第四十条 对于涉及到交易所、登记结算公司、银行等出现交易结算规则、接口变动等导致的系统建设，技术组应提出变更方案，报托管工作组审批，由技术组组织实施。
第四十一条 对因客户结算保证金存管方式变化导致的系统建设，托管工作组应会同存管银行向中国证监会提交有关协议文本、业务方案及技术方案等申请材料，通过审批后，由托管工作组组织实施。
第四十二条 新的系统建设应本着实用、安全、系统化的原则进行。
第四十三条 新系统的上线和运行管理应遵循证监会颁布的《
证券公司信息技术管理规范》的要求。
第五章 应急预案及应急处理
第四十四条 为科学应对被托管机构信息系统突发故障事件，建立健全信息系统故障应急响应机制，有效预防、及时控制和最大限度地消除突发故障事件的危害和影响，应制定被托管机构信息系统故障应急预案。
第四十五条 技术组负责应急预案的全面管理及故障应急处理的全面组织和协调工作并负责监督应急预案的制定、实施与演练，负责检查应急预案的可行性，对发生的问题做出分析、判断，并提供技术支持和指导。被托管机构技术人员执行相应技术处理。
第四十六条 技术组应对被托管机构的应急预案进行检查审核，组织被托管技术方对应急预案进行优化、补充、完善。应急预案制定与管理原则如下：
1．应急预案应涵盖被托管机构各信息系统的所有关键环节可能发生的故障，且须重点考虑供电系统、服务器系统、通信系统、网络系统、交易系统、数据备份等。
2．应急预案应根据被托管机构信息系统的现状，按科学、实用原则制定。
3．应定期、不定期（至少一季度一次）根据应急预案进行专项培训演练，以不断提高故障判断及故障处理的快速反应能力，力争将故障的影响和损失降低到最小程度。进行应急演习时，应做好演习前的备份和演习后的恢复工作。
4．对主用系统进行变更时，须同步对备份系统进行更新，以确保主从系统的参数设置一致，以便发生故障时从系统能正常启用。
5．每次演习结束后应及时进行总结，根据演习情况对应急预案进行进一步完善。
6．关键设备及系统的应急计划须张贴在系统所在的显要位置。
7．信息系统发生故障时，应及时按预定分工密切配合，尽快按应急预案处理。
第四十七条 当发生技术故障时，应及时启动系统故障应急预案，如应急预案中未涵盖该故障的应急处理方案，由技术组临时制定应急预案并组织执行。技术故障处置原则如下：
1．当发生一般技术故障时，在保障交易和尽量保证交易资料的安全完整的前提下，可继续开展全部或部分主要业务，同时按应急预案进行故障处理，尽快排除故障。
2．当发生重大技术故障时，在按应急预案处理故障的同时，应立即按报告制度中紧急事件的报告方式向技术组报告，并与系统开发商、设备提供商、以及各协作方及时取得联系，同时对客户进行解释，寻求各方面的支持和援助，尽量缩短排除故障的时间，尽快恢复正常交易。
第四十八条 技术组须对应急预案的实施全过程进行监督检查，督促被托管机构技术人员按预案指定的操作步骤及时进行应急处理。
第四十九条 故障处理完成后，技术组须组织现场技术岗位填写《系统故障风险登记表》（表39）备案，并整理故障处理过程中的各种相关信息，记录好相应日志，对故障处置情况进行认真分析原因，对及时性、有效性进行综合评估，提出相应的纠正和改进措施，进行演习验证后对应急预案进行相应修改，并填写《纠正预防措施实施验证记录表》（表40）备案。
第五十条 为了确保出现故障时能及时得到相关单位支持，应急预案中应整理所有相关单位的联系方式，包括被托管机构的各部门联系电话，托管机构所有托管人员联系电话，以及线路运营商、深沪交易所、深沪通讯公司、登记公司、设备供应商、软件开发商、系统集成商、物业公司、电业局、当地证监局、合作银行以及其它相关单位的联系方式，具体内容参考《交接日相关单位联系方式汇总表》（表20）。
附件一：管理细则汇总
（一）机房安全管理细则
1．本办法适用于被托管机构信息技术机房的管理。
2．现场技术岗位和被托管技术方共同做好本部门机房的运行维护和安全管理工作，现场技术岗位行使监督职能。
3．工作时间内机房必须有当班人员值班。加强对机房运行环境的安全巡视，定期检查UPS后备电源电池的充放电情况，保证工作中电能的正常供应。
4．托管期间，加强安全保卫措施，严格执行机房进出审核登记制度，无关人员未经批准不得进入机房。被托管机构非机房工作人员获现场技术岗位批准后方可进入机房。因工作需要进入机房的人员，需在《机房人员出入登记表》（表25）进行登记后方可进入。
