第一條 為加強證券公司證券營業部信息技術管理，防范技術風險，保障證券市場平穩運行，依據《中華人民共和國證券法》、中國證監會規章和中國證券業協會自律規則的有關規定，制定本指引。 

第二條 證券公司應全面負責證券營業部信息技術管理，統一制定證券營業部信息技術建設、運維、安全等管理制度，并督促證券營業部有效執行。

第三條 證券公司應遵循安全性、實用性、可操作性等原則，統一規劃和建設證券營業部的信息系統。

第四條 根據證券營業部是否提供現場交易服務和是否部署與現場交易服務相關的信息系統，證券營業部的信息系統建設模式可以分為：

A型模式：在營業場所內部署與現場交易服務相關的信息系統為客戶提供現場交易服務。采用該類型信息系統建設模式的證券營業部，在本指引中簡稱為A型證券營業部。部署證券公司網上交易站點的證券營業部，或作為其他證券營業部網絡通信匯聚節點且所連接的證券營業部中提供現場交易的證券營業部，視同為A型證券營業部。

B型模式：在營業場所內未部署與現場交易服務相關的信息系統，但依托公司總部或其他證券營業部的信息系統為客戶提供現場交易服務。采用該類型信息系統建設模式的證券營業部，在本指引中簡稱為B型證券營業部。

C型模式：在營業場所內未部署與現場交易服務相關的信息系統且不提供現場交易服務。采用該類型信息系統建設模式的證券營業部，在本指引中簡稱為C型證券營業部。

證券公司可根據自身狀況和業務發展需要，自主選擇證券營業部信息系統建設模式。

第二章 系統建設

第五條 A型證券營業部應設機房。B型和C型證券營業部可不設機房，但網絡及通信等設備應集中放置和管理。

第六條 機房選址應滿足如下要求：

（一）選擇具備可靠供電的場所；

（二）遠離強震源、強磁場源和強噪聲源，遠離電磁干擾源或實施有效電磁干擾防護；

（三）遠離產生粉塵、油煙、有害氣體以及具有腐蝕性、易燃、易爆物品的工廠、倉庫等場所；

（四）符合當地抗震強度要求；

（五）符合當地消防主管部門的消防安全要求；

（六）盡量避免低洼地帶。

第七條 機房建設應滿足以下要求：

（一）盡量避讓建筑物頂層、地下室、用水設備的下層或隔壁以及易漏雨、易滲水和易遭雷擊的區域，避開易發生火災危險的區域；

（二）選擇通信設施健全，相對安全、易于管理的區域；

（三）避讓主干電力電纜穿越場所，避讓供水、消防管網經過；

（四）設備放置處應考慮地面承重，應盡量選擇有主干墻、承重墻的位置放置，必要時應進行地面加固；

（五）應配備應急照明裝置；

（六）應配備防火防盜門等有效安保設施。

第八條 機房應采用可靠的綜合接地系統或獨立接地系統，防止雷電對機房設施造成損壞。

第九條 機房應具備獨立空調系統，使機房溫度保持在23℃±5℃范圍內。

第十條 機房供電應滿足如下要求：

（一）應具有獨立于一般照明電的專用供電線路，設有獨立的配電柜或配電箱。相關電器設備、電線應與機柜用電負載相適應，并留有余量。

（二）應配置UPS電源，并不得將與業務無關的設備接入UPS電源。市電插座與UPS插座應嚴格區分，插座面板應有提示性的標識或標簽。

第十一條 A型和B型證券營業部應至少配備一種持續供電方式，在市電中斷情況下，保證不低于25%的現場交易終端或同等支持能力的其他交易終端在交易時間內持續工作，滿足證券營業部客戶現場交易需要。

第十二條 證券營業部配備或租用發電機的，發電機應安裝在具有良好通風的場地內，并遠離易燃易爆物品。

第十三條 證券營業部采用結構化綜合布線系統的，綜合布線應符合《建筑與建筑群綜合布線工程系統設計規范》（GBT/T 50311）要求。

第十四條 證券公司與證券營業部之間應采用至少2條不同運營商或不同介質的通信線路，建立安全、可靠通信連接，且線路帶寬能夠滿足證券營業部業務需要并留有冗余。網絡通信設備應有冗余備份，保證發生故障時實現及時切換。

A型和B型證券營業部的通信線路中應有一條為地面數據專線。

第十五條 證券營業部與其他外聯單位、互聯網建立通信線路的，證券公司可根據業務需要，要求證券營業部選擇合適的通信線路、線路帶寬和線路備份方式。

第十六條 證券公司應制定證券營業部局域網、公司廣域網、互聯網接入以及安全防護的網絡建設規范，并統一規劃管理證券營業部網絡配置參數和IP地址段。

第十七條 證券公司應確保證券營業部局域網與公司廣域網、互聯網實現有效隔離。

第十八條 證券公司應根據業務需要，合理劃分證券營業部局域網安全域，確定各安全域的功能定位，在各安全域之間采取安全措施實現有效隔離。

第十九條 證券公司應對證券營業部與客戶建立的網絡連接進行審批，對連接方式進行統一規劃和管理，并采取安全措施，實現有效隔離。

第二十條 證券公司應確保證券營業部部署防病毒、防木馬、防惡意代碼等系統安全防護軟件，保護證券營業部信息系統安全。

第二十一條 證券公司可根據需要在證券營業部中部署電話委托接入設備，并確保安全穩定運行。

第二十二條 證券公司應確保證券營業部提供行情、開戶、交易、資訊等客戶服務的信息系統，具備足夠的健壯性，系統處理能力具有一定的冗余度，并采用熱備或冷備等手段，避免單點故障，提高系統可用性。

