金融業(yè)密碼應(yīng)用管理辦法第一章總則第一條目的與依據(jù)為規(guī)范金融業(yè)密碼應(yīng)用與管理，保障金融信息系統(tǒng)安全穩(wěn)定運行，維護(hù)國家金融安全和社會公共利益，保護(hù)金融消費者合法權(quán)益，根據(jù)《中華人民共和國密碼法》《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國銀行業(yè)監(jiān)督管理法》《中華人民共和國證券法》《中華人民共和國保險法》等法律法規(guī)，制定本辦法。第二條適用范圍在中華人民共和國境內(nèi)開展的金融業(yè)密碼應(yīng)用、管理及監(jiān)督活動，適用本辦法。本辦法所稱“金融業(yè)”，包括銀行業(yè)、證券業(yè)、保險業(yè)、信托業(yè)、基金業(yè)、期貨業(yè)等金融領(lǐng)域；所稱“密碼”，是指采用特定變換的方法對信息等進(jìn)行加密保護(hù)、安全認(rèn)證的技術(shù)、產(chǎn)品和服務(wù)，包括核心密碼、普通密碼和商用密碼。第三條基本原則金融業(yè)密碼應(yīng)用與管理應(yīng)當(dāng)遵循“合規(guī)優(yōu)先、分級保護(hù)、權(quán)責(zé)統(tǒng)一、動態(tài)優(yōu)化”的原則，確保密碼技術(shù)的正確、有效、安全應(yīng)用，防范密碼應(yīng)用風(fēng)險。第四條職責(zé)分工國家密碼管理部門：負(fù)責(zé)統(tǒng)籌協(xié)調(diào)全國金融業(yè)密碼應(yīng)用與管理工作，制定金融業(yè)密碼應(yīng)用標(biāo)準(zhǔn)規(guī)范，指導(dǎo)、監(jiān)督金融機構(gòu)密碼應(yīng)用合規(guī)性。國務(wù)院金融監(jiān)督管理部門：（包括中國人民銀行、中國銀保監(jiān)會、中國證監(jiān)會等）按照職責(zé)分工，負(fù)責(zé)指導(dǎo)、監(jiān)督本行業(yè)金融機構(gòu)的密碼應(yīng)用與管理工作，將密碼應(yīng)用情況納入金融監(jiān)管評估體系。金融機構(gòu)：是密碼應(yīng)用的責(zé)任主體，應(yīng)當(dāng)建立健全密碼應(yīng)用與管理制度，保障密碼應(yīng)用的合規(guī)性、安全性和有效性。第二章密碼應(yīng)用要求第五條核心業(yè)務(wù)系統(tǒng)密碼應(yīng)用金融機構(gòu)的核心業(yè)務(wù)系統(tǒng)（包括賬戶管理、支付結(jié)算、資金交易、客戶信息管理等）應(yīng)當(dāng)采用符合國家密碼標(biāo)準(zhǔn)的密碼技術(shù)，實現(xiàn)以下安全目標(biāo)：身份認(rèn)證：采用基于密碼技術(shù)的身份認(rèn)證機制，確保用戶身份的真實性和唯一性，防范冒充攻擊。例如，網(wǎng)上銀行采用“數(shù)字證書+動態(tài)口令”的雙因素認(rèn)證方式。數(shù)據(jù)加密：對傳輸和存儲的敏感金融數(shù)據(jù)（如客戶身份證號、銀行卡號、交易金額、個人生物信息等）進(jìn)行加密保護(hù)，確保數(shù)據(jù)confidentiality。例如，支付信息在網(wǎng)絡(luò)傳輸中采用SSL/TLS協(xié)議加密，存儲時采用AES-256算法加密。