苏建金管[2020]219号
省住房城乡建设厅关千印发《江苏省住房
公积金信息安全管理办法（试行）》的通知
苏建金管[2020]219号
各设区市住房公积金管理委员会、住房公积金管理中心，各行业（部门）分中心（管理部）：
现将《江苏省住房公积金信息安全管理办法（试行）》印发给你们，请结合实际，遵照执行。
江苏省住房和城乡建设厅
2020年12月14日
江苏省住房公积金信息安全管理办法（试行）
第一章总则
第一条为了强化住房公积金信息安全管理，防范计算机信息技术风险和廉政风险，推进“智慧公积金”建设，根据《中华人民共和国网络安全法》《住房公积金管理条例》《江苏省促进政务服务便利化条例》等法律法规规定，结合我省实际，制定本办法。
第二条本省行政区域内住房公积金信息化项目建设、运行及维护等过程中保障信息系统及其相关数据、环境、网络和操作安全等管理活动，适用本办法。
第三条信息安全管理应当按照“谁主管谁负责、人员防范
与技术防范并重、以安全促发展”的原则，顺应信息科技发展趋势，保障住房公积金各项业务高效便捷稳定运转，促进住房公积金工作创新和高质量发展。
第四条省住房和城乡建设厅负责指导监督全省住房公积金信息安全管理工作。
各设区市住房公积金管理中心（以下简称公积金中心）具体负责本地区公积金信息安全管理工作。
第二章一般规定
第五条公积金中心应当建立健全覆盖物理环境、网络、主机系统、数据、存储、容灾、安全事件管理以及应用等各层面的安全管理制度，并及时修订。
第六条公积金中心应当按照信息安全有关规范、技术标准、等级保护、密码管理等要求，实施信息安全等级保护、备案和测评等工作，明确安全保护等级，采用符合国家密码管理要求的密码产品对信息传输、数据存储等过程进行保护，定期开展安全等级测评和密码安全性评估。
第七条公积金中心应当制定信息安全应急响应预案，定期进行演练、评审和修订。遇有重大信息安全事故等突发事件，应当按照应急预案快速响应处理，并及时向有关部门报告。
第八条公积金中心应当建立健全运行维护管理机制，明确运行维护工作事项和内容，编制运行维护手册，建立运行维护监控系统。
第九条公积金中心应当建立和完善信息安全审计制度，逐步建设信息安全稽核系统，不定期聘请具备相应资质的机构开展信息安全专项审计稽核。
第三章 组织保障与人员管理
第十条公积金中心主要负责人是信息安全管理工作第一责任人，统筹管理信息安全工作，协调处理重大信息安全问题。
第十一条公积金中心应当有专门负责信息科技工作的机构，归口管理本单位信息安全规划、建设和管理等工作。
第十二条公积金中心应当配备足够的具有专业知识和技能
的信息安全人员，明确信息安全相关人员角色和职责，建立必要的岗位分离和职责权限制约机制，实行最小授权，避免单一人员权限过于集中引发风险。重要岗位应当实行一人办理另一人审核的制度。
第十三条公积金中心应当针对信息安全的各层面、各环节，结合各部门和岗位职贵，建立职责明确的授权机制、审批流程以及完备有效、相互制衡的内部控制体系，并对审批文档和内部控制过程及时记录。
第十四条公积金中心应当按照“岗位不相容、岗位相制衡和重要岗位轮岗＂的内控要求，严格划分管理员角色，分别设置专职的硬件系统管理员、应用系统管理员、数据库管理员、网络管理员、信息安全管理员等。同一人不得同时承担两个以上上述岗位职责。
第十五条公积金中心应当加强岗位管理，开展信息安全管
理相关培训，明确上岗与离岗要求。
第十六条公积金中心应当保障充足、稳定的信息安全经费投入，将信息安全建设、信息安全测评、信息安全服务等费用列入专项经费预算。
第四章信息系统安全管理
第十七条公积金中心应当利用信息安全技术以及管理手段，保护信息在采集、传输、交换、处理和存储等过程中的可用性、保密性、完整性和不可抵赖性，保障信息系统安全稳定运行。
第十八条公积金中心应当按照有关规定开展信息系统建设。信息系统正式上线运行前，应当对其功能、性能、安全性进行全面测试和验收，按流程审批后方可投入使用。
第十九条公积金中心应当将生产系统与开发、测试系统有效隔离。
第二十条公积金中心应当实行信息系统用户身份鉴别，设置充分的用户密码安全策略，逐步引入数字证书、生物识别等更安全的身份认证机制。
第二十一条公积金中心应当保存信息系统等相关日志，采
取适当措施确保日志内容不被删除、修改或者覆盖。远程登录服务器、网络设备等应当采用加密方式并记录访问日志。
