午啪啪夜福利无码亚洲,亚洲欧美suv精品,欧洲尺码日本尺码专线美国,老狼影院成年女人大片

1、附件：新疆維吾爾自治區農村信用合作社網上銀行業務風險管理體系及規章制度第一章 總則第一條 為加強新疆維吾爾自治區農村信用合作社(以下簡稱信用社)網上銀行風險管理，通過建立有效的機制，實現對信用社網上銀行風險的識別、監測和控制，促進網上銀行安全、持續、穩健運行，推動業務創新，提高信息技術使用水平，增強核心競爭力和可持續發展能力。根據銀監會電子銀行安全評估指引和電子銀行業務管理辦法的要求，制定本體系及相應規章制度。第二條 本辦法適用于新疆維吾爾自治區轄內農村商業銀行、農村合作銀行、縣市農村信用合作聯社（以下統稱縣市聯社）。第二章 網上銀行業務風險管理體系及規章制度第三條 要達到落實風險管理的目的，2、須通過建立相應的安全管理組織架構及規章制度來進行。此部分包括三個方面的內容：1. 網上銀行安全體系組織架構設計（以下簡稱組織架構）；2. 網上銀行安全職能/角色設計（以下簡稱職能/角色）；3. 網上銀行安全系統的內部控制機制注：信用社網上銀行系統由于共享農信銀資金清算中心（以下簡稱農信銀）網銀系統，整個風險管理體系分為兩部分：信用社網上銀行風險管理體系、農信銀網上銀行風險管理體系。兩套風險管理體系在各自的職責范圍內實行垂直管理，即下級向上級匯報的方式，兩體系的中層和高層，必須保持協調溝通，形成整體的安全管理體系來保證信用社網上銀行的安全。第四條 組織架構設計網上銀行整體安全組織架構圖信息安全領3、導小組安全負責人（部門）網上銀行信息安全管理職能信息安全審計監察職能行政管理職能安全保衛職能網上銀行業務安全管理職能農信銀相關部門新疆農村信用社電子銀行部農信銀監事會辦公室新疆農村信用社相關部門新疆農村信用社相關部門農信銀安全管理專員新疆農村信用社科技中心絡中心農信銀相關部門新疆農村信用社保衛部在安全管理體系中，信息安全領導小組既包括信用社理事會成員，也包括農信銀領導，領導小組進行協調溝通，負責信息安全管理的決策事務。安全負責人（部門）實行雙負責制，即包括農信銀安全負責人和信用社信息科技管理委員會。兩者保持協調溝通，同時保證各自負責系統內職能和需雙方協調的職能得到有效執行。在網銀安全管理體系的4、各項職能中，大部份職能相互交叉，如信息安全管理職能、信息安全審計職能、行政管理職能、安全保衛職能。交叉但不表示同一職能由兩單位共同執行，只表示在各單位所負責的系統內執行相應的職能，同時，農信銀的運行開發部、安全管理專員需要和信用社的科技中心和電子銀行部保持有效的溝通，建立健全信息安全管理體系。第五條 信用社職能/角色設計(一)信用社網上銀行安全組織架構圖(二)信用社職能簡介1.理事會(1) 批準網上銀行的安全策略；(2) 批準網上銀行安全體系內各部門信息安全職責；(3) 負責組織信息科技管理委員會；(4) 審核信息系統安全報告，并做出相關的決定；(5) 確保建立安全體系所必需的資源。2.信息科5、技管理委員會(1) 負責組織信息資產的風險評估，對風險評估報告進行評審，并制定相應的風險控制措施；(2) 負責監視運營過程中信息資產所面臨的威脅和脆弱點的重大變化，適時組織進行風險評估，確定信息資產的風險接受等級，對網上銀行業務運營中出現的信息安全隱患及時提出控制措施；(3) 負責評審重大信息安全違規、違紀及泄密事件，并建議處理意見；(4) 負責網上銀行安全體系的策劃；(5) 向理事會報告網上銀行安全體系的運行情況和任何改進的需求;(6) 確保網上銀行安全體系所需的過程建立、實施和保持；(7) 確保提高全體員工的信息安全意識；(8) 批準信用社的信息安全策略和風險控制措施，可接受的風險等級及殘6、余風險；(9) 批準業務連續性計劃；(10) 批準對已證實的重大的安全違規、違紀事件及泄密事件的處理意見；(11) 批準并組織實施內部審計計劃；(12) 與網上銀行安全體系有關事宜的對外聯絡。3.