关于印发《保险公司信息系统安全管理指引（试行）》的通知
中国保险监督管理委员会
关于印发《保险公司信息系统安全管理指引（试行）》的通知
保监发〔2011〕68号
各保险公司、保险资产管理公司：
为防范化解保险公司信息系统安全风险，完善信息系统安全保障体系，确保信息系统安全、稳定运行，中国保险监督管理委员会制定了《保险公司信息系统安全管理指引（试行）》。现印发给你们，请遵照执行。
中国保险监督管理委员会
二〇一一年十一月十六日
保险公司信息系统安全管理指引（试行）
一、总 则
第一条为防范化解保险公司信息系统安全风险，完善信息系统安全保障体系，确保信息系统安全、稳定运行，根据《中华人民共和国保险法》、国家信息安全相关法律法规和有关要求，制定本指引。
第二条本指引适用于在中华人民共和国境内依法设立的保险公司和保险资产管理公司。
第三条本指引所称信息系统安全，是指利用信息安全技术及管理手段，保护信息在采集、传输、交换、处理和存储等过程中的可用性、保密性、完整性和不可抵赖性，保障信息系统的安全、稳定运行。
第四条信息系统安全是公司持续稳定发展的重要基础。各公司应通过管理机制和技术手段，加强信息安全保障工作，保障业务活动的连续性。
实现信息化工作集中管理的保险集团（控股）公司，可以集团（控股）公司为单位对信息系统安全工作统筹规划执行。
第五条中国保监会依法对保险公司信息系统安全工作实施监督管理。
二、安全管理总体要求
第六条信息系统安全工作应按照“积极防御、综合防范”的原则，与自身业务及信息系统同步规划、同步建设、同步运行，构建完备的信息系统安全保障体系。
第七条各公司是信息系统安全的责任主体。公司法定代表人或主要负责人为信息系统安全的第一责任人。
第八条信息化工作委员会之下应设立信息安全专业工作机构，全面统筹协调公司信息系统安全相关事项的研判决策，并应指定公司级高级管理人员负责信息安全专业工作机构，作为信息系统安全的直接责任人。
第九条各公司应履行以下信息系统安全管理职责：
（一）贯彻落实国家和监管部门有关信息系统安全管理的法律法规、技术标准和相关要求。
（二）组织公司信息系统安全规划与建设工作，制订相关管理规定。
（三）建立有效的信息系统安全保障体系并定期或根据工作需要及时进行检查、评估、审计、改进、监控等工作。
（四）对信息系统安全事件进行管理、处置和上报。
（五）组织公司员工信息系统安全教育与培训。
（六）开展与信息系统安全相关的其他工作。
第十条 建立覆盖物理环境、网络、主机系统、桌面系统、数据、存储、灾备、安全事件管理及应用等各层面的安全管理规章制度，并定期或根据需要及时对安全管理规章制度进行评审、修订。
第十一条针对信息系统安全的各层面、各环节，结合各部门和岗位职责，建立职责明确的授权机制、审批流程以及完备有效、相互制衡的内部控制体系，并对审批文档和内部控制过程进行及时记录。
第十二条 配备足够的具有专业知识和技能的信息系统安全工作人员。明确信息系统安全相关人员角色和职责，建立必要的岗位分离和职责权限制约机制，实行最小授权，避免单一人员权限过于集中引发风险，重要岗位应设定候补员工及工作接替计划。
第十三条 定期或根据工作需要及时对高级管理人员开展信息安全管理与治理相关培训，对参与信息系统建设、运行维护和操作使用的人员进行安全教育、技能培训和考核。加强岗位管理，明确上岗与离岗要求，重要岗位须签署相关岗位协议。对涉密岗位工作人员应特别进行保密教育培训，并签订保密承诺书。
第十四条 按照国家和监管部门信息系统安全规范、技术标准及等级保护管理要求，明确信息系统安全保护等级，实施信息系统安全等级保护，按等级安全要求进行备案并定期测评和整改。
