—第二章 网》络和：信息安全《运行 《。 第九条》　核心机构和经营机！。构应当具有》完善：的信息技术治—理架：构健全网络和信息】安全管理制度体系】建立内部决策、管理！、执行和《监督机制确保网【络和信息安全管理】。能力与？业务活动《规模、复杂程度相】匹配  》   信息技术【系统服务机构应【当建立？网络和信息安—。全，管理：制度配？备相应的安全、合规！管，理人员建立与提【供产品或者服—务，相适应的网》络和信息安全管理】机制 第十条　】核心机？构和经营机构—应当明确主要负责人！为，。本机构网络和信息安！全工作的第一—责任人分管网络和】信息：安全工作的》领导班子成》员或者高《级管理人员为直接】责任人 》    核心机构】和经：营机构应当建—立网络和信息—安全工作协调—和决策机制保障【第一责任人和—直接责任人履行职责！ 第十一条　核】心机构和经营机构应！当指定？或者设立网络和信息！安全工作牵头部【。门，或，者机构负责管理重】要信息系统和相关基！础设施、制定网络】安全应急预案、组织！应急演练等工—作 第十二—条　核心机》构和经营机构应【当保障人员》和资金投入与业务】。活动规模《、复杂？程度相适《应确保网络》和信息安全人员【具备与履《行职责相《匹配的？专业知识和》职业技能 第十三！条　核心《机构和经营机构应】当，确，保信息？系统和相关基础【设施具备合理的架构！足够的性能、容量】、，可靠：性、扩展性和—安全性并保证相【关，安全技术措施与【信息化工作同—步规划、同步—建设、同步使用 】 第十四条　核心】机，构和经营机构应【当落实网络安全等级！保，护制度依法履行网】络安全等级保—护，义务按照国》家和证？券期货业《网络安全等》级保护相《关要求？开展网络和信息【系统定级备》案、：等级测？评，和安全建设等—工作    【 核心？机构和经营机构应当！按照相关要》求将网络安全等级保！护工作？开展情况报送—中国证监《会及其派出机构【 ：第十五条　核心【机构和经营机构新建！上，线、运行变更—、下线移除》重要：信息系统的应当充】。分评：。估技术和业》。务风险制定风险防】控措施？、应急处置》和回：退方案并对相关【结果进行复核验证】；可能对证券期货市！场安：全平稳运行产生较】大影响的《应当提前向》中国证监会及其派出！机，构报告 》  ： ， 核心机构和经营机！构不得在交易时段】对，重，要信息系《统进：行变更重要信—息系统存《在故障、《缺陷经评估须进行】紧急修复的情形【除外 《第十六条　核心【机，。。构，和经营机构在重【要信息系《统上线、变》更前应当制定全面的！测试方案持续完【善测试用例和—测试数据并保障【测试的有效》执行 《   ？ 除：必须使用《敏，感数据的《。。情形外核心机—。构和经营《机构应当对测试环】境涉及？的敏感数据》进行脱敏对》未脱敏数据须—。采取与生产环境同】等的安全控制措施】 ，    《 核心机《构交易、行情、【开户、？结算、通《信等重要信息系统】上线或？。者进行重大升—级变：更时：应，当组织？市场相关主》体进行联网测试 ！第十七条　核心机构！和经营机《。构暂：停或者？终止借助网络向【投资者提《供，。服务前应当》履，行告知义务合理【选取：公告、定向通知等方！式告知投资者相关】业务影响情况、替】代方式及应对措施】 第十八条　【核心机构和经—营，。机构应当建立—健全网络和信息安全！。监测：预，警机制设定监测指标！持续监？测信息系《统和相关基础设施】的运行？状况及时处》置异常情形对监【测机制执行》效果进行定期—评估：。并持续优化》    》 核心机《构和经营机构应当全！面、准？确记录并妥善—保存生产运营过【程中：的，业，务，日志和系统日志【确保满？足故障？分析、内《部控制、调查取【证等工作《的需要重要信息系统！业务：日志应当《。保存五年以上系统日！志，应当保存六个月【以，上 第十九条【　核：心机：构和经营机构—应当构建网络和信息！安全防护体系—综合采？取网络隔离、—用户认证、访问控】制、策？略，管，理，、数据加密、—网站防篡改、病毒木！马，防范、非法入侵【检，。测和网络安全态势】感知等安全》。保障措施《提升网络和信息安全！防护能力及时识【别、阻？断相关网络》攻击保？护重要信息系统【。和相关基础设—施防范？