網上銀行信息安全管理職能(1) 負責宣傳和貫徹銀行的信息安全策略；(2) 負責組織網上銀行安全體系文件的編制；(3) 協助信息科技管理委員會進行信息安全體系的建設，保證網上銀行安全管理體系的有效運行；(4) 及時向信息科技管理委員會報告重大的信息安全事故；(5) 負責計算機網絡規劃，制定網絡安全策略并實施；(6) 負責通信系統運行安全；(7) 負責監視運營過程中計算機和網絡所面臨的威脅和脆弱點的重大變7、化，及時完善安全策略，保證計算機網絡的安全；(8) 負責離職員工計算機數據清理及殺毒；(9) 負責信息安全體系內部審核工作的組織和實施；(10) 負責制定、實施員工信息安全培訓計劃。4.信息安全審計監察職能(1) 負責網上銀行整體安全審計工作;(2) 審核各部門網上銀行安全策略文件；(3) 審核各部門網上銀行安全策略執行情況；(4) 審核各部門網上銀行安全記錄；(5) 審核各部門網上銀行安全整改情況；(6) 負責信用社系統內各類案件、事故的立案、調查、處理工作，并做好管理、統計與分析工作。5.行政管理職能(1) 負責職能范圍內有關信息安全管理文件的編制；(2) 負責根據信用社有關保密規定，審查8、對外發布的信息，防止泄密事件的發生；(3) 負責信用社歸檔文件和資料的信息安全管理工作；(4) 負責信用社傳真機對外收、發信息的安全；(5) 負責組織員工安全意識與安全技能培訓；(6) 負責進行人員安全管理；(7) 負責網上銀行業務風險管理所涉及的法律事務工作，并負責網上銀行業務知識產權的保護工作。6.安全保衛職能(1) 負責信用社的安全保衛工作，并制定相應的安全保衛制度；(2) 負責信用社消防設施的建設、管理，并制定相應的防火、防盜安全管理制度；(3) 負責向信息科技管理委員會報告重大的防火、防盜安全事件，并及時進行適當的處理;(4) 負責門禁管理系統的運行和維護，并監督物理環境的安全；(59、) 負責電視監控及電視監控系統的維護。發現安全隱患應進行及時報告、處理；(6) 負責安防報警系統的24小時監控和維護，一旦發生安防報警應立即處理。7.網上銀行業務安全管理職能(1) 協助宣傳和貫徹銀行的信息安全策略；(2) 協助網上銀行安全體系文件的編制；(3) 協助信息科技管理委員會進行信息安全體系的建設，保證網上銀行安全管理體系的有效運行；(4) 負責網上銀行業務安全的建設、管理；(5) 及時向信息科技管理委員會報告重大的信息安全事故；(6) 貫徹落實網上銀行監管的各項規定與政策，編制各類報表并及時上報；(7) 擬定網上銀行管理、運營的各項規章制度；(8) 配合市場營銷部門提供客戶服務，配10、合市場營銷部門組織開展網上銀行業務的市場調研、產品開發及產品完善工作；(9) 落實網上銀行風險管理政策及內控要求，確保網上銀行業務運行的連續性和安全性。（三）信用社安全角色設計在理事會下設置信息科技管理委員會，信息科技管理委員會負責信息安全管理工作，其中一部分為網上銀行安全管理。網上銀行安全管理角色分布在十一個部門，分別是審計部、紀檢監察部、辦公室、人力資源部、資產風險管理部、安全保衛部、電子銀行部、計劃財務部、會計部、信貸管理部、科技中心。在科技中心下設置系統安全管理員、網絡安全管理員。系統安全管理員負責網上銀行系統中服務器的相關系統安全管理工作；網絡安全管理員負責網上銀行網絡安全工作，包括11、交換機、防火墻、防DOS攻擊設備、防病毒、漏洞掃描、鏈路均衡、安全預警、安全維護等工作。電子銀行部設置安全管理員,負責網上銀行業務的安全管理工作，包括網上銀行內部管理系統、證書及key管理等的日常工作、安全管理工作。審計部設業務安全審計員，負責對科技中心、電子銀行部網上銀行業務進行安全審核。在本次設計中，只涉及與網上銀行安全相關的角色，其他角色本次設計不提及。第六條 農信銀職能/角色設計（一）農信銀安全組織架構圖信息安全領導小組安全負責人網上銀行信息安全操作職能信息安全審計職能行政管理職能安全保衛職能綜合管理部安全保衛部監事會辦公室人力資源部網上銀行信息安全管理職能安全管理專員科技中心開發室農12、信銀資金清算中心網上銀行安全組織架構主要分為三層，第一層由領導小組和安全負責人組成，領導網上銀行安全的戰略發展方向和方針，處理和決策重大事件。