銀監(jiān)會(huì)《商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引》_第1頁
銀監(jiān)會(huì)《商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引》_第2頁
銀監(jiān)會(huì)《商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引》_第3頁
銀監(jiān)會(huì)《商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引》_第4頁
銀監(jiān)會(huì)《商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引》_第5頁
已閱讀5頁,還剩8頁未讀 繼續(xù)免費(fèi)閱讀

下載本文檔

版權(quán)說明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請進(jìn)行舉報(bào)或認(rèn)領(lǐng)

文檔簡介

1、商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引第一章 總則第一條 為加強(qiáng)商業(yè)銀行信息科技風(fēng)險(xiǎn)管理,根據(jù)中華人民共和國銀行業(yè) 監(jiān)督管理法、中華人民共和國商業(yè)銀行法 、中華人民共和國外資銀行管理?xiàng)l 例,以及國家信息安全相關(guān)要求和有關(guān)法律法規(guī),制定本指引。第二條 本指引適用于在中華人民共和國境內(nèi)依法設(shè)立的法人商業(yè)銀行、政 策性銀行、農(nóng)村合作銀行、城市信用社、農(nóng)村信用社、村鎮(zhèn)銀行、貸款公司、金 融資產(chǎn)管理公司、信托公司、財(cái)務(wù)公司、金融租賃公司、汽車金融公司、貨幣經(jīng) 紀(jì)公司等其他銀行業(yè)金融機(jī)構(gòu)參照執(zhí)行。第三條 本指引所稱信息科技是指計(jì)算機(jī)、通信、微電子和軟件工程等現(xiàn)代 信息技術(shù), 在商業(yè)銀行業(yè)務(wù)交易處理、 經(jīng)營管理和內(nèi)部

2、控制等方面的應(yīng)用, 并包 括進(jìn)行信息科技治理, 建立完整的管理組織架 構(gòu),制訂完善的管理制度和流程。第四條 本指引所稱信息科技風(fēng)險(xiǎn),是指信息科技在商業(yè)銀行運(yùn)用過程中, 由于自然因素、 人為因素、技術(shù)漏洞和管理缺陷產(chǎn)生的操作、 法律和聲譽(yù)等風(fēng)險(xiǎn)。第五條 信息科技風(fēng)險(xiǎn)管理的目標(biāo)是通過建立有效的機(jī)制,實(shí)現(xiàn)對商業(yè)銀行 信息科技風(fēng)險(xiǎn)的識別、 計(jì)量、監(jiān)測和控制, 促進(jìn)商業(yè)銀行安全、 持續(xù)、穩(wěn)健運(yùn)行, 推動(dòng)業(yè)務(wù)創(chuàng)新,提高信息技術(shù)使用水平,增強(qiáng)核心競爭力和可持續(xù)發(fā)展能力。第二章 信息科技治理第六條 商業(yè)銀行法定代表人是本機(jī)構(gòu)信息科技風(fēng)險(xiǎn)管理的第一責(zé)任人,負(fù) 責(zé)組織本指引貫徹落實(shí)。第七條 商業(yè)銀行的董事會(huì)應(yīng)履行

3、以下信息科技管理職責(zé):( 一)遵守并貫徹執(zhí)行國家有關(guān)信息科技管理的法律、 法規(guī)和技術(shù)標(biāo)準(zhǔn), 落實(shí) 中國銀行業(yè)監(jiān)督管理委員會(huì) (以下簡稱銀監(jiān)會(huì) ) 相關(guān)監(jiān)管要求。( 二)審查批準(zhǔn)信息科技戰(zhàn)略, 確保其與銀行的總體業(yè)務(wù)戰(zhàn)略和重大策略相一 致。評估信息科技及其風(fēng)險(xiǎn)管理工作的總體效果和效率。( 三) 掌握主要的信息科技風(fēng)險(xiǎn), 確定可接受的風(fēng)險(xiǎn)級別, 確保相關(guān)風(fēng)險(xiǎn)能夠 被識別、計(jì)量、監(jiān)測和控制。( 四)規(guī)范職業(yè)道德行為和廉潔標(biāo)準(zhǔn), 增強(qiáng)內(nèi)部文化建設(shè), 提高全體人員對信 息科技風(fēng)險(xiǎn)管理重要性的認(rèn)識。( 五) 設(shè)立一個(gè)由來自高級管理層、 信息科技部門和主要業(yè)務(wù)部門的代表組成 的專門信息科技管理委員會(huì), 負(fù)責(zé)

4、監(jiān)督各項(xiàng)職責(zé)的落實(shí), 定期向董事會(huì)和高級管 理層匯報(bào)信息科技戰(zhàn)略規(guī)劃的執(zhí)行、 信息科技預(yù)算和實(shí)際支出、 信息科技的整體 狀況。( 六)在建立良好的公司治理的基礎(chǔ)上進(jìn)行信息科技治理, 形成分工合理、 職 責(zé)明確、相互制衡、 報(bào)告關(guān)系清晰的信息科技治理組織結(jié)構(gòu)。 加強(qiáng)信息科技專業(yè) 隊(duì)伍的建設(shè),建立人才激勵(lì)機(jī)制。( 七) 確保內(nèi)部審計(jì)部門進(jìn)行獨(dú)立有效的信息科技風(fēng)險(xiǎn)管理審計(jì), 對審計(jì)報(bào)告 進(jìn)行確認(rèn)并落實(shí)整改。( 八) 每年審閱并向銀監(jiān)會(huì)及其派出機(jī)構(gòu)報(bào)送信息科技風(fēng)險(xiǎn)管理的年度報(bào)告。( 九) 確保信息科技風(fēng)險(xiǎn)管理工作所需資金。( 十 ) 確保銀行所有員工充分理解和遵守經(jīng)其批準(zhǔn)的信息科技風(fēng)險(xiǎn)管理制度 和流程