完整性保護(hù)：采用密碼技術(shù)（如哈希算法、數(shù)字簽名）確保金融數(shù)據(jù)在傳輸和存儲過程中的完整性，防范數(shù)據(jù)被篡改。例如，交易指令在發(fā)送前進(jìn)行數(shù)字簽名，接收方驗證簽名以確認(rèn)指令未被篡改。不可否認(rèn)性：通過數(shù)字簽名等密碼技術(shù)，確保金融交易的不可否認(rèn)性，為交易糾紛提供法律依據(jù)。例如，電子合同采用數(shù)字簽名后，簽署方無法否認(rèn)其簽署行為。第六條密碼產(chǎn)品與服務(wù)采購金融機構(gòu)采購密碼產(chǎn)品或服務(wù)時，應(yīng)當(dāng)符合以下要求：采購的密碼產(chǎn)品應(yīng)當(dāng)獲得國家密碼管理部門的商用密碼產(chǎn)品認(rèn)證證書，禁止使用未經(jīng)認(rèn)證的密碼產(chǎn)品。采購的密碼服務(wù)應(yīng)當(dāng)由具備商用密碼服務(wù)資質(zhì)的機構(gòu)提供，服務(wù)過程應(yīng)當(dāng)符合國家密碼管理要求。建立密碼產(chǎn)品與服務(wù)的全生命周期管理機制，包括采購評估、測試驗證、部署使用、定期檢測、報廢銷毀等環(huán)節(jié)。第七條密碼密鑰管理金融機構(gòu)應(yīng)當(dāng)建立嚴(yán)格的密碼密鑰管理制度，確保密鑰的安全生成、存儲、分發(fā)、使用和銷毀：密鑰生成：采用符合國家密碼標(biāo)準(zhǔn)的隨機數(shù)生成算法生成密鑰，密鑰長度應(yīng)當(dāng)滿足安全要求（如對稱密鑰長度不低于128位，非對稱密鑰長度不低于2048位）。密鑰存儲：密鑰應(yīng)當(dāng)存儲在安全的硬件設(shè)備（如密碼機、加密卡、USBKey）中，禁止明文存儲密鑰；密鑰存儲設(shè)備應(yīng)當(dāng)采取物理防護(hù)措施，防范被盜、被篡改風(fēng)險。密鑰分發(fā)：采用安全的密鑰分發(fā)機制（如基于公鑰加密的密鑰分發(fā)），確保密鑰在傳輸過程中不被泄露。密鑰輪換：根據(jù)密鑰的安全等級和使用場景，制定密鑰輪換策略，定期更換密鑰。例如，對稱加密密鑰每90天輪換一次，非對稱密鑰每3年輪換一次。密鑰銷毀：對廢棄的密鑰應(yīng)當(dāng)采用安全的銷毀方式（如物理粉碎存儲介質(zhì)、多次覆蓋存儲區(qū)域），確保密鑰無法被恢復(fù)。第八條密碼應(yīng)用合規(guī)評估金融機構(gòu)應(yīng)當(dāng)定期對密碼應(yīng)用情況進(jìn)行合規(guī)評估，評估內(nèi)容包括：密碼技術(shù)應(yīng)用是否符合國家密碼標(biāo)準(zhǔn)規(guī)范；密碼產(chǎn)品與服務(wù)是否具備合法資質(zhì)；密鑰管理機制是否安全有效；密碼應(yīng)用是否覆蓋所有核心業(yè)務(wù)系統(tǒng)和敏感數(shù)據(jù)。評估工作可以由金融機構(gòu)自行開展，也可以委托具備資質(zhì)的第三方評估機構(gòu)實施。評估結(jié)果應(yīng)當(dāng)報國務(wù)院金融監(jiān)督管理部門和國家密碼管理部門備案。第三章密碼安全管理第九條密碼管理制度建設(shè)金融機構(gòu)應(yīng)當(dāng)建立健全以下密碼管理制度：密碼應(yīng)用責(zé)任制：明確密碼應(yīng)用管理的責(zé)任部門和責(zé)任人，確保密碼應(yīng)用工作有人管、有人抓。