第十五条 制定信息管理相关制度和流程，规范管理信息采集、传输、交换、存储、备份、恢复和销毁等环节，加强重要数据信息控制和保护，保障信息的合法、合规使用。
第十六条 按照国家和监管部门信息系统灾难恢复管理要求、规范和技术标准，推进信息系统灾难恢复建设工作并定期进行演练，确保业务连续性。
第十七条 对信息系统安全事件进行等级划分和事件分类，制定安全事件报告、响应处理程序等应急预案，并定期进行演练，评审和修订。遇有重大信息系统事故或突发事件，应按应急预案快速响应处理，并按规定及时向中国保监会报告。
第十八条 建立有效可靠的安全信息获取渠道，获取与公司信息系统运营相关的外部安全预警信息，汇总、整理公司内部安全信息，及时提交公司信息安全专业工作机构，并按相关流程发布实施。
第十九条 设立独立于信息技术部门的信息科技风险审计岗位，负责信息科技审计制度制订和信息系统风险评估与审计。至少每年对信息安全控制策略和措施及落实情况进行检查，至少每两年开展一次信息科技风险评估与审计，并将信息科技风险评估审计报告报送中国保监会。
鼓励公司在符合国家有关法律、法规和监管要求的情况下，聘请具备相应资质的外部机构进行外部审计和风险评估。
第二十条加强信息系统知识产权保护和推进正版化工作，禁止复制、传播或使用非授权软件。
第二十一条申请信息安全管理体系认证的公司应按国家及监管部门要求，加强信息安全管理体系认证安全管理，选择国家认证认可监督管理部门批准的机构进行认证，并与认证机构签订安全和保密协议。
第二十二条 在信息系统可能对客户服务造成较大影响时，根据有关法律法规及时和规范地披露信息系统风险状况，并以适当的方式告知客户。
三、基础设施与网络设备环境
第二十三条根据信息化发展需要，建设相应的中心机房和灾备机房（以下统称“机房”）。机房应设置在中华人民共和国境内（不包括港、澳、台地区），机房建设须符合国家有关标准规范和监管部门要求。将机房外包托管的公司，应保证受托方机房符合上述标准，主机托管应具有独立的操作空间和严格的安全措施。
第二十四条 建立健全机房运行维护安全管理制度，指定专门部门及专人负责机房安全管理，采取合理的物理访问控制，对出入机房人员进行审查、登记，确保对机房实施7×24小时实时监控。
第二十五条 建立信息系统资产安全管理制度，编制资产清单，明确资产管理责任部门与人员，规范资产分配、使用、存储、维护和销毁等各种行为，定期对资产清单进行一致性检查并保留检查记录。
第二十六条 根据设备功能及软件应用等性质设立物理安全保护区域，采取必要的预防、检测和恢复控制措施。重要保护区域前应设置交付或过渡区域,重要设备或主要部件应进行固定并设置明显的标记。
第二十七条 根据业务、应用系统的功能及信息安全级别，将网络与信息系统划分成不同的逻辑安全区域，在网络各区域之间以及网络边界建立访问控制措施，部署监控手段，控制数据流向安全。
第二十八条建立较为完备的网络体系，具有合理的网络结构，重要网络设备和通信线路应具有冗余备份，确保业务系统安全稳定运行。
第二十九条 建立网络安全管理制度，规范管理网络结构、安全配置、日志保存、安全控制软件升级与打补丁、口令更新、文件备份和外部连接等方面的授权批准与变更审核，保障安全策略的有效执行。
第三十条 内部网络与互联网、外联单位网络等连接时，应明确网络外联种类方式，采用可靠连接策略及技术手段，实现彼此有效隔离，并对跨网络流量、网络用户行为等进行记录和定期审计，同时确保审计记录不被删除、修改或覆盖。
第三十一条 严格控制移动式设备接入、无线接入和远程接入等网络接入行为，明确接入方式、访问控制等措施要求，形成网络接入日志并定期审计，确保未经审查通过的设备无法接入。