5、,并安排相關(guān)培訓(xùn)。( 十一) 確保本法人機(jī)構(gòu)涉及客戶信息、 賬務(wù)信息以及產(chǎn)品信息等的核心系統(tǒng) 在中國境內(nèi)獨(dú)立運(yùn)行, 并保持最高的管理權(quán)限, 符合銀監(jiān)會(huì)監(jiān)管和實(shí)施現(xiàn)場檢查 的要求,防范跨境風(fēng)險(xiǎn)。( 十二 ) 及時(shí)向銀監(jiān)會(huì)及其派出機(jī)構(gòu)報(bào)告本機(jī)構(gòu)發(fā)生的重大信息科技事故或 突發(fā)事件,按相關(guān)預(yù)案快速響應(yīng)。( 十三) 配合銀監(jiān)會(huì)及其派出機(jī)構(gòu)做好信息科技風(fēng)險(xiǎn)監(jiān)督檢查工作, 并按照監(jiān) 管意見進(jìn)行整改。( 十四) 履行信息科技風(fēng)險(xiǎn)管理其他相關(guān)工作。第八條 商業(yè)銀行應(yīng)設(shè)立首席信息官,直接向行長匯報(bào),并參與決策。首席 信息官的職責(zé)包括:( 一 ) 直接參與本銀行與信息科技運(yùn)用有關(guān)的業(yè)務(wù)發(fā)展決策。( 二 ) 確保信息

6、科技戰(zhàn)略, 尤其是信息系統(tǒng)開發(fā)戰(zhàn)略, 符合本銀行的總體業(yè)務(wù) 戰(zhàn)略和信息科技風(fēng)險(xiǎn)管理策略。( 三) 負(fù)責(zé)建立一個(gè)切實(shí)有效的信息科技部門,承擔(dān)本銀行的信息科技職責(zé)。 確保其履行:信息科技預(yù)算和支出、信息科技策略、標(biāo)準(zhǔn)和流程、信息科技內(nèi)部 控制、專業(yè)化研發(fā)、 信息科技項(xiàng)目發(fā)起和管理、 信息系統(tǒng)和信息科技基礎(chǔ)設(shè)施的 運(yùn)行、維護(hù)和升級、信息安全管理、災(zāi)難恢復(fù)計(jì)劃、信息科技外包和信息系統(tǒng)退 出等職責(zé)。( 四) 確保信息科技風(fēng)險(xiǎn)管理的有效性, 并使有關(guān)管理措施落實(shí)到相關(guān)的每一 個(gè)內(nèi)設(shè)機(jī)構(gòu)和分支機(jī)構(gòu)。( 五 ) 組織專業(yè)培訓(xùn),提高人才隊(duì)伍的專業(yè)技能。( 六) 履行信息科技風(fēng)險(xiǎn)管理其他相關(guān)工作。第九條 商業(yè)銀行

7、應(yīng)對信息科技部門內(nèi)部管理職責(zé)進(jìn)行明確的界定;各崗位 的人員應(yīng)具有相應(yīng)的專業(yè)知識和技能, 重要崗位應(yīng)制定詳細(xì)完整的工作手冊并適 時(shí)更新。對相關(guān)人員應(yīng)采取下列風(fēng)險(xiǎn)防范措施:( 一)驗(yàn)證個(gè)人信息, 包括核驗(yàn)有效身份證件、 學(xué)歷證明、工作經(jīng)歷和專業(yè)資 格證書等信息。( 二) 審核信息科技員工的道德品行,確保其具備相應(yīng)的職業(yè)操守。( 三) 確保員工了解、遵守信息科技策略、指導(dǎo)原則、信息保密、授權(quán)使用信息系統(tǒng)、信息科技管理制度和流程等要求,并同員工簽訂相關(guān)協(xié)議。( 四 ) 評估關(guān)鍵崗位信息科技員工流失帶來的風(fēng)險(xiǎn), 做好安排候補(bǔ)員工和崗位 接替計(jì)劃等防范措施;在員工崗位發(fā)生變化后及時(shí)變更相關(guān)信息。第十條 商

8、業(yè)銀行應(yīng)設(shè)立或指派一個(gè)特定部門負(fù)責(zé)信息科技風(fēng)險(xiǎn)管理工作, 并直接向首席信息官或首席風(fēng)險(xiǎn)官 ( 風(fēng)險(xiǎn)管理委員會(huì) )報(bào)告工作。該部門應(yīng)為信息 科技突發(fā)事件應(yīng)急響應(yīng)小組的成員之一, 負(fù)責(zé)協(xié)調(diào)制定有關(guān)信息科技風(fēng)險(xiǎn)管理策 略,尤其是在涉及信息安全、 業(yè)務(wù)連續(xù)性計(jì)劃和合規(guī)性風(fēng)險(xiǎn)等方面, 為業(yè)務(wù)部門 和信息科技部門提供建議及相關(guān)合規(guī)性信息, 實(shí)施持續(xù)信息科技風(fēng)險(xiǎn)評估, 跟蹤 整改意見的落實(shí),監(jiān)控信息安全威脅和不合規(guī)事件的發(fā)生。第十一條 商業(yè)銀行應(yīng)在內(nèi)部審計(jì)部門設(shè)立專門的信息科技風(fēng)險(xiǎn)審計(jì)崗位, 負(fù)責(zé)信息科技審計(jì)制度和流程的實(shí)施, 制訂和執(zhí)行信息科技審計(jì)計(jì)劃, 對信息科 技整個(gè)生命周期和重大事件等進(jìn)行審計(jì)。第十