信息泄露与损毁【 第二十条　核】心机构和经营—机构应当《建立本地《、同城和异》地数：据备份设《施重要信息系统【应，当每天至少》。备份：数据一次每》季度至？少对：数据：备份进？行一：次有效性验证 】 ，   核心机构和】经营机构应》当建立重要信—息系统的故障备【份设施？和灾难备份设施根据！信息系统的重—要，。程度和业务影响情】况确定恢复目标保】证业务连续运—行灾难备份设施应】当通过同《城或：。者异地灾难》备份中心的形—式体：现     核心！机构和经营》。机构采取《双活或者多》活架构？部署重要信息—系，。统的在？。确保业务《连续运行的前提【下任一数据中心【可，视为其他数据中心】的灾难？备份设施 第二十！一条　核心机—构，和经营机构应—当每年至少》开展一？次重要信息系统【压力测？试；发现市场—较大波？动重要？信，。息，系统的性能容量【可能无法保障—。安全平稳运行的应当！及时对相关信—息系统开展压力【测，。试  《   核心机—构和经营机构应【当依照有关行—业标准根据系统技】术特点和承载业务类！型制定压《。力测试方案设定测试！场景从系统性—能、网络负载—、灾备建设等方面设！置，测试指标有序组织测！试工作测试》完成后形成》压力测？试报：告存档？。备查并保存五年以】上     核心！机构和？。经营机构重要信息系！统，的性能？容量应当在历史【峰值的两倍以—上核心机构交易时】段相关网络》。近一：年使用峰值应当在】当前：带宽的百《分之五十以下经营】机构交易时段相关网！络近一年使》用峰值应当在当前】带宽的百分之八十】以下 第二—十二条　《核心机构和经—营机构应当》。。建立健全供应商【管，理机制明《确信息技术》产品和？服务准入《。标准：审慎采购《并持续？评估相关产品和【服务的质量及—时改进风险管—理措施健全应—急处置机制确保【重要信？。息，系统运行安》全可控   【  ：核心机构和经营【机，构应当与供应—商签订？合同及保密协议【明确约定各》方保：障网：络和信息安》全的权利和义—务；在使《用供应商提供产品】。或者服务时》引发网络安》全，事件：的，相关供应商有—义，务配合中国证—监会及其派出机【。构，查明：网络安全事件原因】认，定，网络：安全事件《责任 第》二十三条　供应商为！核心机？构和经营机构提供】。。重要信息系统相关】产，品或者服务的—应当依法作为信息技！术系统服务机构【向中国证监会备案 ！     核心机】构和经营机构应【当督：促相关信息技术【系统服务机构—。依，法，履行备案义务 【 第二十四条　任何！机构和个人不得违规！开展证券期》货业信息系》统认证、检测、风险！。评估等活动》不，得违规发布证券期货！业信息？安，全漏洞、计算机病毒！、，。网络攻击、》网络侵入等》信，息 第二》十五条　核》心机构？和，经营机构应》当建立信息发—布审核？机制加强对本—机构和本机构运营】平台发？布信息的管理发现违！反法律法规》和，有，关监管规定的应当立！即，停止发布传输—采取必要的》。处置措施防止信【息扩：。散积极消除负面影响！并及时？。向中国证监会—及其派出机构—报告 第二—。十六条　核心机【构应当对交易—、行情、开户、【结算：、风控、通》信等重要信》息系统具有自—主开发能力掌握【执行程序和源—代码并安《全可靠？存放：     经营机！。构应当根据自身【发展需要加》强自主研发》能力建设持续提【升自：主，可控能力   】  核心《机构和经《营机构应《当按照国家及中【国证监会有关要求】开展信息技》术应用创新》。。以及商用密码应用】。相关工作 —第二十七条　—中，国证监会可以—委，托相关？机构建设证券—期货业备份数—据中心？开展行？业数据的集中备份和！管，理工作并采取有【效安全防护》手段防？范数据损毁泄露风险！持续：提升证券期货业【重大灾难《应对能力   】  鼓励《证券期货业》关键：信息基？础设：施运：营者及时《向证券期货业—备份数据中心备份数！。据其他核心机构【和经营机构可—以结合经营需—要自：主选择证券》期货：业备份数据中心开展！数，据级灾难《备份：工，作 第二十—八条　核心机构和】经营机构《应当按照《知识产？权相关法律法规【制定：知识产权《保护策略和》制度不？侵犯他？人的知识产》权并采取有效措施保！护本机构自》主，知识产权《 ：