第一篇：等保二級管理要求

1.1管理要求

1.1.1

安全管理制度

1.1.1.1

管理制度（G2）

本項要求包括：

a)

應制定信息安全工作的總體方針和安全策略，說明機構安全工作的總體目標、范圍、原則和安全框架等；

b)

應對安全管理活動中重要的管理內容建立安全管理制度；

c)

應對安全管理人員或操作人員執行的重要管理操作建立操作規程。

1.1.1.2制定和發布（G2）

本項要求包括：

a)

應指定或授權專門的部門或人員負責安全管理制度的制定；

b)

應組織相關人員對制定的安全管理制度進行論證和審定；

c)

應將安全管理制度以某種方式發布到相關人員手中。

1.1.1.3評審和修訂（G2）

應定期對安全管理制度進行評審，對存在不足或需要改進的安全管理制度進行修訂。

1.1.2

安全管理機構

1.1.2.1崗位設置（G2）

本項要求包括：

a)

應設立安全主管、安全管理各個方面的負責人崗位，并定義各負責人的職責；

b)

應設立系統管理員、網絡管理員、安全管理員等崗位，并定義各個工作崗位的職責。

1.1.2.2人員配備（G2）

本項要求包括：

a)

應配備一定數量的系統管理員、網絡管理員、安全管理員等；

b)

安全管理員不能兼任網絡管理員、系統管理員、數據庫管理員等。

1.1.2.3授權和審批（G2）

本項要求包括：

a)

應根據各個部門和崗位的職責明確授權審批部門及批準人，對系統投入運行、網絡系統接入和重要資源的訪問等關鍵活動進行審批；

b)

應針對關鍵活動建立審批流程，并由批準人簽字確認。

1.1.2.4溝通和合作（G2）

本項要求包括：

a)

應加強各類管理人員之間、組織內部機構之間以及信息安全職能部門內部的合作與溝通；

b)

應加強與兄弟單位、公安機關、電信公司的合作與溝通。

1.1.2.5審核和檢查（G2）

安全管理員應負責定期進行安全檢查，檢查內容包括系統日常運行、系統漏洞和數據備份等情況。

1.1.3人員安全管理

1.1.3.1人員錄用（G2）

本項要求包括：

a)

應指定或授權專門的部門或人員負責人員錄用；

b)

應規范人員錄用過程，對被錄用人員的身份、背景和專業資格等進行審查，對其所具有的技術技能進行考核；

c)

應與從事關鍵崗位的人員簽署保密協議。

1.1.3.2人員離崗（G2）

本項要求包括：

a)

應規范人員離崗過程，及時終止離崗員工的所有訪問權限；

b)

應取回各種身份證件、鑰匙、徽章等以及機構提供的軟硬件設備；

c)

應辦理嚴格的調離手續。

1.1.3.3人員考核（G2）

應定期對各個崗位的人員進行安全技能及安全認知的考核。

1.1.3.4安全意識教育和培訓（G2）

本項要求包括：

a)

應對各類人員進行安全意識教育、崗位技能培訓和相關安全技術培訓；

b)

應告知人員相關的安全責任和懲戒措施，并對違反違背安全策略和規定的人員進行懲戒；

c)

應制定安全教育和培訓計劃，對信息安全基礎知識、崗位操作規程等進行培訓。

1.1.3.5外部人員訪問管理（G2）

應確保在外部人員訪問受控區域前得到授權或審批，批準后由專人全程陪同或監督，并登記備案。

1.1.4系統建設管理

1.1.4.1系統定級（G2）

本項要求包括：

a)

應明確信息系統的邊界和安全保護等級；

b)

應以書面的形式說明信息系統確定為某個安全保護等級的方法和理由；

c)

應確保信息系統的定級結果經過相關部門的批準。

1.1.4.2安全方案設計（G2）

本項要求包括：

a)

應根據系統的安全保護等級選擇基本安全措施，依據風險分析的結果補充和調整安全措施；

b)

應以書面形式描述對系統的安全保護要求、策略和措施等內容，形成系統的安全方案；

c)

應對安全方案進行細化，形成能指導安全系統建設、安全產品采購和使用的詳細設計方案；

d)

應組織相關部門和有關安全技術專家對安全設計方案的合理性和正確性進行論證和審定，并且經過批準后，才能正式實施。

1.1.4.3產品采購和使用（G2）

本項要求包括：

a)

應確保安全產品采購和使用符合國家的有關規定；

b)

應確保密碼產品采購和使用符合國家密碼主管部門的要求；

c)

應指定或授權專門的部門負責產品的采購。

1.1.4.4自行軟件開發（G2）

本項要求包括：

a)

應確保開發環境與實際運行環境物理分開；

b)

應制定軟件開發管理制度，明確說明開發過程的控制方法和人員行為準則；

c)

應確保提供軟件設計的相關文檔和使用指南，并由專人負責保管。

1.1.4.5外包軟件開發（G2）

本項要求包括：

a)

應根據開發要求檢測軟件質量；

b)

應確保提供軟件設計的相關文檔和使用指南；

c)

應在軟件安裝之前檢測軟件包中可能存在的惡意代碼；

d)

應要求開發單位提供軟件源代碼，并審查軟件中可能存在的后門。

1.1.4.6

工程實施（G2）本項要求包括：

a)

應指定或授權專門的部門或人員負責工程實施過程的管理；

b)

應制定詳細的工程實施方案，控制工程實施過程。

1.1.4.7

測試驗收（G2）

本項要求包括：

a)

應對系統進行安全性測試驗收；

b)

在測試驗收前應根據設計方案或合同要求等制訂測試驗收方案，在測試驗收過程中應詳細記錄測試驗收結果，并形成測試驗收報告；

c)

應組織相關部門和相關人員對系統測試驗收報告進行審定，并簽字確認。

1.1.4.8

系統交付（G2）

本項要求包括：

a)

應制定系統交付清單，并根據交付清單對所交接的設備、軟件和文檔等進行清點；

b)

應對負責系統運行維護的技術人員進行相應的技能培訓；

c)

應確保提供系統建設過程中的文檔和指導用戶進行系統運行維護的文檔。

1.1.4.9

安全服務商選擇（G2）

本項要求包括：

a)

應確保安全服務商的選擇符合國家的有關規定；

b)

應與選定的安全服務商簽訂與安全相關的協議，明確約定相關責任；

c)

應確保選定的安全服務商提供技術支持和服務承諾，必要的與其簽訂服務合同。

1.1.5系統運維管理

1.1.5.1環境管理（G2）

本項要求包括：

a)

應指定專門的部門或人員定期對機房供配電、空調、溫濕度控制等設施進行維護管理；

b)

應配備機房安全管理人員，對機房的出入、服務器的開機或關機等工作進行管理；

c)

應建立機房安全管理制度，對有關機房物理訪問，物品帶進、帶出機房和機房環境安全等方面的管理作出規定；

d)

應加強對辦公環境的保密性管理，包括工作人員調離辦公室應立即交還該辦公室鑰匙和不在辦公區接待來訪人員等。

1.1.5.2資產管理（G2）

本項要求包括：

a)

應編制與信息系統相關的資產清單，包括資產責任部門、重要程度和所處位置等內容；

b)

應建立資產安全管理制度，規定信息系統資產管理的責任人員或責任部門，并規范資產管理和使用的行為。

1.1.5.3介質管理（G2）

本項要求包括：

a)

應確保介質存放在安全的環境中，對各類介質進行控制和保護，并實行存儲環境專人管理；

b)

應對介質歸檔和查詢等過程進行記錄，并根據存檔介質的目錄清單定期盤點；

c)

應對需要送出維修或銷毀的介質，首先清除其中的敏感數據，防止信息的非法泄漏；

d)

應根據所承載數據和軟件的重要程度對介質進行分類和標識管理。

1.1.5.4設備管理（G2）

本項要求包括：

a)

應對信息系統相關的各種設備（包括備份和冗余設備）、線路等指定專門的部門或人員定期進行維護管理；

b)

應建立基于申報、審批和專人負責的設備安全管理制度，對信息系統的各種軟硬件設備的選型、采購、發放和領用等過程進行規范化管理；

c)

應對終端計算機、工作站、便攜機、系統和網絡等設備的操作和使用進行規范化管理，按操作規程實現關鍵設備（包括備份和冗余設備）的啟動/停止、加電/斷電等操作； d)

應確保信息處理設備必須經過審批才能帶離機房或辦公地點。

1.1.5.5網絡安全管理（G2）

本項要求包括：

a)

應指定人員對網絡進行管理，負責運行日志、網絡監控記錄的日常維護和報警信息分析和處理工作；

b)

應建立網絡安全管理制度，對網絡安全配置、日志保存時間、安全策略、升級與打補丁、口令更新周期等方面作出規定；

c)

應根據廠家提供的軟件升級版本對網絡設備進行更新，并在更新前對現有的重要文件進行備份；

d)

應定期對網絡系統進行漏洞掃描，對發現的網絡系統安全漏洞進行及時的修補；

e)

應對網絡設備的配置文件進行定期備份；

f)

應保證所有與外部系統的連接均得到授權和批準。

1.1.5.6

系統安全管理（G2）

本項要求包括：

a)

應根據業務需求和系統安全分析確定系統的訪問控制策略；

b)

應定期進行漏洞掃描，對發現的系統安全漏洞及時進行修補；

c)

應安裝系統的最新補丁程序，在安裝系統補丁前，應首先在測試環境中測試通過，并對重要文件進行備份后，方可實施系統補丁程序的安裝；

d)