9、二條 商業(yè)銀行應(yīng)按照知識產(chǎn)權(quán)相關(guān)法律法規(guī),制定本機(jī)構(gòu)信息科技知 識產(chǎn)權(quán)保護(hù)策略和制度, 并使所有員工充分理解并遵照執(zhí)行。 確保購買和使用合 法的軟硬件產(chǎn)品,禁止侵權(quán)盜版;采取有效措施保護(hù)本機(jī)構(gòu)自主知識產(chǎn)權(quán)。第十三條 商業(yè)銀行應(yīng)依據(jù)有關(guān)法律法規(guī)的要求, 規(guī)范和及時(shí)披露信息科技 風(fēng)險(xiǎn)狀況。第三章 信息科技風(fēng)險(xiǎn)管理第十四條 商業(yè)銀行應(yīng)制定符合銀行總體業(yè)務(wù)規(guī)劃的信息科技戰(zhàn)略、 信息科 技運(yùn)行計(jì)劃和信息科技風(fēng)險(xiǎn)評估計(jì)劃, 確保配置足夠人力、 財(cái)力資源,維持穩(wěn)定、 安全的信息科技環(huán)境。第十五條 商業(yè)銀行應(yīng)制定全面的信息科技風(fēng)險(xiǎn)管理策略, 包括但不限于下 述領(lǐng)域:一) 信息分級與保護(hù)。二 ) 信息系統(tǒng)開發(fā)、

10、測試和維護(hù)。三) 信息科技運(yùn)行和維護(hù)。四) 訪問控制。五) 物理安全。( 六 ) 人員安全。( 七 ) 業(yè)務(wù)連續(xù)性計(jì)劃與應(yīng)急處置。(第十六條 商業(yè)銀行應(yīng)制定持續(xù)的風(fēng)險(xiǎn)識別和評估流程, 確定信息科技中存 在隱患的區(qū)域, 評價(jià)風(fēng)險(xiǎn)對其業(yè)務(wù)的潛在影響, 對風(fēng)險(xiǎn)進(jìn)行排序, 并確定風(fēng)險(xiǎn)防 范措施及所需資源的優(yōu)先級別 ( 包括外包供應(yīng)商、產(chǎn)品供應(yīng)商和服務(wù)商 ) 。第十七條 商業(yè)銀行應(yīng)依據(jù)信息科技風(fēng)險(xiǎn)管理策略和風(fēng)險(xiǎn)評估結(jié)果, 實(shí)施全 面的風(fēng)險(xiǎn)防范措施。防范措施應(yīng)包括:二)確定潛在風(fēng)險(xiǎn)區(qū)域, 并對這些區(qū)域進(jìn)行詳細(xì)和獨(dú)立的監(jiān)控, 實(shí)現(xiàn)風(fēng)險(xiǎn)最 建立適當(dāng)?shù)目刂瓶蚣埽?以便于檢查和平衡風(fēng)險(xiǎn); 定義每個(gè)業(yè)務(wù)級別的控制

11、包括: 最高權(quán)限用戶的審查。 控制對數(shù)據(jù)和系統(tǒng)的物理和邏輯訪問。 訪問授權(quán)以“必需知道”和“最小授權(quán)”為原則。 審批和授權(quán)。 驗(yàn)證和調(diào)節(jié)。( 一 ) 制定明確的信息科技風(fēng)險(xiǎn)管理制度、 技術(shù)標(biāo)準(zhǔn)和操作規(guī)程等, 定期進(jìn)行 更新和公示。( 小化。 內(nèi)容,12345第十八條 商業(yè)銀行應(yīng)建立持續(xù)的信息科技風(fēng)險(xiǎn)計(jì)量和監(jiān)測機(jī)制,其中應(yīng)包 括:) 一二三四五六七八建立信息科技項(xiàng)目實(shí)施前及實(shí)施后的評價(jià)機(jī)制。 建立定期檢查系統(tǒng)性能的程序和標(biāo)準(zhǔn)。建立信息科技服務(wù)投訴和事故處理的報(bào)告機(jī)制。 建立內(nèi)部審計(jì)、外部審計(jì)和監(jiān)管發(fā)現(xiàn)問題的整改處理機(jī)制。 安排供應(yīng)商和業(yè)務(wù)部門對服務(wù)水平協(xié)議的完成情況進(jìn)行定期審查。 定期評估新技術(shù)

12、發(fā)展可能造成的影響和已使用軟件面臨的新威脅。 定期進(jìn)行運(yùn)行環(huán)境下操作風(fēng)險(xiǎn)和管理控制的檢查。定期進(jìn)行信息科技外包項(xiàng)目的風(fēng)險(xiǎn)狀況評價(jià)。第十九條 中資商業(yè)銀行在境外設(shè)立的機(jī)構(gòu)及境內(nèi)的外資商業(yè)銀行, 應(yīng)當(dāng)遵 守境內(nèi)外監(jiān)管機(jī)構(gòu)關(guān)于信息科技風(fēng)險(xiǎn)管理的要求, 并防范因監(jiān)管差異所造成的風(fēng) 險(xiǎn)。第四章 信息安全第二十條 商業(yè)銀行信息科技部門負(fù)責(zé)建立和實(shí)施信息分類和保護(hù)體系, 商 業(yè)銀行應(yīng)使所有員工都了解信息安全的重要性, 并組織提供必要的培訓(xùn), 讓員工 充分了解其職責(zé)范圍內(nèi)的信息保護(hù)流程。第二十一條 商業(yè)銀行信息科技部門應(yīng)落實(shí)信息安全管理職能。 該職能應(yīng)包 括建立信息安全計(jì)劃和保持長效的管理機(jī)制, 提高全體員工

