互联网支付公司客户信息安全保护制度 彩打模版

客户信息安全保护制度一、总则为了加强公司客户信息安全管理，规范客户信息访问的流程和权限以及规范承载客户信息的环境，降低客户信息被违法使用和传播的风险，满足业务发展的安全性要求，保证信息系统和相关基础设施功能的正常发挥，有效防范、控制和化解信息技术风险，增强信息系统安全预警、应急处臵和灾难恢复能力，保障数据安全，显著提高新生支付业务持续运行保障水平。特制定本规定。保护客户信息安全及其合法权益是新生支付应承担的企业社会责任，新生支付的各级员工应严格保护客户信息安全，严禁泄露、交易和滥用客户信息。新生支付员工有权利和义务制止对于任何可能危害客户信息的安全的行为，并向上级领导或安全员举报。客户信息生命周期结束后，新生支付的各级组织有义务和权力根据相关的法律、法规及合同约定，妥善的处理客户信息以及客户信息相关的数据载体。新生支付各相关部门应定期组织客户信息安全评估和检查，对发现的隐患及时整改。本规定是全公司进行客户信息安全管理工作的基本依据，各地分公司和各部门可根据工作需要，结合本单位的具体情况制定相应的 实施细则 工程地质勘察监理实施细则公司办公室6S管理实施细则国家GSP实施细则房屋建筑工程监理实施细则大体积混凝土实施细则 或补充规定，做好客户信息安全管理工作。二、客户信息内容客户信息包括：客户客户基本资料、鉴权信息、客户交易信息、客户资金账户信息等。（一）客户基本资料包括但不限于：企业用户资料、个人用户资料、流动用户资料。（二）客户身份鉴权信息包括但不限于:客户的登陆密码、支付密码、安全问题、实名认证等。（三）客户的交易信息包括但不限于：网关交易详情、出款交易详情、预付卡交易流水、充值、提现等。（四）客户账户信息包括但不限于：新生网络账户、卡账户，开立时间，与新生进行交易的银行卡信息等。（五）在与用户建立业务关系过程中获取、保存的其他信息。三、信息安全保护的组织与职责客户信息安全的统一归口管理部门是网络支付业务部。各部门应负责各自主管的业务系统的客户信息安全保护，明确各业务系统的客户信息安全责任人，按照本规定落实业务系统的安全管理要求。（一）安全管理责任负责人的职责1.负责客户信息的全面管理；2.明确公司信息安全目标和方针策略，负责推动安全管理体系的运行，提供需要的资源，安全事件的决策，管理体系的评审等。3.负责信息安全具体工作，包括管理体系的执行、风险评估、漏洞修复、安全审计、安全监控、安全培训、事件响应等。4.负责信息安全事件处理、应急响应和业务连续性工作。5.负责信息安全管理体系的定期评审。（二）涉及客户信息的其他相关部门职责1.行政与人力资源部：组织接触客户信息的员工签订保密承诺书，及时发布人员岗位变动、离职的信息给账号管理部门，参与对客户信息泄密人员的查处，以减少从业人员对客户信息安全管理的疏忽懈怠；2.市场拓展部：在收集、保存、使用个人信息时，要严格遵守法律规定，确保信息安全，防止信息泄露和滥用，遵循合法、合理原则，不得收集与业务无关的信息或采取不正当方式收集信息。对记载有关客户个人金融信息的废弃材料均应做粉碎处理。3.网络支付业务部：不断加强客服理念、服务意识与专业水平，提高对客户的服务需求满足能力与风险防控意识。负责提醒客户保障信息安全及风险预警，负责受理客户信息泄密事件的投诉、上报，协助完成客户信息泄密现象的市场调查及事件的查处；4.