安全負責人作為監督和督促網上銀行安全的角色，在重大事件上有較強的執行能力，與信息安全領導小組之間溝通，監管職能單位，保證網上銀行安全運行。第二層以職能分類，職能單位分別執行和運作管轄內的工作內容，由一位具備組織及管理能力的職能單位領導管理，并向信息安全領導小組匯報和請示工作。第三層各工作部門落實職能單位的職責工作，執行各職能單位制定的有關網上銀行運行、安全、維護等工作，遇到與規定、要求相違背的情況時，能夠及時準確上報信息到職能單位。（二）農信銀職能簡介113、.農信銀信息安全領導小組信息安全領導小組由農信銀主任、科技分管副主任、科技中心負責人、信息資產的相關部門主要負責人、信息系統安全專家組成。農信銀主任為信息安全領導小組組長，實行組長負責制。在信息安全領導小組下設置處理信息安全領導小組辦公室，科技分管副主任即信息安全負責人任辦公室主任，負責信息安全領導小組的日常事務處理，辦公室成員包括運行開發部負責人、信息資產等相關部門主要負責人。信息安全領導小組職責如下：(1) 負責網上銀行安全體系的策劃，批準網上銀行的安全策略；(2) 批準分配網上銀行安全體系內各部門信息安全職責；(3) 制定與信息系統安全有關的長遠規劃;(4) 確保建立安全體系所必需的資源14、;(5) 制定與信息系統安全有關的長遠規劃；(6) 關注信息資產重大威脅的出現及變化；(7) 確認信息系統風險評估的結果；(8) 關注緊急或重大信息系統安全事件并批準相關措施的啟用；(9) 審定并批準公布中心級信息系統安全規章制度；(10) 審批與信息系統安全管理有關的其他重要決定；(11) 定期向中心董事會匯報信息系統安全工作情況；(12) 審核批準安全年報、安全教育培訓計劃；(13) 審核全中心信息系統安全報告，并做出相關決定；(14) 決定信息系統是否要采取安全措施或增加安全措施；(15) 簽發信息系統和信息的安全等級；(16) 負責評審重大信息安全違規、違紀及泄密事件，并建議處理意見；15、(17) 仲裁全中心級信息系統安全事故的責任；(18) 與各成員行安全領導小組之間的協作。2.農信銀安全負責人信息安全負責人由科技分管副主任承擔，其直接領導為信息安全領導小組組長，即農信銀主任，其下為運行開發部負責人，各信息資產責任人、安全管理專員、安全審計員、安全保衛員。信息安全負責人主要職責為：(1) 確保網上銀行安全體系建立、實施和保持；(2) 確保在農信銀提高全體員工的信息安全意識；(3) 批準農信銀的信息安全策略和風險控制措施，可接受的風險等級及殘余風險；(4) 批準業務連續性計劃；(5) 批準對已證實的重大的安全違規、違紀事件及泄密事件的處理意見；(6) 批準并組織實施內部審計計劃16、；(7) 落實信息系統安全方面的職責和角色；(8) 根據國家信息系統安全的有關法律、法規、制度和規范及農信銀信息系統安全策略，結合實際，制定、落實信息系統安全方面的規章制度、實施細則、安全目標崗位責任制；(9) 批準實施信息系統安全的具體過程和方法；(10) 確定并向上級信息系統安全領導機構提交信息系統安全方面的提議；(11) 向主任報告信息安全管理體系的業績和任何改進的需求；(12) 評估新系統或服務的安全性并監督實施；(13) 審查信息系統安全事故；(14) 推動本機構信息系統安全的各項工作；(15) 通過與外部其它組織間的安全協作，監督、檢查、指導內部信息系統安全保護工作；(16) 通過17、與執法機關、監管機構等的合作，協助查處危害內部信息系統安全的違法犯罪案件；(17) 與當地執法機關、管理機關、信息服務商和電信運營商保持適當聯系，確保在發生安全事故時能夠得到及時響應及必要幫助；(18) 參加組織間信息系統安全方面的技術交流；(19) 與各成員行之間的協作；(20) 與網上銀行安全體系有關事宜的對外聯絡；(21) 與外部其它組織間的安全協作。3.農信銀網上銀行信息安全管理職能信息安全管理職能由安全管理專員承擔，其直接領導為信息安全負責人。安全管理專員必須為專職人員，不能兼任。