加强对会员公司落实指引的指导和督促，组织行业技术交流和培训，将指引落到实处，使指引真正成为行业信息技术安全的又一基础性保障。

转载：感谢您对网站平台的认可，以及对我们原创作品以及文章的青睐，非常欢迎各位朋友分享到个人站长或者朋友圈，但转载请说明文章出处。