产品技术部：应在系统规划、 方案 气瓶 现场处置方案 .pdf气瓶 现场处置方案 .doc见习基地管理方案.doc关于群访事件的化解方案建筑工地扬尘治理专项方案下载 设计极端，考虑客户信息安全保护的要求，配备完善信息安全技术防范措施，确保个人信息在收集、传输、加工、保存、使用等环节中不被泄露，安全管理，建立办公网客户信息的监控与防泄密机制；5.风险合规部：负责开展客户信息风险的防范与排查，开展常态化的合法合规教育与监督，在合同中列入客户信息保密的条款。6.运营部：规范内部系统平台权限管理，对不同部门操作人员明确信息使用权限，按规定严格执行开通关闭流程，保护客户信息安全。对信息系统中发生的信息安全事件分等级响应、处置。四、客户信息系统技术管控（一）安全模型设计1.安全描述 新生在线支付平台可以划分为系统层和物理层，其中系统层面划分为：应用层、系统层、网络层和物理层（后面三层可统称为基础设施层）。2.安全威胁 新生在线支付平台中的每个层次都可能面临着不同的安全威胁，每种安全威胁都需要采取相应的安全措施进行防范。系统四个层次面临的安全威胁如下表所示： 系统层次 面临威胁类型 应用层（包括业务流程和应用系统等） ▪病毒/木马/蠕虫/后门/间谍软件 ▪拒绝服务▪权限和身份的滥用/误用/盗用/伪造/欺骗等▪信息泄漏▪篡改用户身份信息/篡改业务数据信息▪抵赖▪应用软件故障等等 系统层（包括各类服务器、终端） ▪系统软件故障▪病毒/木马/蠕虫/后门/间谍软件▪拒绝服务▪权限和身份的滥用/误用/盗用/伪造/欺骗等▪信息泄露/篡改等等 网络层（包括各类网络协议、网络服务等） ▪蠕虫/拒绝服务/其它网络攻击▪权限和身份的滥用/误用/盗用/伪造/欺骗等▪信息泄露/篡改等等 物理层（包括环境、媒体和设备等） ▪断电▪传输/网络/主机设备故障▪存储媒体故障等等3.安全模型为了应对以上各类安全威胁，我们在每个层次都提供了相应的安全功能，包括密码体系、访问控制、存储安全、通信安全、可用性、安全审计、防攻击/防病毒等，说明如下：⑴密码体系：系统的加解密、完整性保证措施及相关的密钥管理机制⑵访问控制：对支付业务中的各种应用、系统、网络进行访问控制⑶数据存储安全：包括密钥存储、数据存储安全（加密）以及数据完整性等内容⑷通信安全：通信过程中的安全，包括加密、不可否认性、完整性等⑸可用性：各种保证应用、系统、网络的可用性的措施⑹安全审计：包括应用层、系统层、网络层的安全审计功能⑺防攻击/防病毒：对各类攻击和病毒的防范措施（二）应用层安全1.密码体系 新生在线支付平台涉及多类业务、用户、机构的交互，为了保证所有这些交互过程中的信息的机密性、完整性和不可否认性等，需要设计一套完整的密码体系，该体系至少应该考虑如下要求：⑴密码体制：根据业务需求选择对称、非对称密码体制，选择加解密/完整性算法，密钥长度等。对于对称密码体制，需要为不同的业务、不同的目的提供不同的密钥。⑵密钥管理：为了保证密钥的安全性，需要充分保证密钥的生成、传输、更新和销毁整个密钥生命周期过程的安全性。同时，密钥管理系统为管理部门提供操作上的权责管理、管理上的人员相互制约的机制。确保系统的安全性。⑶访问控制 对于应用业务流程，必然涉及多个不同的对象之间的相互访问。为确保访问的安全性、正确性和有效性，需要采用如下访问控制措施：①角色管理与权限划分：对访问业务/应用的所有角色进行划分和管理，并按照角色分配相应的权限。其原则是每个角色只能访问其业务相关的信息，而无关信息则禁止访问。②身份认证：根据应用和业务的安全级别分别采用相应级别的身份认证方式，如高级别的用户（系统管理员用户）则可以采用基于PKI证书的身份认证方式，如USBKey+口令的方式。