5．托管期间，被托管机构机房设备进出，必须填写《机房设备出入登记表》（表26），获现场技术岗位批准后方可进出。
6．加强与物业、电信等与系统运行环境关系密切的单位的沟通联系，防范突发事件，起到预警效应。
7．电脑设备分类规范摆放，设备连接线要捆扎整齐，禁止摆放与业务无关的东西。保持机房内的清洁卫生，定期打扫。
8．禁止在机房内吸烟，不得携带易燃、易爆、易腐蚀、强磁及其他与机房工作无关的物品进入机房。
（二）用户管理细则
1．本办法范围适用于所有系统的用户及密码管理，其中超级用户包括操作系统、网络设备、数据库、应用系统等范围。
2．按照“三分离、一稽审”规范要求，用户及密码的管理工作由托管机构派驻各现场的负责人、业务人员及现场技术岗位共同进行。
3．禁止被托管技术方掌管以上所述范围的各类超级用户密码。
4．用户管理。托管机构派驻到各分支总部、营业部的现场负责人管理数据库的超级用户；托管机构派驻现场业务人员管理柜台系统的超级用户；现场技术岗位管理网络设备、操作系统的超级用户；其他应用系统的超级用户根据岗位责任由托管工作组派驻的相关人员管理。
5．托管开始时，被托管技术方填报《交接前系统超级用户密码登记表》（表9）提交托管机构。
6．各系统用户管理人负责各自所掌控密码的产生、修改工作，操作记录上报托管工作组。密码按要求定期进行修改，修改记录报托管工作组备案。操作修改工作需登录《交接日密码设置修改登记表》（表10）。
7．日常维护中，被托管机构信息技术人员如需使用超级用户，须由用户管理人用超级用户登录相应系统，被托管机构信息技术人员执行相应操作，密码掌控人进行监督。操作完成后，用户管理人负责安全退出。
8．所有操作人员应有互不相同的用户名，操作时使用各自的用户名，并定期更换密码，以防密码泄露。
（三）权限管理细则
1．本办法所指权限包括操作系统、数据库和应用系统等。
2．权限设置应遵从最小化原则。
3．权限设定和修改流程按照由申请部门提出需求，填写《权限设置修改登记表》（表28）经超级用户密码掌控人同意并上报托管工作组批准后，方可实施权限修改。
4．修改权限时，由超级用户密码掌控人登录相应系统，被托管机构信息技术人员执行设置操作，超级用户密码掌控人依照《权限设置修改登记表》（表28）内容进行操作监督，并复核修改内容。
5．权限设置完毕后，超级用户密码掌控人负责安全退出超级用户登录。
6．操作权限严格按岗位职责设置，密码掌控人要定期检查操作员的权限。
（四）数据安全管理细则
1．本办法所指数据为交易和清算数据。财务数据依照财务相关规定执行。
2．托管期间，每日数据备份内容应涵盖A股交易数据、B股交易数据、债券交易数据、三板交易数据、权证交易数据、开放式基金系统数据、银证通系统数据、AB股和三板行情数据、清算数据等。
3．托管期内由被托管机构相关人员进行每日数据备份，现场技术岗位对备份过程进行监督。如原备份方式属不规范操作，现场技术岗位应规范数据备份方式，被托管机构人员遵照执行。数据备份操作需登录《每日数据备份登记表》（表29）。
4．被托管机构必须对每日数据进行异地备份，现场技术岗位对异地备份进行监督。
5．托管期内每日备份数据由被托管技术方以周为单位定时上报技术组，现场技术岗位实施监督。
6．数据保管地点应有防火、防热、防潮、防尘、防磁、防盗设施。实施严格的安全保密管理，严禁泄露数据内容。
7．托管期内，如对交易等数据进行维护，参照《系统运行维护管理细则》（附件一）执行。
（五）报告办法
1．信息技术采取日报告制度，现场技术岗位每日16：00前向技术组汇报其所在部门信息技术整体情况，报告格式参照《信息技术日报表》（表41）进行，日报中应涵盖系统运行、设备维护、人员管理、故障处理以及其它涉及信息技术方面的内容。
2．对于紧急发生的事故和问题，现场技术岗位可采取随时口头向技术组汇报的方式。
3．当日若发生系统故障或升级，则《信息技术日报表》（表41）应将《系统故障风险登记表》（表39）作为附件，一并上报。
4．所有故障报告遵从由现场技术岗位向技术组、技术组向托管工作组逐级上报的原则进行。
（六）病毒防范管理细则
1．自托管之日起，现场技术岗位应定期组织被托管机构信息技术人员对所管辖的系统进行全面的杀毒工作；托管当日（或次日）应组织对整个系统进行一次全面杀毒。
2．所有有盘工作站必须安装防病毒软件，并随时进行版本升级；病毒查杀须在断网情况下进行。