其主要職責如下：(1) 負責宣傳和貫徹信息安全策略；(2) 負責組織網上銀行安全體系文件的編制；(3) 18、協助安全負責人進行信息安全體系的建設，保證網上銀行安全管理體系的有效運行；(4) 及時向信息安全負責人報告重大信息安全事故；(5) 負責監視運營過程中計算機和網絡所面臨的威脅和脆弱點的重大變化，及時完善安全策略，保證計算機網絡的安全；(6) 負責離職員工計算機數據清理及殺毒；(7) 向安全負責人報告網上銀行安全體系的運行情況和任何改進需求；(8) 負責監視運營過程中信息資產所面臨的威脅和脆弱點的重大變化，適時組織進行風險評估，確定信息資產的風險接受等級，對網上銀行業務運營中出現的信息安全隱患及時提出控制措施；(9) 負責制定、實施員工信息安全培訓計劃；(10) 掌握最新的病毒情況，及時撰寫解決19、方案并進行安全預警；(11) 掌握最新的安全漏洞情況，及時撰寫解決方案并進行安全預警。4.農信銀信息安全操作安全職能信息安全操作安全職能是指防控在信息系統的規劃、建設、運行、升級、廢棄過程中出現安全問題。由安全管理專員提出相應安全要求，分別由系統管理員、網絡管理員、開發人員及運行維護人員完成的安全職能。此部分職能由運行開發部承擔。其職能如下：(1) 監測系統安全狀況。通過網絡管理系統、IPS等手段，監測網絡的安全運行狀況，并進行記錄，如發現異常，及時向安全管理專員反饋。此部門職能由運行維護人員完成；(2) 負責防火墻、IPS、防病毒系統、證書系統等安全設備、軟件的安裝、調試、維護工作。此部分職20、能由網絡管理員承擔；(3) 根據網絡風險評估結果，與安全服務商、供應商一同進行網絡安全加固、網絡安全風險規避。具體為：路由器、交換機訪問控制列表規劃與設置，路由器、交換機補丁安裝，路由器、交換機用戶與口令管理，路由器、交換機版本升級；防火墻安全策略設置，防火墻用戶與口令管理，防火墻補丁安裝，防火墻版本升級；其它網絡設備、網絡安全設備安全策略設置、版本升級、補丁安裝、用戶與口令管理。此部分職能由網絡管理員承擔；(4) 根據系統風險評估結果，進行系統安全加固、系統安全風險規避。具體為：系統安全策略設置、版本升級、補丁下載與安裝、用戶與口令策略管理、安全服務管理。此部分職能由系統管理員承擔；(5) 21、將安全需求在開發的應用系統中實現。此部分功能由開發人員完成；(6) 協助安全管理專員處理網絡攻擊事件。由網絡管理員、系統管理員共同承擔。5.農信銀信息安全審計職能(1) 負責網上銀行整體安全審計工作;(2) 審核各個部門網上銀行安全策略文件；(3) 審核各個部門網上銀行安全策略執行情況；(4) 審核各個部門網上銀行安全記錄；(5) 審核各個部門網上銀行安全整改情況。6.農信銀行政管理職能(1) 負責職能范圍內有關信息安全管理文件的編制；(2) 負責根據農信銀有關保密規定，審查對外發布的信息，防止泄密事件的發生；(3) 負責農信銀歸檔文件和資料的信息安全管理工作；(4) 負責農信銀傳真機對外收、22、發信息的安全；(5) 負責組織員工安全意識與安全技能培訓；(6) 負責進行人員安全管理。7.農信銀安全保衛職能(1) 負責農信銀的安全保衛工作，并制定相應的安全保衛制度；(2) 負責農信銀消防設施的建設、管理，并制定相應的防火、防盜安全管理制度；(3) 負責向信息安全負責人報告重大的防火、防盜安全事件，并及時進行適當的處理；(4) 負責門禁管理系統的運行和維護，并監督物理環境的安全；(5) 負責電視監控及電視監控系統的維護。發現安全隱患應進行及時報告、處理；(6) 負責安防報警系統的24小時監控和維護，一旦發生安防報警應立即處理。（三）農信銀安全角色設計信息安全領導小組安全負責人綜合管理部監事23、會辦公室安全審計員安全保衛及經理安全管理專員運行開發部人力資源部操作員安全檢查員信息安全領導小組下設安全負責人，安全負責人負責農信銀安全管理工作，其中一部分為網上銀行安全管理。網上銀行安全管理角色分布在五個部門，分別是安全管理專員、運行開發部、監事會辦公室、人力資源部、綜合管理部。在安全管理專員下根據需要臨時確定安全檢查員；在運行開發部下設置操作員；監事會辦公室下設置安全審計員；在綜合管理部下設置安全保衛及經理。