應建立系統安全管理制度，對系統安全策略、安全配置、日志管理和日常操作流程等方面作出規定；

e)

應依據操作手冊對系統進行維護，詳細記錄操作日志，包括重要的日常操作、運行維護記錄、參數的設置和修改等內容，嚴禁進行未經授權的操作；

f)

應定期對運行日志和審計數據進行分析，以便及時發現異常行為。

1.1.5.7

惡意代碼防范管理（G2）

本項要求包括： a)

應提高所有用戶的防病毒意識，告知及時升級防病毒軟件，在讀取移動存儲設備上的數據以及網絡上接收文件或郵件之前，先進行病毒檢查，對外來計算機或存儲設備接入網絡系統之前也應進行病毒檢查；

b)

應指定專人對網絡和主機進行惡意代碼檢測并保存檢測記錄；

c)

應對防惡意代碼軟件的授權使用、惡意代碼庫升級、定期匯報等作出明確規定。

1.1.5.8

密碼管理（G2）

應使用符合國家密碼管理規定的密碼技術和產品。

1.1.5.9

變更管理（G2）

本項要求包括：

a)

應確認系統中要發生的重要變更，并制定相應的變更方案；

b)

系統發生重要變更前，應向主管領導申請，審批后方可實施變更，并在實施后向相關人員通告。

1.1.5.10

備份與恢復管理（G2）

本項要求包括：

a)

應識別需要定期備份的重要業務信息、系統數據及軟件系統等；

b)

應規定備份信息的備份方式、備份頻度、存儲介質、保存期等；

c)

應根據數據的重要性及其對系統運行的影響，制定數據的備份策略和恢復策略，備份策略指明備份數據的放置場所、文件命名規則、介質替換頻率和數據離站運輸方法。

1.1.5.1

1安全事件處置（G2）

本項要求包括：

a)

應報告所發現的安全弱點和可疑事件，但任何情況下用戶均不應嘗試驗證弱點；

b)

應制定安全事件報告和處置管理制度，明確安全事件類型，規定安全事件的現場處理、事件報告和后期恢復的管理職責；

c)

應根據國家相關管理部門對計算機安全事件等級劃分方法和安全事件對本系統產生的影響，對本系統計算機安全事件進行等級劃分； d)

應記錄并保存所有報告的安全弱點和可疑事件，分析事件原因，監督事態發展，采取措施避免安全事件發生。

1.1.5.12 應急預案管理（G2）

本項要求包括：

a)

應在統一的應急預案框架下制定不同事件的應急預案，應急預案框架應包括啟動應急預案的條件、應急處理流程、系統恢復流程、事后教育和培訓等內容；

b)

應對系統相關的人員進行應急預案培訓，應急預案的培訓應至少每年舉辦一次。

第二篇：數據保護這一塊按照等保有關要求

數據保護這一塊按照等保有關要求，分系統描述。數據備份的規則是一樣的 下面有描述：

加密存儲方面 數據庫層面是對密碼等關鍵字段做了加密存儲。

互聯網應用系統防泄密應對方案

1)系統架構層面，互聯網WEB應用服務器都部署在DMZ區，只向互聯網客戶端提供接入服務，不存放數據。2)在應用架構層面，針對敏感信息采取加密傳輸和加密存儲的方式，確保信息的安全性。

3)在業務規則層面，互聯網應用系統上線前都經過行方和第三方安全服務公司的安全評估，對輸入內容和上傳內容通過內容校驗和文件校驗規避SQL注入風險和木馬植入風險，確保業務規則的合理性和安全性。

4)在客戶端安全層面，網銀系統采用二代KEY進行登錄認證，移動客戶端集成了防界面劫持SDK。

5)手機銀行客戶開戶需要到營業室面簽，并關聯客戶的賬戶信息和手機號碼，在動賬交易時以短信的方式發送驗證碼至客戶的簽約手機上。

6)通過外包合同授權第三方安全服務廠商在我行移動客戶端發布前進行安全加固服務。針對安卓客戶端通過對編譯后的客戶端進行安全加殼規避客戶端被破解的風險，針對IOS客戶端，通過源代碼混淆技術防止源代碼泄露風險。

我行重要數據主要涉及核心賬務數據、業務交易數據、用戶敏感信息以及重要的其他數據等部分。目前對于這些數據的存儲，我行主要采取的安全防護措施是分級別分區分域存儲、在傳輸過程中采用校驗方式來保障數據的安全性、完整性。

目前，我行對于最重要的核心數據庫的存儲采用的方法是單獨啟用兩臺日立高端存儲陣列配置為雙機實時同步的方式進行數據存儲。核心部分的所有數據都有兩份實時存在于存儲陣列中。同時對于核心數據庫的存儲還采用了昆騰硬件物理帶庫的方法備份于昆騰的高端帶庫中，保障了數據的安全可靠，此外還將核心數據庫的數據通過遠程數據庫復制技術實時同步到異機的數據庫中進行脫離生產主機的數據保護。傳輸過程則通過帶庫軟件的傳輸校驗和數據庫遠程復制的校驗來保障數據的傳輸準確性，保障實際存儲的數據的可用性。

我行核心業務系統在軟件和硬件方面都部署了密碼相關應用軟件和設備：密碼應用軟件方面，采用密碼加密保護構件；在密碼設備方面，部署了江南科友sjl06e金融數據加密機和吉大正元簽名服務器。相關軟硬件，采用DES和3DES等數據加密算法，為核心系統提供了密鑰管理、消息驗證、數據加密等安全的密碼服務，保證數據從產生、傳輸、接收、處理到存儲整個過程的安全性、有效性、完整性、不可抵賴性等安全問題。

我行已于2016年9月建設完成《銀行卡國密改造項目》，該項目將國密SM4算法應用在IC銀聯卡業務中，實現了商用密碼國產化的在我行的應用案例，滿足監管要求，后續我行將按照主管部門要求，在全行各重要系統推行國密應用。

我行重要數據主要涉及核心賬務數據、業務交易數據、用戶敏感信息以及重要的其他數據等部分。目前對于這些數據的存儲，我行主要采取的安全防護措施是分級別分區分域存儲、在傳輸過程中采用校驗方式來保障數據的安全性、完整性。

目前，我行對于最重要的核心數據庫的存儲采用的方法是單獨啟用兩臺日立高端存儲陣列配置為雙機實時同步的方式進行數據存儲。核心部分的所有數據都有兩份實時存在于存儲陣列中。同時對于核心數據庫的存儲還采用了昆騰硬件物理帶庫的方法備份于昆騰的高端帶庫中，保障了數據的安全可靠，此外還將核心數據庫的數據通過遠程數據庫復制技術實時同步到異機的數據庫中進行脫離生產主機的數據保護。傳輸過程則通過帶庫軟件的傳輸校驗和數據庫遠程復制的校驗來保障數據的傳輸準確性，保障實際存儲的數據的可用性。

我行核心業務系統在軟件和硬件方面都部署了密碼相關應用軟件和設備：密碼應用軟件方面，采用密碼加密保護構件；在密碼設備方面，部署了江南科友sjl06e金融數據加密機和吉大正元簽名服務器。相關軟硬件，采用DES和3DES等數據加密算法，為核心系統提供了密鑰管理、消息驗證、數據加密等安全的密碼服務，保證數據從產生、傳輸、接收、處理到存儲整個過程的安全性、有效性、完整性、不可抵賴性等安全問題。

我行在與人民銀行、支付寶等外聯單位互聯采用天融信的VPN安全設備接入，對數據鏈路采用3DES加密算法，加強了信息傳輸過程中的安全防范，切實保障了信息通訊安全。

我行銀行卡業務系統部署了4臺江南科友sjl06e金融數據加密機，采用3DES數據加密算法，實現了交易數據加密保護、密鑰管理等密碼安全服務，保證數據從產生、傳輸、接收、處理到存儲整個過程的安全性、有效性、完整性、不可抵賴性等安全問題。網絡通訊的安全性方面，網上銀行系統部署了2臺信安世紀的應用安全網關NSAE2500,采用了加密傳輸交易信息的措施，使用最廣泛的SSL數據加密協議。保證了數據傳輸的機密性和完整性。在用戶的身份認證上依靠基于“RSA公鑰密碼體制”的加密機制、數字簽名機制和用戶登錄密碼的多重保證。銀行對用戶的數字簽名和登錄密碼進行檢驗，全部通過后才能確認該用戶的身份。數字證書的引入，同時實現了用戶對銀行交易網站的身份認證，以保證訪問的是真實的銀行網站，另外還確保了客戶提交的交易指令的不可否認性。我行部署了2臺信安世紀數字簽名服務器NetSign-E進行簽名驗簽。USBKEY采用飛天誠信生產的二代USBKEY，并且根據國家密碼管理局下發的《關于做好公鑰密碼算法升級工作的通知》，我行已對CA系統密鑰升級為RSA2048位，二代USBKEY均采用RSA2048位證書，規避了RSA1024位密鑰可能帶來的安全風險。

我行二代支付系統部署了2臺信安世紀NetSign 3000數字簽名服務器進行簽名驗簽，2臺興唐SJL10密押機負責人行一代大小額支付業務的加押解押，2臺信雅達SJL1111數據密押機負責城商行清算中心承兌匯票、本票業務的加押解押，以上設備均采用3DES數據加密算法，實現了交易數據加密保護、密鑰管理等密碼安全服務，保證數據從產生、傳輸、接收、處理到存儲整個過程的安全性、有效性、完整性、不可抵賴性等安全問題。

