招商证券等机构宕机原因找到了，最新的监管通报提出五大要求

　　机构频繁宕机的原因找到了！近日，招商证券、华安证券等多家机构交易系统出现故障，导致无法交易，这一事件引起市场诸多关注。
　　5月24日，贝壳财经记者从机构处获悉，监管最新一期的《机构监管情况通报》（以下简称《通报》）对证券基金机构出现故障的原因进行了梳理，并指出证券基金经营机构发生信息系统安全事件，直接影响投资者正常交易，给行业声誉造成了负面影响。监管部门将依法开展调查工作，严肃处理相关机构及责任人员。
　　年内多家机构发生信息系统安全事件，上年79家券商因交易系统问题被投诉
　　信息系统安全事件年内多次发生。3月14日，招商证券交易系统出现故障，5月16日，招商证券再次宕机，连续的宕机引起市场关注并冲上热搜。同日，华安基金也发生了类似的交易系统故障问题。
　　对于故障原因，市场猜测颇多，此次监管最新发布的《通报》则对当前证券基金机构发生的信息系统安全事件进行了梳理，并总结出五大原因。比如，招商证券的两次宕机主要是因为在周末系统升级过程中，测试场景尤其是压力测试不够充分，这显示出机构的合规内控管理不到位，系统升级改造过程中存在薄弱环节。
　　再比如，2021年5月18日，首创证券的上交所报盘程序发生故障，经排查，事故原因为软件服务商工程师对部署在同一服务器上的资管系统升级时，升级包存在逻辑错误。而这主要在于机构主体责任意识不强、履行不力，未清晰、准确、完整掌握外部供应商提供软件的系统架构。
　　同时，运维人员操作规范性不足，未能建立有效的权限管理及复核机制也是信息系统安全事件爆发的重要原因之一，《通报》显示，经梳理，有6起信息系统安全事件因运维人员操作不规范引发。
　　值得注意的是，移动APP开发管理存在短板，已成为信息系统安全事件易发领域。贝壳财经记者此前报道，2022年4月25日，国家计算机病毒应急处理中心通报了13款证券公司移动APP存在隐私不合规行为，涉嫌超范围采集个人隐私信息。
　　此外，基金公司安全管理问题也时有出现，据了解，今年2月4日、2月14日、2月28日，3家基金管理公司接连出现由于感染病毒或爬虫程序导致官网无法访问的网络安全事件。监管认为，基金公司应对外部网络攻击或爬虫程序访问等网络防护能力仍需提升。
　　时间拉长来看，证券公司因交易系统稳定性问题被投诉的情况有所减少，但投诉频次依然居于高位。据投保基金公司5月中旬发布的《证券公司投资者保护状况评价报告2022》显示，从12386中国证监会服务热线情况来看，2021年因交易系统稳定性问题被投诉的证券公司有79家，累计被投诉944次，较上一年度（1103次）有所下降。其中，被投诉5次及以上的有42家。
　　具体来看，交易故障主要有页面无法访问、交易信息显示错误、无法及时成交或撤单、无法正常登录等情况，特别是在市场行情转换的时间点，对投资者股票交易造成一定影响。投保基金公司认为，相关证券公司应进一步做好交易系统的日常运维工作，切实保护投资者合法权益。
　　监管将加大监督检查力度，密切跟踪、研究行业新情况
　　《通报》显示，机构需高度重视、加强管理，切实提升系统运维保障能力。一是压实主体责任，健全信息技术管理体系和处罚问机制，督促公司一把手、首席信息官和关键技术岗位人员时刻绷紧信息系统安全这根弦，切实履职尽责，抓好机构安全运营。
　　二是强化安全管理，完善公司内部安全运营的制度措施，细化新业务、新产品上线涉及系统升级改造、定期安全评估、风险排查、应急演练等方面的操作流程，健全安全复核校验机制，确保安全管理措施可实施、可回溯、可验证。
　　三是加大技术保障，结合当前疫情防控形势，加大信息技术投入，提升技术人员业务能力，保持核心技术人员稳定，做好应急值守安排，切实做好系统安全运行保障工作。
　　《通报》指出，机构需强化内部控制和合规管理，稳妥推进系统升级改造。包括明确内部责任分工。在信息技术部门牵头相关工作的基础上，将信息安全风险纳入全面风险管理体系，发挥合规、风控等部门对信息安全风险的管控作用，形成相互监督、相互制约的工作机制；制定专项实施方案，充分验证流程设计、功能设置、参数配置等相关内容，审慎开展涉及交易等核心业务环节的重要信息系统升级工作；完善系统测试工作，搭建独立于生产环境的专用测试环境，丰富系统升级变更后的测试场景，加强压力测试。
　　《通报》还指出，机构需定期开展系统健壮性评估，及时消除风险隐患。包括全面、准确识别数字化转型过程中的各类技术风险，确保合规与风险管理覆盖信息技术运用的各个环节；建立健全信息系统安全监测机制，设定监测指标并持续监测重要信息系统的运行状况；定期开展信息技术管理工作专项审计，深入排查信息系统架构问题及技术风险隐患，并根据审计排查情况及时整改。
　　《通报》认为，机构需严格落实客户信息保护要求，切实维护投资者合法权益。一是完善技术安全保障措施，包括但不限于网络隔离、用户认证、访问控制、数据加密、数据备份、数据销毁、病毒防范和非法入侵监测等，保护数据安全，防范信息泄露与损毁；二是加强信息系统管理、操作和访问权限管理，确保用户权限与工作职责相匹配；三是落实相关法律法规要求，加强移动APP管理，完善发布前的审核检测机制，持续监督信息技术服务机构等外部机构保密协议履行情况，避免因合作机构管理不当导致投资者信息外泄。
　　《通报》强调，机构需加强容量管理与灾备能力建设，提升应急处突能力。具体来看，包括落实系统容量管理及备份能力建设要求，结合公司发展战略、业务规模等因素定期对重要信息系统开展压力测试，确保其容量满足业务开展需要；制定并持续完善应急预案，根据应急预案定期组织关键岗位人员开展应急演练；丰富应急处置场景，加强真演实练，定期梳理总结演练发现的问题，健全应急处置机制。
　　下一阶段，机构部将会同各证监局按照‘穿透式监管、全链条问责’的原则，持续加大对证券基金经营机构合规内控与信息技术管理的监督检查力度，对存在问题的机构和负有责任的人员实施‘双罚’，并在分类评价中从严处理。《通报》显示，密切跟踪、研究行业在数字化转型背景下业务与技术深度融合过程中出现的新情况、新问题，持续完善相关监管要求。
　　新京报贝壳财经记者胡萌
　　编辑宋钰婷
　　校对刘军