安全管理專員：設立專職崗位，職責獨立，定期對信息系統安全的符合性進行檢查，提交檢查報告，匯總安全事件響應報告，提出安全建設規劃和改進意見以及對違反安全規定的人員處理意見等；安全檢查員：24、由安全管理專員根據需要臨時確定，根據安全管理專員編制的檢查項目，負責常規或專業技術領域的檢查；運行開發部操作員：是指信息系統的使用、維護人員，在執行自身的工作中，履行安全規定，報告異常情況，不得超越自身的操作權限；負責網上銀行系統中服務器、網絡設備和安全設備以及其它設備的相關系統安全管理工作；負責網上銀行網絡安全工作，包括服務器、交換機、防火墻、防DOS攻擊設備、防病毒、漏洞掃描、鏈路均衡、安全預警、安全維護等工作。監事會辦公室下設安全審計員：專職，在信息資產責任人的授權下，對信息系統的安全進行定期的獨立性檢查。負責對運行開發部網上銀行業務系統管理進行安全審核。另有信息資產責任人一職位，根據信25、息系統總體職責，通過上級部門授權分級落實信息資產責任人，信息資產責任人為最小單位，部門負責人為信息資產責任人，在各部門中均有涉及。信息資產責任人對所擔負的信息資產的安全負主要責任。第七條 網上銀行安全系統的內部控制機制（一）內部控制環境內部控制環境是網上銀行內部控制體系運行的基礎和土壤，是推動網上銀行安全運行，健康發展的引擎，是內部控制體系的關鍵所在。信用社網上銀行內部控制環境主要包括網上銀行安全體系的組織架構及其職能、內部控制政策和程序。網上銀行安全體系組織架構的設置是把實現風險控制目標所需要的工作進行分解，并根據專業化分工、有效協調和精簡節約的原則進行機構與部門的設計，以規范網上銀行風險管26、理工作及其相互間的關系。（二）安全體系和技術1.網絡及安全設備拓撲圖2.網絡及安全設備的布署策略網銀WEB服務器和外部因特網間采用防火墻進行隔離，網銀WEB訪問只能訪問位于DMZ停火區的服務，并在該防火墻上只接受443端口的HTTPS的訪問；所有的HTTPS訪問由SSL安全網關認證客戶身份，并建立SSL安全通道，實現通訊安全，SSL安全網關雙臂鏈接，確保外部密文，內部才有明文；SSL安全網關將解密的請求提交給IPS入侵防御服務器，檢測各類攻擊，阻斷惡意的通信，IPS入侵防御雙臂鏈接。2.1 防火墻 （1）只允許外部端口443（即https）訪問WEB服務器，其它訪問一律拒絕；只允許內部RA服務27、器對CFCA的訪問，拒絕其它內部服務器對外部機器的訪問。2.2 SSL安全網關所有的https訪問由SSL安全網關認證客戶身份，并建立SSL安全通道，實現通訊安全。2.3 IPS入侵防御（1）SSL安全網關將解密的請求提交給IPS入侵防御服務器，檢測各類攻擊，自動阻斷惡意的通信。2.4 防火墻 （2）允許WEB服務器對網銀應用服務器的訪問，允許內部RA服務器對CFCA的訪問，除此以外的訪問一律拒絕。2.5 IPS入侵防御（2）檢測來自信用社端的各類攻擊，自動阻斷惡意的通信。2.6 防火墻 （3）允許北京農信銀端的網銀應用服務器對新疆農村信用社端的網銀前置服務器的訪問，拒絕其它訪問。2.7 防火28、墻 （4）該防火墻在新疆農村信用社端，允許北京農信銀端的網銀應用服務器對新疆農村信用社端的網銀前置服務器的訪問，拒絕其它訪問。3.整體安全策略因特外網和DMZ區接入互聯網，直接面對各種攻擊，對系統安全性要求較高，因此在設計系統方案的時候，充分的考慮了系統對安全方面的特殊要求，在網絡、硬件、系統、應用、數據等五個層面考慮了詳細的安全措施：3.1 網絡安全（1）網銀WEB服務器和外部因特網間采用防火墻進行隔離，網銀WEB訪問只能訪問位于DMZ停火區的服務，并在該防火墻上只接受443端口的HTTPS的訪問。（2）所有的HTTPS訪問由SSL安全網關認證客戶身份，并建立SSL安全通道，實現通訊安全。S29、SL安全網關雙臂鏈接，確保外部密文，內部才有明文。（3）SSL安全網關將解密的請求提交給IPS入侵防御服務器，檢測各類攻擊，阻斷惡意的通信。IPS入侵防御雙臂鏈接。3.2 硬件安全（1）本系統中配置的所有計算機系統均采用當前成熟的計算機安全方案，滿足C2級安全標準。