3．病毒查杀情况需登录《系统防病毒检查表》（表38）。
4．现场技术岗位的病毒防范工作包括：所管辖系统计算机病毒的防范工作，掌握常见计算机病毒的防范处理知识和必要的技术手段，督促并指导对发现的病毒进行查杀，及时向技术组报告病毒的发生、处理情况；
5．严禁使用未经授权的软硬件，对于来路不明、内容不详的档案资料，应在使用前进行查毒杀毒，确认无病毒后方可使用。
6．需要使用文件共享时，必须加上共享密码并控制文件读取权限。
（七）技术文档管理细则
1．本办法所指的技术文档是指与信息系统相关的技术文件、线路分布、图表、程序、参考书籍与数据等，包括信息系统建设规划、网络设计方案、软件设计方案、安全设计方案、源代码、系统配置参数、软件版本、技术数据及相关技术、工程资料、信息技术合同、账款支付、系统运行费用等。
2．现场技术岗位应配备用于存放技术资料的保管箱或保管柜等物件。
3．被托管机构将所有技术文档归类整理，并填写《交接日技术资料登记表》（表18）、《交接日信息技术合同台账》（表19）、《交接日通讯线路资料表》（表21）等，一并交现场技术岗位进行核查和管理。
4．现场技术岗位应对重要技术文档建立副本，并做到异地存放。
5．所有存放的软件应附带相关的详细书面文档。设备随机资料必须建立详尽的台账记录。
6．托管期内新增加的技术文档必须在《技术资料登记表》（表34）、《信息技术合同台账》（表35）等中记录。
7．托管期内，技术文档的借阅、复制，应获得现场技术岗位同意并予以登记。未经批准，不得随意借阅给他人。
8．资料保管人员应有高度的责任心，对保管的技术文档经常进行整理和重新归档。保管文档的地方应有必要的防潮、防霉、防鼠、防盗、防火等条件。
（八）信息技术人员管理细则
1．本办法适用于被托管机构信息技术人员。
2．托管工作组对被托管机构信息技术人员实施全面管理，技术组对被托管机构信息技术人员实施技术管理。
3．被托管机构信息技术人员须服从托管机构要求，遵守托管期间所有规章制度，做好托管期间信息技术安全保障工作。
4．被托管机构信息技术人员须严格遵守职业道德规范，即：根据三分离一稽审制度，严禁参与相关业务操作；严禁为部门违规提供技术支持或协同违规；严禁编制虚假单据和提供虚假交易数据；严禁向外泄露公司技术机密和提供重要文档资料等违规行为。
5．托管期间，被托管信息技术人员未经托管工作组批准，不得擅自离岗。因特殊原因需调离岗位时，应经技术组上报托管工作组批准并进行离任审计后，按照相关制度办理手续，方可离岗。
6．其它人事管理遵照托管工作组相关规定执行。
（九）软硬件设备管理细则
1．交接日被托管技术方向托管机构提供与托管信息系统相关的《交接日系统硬件台账》（表16）与《交接日系统软件台账》（表17）。
2．托管当日（次日），现场技术岗位依据设备台账对被托管机构部门进行设备全面清查，对账实不符的设备由被托管机构人员进行说明。清查情况上报技术组。
3．托管期间原则上不购置新的电脑设备和进行软件升级和更换，但下列情况例外：
4．设备损坏且无替代，直接影响交易的正常进行；
5．软件如不更换或升级时将影响到交易系统的正常运行；
6．交易所强制要求的系统升级涉及到的软硬件；
7．其它影响到交易正常进行的事件需要购买设备。
8．若发生上述情况而需购置或调配设备和软件时，被托管技术方填写《软硬件设备采购申请表》（表36），经现场技术岗位审核后报技术组审批；
9．得到同意购买批复后，按照托管期财务管理制度要求实施采购，并回复《软硬件设备采购申请表》（表36）。软硬件设备的日常维护及安装调试参见《系统运行维护管理细则》。购买后须填报《系统硬件台账》（表32）或《系统软件台账》（表33）。
10. 托管期内不报废软件。
11. 软硬件设备发生故障后立即报现场技术岗位，在征得其同意后进行修理，并同时做好维修记录。
12. 现场技术岗位要加强对UPS、发电机等后备式电源的监督管理，保证正常的设备供电。
13. 软硬件设备的日常管理沿用被托管机构设备管理细则。
（十）网络管理细则
1．被托管机构信息技术人员提供所有完整详细的网络布线、配线、网络拓扑、网络设备的网络地址、硬件配置及其配置参数等网络设计和网络工程资料，供现场技术岗位查阅。
2．自托管开始日起，被托管机构的交易网络必须与其办公网络、互联网络严格分离。