密碼安全操作規(guī)程：制定密碼產(chǎn)品使用、密鑰管理、密碼系統(tǒng)運維等操作規(guī)程，規(guī)范密碼應(yīng)用行為。密碼安全教育培訓(xùn)制度：定期對員工進(jìn)行密碼安全知識培訓(xùn)，提高員工的密碼安全意識和操作技能，防范內(nèi)部人為風(fēng)險。密碼安全事件應(yīng)急預(yù)案：制定密碼安全事件（如密鑰泄露、密碼系統(tǒng)故障、密碼產(chǎn)品被攻擊等）應(yīng)急預(yù)案，明確事件報告、應(yīng)急處置、損失評估等流程，定期開展應(yīng)急演練。第十條密碼系統(tǒng)運維管理金融機構(gòu)應(yīng)當(dāng)加強密碼系統(tǒng)的運維管理，確保密碼系統(tǒng)的穩(wěn)定運行：運維人員管理：密碼系統(tǒng)運維人員應(yīng)當(dāng)經(jīng)過專業(yè)培訓(xùn)，具備相應(yīng)的技術(shù)能力；實行運維人員權(quán)限分離制度，禁止一人兼任多個關(guān)鍵崗位（如密鑰生成與存儲崗位分離）。運維操作審計：對密碼系統(tǒng)的運維操作（如密鑰生成、輪換、銷毀，密碼產(chǎn)品配置修改等）進(jìn)行全程審計，記錄操作時間、操作人員、操作內(nèi)容等信息，審計日志應(yīng)當(dāng)至少保存6個月。定期檢測與評估：定期對密碼系統(tǒng)進(jìn)行安全檢測和風(fēng)險評估，及時發(fā)現(xiàn)并修復(fù)安全漏洞；對密碼產(chǎn)品的性能和安全性進(jìn)行定期測試，確保其滿足業(yè)務(wù)需求。第十一條密碼安全事件報告金融機構(gòu)發(fā)生密碼安全事件時，應(yīng)當(dāng)按照以下要求及時報告：內(nèi)部報告：事件發(fā)生后，應(yīng)當(dāng)立即向本機構(gòu)密碼管理責(zé)任部門報告，啟動應(yīng)急預(yù)案進(jìn)行處置。外部報告：對于可能影響金融穩(wěn)定或客戶利益的重大密碼安全事件（如核心業(yè)務(wù)系統(tǒng)密鑰泄露、大規(guī)?？蛻粜畔⒓用軘?shù)據(jù)被破解等），應(yīng)當(dāng)在事件發(fā)生后24小時內(nèi)報國務(wù)院金融監(jiān)督管理部門和國家密碼管理部門。事件處置與整改：金融機構(gòu)應(yīng)當(dāng)及時采取措施控制事件影響，查明事件原因，對存在的問題進(jìn)行整改，并向監(jiān)管部門提交事件處置報告和整改方案。第四章監(jiān)督管理第十二條監(jiān)督檢查機制國家密碼管理部門和國務(wù)院金融監(jiān)督管理部門應(yīng)當(dāng)建立協(xié)同監(jiān)督檢查機制，定期對金融機構(gòu)的密碼應(yīng)用情況進(jìn)行監(jiān)督檢查，檢查內(nèi)容包括：密碼應(yīng)用管理制度建設(shè)情況；密碼技術(shù)應(yīng)用合規(guī)性；密碼產(chǎn)品與服務(wù)資質(zhì)情況；密鑰管理機制有效性；密碼安全事件處置情況。第十三條監(jiān)督檢查措施監(jiān)督檢查可以采取以下措施：現(xiàn)場檢查：進(jìn)入金融機構(gòu)辦公場所、數(shù)據(jù)中心，查閱密碼應(yīng)用相關(guān)文檔、日志，測試密碼系統(tǒng)安全性能。非現(xiàn)場檢查：要求金融機構(gòu)提交密碼應(yīng)用合規(guī)評估報告、密碼安全事件處置報告等材料。約談警示：對密碼應(yīng)用存在問題的金融機構(gòu)，約談其主要負(fù)責(zé)人，提出整改要求。