一、按照監管要求，成立了國產密碼推廣領導小組 2015年下半年，經我行2015年第11次行長辦公會審議通過，決定成立“寧夏銀行國產密碼推廣工作領導小組”，負責制定全行國產密碼推廣工作目標和計劃，監督各部門工作完成情況，統一協調國產密碼推進過程中所需的各類資源，確保國產密碼推進工作順利進行。領導小組辦公室設在總行信息技術部，組織架構如下： 組 長：居光華（副行長）

副組長：崔彥剛（信息技術部總經理）成 員：總行信息技術部、個人業務部、運營管理部、網絡金融部、信用卡中心、機構發展部主要負責人。

二、按照監管計劃，完成了國密改造任務

根據《銀行業金融機構密碼應用2015年工作安排》、《金融領域國產密碼應用推進工作2016年工作安排》及人民銀行銀川中心支行要求，在2016年年底完成金融IC發卡、受理、收單相關系統的國密改造工作，使其支持受理國密算法IC銀行卡；2016年年底完成網上銀行后臺系統改造（產業不支持的環節除外），具備條件的上線運行，已發放的客戶端數字證書或動態令牌按照生命周期逐步替換，新發放的基本支持SM系統算法；手機銀行網銀客戶端力爭支持SM系列算法，在產品成熟的情況下，力爭實現廣泛應用。為此，我行于2016年5月啟動了國密改造一期項目，重點升級改造我行銀聯卡業務系統、IC卡發卡系統和受理終端，并適時推廣網上銀行、手機銀行等信息系統的國密應用工作。詳細改造內容如下：

（一）完成了銀聯卡業務系統國密改造工作。2016年9月9日凌晨5點，我行在寧夏地區率先完成了銀聯卡業務系統國密版本的投產工作，投產后，我行系統支持受理國際算法IC卡、國際和國密雙算法IC卡，且與中國銀聯之間已切換成國密算法，加密報文均采用國密算法傳輸，同時銀聯卡系統內部各前置均采用國密算法交互。

（二）完成了發卡系統國密改造工作。2016年11月，我行完成了貸記卡和借記卡發卡系統國密改造開發和測試工作；2017年3月完成了國密卡片檢測工作，具備批量發卡條件；目前待將國密密鑰加載至我行銀聯卡業務系統、發卡系統、制卡系統后，我行將正式發送國際和國產雙密碼算法IC卡。

（三）受理終端國密改造基本完成。目前，我行具備改造條件和新采購ATM、POS終端均已支持國密算法IC卡，其中ATM總計200多臺，POS終端2600多臺，90%的終端設備支持國密算法IC卡。

（四）網上銀行后臺加密機和加密服務平臺均支持國密算法，其他國密改造工作正在研究階段，尚未實施。

（五）手機銀行和電子支付平臺登錄密碼和交易密碼的加解密方面均才用國密算法。

三、按照監管要求，在其他信息系統推廣國密算法

（一）我行二代支付系統支持國密算法。在二代支付系統建設初期，我行已將國密算法考慮在項目建設中，因此二代支付系統投產后，本身支持國密算法，同時在2015年下半年通過了人民銀行國密算法聯網測試。

（二）我行自助終端采用國密算法。2016年2月，我行自助終端管理系統成功上線，在建設初期，已經將國產密碼算法作為系統加解密算法的首選。

（三）我行已投產的客戶關系（CRM)系統，移動終端和前置通訊采用國密算法，目前運行良好。

（四）我行新采購加密機、加密服務平臺等設備和平臺中均要求產品支持國密算法，為后續應用改造提供支持。

四、按照監管要求，結合我行實際情況，2017年國密推廣計劃

根據人民銀行2017年國密改造工作安排（口頭傳達，文件尚未發送），重點改造內容：一是新增發送IC卡，國密卡需達到15%。二是ATM、POS終端改造需達到50%（此項指標我行已達到）。三是網上銀行新增產品、KEY、證書等應支持國密算法。四是推廣國密算法在其他信息系統領域的應用。依據上述要求，我行2017年國密推廣計劃。

（一）推進我行國密IC卡的發卡進度，力爭2017年發行我行國密算法IC銀行卡。

（二）重點研究國密算法在我行網上銀行各個加密環節應用的可行性。

（三）要求各應用系統在進行重大改造、新系統建設時，如具備條件，務必將國密算法改造列入改造內容。

（四）要求新采購密碼設備或平臺時，優先考慮支持國密算法或純國密算法的設備。

寧夏銀行關于客戶數據保護與電子銀行信息安全專項檢查問題的整改情況匯報

中國銀行業監督管理委員會檢查組：

2013年8月12日-8月23日中國銀監會檢查組對我行客戶數據保護與電子銀行信息安全進行專項檢查，并下達了《中國銀監會辦公廳關于寧夏銀行客戶數據保護與電子銀行信息安全的現場檢查意見書》，指出了我行在信息科技風險管理和信息安全保障中存在的問題和不足。我行董事會、黨委會、監事會和高級管理層高度重視銀監會監管意見，召開專題會議，傳達銀監會的檢查意見書，聽取相關部門信息科技風險管理情況和信息安全保障情況匯報，要求各相關部門認真貫徹監管要求，切實抓好整改落實工作。2014年1月我行向銀監會、寧夏銀監局分別報送了整改報告。

一、提高認識，加強對監管整改的領導

為了進一步加強我行信息科技治理建設工作，深入落實中國銀監會、寧夏銀監局監管意見，經我行董事會和總行黨委研究決定，成立由趙其宏行長擔任組長，居光華副行長、祁河首席風險官擔任副組長，董事會、監事會和經營管理層相關部門負責人參加的“寧夏銀行信息科技治理建設工作領導小組”，董事會下達了《寧夏銀行關于進一步加強信息科技治理建設的意見》，要求領導小組向總行黨委和董事會負責并按程序報告工作，研究提出信息科技風險體系建設、業務連續性管理體系建設中的重大決策和重要舉措，強化信息科技高層治理及風險管控頂層設計。

按照董事會《寧夏銀行關于進一步加強信息科技治理建設的意見》和《監事會關于加強信息科技風險管理的幾點建議》安排，領導小組研究制定了《寧夏銀行信息科技治理建設2014年重點工作方案》，明確了2014年我行信息科技工作重點是在總行信息科技治理建設工作領導小組的統一領導下，以信息科技整改工作為重心，以監管合規為目標，制定信息科技風險管理控制目標、組織框架，規范工作流程，不斷完善信息科技風險體系；進一步加強信息科技安全管理，提升核心網絡及電子銀行安全管理水平，做好科技外包風險管控；建立健全行業務連續性管理組織體系和制度體系，完善應急機制，提高突發事件應急處置能力。

二、統籌計劃，切實加強整改工作落實

（一）信息科技風險管理方面

按照監管指引要求，我行已初步建立由信息技術部、風險管理部、審計部組成的信息科技風險“三道防線”組織體系，并將信息科技風險納入全面風險管理范疇。2013年我行風險管理部、審計部配備信息科技風險管理和信息科技審計人員，確定了風險管理部信息科技風險管理職責和風險經理崗位職責，并向信息技術部派駐了風險經理，具體開展信息科技風險管理工作。2013年四季度，審計部派出科技審計人員開展信息科技維保服務專項審計，2014年審計部計劃聘請德勤會計師事務所開展信息科技風險外部審計。啟動信息科技管理組組織架構改革，以“分級管理、權責明確、提升效能、有效制約”為原則，以“大科技管理”為目標，逐步實現應用開發、運行維護和安全管理崗位的分離，實現層次化、矩陣式的科技管理架構，有效提高信息科技風險管控能力和關鍵崗位制約效力。改革方案已經行長辦公會審議通過，上報董事會審批后開始實施。

（二）業務連續性管理體系建設方面

我行風險管理部會同信息技術部已制定了全行業務連續性保障體系建設工作方案，草擬了《寧夏銀行業務連續性管理總體辦法》（討論稿），明確了風險管理部門、業務管理部門、信息技術部門、審計部門、支撐保障部門的職責，提出了成立寧夏銀行業務連續性管理委員會的意見并上報行長辦公會審議。近期將啟動信息科技風險及業務連續性管理建設咨詢項目，借助專業咨詢，幫助我行全面制定業務連續性管理組織體系、制度體系、業務連續性計劃、重要業務應急預案體系和應急管理體系。同時，信息技術部已制定完成全行災備體系架構規劃方案，正在積極推進新數據中心、同城災備中心建設，將進一步改善業務連續性管理基礎設施條件。

（三）信息科技制度體系建設方面

2013年，我行啟動了內控評價和操作風險管理體系建設項目，審議頒布了系統及數據庫維護、數據備份恢復、網絡運行、系統變更、支行安全應急等操作規程。2014年，信息技術部啟動了信息科技制度體系整章建制工作，已制定完成信息科技管理規章制度體系，本著急用先行的原則，進行制度、操作規程和技術規范的編寫修訂，截止目前已經制定了《寧夏銀行信息安全管理辦法》、《寧夏銀行信息系統應急管理辦法》、《寧夏銀行應用系統開發與維護管理規定》、《寧夏銀行信息科技運行管理辦法》、《寧夏銀行網絡安全管理辦法》、《寧夏銀行信息系統變更管理辦法》等制度，并在信息技術部內部開式試運行，待科技管理組織架構方案批準后，計劃在2014年6月底完成行內發文流程，9月底基本完成我行信息科技整章建制工作。