（2）平臺設備的配置應考慮設備運行的安全穩定，系統達到最大容量時，平臺所有設備能安全穩定運行。（3）核心硬件均考慮了雙電源設計方案。3.3 系統安全（1）本此配置的系統中均采用unix或linux操作系統，具有較高的安全性，同時在實施中將嚴格按照當前最新的補丁進行加載，并在后續維護中及時更新系統安全補丁，以保證系統的安全性。（2）在30、系統實施中，通過啟用日志功能和安全審計功能，及時對系統進行安全審計，保證系統的安全性3.4 應用安全（1）系統在數據傳輸、處理等過程中提供數據檢驗，核對功能和糾錯功能，以保證應用系統的正常運行。（2）主機操作系統定期進行自動備份。 （3）通過系統軟件功能，系統管理用戶可以方便地對系統數據進行維護，清理過期的和擠壓的數據或文件。（4）系統具有提供分權分級管理功能，只有系統管理員可以使用超級用戶登錄。3.5 數據安全數據傳輸采用SSL安全通道包括保證數據傳輸過程中不被偵聽、不被篡改、插入等。4業務安全策略網上銀行系統通過安全代理服務器、防火墻等系統來保證系統的安全性，以及通過負載均衡來保證系統的高31、可用性，這只是從網絡環境和系統結構的角度保證系統安全，整個網上銀行系統的安全性應該是一個多層次的概念。網上銀行系統本身還需要從業務功能的角度來保證網上銀行業務的安全性。主要從以下幾個方面來保證：(1) 嚴格的用戶權限管理機制，靈活的用戶角色劃分和管理(2) 多維的交易權限管理機制，企業關鍵交易提供多重組合授權功能。(3) 涉及賬務的關鍵交易要求做數字簽名。(4) 完備的交易日志和操作日志。(5) 個人網銀、企業網銀都使用雙重身份認證，個人網銀使用靜態密碼+動態口令卡或靜態密碼+帶按鍵的U-key；企業網銀全部使用靜態密碼+帶按鍵的U-key。(6) 高風險賬戶操作定義：賬戶轉移資金單筆超過1032、00元，日累計超過3000元，高風險賬戶操作必須使用帶按鍵的U-key。4.1登錄控制個人網銀客戶使用安全證書、登錄ID和登錄密碼進入個人網銀系統。企業網銀客戶使用安全證書、登錄ID和登錄密碼進入企業網銀系統。首次登錄強制修改密碼，提示密碼強度，對于密碼設置過于簡單的強制要求修改密碼。登錄日志中記錄客戶訪問系統的遠程IP地址和時間等詳細信息，可以統計客戶訪問系統的次數。對于不使用證書登錄的應用系統登錄頁面，會產生圖形格式的隨機附加碼（該功能可由銀行選擇使用），用戶在輸入認證信息后，還需要輸入此附加碼方可登錄系統，防止用程序惡意破解密碼。系統還對客戶登錄密碼輸入次數進行記錄，如果客戶密碼輸入次數33、累計達到一定的值（具體值由銀行設置），系統會自動將此客戶凍結，防止惡意攻擊。4.2會話管理（Session）網上銀行系統與應用服務器的會話管理結合，實現多種會話的建立和管理，讓不同的會話采用統一的管理機制。以及動態負載均衡狀態下的會話數據同步。同時實現會話的超時管理，有效防范避免黑客使用已經失效的會話攻擊系統，同時防止垃圾會話數據占用內存，影響系統性能甚至使系統無法工作。網銀系統中登錄的每一個客戶都會有唯一Session用于保存客戶在運行期內的主要信息，以供客戶交易時使用，在客戶退出系統時失效；同時，為避免過多的占用系統資源，以及從安全的角度考慮，系統中未使用的Session（因客戶操作不當造34、成）在存在一定時間后會失效。Session管理包括：Session建立，Session超時處理，Session清理。4.3Session管理機制系統會在客戶登錄成功之后為其在應用服務器內存中建立Session，在客戶后續的交易請求中，系統不斷檢查內存中Session的有效性，如果Session失效（沒有、超時或被人竄改），則交易請求是非法的，系統不予接受。4.4Session超時處理Session超時處理包括兩部分：Session時間戳重置，Session超時檢查。Session時間戳重置是指在有新的交易請求提交到交易平臺時，系統首先檢查Session是否超時，如果未超時，則重置Session35、的時間戳，繼續后續操作；否則，執行Session超時處理，向客戶返回超時信息。