第二十二条公积金中心应当加强信息系统病毒防护工作，部署并及时更新防病毒软件，发现病毒或异常情况及时处理。引入专业公司定期开展安全防护检测，强化口令控制、漏洞修复等基础安全。
第二十三条公积金中心应当制定完备的信息化工作外包服务管理制度，将外包纳入全面风险管理体系，合理审慎实施外包。
与外包承包方签订外包服务合同的内容应当包括但不限于外包服务范围、安全保密、违约责任等条款。不得将信息安全管理责任外包。
公积金中心应当建立健全外包承包方考核、评估机制，定期对承包方财务状况、技术实力、安全资质、信息技术水平和诚信记录等进行审查、评估与考核。
第五章 数据安全与共享管理
第二十四条公积金中心应当做好以电子形式存储的住房公积金业务数据、电子档案、系统运行日志以及其他内部资料等数据的分类、组织、存储、共享、利用和安全管理。
第二十五条公积金中心应当建立和完善数据稽核系统，对数据的产生、采集、传输、存储、使用、共享、销毁等进行全生命周期管理。持续开展数据治理工作，优化基础数据质量。
第二十六条公积金中心应当严格管理数据的增加、修改、删除等变更操作，适时进行数据有效性检查。数据的操作实行日志管理，严格监控操作过程，及时处理并上报发现的数据安全问题。
第二十七条公积金中心应当建立数据备份制度，按照数据
的分类和特点，制定相应的备份策略，执行数据备份任务，定期测试备份数据的有效性和预演数据恢复流程。
第二十八条在电子档案管理过程中公积金中心应当采用电子签名、电子签章、区块链等技术，确保电子档案真实、合法、有效。
第二十九条在提供互联网服务时公积金中心应当综合运用手机短信验证码、生物识别、电子证书、区块链等技术手段，防范第三方利用职工用户名和密码套取数据。
第三十条公积金中心应当加强数据共享安全防护，采用数据加密传输等安全手段，建立防攻击、防泄露、防窃取、防篡改的监测保护机制。与相关部门实现数据共享时，公积金中心应当签订安全保密协议，明确数据安全责任。
第三十一条公积金中心应当加强数据共享访问权限管理，建立数据共享身份认证、访问控制机制，规范共享流程，强化数据共享审计追踪。
第三十二条公积金中心应当建立数据共享溯源机制，逐步建设数据共享留痕系统，引入电子签章、电子签名等技术将共享获得的数据加密存储为电子档案。
第三十三条公积金中心应当按照履职需要依法依规合理使用公安、房产交易、不动产登记、人民银行、民政等相关部门的共享数据，不得将共享获得的数据用作其他，不得更改共享获得的数据。
第三十四条除法律法规有明确规定外，公积金中心应当通过接口方式对外提供共享数据，原则上不得向第三方批量提供全表数据，确有需要的，应当报住房公积金管理委员会批准。在向商业机构提供涉及职工隐私的数据资源前，应当获得个人授权。
第六章 基础设施与网络安全管理
第三十五条公积金中心建设机房应当符合国家有关标准规范和监管部门要求。将机房外包托管的，应当保证受托方机房具有独立的操作空间和严格的安全措施。
第三十六条公积金中心应当严格管理相关硬件设备，规范设备选型、购置、登记、保养、维修、报废等相关流程，实时动态监控设备运行状态，定期巡检、维护和保养并保留相关记录。第三十七条公积金中心应当设置合理的网络结构，将网络
划分成不同的逻辑安全区域，各区域之间应当进行有效隔离。重要网络设备和通信线路应当具有冗余备份。
第三十八条公积金中心应当建立多层次网络信息安全技术防护体系。通过互联网与其他单位有数据交换的网络边界应当配备防火墙、安全网关、入侵防御、访问控制、网络审计等安全设备，确保合法终端和服务应用的连接访问控制。
第三十九条公积金中心应当加强容灾体系建设，逐步建立异地应用级容灾系统，支持远程数据容灾和应用快速切换。在满足安全和保密等条件下，可以利用政府和社会数据中心建立容灾系统。
第七章监督与检查
第四十条省住房和城乡建设厅根据工作需要适时开展全省住房公积金信息安全管理工作专项检查，检查内容包括信息安全的基本状况、工作情况、制度建设、应急处匮以及日常管理等。
第四十一条公积金中心应当制定信息安全巡检、定检制度，及时评估、分析信息安全问题产生的原因，采取修补漏洞、系统升级、部署防护措施、完善管理制度等措施进行整改，并桉要求反馈整改结果。
第四十二条公积金中心及其工作人员违反有关法律法规规定，造成住房公积金信息安全事故的，依据相关法律法规规定追究责任；构成犯罪的，依法追究刑事责任。
第八章附则
第四十三条尚未实现住房公积金属地化管理的分支机构应当遵照本办法执行。
第四十四条本办法自2021年1月1日起施行。