第二十三條 證券公司應確保A型和B型證券營業部提供至少2種相互獨立的行情揭示系統、委托方式。

第二十四條 證券公司應對證券營業部安裝使用的應用軟件進行統一管理，證券營業部不得擅自安裝與業務及技術維護無關的應用軟件。

第三章 運維管理

第二十五條 證券公司應為A型證券營業部至少配備一名專職技術人員、B型證券營業部至少配備一名兼職技術人員，并制定頂崗、備崗等相關制度，確保在交易時間內有技術人員值守。專職技術人員和兼職技術人員應具有計算機相關專業學歷或從事信息技術工作1年以上。

第二十六條 證券公司應加強證券營業部機房管理，確保任何人員未經許可不得擅自挪動機房內設備、更改網絡線路，外來人員未經允許不得進入機房。機房內不得安置易燃易爆及強磁物品。

第二十七條 證券公司應加強證券營業部網絡配置、訪問控制、安全審計等網絡管理，確保證券營業部的網絡設備按最小安全訪問原則設置訪問控制權限，每一次變更后及時更新備份網絡設備的配置信息。

第二十八條 證券公司應加強證券營業部設備選型、購置、登記、保養、維修、報廢等設備管理，確保對關鍵設備建立維護檔案。

第二十九條 證券公司應加強證券營業部數據備份、存放、保密、調閱、銷毀等數據管理，確保證券營業部指定專人負責數據管理，數據調閱須經審批，且不得對外泄露。

第三十條 證券公司應加強證券營業部技術文檔的收集、更新、保管、借閱等管理，確保證券營業部根據信息系統的變更情況及時更新技術文檔。證券營業部技術文檔包括但不限于機房平面圖、供配電圖、網絡拓撲圖、信息點對照表、系統手冊、應急預案、運維日志、設備維護檔案等資料。

第三十一條 證券公司應確保證券營業部在關鍵系統和關鍵設備的用戶管理上遵循權限最小化原則，建立用戶和權限的清單，定期進行檢查核對。用戶和權限變更應執行相關審批流程，并保留完整的變更記錄。

第三十二條 證券公司應確保證券營業部關鍵系統和關鍵設備的管理員用戶密碼實行專人管理，采用不低于8位的復合密碼，每半年至少更換一次。發生人員變動時應及時更新密碼。

第三十三條 證券公司應統一管理和指導證券營業部進行生產環境下的測試工作，制定詳細的測試計劃，并確保做好系統、數據和應用程序測試前的備份工作。測試完成后做好系統的恢復和驗證等工作。

第三十四條 證券公司應確保證券營業部在供電、網絡通信、服務器、現場交易服務相關系統等關鍵設備或系統變更時經過嚴格的測試。

第三十五條 證券公司應確保證券營業部在信息系統變更前制定詳細的變更方案和變更應急預案，并做好系統和數據的備份。

第三十六條 除故障應急外，證券公司應確保證券營業部在交易時間內不得進行任何與現場交易服務相關的信息系統變更操作。

第三十七條 證券公司應確保A型證券營業部具備完善的監控體系，對信息系統的運行環境、運行狀況等進行定時監控和事后分析。

第三十八條 證券公司應確保A型和B型證券營業部對系統運維日志進行規范管理，日常操作及異常事件處理應在系統運維日志中詳細記錄。運維日志可采用電子文檔或紙質件記錄，并妥善保管，保留期限不少于2年。

第三十九條 證券公司應確保證券營業部至少每半年檢查一次電力、機房空調、消防等設施，每季度選擇非交易時間進行UPS電池的充放電測試，并詳細記錄。

第四十條 證券公司根據需要可外包B型和C型證券營業部的信息系統運維工作。運維外包應滿足但不限于以下要求：

（一）運維外包服務人員滿足本指引第二十五條的相關要求。

（二）與外包服務提供單位簽訂外包合同與保密協議，確保信息系統安全運行、風險可控。

（三）不得授予外包人員業務系統操作權限。

第四章 安全管理

第四十一條 證券公司應加強證券營業部網絡安全管理，確保證券營業部不得擅自對外互聯或設立網站。如確有必要，證券公司應對網站的設立和維護進行統一管理。

第四十二條 證券公司應確保證券營業部加強計算機終端的管理，記錄網卡地址，防止非法使用。未經許可，不得將客戶和員工的自備計算機接入證券營業部網絡。

證券營業部提供無線網絡服務的，證券公司應統一制定證券營業部無線網絡使用規范，采取有效的無線網絡準入控制措施，登記并記錄無線接入設備的信息。

第四十三條 證券公司應確保證券營業部加強客戶和員工訪問互聯網的管理，出現網絡違法犯罪情況時應及時配合公安機關進行處理。 

第四十四條 證券公司應確保證券營業部及時更新系統補丁、升級系統安全防護軟件，定期進行全面的病毒和木馬檢測，發現病毒和木馬立即處理并報告。移動存儲、外來電子文檔、軟件系統使用前應進行病毒和木馬查殺。

第四十五條 證券公司應統一制定證券營業部信息系統故障應急處理流程，并確保證券營業部建立信息系統應急預案并及時更新。

第四十六條 證券公司應確保證券營業部每年至少進行兩次應急演練，并留存演練記錄。

第四十七條 證券營業部發生影響交易業務的技術故障時，證券公司應立即啟動應急預案，盡快恢復交易業務，并按有關要求及時上報公司和證券營業部所在地證監局。應急事件處理完成后，應以書面形式上報公司和證券營業部所在地證監局。

第五章 附則

第四十八條 證券公司其他分支機構從事與交易相關業務,信息系統建設和管理應遵照本指引執行。

第四十九條 中國證券業協會對證券公司執行本指引的情況進行指導和檢查。

第五十條 本指引由中國證券業協會負責解釋。

第五十一條 本指引自發布之日起施行。