证券期货业网络与信息安全信息通报暂行办法

① 信息安全法律法规

截至2008年与信息安全直接相关的法律有65部。
涉及网络与信息系统安全、信息内容安全、信息安全系统与产品、保密及密码管理、计算机病毒与危害性程序防治、金融等特定领域的信息安全、信息安全犯罪制裁等多个领域，从形式看，有法律、相关的决定、司法解释及相关文件、行政法规、法规性文件、部门规章及相关文件、地方性法规与地方政府规章及相关文件多个层次。与此同时，与信息安全相关的司法和行政管理体系迅速完善。但整体来看，与美国、欧盟等先进国家与地区比较，我们在相关法律方面还欠体系化、覆盖面与深度。缺乏相关的基本法，信息安全在法律层面的缺失对于信息安全保障形成重大隐患。
一. 2000年以前
1.1 中华人民共和国保守国家秘密法
1.2 中华人民共和国计算机信息系统安全保护条例
1.3 中华人民共和国国家安全法
1.4 计算机信息网络国际联网管理暂行规定
1.5 计算机信息网络国际联网安全保护管理办法
1.6 计算机信息系统安全专用产品检测和销售许可证管理办法
1.7 涉及国家秘密的通信、办公自动化和计算机信息系统审批暂行办法
1.8 商用密码管理条例
1.9 科学技术保密规定
1.10 中华人民共和国反不正当竞争法
1.11 关于禁止侵犯商业秘密行为的若干规定
1.12 加强科技人员流动中技术秘密管理的若干意见
1.13 广东省技术秘密保护条例
二. 2000年
2.1 计算机病毒防治管理办法
2.2 计算机信息系统国际联网保密管理规定
2.3 互联网信息服务管理办法
2.4 中华人民共和国电信条例
2.5 全国人大常委会关于维护互联网安全的决定
2.6 联网单位安全员管理办法
三. 2001年
3.1 计算机软件保护条例
四. 2002年
4.1 信息安全产品测评认证管理办法
五. 2003年
5.1 广东省电子政务信息安全管理暂行办法
六. 2004年
6.1 中华人民共和国电子签名法
七. 2005年
7.1 互联网安全保护技术措施规定
7.2 商用密码产品销售管理规定
7.3 电子认证服务密码管理办法
7.4 商用密码科研管理规定
7.5 商用密码产品生产管理规定
7.6 证券期货业信息安全保障管理暂行办法
7.7 电子认证服务管理办法
八. 2006年
8.1 关于加强新技术产品使用保密管理的通知
8.2 信息网络传播权保护条例
九. 2007年
9.1 商用密码产品使用管理规定
9.2 信息安全等级保护管理办法
9.3 境外组织和个人在华使用密码产品管理办法

② 证券期货业信息系统安全等级せ疽哪些单位适用

根据《信息安全等级保护管理办法》：
信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合规定条件的测评，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。
涉密信息系统建设使用单位在系统工程实施结束后，应当向保密工作部门提出申请，由国家保密局授权的系统测评依据国家保密标准BMB22-2007《涉及国家秘密的计算机信息系统分级保护测评指南》，对涉密信息系统进行安全保密测评。
涉密信息系统发生涉密等级、连接范围、环境设施、主要应用、安全保密管理责任单位变更时，其建设使用单位应当及时向负责审批的保密工作部门报告。保密工作部门应当根据实际情况，决定是否对其重新进行测评和审批。
国家和地方各级保密工作部门依法对各地区、各部门涉密信息系统分级保护工作实施监督管理，并对秘密级、机密级信息系统每两年至少进行一次保密检查或者系统测评，对绝密级信息系统每年至少进行一次保密检查或者系统测评
各级密码管理部门可以定期或者不定期对信息系统等级保护工作中密码配备、使用和管理的情况进行检查和测评，对重要涉密信息系统的密码配备、使用和管理情况每两年至少进行一次检查和测评。
第三级以上信息系统运营、使用单位违反规定，未按规定开展系统安全技术测评的，由公安机关、国家保密工作部门和国家密码工作管理部门按照职责分工责令其限期改正；逾期不改正的，给予警告，并向其上级主管部门通报情况，建议对其直接负责的主管人员和其他直接责任人员予以处理，并及时反馈处理结果

