财务公司密钥管理办法

—PAGE1367——PAGE14—财务公司密钥管理办法第一章总则第一条为加强财务公司（以下简称公司）网上银行系统（以下简称为网银）和核心业务系统（以下简称核心）密钥统一管理，确保系统的安全和正常运行，根据《中华人民共和国信息安全等级保护管理办法》以及集团公司信息安全相关规章制度，特制定本办法。第二条本办法适用于由公司发放的供本部及结算中心员工、成员单位客户使用的密钥制作及管理。第二章术语和定义第三条本办法术语和定义如下（一）密钥：本办法所称的密钥是指系统用户在登录系统、办理业务所必须持有的、证明其唯一的合法身份的、类似闪存的USB接口专用硬件。（二）数字证书：是指经认证中心（CA）数字签名的包含用户身份信息以及公开密钥信息的电子文件，是系统用户在网上操作系统的电子身份证。本公司所选用的数字证书为中国金融认证中心（三）已写入证书但尚未签发给系统用户使用的密钥为未启用密钥。（四）PIN码：本办法所称的PIN码是指密钥操作密码，该密码可以用专用软件进行修改。（五）内部用户：主要指公司本部及分支机构需要使用密钥完成相应系统登录及业务操作的公司员工。（六）网银客户：主要指集团内成员单位需要通过密钥登录网银办理业务的客户。第三章组织与职责第四条信息技术部是密钥的归口管理部门。主要工作包括空白密钥采购、证书申请、密钥制作、密钥签发、变更（包括因各种因素导致的密钥注销、密钥PIN码重置、密钥证书更新、系统用户创建、系统用户变更）和故障处理等内容。第五条结算部门负责密钥的实物管理以及网银客户密钥申请的发放与接收、核实表中客户信息，接收或送达客户密钥。第六条根据结算中心异地办公特点，结算中心保管一定数目密钥（20把），参照密钥管理办法自行完成网银客户密钥的发放及管理，第七条风险管理部负责依据公司风险控制原则对密钥管理的风险提出意见。第八条审计稽核部负责对公司密钥管理工作的安全性进行审计。第四章管理原则第九条密钥管理遵循“集中管理、专人专钥、事权划分、事中控制”的原则：密钥的制作、签发由公司集中管理和监督；密钥保管与密钥操作岗位必须分离；系统用户按照岗位设置权限，每人配备专门的密钥，分别行使业务处理和管理职责；密钥必须与PIN码配套使用；密钥与操作人员岗位、权限绑定使用，实现事中控制。第十条密钥必须与PIN码配套使用。系统用户领取密钥后，须立即修改PIN码，再进入系统进行业务操作。第十一条密钥PIN码需自觉定期更换。避免生日或其他较易破译的弱口令。输入PIN码须注意保密，其他人员要自觉回避。第十二条密钥使用坚持“专人专用、自负其责”，严禁随意摆放或转借他人使用。第十三条长期不使用或下班后须将密钥妥善放至文件柜等具备保管条件的地方。第五章密钥的采购与保管第十四条信息技术部根据系统推广情况和密钥库存状况，制定采购计划及相关预算，经审批后完成采购工作。负责新购密钥的验收，验收合格的密钥需填写《密钥交接表》（见附件1）与结算部密钥管理员完成交接工作。第十五条结算部密钥管理员进行实物入库并登记《密钥出入库台账》（见附件2）。第十六条结算部密钥管理员需定期对库存密钥保管情况进行实物盘点,确保账实一致，第六章网银客户密钥管理第十七条密钥申领与签发按照以下步骤：（一）网银客户在申领密钥时，应填写《财务公司网银系统用户申请表》（见附件3，以下简称申请表），确定申请人的相应权限，经结算部核实无误确认盖章后，将原件提交至信息技术部办理密钥签发、变更，信息技术部负责原件存档。（二）申请新密钥时，信息技术部系统管理员依据客户内容，结合《密钥交接表》中未使用密钥情况，（三）信息技术部系统管理员将《申请表》复印件交给结算部密钥管理员，结算部密钥管理员根据《申请表》中标明的密钥编号填写《密钥出入库台账》并办理实物出库手续，依据客户需求送达密钥。（四）客户收到密钥后，需填写《申请表》中的“客户签收确认栏”，并加盖单位公章，报送结算部，结算部收到客户确认单后，填写《密钥领用登记表》（见附件4）并将确认单转信息技术部，由信息技术部对该用户进行启用处理。第十八条密钥PIN码重置按照以下要求：网银客户因忘记密钥PIN码或连续输入错误PIN码导致密钥被锁死需要重置密钥PIN码的，应按要求填写《申请表》，连同需重置的密钥经结算部审核后交信息技术部解锁，第十九条密钥注销按照以下要求：（一）客户在密钥使用过程中因密钥毁损、丢失或网银撤销等情况需要申请办理密钥注销，应按要求提交《撤销系统网银用户申请表》（见附件5）交结算部审核后由信息技术部办理注销手续。结算部密钥管理员负责将注销密钥办理入库并登记《密钥出入库台账》。（二）根据密钥申领的实际需求，结算部密钥管理员可会商科技部系统管理员酌情不办理证书的注销手续，而将注销密钥作为未使用密钥办理入库手续，并登记《密钥出入库台账》。第二十条结算中心密钥领用按照以下要求：结算中心存量密钥低于10把时，应及时并尽量留出两周工作时间向结算部申请，结算部办理出库手续后应将出库明细告知信息技术部，双方同时更新《密钥交接表》内容。第七章内部用户密钥管理第二十一条公司内部员工如因工作需要申请、领用密钥时，需填写《内部用户权限申请表》（见附件6），经所在部门、分管领导审批，所在部门需保证用户申请的合理性。第二十二条员工本人填写《密钥领用登记表》并结算部领取密钥，交由信息技术部将双人操作在系统中完成权限配置。第二十三条公司内部系统用户因调出、劳动合同到期或纠纷、退休及因其他原因不在公司继续工作的，必须按照要求将密钥归还至结算部并由信息技术部在系统中完成注销手续，否则人事部门不予办理相关手续。第二十四条内部用户重置PIN码需本人将解锁密钥提交至信息技术部解锁。第八章密钥到期第二十五条信息技术部每半年从CFCA获取即将到期的证书信息，结合系统内记录的证书到期信息统计密钥到期日。第二十六条信息技术部根据每半年统计的信息，按照密钥使用人、钥身序列号一一对应的方式，将接近到期的用户清单交结算部，由结算部通知客户办理更新手续。第二十七条成员单位用户按新用户申请流程办理更新密钥，并在新密钥正常启用后将旧密钥返还结算部，结算部对旧密钥按注销进行入库处理，公司内部用户均由信息技术部统一进行更新证书。第二十八条结算部根据库存已注销密钥数量会同信息技术部、审计稽核部，对以注销密钥进行统一销毁，并做好销毁记录工作。第九章附则第二十九条本办法自印发之日起施行。附件： 1.密钥交接表2.密钥出入库台账3.财务公司网银系统用户申请表4.密钥领用登记表5.撤销系统网银用户申请表6.内部用户权限申请表

