農(nóng)村信用社信息科技風(fēng)險(xiǎn)管理

1、一、農(nóng)村信用社信息平安風(fēng)險(xiǎn)分析二、?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?解讀辦事處科技中心 一隨著近年來金融監(jiān)管機(jī)構(gòu)對銀行業(yè)加大監(jiān)管的力度，同時(shí)從06年到10年逐步出臺了有關(guān)加強(qiáng)銀行業(yè)的金融機(jī)構(gòu)信息平安保障工作的一些指導(dǎo)意見，包括07年信息平安等級保護(hù)管理方法，以及09年商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引，從制度方面，包括實(shí)際行動方面，逐漸加深對銀行業(yè)信息平安的監(jiān)管，同時(shí)對銀行業(yè)的信息平安進(jìn)行了更高的要求。一、農(nóng)村信用社信息平安現(xiàn)狀一、農(nóng)村信用社信息平安現(xiàn)狀二在農(nóng)村信用社信息平安建設(shè)方面整體的水平相對落后于股份制商業(yè)銀行，主要表現(xiàn)在，因?yàn)楣煞葜粕虡I(yè)銀行經(jīng)過04年、05年左右核心系統(tǒng)、后臺管理系統(tǒng)的一些改造

2、開發(fā)，信息化開展水平相比照較高，同時(shí)信息平安體系相比照較健全。而我們農(nóng)村信用社在這方面主要表達(dá)在，我們整個信息化建設(shè)的開展是落后于業(yè)務(wù)的開展，因?yàn)樯婕暗揭恍┩度耄婕暗揭恍┬畔⒎矫娴淖h程，所以整個投入上、開展上依然落后于股份制銀行，而且還落后于自身業(yè)務(wù)的開展，因?yàn)樵谶@方面我們還應(yīng)該逐漸逐年在信息化方面加大投入。 三隨著農(nóng)村信用社業(yè)務(wù)的開展，一些平安隱患逐步出現(xiàn)。比方原有的機(jī)房的選址，安保措施、供電等等，無自身的異地備份中心；其次是對信息平安的缺乏意識缺失，比方對諸如審計(jì)、保密、數(shù)據(jù)傳輸中的完整性、數(shù)據(jù)正確性、對外來攻擊的預(yù)防等平安措施弱化或缺失。再就是現(xiàn)在正在推廣的網(wǎng)上銀行及準(zhǔn)備推廣的 銀行，

3、我們自己認(rèn)為平安要求比較高，從我們分析來說，我們平安做得跟股份制銀行來說做得比較好，其實(shí)是我們自己的網(wǎng)銀這一塊知名度不高，所以很少人關(guān)注這方面發(fā)生的案件。但是隨著業(yè)務(wù)的開展，銀行知名度的開展越來越提高，越來越關(guān)注你的網(wǎng)銀，關(guān)心你的業(yè)務(wù)的時(shí)候，你的電子渠道的一些隱患，平安隱患逐漸就會提到更加高的高度上。 一、農(nóng)村信用社信息平安現(xiàn)狀 在整個信息平安的風(fēng)險(xiǎn)開展趨勢來看，隨著業(yè)務(wù)的開放化，在網(wǎng)銀、電子銀行等業(yè)務(wù)渠道對互聯(lián)網(wǎng)的開放，對整個信息平安的管理、技術(shù)控制提出了更高的要求。還有一些關(guān)于互聯(lián)網(wǎng)訪問終端的無意識的信息泄露，造成攻擊等等，都可能對信用社的開展帶來一些平安的隱患。攻擊的成熟化，因?yàn)楝F(xiàn)在有很

4、多大量的自動化的攻擊工具可以在互聯(lián)網(wǎng)上下載，造成整個攻擊的本錢逐漸下降。從我們的分析來看，發(fā)現(xiàn)我們遭受的攻擊越來越多，手段和方法也更多了，對我們的要求更高了。軟件的多樣化使漏洞數(shù)量超過了操作系統(tǒng)。一、農(nóng)村信用社信息平安現(xiàn)狀 四有關(guān)運(yùn)行維護(hù)這一塊，因?yàn)槲覀冃庞蒙缂夹g(shù)管理能力相對缺乏，目前較多依靠系統(tǒng)承包商，人力風(fēng)險(xiǎn)明顯。這幾個方面，我認(rèn)為我們這一塊還是跟股份制相比差距還是比較明顯。一、農(nóng)村信用社信息平安現(xiàn)狀五內(nèi)控管理這方面無論是我們信用社還有所有銀行都面臨這個問題，還有內(nèi)部員工、第三方人員，掌握一些信息權(quán)限等等，謀取一些非法的收入，近幾年銀行內(nèi)外勾結(jié)作案的案件屢屢發(fā)生。 針對商業(yè)銀行及各金融機(jī)構(gòu)

5、的科技信息平安問題，銀監(jiān)部門及時(shí)出臺了?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?，作為化解信息科技風(fēng)險(xiǎn)的綱領(lǐng)性文件和重要法規(guī)。下面我們就解讀一些?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?。一、農(nóng)村信用社信息平安現(xiàn)狀?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀1.商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引主要內(nèi)容解讀歷史對比 2006年銀監(jiān)會發(fā)布銀行業(yè)金融機(jī)構(gòu)信息系統(tǒng)風(fēng)險(xiǎn)管理指引（以下簡稱原指引），填補(bǔ)了我國銀行業(yè)信息系統(tǒng)監(jiān)管領(lǐng)域的空白。但隨著銀行業(yè)信息化的發(fā)展，信息科技的作用已經(jīng)從業(yè)務(wù)支持逐步走向與業(yè)務(wù)的融合，成為銀行穩(wěn)健運(yùn)營和發(fā)展的支柱，定位在基本要求上的原指引已很難進(jìn)一步滿足商業(yè)銀行信息科技風(fēng)險(xiǎn)管理的需要。另外，原指引對信息系

6、統(tǒng)風(fēng)險(xiǎn)管理以原則性要求為主，在商業(yè)銀行執(zhí)行、操作層面的指導(dǎo)意義不夠完善。為此，銀監(jiān)會決定對原指引進(jìn)行修訂，并重新定名為商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引（以下簡稱新指引），原指引同時(shí)廢止。 1.?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?主要內(nèi)容解讀歷史比照新?指引?，貫徹了“管法人、管風(fēng)險(xiǎn)、管內(nèi)控、提高透明度的銀行監(jiān)管理念，一是從堅(jiān)持法人監(jiān)管出發(fā)，指出商業(yè)銀行法定代表人是本機(jī)構(gòu)信息科技風(fēng)險(xiǎn)管理的第一責(zé)任人。二是從堅(jiān)持風(fēng)險(xiǎn)監(jiān)管出發(fā)，要求商業(yè)銀行建立有效的機(jī)制，實(shí)現(xiàn)對信息科技風(fēng)險(xiǎn)的識別、計(jì)量、監(jiān)測和控制，提高信息技術(shù)使用水平。三是從內(nèi)控監(jiān)管要求出發(fā)，要求商業(yè)銀行建立完整的管理組織架構(gòu)，制訂完善的管理制度和流程，以