2.数据存储安全在系统中所有应用级数据存储都需要保证其安全性。数据存储安全性主要包括：⑴机密性：关键敏感数据需要采用加密存储⑵完整性：所有应用级数据存储，对于需要保证数据完整性的数据需要采取进行完整性措施，防止非法的篡改⑶访问控制：对各类应用数据需要采取访问控制措施，避免非法用户的访问3.通信安全 应用层通信安全指应用之间通过网络进行通信过程中采取的安全措施，以实现如下安全目标：⑴通信数据加密⑵通信数据完整性⑶不可否认性系统的安全设计考虑业务流程中所涉及到的安全威胁，并根据业务需要有针对性的采取加密、完整性保护、以及数字签名等措施。⑷可用性可用性是指，系统能够可靠及时地为授权用户提供服务。因此，需要采取必要的可用性措施提供保障。应用可用性包括：①数据备份与恢复：对于各个平台的数据库以及重要的文件系统数据均需进行定时备份，从而最大限度的保证数据的可用性。备份方式可以采用增量和全备份相结合的方式进行。②应用热备与监控：对于关键应用，需要对应用系统采取热备措施，同时，对应用进程需要进行状态监控，发现异常及时采取处理措施。③业务流程异常处理：对于业务流程中的各类异常应采取适当的处理机制。4.安全审计应用层的安全审计至少包括对如下操作的审计：对业务流程中的关键操作的审计：包括业务流程中的各种关键环节的操作，需要做必要的记录，从而为后续的统计、异常分析等操作提供依据。系统管理员、应用管理员的关键操作的审计：包括管理员的登录、退出操作，和管理员对用户的增加、修改、删除等操作。各类应用异常事件的审计：包括系统调用异常和应用自定义的异常等。5.防攻击/防病毒针对比较典型的各类应用层的攻击方式，支付系统应提供相应的防御机制。6.系统层安全⑴访问控制 新生在线支付平台各个系统平台（操作系统）中的用户（包括系统管理员、普通管理员）都需要提供如下的访问控制功能：⑵角色管理与权限划分：对访问操作系统的所有角色进行划分和管理，并按照角色分配相应的权限，至少应该划分为系统管理员和普通管理员两类，其中系统管理员具有对系统的完全的管理权限，而普通管理员则只具有完成具体某项管理操作的权限（如安全审计员只应该具有配置审计服务、管理审计日志的权限）。⑶身份认证：根据各个系统的安全级别和用户的权限级别应分别采用相应级别的身份认证方式。7.可用性 系统可用性保证包括如下内容：⑴操作系统可用性：如，对支付业务系统等核心平台应采用系统热备等措施实现系统可用性⑵系统数据可用性：如，对支付系统的各个数据库平台应采用数据库可用性措施，包括备份和恢复功能8.安全审计 操作系统提供了全面的审计服务支持，包括对系统自身各类事件的审计（系统启动、关闭等）、系统管理操作、各类系统服务的审计事件记录等。支付系统中要求在的各个操作系统中至少启用基本的安全审计功能。⑴防攻击/防病毒在操作系统级的防攻击和防病毒包括如下要求：⑵系统级的安全设置：使用系统自身的安全设置对系统配置进行优化⑶安装防病毒软件：对于Windows平台，需要安装防病毒软件和个人防火墙，并启动文件系统实时监控⑷启动系统/个人防火墙：对于Unix平台可以启动系统防火墙，对于各类管理终端（Windows平台）需要启动个人防火墙，从而对针对本系统的攻击进行必要的防范（三）网络层安全1.访问控制 网络层访问控制主要包括如下措施：⑴安全域划分：可以将支付系统各个网元划分为互联网区域、外联网区域、内联网等区域。⑵区域间访问控制：通过各个区域之间部署防火墙、路由器或其它网络设备，或通过划分VLAN等方式，实现网络逻辑隔离，并通过设置适当的访问控制策略实现网络之间的访问控制。