第三十二条 加强信息系统平台软件安全管理，确保配置标准落实。对入侵行为、恶意代码、病毒等风险即进行防范部署，严格控制信息系统身份访问、资源访问，监控主机系统的资源使用情况，并在服务水平降低到设定阈值时发出报警。
第三十三条 分类对计算机终端的安全提出要求，制订终端网络准入、安全策略、软件安装等管理规范。
第三十四条 规范化管理信息系统相关硬件设备，规范设备选型、购置、登记、保养、维修、报废等相关流程，实时动态监控设备运行状态，定期进行巡检、维护和保养并保留相关记录。
第三十五条 制定介质分类管理制度。根据介质存储内容与重要性明确存储介质类型、存放技术指标、保存期限等，并定期检查介质中存储的信息是否完整可用。重要备份介质应进行异地存放。介质送出维修或销毁时，应保证介质信息预先得到审查并妥善处理。对于存储客户隐私等涉密信息的存储介质，应严格依据国家及监管部门要求进行保存与销毁等管理。
四、应用系统与数据安全
第三十六条 建立完善的信息系统开发运行维护管理组织体系，制订完备管理制度与操作规范，确保信息系统开发与运行维护过程独立、人员分离。
第三十七条 生产系统应与开发、测试系统有效隔离，确保生产系统安全、稳定运行。
第三十八条 信息系统开发、实施过程应明确控制方法和人员行为准则，保存相关文档和记录。制定信息系统代码编写安全规范，规范开发人员对源代码访问权限的管理，有效保护公司信息资产安全。涉及公司核心或机密数据的信息系统，应采取必要的保密措施确保其开发实施安全，不得使用敏感生产数据用于开发、测试环境。
第三十九条 信息系统正式上线运行前，应对系统进行功能、性能与安全性测试与验收，经相关流程审批后方可投入使用。
第四十条 制定有效的信息系统变更管理流程，控制系统变更过程，分析变更影响，确保生产环境的完整性和可靠性。包括紧急变更在内的所有变更都应记入日志，并做好系统变更前准备。
第四十一条 对信息系统的运行维护负责，保持运行维护控制力。加强安全入侵检测监控，进行风险评估与安全扫描，及时发现并处置安全事件。
第四十二条建立覆盖信息系统全生命周期的信息安全问题管理流程。建立系统身份鉴别机制，严格帐号权限控制管理，规范权限分配和回收流程，保存审计记录，及时进行分析处理。确保全面的追踪、分析和解决信息系统问题，并对问题记录、分类和索引。
在遇有系统及数据升级、存档、存储、迁移、消除等需要系统终止运行情况，应妥善处理，保证系统及数据安全。
第四十三条 根据内部控制与审计的要求，保存信息系统相关日志，并采取适当措施确保日志内容不被删除、修改或覆盖。
第四十四条 对主机系统进行审计，妥善管理并及时分析处理审计记录。对重要用户行为、异常操作和重要系统命令的使用等应进行重点审计。
第四十五条 建立信息系统灾难恢复管理机制。根据数据及系统的重要性，明确数据及系统的备份与灾难恢复策略。
第四十六条采用必要的技术手段和管理措施，保证数据通信的保密性和完整性。涉密信息应进行加密处理，确保涉密信息在传输、处理、存储过程中不被泄露或篡改。
与外部相关单位信息交换时要保证信息交换协议、策略、密钥等开发运维安全管理，采用国家和行业相关数据交换标准，保障数据交换过程安全可控。
第四十七条 按照国家密码管理相关规定和要求，建立健全密码设备管理制度，加强密码设备使用人员管理，使用符合国家要求和信息加密强度要求的加密技术和产品，加强相关信息系统安全保密设计和建设。
第四十八条 加强互联网门户网站系统安全管理工作，建立严格信息发布审批制度，严格控制网站内容发布权限，对网站系统进行安全评估，确保网站系统安全稳定运行。
第四十九条 电子商务、交易系统等应用系统建设应具备相应管理规范，明确各交易环节或过程安全要求，采取必要安全技术和管理措施，保护个人信息和客户敏感商业信息，保留交易相关日志，确保交易行为安全可靠。