13、信息安全意識, 就安 全問題向其他部門提供建議, 并定期向信息科技管理委員會(huì)提交本銀行信息安全 評估報(bào)告。 信息安全管理機(jī)制應(yīng)包括信息安全標(biāo)準(zhǔn)、 策略、實(shí)施計(jì)劃和持續(xù)維護(hù) 計(jì)劃。信息安全策略應(yīng)涉及以下領(lǐng)域:( 一) 安全制度管理。( 二) 信息安全組織管理。(三)資產(chǎn)管理。四)人員安全管理。五)物理與環(huán)境安全管理。六)通信與運(yùn)營管理。七)訪問控制管理。八)系統(tǒng)開發(fā)與維護(hù)管理。九)信息安全事故管理。 十) 業(yè)務(wù)連續(xù)性管理。 十一) 合規(guī)性管理。第二十二條 商業(yè)銀行應(yīng)建立有效管理用戶認(rèn)證和訪問控制的流程。 用戶對 數(shù)據(jù)和系統(tǒng)的訪問必須選擇與信息訪問級別相匹配的認(rèn)證機(jī)制, 并且確保其在信 息系統(tǒng)內(nèi)的

14、活動(dòng)只限于相關(guān)業(yè)務(wù)能合法開展所要求的最低限度。 用戶調(diào)動(dòng)到新的 工作崗位或離開商業(yè)銀行時(shí),應(yīng)在系統(tǒng)中及時(shí)檢查、更新或注銷用戶身份。第二十三條 商業(yè)銀行應(yīng)確保設(shè)立物理安全保護(hù)區(qū)域, 包括計(jì)算機(jī)中心或數(shù) 據(jù)中心、存儲(chǔ)機(jī)密信息或放置網(wǎng)絡(luò)設(shè)備等重要信息科技設(shè)備的區(qū)域, 明確相應(yīng)的 職責(zé),采取必要的預(yù)防、檢測和恢復(fù)控制措施。) 一二三四五六七第二十四條 商業(yè)銀行應(yīng)根據(jù)信息安全級別, 將網(wǎng)絡(luò)劃分為不同的邏輯安全 域(以下簡稱為域 ) 。應(yīng)該對下列安全因素進(jìn)行評估, 并根據(jù)安全級別定義和評估 結(jié)果實(shí)施有效的安全控制, 如對每個(gè)域和整個(gè)網(wǎng)絡(luò)進(jìn)行物理或邏輯分區(qū)、 實(shí)現(xiàn)網(wǎng) 絡(luò)內(nèi)容過濾、邏輯訪問控制、傳輸加密、網(wǎng)絡(luò)

15、監(jiān)控、記錄活動(dòng)日志等。 域內(nèi)應(yīng)用程序和用戶組的重要程度。 各種通訊渠道進(jìn)入域的訪問點(diǎn)。 域內(nèi)配置的網(wǎng)絡(luò)設(shè)備和應(yīng)用程序使用的網(wǎng)絡(luò)協(xié)議和端口。 性能要求或標(biāo)準(zhǔn)。 域的性質(zhì),如生產(chǎn)域或測試域、內(nèi)部域或外部域。 不同域之間的連通性。域的可信程度。第二十五條 商業(yè)銀行應(yīng)通過以下措施, 確保所有計(jì)算機(jī)操作系統(tǒng)和系統(tǒng)軟 件的安全:( 一 ) 制定每種類型操作系統(tǒng)的基本安全要求, 確保所有系統(tǒng)滿足基本安全 要求。( 二 ) 明確定義包括終端用戶、 系統(tǒng)開發(fā)人員、 系統(tǒng)測試人員、 計(jì)算機(jī)操作 人員、系統(tǒng)管理員和用戶管理員等不同用戶組的訪問權(quán)限。( 三 ) 制定最高權(quán)限系統(tǒng)賬戶的審批、 驗(yàn)證和監(jiān)控流程, 并確保最

16、高權(quán)限用 戶的操作日志被記錄和監(jiān)察。( 四 ) 要求技術(shù)人員定期檢查可用的安全補(bǔ)丁,并報(bào)告補(bǔ)丁管理狀態(tài)。( 五 ) 在系統(tǒng)日志中記錄不成功的登錄、 重要系統(tǒng)文件的訪問、 對用戶賬戶 的修改等有關(guān)重要事項(xiàng), 手動(dòng)或自動(dòng)監(jiān)控系統(tǒng)出現(xiàn)的任何異常事件, 定期匯報(bào)監(jiān) 控情況。明確定義終端用戶和信息科技技術(shù)人員在信息系統(tǒng)安全中的角色和第二十六條 商業(yè)銀行應(yīng)通過以下措施,確保所有信息系統(tǒng)的安全: ( 一 )職責(zé)。) 二三四五針對信息系統(tǒng)的重要性和敏感程度,采取有效的身份驗(yàn)證方法。加強(qiáng)職責(zé)劃分,對關(guān)鍵或敏感崗位進(jìn)行雙重控制。 在關(guān)鍵的接合點(diǎn)進(jìn)行輸入驗(yàn)證或輸出核對。 采取安全的方式處理保密信息的輸入和輸出,防止

17、信息泄露或被盜篡改。六)取、確保系統(tǒng)按預(yù)先定義的方式處理例外情況, 當(dāng)系統(tǒng)被迫終止時(shí)向用戶( 提供必要信息。( 七) 以書面或電子格式保存審計(jì)痕跡。( 八) 要求用戶管理員監(jiān)控和審查未成功的登錄和用戶賬戶的修改。第二十七條 商業(yè)銀行應(yīng)制定相關(guān)策略和流程,管理所有生產(chǎn)系統(tǒng)的活動(dòng)日 志,以支持有效的審核、 安全取證分析和預(yù)防欺詐。 日志可以在軟件的不同層次、 不同的計(jì)算機(jī)和網(wǎng)絡(luò)設(shè)備上完成,日志劃分為兩大類:( 一) 交易日志。 交易日志由應(yīng)用軟件和數(shù)據(jù)庫管理系統(tǒng)產(chǎn)生, 內(nèi)容包括用 戶登錄嘗試、 數(shù)據(jù)修改、 錯(cuò)誤信息等。 交易日志應(yīng)按照國家會(huì)計(jì)準(zhǔn)則要求予以保 存。( 二) 系統(tǒng)日志。系統(tǒng)日志由操作系

