该办法是国家金融监督管理总局为加强银行业保险业网络安全监管而制定的重要规范性文件，旨在构建覆盖全行业、全生命周期的网络安全管理体系。
一、总体框架：全机构覆盖，责任层层压实
办法适用于境内所有银行业、保险业金融机构及金融控股公司，外国分支机构参照执行。明确金融机构党委（党组）、董（理）事会对网络安全负主体责任，主要负责人为第一责任人，分管领导为直接责任人。要求建立由决策层、管理层、执行层和监督考核层构成的治理架构，并将境内外分支附属机构纳入统一管理。
二、建设与运行：全生命周期管控
办法强调网络安全与信息化建设“同步规划、同步建设、同步使用”。核心要求包括：
-
资产与边界管理：全面识别网络资产并分类分级，划分网络安全域，按“最小必要”原则配置访问控制策略，重点防护互联网边界与内部关键边界。
-
基线、日志与漏洞：建立安全基线并定期核查；日志留存不少于6个月；每季度至少开展一次漏洞处置分析，发现行业级漏洞须立即报告。
-
开发、变更与供应链：加强软件开发全生命周期安全；重大投产变更须经安全测试，避开业务高峰期；建立供应链安全管理制度，明确外包及供应商应急要求。
-
新技术应用：引入新技术前须进行安全评估，不得降低防护水平。
【原文下载，请扫码加入知识库】
三、风险监测与事件响应：主动防御，快速处置
要求建立多层级监测预警体系，实时分析流量、日志、告警等信息，主动监测钓鱼网站、仿冒App等威胁，并开展威胁情报共享。每年至少开展一次风险评估和渗透测试，三年一次审计。
事件响应实行分级管理（特别重大、重大、较大、一般），明确报告时限：较大（三级）及以上事件须2小时内报告，24小时内提交书面报告；特别重大（一级）须立即报告并每2小时汇报进展。事件后需总结分析、整改完善，重大（二级）及以上事件须开展专项审计，并严肃追究责任。
四、关键信息基础设施（关基）特殊要求
关基运营者须建立专项保护方案，主要负责人负总责，安全保护等级不低于第三级。关键技术应自主掌握，关键岗位人员须安全背景审查。关基须在中国境内运行维护，管理后台采用双因素认证和白名单访问，建立7×24小时监控指挥中心。关基发生较大及以上事件，须1小时内报告监管部门。
五、监管与处罚
监管部门通过非现场监管、现场检查、攻防演练等方式持续监督。金融机构须每年1月15日前报送网络安全年度报告。违规行为将依法采取监管措施或行政处罚。行业协会可制定自律规则。
六、行业影响与应对
该办法将极大提升全行业网络安全底线要求。金融机构需重点完善治理架构、补齐日志与漏洞管理短板、强化供应链安全、提升应急响应时效。特别是关基运营者需加大自主可控投入，建立7×24小时运营能力。总体来看，办法推动行业从“被动合规”转向“主动防御”，资本充足、技术实力强的头部机构将更具竞争优势，中小机构则需加快能力建设以符合监管要求。
发布者：保险日报，转转请注明出处：https://www.insurdaily.com/archives/6422.html
微信扫一扫 