7、相互制約的管理機(jī)制對信息科技各環(huán)節(jié)進(jìn)行控制。四是從保護(hù)廣闊儲戶利益出發(fā)，要求商業(yè)銀行在信息系統(tǒng)開發(fā)、測試和維護(hù)，以及效勞外包過程中加強(qiáng)對客戶信息的保護(hù)，防止敏感信息泄露，對業(yè)務(wù)連續(xù)性管理也加以標(biāo)準(zhǔn)，保障客戶數(shù)據(jù)平安和效勞連續(xù)。 1.?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀新?指引?內(nèi)容概要?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?共包括總那么、信息科技治理、信息科技風(fēng)險(xiǎn)管理、信息平安、信息系統(tǒng)開發(fā)測試和維護(hù)、信息科技運(yùn)行、業(yè)務(wù)連續(xù)性管理、外包、內(nèi)部審計(jì)、外部審計(jì)、附那么等十一章七十六條，涵蓋了信息科技風(fēng)險(xiǎn)管理的各個領(lǐng)域，同時(shí)針對銀行現(xiàn)有的組織架構(gòu)，對各部門也明確提出了風(fēng)險(xiǎn)管理的要求。 ?商業(yè)銀行信息科技

8、風(fēng)險(xiǎn)管理指引?內(nèi)容解讀?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第一章 總 那么第一條 為加強(qiáng)商業(yè)銀行信息科技風(fēng)險(xiǎn)管理，根據(jù)?中華人民共和國銀行業(yè)監(jiān)督管理法?、?中華人民共和國商業(yè)銀行法?、?中華人民共和國外資銀行管理?xiàng)l例?，以及國家信息平安相關(guān)要求和有關(guān)法律法規(guī)，制定本指引。第二條 本指引適用于在中華人民共和國境內(nèi)依法設(shè)立的法人商業(yè)銀行。政策性銀行、農(nóng)村合作銀行、城市信用社、農(nóng)村信用社、村鎮(zhèn)銀行、貸款公司、金融資產(chǎn)管理公司、信托公司、財(cái)務(wù)公司、金融租賃公司、汽車金融公司、貨幣經(jīng)紀(jì)公司等其他銀行業(yè)金融機(jī)構(gòu)參照執(zhí)行。第三條 本指引所稱信息科技是指計(jì)算機(jī)、通信、微電子和軟件工程等現(xiàn)代信息技術(shù)，在商業(yè)

9、銀行業(yè)務(wù)交易處理、經(jīng)營管理和內(nèi)部控制等方面的應(yīng)用，并包括進(jìn)行信息科技治理，建立完整的管理組織架構(gòu)，制訂完善的管理制度和流程。第四條 本指引所稱信息科技風(fēng)險(xiǎn)，是指信息科技在商業(yè)銀行運(yùn)用過程中，由于自然因素、人為因素、技術(shù)漏洞和管理缺陷產(chǎn)生的操作、法律和聲譽(yù)等風(fēng)險(xiǎn)。第五條 信息科技風(fēng)險(xiǎn)管理的目標(biāo)是通過建立有效的機(jī)制，實(shí)現(xiàn)對商業(yè)銀行信息科技風(fēng)險(xiǎn)的識別、計(jì)量、監(jiān)測和控制，促進(jìn)商業(yè)銀行平安、持續(xù)、穩(wěn)健運(yùn)行，推動業(yè)務(wù)創(chuàng)新，提高信息技術(shù)使用水平，增強(qiáng)核心競爭力和可持續(xù)開展能力。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀1.?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀新?指引?內(nèi)容解讀第一章 總那么明確了制定本指引

10、的目的、依據(jù)、適用范圍信息科技的概念信息科技風(fēng)險(xiǎn)的概念信息科技風(fēng)險(xiǎn)管理的目標(biāo)：通過建立有效的機(jī)制，實(shí)現(xiàn)對商業(yè)銀行信息科技風(fēng)險(xiǎn)的識別、計(jì)量、監(jiān)測和控制，促進(jìn)商業(yè)銀行平安、持續(xù)、穩(wěn)健運(yùn)行，推動業(yè)務(wù)創(chuàng)新，提高信息技術(shù)使用水平，增強(qiáng)核心競爭力和可持續(xù)開展能力。 ?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第二章 信息科技治理第六條 商業(yè)銀行法定代表人是本機(jī)構(gòu)信息科技風(fēng)險(xiǎn)管理的第一責(zé)任人，負(fù)責(zé)組織本指引的貫徹落實(shí)。第七條 商業(yè)銀行的董事會應(yīng)履行以下信息科技管理職責(zé)：一 遵守并貫徹執(zhí)行國家有關(guān)信息科技管理的法律、法規(guī)和技術(shù)標(biāo)準(zhǔn)，落實(shí)中國銀行業(yè)監(jiān)督管理委員會以下簡稱銀監(jiān)會相關(guān)監(jiān)管要求。二 審查批準(zhǔn)信息科技戰(zhàn)略，

11、確保其與銀行的總體業(yè)務(wù)戰(zhàn)略和重大策略相一致。評估信息科技及其風(fēng)險(xiǎn)管理工作的總體效果和效率。三 掌握主要的信息科技風(fēng)險(xiǎn)，確定可接受的風(fēng)險(xiǎn)級別，確保相關(guān)風(fēng)險(xiǎn)能夠被識別、計(jì)量、監(jiān)測和控制。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀四 標(biāo)準(zhǔn)職業(yè)道德行為和廉潔標(biāo)準(zhǔn)，增強(qiáng)內(nèi)部文化建設(shè)，提高全體人員對信息科技風(fēng)險(xiǎn)管理重要性的認(rèn)識。五 設(shè)立一個由來自高級管理層、信息科技部門和主要業(yè)務(wù)部門的代表組成的專門信息科技管理委員會，負(fù)責(zé)監(jiān)督各項(xiàng)職責(zé)的落實(shí)，定期向董事會和高級管理層匯報(bào)信息科技戰(zhàn)略規(guī)劃的執(zhí)行、信息科技預(yù)算和實(shí)際支出、信息科技的整體狀況。六 在建立良好的公司治理的根底上進(jìn)行信息科技治理，形成分工合理、職責(zé)明確

12、、相互制衡、報(bào)告關(guān)系清晰的信息科技治理組織結(jié)構(gòu)。加強(qiáng)信息科技專業(yè)隊(duì)伍的建設(shè)，建立人才鼓勵機(jī)制。七 確保內(nèi)部審計(jì)部門進(jìn)行獨(dú)立有效的信息科技風(fēng)險(xiǎn)管理審計(jì)，對審計(jì)報(bào)告進(jìn)行確認(rèn)并落實(shí)整改。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀八 每年審閱并向銀監(jiān)會及其派出機(jī)構(gòu)報(bào)送信息科技風(fēng)險(xiǎn)管理的年度報(bào)告。九 確保信息科技風(fēng)險(xiǎn)管理工作所需資金。十 確保銀行所有員工充分理解和遵守經(jīng)其批準(zhǔn)的信息科技風(fēng)險(xiǎn)管理制度和流程，并安排相關(guān)培訓(xùn)。十一 確保本法人機(jī)構(gòu)涉及客戶信息、賬務(wù)信息以及產(chǎn)品信息等的核心系統(tǒng)在中國境內(nèi)獨(dú)立運(yùn)行，并保持最高的管理權(quán)限，符合銀監(jiān)會監(jiān)管和實(shí)施現(xiàn)場檢查的要求，防范跨境風(fēng)險(xiǎn)。十二 及時(shí)向銀監(jiān)會及其派出機(jī)構(gòu)