Session超時檢查是指為防止垃圾Session的在內存中堆積而占用系統資源，系統通過后臺線程定時檢查超時Session，并將其從內存中清除，從而釋放系統資源。4.5Session實時檢查網上銀行系統里各種復雜交易流程都是通過交易步驟的形式參數化配置到XML文件中去的。網上銀行交易請求發送到交易平臺時，在每個交易的配置定義中，第一個交易步驟必須是Session檢查交易步驟，來檢驗Session有效性。當交易請求不是直接發送到交易平臺，而是通過發送到JSP頁面來完成交易時，在響應請求的JSP頁面頭部也有加入Sessi36、on檢查代碼，來檢驗Session有效性。4.6用戶角色管理網上銀行系統對使用該系統的各子系統的不同類用戶進行統一的角色劃分。每一種角色都分配給對應該角色權限的功能組合。登錄網上銀行的用戶都有確定的角色，根據自己所屬角色得到權限范圍內的網上銀行功能菜單。這樣就能把屬于不同角色的客戶權限嚴格分開。角色的劃分以及角色對應功能的分配都可以由系統管理員靈活定制。另外各級管理柜員（內部管理子系統的管理柜員）或企業管理員（對公網銀子系統的企業管理員）還可以對自己有權管理的網銀用戶進行基于角色的功能過濾，即在每個用戶所屬角色對應的功能組的基礎上，進一步進行個性化的功能過濾。系統用戶把交易請求發送到交易平臺后37、，首先進行session校驗，在校驗通過后即進入權限校驗的交易步驟。在該環節主要是根據用戶所屬角色和功能過濾情況判斷該用戶是否有操作該交易的權限。4.7用戶權限設置個人網銀子系統用戶需要設定單筆轉賬限額和每日轉賬限額，通過設定限額的方式來減小個人轉賬帶來的風險。對公網銀子系統的操作員的用戶分為提交人和授權人。提交人有指令提交的權限，授權人沒有指令提交的權限，授權人可以對指令進行授權操作。客戶可以設置每筆轉賬的最大限額和客戶賬戶一天的最大轉賬限額。(1) 指令提交人只有基本限額。授權人的操作限額分為基本限額和組合限額。只有指令在第一次被授權時，系統優先判斷授權人的基本限額，其它情況下的授權，系統38、都只使用授權人的組合限額做處理。(2) 特殊業務客戶可自行制定授權的先后順序，如可優先進行組合授權。(3) 對指令提交人還有日累計轉賬限額，提交人在當日內提交的所有指令的金額的總和小于等于日累計轉賬限額，否則指令不能提交。(4) 指令分為單筆指令和批量指令兩種。企業的用戶只有開通批量的權限，提交人才能提交批量指令，授權人才能對批量指令進行授權。批量指令的處理，采取客戶端離線錄入，上傳網銀服務器后在線復核模式。4.8交易信息的防篡改為防止交易信息被篡改，網銀客戶端采用了兩個機制。(1) 提交的交易信息以圖片的形式顯示給客戶確認。客戶提交的交易信息包括轉出帳號、轉入帳號、金額、幣種、同時提取相關信39、息生成確認碼，以上信息生成圖片，客戶檢查圖片內容，輸入確認碼，完成交易信息確認。(2) 對提交交易信息的整個網頁進行數字簽名。4.9交易的提交簽名和多級批復機制當有提交轉賬交易的操作員提交轉賬交易時，系統通過安全代理，要求用戶數字簽名，用戶輸入證書密碼后，安全代理對需要簽名的數據（服務器端指定）簽名后傳回服務器。只有通過簽名驗證的交易才能被確定。企業網上銀行支持多人多級授權方式，可以適合不同企業不同的的財務授權制度。提交人提交指令時，如果提交指令的金額不超過（小于或等于）提交人的基本限額，指令不需授權就由系統進行發送處理；如果提交指令的金額超過（大于）提交人的基本限額，指令等待授權人授權。4.40、10批量指令的簽名提交和多級批復機制與一般轉賬交易的處理流程類似，如果采用安全代理服務器，則需要用戶自己對批量文件通過所提供的批量簽名程序進行簽名。簽名后，由具有批量提交權限的用戶傳遞到網上銀行系統，等待具有批量批復權限的用戶進行批復。4.11信用社內部管理交易的授權對于信用社內部管理交易中的關鍵交易，網上銀行系統提供兩種授權模式，一種是柜員提交時需要授權柜員輸入授權柜員號和授權密碼；另一種模式是柜員提交后，需要授權柜員登錄網上銀行內部管理系統，對柜員提交的指令進行批復。