（四）生產網絡、系統運行、安全管理方面

通過細化網絡策略部署，加強網絡變更控制提升生產網絡的安全性，通過建設IT審計平臺、數據脫敏平臺、更換超期服役設備等措施加強對系統運行能安全管控能力，通過不斷程序優化解決網銀網站、電子郵件系統存在的安全漏洞，通過規范ATM機具管理、制卡、呼叫中心錄音管理的操作流程不斷完善信息安全技術防控體系建設。截止目前，我行對現場檢查意見書提出的網上銀行、電子銀行、網絡邊界訪問控制、ATM機具管理、網銀系統權限設置、信用卡制卡、呼叫中心錄音文件管理等多個環節存在的漏洞，關鍵客戶數據存在泄漏風險安全隱患已修補完善，客戶數據保護等問題已經整改完成。

三、具體整改落實情況

（一）生產網絡安全管控過度粗放，系統運行安全存在較大風險

1、檢查發現“內部網絡與行外系統的邊界隔離基本失效，第三方外聯服務區域的防火墻長期處于允許全部外部網絡訪問通過的狀態。”

整改情況：我行已對第三方外聯區防火墻進行了策略梳理和細化，取消了測試保底策略，同時優化了防火墻的其他安全策略，訪問控制粒度到外部源主機、內部目的主機，內部目的端口，今后將繼續根據來往應用數據端口梳理，加強外部網絡訪問安全管控。

2、檢查發現“位于外部公共區域的離行式ATM設備可不受控制地訪問內部生產網絡?！?整改情況：我行在離行ATM匯聚路由器上部署了訪問控制策略，限定ATM設備僅能訪問核心網絡中的特定設備IP及特定服務端口，保障了內部生產網絡安全。

3、檢查發現“ATM等自助設備終端安全管控缺失，對內網系統安全運行產生嚴重威脅,隨機抽查你行兩臺ATM自助終端發現，未對ATM設備進行安全控制管理，ATM外包人員可使用自帶USB設備在不受你行控制的情況下對ATM進行操作，并可進一步進入內網生產系統?！?/p>

整改情況：針對ATM設備安全管控等問題我行采取以下措施手段，加強自助設備安全管控能力。一是簽署安全、保密條款，與ATM等外包服務廠商的合同中簽署安全、保密條款，在合同中明確外包人員應遵從的保密條款；二是從技術層面加強安全防護能力，在所有的ATM終端上安裝了賽門鐵克殺毒軟件，定期升級病毒庫，增加了禁用USB接口和光驅的策略，未經授權不允許在ATM上使用U盤及光驅，卸載了ATM終端上無關的軟件和程序；三是從安全管理機制層面杜絕安全隱患，建立了嚴格的維護人員登記制度，要求維護人員必須在支行專管員的陪同下才能對設備進行維護操作，嚴格控制ATM終端的U口使用，因維護需要使用U口必須提出申請由電子銀行部審批后方可使用，且嚴禁從ATM終端向外拷貝電子文件，從而徹底杜絕了客戶信息泄露的風險。

4、檢查發現“內部網絡安全管控過度粗放，未劃分網絡生產控制域，核心生產服務器區防火墻策略允許總行辦公區技術部所有源地址訪問生產核心服務器區的任意主機、任意端口和任意服務，防火墻限制的遠程控制端口也可被其它方式繞過或取代。由于訪問控制策略過于松散，很容易通過離行式ATM或以辦公終端為跳板侵入生產核心網絡，生產系統存在較大風險敞口?！?/p>

整改情況：我行已經通過部署IT運維審計系統，優化網絡安全策略的方法，加強了核心生產網絡的安全防護。一是我行已部署了IT運維審計系統，所有對核心生產系統和網絡設備的訪問，已通過安全域邊界防火墻訪問策略控制，只允許通過具有雙因子密碼認證的IT審計系統登入維護。二是優化核心防火墻的安全策略，所有對核心網絡的維護訪問，都必須經過IT審計系統登陸，所有的業務管理訪問，都制定了嚴格的策略控制，各類對核心生產網路的訪問都必須通過精確策略匹配才能夠通過，保障了核心生產網絡的安全性。

5、檢查發現“信息安全體系建設嚴重不足，你行尚未制定全行統一的信息安全策略，未設立專職安全管理崗位，工作缺乏獨立性和專業性。無項目安全需求、安全設計、安全測試等相關規定，抽查信貸、ODS兩項目實際執行過程也缺乏安全需求分析、應用安全專項設計等環節，安全體系建設嚴重缺失?！?/p>

整改情況：在信息安全體系建設方面，我行已經制定了《寧夏銀行信息安全管理辦法》，并完成信息技術部組織架構調整方案，設立了專職安全管理崗，并配備專職技術人員開展信息科技安全管理工作。同時，今年我行采用外包的方式簽訂了系統安全掃描服務，在重大項目投產變更前進行安全檢查和安全測試。在項目建設中將按照《寧夏銀行信息安全管理辦法》開展安全評估，并進行代碼掃描和安全漏洞修復。我行正在編制系統應用安全規范，新建系統將開展應用安全需求方案和安全設計工作。(二）電子銀行系統安全漏洞

1、檢查發現“網上銀行程序會話安全存在缺陷。檢查發現，你行網上銀行部分會話可被劫持和篡改，用以查詢或更改他人信用卡信息(包括網銀綁定的手機號碼、進而可實現對他人賬號下的購買理財、電子支付簽約等操作，存在客戶賬戶信息被非法竊取以及賬戶被惡意操作等風險?！?/p>

整改情況：我行已經強化了網上銀行業務處理安全驗證機制，增加會話要素與客戶信息和簽約賬號進行合法性校驗，確保交易的合法性。經過測試新機制能夠有效防范客戶賬戶信息被非法竊取或惡意操作等風險。

2、檢查發現“網上銀行業務操作流程安全驗證機制不完善，網銀查詢版在自助修改網銀密碼時無需USB-Key或短信驗證，導致惡意篡改網銀密碼的難度大大降低?！?/p>

整改情況：我行已經停止個人網銀查詢版的使用，并將個人網銀查詢版的程序包進行卸載，杜絕了通過個人網銀查詢版惡意篡改密碼的安全隱患；在企業查詢版的密碼修改功能中增加短信驗證的限制條件，通過企業查詢版修改密碼必須通過短信驗證碼的驗證，增加了修改密碼的安全保障手段。

3、檢查發現“互聯網商旅平臺存在struts2遠程命令執行高危漏洞，可在系統內遠程執行攻擊命令；互聯網郵件系統存在跨站腳本攻擊漏洞，同時郵件登錄頁面無驗證碼設計且明文傳輸，存在外部暴力破解和鏈路攔截獲取口令等敏感信息進而非法訪問郵件的風險?！?/p>

整改情況：一是針對互聯網商旅平臺存在遠程命令執行高危漏洞，我行已經將問題反饋至銀聯數據公司，并責成銀聯數據公司對商旅平臺進行漏洞掃描，對存在的漏洞進行加固。同時要求銀聯數據公司按照銀監會的有關規定，加強風險防控手段、杜絕類似問題的出現并提供安全評估報告，目前銀聯數據公司已向我行提交了商旅平臺加固后的安全評估報告。二是針對外網郵箱存在跨站腳本攻擊漏洞的問題，我行采用了xssProject的防護手段，已經在系統中部署了相關程序包，修復了跨站腳本攻擊的漏洞。三是我行在外網郵箱上增加了登陸驗證碼功能，對系統中存在簡單密碼進行檢查，要求使用簡單密碼的個人限期修改密碼，并增加了密碼防猜功能，將頻繁出現的密碼嗅探IP地址加入黑名單，同時，我行外有郵件系統使用了base64的編碼方式，所編碼的數據均采用加密方式傳輸。

4、檢查發現“在已知曉一代USB-Key存在簽名信息可被竊取實施轉賬攻擊的風險，且2013年5月已上線使用二代USB-Key的情況下，電子銀行部仍允許網點向客戶發放存量一代USB-Key?！?/p>

整改情況：我行于2013年11月起正式停止一代USBKEY的發放，并制定了一代USBKEY替換退出計劃，通過網銀網站發布了替換二代UBSKEY的公告，全面啟動一代USBKEY的替換工作。

（三）數據安全問題

1、檢查發現“外包人員可接觸的ATM機具上留存的交易日志及交易流水中完整記錄了賬號、卡號和交易情況?！?/p>

整改情況：建立嚴格的登記制度，要求維護人員必須在支行專管員陪同下才能對設備進行維護操作。同時密切關注ATM客戶信息安全，禁止所有人員從ATM終端向外拷貝電子文件，如有特殊需要只能由總行特定人員進行拷貝。

2、檢查發現“個人網銀信用卡“客戶信息查詢”模塊完整顯示了卡號、姓名、電話、手機、郵箱和地址等個人隱私信息；“卡片信息查詢”模塊完整顯示卡號、姓名、有效期等信用卡賬戶關鍵信息，容易造成信息泄露?！?/p>

整改情況：將個人網銀信用卡客戶資料維護查詢結果中的家庭電話、手機號碼進行了部分屏蔽，將信用卡卡片信息查詢結果中的卡號信息進行了部分屏蔽，有效的防止了客戶信息泄露。

3、檢查發現“網銀系統業務管理員訪問控制權限設置不合理。檢查發現，網銀內管平臺所有總行級管理員均可查詢到全部個人網銀客戶信息及企業網銀客戶信息，同時系統提供下載功能，本地無輸入輸出管控及監控，在技術上無法控制客戶信息外泄?！?/p>