13、報(bào)告本機(jī)構(gòu)發(fā)生的重大信息科技事故或突發(fā)事件，按相關(guān)預(yù)案快速響應(yīng)。十三 配合銀監(jiān)會及其派出機(jī)構(gòu)做好信息科技風(fēng)險(xiǎn)監(jiān)督檢查工作，并按照監(jiān)管意見進(jìn)行整改。十四 履行信息科技風(fēng)險(xiǎn)管理其他相關(guān)工作。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第八條 商業(yè)銀行應(yīng)設(shè)立首席信息官，直接向行長匯報(bào)，并參與決策。首席信息官的職責(zé)包括：一 直接參與本銀行與信息科技運(yùn)用有關(guān)的業(yè)務(wù)開展決策。二 確保信息科技戰(zhàn)略，尤其是信息系統(tǒng)開發(fā)戰(zhàn)略，符合本銀行的總體業(yè)務(wù)戰(zhàn)略和信息科技風(fēng)險(xiǎn)管理策略。三 負(fù)責(zé)建立一個切實(shí)有效的信息科技部門，承擔(dān)本銀行的信息科技職責(zé)。確保其履行：信息科技預(yù)算和支出、信息科技策略、標(biāo)準(zhǔn)和流程、信息科技內(nèi)部控制、專

14、業(yè)化研發(fā)、信息科技工程發(fā)起和管理、信息系統(tǒng)和信息科技根底設(shè)施的運(yùn)行、維護(hù)和升級、信息平安管理、災(zāi)難恢復(fù)方案、信息科技外包和信息系統(tǒng)退出等職責(zé)。四 確保信息科技風(fēng)險(xiǎn)管理的有效性，并使有關(guān)管理措施落實(shí)到相關(guān)的每一個內(nèi)設(shè)機(jī)構(gòu)和分支機(jī)構(gòu)。五 組織專業(yè)培訓(xùn)，提高人才隊(duì)伍的專業(yè)技能。六 履行信息科技風(fēng)險(xiǎn)管理其他相關(guān)工作。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第九條 商業(yè)銀行應(yīng)對信息科技部門內(nèi)部管理職責(zé)進(jìn)行明確的界定；各崗位的人員應(yīng)具有相應(yīng)的專業(yè)知識和技能，重要崗位應(yīng)制定詳細(xì)完整的工作手冊并適時(shí)更新。對相關(guān)人員應(yīng)采取以下風(fēng)險(xiǎn)防范措施：一 驗(yàn)證個人信息，包括核驗(yàn)有效身份證件、學(xué)歷證明、工作經(jīng)歷和專業(yè)資格證書

15、等信息。二 審核信息科技員工的道德品行，確保其具備相應(yīng)的職業(yè)操守。三 確保員工了解、遵守信息科技策略、指導(dǎo)原那么、信息保密、授權(quán)使用信息系統(tǒng)、信息科技管理制度和流程等要求，并同員工簽訂相關(guān)協(xié)議。四 評估關(guān)鍵崗位信息科技員工流失帶來的風(fēng)險(xiǎn)，做好安排候補(bǔ)員工和崗位接替方案等防范措施；在員工崗位發(fā)生變化后及時(shí)變更相關(guān)信息。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第十條 商業(yè)銀行應(yīng)設(shè)立或指派一個特定部門負(fù)責(zé)信息科技風(fēng)險(xiǎn)管理工作，并直接向首席信息官或首席風(fēng)險(xiǎn)官風(fēng)險(xiǎn)管理委員會報(bào)告工作。該部門應(yīng)為信息科技突發(fā)事件應(yīng)急響應(yīng)小組的成員之一，負(fù)責(zé)協(xié)調(diào)制定有關(guān)信息科技風(fēng)險(xiǎn)管理策略，尤其是在涉及信息平安、業(yè)務(wù)連續(xù)性方

16、案和合規(guī)性風(fēng)險(xiǎn)等方面，為業(yè)務(wù)部門和信息科技部門提供建議及相關(guān)合規(guī)性信息，實(shí)施持續(xù)信息科技風(fēng)險(xiǎn)評估，跟蹤整改意見的落實(shí)，監(jiān)控信息平安威脅和不合規(guī)事件的發(fā)生。第十一條 商業(yè)銀行應(yīng)在內(nèi)部審計(jì)部門設(shè)立專門的信息科技風(fēng)險(xiǎn)審計(jì)崗位，負(fù)責(zé)信息科技審計(jì)制度和流程的實(shí)施，制訂和執(zhí)行信息科技審計(jì)方案，對信息科技整個生命周期和重大事件等進(jìn)行審計(jì)。第十二條 商業(yè)銀行應(yīng)按照知識產(chǎn)權(quán)相關(guān)法律法規(guī)，制定本機(jī)構(gòu)信息科技知識產(chǎn)權(quán)保護(hù)策略和制度，并使所有員工充分理解并遵照執(zhí)行。確保購置和使用合法的軟硬件產(chǎn)品，禁止侵權(quán)盜版；采取有效措施保護(hù)本機(jī)構(gòu)自主知識產(chǎn)權(quán)。第十三條 商業(yè)銀行應(yīng)依據(jù)有關(guān)法律法規(guī)的要求，標(biāo)準(zhǔn)和及時(shí)披露信息科技風(fēng)險(xiǎn)狀

17、況。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀1.?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀新?指引?內(nèi)容解讀第二章 信息科技治理明確提出了信息科技治理的概念明確了信息科技風(fēng)險(xiǎn)管理的責(zé)任人明確了董事會的相關(guān)職責(zé)明確要求商業(yè)銀行應(yīng)設(shè)立或指派一個特定部門負(fù)責(zé)信息科技風(fēng)險(xiǎn)管理工作，并直接向首席信息官或首席風(fēng)險(xiǎn)官風(fēng)險(xiǎn)管理委員會報(bào)告工作。最重要的是明確了商業(yè)銀行風(fēng)險(xiǎn)管理部門、信息科技部門以及內(nèi)部審計(jì)部門在信息科技風(fēng)險(xiǎn)管理中承擔(dān)不同的角色和職責(zé)，互相協(xié)作共同完善信息科技風(fēng)險(xiǎn)管理的架構(gòu)。 ?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第三章 信息科技風(fēng)險(xiǎn)管理第十四條 商業(yè)銀行應(yīng)制定符合銀行總體業(yè)務(wù)規(guī)劃的信息科技戰(zhàn)略、

