证券期货业网络和信息安全及数据保护合规指引（中）——重点解读：核心机构和经营机构合规义务

上期回顾

结合近年来颁布实施的证券期货领域部门规章及行业标准，上篇《证券期货业网络和信息安全及数据保护合规指引（上）——监管目标及立法亮点》对《证券期货业网络和信息安全管理办法》（以下简称" 《办法》"）监管范畴内的各类适用主体进行详细解读，并总结了《办法》的七大亮点内容，为读者提供了《办法》的全景概览。

在具体开展网络和信息安全及数据保护工作过程中，核心机构和经营机构应当遵循 保障安全、促进发展的基本原则，依法履行相关合规义务。在本篇中，我们梳理了《办法》中 核心机构和经营机构针对本机构的网络和信息安全及数据保护应当履行的 主体责任，以期为核心机构和经营机构进行网络和信息安全及数据保护提供参考。

一、网络和信息安全运行

（一）组织架构及人员

• 从组织架构上来看，核心机构和经营机构应建立完善的 信息技术治理架构，指定或者设立 网络和信息安全工作牵头部门或者机构。证券基金经营机构 ¹应在公司管理层设立信息技术治理委员会或指定专门委员会，信息技术委员会应由公司高管及相关部门负责人组成。
• 从责任人员上来看，核心机构和经营机构应设立" 两层责任人管理体系"，明确本机构的主要负责人为网络及信息安全工作的第一责任人，分管网络和信息安全工作的领导班子成员或者高级管理人员为直接责任人。值得注意的是，证券基金经营机构应指定一名高管作为首席信息官，负责信息技术管理工作，作为本机构信息技术管直接责任人。
• 从人员培训上来看，核心机构和经营机构应 每年至少开展一次全员网络和信息安全教育活动。加强网络和信息安全人才队伍建设，建立合适的人才培养机制，确保人岗匹配。