18、統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、防火墻、入侵檢 測系統(tǒng)和路由器等生成,內(nèi)容包括管理登錄嘗試、系統(tǒng)事件、網(wǎng)絡(luò)事件、錯(cuò)誤信 息等。系統(tǒng)日志保存期限按系統(tǒng)的風(fēng)險(xiǎn)等級確定,但不能少于一年。商業(yè)銀行應(yīng)保證交易日志和系統(tǒng)日志中包含足夠的內(nèi)容, 以便完成有效的內(nèi) 部控制、解決系統(tǒng)故障和滿足審計(jì)需要; 應(yīng)采取適當(dāng)措施保證所有日志同步計(jì)時(shí), 并確保其完整性。 在例外情況發(fā)生后應(yīng)及時(shí)復(fù)查系統(tǒng)日志。 交易日志或系統(tǒng)日志 的復(fù)查頻率和保存周期應(yīng)由信息科技部門和有關(guān)業(yè)務(wù)部門共同決定, 并報(bào)信息科 技管理委員會(huì)批準(zhǔn)。使用符合國家要求的加密技術(shù)和加密設(shè)備。 管理、使用密碼設(shè)備的員工經(jīng)過專業(yè)培訓(xùn)和嚴(yán)格審查。 加密強(qiáng)度滿足信息機(jī)密性的要求

19、。制定并落實(shí)有效的管理流程,尤其是密鑰和證書生命周期管理。第二十八條 商業(yè)銀行應(yīng)采取加密技術(shù), 防范涉密信息在傳輸、 處理、 存儲(chǔ) 過程中出現(xiàn)泄露或被篡改的風(fēng)險(xiǎn),并建立密碼設(shè)備管理制度,以確保:一)二)三)四)(第二十九條 商業(yè)銀行應(yīng)配備切實(shí)有效的系統(tǒng), 確保所有終端用戶設(shè)備的安 全,并定期對所有設(shè)備進(jìn)行安全檢查,包括臺(tái)式個(gè)人計(jì)算機(jī)(PC)、便攜式計(jì)算機(jī)、 柜員終端、自動(dòng)柜員機(jī)(ATM)、存折打印機(jī)、讀卡器、銷售終端(POS)和個(gè)人數(shù)字 助理(P DA)等。第三十條 商業(yè)銀行應(yīng)制定相關(guān)制度和流程, 嚴(yán)格管理客戶信息的采集、 處理、存貯、傳輸、分發(fā)、備份、恢復(fù)、清理和銷毀。第三十一條 商業(yè)銀行應(yīng)

20、對所有員工進(jìn)行必要的培訓(xùn), 使其充分掌握信息科 技風(fēng)險(xiǎn)管理制度和流程, 了解違反規(guī)定的后果, 并對違反安全規(guī)定的行為采取零 容忍政策。第五章 信息系統(tǒng)開發(fā)、測試和維護(hù)第三十二條 商業(yè)銀行應(yīng)有能力對信息系統(tǒng)進(jìn)行需求分析、 規(guī)劃、采購、開 發(fā)、測試、部署、維護(hù)、升級和報(bào)廢,制定制度和流程,管理信息科技項(xiàng)目的優(yōu) 先排序、立項(xiàng)、 審批和控制。 項(xiàng)目實(shí)施部門應(yīng)定期向信息科技管理委員會(huì)提交重 大信息科技項(xiàng)目的進(jìn)度報(bào)告, 由其進(jìn)行審核,進(jìn)度報(bào)告應(yīng)當(dāng)包括計(jì)劃的重大變更、 關(guān)鍵人員或供應(yīng)商的變更以及主要費(fèi)用支出情況。 應(yīng)在信息系統(tǒng)投產(chǎn)后一定時(shí)期 內(nèi),組織對系統(tǒng)的后評價(jià),并根據(jù)評價(jià)結(jié)果及時(shí)對系統(tǒng)功能進(jìn)行調(diào)整和優(yōu)化

21、。第三十三條 商業(yè)銀行應(yīng)認(rèn)識到信息科技項(xiàng)目相關(guān)的風(fēng)險(xiǎn), 包括潛在的各種 操作風(fēng)險(xiǎn)、財(cái)務(wù)損失風(fēng)險(xiǎn)和因無效項(xiàng)目規(guī)劃或不適當(dāng)?shù)捻?xiàng)目管理控制產(chǎn)生的機(jī)會(huì) 成本,并采取適當(dāng)?shù)捻?xiàng)目管理方法,控制信息科技項(xiàng)目相關(guān)的風(fēng)險(xiǎn)。第三十四條 商業(yè)銀行應(yīng)采取適當(dāng)?shù)南到y(tǒng)開發(fā)方法,控制信息系統(tǒng)的生命周期。 典型的系統(tǒng)生命周期包括系統(tǒng)分析、設(shè)計(jì)、開發(fā)或外購、測試、試運(yùn)行、部署、 維護(hù)和退出。所采用的系統(tǒng)開發(fā)方法應(yīng)符合信息科技項(xiàng)目的規(guī)模、 性質(zhì)和復(fù)雜度。確保系第三十五條 商業(yè)銀行應(yīng)制定相關(guān)控制信息系統(tǒng)變更的制度和流程,統(tǒng)的可靠性、完整性和可維護(hù)性,其中應(yīng)包括以下要求:( 一 ) 生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)有效隔離。( 二 )