③ 信息安全相关法律法规 都有哪些

1、1996年发布《中国公用计算机互联网国际联网管理办法》。

2、 1994年2月发布《中华人民共和国计算机信息系统安全保护条例》。

3、1996年2月发布《中华人民共和国计算机信息网络国际联网管理暂行规定》。

4、 1997年12月发布《中华人民共和国计算机信息网络国际联网管理暂行规定》实施

5、新《刑法》第185和第286条。

信息安全问题日趋多样化，客户需要解决的信息安全问题不断增多，解决这些问题所需要的信息安全手段不断增加。确保计算机信息系统和网络的安全，特别是国家重要基础设施信息系统的安全，已成为信息化建设过程中必须解决的重大问题。

正是在这样的背景下，信息安全被提到了空前的高度。国家也从战略层次对信息安全的建设提出了指导要求。

(3)证券期货业网络与信息安全信息通报暂行办法扩展阅读：

信息安全与技术的关系可以追溯到远古。埃及人在石碑上镌刻了令人费解的象形文字；斯巴达人使用一种称为密码棒的工具传达军事计划，罗马时代的凯撒大帝是加密函的古代将领之一，“凯撒密码”据传是古罗马凯撒大帝用来保护重要军情的加密系统。

它是一种替代密码，通过将字母按顺序推后 3 位起到加密作用，如将字母 A 换作字母 D， 将字母 B 换作字母 E。英国计算机科学之父阿兰·图灵在英国布莱切利庄园帮助破解了 德国海军的 Enigma 密电码，改变了二次世界大战的进程。美国 NIST 将信息安全控制分 为 3 类。

（1）技术，包括产品和过程（例如防火墙、防病毒软件、侵入检测、加密技术）。

（2）操作，主要包括加强机制和方法、纠正运行缺陷、各种威胁造成的运行缺陷、物 理进入控制、备份能力、免予环境威胁的保护。

（3）管理，包括使用政策、员工培训、业务规划、基于信息安全的非技术领域。 信息系统安全涉及政策法规、教育、管理标准、技术等方面，任何单一层次的安全措 施都不能提供全方位的安全，安全问题应从系统工程的角度来考虑。图 8-1 给出了 NSTISSC 安全模型。