18、信息科技運(yùn)行方案和信息科技風(fēng)險(xiǎn)評估方案，確保配置足夠人力、財(cái)力資源，維持穩(wěn)定、平安的信息科技環(huán)境。第十五條 商業(yè)銀行應(yīng)制定全面的信息科技風(fēng)險(xiǎn)管理策略，包括但不限于下述領(lǐng)域：一 信息分級與保護(hù)。二 信息系統(tǒng)開發(fā)、測試和維護(hù)。三 信息科技運(yùn)行和維護(hù)。四 訪問控制。五 物理平安。六 人員平安。七 業(yè)務(wù)連續(xù)性方案與應(yīng)急處置。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第十六條 商業(yè)銀行應(yīng)制定持續(xù)的風(fēng)險(xiǎn)識別和評估流程，確定信息科技中存在隱患的區(qū)域，評價(jià)風(fēng)險(xiǎn)對其業(yè)務(wù)的潛在影響，對風(fēng)險(xiǎn)進(jìn)行排序，并確定風(fēng)險(xiǎn)防范措施及所需資源的優(yōu)先級別包括外包供給商、產(chǎn)品供給商和效勞商。第十七條 商業(yè)銀行應(yīng)依據(jù)信息科技風(fēng)險(xiǎn)管理策略

19、和風(fēng)險(xiǎn)評估結(jié)果，實(shí)施全面的風(fēng)險(xiǎn)防范措施。防范措施應(yīng)包括：一 制定明確的信息科技風(fēng)險(xiǎn)管理制度、技術(shù)標(biāo)準(zhǔn)和操作規(guī)程等，定期進(jìn)行更新和公示。二 確定潛在風(fēng)險(xiǎn)區(qū)域，并對這些區(qū)域進(jìn)行詳細(xì)和獨(dú)立的監(jiān)控，實(shí)現(xiàn)風(fēng)險(xiǎn)最小化。建立適當(dāng)?shù)目刂瓶蚣?，以便于檢查和平衡風(fēng)險(xiǎn)；定義每個業(yè)務(wù)級別的控制內(nèi)容，包括：1. 最高權(quán)限用戶的審查。2. 控制對數(shù)據(jù)和系統(tǒng)的物理和邏輯訪問。3. 訪問授權(quán)以“必需知道和“最小授權(quán)為原那么。4. 審批和授權(quán)。5. 驗(yàn)證和調(diào)節(jié)。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第十八條 商業(yè)銀行應(yīng)建立持續(xù)的信息科技風(fēng)險(xiǎn)計(jì)量和監(jiān)測機(jī)制，其中應(yīng)包括：一 建立信息科技工

20、程實(shí)施前及實(shí)施后的評價(jià)機(jī)制。二 建立定期檢查系統(tǒng)性能的程序和標(biāo)準(zhǔn)。三 建立信息科技效勞投訴和事故處理的報(bào)告機(jī)制。四 建立內(nèi)部審計(jì)、外部審計(jì)和監(jiān)管發(fā)現(xiàn)問題的整改處理機(jī)制。五 安排供給商和業(yè)務(wù)部門對效勞水平協(xié)議的完成情況進(jìn)行定期審查。六 定期評估新技術(shù)開展可能造成的影響和已使用軟件面臨的新威脅。七 定期進(jìn)行運(yùn)行環(huán)境下操作風(fēng)險(xiǎn)和管理控制的檢查。八 定期進(jìn)行信息科技外包工程的風(fēng)險(xiǎn)狀況評價(jià)。第十九條 中資商業(yè)銀行在境外設(shè)立的機(jī)構(gòu)及境內(nèi)的外資商業(yè)銀行，應(yīng)當(dāng)遵守境內(nèi)外監(jiān)管機(jī)構(gòu)關(guān)于信息科技風(fēng)險(xiǎn)管理的要求，并防范因監(jiān)管差異所造成的風(fēng)險(xiǎn)。1.?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀新?指引?內(nèi)容解讀第三章 信息科

21、技風(fēng)險(xiǎn)管理明確要求商業(yè)銀行應(yīng)制定符合銀行總體業(yè)務(wù)規(guī)劃的信息科技戰(zhàn)略、信息科技運(yùn)行方案和信息科技風(fēng)險(xiǎn)評估方案，制定全面的信息科技風(fēng)險(xiǎn)管理策略，建立持續(xù)的信息科技風(fēng)險(xiǎn)計(jì)量和監(jiān)測機(jī)制。從信息科技風(fēng)險(xiǎn)管理部門的角度，提出商業(yè)銀行信息科技風(fēng)險(xiǎn)管理的事前控制第一道防線。 ?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第四章 信息平安第二十條 商業(yè)銀行信息科技部門負(fù)責(zé)建立和實(shí)施信息分類和保護(hù)體系，商業(yè)銀行應(yīng)使所有員工都了解信息平安的重要性，并組織提供必要的培訓(xùn)，讓員工充分了解其職責(zé)范圍內(nèi)的信息保護(hù)流程。第二十一條 商業(yè)銀行信息科技部門應(yīng)落實(shí)信息平安管理職能。該職能應(yīng)包括建立

22、信息平安方案和保持長效的管理機(jī)制，提高全體員工信息平安意識，就平安問題向其他部門提供建議，并定期向信息科技管理委員會提交本銀行信息平安評估報(bào)告。信息平安管理機(jī)制應(yīng)包括信息平安標(biāo)準(zhǔn)、策略、實(shí)施方案和持續(xù)維護(hù)方案。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀信息平安策略應(yīng)涉及以下領(lǐng)域：一 平安制度管理。二 信息平安組織管理。三 資產(chǎn)管理。四 人員平安管理。五 物理與環(huán)境平安管理。六 通信與運(yùn)營管理。七 訪問控制管理。八 系統(tǒng)開發(fā)與維護(hù)管理。九 信息平安事故管理。十 業(yè)務(wù)連續(xù)性管理。十一 合規(guī)性管理。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第二十二條 商業(yè)銀行應(yīng)建立有效管理用戶認(rèn)證和訪問控制的流程。用戶

23、對數(shù)據(jù)和系統(tǒng)的訪問必須選擇與信息訪問級別相匹配的認(rèn)證機(jī)制，并且確保其在信息系統(tǒng)內(nèi)的活動只限于相關(guān)業(yè)務(wù)能合法開展所要求的最低限度。用戶調(diào)動到新的工作崗位或離開商業(yè)銀行時(shí)，應(yīng)在系統(tǒng)中及時(shí)檢查、更新或注銷用戶身份。第二十三條 商業(yè)銀行應(yīng)確保設(shè)立物理平安保護(hù)區(qū)域，包括計(jì)算機(jī)中心或數(shù)據(jù)中心、存儲機(jī)密信息或放置網(wǎng)絡(luò)設(shè)備等重要信息科技設(shè)備的區(qū)域，明確相應(yīng)的職責(zé)，采取必要的預(yù)防、檢測和恢復(fù)控制措施。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第二十四條 商業(yè)銀行應(yīng)根據(jù)信息平安級別，將網(wǎng)絡(luò)劃分為不同的邏輯平安域以下簡稱為域。應(yīng)該對以下平安因素進(jìn)行評估，并根據(jù)平安級別定義和評估結(jié)果實(shí)施有效的平安控制，如對每個域和整個