22、生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)的管理職能相分離。( 三 ) 除得到管理層批準(zhǔn)執(zhí)行緊急修復(fù)任務(wù)外, 禁止應(yīng)用程序開發(fā)和維護(hù)人 員進(jìn)入生產(chǎn)系統(tǒng),且所有的緊急修復(fù)活動(dòng)都應(yīng)立即進(jìn)行記錄和審核。( 四 ) 將完成開發(fā)和測試環(huán)境的程序或系統(tǒng)配置變更應(yīng)用到生產(chǎn)系統(tǒng)時(shí),得到信息科技部門和業(yè)務(wù)部門的聯(lián)合批準(zhǔn),并對變更進(jìn)行及時(shí)記錄和定期復(fù)查。第三十六條 商業(yè)銀行應(yīng)制定并落實(shí)相關(guān)制度、 標(biāo)準(zhǔn)和流程, 確保信息系統(tǒng) 開發(fā)、測試、維護(hù)過程中數(shù)據(jù)的完整性、保密性和可用性。第三十七條 商業(yè)銀行應(yīng)建立并完善有效的問題管理流程, 以確保全面地追 蹤、分析和解決信息系統(tǒng)問題,并對問題進(jìn)行記錄、分類和索引;如需供應(yīng)商提 供支持服務(wù)或

23、技術(shù)援助, 應(yīng)向相關(guān)人員提供所需的合同和相關(guān)信息, 并將過程記 錄在案;對完成緊急恢復(fù)起至關(guān)重要作用的任務(wù)和指令集, 應(yīng)有清晰的描述和說 明,并通知相關(guān)人員。第三十八條 商業(yè)銀行應(yīng)制定相關(guān)制度和流程, 控制系統(tǒng)升級過程。 當(dāng)設(shè)備 達(dá)到預(yù)期使用壽命或性能不能滿足業(yè)務(wù)需求,基礎(chǔ)軟件 ( 操作系統(tǒng)、數(shù)據(jù)庫管理 系統(tǒng)、中間件 ) 或應(yīng)用軟件必須升級時(shí),應(yīng)及時(shí)進(jìn)行系統(tǒng)升級,并將該類升級活 動(dòng)納入信息科技項(xiàng)目,接受相關(guān)的管理和控制,包括用戶驗(yàn)收測試。第六章 信息科技運(yùn)行第三十九條 商業(yè)銀行在選擇數(shù)據(jù)中心的地理位置時(shí), 應(yīng)充分考慮環(huán)境威脅 ( 如是否接近自然災(zāi)害多發(fā)區(qū)、 危險(xiǎn)或有害設(shè)施、 繁忙或主要公路 )

24、 ,采取物理控 制措施,監(jiān)控對信息處理設(shè)備運(yùn)行構(gòu)成威脅的環(huán)境狀況, 并防止因意外斷電或供 電干擾影響數(shù)據(jù)中心的正常運(yùn)行。第四十條 商業(yè)銀行應(yīng)嚴(yán)格控制第三方人員 ( 如服務(wù)供應(yīng)商 ) 進(jìn)入安全區(qū) 域,如確需進(jìn)入應(yīng)得到適當(dāng)?shù)呐鷾?zhǔn), 其活動(dòng)也應(yīng)受到監(jiān)控; 針對長期或臨時(shí)聘用 的技術(shù)人員和承包商, 尤其是從事敏感性技術(shù)相關(guān)工作的人員, 應(yīng)制定嚴(yán)格的審 查程序,包括身份驗(yàn)證和背景調(diào)查。第四十一條 商業(yè)銀行應(yīng)將信息科技運(yùn)行與系統(tǒng)開發(fā)和維護(hù)分離, 確保信息科技部門內(nèi)部的崗位制約;對數(shù)據(jù)中心的崗位和職責(zé)做出明確規(guī)定。第四十二條 商業(yè)銀行應(yīng)按照有關(guān)法律法規(guī)要求保存交易記錄, 采取必要的程序和技術(shù),確保存檔數(shù)據(jù)的

25、完整性,滿足安全保存和可恢復(fù)要求。第四十三條 商業(yè)銀行應(yīng)制定詳盡的信息科技運(yùn)行操作說明。 如在信息科技 運(yùn)行手冊中說明計(jì)算機(jī)操作人員的任務(wù)、 工作日程、執(zhí)行步驟, 以及生產(chǎn)與開發(fā) 環(huán)境中數(shù)據(jù)、軟件的現(xiàn)場及非現(xiàn)場備份流程和要求 ( 即備份的頻率、范圍和保留 周期)。第四十四條 商業(yè)銀行應(yīng)建立事故管理及處置機(jī)制, 及時(shí)響應(yīng)信息系統(tǒng)運(yùn)行 事故,逐級向相關(guān)的信息科技管理人員報(bào)告事故的發(fā)生, 并進(jìn)行記錄、 分析和跟 蹤,直到完成徹底的處置和根本原因分析。 商業(yè)銀行應(yīng)建立服務(wù)臺(tái), 為用戶提供 相關(guān)技術(shù)問題的在線支持,并將問題提交給相關(guān)信息科技部門進(jìn)行調(diào)查和解決。第四十五條 商業(yè)銀行應(yīng)建立服務(wù)水平管理相關(guān)的