3．托管期间，原则上禁止广域网络的改造。确因工作需要，被托管技术方须填写《网络改造申请表》（表31），现场技术岗位审核后，上报技术组批准，方可实施。
4．托管期间，现场技术岗位须严格管理各种网络设备的口令、地址及网络配置信息，并且督促被托管技术方做好相关维护记录。
5．修改网络配置时，被托管技术方填报《系统运行维护记录表》（表30），经现场技术岗位同意，现场技术岗位用超级用户密码登录，被托管技术方进行修改操作，现场技术岗位根据记录表进行核查。修改完成后，现场技术岗位负责安全退出。
6．远程登录用户或跨网存取用户须通过IP地址限制、端口限制的方法进行访问控制。设备接入公司内网时须进行病毒清查及相关安全设置（如：升级补丁、禁用服务端口等）。
7．安装系统时，须遵守最小权限原则，禁用不用的服务和端口。严禁擅自安装双网卡机器进行跨网操作，或通过插拔网线改变机器接入网络的方式。
8．发现病毒侵入或黑客攻击，应及时采取措施进行隔离，同时执行报告制度。
9．认真做好网络设备的清洁保养工作，定期对户外的网络通信设备、线路进行检查，确保网络通信的安全、畅通。
（十一）系统安全管理细则
1．必须启用柜台软件提供的安全日志留痕功能；
2．现场技术岗位每日要对系统安全日志进行查阅，发现问题及时处理和上报；查阅情况和问题处理情况需在机房运行日志中记录；
3．严格执行密码管理细则和权限管理细则；
4．严格执行“三分离、一稽审”，做到技术与业务分离、前台与后台分离、网络与数据分离以及不定期地进行业务技术稽审。
（十二）系统运行维护管理细则
1．托管期内，现场技术岗位督促和管理被托管技术方做好系统日常运维工作，督促被托管技术方按照技术组要求做好包括系统程序、配置文件和参数、操作系统和应用系统运行日志以及变更的系统等在内的相应备份工作。
2．系统维护遵从被托管技术方负责具体操作，维护操作完成后，记录相应的处理情况和结果，现场技术岗位进行监督和复核的方式进行。
3．被托管技术方每日必须完整填写系统运行日志，日志中应涵盖系统操作项目、运行结果、异常情况、问题处理结果等内容。
4．被托管技术方完成托管工作组要求的其它日报及各项表单；现场技术岗位负责核阅。
5．对交易和系统数据进行维护时，由申请部门提出需求，并填写《系统数据维护记录表》（表37），经现场技术岗位或技术组批准后，进行实施。
6．进行系统升级、网络和设备维护时，由申请部门提出需求，并填写《系统运行维护记录表》（表30），经现场技术岗位或技术组批准后，进行实施。操作完成后，被托管技术方须对系统进行全面测试，测试情况登录《系统运行维护记录表》（表30），并上报技术组备案。
7．新系统启用前必须经过严格的上线测试，并经技术组批准后方可启用。
8．系统出现故障或遭受任何影响时，应立即启动应急预案，填写《系统故障风险登记表》（表39），并上报技术组。
9．应定期或不定期对应急预案进行演练，不断修改和完善应急预案。进行应急演习时，要做好系统及数据的备份和恢复工作。
10. 部门的需求给予及时的响应和技术支持。
（十三）新系统建设管理细则
1．新系统建设方案系统建设必须坚持高安全性、高可靠性和标准化的原则。
2．除提交通常的系统建设方案外，还须提交专门的方案详细说明新建系统对现有运行系统可能带来的影响。
3．新建系统涉及到现有系统的改造情况下，应用系统各开发商应积极配合。
4．新建应用系统原则上应使用现有网络设备，如确实需要，请参照网络管理细则（附件一）执行。
5．如果需要和外单位新建联网，应采用可靠的技术隔离手段，确保安全可靠。
6．系统软件要求：
（1） 系统软件的选用应充分考虑安全性、可靠性、稳定性和健壮性，应使用符合安全要求的软件。
（2） 操作系统软件的使用应遵循最小功能原则及最小权限策略，关闭不必要的服务和端口。
（3） 在经过充分测试的前提下，应及时安装操作系统的补丁程序。
7．应用软件要求：
（1）应用软件未经严格测试不得上线。
（2）做好相应的应急和备份计划，重要应用软件系统宜采取在线备份措施。
（3）执行规范化的信息系统上线流程，评估系统上线风险，应针对可能影响到现有运行系统的风险专门进行评估。
附件二：交接工作流程表汇总
准备期
┌────┬───────┬──────────────────────┬───────┬────────┐
│ 时间 │工作事项 │ 工作内容和步骤 │ 参与人员 │ 备 注 │