整改情況：針對網銀系統業務管理員訪問控制權限設置不合理的問題，我行對網銀系統后臺管理進行了功能完善，一是增加網銀系統管理員模塊，設立網銀系統管理員，負責總行級別操作員的新增、修改、刪除、權限分配等工作；二是限定操作員的查詢權限，總行級操作員可以查詢全行網銀客戶信息，分、支行操作員只能查詢所轄分、支行的企業客戶信息，同時，在查詢企業網銀客戶信息時必須輸入企業名稱（關鍵字即可）、企業登錄名、證書編號中的一項或者多項，查詢個人網銀客戶信息時必須輸入完整的賬戶或證件號碼。三是屏蔽了客戶關鍵信息，將企業客戶的機構代碼證號、加掛賬戶，個人客戶的證件號碼、加掛賬戶進行了屏蔽處理，同時取消了客戶信息下載功能。

4、檢查發現“關鍵客戶數據存在泄露風險。檢查發現，信用卡制卡文件以明文形式暫存本地；制卡操作終端保存了部分含有客戶敏感信息的文件；呼叫中心的錄音文件允許明文下載并保存在本地，缺乏有效的管控手段對錄音文件的使用范圍、傳輸和轉儲銷毀等進行控制。制卡文件以及交易錄音文件等關鍵信息一旦外泄將產生制作“偽卡”、竊取客戶密碼和交易欺詐等風險。”

整改情況：為規范本地制卡流程，加強卡數據管理，落實安防要求，一是增強信用卡制卡環境的安全保障，設立了單獨的制卡室，配備防盜門窗，安裝了監控設備，并由專人負責監控設備的數據更新和調取；二是加強制卡用機的安全防護，制卡設備專機專用，安裝殺毒軟件，清理不必要的軟件和程序，并采用專線傳輸制卡數據；三是完善制卡流程管控，采用雙人管理，制卡和數據傳輸由專人負責分別操作，雙人簽字確認，相互監督并及時銷毀；四是嚴格落實安保制度，各項工作嚴格遵從《寧夏銀行安全保衛工作管理規定》，并完善工作登記制度，制定了《寧夏銀行信用卡制卡工作登記簿》和《監控室調閱登記簿》。

在呼叫中心錄音文件管理方面，一是制定了《寧夏銀行呼叫中心錄音文件管理暫行規定》，規范錄音文件的使用管理，明確了錄音文件調閱、使用的流程。同時制定了《呼叫中心錄音調取申請表》，對使用人、具體使用的錄音文件、用途進行登記。二是規范中心內部錄音文件的下載使用管理。要求所有錄音文件下載均由系統管理員專人操作。三是規范錄音文件的下載過程控制。中心重新梳理系統用戶的使用權限，除系統管理員外，其他用戶均無下載錄音文件的權限，確保錄音文件下載行為的規范安全。

（四）生產系統開發、運行及連續性問題

1、檢查發現“軟件測試、系統運維不規范，系統安全運行存在隱患。你行軟件測試管理體系不完善，無測試管理制度或規程，無專職測試管理崗位，軟件功能測試工作僅憑項目組或個人經驗，較少開展非功能性測試，測試缺乏規范、指導和監督，測試合規性和有效性亟待提升。另外，生產變更存在薄弱環節，相關制度不完善，缺乏必要的風險評估過程?！?/p>

整改情況：我行應用系統業務測試主要由業務主管部門完成，系統測測試和壓力測試由信息技術部門完成。2014年我行將采取有效措施，進一步加強測試管理。一是制定《寧夏銀行信息系統開發與維護管理規定》，明確了信息系統開發與維護的測試規范，并設立需求審查小組，制定測試工作管理規范，負責全行業務需求的審核和業務測試方案的審核，指導和監督業務部門測試人員，提高測試合規性和有效性。二是初步擬定了信息系統代碼安全基線和系統安全配置標準。在系統投產上線前將由安全管理崗位和項目組共同進行系統壓力測試，系統安全策略檢查和代碼安全檢查。三是初步制定應用系統安全規范和測試規范，提高系統測試的合規性和有效性。四是重新編寫了《寧夏銀行信息系統變更管理制度》，進一步規范了應用系統的投產變更流程，明確了各節點的職責，增加了重要系統投產變更前的業務影響評估和風險評估。五是計劃成立測試中心，強化測試管理及變更管理。

2、檢查發現“運維人員可在個人辦公終端上實現對生產環境的搡作、訪問核心系統以及監控等，運維審計平臺存在漏洞，運維人員能夠繞過該平臺訪問網銀數據庫主機?！?/p>

整改情況：在運維人員操作、訪問監控方面，我行已通過運維審計系統全面采用4A授權認證方式，完成了對安全域邊界防火墻訪問控制策略的調整完善，對訪問生產主機和數據進行嚴格控制和全面監控，通過技術措施嚴格杜絕運維人員繞過運維審計平臺訪問后臺主機和數據庫。

3、檢查發現“應急管理、數據中心管理存在違規現象。你行2012年8 月15日發生網銀系統故障三級突發事件，事后未按照銀監會《銀行業重要信息系統突發事件應急管理規范（試行》要求及時向監管部門報告；你行2012年開展的兩次生產系統應急切換演練均未提前向寧夏銀監局報告；你行新數據中心在規劃選址階段未按照監管要求向寧夏銀監局報備，違反了《商業銀行數據中心監管指引》第九條“商業銀行應在數據中心規劃籌建階段，以及在數據中心正式運營前至少20個工作日，向中國銀監會或其派出機構報告”相關要求?！?/p>

整改情況：我行已明確風險管理部派駐信息技術部的風險經理作為監管報送責任人，負責各項信息科技監管上報工作。同時根據監管要求，完善了監管報送制度，制定了《寧夏銀行重大事件報告制度》、《寧夏銀行計算機安全事件報告制度》，嚴格按照銀監會信息科技管理要求，全面、及時、準確的開展監管報送工作。2013年4季度以來，我行嚴格遵守監管報送要求和行內報告制度，按照指引要求報送了新數據中心籌建報告，及時報送重大事項、重大變更、例外事件共9次。

4、檢查發現“業務連續性管理存在疏漏。業務連續性組織架構不完整，未明確執行部門、保障部門、業務部門、審計部門在業務連續性管理方面的職責；業務連續性體系建設滯后，未制定業務連續性管理制度，缺乏突發事件總體應急預案，同時各業務條線、各重要信息系統的應急預案不完整?！?/p>

整改情況：我行已明確風險管理部作為我行業務連續性管理的牽頭部門，將負責建立業務連續性管理體系，目前已經制定了《寧夏銀行業務連續性管理總體辦法》（討論稿），明確了業務連續性管理的組織架構與職責，計劃啟動了信息科技風險及業務連續性管理建設咨詢項目，擬通過咨詢項目逐步完善我行的業務連續性管理體系。同時，我行信息技術部已經制定了《寧夏銀行信息系統應急管理辦法》，對重要信息系統應急預案進行了梳理、完善，并針對重要信息系統應急預案制定了培訓計劃。

5、檢查發現“業務連續性資源建設存在薄弱環節，如呼叫中心設備巳運行10年，平均每月出故障18次左右，系統可用性不足。”

整改情況：2013年11月，我行啟動了呼叫中心設備升級工作，對超期服役的設備進行了更換，同時對呼叫中心供配電環境進行了加固，更換了UPS電池組，增配了柴油發電機，提升了呼叫中心系統可用性。

四、監管意見落實情況

為了落實監管意見，推動全行信息科技風險體系建設、業務連續性管理體系建設，我行董事會下發了《寧夏銀行關于進一步加強信息科技治理建設的意見》，成立了“寧夏銀行信息科技治理建設工作領導小組”，全面加強信息科技治理建設工作的組織和領導，并通過信息科技風險及業務連續性管理建設專業咨詢項目，進一步優化我行信息科技治理架構，健全信息科技決策體系和組織架構，完善信息科技風險管理制度體系和業務連續性管理體系。

（一）加強內網安全管理

2014年，我行信息技術部進行了組織架構調整，設置了專職安全管理崗位，制定了《寧夏銀行信息安全管理辦法》，開展信息安全管理工作。一是簽訂第三方安全服務協議，定期開展信息安全檢查。我行與專業的安全服務公司簽訂了安全服務協議，借助專業的外部技術力量，加強信息系統安全管理，今年已經進行了兩次信息系統專項安全檢查，我行也針對安全檢查內容進行了漏洞修復與整改工作。二是加強網絡安全管理。從核心網絡到邊界接入網絡，全面梳理了網絡的控制策略，強化了網絡訪問控制力度，提高了整體網絡的安全性，同時網絡調整嚴格遵循變更審批制度，全面加強網絡安全管理。三是加強對ATM，POS等電子銀行機具設備的安全管理，完善機具設備接入的集中管控。我行電子銀行部加強對自助終端設備的安全管理，與服務廠商簽署了安全保密協議，在終端設備上安裝防病毒軟件、封閉USB端口，并不斷完善自助終端設備的管理機制，加強自助設備系統、應用和物理安全策略審查，以及外部維護人員維護操作規程檢查。

（二）加強電子銀行應用安全防護

為了加強電子銀行應用安全防護，從2014年1月起，我行通過與第三方安全專業機構合作的方式，開展網站實時監控，定期開展互聯網外部滲透測試，內部漏洞檢查和系統、網絡安全審計評估，并對發現了安全隱患進行了及時的整改。同時，制定整體安全策略和開發、運維安全規范，編制程序代碼安全基線和系統安全配置標準，加強系統投產變更的風險管控，開展上線前的安全評估和合規審查。