24、網(wǎng)絡(luò)進(jìn)行物理或邏輯分區(qū)、實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)容過濾、邏輯訪問控制、傳輸加密、網(wǎng)絡(luò)監(jiān)控、記錄活動日志等。一 域內(nèi)應(yīng)用程序和用戶組的重要程度。二 各種通訊渠道進(jìn)入域的訪問點(diǎn)。三 域內(nèi)配置的網(wǎng)絡(luò)設(shè)備和應(yīng)用程序使用的網(wǎng)絡(luò)協(xié)議和端口。四 性能要求或標(biāo)準(zhǔn)。五 域的性質(zhì)，如生產(chǎn)域或測試域、內(nèi)部域或外部域。六 不同域之間的連通性。七 域的可信程度。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第二十五條 商業(yè)銀行應(yīng)通過以下措施，確保所有計(jì)算機(jī)操作系統(tǒng)和系統(tǒng)軟件的平安：一 制定每種類型操作系統(tǒng)的根本平安要求，確保所有系統(tǒng)滿足根本平安要求。二 明確定義包括終端用戶、系統(tǒng)開發(fā)人員、系統(tǒng)測試人員、計(jì)算機(jī)操作人員、系統(tǒng)管理員和用戶管理

25、員等不同用戶組的訪問權(quán)限。三 制定最高權(quán)限系統(tǒng)賬戶的審批、驗(yàn)證和監(jiān)控流程，并確保最高權(quán)限用戶的操作日志被記錄和監(jiān)察。四 要求技術(shù)人員定期檢查可用的平安補(bǔ)丁，并報(bào)告補(bǔ)丁管理狀態(tài)。五 在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪問、對用戶賬戶的修改等有關(guān)重要事項(xiàng)，手動或自動監(jiān)控系統(tǒng)出現(xiàn)的任何異常事件，定期匯報(bào)監(jiān)控情況。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第二十六條 商業(yè)銀行應(yīng)通過以下措施，確保所有信息系統(tǒng)的平安：一 明確定義終端用戶和信息科技技術(shù)人員在信息系統(tǒng)平安中的角色和職責(zé)。二 針對信息系統(tǒng)的重要性和敏感程度，采取有效的身份驗(yàn)證方法。三 加強(qiáng)職責(zé)劃分，對關(guān)鍵或敏感崗位進(jìn)行雙重控制。四 在

26、關(guān)鍵的接合點(diǎn)進(jìn)行輸入驗(yàn)證或輸出核對。五 采取平安的方式處理保密信息的輸入和輸出，防止信息泄露或被盜取、篡改。六 確保系統(tǒng)按預(yù)先定義的方式處理例外情況，當(dāng)系統(tǒng)被迫終止時(shí)向用戶提供必要信息。七 以書面或電子格式保存審計(jì)痕跡。八 要求用戶管理員監(jiān)控和審查未成功的登錄和用戶賬戶的修改。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第二十七條 商業(yè)銀行應(yīng)制定相關(guān)策略和流程，管理所有生產(chǎn)系統(tǒng)的活動日志，以支持有效的審核、平安取證分析和預(yù)防欺詐。日志可以在軟件的不同層次、不同的計(jì)算機(jī)和網(wǎng)絡(luò)設(shè)備上完成，日志劃分為兩大類：一 交易日志。交易日志由應(yīng)用軟件和數(shù)據(jù)庫管理系統(tǒng)產(chǎn)生，內(nèi)容包括用戶登錄嘗試、數(shù)據(jù)修改、錯誤信息等

27、。交易日志應(yīng)按照國家會計(jì)準(zhǔn)那么要求予以保存。二 系統(tǒng)日志。系統(tǒng)日志由操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、防火墻、入侵檢測系統(tǒng)和路由器等生成，內(nèi)容包括管理登錄嘗試、系統(tǒng)事件、網(wǎng)絡(luò)事件、錯誤信息等。系統(tǒng)日志保存期限按系統(tǒng)的風(fēng)險(xiǎn)等級確定，但不能少于一年。商業(yè)銀行應(yīng)保證交易日志和系統(tǒng)日志中包含足夠的內(nèi)容，以便完成有效的內(nèi)部控制、解決系統(tǒng)故障和滿足審計(jì)需要；應(yīng)采取適當(dāng)措施保證所有日志同步計(jì)時(shí)，并確保其完整性。在例外情況發(fā)生后應(yīng)及時(shí)復(fù)查系統(tǒng)日志。交易日志或系統(tǒng)日志的復(fù)查頻率和保存周期應(yīng)由信息科技部門和有關(guān)業(yè)務(wù)部門共同決定，并報(bào)信息科技管理委員會批準(zhǔn)。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第二十八條 商業(yè)銀行應(yīng)采取

28、加密技術(shù)，防范涉密信息在傳輸、處理、存儲過程中出現(xiàn)泄露或被篡改的風(fēng)險(xiǎn)，并建立密碼設(shè)備管理制度，以確保：一 使用符合國家要求的加密技術(shù)和加密設(shè)備。二 管理、使用密碼設(shè)備的員工經(jīng)過專業(yè)培訓(xùn)和嚴(yán)格審查。三 加密強(qiáng)度滿足信息機(jī)密性的要求。四 制定并落實(shí)有效的管理流程，尤其是密鑰和證書生命周期管理。第二十九條 商業(yè)銀行應(yīng)配備切實(shí)有效的系統(tǒng)，確保所有終端用戶設(shè)備的平安，并定期對所有設(shè)備進(jìn)行平安檢查，包括臺式個人計(jì)算機(jī)PC、便攜式計(jì)算機(jī)、柜員終端、自動柜員機(jī)ATM、存折打印機(jī)、讀卡器、銷售終端POS和個人數(shù)字助理PDA等。第三十條 商業(yè)銀行應(yīng)制定相關(guān)制度和流程，嚴(yán)格管理客戶信息的采集、處理、存貯、傳輸、分發(fā)

29、、備份、恢復(fù)、清理和銷毀。第三十一條 商業(yè)銀行應(yīng)對所有員工進(jìn)行必要的培訓(xùn)，使其充分掌握信息科技風(fēng)險(xiǎn)管理制度和流程，了解違反規(guī)定的后果，并對違反平安規(guī)定的行為采取零容忍政策。1.?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀新?指引?內(nèi)容解讀第四章 信息平安明確要求信息科技部門負(fù)責(zé)落實(shí)信息平安管理職能，負(fù)責(zé)建立和實(shí)施信息分類和保護(hù)體系，通過建立有效管理用戶認(rèn)證和訪問控制的流程保障業(yè)務(wù)平安，通過設(shè)立物理平安保護(hù)區(qū)域保障物理平安，通過將網(wǎng)絡(luò)劃分為不同的邏輯平安域保障網(wǎng)絡(luò)平安，通過操作系統(tǒng)和系統(tǒng)軟件的平安控制保障系統(tǒng)平安，同時(shí)加強(qiáng)信息系統(tǒng)、終端設(shè)備、傳輸控制、信息保護(hù)等方面的平安明確要求對員工進(jìn)行持續(xù)培訓(xùn)，