④ 互联网网络安全信息通报实施办法的附件二： 信息分级规范

一、预警信息分级
1、一级（红色）预警信息：可能导致发生特别重大网络安全事件的信息为一级预警信息。
2、二级（橙色）预警信息：可能导致发生重大网络安全事件的信息为二级预警信息。
3、三级（黄色）预警信息：可能导致发生较大网络安全事件的信息为三级预警信息。
4、四级（蓝色）预警信息：可能导致发生一般网络安全事件的信息为四级预警信息。
二、事件信息分级 分类 对象 特别重大事件 重大事件 较大事件 一般事件 IP业务 互联网接入（含宽带、窄带接入，固定、移动或无线接入） 基础电信业务经营者本单位全国网内100万以上互联网接入用户无法正常访问互联网1小时以上。 基础电信业务经营者本单位全国网内10万以上互联网接入用户无法正常访问互联网1小时以上。 基础电信业务经营者本单位某省、直辖市、自治区网内5万以上互联网接入用户无法正常访问互联网1小时以上。 基础电信业务经营者本单位某省、直辖市、自治区网内1～5万互联网接入用户无法正常访问互联网1小时以上。 专线接入 N/A 基础电信业务经营者本单位专线接入业务500端口以上阻断1小时以上。 基础电信业务经营者本单位专线接入业务100端口以上阻断1小时以上。 基础电信业务经营者本单位专线接入业务20端口以上阻断1小时以上。 重要信息系统数据通信 N/A 造成某个全国级重要信息系统用户数据通信中断1小时以上。 造成某个省级重要信息系统用户数据通信中断1小时以上。 造成某个地市级重要信息系统用户数据通信中断1小时以上。 基础IP网络 国际互联 50%以上国际互联带宽电路阻断1小时以上。 30%以上国际互联带宽电路阻断1小时以上。 10%以上国际互联带宽电路阻断1小时以上。 国际互联设备、电路阻断，但未造成上述严重后果。 国内骨干网互联 某个全网直连点1个以上互联单位方向全阻1小时以上。 某全网直连点1个互联单位方向网间直连（或某个交换中心）全阻1小时以上。 交换中心1个互联单位方向全阻1小时以上。 直连设备、电路阻断，但未造成上述严重后果。 运营单位IP网 2个以上省网（或2个以上3.2级以上城域网）脱网或严重拥塞1小时以上。 1个省网（或1个以上3.1级以上城域网）脱网或严重拥塞1小时以上。 1个以上城域网（3.1级以下）脱网或严重拥塞1小时以上。 IP骨干网重要节点或链路阻断，但未造成上述严重后果。 IDC N/A 3.1级以上IDC全阻或严重拥塞1小时以上。 2级IDC全阻或严重拥塞1小时以上。 其它IDC全阻或严重拥塞1小时以上。 域名系统 国际根镜像和gTLD镜像服务器 N/A N/A 国际根和通用顶级域名镜像服务器解析服务瘫痪。 N/A 国家顶级域名(.CN) 国家域名解析系统瘫痪，对全国互联网用户的域名解析服务失效。 国家域名解析系统半数及以上顶级节点解析成功率低于50%或解析响应时间高于5秒；国家域名顶级节点解析数据缺失或出错超过0.1%；国家域名解析系统重点域名相关解析数据出错。 国家域名解析系统半数以下顶级节点解析成功率低于50%或解析响应时间高于5秒；国家域名顶级节点解析数据缺失或出错超过0.01%；国家域名系统注册服务不可用4小时以上。 国家域名系统注册服务性能下降或查询服务不可用。 域名注册服务机构管理的权威域和递归解析服务器 1家或多家重点注册服务机构域名解析服务瘫痪。 1家或多家重点注册服务机构域名解析服务性能下降，解析成功率低于50%或解析响应时间高于5秒，或解析数据缺失或出错，超过1%。