（三）加強數據安全管理

為了加強客戶數據安全管理，防止客戶數據非法泄露，我行采取了以下具體措施。一是加強后臺維護管理。通過IT審計系統，所有的后臺維護操作必須經過需要雙因子認證的IT審計系統，并且采用“最小授權”原則，控制訪問權限，同時，對測試環境的客戶數據進行脫敏處理，防止客戶數據從后臺維護、開發測試中泄露。二是優化業務程序。對涉及客戶信息的信息系統進行不斷的優化，控制操作員的訪問權限，并對敏感客戶信息進行屏蔽處理，防止客戶數據從業務渠道泄露。三是進一步加強全行信息安全管理，特別是加強互聯網和外聯業務網絡的安全管控，定期開展網絡邊界訪問控制策略的審計檢查和互聯網應用安全檢查，提高網絡邊界的防護水平，防范外部非法入侵和數據泄露風險。四是完善制度體系。對客戶數據的提取、訪問、銷毀制定嚴格、完整的制度，從制度、技術等多個層面保障客戶數據的安全。

(四）加強業務連續性建設

一是我行已經制定業務連續性保障體系建設工作方案，起草完成《寧夏銀行信息系統應急管理辦法》，完善了各信息系統的應急預案修訂，制定了應急預案培訓計劃，初步建立了全行應急組織體系。二是風險管理部草擬了《寧夏銀行業務連續性管理總體辦法》（討論稿），明確了相關部門的管理職責，提出了成立寧夏銀行業務連續性管理委員會的意見并上報行長辦公會審議，后續將啟動信息科技風險及業務連續性管理建設咨詢項目，指導我行開展業務連續性保障體系建設工作，建立完善組織架構，健全管理制度，完善全行應急管理組織體系，應急預案體系，梳理全行業務重要性級別，制定重要業務連續性管理規劃，管理策略和應急預案，協助開展應急演練，提高業務應急能力。三是按照全行業務連續性管理制度體系分工和總體計劃，各業務主管部門以及法律合規部、辦公室、人力資源部和安全保衛部年底前制定所負責的業務條線的應急預案和連續性管理計劃。四是加快推進總行新數據中心、同城災備中心選址和系統建設以及天津、西安分行級同城災備中心選址和系統建設。

二〇一四年五月十二日

關于網銀業務存在問題整改情況說明

問題

1、網上銀行程序會話安全存在缺陷。檢查發現，你行網上銀行部分會話可被劫持和篡改，用以查詢或更改他人信用卡信息(包括網銀綁定的手機號碼），進而可實現對他人賬號下的購買理財、電子支付簽約等操作，存在客戶賬戶信息被非法竊取以及賬戶被惡意操作等風險。

整改措施：針對（1）個人網銀信用卡信息查詢；（2）個人網銀帳戶信息通開通,修改,查詢；（3）個人網銀理財開通,修改,查詢；（4）普通電子支付簽約等四種簽約類交易，我行已于2013年8月21日提交新版本，添加賬號合法性校驗，驗證操作賬號必須為用戶網銀已綁定的賬號，從而避免此類風險的發生。

技術方案：將需要校驗賬號的交易和賬號字段配置在數據庫中，通過一個賬號權限控制類（QueryAcControlCommandForNX），獲取當前交易需要校驗的賬號字段，通過上下文獲取賬號字段的內容，然后根據條件查詢數據庫中是否存在此賬號信息，如果不存在則屬于非法篡改賬號，阻止當前交易并報錯。

問題

2、網銀查詢版在自助修改網銀密碼時無需USBKEY或短信驗證。

整改措施： 當企業查詢版網銀客戶自助進行密碼修改時進行發送短信驗證碼，界面輸入短信驗證碼進行驗證

業務截圖：

問題

3、個人網銀信用卡“客戶信息查詢”模塊完整顯示了卡號、姓名、電話、手機、郵箱和地址等個人隱私信息；“卡片信息查詢”模塊完整顯示卡號、姓名、有效期等信用卡賬戶信息外泄。整改措施：

1、將信用卡客戶資料維護查詢結果中，對家庭電話、手機號碼進行了部分屏蔽；

2、將信用卡卡片信息查詢結果中的卡號信息進行了部分屏蔽。

業務信息截圖：

（1）信用卡客戶資料維護功能： 點擊查詢后：

（2）信用卡卡片信息修改

他行網上銀行信用卡信息查詢截圖：

問題

4、網銀連續登陸失敗5次，賬戶被鎖定，但不通知客戶，30分鐘后自動解鎖。

整改措施：密碼輸入錯誤5次后，賬戶被鎖定時，系統自動客戶發送短信通知

短信通知內容：個人客戶：您好，您的個人網銀因登陸時密碼輸入連續錯誤5次，已被鎖定，30分鐘后將自動解鎖，如不是本人操作，請及時通知我行。

企業客戶：您好，您的企業網銀用戶因登陸時密碼輸入連續錯誤5次，該用戶已被鎖定，30分鐘后將自動解鎖，如不是您本人操作，請及時通知我行。

登陸頁面提示及發送短息信息圖片：

個人短信截屏：

企業短信截屏：

問題5、2013年5月已上線使用二代USB-Key的情況下，仍允許網點向客戶發放存量一代USB-Key。

整改情況說明：我行與2013年11月20日以紙質文件報送銀監局，并于13年11月25日在網銀網站進行了替換二代USBJKEY的公告 公告截圖：

問題

6、網銀內管平臺所有總行級管理員均可查詢到全部個人網銀客戶信息及企業網銀客戶信息，同時系統提供下載功能，本地無輸入輸出管控及監控，在技術上無法控制客戶信息外泄。具體整改措施：

一、開發網銀系統管理員模塊

設立網銀系統管理員，由電子銀行部主管網銀業務的領導擔任，負責總行級操作員的新增、修改、刪除、權限分配、密碼重置等工作。

二、限定操作員查詢權限

1、總行級操作員可以查詢全行網銀客戶信息，分行級操作員只能查詢所轄支行網銀客戶信息。總、分級操作員查詢企業網銀客戶信息時必須輸入企業名稱（關鍵字即可）、企業登錄名、證書編號中的一項或多項，查詢個人網銀客戶信息時必須輸入完整的賬號、證件號碼、證書編號中的一項或多項。

2、支行級操作員可以查詢全行個人網銀客戶信息和本機構注冊的企業網銀客戶信息，其中3300機構（呼叫中心）操作員需要特殊處理，允許查詢全行企業和個人客戶信息。查詢企業客戶信息時無須輸入客戶有關信息，查詢個人客戶信息時必須輸入完整的賬號、證件號碼、證書編號中的一項或多項。

三、屏蔽客戶關鍵信息

將企業客戶的機構代碼證號、加掛賬號，個人客戶的證件號碼、加掛賬號中間部分做屏蔽處理，同時取消客戶信息“下載”功能。以總行為例相關查詢界面截圖：（1）個人用戶信息管理

模糊查詢后：

輸入具體的證件號后：

點擊登錄名后詳情顯示：

（2）企業用戶信息管理：

模糊信息查詢后：

輸入企業登錄名：

鏈接核心客戶號查看詳情：

第三篇：2012等保工作總結

2012等保工作總結

根據電監會、集團公司信息安全等級保護工作要求，結合公司實際情況，在定級為二級保護的基礎上，按照二級等級保護要求，認真開展信息安全等級保護建設、自查和整改工作，落實等級保護各項任務，提高公司信息系統安全防護能力?，F將2012年信息安全自查工作開展情況總結如下：

一、信息安全保護工作開展情況

1、制定信息安全規劃，明確公司信息安全策略，規劃信息安全技術層面和管理方面的建設內容。

2、制、修訂《Q/AEPC.G09-6-2009 計算機網絡系統管理制度》、《Q/AEPC.G09-7-2009 信息機房管理制度》、《Q/AEPC.G09-9-2009 服務器管理及數據備份管理制度》、《Q/AEPC.G17-21-2011 網絡與信息系統安全管理制度》、《Q/AEPC.G17-20-2009 網絡與信息系統安全風險應急預案管理制度》、《Q/AEPC.G17-25-2009 信息保密管理制度》、《Q/AEPC.J11-3-2009 網絡控制策略規范》、《Q/AEPC.J11-4-2009 信息機房環境和監測規范》等信息安全制度規范，規范公司信息安全管理涉及的機房、服務器、網絡、用戶接入、數據保密、數據備份和恢復、邊界防護、風險防范等各方面的內容。

3、網絡邊界購置部署防火墻、IPS等設備，設置過濾、入侵檢測策略，提高內部網絡安全性。采取ip-mac-port綁定的方式對用戶接入進行管理，防止未授權用戶接入內部網絡。部署上網行為管理設備，根據策略管控規范用戶上網行為。對登錄網絡設備的用戶進行身份鑒別，設置唯一的管理員標識和登錄地址限制。

4、管理員統一管理主機，操作票審批通過才能操作主機，監督人旁站監督。關閉服務器遠程桌面管理，對服務器的操作只能在機房監控室通過KVM切換進行。操作系統管理員口令滿足復雜度要求并定期更換，啟用登錄失敗處理功能，采取結束會話、限制非法登錄次數和自動退出等措施進行保護。