2.可用性网络层的可用性保证主要是指包括如下内容：⑴网络设备加固：通过对网络设备安全参数的配置实现对网络设备的加固。⑵网络链路可用性：新生总部和机构之间的专线连接线路以及接入互联网和银行等外部网络的连接线路都需要考虑到其可用性，并需要评估是否需要采用备用线路。⑶网络设备可用性：新生总部和机构之间的专线连接设备以及接入互联网和银行等外部网络的边界设备都是系统中的关键网络设备，需要充分考虑到这些设备的可用性。3.安全审计系统中可以采用现有网络设备的审计设施实现对网络操作、配置以及网络数据的统计/分析等要求。⑴防攻击/防病毒网络层的防攻击/防病毒主要是针对DoS/DDOS攻击、蠕虫以及其它攻击形式进行防御，可通过如下措施实现：①网络设备加固②各类安全设备部署③防火墙④IDS⑤流量清洗设备⑥防毒网关设计可以综合考虑系统面临的威胁、系统安全需求以及其它因素，在以上措施中做出选择。(四）物理层安全1.环境安全系统所在环境的安全保护，如区域保护和灾难保护，参见国家 标准 excel标准偏差excel标准偏差函数exl标准差函数国标检验抽样标准表免费下载红头文件格式标准下载 GB50173-93《电子计算机机房设计规范》，GB2887-89《计算机站场地要求》，GB9361-88《计算机站场地安全要求》。2.媒体安全一般可以通过冗余和容错提供可靠性，通过故障恢复提供可用性。3.设备安全设备安全包括设备的防盗、防毁、及电源保护等措施。4.应用系统安全设计应用系统安全主要解决交易处理中的数据安全性问题，也就是数据的安全传输、完整性检测、数据的安全存储、数据访问安全、安全认证等内容。具体来说我们采用以下 方法 快递客服问题件处理详细方法山木方法pdf计算方法pdf华与华方法下载八字理论方法下载 实现数据安全策略。5.数据安全策略⑴数据安全①数据传输安全策略在新生预付卡平台中，交易报文的传输利用金融加密机加密敏感性数据，保证信息传输的隐秘性。②数据访问安全控制策略在新生预付卡平台中，根据数据的敏感程度，分为普通信息、敏感信息两类。普通信息及敏感信息都必须配置相应的数据库访问策略，并进行审计跟踪处理。这些数据都进行了备份处理。敏感数据存储在与普通数据不同的数据库中，访问敏感数据必须通过安全认证。③数据存储安全策略系统中的敏感数据不能以明文存放在数据库中，通过金融加密机加密以密文方式存放。对于网上交易通过SSL来保证数据传输的安全性。④数据传输完整性检测系统中利用金融加密机生成和验证交易报文的MAC，保证信息传输的完整性。对于网上交易通过数字签名技术来保证交易的完整性。⑤数据传输的安全认证和不可否认性系统中对于网上交易通过SSL来实现用户的身份认证；通过数字签名技术来保证交易的来源认证和不可否认性。⑵交易应用安全从应用层角度考虑，应用安全设计分为三个部分：即中心应用安全、网上应用安全和统一用户管理。①中心应用安全中心应用安全为支付服务系统、支付管理模块、支付清结算模块和前置模块提供安全服务。②网上应用安全网上应用系统安全包括用户安全、数据存储安全及数据传输安全。③统一用户管理对系统的用户进行统一管理包括内部用户和入网机构/商户的外部用户的管理。五、权限管理（一）权限管理要求1.权限管理工作职责⑴按各部门划分的岗位类型确定角色，角色按部门+岗位命名。⑵添加各角色应有的业务模块和细分模块。⑶为所有申请人员添加已整理好的岗位角色。2.权限叠加原则各部门管理人员有下属人员的所有权限，下属的AB岗人员不能同时拥有经办与复核权限。