注册服务机构域名系统核心数据库丢失或非正常修改，并影响到国家域名核心数据库导致产生国家顶级域名重大事件。 1家或多家注册服务机构域名解析服务性能下降，解析成功率低于80%或解析响应时间高于5秒，或解析数据缺失或出错，超过0.1%。 1家或多家注册服务机构域名注册系统服务不可用。 基础和增值运营企业的权威域域名解析服务器 N/A 重点域名解析权威服务器瘫痪1小时以上。 N/A N/A 基础运营企业的递归服务器 N/A 为一个或多个省份提供服务的递归服务器瘫痪1小时以上。 N/A N/A 基础电信运营企业网上营业厅、移动WAP业务、门户网站 系统瘫痪或故障，造成业务中断1个小时以上，或造成100万以上用户数据丢失、泄漏。 系统瘫痪或故障，造成业务中断1个小时以下，或造成10万以上用户数据丢失、泄漏。 系统瘫痪或故障，造成业务中断或造成1万以上用户数据丢失、泄漏。 系统瘫痪或故障，但未造成上述严重后果。 公共互联网环境 计算机病毒事件、蠕虫事件、木马事件、僵尸网络事件 涉及全国范围或省级行政区域的大范围病毒和蠕虫传播事件，或单个木马和僵尸网络规模达100万个以上IP，对社会造成特别重大影响。 涉及全国范围或省级行政区域的大范围病毒和蠕虫传播事件，或同一时期存在一个或多个木马和僵尸网络总规模达50万个以上IP，对社会造成重大影响。 涉及全国范围或省级行政区域的大范围病毒和蠕虫传播事件，或同一时期存在一个或多个木马和僵尸网络总规模达10万个以上IP，对社会造成较大影响。 涉及全国范围或省级行政区域的大范围病毒和蠕虫传播事件、木马和僵尸网络事件等，对社会造成一定影响，但未造成上述严重后果。 域名劫持事件、网络仿冒事件、网页篡改事件 N/A 发生涉及重点域名、重要信息系统网站的域名劫持、仿冒、篡改事件，导致10万以上网站用户受影响，或造成重大社会影响。 发生涉及重点域名、重要信息系统网站的域名劫持、仿冒、篡改事件，导致1万以上网站用户受影响，或造成较大社会影响。 其他域名劫持、网络仿冒、网页篡改事件，造成一定社会影响，但未造成上述严重后果。 网页挂马事件 发生涉及重要信息系统网站、重要门户网站的网页挂马事件，受影响网站用户达100万人以上，造成特别重大社会影响。 发生涉及重要信息系统网站、重要门户网站的网页挂马事件，受影响网站用户达10万人以上，造成重大社会影响。 发生涉及重要信息系统网站、重要门户网站的网页挂马事件，受影响网站用户达1万人以上，造成较大社会影响。 其他网页挂马事件，但未造成上述严重后果。 拒绝服务攻击事件 N/A 发生涉及全国级重要信息系统的拒绝服务攻击，造成重大社会影响。 发生涉及省级重要信息系统的拒绝服务攻击，造成较大社会影响。 其他拒绝服务攻击，造成一定社会影响。 后门漏洞事件、非授权访问事件、垃圾邮件事件及其他网络安全事件 N/A 发生涉及全国级重要信息系统的后门漏洞事件、非授权访问事件、垃圾邮件事件及其他网络安全事件，造成重大社会影响。 发生涉及省级重要信息系统的后门漏洞事件、非授权访问事件、垃圾邮件事件及其他网络安全事件，造成较大社会影响。 发生的后门漏洞事件、非授权访问事件、垃圾邮件事件及其他网络安全事件，造成一定社会影响。 〔注〕：
1、严重拥塞是指链路时延>110ms或丢包率超过8%。
2、本办法中重要信息系统指政府部门、军队以及银行、海关、税务、电力、铁路、证券、保险、民航等关系国计民生的重要行业使用的信息系统。
3、“信息分级规范”中所称“以上”包括本数，所称“以下”不包括本数。