第五十条 加强信息系统病毒防护工作，集中进行防病毒产品的选型测试和部署实施，及时更新防病毒软件和病毒代码，发现病毒或异常情况及时处理。
建立恶意代码防范管理制度，并部署防恶意代码软件，对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等做出明确规定，采取管理与技术措施，确保具备主动发现和有效阻止恶意代码传播的能力。
五、信息化工作外包与采购服务
第五十一条实施信息化工作外包的公司，应制定完备的外包服务管理制度，将外包纳入全面风险管理体系，合理审慎实施外包。
不得将信息系统安全管理责任外包。对涉及国家及本公司商业秘密和客户隐私等敏感信息系统内容进行外包时，应遵守国家和监管部门有关法律法规与要求，并经过公司决策机构批准。
第五十二条根据国家与监管部门有关外包与采购规定，结合风险控制和实际需要，建立有效的外包和采购内部评估审核流程与监督管理机制。
第五十三条 实施数据中心、信息科技基础设施等重要外包应格外谨慎，在准备实施重要外包时应以书面材料正式报告中国保监会。
第五十四条 建立健全外包承包方考核、评估机制，定期对承包方财务状况、技术实力、安全资质、风险控制水平和诚信记录等进行审查、评估与考核，确保其设施和能力满足外包要求。公司应优先选用通过信息安全管理体系认证的信息技术服务机构提供外包服务。
第五十五条 与外包承包方签订书面外包服务合同，合同包括但不限于外包服务范围、安全保密、知识产权、业务连续性要求、争端解决机制、合同变更或终止的过渡安排、违约责任等条款，且承包方须承诺配合保险公司接受保险监督管理机构的检查。
第五十六条 严格控制外包承包方的再转包行为。对于确有第三方外包供应商参与实施的项目，应采取有力措施，确保外包服务质量和安全不受影响和不衰减。
第五十七条 与外包承包方建立有效信息交流与沟通机制，确保外包服务人员的相对稳定性。对于人员的必要流动，应要求外包承包方承诺确保外包服务的连续性与安全性。
第五十八条中国保监会根据需要对外包活动进行现场检查，采集外包活动过程中数据信息和相关资料，对于违反相关法律、法规或存在重大风险隐患的外包情形，可以要求公司进行整改，并视情况予以问责。
六、附则
第五十九条本指引由中国保监会负责解释、修订。
第六十条信息化工作重大事项范围请参考《关于加强保险业信息化工作重大事项管理的通知》（保监厅发〔2007〕8号）
第六十一条本指引自发布之日起实施。
杭州市渔业资源保护和管理办法
浙江省杭州市人民政府
杭州市人民政府令
第１５１号
《杭州市渔业资源保护和管理办法》已经市人民政府常务会议审议通过，现予发布，自发布之日起施行。
市长 任保兴
二０００年五月八日
杭州市渔业资源保护和管理办法
第一条 为了加强渔业资源的保护、增殖、开发和合理利用，保障渔业生产经营者的合法权益，促进渔业生产发展，根据《中华人民共和国渔业法》、《浙江省渔业管理实施办法》等有关法律、法规的规定，结合本市的实际情况，制定本办法。
第二条 在杭州市行政区域内的江河、湖泊、水库、外荡等自然水域和增（养）殖水域，从事渔业生产经营及其相关活动的单位和个人，都必须遵守本办法。
第三条 杭州市人民政府渔业行政主管部门主管全市的渔业管理工作。区、县（市）人民政府渔业行政主管部门负责本行政区域内的渔业管理工作。
县级以上人民政府渔业行政主管部门所属的渔政监督管理机构依法对外行使渔政监督管理权。
第四条 本市对渔业监督管理，实行统一领导、分级管理。
跨区、县（市）的渔业水域，由有关县级人民政府协商制定管理办法，共同组织管理，或由市渔业行政主管部门及其所属的渔政监督管理机构监督管理。