3.新业务上线权限开通原则新业务上线后技术应及时通知运营部管理员给相关部门/岗位/人员添加权限。4.人员岗位调整后的权限管理部门秘书及时邮件通知运营管理员对员工岗位角色进行调整。5.人员离职的权限管理运营管理员在员工离职单上签字前请确认网络支付平台帐号已全部关闭。6.市场人员、代理商权限设置要求市场拓展部销售人员及分公司销售人员仅能查看各自名下代理商及商户交易明细，行业总监及分公司销售负责人仅能查看下属销售人员名下代理商及商户交易明细。代理商仅能查看自拓商户交易明细。（二）权限审批流程1.开通部门全权限需走公文审批流程，公文审批结束后，由呈报部门秘书发邮件给支付运营部权限管理员进行开通，运营部主管进行系统审核。2.开通部门普通权限走邮件审批流程。部门秘书发邮件给本部门领导、支付运营部领导、支付运营部权限管理员，通知开通/变更/关闭某权限。邮件内容包括员工姓名、部门、需开通/变更/关闭哪个岗位的权限。本部门领导、运营部领导均回复同意后，运营部权限管理员按姓名/岗位开通/变更/关闭权限。运营部主管进行系统审核。（三）权限开通/变更/关闭流程1.开通流程运营管理员新增岗位角色-对各岗位角色添加后台模块-新增用户/操作员。如果系统已有此岗位角色，只需新增用户/操作员。如果系统没有，请先新增岗位角色再新增用户/操作员。2.变更流程因人员岗位调整，运营管理员需在系统里删除此员工之前的岗位角色，并新增现有岗位角色。3.关闭流程在用户/操作员管理界面修改操作员状态为锁定或删除该用户。（四）新业务上线流程运营部在收到产品技术部新业务上线的通知后，运营管理员应与风险合规部、产品技术部、新业务系统权限归属部门确认各权限应归属的岗位及人员，运营管理员入系统进行维护。六、信息安全事件处理（一）信息安全事件报告流程1.工作原则⑴预警原则各单位要把应对非正常事件的各项工作落实到日常管理之中，加强基础工作，提高大局意识和政治素质，增强预警分析，树立危机意识，提高危机处理能力，将预警与应急处置有机结合。⑵及时高效原则一旦预知或发生非正常事件，各部门要根据管理权限迅速启动相关应急预案，及时有效进行处置，同时要在第一时间向上级单位准确、客观、全面通报要情信息。⑶保密原则非正常事件信息仅限特定范围的人员知悉，未经许可，不得擅自扩大通报范围或者对外泄露。⑷报告制度①电话报告在发生网络或信息安全事件时，技术支持人员须立即电话告知其直接领导或者是产品技术部经理（特别重大事件或重大事件），产品技术部经理得知并确认事故，须在1小时内分配工程师对事故进行处理。事故处理完成须向产品技术部经理汇报事故原因，若是因为公司内部人员操作不当造成，产品技术部经理须向公司领导汇报并由公司领导下达命令或发公文通报，已避免事故的再次发生。在发生主机事故时，技术支持人员确认主机故障须立即电话告知其直接领导或者产品技术部经理（特别重大事件或重大事件），产品技术部经理得知并确认事故后，须在1小时内分配系统工程师对事故进行处理。若是主机硬件环境损害造成事故，产品技术部经理须尽快安排人员向公司提交采购需求。在发生应用事故时，技术支持人员须立即通知产品技术负责人，对事故原因进行定位，产品技术复杂人须根据事故严重程度立即对事故进行处理。并将处理结果反馈给技术支持人员。以上事故处理完成后，应将处理过程和结果电话告知直接领导或者产品技术部经理，由产品技术部经理向公司领导汇报处理结果。②邮件报告事件处置人员必须填写《新生支付要情通报单》并邮件报告产品技术部经理，单位领导须在1小时内邮件回复相关责任人，并要求其对事件进行处理。