⑤ 证券期货业网络与信息安全事件应急预案 是否有效

应急预案是有，但是还没触发过，有没有效不能提前下定论。
就像A股市场熔断机制一样，推出前都叫好，推出没几天就叫停了

⑥ 我国信息安全保密法律体系具有哪些特征

目前我国信息安全法律体系的主要特点
通过对目前我国现行信息安全相关法律法规的整理分析，我们可以初步概括出目前我国信息安全法律体系的主要特点：
1、信息安全法律法规体系初步形成
目前我国现行法律法规及规章中，与信息安全直接相关的是65部，它们涉及网络与信息系统安全、信息内容安全、信息安全系统与产品、保密及密码管理、计算机病毒与危害性程序防治、金融等特定领域的信息安全、信息安全犯罪制裁等多个领域，在文件形式上，有法律、有关法律问题的决定、司法解释及相关文件、行政法规、法规性文件、部门规章及相关文件、地方性法规与地方政府规章及相关文件多个层次。
其中，全面规范信息安全的法律法规有18部，包括94年的《中华人民共和国计算机信息系统安全保护条例》等法规，也包括2003年的《广东省计算机信息系统安全保护管理规定》，98年的《重庆市计算机信息系统安全保护条例》等地方法规；侧重于互联网安全的有7部，包括2000年《全国人民代表大会常务委员会关于维护互联网安全的决定》等法律层面的文件，也包括97年的《计算机信息网络国际联网安全保护管理办法》等部门规章；侧重于信息安全系统与产品的有3部，包括97年的《计算机信息系统安全专用产品检测和销售许可证管理办法》等部门规章；侧重于保密的有10部，既包括89年的《中华人民共和国保守国家秘密法》等法律，也包括98年的《计算机信息系统保密管理暂行规定》、2000年的《计算机信息系统国际联网保密管理规定》、97年的《农业部计算机信息网络系统安全保密管理暂行规定》等部门规章；侧重于密码管理及应用的有5部，包括99年的《商用密码管理条例》等法规，也包括2005年的《电子认证服务管理办法》、《电子认证服务密码管理办法》等部门规章，还包括2002年的《上海市数字认证管理办法》、2001年的《海南省数字证书认证管理试行办法》等地方法规或规章；侧重于计算机病毒与危害性程序防治的有9部，包括2000年的《计算机病毒防治管理办法》等部门规章，也包括94年的《北京市计算机信息系统病毒预防和控制管理办法》、2002年的《天津市预防和控制计算机病毒办法》等地方法规或规章；侧重于特定领域信息安全的有9部，包括98年的《金融机构计算机信息安全保护工作暂行规定》、2003年的《铁路计算机信息系统安全保护办法》、2005年的《证券期货业信息安全保障管理暂行办法》等部门规章，也包括2003年的《广东省电子政务信息安全管理暂行办法》等地方法规或规章；侧重于信息安全监管的有3部，包括2004年的《上海市信息系统安全测评管理办法》等地方法规或规章；侧重于信息安全犯罪处罚的主要是我国刑法第285条、286条、287条等相关规定。
总体来看，这些信息安全法律法规或多或少所体现的我国信息安全的基本原则可以简单归纳为国家安全、单位安全和个人安全相结合的原则，等级保护的原则，保障信息权利的原则，救济原则，依法监管的原则，技术中立原则，权利与义务统一的原则；而基本制度可以简单归纳为统一领导与分工负责制度，等级保护制度，技术检测与风险评估制度，安全产品认证制度，生产销售许可制度，信息安全通报制度，备份制度等。
2、与信息安全相关的司法和行政管理体系迅速完善
有了《中华人民共和国刑法》第217、218、285、286、287、288条、《全国人民代表大会常务委员会关于维护互联网安全的决定》、《中华人民共和国计算机信息系统安全保护条例》、《电信条例》、《互联网信息服务管理办法》等法律依据，有了《最高人民法院最高人民检察院关于办理利用互联网、移动通讯端、声讯台制作、复制、出版、贩卖、传播、淫秽电子信息刑事案件具体应用法律若干问题的解释》等司法解释，一些危害信息安全的案例迅速得到裁判，如广州市中级人民法院裁判的吕薛文破坏计算机信息系统案、乌鲁木齐市中级人民法院裁判的何朴利用其担任银行计算机操作员的职务便利贪污巨额公款案等，震慑了违法犯罪分子，维护了计算机信息网络的正常秩序。