毗邻渔业水域界限不清或有争议的，由有关县级人民政府协商划定渔业生产管理区域线或划定叠区、共管区，协商不成的，由市人民政府裁定。
第五条 各级公安、工商、环保、交通、水利等部门，应根据各自的职责，协助渔业行政主管部门及其所属的渔政监督管理机构做好渔业资源的保护和管理工作。
第六条 发展养殖业应坚持谁投资、谁开发、谁经营、谁受益的原则，保护生产经营者的合法权益。
对开发荒芜水面、滩涂，从事养殖业以及培育、推广优良品种和新技术的单位和个人，各级人民政府及其有关部门应在资金、物资和技术等方面给予扶持和优惠。
第七条 各级人民政府及其渔业行政主管部门应采取有效措施，增殖和保护渔业资源，每年应安排一定比例的资金用于钱塘江、富春江水域渔业资源的增殖和保护。
第八条 对商品鱼养殖基地应严格限制征用。确因建设需要，经批准征用的，建设单位应按照“占多少、建多少”的原则，向县级以上渔业行政主管部门缴纳新鱼塘开发建设费。
新鱼塘开发建设费由县级以上渔业行政主管部门专款专用于新鱼塘建设、现有鱼塘的改造和渔业开发。
第九条 本市自然水域和增殖水域内渔业资源的主要保护品种及最低可捕标准：
（一）鱼类：青鱼１５００克，草鱼、鲢鱼、鳙鱼７５０克，鳊鱼、鲂鱼、鲤鱼５００克，鲻鱼、梭鱼、鳗鱼２５０克，鲴鱼、鲫鱼 １５０克；
（二）虾、蟹类：青虾２．５厘米，河蟹１００克；
（三）蚬类：黄蚬２．５厘米；
（四）其它类：中华鳖２５０克。
小于上述可捕标准的为幼体。各种作业应主动避让幼体体群，捕获的幼体应主动放回水域。
千岛湖水域所在地的县级人民政府可以根据水域特点和资源状况，增加最低可捕标准的品种或提高上述品种的最低可捕标准。
第十条 常年禁渔区、禁渔期和禁捕品种：
（一）常年禁渔区
新安江、富春江水域：新安江大坝至白沙大桥。
钱塘江水域：桐庐分水江大桥至分水江口；富阳镇南门至富春江第一大桥；闻堰高架铁塔至轮船码头；钱塘江大桥上下各１０００米。
（二）禁渔期
富春江水库和钱塘江水域每年四月一日到九月三十日禁止捕捞河蟹。
钱塘江大桥以下水域每年五月一日至翌年一月三十一日禁止捕捞鳗鲡苗。
富春江水库和钱塘江水域每年二月一日至七月十五日禁止使用大牵网作业。
（三）禁捕品种
鲥鱼、长吻危、克氏光倒刺巴、白肌银鱼、子陵鱼、东方屯。
钱塘江大桥以上水域禁止捕捞鳗鲡苗、鳗鲡种、蟹种。
除前款规定的禁渔区、禁渔期和禁捕品种以外，水域所在地的区、县（市）人民政府可以根据当地实际情况另行规定禁渔区、禁渔期和禁捕品种，并报市渔业行政主管部门备案。
第十一条 各禁渔区、禁渔期由水域所在地渔业行政主管部门设立禁渔标志。
钱塘江水域由市渔业行政主管部门设立禁渔标志。
第十二条 禁止在自然水域和增殖水域使用下列严重破坏渔业资源的渔具和捕捞方法从事捕捞作业：
（一）使用电力、鱼鹰捕捞的；
（二）使用爆炸物品、毒饵捕捞的；
（三）在鱼类洄游通道设置断江捕捞的；
（四）利用水位落差搭建各种围坝、围堰等设施捕捞的；
（五）使用密网（网目在２．５厘米以下的，下同）、滚钩、板罾网、虾笼、底拖网、定置网、夹网、沉箱等禁用渔具的。
（六）县级以上人民政府规定的其他禁用渔具和捕捞方法。
第十三条 因特殊需要，在禁渔区、禁渔期捕捞，或者使用禁用渔具、捕捞方法捕捞，或者捕捞禁捕品种以及有重要经济价值水生动物的，必须向所在地的区、县（市）渔政监督管理机构提出申请，经市渔政监督管理机构同意，并报省渔业行政主管部门批准。
使用引进、更新的渔具和捕捞方法的，须经市渔业行政主管部门鉴定认可后，方可使用。
第十四条 禁止制造、销售规格不符合标准的渔具和禁用渔具。
第十五条 在鱼、虾、蟹等水生动，物洄游通道筑坝、建闸，对渔业资源有严重影响的，建设单位应建造过鱼设施，或采取其他补救措施。严禁在闸坝上下拦网捕捞。在鱼、虾、蟹洄游季节，闸坝管理单位应适时开闸纳苗。