├────┼───────┼──────────────────────┼───────┼────────┤
│ 准 │被托管机构情况│了解和掌握被托管机构信息系统主要建设概况，包│ 证监局 │所用表单参见附件│
│ │摸底 │括主要应用系统、建设模式、组织架构等方面。 │ │ 二 │
│ 备 │ │ │ │ │
│ ├───────┼──────────────────────┼───────┼────────┤
│ 期 │1、成立技术组 │1、 托管机构抽调技术骨干组成技术组； │托管工作组 │ │
│ │ │2、 根据证监局提供的相关资料，工作领导小组应│ │ │
│ │ │迅速熟悉情况，并尽可能通过其他途径和方式获取│ │ │
│ │ │所需的被托管方其它相关资料； │ │ │
│ │ │3、 明确技术组的工作要求。 │ │ │
│ ├───────┼──────────────────────┼───────┼────────┤
│ │2、制定托管方 │1、 制定各项信息管理制度； │技术组 │表7：《交接日信 │
│ │案 │2、 制定托管工作流程； │ │息系统情况登记表│
│ │ │3、 制定交接清单； │ │ 》。 │
│ │ │4、 确定参与接管工作的信息人员名单； │ │ │
│ │ │5、 制定交接过程中需配备的设备和工具清单； │ │ │
│ │ │6、 对被托管机构信息技术系统情况进行初步调 │ │ │
│ │ │查并拟订《交接日信息系统情况登记表》。 │ │ │
│ ├───────┼──────────────────────┼───────┼────────┤
│ │3、计划及制度 │1、 提交材料至托管工作组审定。 │托管工作组 │ │
│ │审核 │ │ │ │
│ ├───────┼──────────────────────┼───────┼────────┤
│ │4、 组建队伍 │1. 通知人员报到，组建托管信息技术人员│技术组、 │ │
│ │准备工具 │队伍，简称“现场技术岗位”； │现场技术岗位 │ │
│ │ │2. 着手准备现场技术岗位队伍的培训工作│ │ │
│ │ │； │ │ │
│ │ │3. 根据工具配备清单，组织设备的调配工│ │ │
│ │ │作。 │ │ │
│ │ │4. 继续完善各项制度及表单的制定，准备│ │ │
│ │ │培训内容。 │ │ │
│ ├───────┼──────────────────────┼───────┼────────┤
│ │5、建立联系渠 │1、 在可能情况下，建立与当地证监局、当地证券│ │ │
│ │道 │业协会、系统开发商、设备供应商、线路运营商以│ │ │
│ │ │及其他关联单位的联系方式。 │ │ │
│ ├───────┼──────────────────────┼───────┼────────┤
│ │6、人员培训 │技术培训： │托管工作信息技│ │
│ │ │1、 各项管理细则； │术组、 │ │
│ │ │2、 各相关系统的密码、权限修改； │现场技术岗位 │ │
│ │ │3、 重要数据、操作系统、应用系统的备份； │ │ │
│ │ │4、 柜台系统相关培训、参数设置等。 │ │ │
│ │ ├──────────────────────┤ ├────────┤
│ │ │ 交接培训： │ │ │
│ │ │5、 托管交接工作流程； │ │ │
│ │ │6、 托管交接清单交收要点； │ │ │
│ │ │7、 托管交接相关问题等。 │ │ │
│ ├───────┼──────────────────────┼───────┼────────┤
│ │ 7、初步风险 │1、 1、 根据了解情况，对照规范要求，对被托│技术组 │ │
│ │评估 │管机构信息技术整体情况进行初步 │ │ │
│ │ │2、 风险评估； │ │ │
│ │ │3、 2、 风险评估报告上报托管工作组。 │ │ │
│ ├───────┼──────────────────────┼───────┼────────┤
│ │ 8、制定应急 │1、 根据托管方案制定交接过程中各项工作的应急│技术组 │ │
│ │预案 │处理预案。 │ │ │
└────┴───────┴──────────────────────┴───────┴────────┘