4.12可疑日志查詢信用社內部管理的柜員可以登錄網上銀行內部管理系統，查詢可疑的日志，可疑日志的記錄類型包括密碼連續輸入錯誤41、導致用戶被凍結等。信用社可以通過客戶服務系統或統一消息發送平臺等渠道通知用戶。4.13關鍵信息加密存儲系統對所有關鍵信息（如密碼），都加密成密文進行存儲，防止內部柜員讀取關鍵信息明文。4.14支付指令核押對于每一筆支付指令，系統都根據指令關鍵信息生成一個支付密碼串，供后臺系統核押，有效防止內部人員偽造支付指令。4.15應用訪問控制系統只開放提供用戶訪問的接口，而且通過接口只能完成系統提供的功能，有效防范黑客攻擊。4.16日志審計網上銀行系統具有完備的日志審計功能。用戶每次登錄、退出及用戶的每次交易都會產生一個完整的審計信息，并進行記錄。這樣就方便日后的查詢、核對等各項工作。(三)風險監測與識別42、內部審計部門根據業務的性質、規模和復雜程度，對網上銀行相關系統及其控制的適當性和有效性進行監測。內部審計部門配備足夠的資源和具有專業能力的信息科技審計人員，具有適當的授權訪問本銀行的記錄。同時可以在符合法律、法規和監管要求的情況下，委托具備相應資質的外部審計機構對網上銀行進行外部審計，在委托審計過程中，要確保外部審計機構能夠對網上銀行的硬件、軟件、文檔和數據進行檢查，以發現存在的風險。 由電子銀行部專門負責網上銀行的風險管理工作，負責協調制定有關網上銀行的風險管理策略，尤其是在涉及信息安全、業務連續性計劃和合規性風險等方面，為業務部門、內部審計部門和科技中心提供建議及相關合規性信息，實施持續風43、險監測，跟蹤整改意見的落實，監控信息安全威脅和不合規事件的發生。將掃描查找假冒網站及其他針對網上銀行的犯罪活動納入日常工作程序,定期搜索假冒網站、假冒客服電話，檢查網站鏈接的可靠性，并通過網站、客服電話等渠道接受公眾舉報。建立健全Web服務器異常訪問監控機制及滲透性攻擊檢測機制，通過對Web服務器訪問日志提取和分析，及時監控端口掃描、暴力破解等可疑行為。（四）風險信息處理與報告信用社網上銀行安全組織架構中的各部門按照各自職能執行風險管理工作，并直接向信息科技管理委員會或安全負責人報告重大信息安全事故、安全體系建設情況、安全策略文件等工作。由信息科技管理委員會或安全負責人負責監督各項職責的落實，44、定期向來自高級管理層、科技中心和主要業務部門的代表組成的專門信息安全領導小組匯報網上銀行風險管理執行的整體狀況。按新疆維吾爾自治區農村信用社聯合社突發事件總體應急預案有關規定，統一由區聯社突發事件應急處置領導小組辦公室執行重大突發事件報告制度，在規定時間內向新疆維吾爾自治區人民政府、新疆銀監局、人民銀行烏魯木齊中心支行等有關單位報告。（五）信息披露和客戶風險教育信用社依據有關法律法規的要求，發現風險立即采取防范措施，并通過網站或其他渠道規范和及時披露網上銀行風險狀況，有效維護存款人和其他客戶的合法權益，促進網上銀行安全、穩健、高效運行。信用社將通過柜臺提醒、網站提醒、上門培訓、發放客戶風險提示45、手冊等多渠道向客戶進行風險教育。（六）應急處理信用社網上銀行安全系統建立事故管理及處置機制，及時響應信息系統運行事故，逐級向相關的網上銀行管理人員報告事故的發生，并進行記錄、分析和跟蹤，直到完成徹底的處置和根本原因分析。建立服務平臺，為客戶提供相關技術問題的在線支持，并將問題提交給相關部門進行調查和解決。（七）持續改進風險是不斷變化的，要實現對風險的動態防范，內部控制體系必須具有動態性和自我改進機制。內部控制體系不是一個靜態系統，而是一個可以進行持續改進的動態系統，能隨內部環境的變化和國家法律法規、政策制度等外部環境的改變及時進行相應的修改和完善。信用社網上銀行通過內部審核、內部控制政策、內部控制目標、內部控制評結果、風險識別與評估結果和風險控制方案執行情況的監控、管理評審、各種內部或外部檢查或審計稽核以及內控相關數據的分析與記錄，糾正和預防措施等，不斷地對內控體系的目標、政策、程序進行調整和完善，提高風險內控體系的有效性、適宜性、合規性和充分性。第三章 附則第八條 本辦法由新疆維吾爾自治區農村信用社聯合社負責解釋和修訂。第九條 本制度自下發之日起施行。