30、通過建立信息平安體系，全面控制信息平安方面風(fēng)險(xiǎn)此章是參考了國內(nèi)外信息平安最正確實(shí)踐ISO27000與等級保護(hù)，針對信息科技部門，提出信息科技風(fēng)險(xiǎn)管理的事中控制第二道防線的重要組成局部。 ?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第五章 信息系統(tǒng)開發(fā)、測試和維護(hù)第三十二條 商業(yè)銀行應(yīng)有能力對信息系統(tǒng)進(jìn)行需求分析、規(guī)劃、采購、開發(fā)、測試、部署、維護(hù)、升級和報(bào)廢，制定制度和流程，管理信息科技工程的優(yōu)先排序、立項(xiàng)、審批和控制。工程實(shí)施部門應(yīng)定期向信息科技管理委員會提交重大信息科技工程的進(jìn)度報(bào)告，由其進(jìn)行審核，進(jìn)度報(bào)告應(yīng)當(dāng)包括方案的重大變更、關(guān)鍵人員或供給商的變更以

31、及主要費(fèi)用支出情況。應(yīng)在信息系統(tǒng)投產(chǎn)后一定時(shí)期內(nèi)，組織對系統(tǒng)的后評價(jià)，并根據(jù)評價(jià)結(jié)果及時(shí)對系統(tǒng)功能進(jìn)行調(diào)整和優(yōu)化。第三十三條 商業(yè)銀行應(yīng)認(rèn)識到信息科技工程相關(guān)的風(fēng)險(xiǎn)，包括潛在的各種操作風(fēng)險(xiǎn)、財(cái)務(wù)損失風(fēng)險(xiǎn)和因無效工程規(guī)劃或不適當(dāng)?shù)墓こ坦芾砜刂飘a(chǎn)生的時(shí)機(jī)本錢，并采取適當(dāng)?shù)墓こ坦芾矸椒?，控制信息科技工程相關(guān)的風(fēng)險(xiǎn)。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第三十四條 商業(yè)銀行應(yīng)采取適當(dāng)?shù)南到y(tǒng)開發(fā)方法，控制信息系統(tǒng)的生命周期。典型的系統(tǒng)生命周期包括系統(tǒng)分析、設(shè)計(jì)、開發(fā)或外購、測試、試運(yùn)行、部署、維護(hù)和退出。所采用的系統(tǒng)開發(fā)方法應(yīng)符合信息科技工程的規(guī)模、性質(zhì)和復(fù)雜度。第三十五條 商業(yè)銀行應(yīng)制定相關(guān)控制信息

32、系統(tǒng)變更的制度和流程，確保系統(tǒng)的可靠性、完整性和可維護(hù)性，其中應(yīng)包括以下要求：一 生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)有效隔離。二 生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)的管理職能相別離。三 除得到管理層批準(zhǔn)執(zhí)行緊急修復(fù)任務(wù)外，禁止應(yīng)用程序開發(fā)和維護(hù)人員進(jìn)入生產(chǎn)系統(tǒng)，且所有的緊急修復(fù)活動都應(yīng)立即進(jìn)行記錄和審核。四 將完成開發(fā)和測試環(huán)境的程序或系統(tǒng)配置變更應(yīng)用到生產(chǎn)系統(tǒng)時(shí)，應(yīng)得到信息科技部門和業(yè)務(wù)部門的聯(lián)合批準(zhǔn)，并對變更進(jìn)行及時(shí)記錄和定期復(fù)查。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第三十六條 商業(yè)銀行應(yīng)制定并落實(shí)相關(guān)制度、標(biāo)準(zhǔn)和流程，確保信息系統(tǒng)開發(fā)、測試、維護(hù)過程中數(shù)據(jù)的完整性、保密性和可用性。第三十七條 商

33、業(yè)銀行應(yīng)建立并完善有效的問題管理流程，以確保全面地追蹤、分析和解決信息系統(tǒng)問題，并對問題進(jìn)行記錄、分類和索引；如需供給商提供支持效勞或技術(shù)援助，應(yīng)向相關(guān)人員提供所需的合同和相關(guān)信息，并將過程記錄在案；對完成緊急恢復(fù)起至關(guān)重要作用的任務(wù)和指令集，應(yīng)有清晰的描述和說明，并通知相關(guān)人員。第三十八條 商業(yè)銀行應(yīng)制定相關(guān)制度和流程，控制系統(tǒng)升級過程。當(dāng)設(shè)備到達(dá)預(yù)期使用壽命或性能不能滿足業(yè)務(wù)需求，根底軟件操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件或應(yīng)用軟件必須升級時(shí)，應(yīng)及時(shí)進(jìn)行系統(tǒng)升級，并將該類升級活動納入信息科技工程，接受相關(guān)的管理和控制，包括用戶驗(yàn)收測試。1.?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀新?指引?內(nèi)

34、容解讀第五章 系統(tǒng)開發(fā)、測試與維護(hù)明確要求對信息系統(tǒng)進(jìn)行需求分析、規(guī)劃、采購、開發(fā)、測試、部署、維護(hù)、升級和報(bào)廢，制定制度和流程，采取適當(dāng)?shù)墓こ坦芾矸椒?，控制信息科技工程相關(guān)的風(fēng)險(xiǎn)采取適當(dāng)?shù)南到y(tǒng)開發(fā)方法，控制信息系統(tǒng)的生命周期應(yīng)制定相關(guān)控制信息系統(tǒng)變更的制度和流程，確保系統(tǒng)的可靠性、完整性和可維護(hù)性，應(yīng)制定并落實(shí)相關(guān)制度、標(biāo)準(zhǔn)和流程，確保信息系統(tǒng)開發(fā)、測試、維護(hù)過程中數(shù)據(jù)的完整性、保密性和可用性等具體要求此章是針對軟件開發(fā)與工程實(shí)施部門，提出信息科技風(fēng)險(xiǎn)管理的事中控制第二道防線的重要組成局部 ?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第六章 信息科技運(yùn)行第

35、三十九條 商業(yè)銀行在選擇數(shù)據(jù)中心的地理位置時(shí)，應(yīng)充分考慮環(huán)境威脅如是否接近自然災(zāi)害多發(fā)區(qū)、危險(xiǎn)或有害設(shè)施、繁忙或主要公路，采取物理控制措施，監(jiān)控對信息處理設(shè)備運(yùn)行構(gòu)成威脅的環(huán)境狀況，并防止因意外斷電或供電干擾影響數(shù)據(jù)中心的正常運(yùn)行。第四十條 商業(yè)銀行應(yīng)嚴(yán)格控制第三方人員如效勞供給商進(jìn)入平安區(qū)域，如確需進(jìn)入應(yīng)得到適當(dāng)?shù)呐鷾?zhǔn)，其活動也應(yīng)受到監(jiān)控；針對長期或臨時(shí)聘用的技術(shù)人員和承包商，尤其是從事敏感性技術(shù)相關(guān)工作的人員，應(yīng)制定嚴(yán)格的審查程序，包括身份驗(yàn)證和背景調(diào)查。 第四十一條 商業(yè)銀行應(yīng)將信息科技運(yùn)行與系統(tǒng)開發(fā)和維護(hù)別離，確保信息科技部門內(nèi)部的崗位制約；對數(shù)據(jù)中心的崗位和職責(zé)做出明確規(guī)定。?商業(yè)銀

