券商交易系统频现故障，监管火速通报：将“穿透式监管、全链条问责”，实施“双罚”

招商证券短期内连续两次出现信息系统安全事件后，迅速引发了监管机构的高度重视。《每日经济新闻》记者获悉，证监会证券基金机构监管部向各证券公司和基金公司下发了新一期《机构监管情况通报》（以下简称《通报》），对近一年来，证券基金机构发生的多起信息系统安全事件进行梳理分析，并对反映出的问题进行了总结。

《通报》称，下一阶段，机构部将会同各证监局按照“穿透式监管、全链条问责”的原则，持续加大对证券基金经营机构合规内控与信息技术管理的监督检查力度，对存在问题的机构和负有责任的人员实施“双罚”，并在分类评价中从严处理。同时，密切跟踪、研究行业在数字化转型背景下业务与技术深度融合过程中出现的新情况、新问题，持续完善相关监管要求。

招商证券连续两次交易系统故障被通报

根据《通报》显示，近期，多家证券基金经营机构发生信息系统安全事件，尤其是招商证券(600999)短时间连续发生同类事件，影响投资者正常交易，给行业声誉造成了负面影响。

《每日经济新闻》记者了解到，2022年3月14日早间，“招商证券崩了”上了热搜；当日午间时分，招商证券表示，目前正在加紧修复，问题已经有所缓解。系统其他功能正常。3月15日，招商证券发布集中交易系统故障的情况说明并表示，故障已排除，系统服务恢复正常。不过，仅仅过去两个月，5月16日，招商证券又发生交易系统登录异常现象。

图片来源：招商证券微信公号及微博截图

另外，就在招商证券3月14日出现交易系统故障后，深圳证监局也对招商证券出具了警示函处罚。深圳证监局称，招商证券在2022年3月14日的网络安全事件中，存在变更管理不完善，应急处置不及时、不到位等问题。

对于这两次交易系统故障，《通报》称，2022年3月14日、5月16日，招商证券在周末系统升级过程中，测试场景尤其是压力测试不够充分，导致交易系统接连发生两次信息系统安全事件。反映出当事机构合规与内控制度不健全或执行不到位，在系统升级环节未能有效制定专项实施方案，内部管理存在漏洞，未对变更操作等行为进行审查、确认和持续跟踪。

此外，《通报》还举例，2021年5月18日，首创证券的上交所报盘程序发生故障，经排查，事故原因为软件服务商工程师对部署在同一服务器上的资管系统升级时，升级包存在逻辑错误，反映出当事机构未有效落实《证券基金经营机构信息技术管理办法》有关要求，未能清晰、准确、完整掌握重要信息系统的技术架构、业务逻辑和操作流程等内容，并确保重要信息系统运行始终处于自身控制范围。

移动APP开发管理存短板为事故易发领域

除了前述提到的个别公司合规内控管理不到位、主体责任意识不强等，《通报》称，近一年来，证券基金机构发生多起信息系统安全事件还暴露出多方面的缺陷。

一是，运维人员操作规范性不足，未能建立有效的权限管理及复核机制。经梳理，有6起信息系统安全事件因运维人员操作不规范引发。反映出当事机构在运维工作的流程设计与监督检查等方面存在疏漏，合规与风险管理未覆盖信息技术运用的各个环节，在执行过程中相关工作人员未遵循标准作业流程，安全与合规意识淡薄。

二是，移动APP开发管理存在短板，已成为信息系统安全事件易发领域。2022年4月25日，国家计算机病毒应急处理中心通报了13款证券公司移动APP存在隐私不合规行为，涉嫌超范围采集个人隐私信息。经排查，相关机构存在移动APP上线审核把关不严、注销等部分环节处理不彻底、部分条款内容表述不严谨等问题。反映出部分行业机构在开展数字化转型、加大移动APP开发投入的同时，未能同步做好相应的安全管理工作，在设计开发、应用上架、隐私保护等环节把关不严，存在一定的风险隐患。

三是，安全管理存在漏洞，应对外部网络攻击或爬虫程序访问等网络防护能力仍需提升。2022年2月4日、2月14日、2月28日，3家基金管理公司接连出现由于感染病毒或爬虫程序导致官网无法访问的网络安全事件，反映出当事机构网络安全防护能力不足，未能在访问控制、入侵监测及防护、病毒防护、网络安全等方面建立起全面有效的安全防护体系。

监管提出五大方面要求

《通报》显示，监管要求各证券基金经营机构提高政治站位，对照上述问题，举一反三，认真自查整改，切实落实各项规定，维护好投资者合法权益，持续保障信息系统安全稳定运行。

首先，高度重视、加强管理，切实提升系统运维保障能力。一是压实主体责任。二是强化安全管理。三是加大技术保障。

其次，强化内部控制和合规管理，稳妥推进系统升级改造。一是明确内部责任分工。二是制定专项实施方案。三是完善系统测试工作，搭建独立于生产环境的专用测试环境，丰富系统升级变更后的测试场景，加强压力测试。

再次，定期开展系统健壮性评估，及时消除风险隐患。一是全面、准确识别数字化转型过程中的各类技术风险。二是建立健全信息系统安全监测机制。三是定期开展信息技术管理工作专项审计。

另外，严格落实客户信息保护要求，切实维护投资者合法权益。一是完善技术安全保障措施。二是加强信息系统管理、操作和访问权限管理，确保用户权限与工作职责相匹配。三是落实相关法律法规要求，加强移动APP管理。

最后，加强容量管理与灾备能力建设，提升应急处突能力。一是落实系统容量管理及备份能力建设要求。二是制定并持续完善应急预案。三是丰富应急处置场景，加强“真演实练”。