第十四條法律責(zé)任金融機構(gòu)違反本辦法規(guī)定的，由國家密碼管理部門或國務(wù)院金融監(jiān)督管理部門按照職責(zé)分工，依法采取以下處罰措施：責(zé)令整改：對于輕微違規(guī)行為，責(zé)令限期整改，整改期間可以暫停相關(guān)業(yè)務(wù)。行政處罰：對于嚴(yán)重違規(guī)行為，處以罰款（對機構(gòu)可以處10萬元以上100萬元以下罰款，對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員可以處1萬元以上10萬元以下罰款）。行業(yè)懲戒：將密碼應(yīng)用違規(guī)情況納入金融機構(gòu)誠信檔案，影響其市場準(zhǔn)入、評級評優(yōu)等。刑事責(zé)任：對于違反密碼法規(guī)定，構(gòu)成犯罪的，依法追究刑事責(zé)任。例如，故意泄露核心業(yè)務(wù)系統(tǒng)密鑰，導(dǎo)致重大金融損失的，可能構(gòu)成“破壞計算機信息系統(tǒng)罪”或“侵犯公民個人信息罪”。第五章附則第十五條術(shù)語解釋核心密碼：用于保護(hù)國家秘密信息的密碼，由國家密碼管理部門統(tǒng)一規(guī)劃、集中管理。普通密碼：用于保護(hù)國家秘密信息以外的其他敏感信息的密碼，由國家密碼管理部門指導(dǎo)、監(jiān)督使用。商用密碼：用于保護(hù)不屬于國家秘密的信息的密碼，其使用、銷售、進(jìn)出口等應(yīng)當(dāng)符合國家密碼管理規(guī)定。第十六條實施日期本辦法自202X年X月X日起施行。第十七條解釋權(quán)本辦法由國家密碼管理局會同中國人民銀行、中國銀保監(jiān)會、中國證監(jiān)會負(fù)責(zé)解釋。第六章附錄：金融業(yè)密碼應(yīng)用典型場景場景一：網(wǎng)上銀行密碼應(yīng)用網(wǎng)上銀行系統(tǒng)采用以下密碼技術(shù)保障安全：身份認(rèn)證：客戶使用數(shù)字證書（存儲在USBKey中）進(jìn)行身份認(rèn)證，登錄時需要輸入USBKey密碼和動態(tài)口令（如短信驗證碼）。數(shù)據(jù)傳輸加密：客戶與銀行服務(wù)器之間的通信采用SSL/TLS協(xié)議加密，確保交易指令和客戶信息在傳輸過程中不被竊聽。交易簽名：客戶發(fā)起轉(zhuǎn)賬、支付等交易時，需要使用數(shù)字證書對交易指令進(jìn)行簽名，銀行服務(wù)器驗證簽名后再執(zhí)行交易，確保交易的不可否認(rèn)性。場景二：移動支付密碼應(yīng)用移動支付（如支付寶、微信支付）采用以下密碼技術(shù)：支付令牌化：將銀行卡號替換為支付令牌（Token），在交易過程中使用令牌代替卡號，減少卡號泄露風(fēng)險。動態(tài)口令：采用基于時間同步或事件同步的動態(tài)口令技術(shù)（如手機驗證碼、動態(tài)令牌），作為支付驗證的第二因素。生物識別加密：對指紋、人臉等生物信息進(jìn)行加密存儲和傳輸，確保生物信息的安全性，防范生物信息被竊取后用于非法支付。場景三：證券交易密碼應(yīng)用證券交易系統(tǒng)采用以下密碼技術(shù)：交易指令加密：投資者通過證券交易客戶端發(fā)送的交易指令（如買入、賣出股票）采用數(shù)字簽名技術(shù)進(jìn)行加密，證券公司驗證簽名后執(zhí)行指令，防止指令被篡改或偽造?？蛻粜畔⒓用埽和顿Y者的開戶信息、資金賬戶