③通报流程事件发现处理人员（需填报要情通报单）→同时电话、邮件通报相关责任人→事件处理→电话告知相关责任人事件处理结果→由事件处理者编写事件处理报告→邮件发送事件处理报告给事件相关人并抄送产品技术部经理→根据事件严重等级汇报公司领导⑸注意事项性质严重、影响重大的事件，一律按本流程通报。非正常事件所在单位必须实时跟踪、续报事件进展。⑹公文报告对于特别重大事件和重大事件及具有总结借鉴意义的其他事件，非正常事件所在单位必须在事后及时形成总结报告并公文上报。呈报流程：非正常事件所在单位 →产品技术部总经理→ 新生支付行政及人力资源部→新生支付负责人⑺其他事项对迟报、谎报、瞒报、漏报有关突发事件信息的单位及当事人将进行严肃处理。（二）信息安全事件处理流程1.有害程序事件和信息破坏事件任何人员发现或接到报告后，应迅速对事件进行验证，根据事件严重等级通过电话或邮件通报给运维经理或直接汇报产品技术发部经理，若事件属于特别重大事件、重大事件、较大事件这三个等级，应紧急成立信息安全事件应急处理小组。小组由运维经理或产品技术部经理统筹协调事件处理，组成员包括信息安全工程师，相关其他工程师、技术支持人员等。由技术人员迅速确定事件影响范围并进行应急处理，如对有害程序进行清除，修补漏洞等，分析有害程序，对破坏数据进行恢复，最后完成损失判定。信息安全工程师完成事故处理后将结果汇报运维经理或者产品技术部经理，产品技术部经理根据事件原因将事件汇报公司领导，由公司领导下达命令发布公文通报事件，以避免同类事件的再次发生。涉及网络违法犯罪活动将由信息安全工程经领导批准后上报公安机关处理。2.网络攻击事件技术人员监控或接到客服或用户报告，以产品技术部为主要监控部门，实时监控网络访问流量，一旦出现可访问性异常，及时排查问题，通过WAF、防火墙、平台监控工具进行攻击确认，分析问题产生，形成一致意见，进行攻击确认。其它部门协助进行攻击发现。若确认为DDOS攻击后，登陆DDOS防火墙根据实际情况，微调策略，遏制攻击对业务服务器的影响，同时借助WAF与网络防火墙拦截IP和规则数据包，防范攻击蔓延。10分钟内，确认最终方案。产品技术确认为大流量攻击，已无法通过安全设备进行有效拦截，总出口带宽成为最大障碍时，申请启动应急预案。得到确认后，进行应急处理。半小时内平台持续得不到恢复，当直接启动应急预案。应急分为两个主要方向：⑴机房带宽升级：紧急协调机房，提升带宽，共同防御流量攻击；⑵第三方流量清洗：机房带宽吃紧或暂时无法协调带宽，紧急切换第三方流量清洗⑶其他网络攻击事件流程遵照有害程序事件。信息安全事件处理流程图七、数据备份与恢复管理（一）备份数据管理1.备份要求⑴备份数据的存储应使用与主运行环境独立的设备，对于重要数据的备份，应采用性能可靠、不易损坏的介质，如磁带、光盘等，并置于安全环境保管。备份数据的应注明数据的来源、备份日期等信息。⑵备份的程度和周期视业务需求而定，通常对重要设备和系统的配置数据应每月进行一次备份（如配置很少改动可适当延长备份周期），另外在配置重大变更、系统版本升级、补丁安装等操作前也应进行备份。⑶数据库管理员应确保对核心业务数据每日进行增量备份，非核心业务数据的备份周期视业务需求及数据更新频率而定。业务系统将进行重大系统变更前，应对业务数据进行数据和应用环境的全备份。⑷设备、系统配置信息的备份工作由设备、系统管理员负责，核心业务数据的备份工作由数据库管理员负责。