# 中国人民银行关于银行业金融机构信息系统安全等级保护定级的指导意见（银发〔2012〕163号）

> 中国人民银行关于银行业金融机构信息系统安全等级保护定级的指导意见（银发〔2012〕163号）全文转换稿（共 5 页）。等保测评、整改与合规工作时按条款溯源的原文参考；正式引用请核对官方发布版本。

---

LLMS index: [llms.txt](/wikis/llms.txt)

---

> **来源与版权**：本页为本地转换稿（源文件 `行业政策\35 银行\中国人民银行关于银行业金融机构信息系统安全等级保护定级的指导意见银发〔2012〕163号.pdf`，共 5 页），版权归标准发布机构所有，仅供学习与测评工作参考，正式引用请核对官方发布版本。详见 [版权声明](/wikis/docs/%E6%A0%87%E5%87%86%E4%B8%8E%E8%A7%84%E8%8C%83/%E7%89%88%E6%9D%83%E5%A3%B0%E6%98%8E/)。

# 中国人民银行文件

银发〔2012〕163号

中国人民银行关于银行业金融机构信息系统安全等级保护定级的指导意见

中国人民银行上海总部，各分行、营业管理部，各省会（首府）城市中心支行，各副省级城市中心支行；国家开发银行，各政策性银行、国有商业银行、股份制商业银行，中国邮政储蓄银行：

为进一步落实《信息安全等级保护管理办法》（公通字〔2007〕43 号文印发），加强对银行业信息安全等级保护工作的指导，结合近年来银行业信息安全等级保护工作开展情况，现就银行业金融机构信息系统安全等级保护定级有关事项提出如下指导意见：

# 一、信息系统安全等级保护主要定级对象分类

## （一）应用系统。

1.核心业务信息系统或综合业务信息系统（分类代码为 Y-Ⅰ类，下同）。

2.网上银行系统、重要支撑系统、重要交易系统、重要管理系统及其他运行关键业务或涉及客户身份、资产、交易记录等敏感信息的重要信息系统（Y-Ⅱ类）。

3.部署有应用服务器或者数据服务器的前置系统（Y-Ⅲ类）。

## （二）生产网络系统。

区别于通常意义的计算机网络，作为定级对象的生产网络系统包括网络设备（如交换机、路由器、负载均衡器等）、前置中间件设备（如消息队列服务器等）和接入网络的计算机终端，各机构可从以下两种方案中选用一种对生产网络系统进行定级：

1.方案一（W1）。

（1）广域网骨干网络（W1-Ⅰ类）。

（2）机构总部局域网骨干网络（W1-Ⅱ类）。

（3）分支机构局域网骨干网络（W1-Ⅲ类）。

2.方案二（W2）。

（1）机构总部骨干网络（W2-Ⅰ类）：含机构总部局域网骨干网络及下联一级分支机构（若有）的广域网骨干网络。

（2）分支机构骨干网络（W2-Ⅱ类）：含本分支机构局域网骨干网络及下联一级分支机构（若有）的广域网骨干网络。

# 二、信息系统安全等级保护定级建议

## （一）机构总部信息系统安全等级保护定级建议，详见表 1。

表 1　机构总部信息系统安全等级保护定级建议

| 机构类别 |  | Y-Ⅰ类 | Y-Ⅱ类 | W1-Ⅰ类 | W1-Ⅱ类 | W2-Ⅰ类 |
| --- | --- | --- | --- | --- | --- | --- |
| 国家开发银行和政策性银行 |  | 第三级 | 第三级 | 第三级 | 第三级 | 第三级 |
| 国有商业银行、全国性股份制商业银行和中国邮政储蓄银行 |  | 第四级 | 第三级 | 第三级 | 第三级 | 第三级 |
| 城市商业银行、农村商业银行、农村合作银行和农村信用社 | 营业网点跨省（自治区、直辖市） | 第三级 | 第三级 | 第三级 | 第三级 | 第三级 |
| 城市商业银行、农村商业银行、农村合作银行和农村信用社 | 营业网点限于省（自治区、直辖市）内 | 第三级 | 第二级 | 第二级 | 第二级 | 第二级 |

## （二）分支机构信息系统安全等级保护定级建议，详见表 2。

表 2　分支机构信息系统安全等级保护定级建议

| 机构类别 | 分支机构级别 | Y-Ⅲ类 | W1-Ⅲ类 | W2-Ⅱ类 |
| --- | --- | --- | --- | --- |
| 国家开发银行和政策性银行 | 一级及以下分支机构 | 第二级 | 第二级 | 第二级 |
| 国有商业银行、全国性股份制商业银行和中国邮政储蓄银行 | 一级分支机构 | 第三级 | 第三级 | 第三级 |
| 国有商业银行、全国性股份制商业银行和中国邮政储蓄银行 | 二级及以下分支机构 | 第二级 | 第二级 | 第二级 |
| 城市商业银行、农村商业银行、农村合作银行和农村信用社 | 一级及以下分支机构 | 第二级 | 第二级 | 第二级 |

1.国有商业银行、全国性股份制商业银行和中国邮政储蓄银行的一级分支机构如采取多个接入渠道开展业务从而降低对单个 Y-Ⅲ类信息系统依赖，其 Y-Ⅲ类信息系统可在表 2 基础上降低一级。

2.仅在辖区内部署接入终端的分支机构，可不为其 Y-Ⅲ类、W1-Ⅲ类或 W2-Ⅱ类系统定级。

# 三、其他事项

## （一）各机构总部和下属分支机构对生产网络系统所选择的定级方案应保持一致。

## （二）本指导意见所给出的信息系统安全等级保护定级建议为最低级别，各机构可根据实际情况自主提高信息系统安全保护等级。

## （三）依靠其他机构核心业务信息系统或综合业务信息系统开展自身业务的机构，可比照所依靠机构的分支机构为本机构信息系统进行定级。

## （四）本指导意见中未提及的信息系统（如互联网门户网站、机构内部办公网络系统、人事或财务类信息系统及分支机构自行开发的其他业务信息系统等），由运营使用单位参考《信息安全技术 信息系统安全保护等级定级指南》（GB/T 22240-2008）自主确定安全保护等级。

请人民银行副省级城市中心支行以上分支机构将本指导意见转发至辖区内城市商业银行、农村商业银行、农村合作银行和农村信用社。

二〇一二年六月二十八日

主题词：金融科技　信息安全　意见

抄　　送：公安部，工业和信息化部，银监会，国家保密局，国家密码管理局，中国银联。

内部发送：办公厅，科技司，条法司，市场司，稳定局，支付司，金电公司，金融信息中心。

联系人：张巍巍　　联系电话：66195428　　（共印 57 份）

中国人民银行办公厅　　2012 年 6 月 29 日印发