5、梳理現有應用系統，根據應用系統的重要性以及新環境下的需求，修訂完善應急預案，并實施“SSL VPN宕機”和“網頁篡改”兩個預案的演練。

6、根據工作計劃，對合肥、宿州、田集、虎山等4個項目部進行了信息安全檢查、MIS應用及信息安全培訓。

二、存在的問題

1、信息安全規章制度還不完善，未能覆蓋到信息系統安全所有方面。

2、專業技術人員較少，技術力量薄弱。

3、信息系統建設和信息安全保護工作投入的經費不足。

三、整改方向

1、進一步完善信息安全相關規章制度，實現信息安全的規范管理。

2、建立集中日志分析審計管理系統，對防火墻、SSL VPN等網絡設備產生的日志統一管理，并能自動分析并產生告警。

3、部署網絡管理平臺，實時對網絡設備、物理鏈路的運行情況等進行監測，對于設備和鏈路的異常提供告警等服務。

4、識別防火墻、IPS、SSL VPN、WebLogic、Oracle等系統存在的弱點，經測試后分別編制加固手冊，根據加固手冊對系統進行加固，提高其安全性

5、加強對計算機安全知識的培訓，定期開展信息安全檢查工作，提高人員安全防護意識。

第四篇：2012開學學籍管理等工作要求

2012秋季開學學籍管理等相關工作要求

一、關于均衡教育檢查。

1、《當陽市中小學教育質量考核評價方案》掛在平臺上和當陽市學籍管理QQ群共享文件中，可下載使用。

2、隨班就讀對殘疾學生統計。就利用學籍名冊復制粘貼，在姓名后插一欄，注明殘疾類型（肢體、聽力、視力等，不要隨意填智力、精神類，除非有正規殘疾證明）。請于8月28日前傳給我。

3、2012初升高學生去向調查。名冊和已錄取情況、要求等已掛在平臺上和當陽市學籍管理QQ群共享文件中，可以下載使用。請把調查好的情況（包含已知的職高、民辦高中情況也要轉填過來）集中填寫在全市畢業生名單（第一張工作表中）中，于8月28日前傳給我二、關于學籍資料整理。

1、《學生發展性評價手冊》第一頁的學籍卡必須驗印，要仔細清查。

2、開展學生綜合素質評價，方案、記載、結果等資料齊全，完善和規范《學生發展性評價手冊》的填寫。

3、其他學籍資料的完善。如表、冊、卡、證必須配套；小升初檔案完整等。

4、學籍系統數據整理完善。一是少量異動遺留問題該處理的立即處理。不能處理的暫時擱置聽通知。二是有錯誤的一律更正，主要是指小學重復上傳，雖然沒有上報省廳卻仍然留在系統中的少量學生信息，如2011級——新民

35、窯灣50、壩陵

35、富力寺

57、胡場

63、陳院

7、實驗64；2009級——窯灣42；2008級——新店24；2007

級——雄風55。處理辦法：給這些學生分一個班后再將這一個班集中刪除，請于8月31日前處理好。

三、關于《湖北省暫未取得正式戶口適齡兒童少年入學證明單》。所有手續已辦完，請各中心學校領回去后通知相關學校于8月28日前完成以下工作。

1、將這些學生利用學籍名冊復制粘貼，傳一個電子名冊給我。

2、在證明單標題的下面用學籍識別碼給《湖北省暫未取得正式戶口適齡兒童少年入學證明單》編號。

3、照相或者掃描，要求100K以下，用“學籍識別碼-年級-學校類別”（小學為XX，初中為CZ）命名，傳給我。如小學2011級，就是“***020068-2011-XX”

4、現在最新學籍名冊下載后，最后一欄新增一欄“身份證驗證結果”，如果現實的“未通過”，就需要進一步核對糾正。如果是省外的身份證，只核對是否與戶口簿是否一致就行了，省內的就需要再次核對姓名以及身份證號是否與戶口簿一致，如有誤必須糾正。

四、關于新生注冊和學籍異動辦理。

1、小學一年級新生使用《新生信息采集表》采集好新生信息，并于9月10日前按照系統中對《注冊模板》信息欄目完成信息錄入，為新生注冊做好準備。由于學籍系統暫未安排，注冊要求另行通知。

2、初中新生直接在學籍系統中進行勾選，形成初中新生學籍庫。我先將簡化版的全市小學畢業生學籍庫放在平臺上和當陽市學籍管理QQ群共享文件中，請各初中將本校確定的招生對象進行勾選備用。由于涉及湖北省教育廳對各縣市城區小升初擇校的監測，城區初中暫由教育局直接勾選注冊。

如果是省內市外學生一律先報教育局批準后，由教育局在系統中

直接向流出地教育局提出申請；如果是省外學生一律先報教育局批準后才能入學，否則不能注冊。

3、關于學籍異動辦理新方式。分年級分類整理異動手續備查，有手續的異動一律先按以下要求在系統中提交申請。再來當面審核并辦理?！袃犬悇佑赊D進學校提交異動申請，依據是《跨服務區就讀申請表》；——省內市外轉進由轉進學校依據學生提供的就學相關證明、通過學籍系統搜索證實以后提交申請；——轉出省內市外由對方提交申請；——省外轉進轉出由學校依據完備的紙質手續提交外省添加或轉出省外的申請；——休復學要求不變，從嚴控制。

一年級和七年級新生注冊另行安排。以后轉學聯系卡僅限轉出市外和省外使用

3、關于跨服務區學生統計。由轉出學校根據《跨服務區就讀申請表》簽字情況填寫一個電子統計表傳給我。表格內容依次為“填表學校、學生姓名、父親、母親、去向學?！?。小學新生需要重新填寫。初中可利用簡化版的全市小學畢業生學籍庫進行勾選、再補填“填表學校、去向”欄目后上傳。

五、開學用表已掛在平臺上和當陽市學籍管理QQ群共享文件中，可以下載使用。請各中心學校于9月2日前將表

6、表

7、表8的電子文檔傳給我。

六、《當陽市小學不足齡新生入學審批表》《當陽市跨服務區就讀申請表》只發了樣表，電子文檔掛在平臺上和當陽市學籍管理QQ群共享文件中。

請全市各中心學校、各中小學學籍管理員每天務必上平臺和當陽市學籍管理QQ群（群號215186911）瀏覽一下消息和共享文件夾，以不耽誤工作。每周至少兩次瀏覽學籍管理系統，及時處理相關工作。

第五篇：公安派出所保二級材料

XX派出所成立于XX年X月，管轄XX街道的X個社區和X個村及XX區委、政府等XX個駐街單位，總面積XX平方公里，屬于大規模開發建設地區，治安狀況日趨復雜。

目前派出所共有民警XX人，工人X人，其中黨員X人，干警平均年齡 XX歲，所長、教導員各1人，副所長3人（其中1人兼行政內勤），內勤民警X人，社區民警X人，偵管民警X人，工人同志從事后勤保障工作。我所現有辦公樓二棟，備有值班室、接待室、會議室、社區民警辦公室，偵管民警辦公室，刑偵技術室，干警休息室等。[找文章到大☆秘☆書☆網-/www.tmdps.cn-一站在手，寫作無憂！]

今年以來，我所在分局黨委的正確領導下，在街道工委和廣大人民群眾的大力支持下，在各級部門的精心指導下，團結帶領全所民警奮力拼搏，埋頭苦干，堅持用鄧小平理論和“三個代表”重要思想、黨的十六大及“兩會”的精神為指針，認真貫徹落實《中國共產黨中央關于進一步加強和改進公安工作的決定》和“二十公”會議精神，嚴格按照市委市政府及市局的的統一部署，以營造和諧穩定的社會環境和公正高效的法治環境為目標，以強化基層基礎建設為重點，按照“求實、創新、開拓、發展”的基本思路和“抓學習、抓落實、抓質量”的要求，以大練兵活動為載體，以創建“平安社區”活動為契機，全面履行管理、防范、服務、打擊職能，基本實現“發案少，秩序好，社會穩定，群眾滿意”的目標，使各項業務工作均有了新的發展和提高?，F將今年的工作總結如下：

一、強化政治教育，加強內務管理，推進正規化建設

2006年，我所的隊伍建設在以鄧小平理論和“三個代表”的重要思想的指導下，按照公安部制定的《2004-2008年全國公安隊伍正規化建設綱要》規定，認真落實《內務條令》，堅持“從嚴治警，依法治警”的方針，嚴格執行“五、四、三禁令”，以建設和諧社會為目標，以執法為民為主線，以作風建設年為載體，以大練兵活動為契機，以推進隊伍正規化建設為重點，以強化基層基礎為切入點，堅持不懈地組織政治學習，加強思想教育，嚴格內務管理，規范警容風紀，進一步完善執法過錯責任追究制度，強化隊伍廉政建設和監督管理機制，嚴防職務違法違紀問題的發生。所領導班子齊心協力，齊抓共管，一手抓打擊違法犯罪，一手抓隊伍建設，把隊伍建設貫穿到全年的工作中，使全體民警的政治素質，業務素質，體能素質都得到普遍提高，隊伍的戰斗力進一步加強。

1、所領導緊跟新形勢發展要求，以身作則，率先垂范，帶頭學習好、領會好、貫徹好十六屆四中全會精神，肩負使命，按照“與時俱進抓隊伍，從嚴治警抓規范，依法行政提素質，思想工作抓創新”的思路，以求真務實的工作作風，首先抓好隊伍的思想教育。

2、組織民警繼續深入學習鄧小平理論和“三個代表”重要思想，組織學習黨的十六大四中全會精神，認真學習貫徹《中國共產黨中央關于加強黨的執政能力建設的決定》。通過學習，加深理解，提高認識，以適應新時期、新形勢的發展要求，促使全體民警在思想上、政治上、組織上與中央保持一致，保證政令通行。堅定不移地貫徹政治建警方針，不斷強化政治思想建設，教育全體民警牢固樹立“立警為公，執法為民”的神圣宗旨。