36、行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第四十二條 商業(yè)銀行應(yīng)按照有關(guān)法律法規(guī)要求保存交易記錄，采取必要的程序和技術(shù)，確保存檔數(shù)據(jù)的完整性，滿足平安保存和可恢復(fù)要求。第四十三條 商業(yè)銀行應(yīng)制定詳盡的信息科技運(yùn)行操作說明。如在信息科技運(yùn)行手冊中說明計(jì)算機(jī)操作人員的任務(wù)、工作日程、執(zhí)行步驟，以及生產(chǎn)與開發(fā)環(huán)境中數(shù)據(jù)、軟件的現(xiàn)場及非現(xiàn)場備份流程和要求即備份的頻率、范圍和保存周期。第四十四條 商業(yè)銀行應(yīng)建立事故管理及處置機(jī)制，及時(shí)響應(yīng)信息系統(tǒng)運(yùn)行事故，逐級向相關(guān)的信息科技管理人員報(bào)告事故的發(fā)生，并進(jìn)行記錄、分析和跟蹤，直到完成徹底的處置和根本原因分析。商業(yè)銀行應(yīng)建立效勞臺，為用戶提供相關(guān)技術(shù)問題的在線支持，并

37、將問題提交給相關(guān)信息科技部門進(jìn)行調(diào)查和解決。第四十五條 商業(yè)銀行應(yīng)建立效勞水平管理相關(guān)的制度和流程，對信息科技運(yùn)行效勞水平進(jìn)行考核。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第四十六條 商業(yè)銀行應(yīng)建立連續(xù)監(jiān)控信息系統(tǒng)性能的相關(guān)程序，及時(shí)、完整地報(bào)告例外情況；該程序應(yīng)提供預(yù)警功能，在例外情況對系統(tǒng)性能造成影響前對其進(jìn)行識別和修正。第四十七條 商業(yè)銀行應(yīng)制定容量規(guī)劃，以適應(yīng)由于外部環(huán)境變化產(chǎn)生的業(yè)務(wù)開展和交易量增長。容量規(guī)劃應(yīng)涵蓋生產(chǎn)系統(tǒng)、備份系統(tǒng)及相關(guān)設(shè)備。第四十八條 商業(yè)銀行應(yīng)及時(shí)進(jìn)行維護(hù)和適當(dāng)?shù)南到y(tǒng)升級，以確保與技術(shù)相關(guān)效勞的連續(xù)可用性，并完整保存記錄包括疑似和實(shí)際的故障、預(yù)防性和補(bǔ)救性維護(hù)記

38、錄，以確保有效維護(hù)設(shè)備和設(shè)施。第四十九條 商業(yè)銀行應(yīng)制定有效的變更管理流程，以確保生產(chǎn)環(huán)境的完整性和可靠性。包括緊急變更在內(nèi)的所有變更都應(yīng)記入日志，由信息科技部門和業(yè)務(wù)部門共同審核簽字，并事先進(jìn)行備份,以便必要時(shí)可以恢復(fù)原來的系統(tǒng)版本和數(shù)據(jù)文件。緊急變更成功后,應(yīng)通過正常的驗(yàn)收測試和變更管理流程,采用恰當(dāng)?shù)男拚匀〈o急變更。1.?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀新?指引?內(nèi)容解讀第六章 信息科技運(yùn)行明確了商業(yè)銀行數(shù)據(jù)中心物理環(huán)境要求、人員崗位職責(zé)要求，并要求商業(yè)銀行制定詳盡的信息科技運(yùn)行操作說明，建立事故管理及處置機(jī)制及時(shí)響應(yīng)信息系統(tǒng)運(yùn)行事故，建立效勞水平管理相關(guān)的制度和流程，建立連續(xù)

39、監(jiān)控信息系統(tǒng)性能的相關(guān)程序，制定容量規(guī)劃應(yīng)及時(shí)進(jìn)行維護(hù)和適當(dāng)?shù)南到y(tǒng)升級，制定有效的變更管理流程以確保生產(chǎn)環(huán)境的完整性和可靠性等此章主要參考了ITIL最正確實(shí)踐，針對數(shù)據(jù)中心與運(yùn)行部門，提出信息科技風(fēng)險(xiǎn)管理的事中控制第二道防線的重要組成局部。 ?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第七章 業(yè)務(wù)連續(xù)性管理第五十條 商業(yè)銀行應(yīng)根據(jù)自身業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度制定適當(dāng)?shù)臉I(yè)務(wù)連續(xù)性規(guī)劃，以確保在出現(xiàn)無法預(yù)見的中斷時(shí)，系統(tǒng)仍能持續(xù)運(yùn)行并提供效勞；定期對規(guī)劃進(jìn)行更新和演練，以保證其有效性。第五十一條 商業(yè)銀行應(yīng)評估因意外事件導(dǎo)致其業(yè)務(wù)運(yùn)行中斷的可能性及其影響，包括

40、評估可能由下述原因?qū)е碌钠茐模阂?內(nèi)外部資源的故障或缺失如人員、系統(tǒng)或其他資產(chǎn)。二 信息喪失或受損。三 外部事件如戰(zhàn)爭、地震或臺風(fēng)等。第五十二條 商業(yè)銀行應(yīng)采取系統(tǒng)恢復(fù)和雙機(jī)熱備處理等措施降低業(yè)務(wù)中斷的可能性，并通過應(yīng)急安排和保險(xiǎn)等方式降低影響。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第五十三條 商業(yè)銀行應(yīng)建立維持其運(yùn)營連續(xù)性策略的文檔，并制定對策略的充分性和有效性進(jìn)行檢查和溝通的方案。其中包括：一標(biāo)準(zhǔn)的業(yè)務(wù)連續(xù)性方案,明確降低短期、中期和長期中斷所造成影響的措施，包括但不限于:1資源需求如人員、系統(tǒng)和其他資產(chǎn)以及獲取資源的方式。2運(yùn)行恢復(fù)的優(yōu)先順序。3與內(nèi)部各部門及外部相關(guān)各方尤其是監(jiān)管機(jī)構(gòu)

41、、客戶和媒體等的溝通安排。二更新實(shí)施業(yè)務(wù)連續(xù)性方案的流程及相關(guān)聯(lián)系信息。三驗(yàn)證受中斷影響的信息完整性的步驟。四當(dāng)商業(yè)銀行的業(yè)務(wù)或風(fēng)險(xiǎn)狀況發(fā)生變化時(shí)，對本條一到三進(jìn)行審核并升級。第五十四條 商業(yè)銀行的業(yè)務(wù)連續(xù)性方案和年度應(yīng)急演練結(jié)果應(yīng)由信息科技風(fēng)險(xiǎn)管理部門或信息科技管理委員會確認(rèn)。1.?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀新?指引?內(nèi)容解讀第七章 業(yè)務(wù)連續(xù)性管理明確要求商業(yè)銀行根據(jù)自身業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度制定適當(dāng)?shù)臉I(yè)務(wù)連續(xù)性規(guī)劃，以確保在出現(xiàn)無法預(yù)見的中斷時(shí)，系統(tǒng)仍能持續(xù)運(yùn)行并提供效勞；定期對規(guī)劃進(jìn)行更新和演練，以保證其有效性。此章主要參考了BCP最正確實(shí)踐，針對業(yè)務(wù)運(yùn)營部門，提出信息科