经过多年的工作，在我国信息安全行政管理方面，信息安全保障体系建设也已初见成效，与信息安全法律法规体系相配套的标准体系建设、应急处理体系建设、等级保护体系建设、电子认证体系建设、安全测评体系建设、计算机病毒疫情调查和控制体系建设以及违法和不良信息举报制度建设等都得到较快的发展，为电子政务、电子商务及信息化做出了贡献。
3、目前法律规定中法律少而规章等偏多，缺乏信息安全的基本法。
虽然可以说目前我国信息安全的法律体系已初步形成，但还很不成熟，在这一体系中，部门规章、地方法规及规章等占了绝大多数，而法律、法规只占到65部中的8部，为12%。部门规章、地方法规及规章等效力层级较低，适用范围有限，相互之间可能产生冲突，也不能作为法院裁判的依据，直接影响了这些措施的效果。并且十分关键的是，目前我们还没有一部信息安全的基本法，对于信息安全的基本法，我们理解为一部确立信息安全的基本原则、基本制度及一些核心内容的法律，而我们前面提到的很多规定都应是从这部法律的基本框架中延伸出来的，只有有了这部法律，我们的信息安全法律体系才能说是有了主干。国外类似的法律如美国2002年的《联邦信息安全管理法》、87年的《计算机安全法案》、俄罗斯95年的《联邦信息、信息化和信息保护法》等。
4、相关法律规定篇幅偏小，行为规范较简单。
我国现有信息安全相关法律规定普遍存在的问题是篇幅较小，规定得比较笼统，比如《全国人民代表大会常务委员会关于维护互联网安全的决定》共7条，《中华人民共和国计算机信息系统安全保护条例》共31条，《中华人民共和国计算机信息网络国际联网管理暂行规定》共17条，《计算机信息网络国际联网安全保护管理办法》（公安部）共25条，《互联网信息服务管理办法》共27条，《计算机信息系统安全专用产品检测和销售许可证管理办法》（公安部）共26条，《商用密码管理条例》共27条，《计算机信息系统国际联网保密管理规定》（国家保密局）共20条，《计算机病毒防治管理办法》（公安部）为22条。
此外，总体看来，目前这些法律法规主要存在三个方面有待完善的地方：第一，这些法律法规主要内容集中在对物理环境的要求、行政管理的要求等方面，对于涉及信息安全的行为规范一般都规定的比较简单，在具体执行上指引性还不是很强；第二，目前这些法律法规普遍在处罚措施方面规定得不够具体，导致在信息安全领域实施处罚时法律依据的不足；第三，在一些特定的信息化应用领域，如电子商务、电子政务、网上支付等，相应的信息安全规范相对欠缺，有待于进一步发展。
5、与信息安全相关的其他法律有待完善
在建立健全信息安全法律体系的同时，与信息安全相关的其他法律法规的出台和完善也非常必要，如电信法、个人数据保护法等，这些法律法规与信息安全法律体系一起构成我国信息安全大的法律环境并且互为支撑、缺一不可。
在这里，我们还可以简单理一下这个大信息安全法律环境的脉络：
首先，从权利的角度看，信息安全中涉及的个人权利主要包括通信秘密、言论自由、隐私权、著作权及相关知识产权，而与通信秘密、言论自由相关的法律是宪法、国家安全法和警察法，与隐私权相关的法律是民法通则，与著作权及相关知识产权相关的法律是著作权法、合同法，此外，还可能涉及的法律有行政许可法、行政处罚法和国家赔偿法；信息安全中涉及的单位的权利主要包括商业秘密、技术秘密、著作权及相关知识产权等，而与商业秘密、技术秘密相关的法律有反不正当竞争法、技术合同法，与著作权及相关知识产权相关的法律有著作权法、合同法，此外，还可能涉及的法律有行政许可法、行政处罚法和国家赔偿法；再从国家的角度看，信息安全涉及国家安全、保密和金融安全等，与国家安全相关的法律是国家安全法，与保密相关的法律是保守国家秘密法，与金融安全相关的法律是银行法。
其次，从应用的角度看，与信息安全相邻或相交的领域包括：电信、无线电、集成电路、计算机软件与系统集成、网络及网络信息服务、电子商务与现代物流、电子政务、信息资源公开、利用等。在这些领域我们又可以看到电信条例、无线电管理条例、集成电路布图设计保护条例、计算机软件保护条例、中华人民共和国计算机信息网络国际联网管理暂行规定、互联网信息服务管理办法、互联网上网服务营业场所管理条例、电子签名法等一系列法律、法规、部门规章及地方法规、规章。