附件1：密钥交接表KeyID证书号证书辅助信息有效期本联一式二份，业务部门、信息部各存一份信息技术部持有人：结算部持有人：附件2：密钥出入库台账库存数量（枚）入库数量（枚）入库原因办理人/入库时间出库数量（枚）出库用途办理人/出库时间未使用密钥已注销密钥未使用密钥已注销密钥未使用密钥已注销密钥未使用密钥数量已注销密钥数量盘点人/时间未使用密钥数量已注销密钥数量盘点人/时间附件3财务公司网银系统用户申请表申请单位填写栏填写说明:1请在复选框中用计算机选择,不可手填；2操作员姓名需要手写；3签认金额设置需要手写单位名称：申请原因新增操作员操作员密码重置操作员权限变更PIN码重置删除操作员证书冻结USBKey补发USBKey换发其他（请填写）例：USBKey数字证书丢失，原证书为041@8110000016042159@财务公司@00000×，现更换为041@8110000016042159@财务公司@000000×操作员姓名操作权限备注E01业务经办岗E02业务复核岗E03业务签认岗E04业务查询岗E05单据打印岗E06业务设置岗E01业务经办岗E02业务复核岗E03业务签认岗E04业务查询岗E05单据打印岗E06业务设置岗E01业务经办岗E02业务复核岗E03业务签认岗E04业务查询岗E05单据打印岗E06业务设置岗签认金额设置如有金额签认需求请填写一级签认：签认金额（大于）__________签认人：____________二级签认：签认金额（大于）__________签认人：____________三级签认：签认金额（大于）___________签认人：____________我单位对以上资料进行认真填写，保证填写内容准确无误。经办人:联系方式：单位（公章）日期：年月日财务公司填写栏填写说明:审核完成后,请手工填写意见业务主管部门客户编号:办理意见：经办人：审批人：日期：年月日信息技术部门操作员姓名UKEY编号证书有效期办理人复核人客户签收确认栏已收到申请的电子证书。经办人：单位（公章）日期：年月日信息技术部启用操作员已完成用户登录名和密码制作，已启用用户。经办人：日期：年月日信息技术部编制

附件4：密钥领用登记表申请单位申请人钥身序列号领用人领用日期归还人归还日期

附件5撤销系统网银用户申请表客户名称客户编号撤户原因上述申请撤销系统网银用户信息真实、有效。经办人：年月日复核人：年月日业务主管部门（公章）：年月日信息技术部办理：撤销用户信息及证书编号：1、2、3、4、5、经办人：年月日复核人：年月日信息技术部编制一式两份

附件6内部用户权限申请表部门时间申请部门填写填写说明:1请在复选框中用计算机选择,不可手填;2选择完成后,请手工填写岗位编码;3意见栏请手工填写意见申请原因新增用户删除用户新增权限更改权限USBKey补发登陆密码重置信贷审批流程更改其他（请填写）岗位设置F022信贷业务经办岗F007信贷业务审批岗F011信贷查询岗F19结算账户经办岗F020结算账户复核岗F014结算业务设置岗F003结算业务经办岗F004结算业务复核岗F021会计凭证导出岗F010结算查询岗F013结算部门经理岗F018单据凭证保管岗F017客户信息管理岗F015结算开关机岗F033银企发送岗F032银企设置岗F034银企查询岗F035结算业务对账接收岗F036网银自动指令接收设置岗F009风险监控岗F016审计稽核岗F031