42、技風(fēng)險(xiǎn)管理的事中控制第二道防線的重要組成局部。 ?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第八章 外 包第五十五條 商業(yè)銀行不得將其信息科技管理責(zé)任外包，應(yīng)合理謹(jǐn)慎監(jiān)督外包職能的履行。第五十六條 商業(yè)銀行實(shí)施重要外包如數(shù)據(jù)中心和信息科技根底設(shè)施等)應(yīng)格外謹(jǐn)慎，在準(zhǔn)備實(shí)施重要外包時(shí)應(yīng)以書面材料正式報(bào)告銀監(jiān)會或其派出機(jī)構(gòu)。第五十七條 商業(yè)銀行在簽署外包協(xié)議或?qū)ν獍鼌f(xié)議進(jìn)行重大變更前，應(yīng)做好相關(guān)準(zhǔn)備，其中包括：一 分析外包是否適合商業(yè)銀行的組織結(jié)構(gòu)和報(bào)告路線、業(yè)務(wù)戰(zhàn)略、總體風(fēng)險(xiǎn)控制，是否滿足商業(yè)銀行履行對外包效勞商的監(jiān)督義務(wù)。二 考慮外包協(xié)議是否允許商業(yè)銀行監(jiān)測

43、和控制與外包相關(guān)的操作風(fēng)險(xiǎn)。三 充分審查、評估外包效勞商的財(cái)務(wù)穩(wěn)定性和專業(yè)經(jīng)驗(yàn)，對外包效勞商進(jìn)行風(fēng)險(xiǎn)評估，考查其設(shè)施和能力是否足以承擔(dān)相應(yīng)的責(zé)任。四 考慮外包協(xié)議變更前后實(shí)施的平穩(wěn)過渡包括終止合同可能發(fā)生的情況。五 關(guān)注可能存在的集中風(fēng)險(xiǎn)，如多家商業(yè)銀行共用同一外包效勞商帶來的潛在業(yè)務(wù)連續(xù)性風(fēng)險(xiǎn)。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第五十八條 商業(yè)銀行在與外包效勞商合同談判過程中，應(yīng)考慮的因素包括但不限于：一 對外包效勞商的報(bào)告要求和談判必要條件。二 銀行業(yè)監(jiān)管機(jī)構(gòu)和內(nèi)部審計(jì)、外部審計(jì)能執(zhí)行足夠的監(jiān)督。三 通過界定信息所有權(quán)、簽署保密協(xié)議和采取技術(shù)防護(hù)措施保護(hù)客戶信息和其他信息。四 擔(dān)保和

44、損失賠償是否充足。五 外包效勞商遵守商業(yè)銀行有關(guān)信息科技風(fēng)險(xiǎn)制度和流程的意愿及相關(guān)措施。六 外包效勞商提供的業(yè)務(wù)連續(xù)性保障水平，以及提供相關(guān)專屬資源的承諾。七 第三方供給商出現(xiàn)問題時(shí)，保證軟件持續(xù)可用的相關(guān)措施。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀八 變更外包協(xié)議的流程，以及商業(yè)銀行或外包效勞商選擇變更或終止外包協(xié)議的條件，例如：1. 商業(yè)銀行或外包效勞商的所有權(quán)或控制權(quán)發(fā)生變化。2. 商業(yè)銀行或外包效勞商的業(yè)務(wù)經(jīng)營發(fā)生重大變化。3. 外包效勞商提供的效勞不充分，造成商業(yè)銀行不能履行監(jiān)督義務(wù)。第五十九條 商業(yè)銀行在實(shí)施雙方關(guān)系管理，以及起草效勞水平協(xié)議時(shí)，應(yīng)考慮的因素包括但不限于：一 提出

45、定性和定量的績效指標(biāo)，評估外包效勞商為商業(yè)銀行及其相關(guān)客戶提供效勞的充分性。二 通過效勞水平報(bào)告、定期自我評估、內(nèi)部或外部獨(dú)立審計(jì)進(jìn)行績效考核。三 針對績效不達(dá)標(biāo)的情況調(diào)整流程，采取整改措施。?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第六十條 商業(yè)銀行應(yīng)加強(qiáng)信息科技相關(guān)外包管理工作，確保商業(yè)銀行的客戶資料等敏感信息的平安，包括但不限于采取以下措施：一 實(shí)現(xiàn)本銀行客戶資料與外包效勞商其他客戶資料的有效隔離。二 按照“必需知道和“最小授權(quán)原那么對外包效勞商相關(guān)人員授權(quán)。三 要求外包效勞商保證其相關(guān)人員遵守保密規(guī)定。四 應(yīng)將涉及本銀行客戶資料的外包作為重要外包，并告知相關(guān)客戶。五 嚴(yán)格控制外包效勞商再

46、次對外轉(zhuǎn)包，采取足夠措施確保商業(yè)銀行相關(guān)信息的平安。六 確保在中止外包協(xié)議時(shí)收回或銷毀外包效勞商保存的所有客戶資料。第六十一條 商業(yè)銀行應(yīng)建立恰當(dāng)?shù)膽?yīng)急措施，應(yīng)對外包效勞商在效勞中可能出現(xiàn)的重大缺失。尤其需要考慮外包效勞商的重大資源損失，重大財(cái)務(wù)損失和重要人員的變動，以及外包協(xié)議的意外終止。第六十二條 商業(yè)銀行所有信息科技外包合同應(yīng)由信息科技風(fēng)險(xiǎn)管理部門、法律部門和信息科技管理委員會審核通過。商業(yè)銀行應(yīng)設(shè)立流程定期審閱和修訂效勞水平協(xié)議。1.?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀新?指引?內(nèi)容解讀第八章 外包管理明確商業(yè)銀行不得將其信息科技管理責(zé)任外包，應(yīng)合理謹(jǐn)慎監(jiān)督外包職能的履行針對外包方選擇、外包談判、外包協(xié)議，外包執(zhí)行中的信息平安等方面提出了明確要求此章是針對商業(yè)銀行各部門的外包合作，提出信息科技風(fēng)險(xiǎn)管理的事中控制第二道防線的重要組成局部。 ?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀?商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引?內(nèi)容解讀第九章 內(nèi)部審計(jì)第六十三條 商業(yè)銀行內(nèi)部審計(jì)部門應(yīng)根據(jù)業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度，對相關(guān)系統(tǒng)及其控制的適當(dāng)性和有效性進(jìn)行監(jiān)測。內(nèi)部審計(jì)部門應(yīng)配備足夠的資源和具有專業(yè)能力的信息科技審計(jì)人員，獨(dú)立于本銀行的日?；顒?，具有適當(dāng)?shù)氖跈?quán)訪問本銀行的記錄。第六十四條 商業(yè)銀行內(nèi)部信息科技審計(jì)的責(zé)任包括：一 制定、實(shí)施和調(diào)整審計(jì)方案，檢查和評