证券公司信息技术合规与风险管理

证券公司信息技术治理属于自律管理的范畴，由中国证监会和中国证券投资基金业协会对证券基金经营机构实施自律管理，中国证监会及其派出机构实施监督管理。

证券公司信息技术治理中的权责分配机制（★★★）

证券公司信息系统运行各环节的安全管理要求（★★★）

证券公司数据全生命周期管理机制（★★）

（1）数据分类分级：将经营及客户数据按照重要性和敏感性进行分类分级，并根据不同类别和级别作出差异化数据管理制度安排。

（2）数据安全保障措施：完善网络隔离、用户认证、访问控制、数据加密、数据备份、数据销毁、日志记录、病毒防范和非法入侵检测等安全保障措施，保护经营数据和客户信息安全，防范信息泄露与损毁。

（3）信息系统权限管理

①证券公司应当遵循最少功能以及最小权限等原则分配信息系统管理、操作和访问权限，并履行审批流程。

②证券公司应当建立对信息系统权限的定期检查与核对机制，确保用户权限与其工作职责相匹配，防止出现授权不当的情形。

③证券公司应当对重要信息系统的开发、测试、运维实施必要分离，保证信息技术管理部门内部岗位的相互制衡。

（4）经营数据和客户信息保护：证券公司应当记录经营数据和客户信息的使用情况，证券公司应建立健全数据安全管理制度，不得收集与服务无关的客户信息，不得购买或使用非法获取或来源不明的数据。

证券公司信息技术应急管理（★★）

（1）组织架构

①信息技术管理部门：信息技术应急管理的牵头组织部门，组织开展信息技术应急预案的制定、演练、评估与改进工作，并负责信息系统的应急响应与恢复；

②各业务部门：负责评估本业务条线信息技术突发事件相关风险，开展业务影响分析，确定并实施重要业务恢复目标和恢复策略；

③风险管理部门：负责评估信息系统与相关业务恢复目标和恢复策略制定的合理性，确保与公司整体风险管理策略保持一致。

（2）应急预案：证券公司应当根据应急预案定期组织关键岗位人员开展应急演练，演练频率不低于每年一次，并确保应急演练在2年内覆盖全部重要信息系统。应急演练应当形成报告，保存期限不得少于5年。

（3）应急信息公示：证券公司应在公司网站、客户交易终端等渠道公示信息技术突发事件发生时客户可采取的替代交易方式等信息，提示客户防范和应对可能出现的风险。

（4）信息系统备份：证券公司应确保备份系统与生产系统具备同等的处理能力，保持备份数据与原始数据的一致性。

（5）信息安全事件分级响应机制：证券公司应按照中国证监会有关规定，建立信息安全事件的分级响应机制，明确内部处置工作流程，确保相关信息系统及时恢复运行。

信息技术服务机构管理（★★）

（1）信息技术服务的范围

①重要信息系统的开发、测试、集成及测评；

②重要信息系统的运维及日常安全管理；

③中国证监会规定的其他情形。

（2）委托信息技术服务机构提供信息技术服务的责任划分

证券公司借助信息技术手段从事证券基金业务活动的，可以委托信息技术服务机构提供产品或服务，但证券公司依法应当承担的责任不因委托而免除或减轻。