金融業(yè)安全芯片管理辦法一、總則（一）目的與依據(jù)為加強金融業(yè)安全芯片的管理，保障金融信息系統(tǒng)的安全穩(wěn)定運行，防范金融風險，根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國密碼法》《金融行業(yè)網(wǎng)絡(luò)安全管理辦法》等法律法規(guī)，制定本辦法。（二）適用范圍本辦法適用于在中華人民共和國境內(nèi)從事金融業(yè)安全芯片的研發(fā)、生產(chǎn)、檢測、認證、銷售、使用、報廢等活動的單位和個人。（三）定義金融業(yè)安全芯片：指用于金融領(lǐng)域，具備密碼運算、數(shù)據(jù)存儲、身份認證等安全功能，能夠保障金融交易、數(shù)據(jù)傳輸和存儲安全的專用集成電路芯片。金融機構(gòu)：包括銀行、證券、保險、基金、期貨等依法設(shè)立的從事金融業(yè)務(wù)的機構(gòu)。安全芯片廠商：指從事金融業(yè)安全芯片研發(fā)、生產(chǎn)的企業(yè)。二、安全芯片的研發(fā)與生產(chǎn)（一）研發(fā)要求技術(shù)標準：安全芯片的研發(fā)應(yīng)符合國家密碼管理局制定的密碼標準、金融行業(yè)標準以及相關(guān)國際標準。安全設(shè)計：應(yīng)采用密碼算法、訪問控制、密鑰管理等安全技術(shù)，確保芯片具備抗攻擊能力，如抗側(cè)信道攻擊、抗物理攻擊等。人員管理：研發(fā)人員應(yīng)具備相應(yīng)的專業(yè)知識和技能，簽訂保密協(xié)議，遵守保密規(guī)定。（二）生產(chǎn)要求生產(chǎn)環(huán)境：生產(chǎn)場所應(yīng)具備安全防護措施，防止芯片設(shè)計資料、生產(chǎn)數(shù)據(jù)等敏感信息泄露。生產(chǎn)流程：應(yīng)建立完善的生產(chǎn)流程管理制度，對芯片的晶圓制造、封裝測試等環(huán)節(jié)進行嚴格控制，確保產(chǎn)品質(zhì)量。質(zhì)量檢測：生產(chǎn)的安全芯片應(yīng)經(jīng)過嚴格的質(zhì)量檢測，包括功能測試、性能測試、安全測試等，不合格產(chǎn)品不得出廠。三、安全芯片的檢測與認證（一）檢測機構(gòu)從事金融業(yè)安全芯片檢測的機構(gòu)應(yīng)具備國家認可的檢測資質(zhì)，檢測人員應(yīng)具備相應(yīng)的專業(yè)能力。（二）檢測內(nèi)容功能檢測：驗證芯片的密碼運算、數(shù)據(jù)存儲、身份認證等功能是否符合設(shè)計要求。性能檢測：測試芯片的運算速度、功耗、穩(wěn)定性等性能指標。安全檢測：檢測芯片的抗攻擊能力，如抗側(cè)信道攻擊、抗物理攻擊、抗惡意代碼攻擊等。（三）認證制度國家密碼管理局認證：安全芯片應(yīng)通過國家密碼管理局的商用密碼產(chǎn)品認證，取得《商用密碼產(chǎn)品型號證書》。金融行業(yè)認證：金融機構(gòu)使用的安全芯片還應(yīng)通過金融行業(yè)相關(guān)認證，如中國人民銀行的金融科技產(chǎn)品認證。四、安全芯片的銷售與使用（一）銷售管理銷售許可：安全芯片廠商應(yīng)取得相關(guān)部門的銷售許可，方可銷售產(chǎn)品。銷售記錄：應(yīng)建立銷售記錄制度，記錄購買方的名稱、地址、聯(lián)系方式、購買數(shù)量等信息，保存期限不少于5年。（二）使用管理采購要求：金融機構(gòu)應(yīng)采購經(jīng)過檢測認證的安全芯片，并與供應(yīng)商簽訂保密協(xié)議。使用登記：應(yīng)建立安全芯片使用登記制度，記錄芯片的使用部門、使用人員、使用時間等信息。密鑰管理：應(yīng)建立密鑰管理制度，對芯片的密鑰進行生成、存儲、分發(fā)、更新、銷毀等管理，確保密鑰安全。五、安全芯片的報廢與銷毀（一）報廢條件安全芯片出現(xiàn)故障、性能下降、安全漏洞等情況，無法滿足使用要求時，應(yīng)予以報廢。（二）銷毀要求銷毀方式：應(yīng)采用物理銷毀、數(shù)據(jù)擦除等方式，確保芯片中的敏感信息無法恢復。銷毀記錄：應(yīng)建立銷毀記錄制度，記錄銷毀的芯片數(shù)量、銷毀方式、銷毀時間等信息，保存期限不少于5年。六、監(jiān)督管理與法律責任（一）監(jiān)督管理監(jiān)管部門：國家密碼管理局、中國人民銀行等部門按照各自職責，對金融業(yè)安全芯片的研發(fā)、生產(chǎn)、檢測、認證、銷售、使用等活動進行監(jiān)督管理。監(jiān)督檢查：監(jiān)管部門應(yīng)定期或不定期對相關(guān)單位進行監(jiān)督檢查，發(fā)現(xiàn)問題及時責令整改。（二）法律責任違反研發(fā)生產(chǎn)規(guī)定：安全芯片廠商違反本辦法規(guī)定，未按照要求進行研發(fā)、生產(chǎn)的，由相關(guān)部門責令限期改正，并處以罰款；情節(jié)嚴重的，吊銷相關(guān)許可證。違反檢測認證規(guī)定：檢測機構(gòu)出具虛假檢測報告，或者安全芯片廠商未取得認證銷售產(chǎn)品的，由相關(guān)部門責令限期改正，并處以罰款；構(gòu)成犯罪的，依法追究刑事責任。違反銷售使用規(guī)定：安全芯片廠商未建立銷售記錄制度，或者金融機構(gòu)未按照要求使用安全芯片的，由相關(guān)部門責令限期改正，并處以罰款。違反報廢銷毀規(guī)定：未按照要求報廢、銷毀安全芯片的，由相關(guān)部門責令限期改正，并處以罰款；造成敏感信息泄露的，依法承擔賠償責任；構(gòu)成犯罪的，依法追究刑