26、制度和流程, 對信息科技 運(yùn)行服務(wù)水平進(jìn)行考核。第四十六條 商業(yè)銀行應(yīng)建立連續(xù)監(jiān)控信息系統(tǒng)性能的相關(guān)程序, 及時(shí)、完 整地報(bào)告例外情況; 該程序應(yīng)提供預(yù)警功能, 在例外情況對系統(tǒng)性能造成影響前 對其進(jìn)行識別和修正。第四十七條 商業(yè)銀行應(yīng)制定容量規(guī)劃, 以適應(yīng)由于外部環(huán)境變化產(chǎn)生的業(yè)務(wù)發(fā)展和交易量增長。容量規(guī)劃應(yīng)涵蓋生產(chǎn)系統(tǒng)、備份系統(tǒng)及相關(guān)設(shè)備。第四十八條 商業(yè)銀行應(yīng)及時(shí)進(jìn)行維護(hù)和適當(dāng)?shù)南到y(tǒng)升級, 以確保與技術(shù)相 關(guān)服務(wù)的連續(xù)可用性,并完整保存記錄 ( 包括疑似和實(shí)際的故障、預(yù)防性和補(bǔ)救 性維護(hù)記錄 ) ,以確保有效維護(hù)設(shè)備和設(shè)施。第四十九條 商業(yè)銀行應(yīng)制定有效的變更管理流程, 以確保生產(chǎn)環(huán)境的

27、完整 性和可靠性。 包括緊急變更在內(nèi)的所有變更都應(yīng)記入日志, 由信息科技部門和業(yè) 務(wù)部門共同審核簽字, 并事先進(jìn)行備份, 以便必要時(shí)可以恢復(fù)原來的系統(tǒng)版本和 數(shù)據(jù)文件。 緊急變更成功后, 應(yīng)通過正常的驗(yàn)收測試和變更管理流程, 采用恰當(dāng) 的修正以取代緊急變更。第七章 業(yè)務(wù)連續(xù)性管理第五十條 商業(yè)銀行應(yīng)根據(jù)自身業(yè)務(wù)的性質(zhì)、 規(guī)模和復(fù)雜程度制定適當(dāng)?shù)臉I(yè) 務(wù)連續(xù)性規(guī)劃,以確保在出現(xiàn)無法預(yù)見的中斷時(shí), 系統(tǒng)仍能持續(xù)運(yùn)行并提供服務(wù); 定期對規(guī)劃進(jìn)行更新和演練,以保證其有效性。第五十一條 商業(yè)銀行應(yīng)評估因意外事件導(dǎo)致其業(yè)務(wù)運(yùn)行中斷的可能性及 其影響,包括評估可能由下述原因?qū)е碌钠茐模海?內(nèi)外部資源的故障或缺

28、失 ( 如人員、系統(tǒng)或其他資產(chǎn) ) 。 ) 信息丟失或受損。) 外部事件 ( 如戰(zhàn)爭、地震或臺(tái)風(fēng)等 ) 。(第五十二條 商業(yè)銀行應(yīng)采取系統(tǒng)恢復(fù)和雙機(jī)熱備處理等措施降低業(yè)務(wù)中斷的可能性,并通過應(yīng)急安排和保險(xiǎn)等方式降低影響。第五十三條 商業(yè)銀行應(yīng)建立維持其運(yùn)營連續(xù)性策略的文檔, 并制定對策略 的充分性和有效性進(jìn)行檢查和溝通的計(jì)劃。其中包括:( 一)規(guī)范的業(yè)務(wù)連續(xù)性計(jì)劃, 明確降低短期、 中期和長期中斷所造成影響的 措施,包括但不限于:1 資源需求 ( 如人員、系統(tǒng)和其他資產(chǎn) ) 以及獲取資源的方式。2 運(yùn)行恢復(fù)的優(yōu)先順序。3 與內(nèi)部各部門及外部相關(guān)各方 (尤其是監(jiān)管機(jī)構(gòu)、客戶和媒體等 )(并升級。

29、的溝通安排。) 更新實(shí)施業(yè)務(wù)連續(xù)性計(jì)劃的流程及相關(guān)聯(lián)系信息。) 驗(yàn)證受中斷影響的信息完整性的步驟。四) 當(dāng)商業(yè)銀行的業(yè)務(wù)或風(fēng)險(xiǎn)狀況發(fā)生變化時(shí), 對本條 ( 一) 到(三)進(jìn)行審核第五十四條 商業(yè)銀行的業(yè)務(wù)連續(xù)性計(jì)劃和年度應(yīng)急演練結(jié)果應(yīng)由信息科 技風(fēng)險(xiǎn)管理部門或信息科技管理委員會(huì)確認(rèn)。第八章 外包第五十五條 商業(yè)銀行不得將其信息科技管理責(zé)任外包, 應(yīng)合理謹(jǐn)慎監(jiān)督外 包職能的履行。第五十六條 商業(yè)銀行實(shí)施重要外包 ( 如數(shù)據(jù)中心和信息科技基礎(chǔ)設(shè)施等 ) 應(yīng)格外謹(jǐn)慎,在準(zhǔn)備實(shí)施重要外包時(shí)應(yīng)以書面材料正式報(bào)告銀監(jiān)會(huì)或其派出機(jī) 構(gòu)。應(yīng)做分析外包是否適合商業(yè)銀行的組織結(jié)構(gòu)和報(bào)告路線、 業(yè)務(wù)戰(zhàn)略、總體 是否