⑸为尽快恢复故障，应在本地（主场所）保留备份介质，同时为了避免主场的灾难所导致的破坏，重要数据还应做好异地备份，并保证异地备份场所的物理和环境保护级别不低于主场所。⑹重要业务数据采用磁盘阵列方式进行保存，3年期内的保存在数据库中与磁盘阵列中进行双保存，3年期后，业务数据的保存移动到磁盘阵列进行保存，数据库内进行逐年覆盖，保障最新3年的数据可供直接调用。2.备份执行与记录⑴备份执行过程应有详细的规划和记录，包括备份主体、备份时间、备份策略、备份路径、记录介质（类型）等。⑵详细的备份操作与记录以新生支付运维与服务管理系统为基础平台进行。⑶数据的备份累积要求至少5年以上，每天归档备份由数据库工程师进行记录登记，归档的数据必须永久保存。3.数据库还原模型⑴对重要数据库应采用完整还原模型,保证其可以在数据库损害时恢复到特定时间点⑵对临时性数据库或没有大量修改操作的数据库可以使用简单恢复模型4.数据库备份模式⑴周期内对数据库进行完全备份⑵恢复模型为完全恢复模型,保证日志备份⑶保证备份磁盘有足够的空间保留完整周期内所有的备份数据⑷定期对过期备份进行清理（二）备份恢复管理1.数据库备份周期⑴完全备份保证至少一周进行一次备份⑵日志备份采用归档日志2.数据库备份 计划 项目进度计划表范例计划下载计划下载计划下载课程教学计划下载 监控⑴所有常规备份通过系统的计划任务或者数据库代理服务来完成⑵在备份完成后留存相关日志⑶由数据备份人员根据新生支付实际拟定需要测试的备份数据项目以及测试的周期。3.数据库还原测试⑴对于因设备故障、操作失误等造成的一般故障，需要恢复部分设备上的备份数据，遵循《事件管理流程》，由设备管理员负责恢复。⑵对于因灾难等原因造成的重大事故，启动灾难恢复计划进行恢复。⑶定期对异地保存的冗余备份样本进行恢复性测试.保证数据库还原后完好正常（三）实际生产环境的备份1.主节点的备份⑴备份位置全部为磁盘阵列中，文件系统为ASM⑵备份集为数据库全备，控制文件参数文件备份以及归档日志⑶备份周期为一周一次，每月留存最后一周备份⑷备份工具为RMAN，使用计划任务实现，备份ASM自动整理2.备节点的备份⑴备份位置全部为本地磁盘，文件系统为LINUX自带⑵备份集为数据库全备，控制文件参数文件备份以及归档日志⑶备份周期为一周一次，每月留存最后一周备份⑷备份工具为RMAN，使用计划任务实现，备份由整理脚本实现整理3.测试环境的备份⑴备份位置全部为本地磁盘，文件系统为LINUX自带⑵备份集为数据库全备，控制文件参数文件备份以及归档日志⑶备份周期为一周一次，下周备份时删除之前备份以及归档日志⑷备份工具为RMAN，使用计划任务实现，无需备份整理八、客户信息泄密的处罚公司有权利根据国家的法律、法规和企业规章制度，对于发现的任何侵害客户信息安全的部门或个人采取相应的处罚措施。针对网络安全造成的信息安全问题，新生支付将根据实际情况采取法律手段，维护合法权益。针对新生支付内部员工发生泄密事件，应根据信息安全事件造成的影响及相关责任主题的态度，做出如下处理：（一）批评教育：包括责令责任主体向上级主管部门做出书面检查、诫勉谈话等；1.通报批评：在公司或集团范围内，对责任主体发文通报；2.绩效处分:降低或扣除责任主体绩效，纳入月度或年度考核；3.行政处分：追究信息安全事件发生负有领导责任的负责人的管理责任，对相关责任人予以行政处分，直至开除。4.法律责任：如涉嫌犯罪的则移交司法机关处理。以上方式可以单独适用，也可以同时适用。发生客户信息泄密事件，由信息安全管理组组织相关部门进行责任认定，按照具体处罚办法对相关责任人和负有领导责任的人进行处罚。