3、組織民警學習《公安機關內務條令》《人民警察法》及有關的法律法規，開展公正、文明執法法制教育，逐步提高民警的法制觀念和執法水平，教育他們自省、自覺、自律、嚴格執行“五、四、三禁令”，防止和遏制違法違紀行為的案件發生。全年共組織干警政治學習XX次，法制學習XX次，全年無民警違紀違法和出現執法過錯行為，在市局、分局的各級檢查中得到好評。

4、認真按照《內務條令》加強隊伍管理，對民警開展崗位集訓和大練兵集中訓練，深化警務公開，增加便民措施，健全執法制度，整頓警容風紀，規范執法行為。按照周部長提出的“人要精神，物要整潔，說話要和氣，辦事要公道”四句話基本要求規范內務辦公秩序，建立衛生制度，規范內部和外來車輛停放，調整辦公場所，增設文體活動室，美化辦公環境。

5、嚴格落實值班備勤制度，槍支管理制度，用制度來約束每一位民警，做到業務工作、基礎臺帳清晰，使用規范，責任明確，檔案管理規范，未發生失、泄密事件，我所檔案室達到省廳“二級檔案室”水平。

6、抓好隊伍思想工作，確保隊伍整體穩定。針對許多民警對當前日益繁重的公安基層工作畏難情緒，所領導及時了解思想動向，通過個別談心，消除民警顧慮，穩定軍心，使他們放下包袱，全身心投入工作之中，并將開展大練兵與做好本職工作有機結合，使他們貼近實際，貼近群眾，貼近生活，肩負使命，履行職責，圓滿完成上級部署的各項任務。

&

nbsp;

7、努力做好從優待警工作，對民警存在的實際困難和問題，盡可能協助解決。在生活上對民警給予充分關心，如有民警生病，所領導親自前往探望、慰問，使他們感到集體的溫暖。在工作上則積極推行民警績效考評制度，實行獎優罰劣，充分調動民警的工作積極性，確保隊伍整體穩定。

二、明確工作重點，創新警務機制，打開工作新局面

1、牢牢把握大局，維護轄區社會政治穩定

隨著我所轄區重點工程的建設不斷增多，征地拆遷存在的矛盾日益突出。為及時、準確的獲取信息，增強控制社會治安的能力，今年以來，我所始終把維護轄區社會政治穩定放在基礎工作的首位，大力加強了信息網絡建設。社區民警物建了一批能適應工作需要和綜合發揮作用的信息員，擴大了情報來源，加大了對情報信息的收集整理力度，切實做到了對各種不安定因素發現早、預警快、處置及時、彼動我知，始終掌握工作的主動權；我們還加強了對轄區內的XXX重點人員、XX重點人物、上訪老戶等重點對象的控制。在做好日常控制工作的同時，結合敏感時期的安全保衛工作，安排專門人員死看死守，不使其外出滋事；對存在不穩定苗頭的村組、企業，則要求責任區民警提早介入，做好前期預防、疏導工作。今年共收集上報各類情報信息XX條，為上級領導的正確決策提供了依據，有效防止了各類不安定因素的擴大升級。

2、強化偵破打擊，確保目標管理任務完成2006年我所牢牢把握破案、打擊、追逃這一中心工作，以偵查破案為主業，以抓刑偵基礎工作為重點，以提高執法辦案水平為核心，以開展“兩搶一盜”工作為契機，以高度的政治責任感，認真履行職責，全面開展各項刑偵業務。根據本所的實際情況結合分局下達的目標責任制，將民警的破案、打擊、追逃，及刑偵基礎、內務管理的工作實績按考核標準量化分值每月進行通報，嚴格兌現獎懲；在狠抓偵查破案這個主業的同時，以建立刑偵工作長效機制為目標，從夯實刑偵基礎工作入手，通過強化刑事特情、陣地控制和刑事犯罪信息積累等基礎工作，逐步改變傳統的偵查觀念和偵查模式，實現了“由物到人”、“由線索到案”、“以人找案”破案思路的轉變；在認真開展好“兩搶一盜”、“禁毒人民戰爭”、“禁賭”等專項斗爭的同時，始終堅持以掃黑除惡為龍頭，堅持“命案必破”貫穿全年工作始終。對所發刑事案件全力以赴，全警動員，明確任務，落實責任，過硬獎懲，充分發揮了偵管民警的主力軍作用和攻堅突擊作用。今年以來，我所共接處警XX起，立各類刑事案件XX起，破獲各類刑事案件XX起，抓獲處理違法犯罪人員XX名，其中逮捕XX人，直訴XX人，勞教XX人，治安拘留XX人，強制戒毒XX 人，婦教XX 人，其他處理XX人。依法打擊各類犯罪集團XX個，有效地打擊犯罪分子囂張氣焰，震懾了犯罪，保護了人民。

3、落實安全防范，創建人民滿意平安望岳

我所牢固樹立警力有限、民力無窮的思想，按照警務活動社會化、社會治安群防化的要求，大力開展群防群治工作。要求社區民警每季度在轄區通報治安情況、每季度進行一次“四防”宣傳活動、每季度對轄區各中小學校開展一次法制教育活動，通過宣傳教育活動，大大提高了轄區群眾對治安情況的了解程度和法制意識，促進了警民之間的溝通，增強了廣大群眾參與社會治安防范的熱情；同時積極開展“平安社區”創建活動，發動群眾干好自己的事，管好自己的人，看好自己的門，建立以人防為根本、物防為基礎、技防為導向的防范機制，大力增強轄區的治安防控能力。

我所以“守住主要干道，建好社區警務，打造平安XX”為目標，以開展“兩搶一盜”專項斗爭為契機，制訂專門的巡邏方案，充分利用街道組建的專職巡邏隊和企業單位的巡防隊伍等群防群治組織，由XX位刑偵民警帶領所內巡防隊在轄區的XX大道、XX大道等主要干道實行全天候的巡邏、監控，社區民警則帶領社區巡防隊伍在社區的案件多發地段和重點部位實行夜間巡邏，這樣點面結合，構成望岳地區的全方位網狀防控體系。嚴密的防控體系使街面的各類案件得到有效遏制，轄區內的三類可防性案件發案率逐月下降，確實地維護了望岳轄區的社會治安穩定，增強了轄區群眾的安全感。到目前為止，發案總數較去年同期下降XX％（去年同期發案為XX 起，今年同期發案為XX 起）。

為凈化轄區社會治安環境，發現和消除各類安全消防隱患，我所立足日常管理，加強重點部位的整治，重點場所重點整治，全年共發現場所中存在各類隱患XX起，發出整改通知XX份，已全部按要求整改到位，全年轄區內沒有發生任何消防安全事故。

4、落實一區雙警，積極推行社區警務戰略

2006年是全國公安機關“基層基礎建設年”，我所緊緊圍繞中心工作，結合自身實際，走創新、求實效之路，充分發揮每個民警的潛能，認真找準切入點，緊密結合“一區雙警”工作的開展，以強化基層基礎工作為重點，以實現“發案少、秩序好、社會穩定、群眾滿意”為目標，以創新警務運行機制為根本，按照分步實施、有序推進的總體要求，增強實力，激發活力，努力提高隊伍素質、提升工作效率，基本實現了工作制度、基礎臺帳、外觀標識、內部設施、警務室建設的五統一，基層基礎建設水平得到了明顯的提高，為下一步全面開展基層基礎建設工作打下了堅實基礎。

我所本著因地制宜的原則，以全國優秀社區—XX的社區警務室為樣板，對新建的XX、XX等警務室進行規范設置，并根據警區的劃分真正落實“一區雙警”工作。在綜合考慮轄區各社區、村委的規模、治安狀況、警力數量等因素后，對轄區XX個社區、XX個村委分成XX個責任塊，2塊為1個責任區，形成社區民警2人搭檔包塊的警務模式。結合縣級公安機關綜合考評工作中人口管理的內容，要求社區民警深入走訪轄

區群眾，對轄區的人口信息進行準確登記造冊，掌握基本情況，落實管理措施，及時摸清人戶分離人員情況、房屋出租情況、暫口居住情況，加強日常管理和控制，做到底數清、情況明；對于重點人口、監管對象、納入視線人員、政治重口等特殊人群，積極完善各項監督管理措施，了解其基本信息和家庭情況，掌握其社會交往和現實表現，防止了漏管失控問題的出現，從而構建了動靜結合的多元化人口管理模式。

目前，全所轄區共有常住人口XX戶，XX人，登記流動人口XX人、房屋出租戶XX戶、用工單位XX個，辦理暫住證XX人；處罰房屋出租X戶、用工單位XX家、暫住人口XX人；辦理二代居民身份證XX人；列管工作對象XX人，其中包括重點人口XX人、監外五種人XX人；登記轄區內境外人員臨時入境XX人。

2006年我所嚴格按照二級派出所的標準要求自己，在各個方面都取得了較好的成績。在來年的工作中，我們將緊緊抓住“抓基層，打基礎，苦練基本功”這一中心，提高民警業務、體能、技能素質，完善學習培訓、日常工作、激勵考核機制，轉變思想觀念、工作作風、執法理念、工作模式，進一步打牢“立警為公、執法為民”思想基礎，為構建XX地區平安、和諧的社會政治和治安環境做出最大的貢獻，使自己無愧于二級派出所的稱號。