30、滿足商業(yè)銀行履行對外包服務(wù)商的監(jiān)督義務(wù)。 考慮外包協(xié)議是否允許商業(yè)銀行監(jiān)測和控制與外包相關(guān)的操作風(fēng)險(xiǎn)。 充分審查、 評估外包服務(wù)商的財(cái)務(wù)穩(wěn)定性和專業(yè)經(jīng)驗(yàn), 對外包服務(wù)商第五十七條 商業(yè)銀行在簽署外包協(xié)議或?qū)ν獍鼌f(xié)議進(jìn)行重大變更前, 好相關(guān)準(zhǔn)備,其中包括:( 一 )風(fēng)險(xiǎn)控制,( 二 )( 三 ) 進(jìn)行風(fēng)險(xiǎn)評估,考查其設(shè)施和能力是否足以承擔(dān)相應(yīng)的責(zé)任。( 四) 考慮外包協(xié)議變更前后實(shí)施的平穩(wěn)過渡 ( 包括終止合同可能發(fā)生的情 況)。( 五 ) 關(guān)注可能存在的集中風(fēng)險(xiǎn), 如多家商業(yè)銀行共用同一外包服務(wù)商帶來 的潛在業(yè)務(wù)連續(xù)性風(fēng)險(xiǎn)。第五十八條 商業(yè)銀行在與外包服務(wù)商合同談判過程中, 應(yīng)考慮的因素包括

31、但不限于:( 一 )( 二 )( 三 ) 息和其他信息。( 四 )( 五 ) 關(guān)措施。( 六 ) 諾。( 七 )( 八 ) 包協(xié)議的條件,例如:123對外包服務(wù)商的報(bào)告要求和談判必要條件。 銀行業(yè)監(jiān)管機(jī)構(gòu)和內(nèi)部審計(jì)、外部審計(jì)能執(zhí)行足夠的監(jiān)督。 通過界定信息所有權(quán)、 簽署保密協(xié)議和采取技術(shù)防護(hù)措施保護(hù)客戶信擔(dān)保和損失賠償是否充足。外包服務(wù)商遵守商業(yè)銀行有關(guān)信息科技風(fēng)險(xiǎn)制度和流程的意愿及相外包服務(wù)商提供的業(yè)務(wù)連續(xù)性保障水平, 以及提供相關(guān)專屬資源的承第三方供應(yīng)商出現(xiàn)問題時(shí),保證軟件持續(xù)可用的相關(guān)措施。 變更外包協(xié)議的流程, 以及商業(yè)銀行或外包服務(wù)商選擇變更或終止外商業(yè)銀行或外包服務(wù)商的所有權(quán)或控制

32、權(quán)發(fā)生變化。商業(yè)銀行或外包服務(wù)商的業(yè)務(wù)經(jīng)營發(fā)生重大變化。外包服務(wù)商提供的服務(wù)不充分,造成商業(yè)銀行不能履行監(jiān)督義務(wù)。第五十九條 商業(yè)銀行在實(shí)施雙方關(guān)系管理, 以及起草服務(wù)水平協(xié)議時(shí), 應(yīng) 考慮的因素包括但不限于:( 一 ) 提出定性和定量的績效指標(biāo), 評估外包服務(wù)商為商業(yè)銀行及其相關(guān)客 戶提供服務(wù)的充分性。二) 通過服務(wù)水平報(bào)告、 定期自我評估、 內(nèi)部或外部獨(dú)立審計(jì)進(jìn)行績效考( 核。三) 針對績效不達(dá)標(biāo)的情況調(diào)整流程,采取整改措施。(第六十條 商業(yè)銀行應(yīng)加強(qiáng)信息科技相關(guān)外包管理工作, 確保商業(yè)銀行的客戶資料等敏感信息的安全,包括但不限于采取以下措施:(一)實(shí)現(xiàn)本銀行客戶資料與外包服務(wù)商其他客戶資

33、料的有效隔離。二)按照“必需知道”和“最小授權(quán)”原則對外包服務(wù)商相關(guān)人員授權(quán)。三)要求外包服務(wù)商保證其相關(guān)人員遵守保密規(guī)定。四)應(yīng)將涉及本銀行客戶資料的外包作為重要外包,并告知相關(guān)客戶。五) 嚴(yán)格控制外包服務(wù)商再次對外轉(zhuǎn)包, 采取足夠措施確保商業(yè)銀行相關(guān)信 息的安全。( 六) 確保在中止外包協(xié)議時(shí)收回或銷毀外包服務(wù)商保存的所有客戶資料。第六十一條 商業(yè)銀行應(yīng)建立恰當(dāng)?shù)膽?yīng)急措施, 應(yīng)對外包服務(wù)商在服務(wù)中可 能出現(xiàn)的重大缺失。 尤其需要考慮外包服務(wù)商的重大資源損失, 重大財(cái)務(wù)損失和 重要人員的變動(dòng),以及外包協(xié)議的意外終止。第六十二條 商業(yè)銀行所有信息科技外包合同應(yīng)由信息科技風(fēng)險(xiǎn)管理部門、 法律部門和信息科技管理委員會(huì)審核通過。 商業(yè)銀行應(yīng)設(shè)立流程定期審閱和修訂 服務(wù)水平協(xié)議。第九章 內(nèi)部審計(jì)第六十三條 商業(yè)銀行內(nèi)部審計(jì)部門應(yīng)根據(jù)業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度, 對相關(guān)系統(tǒng)及其控制的適當(dāng)性和有效性進(jìn)行監(jiān)測。 內(nèi)部審計(jì)部門應(yīng)配備足夠的資 源和具有專業(yè)能力的信息科技審計(jì)人員, 獨(dú)立于本銀行

溫馨提示

  • 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁內(nèi)容里面會(huì)有圖紙預(yù)覽,若沒有圖紙預(yù)覽就沒有圖紙。
  • 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
  • 5. 人人文庫網(wǎng)僅提供信息存儲(chǔ)空間,僅對用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理,對用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對任何下載內(nèi)容負(fù)責(zé)。
  • 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請與我們聯(lián)系,我們立即糾正。
  • 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時(shí)也不承擔(dān)用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。

最新文檔

評論

0/150

提交評論