任何单位和个人在鱼、虾、蟹、贝幼苗的重点产区直接引水、用水的，应当采取避开幼苗的密集期、区或设置网栅等保护措施。
第十六条 兼有调蓄、灌溉、发电等功能的中小型水库的渔业水域，水库主管部门或当地人民政府应当确定渔业生产所需的最低水位线。因特殊情况确需在最低水位线以下用水的，须经水库主管部门或当地人民政府同意，并采取补救措施。
富春江电站在每年的４—７月份，应保持一定的流量，维护富春江七里泷大坝以下钱塘江渔业水域的自然生态环境。
第十七条 严禁在禁渔区、禁渔期和鱼类的洄游通道从事采集黄沙或进行水下爆破、施工等对渔业资源有严重影响的活动。
在其他渔业水域从事采集黄沙或进行水下爆破、施工等对渔业资源有严重影响的活动的，作业单位应予以经济补偿。
第十八条 鱼类原种、良种和苗种的选育、生产、经营和管理按农业部《水产种苗管理办法》执行。
第十九条 从国外引进或向国外输出水产种质资源的，由市渔业行政主管部门报省渔业行政主管部门同意，经全国水产原、良种审定委员会审核，报国务院渔业行政部门批准。
第二十条 各级渔业行政主管部门应当根据渔业资源再生规律，按不同作业水域、作业类型、捕捞品种制订规划，核定渔业捕捞许可证发放数量，严格控制捕捞强度，取缔灭绝性的捕捞活动。
第二十一条 凡在自然水域和增殖水域从事渔业捕捞活动的单位和个人，必须向户籍所在地的渔政监督管理机构申领渔业捕捞许可证，并按照捕捞许可证规定的作业类型、场所、时限和渔具数量进行作业。
第二十二条 富春江七里泷大坝以下钱塘江渔业水域的渔业捕捞许可证，由市渔政监督管理机构核定发证数量，委托水域所在地的渔政监督管理机构发放。
跨区、县（市）从事捕捞作业的，凭所在地渔政监督管理机构的证明，向作业水域所在地的渔政监督管理机构申领临时捕捞许可证。
第二十三条 禁止买卖、出租或以其他方式非法转让、涂改、伪造捕捞许可证。
第二十四条 禁止经营国家和省级保护的水生野生动物及其产品和其他违禁渔获物。
养殖国家和省级保护的水生野生动物的，须经省级渔业行政主管部门批准，并实行定点养殖和销售。
第二十五条 向渔业水域排放污染物的单位、船舶和个人，应严格遵守环境保护法规，保证渔业水域的水质达到渔业水质标准。
禁止任何船舶向渔业水域排放油类、油性混合物、废弃物和其他有害物质，污染渔业水域环境。
从事浸麻、洗麻等生产活动和因卫生防疫、防治病虫害需要向渔业水域投注药物，影响渔业水域环境的，应采取有效的防治措施。
第二十六条 严禁在鱼类的产卵场、越冬场、索铒场、洄游通道、禁渔区以及商品鱼养殖基地等重要渔业水域，建造污染严重的厂矿企业和排污口。已建的排污口和污染严重的企业排放污染物超过国家或者地方标准的，应进行治理，使污染物排放达到国家或者地方标准。
第二十七条 凡向渔业水域排污造成渔业水域污染或死鱼事故的，由所在地渔政监督管理机构负责调查处理。渔政监督管理机构应当及时向事故发生地的环境保护部门通报事故处理情况。
第二十八条 凡从事渔业生产经营及其相关活动的单位和个人，必须依法缴纳渔业资源增殖保护费等渔业规费。
渔业规费由渔政监督管理机构负责征收，实行财政专户储存，专款专用于渔业资源的增值、保护和管理，不得挪作他用。
第二十九条 对违反本办法的单位和个人，由渔政监督管理机构依照国家和省的有关规定予以处罚，对使用毒饵从事捕捞作业造成渔业污染事故的，按照《中华人民共和国水污染防治法实施细则》的规定予以处罚。
违反本办法规定，依照有关法律、法规应当由其他有关部门予以处罚的，由有关部门依法处罚。
第三十条 本办法由杭州市人民政府法制局负责解释。
第三十一条 本办法自发布之日起施行。