金融業(yè)信息科技風(fēng)險(xiǎn)的管理

信息科技風(fēng)險(xiǎn)管理方法

第一章總那么

第一條為有效防范運(yùn)用信息系統(tǒng)進(jìn)展業(yè)務(wù)處理、經(jīng)營(yíng)管理

和內(nèi)部控制過(guò)程中產(chǎn)生的風(fēng)險(xiǎn)，促進(jìn)我行各項(xiàng)業(yè)務(wù)平安、持續(xù)、

穩(wěn)健運(yùn)行，根據(jù)？中華人民共和國(guó)銀行業(yè)監(jiān)視管理法?、？中華人民

共和國(guó)商業(yè)銀行法？、？商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引？、？營(yíng)口

沿海銀操作風(fēng)險(xiǎn)管理指引？，以及國(guó)家信息平安相關(guān)要求和有關(guān)法

律法規(guī)，制定本管理方法。

第二條本管理方法所稱信息科技是指計(jì)算機(jī)、通信、微電

子和軟件工程等現(xiàn)代信息技術(shù)，在我行業(yè)務(wù)交易處理、經(jīng)營(yíng)管理

和內(nèi)部控制等方面的應(yīng)用，并包括進(jìn)展信息科技治理，建立完整

的管理組織架構(gòu)，制訂完善的管理制度和流程。

第三條本管理方法所稱信息科技風(fēng)險(xiǎn)，是指信息科技在我

行運(yùn)用過(guò)程中，由于自然因素、人為因素、技術(shù)漏洞和管理缺陷

產(chǎn)生的操作、法律和聲譽(yù)等風(fēng)險(xiǎn)。

第四條信息科技風(fēng)險(xiǎn)管理的目標(biāo)是通過(guò)建立有效的機(jī)制，

實(shí)現(xiàn)對(duì)我行信息科技風(fēng)險(xiǎn)的識(shí)別、計(jì)量、監(jiān)測(cè)和控制，促進(jìn)我行

平安、持續(xù)、穩(wěn)健運(yùn)行，推動(dòng)業(yè)務(wù)創(chuàng)新，提高信息技術(shù)使用水平,

增強(qiáng)核心競(jìng)爭(zhēng)力和可持續(xù)開展能力。

第二章機(jī)構(gòu)職責(zé)

第五條根據(jù)我行信息科技治理的要求，法定代表人是本機(jī)

構(gòu)信息科技風(fēng)險(xiǎn)管理的第一責(zé)任人，負(fù)責(zé)組織本管理方法的貫徹

落實(shí)，董事會(huì)應(yīng)履行以下信息科技管理職責(zé)：

（一）遵守并貫徹執(zhí)行國(guó)家有關(guān)信息科技管理的法律、法規(guī)和

技術(shù)標(biāo)準(zhǔn)，落實(shí)中國(guó)銀行業(yè)監(jiān)視管理委員會(huì)（以下簡(jiǎn)稱銀監(jiān)會(huì)）相

關(guān)監(jiān)管要求。

（二）審查批準(zhǔn)信息科技戰(zhàn)略，確保其與銀行的總體業(yè)務(wù)戰(zhàn)略

和重大策略相一致。評(píng)估信息科技及其風(fēng)險(xiǎn)管理工作的總體效果和

效率。

（三）掌握主要的信息科技風(fēng)險(xiǎn)，確定可承受的風(fēng)險(xiǎn)級(jí)別，確

保相關(guān)風(fēng)險(xiǎn)能夠被識(shí)別、計(jì)量、監(jiān)測(cè)和控制。

（四）標(biāo)準(zhǔn)職業(yè)道德行為和廉潔標(biāo)準(zhǔn)，增強(qiáng)內(nèi)部文化建立，提

高全體人員對(duì)信息科技風(fēng)險(xiǎn)管理重要性的認(rèn)識(shí)。

（五）設(shè)立一個(gè)由來(lái)自高級(jí)管理層、信息科技部門和主要業(yè)務(wù)

部門的代表組成的專門信息科技管理委員會(huì)，負(fù)責(zé)監(jiān)視各項(xiàng)職責(zé)的

落實(shí)，定期向董事會(huì)和高級(jí)管理層匯報(bào)信息科技戰(zhàn)略規(guī)劃的執(zhí)行、

信息科技預(yù)算和實(shí)際支出、信息科技的整體狀況。

（六）在建立良好的公司治理的根底上進(jìn)展信息科技治理，形

成分工合理、職責(zé)明確、相互制衡、報(bào)告關(guān)系清晰的信息科技治理

組織構(gòu)造。加強(qiáng)信息科技專業(yè)隊(duì)伍的建立，建立人才鼓勵(lì)機(jī)制。

（七）確保內(nèi)部審計(jì)部門進(jìn)展獨(dú)立有效的信息科技風(fēng)險(xiǎn)管理

審計(jì)，對(duì)審計(jì)報(bào)告進(jìn)展確認(rèn)并落實(shí)整改。

（八）每年審閱并向銀監(jiān)會(huì)及其派出機(jī)構(gòu)報(bào)送信息科技風(fēng)險(xiǎn)

管理的年度報(bào)告。

（九）確保信息科技風(fēng)險(xiǎn)管理工作所需資金。

（十）確保銀行所有員工充分理解和遵守經(jīng)其批準(zhǔn)的信息科

技風(fēng)險(xiǎn)管理制度和流程，并安排相關(guān)培訓(xùn)。

（十一）確保本法人機(jī)構(gòu)涉及客戶信息、賬務(wù)信息以及產(chǎn)品

信息等的核心系統(tǒng)在中國(guó)境內(nèi)獨(dú)立運(yùn)行，并保持最高的管理權(quán)限，

符合銀監(jiān)會(huì)監(jiān)管和實(shí)施現(xiàn)場(chǎng)檢查的要求，防范跨境風(fēng)險(xiǎn)。

（十二）及時(shí)向銀監(jiān)會(huì)及其派出機(jī)構(gòu)報(bào)告本機(jī)構(gòu)發(fā)生的重大

信息科技事故或突發(fā)事件，按相關(guān)預(yù)案快速響應(yīng)。

（十三）配合銀監(jiān)會(huì)及其派出機(jī)構(gòu)做好信息科技風(fēng)險(xiǎn)監(jiān)視檢

查工作，并按照監(jiān)管意見(jiàn)進(jìn)展整改。

（十四）履行信息科技風(fēng)險(xiǎn)管理其他相關(guān)工作。

第六條我行應(yīng)設(shè)立分管信息科技的副行級(jí)領(lǐng)導(dǎo)，直接向行

長(zhǎng)匯報(bào)，并參與決策。副行級(jí)領(lǐng)導(dǎo)的職責(zé)包括：

（-）直接參與本銀行與信息科技運(yùn)用有關(guān)的業(yè)務(wù)開展決策。

（三）確保員工了解、遵守信息科技策略、指導(dǎo)原那么、信息

保密、授權(quán)使用信息系統(tǒng)、信息科技管理制度和流程等要求，并同

員工簽訂相關(guān)協(xié)議。

（四）評(píng)估關(guān)鍵崗位信息科技員工流失帶來(lái)的風(fēng)險(xiǎn)，做好安排

候補(bǔ)員工和崗位接替方案等防范措施；在員工崗位發(fā)生變化后及時(shí)

變更相關(guān)信息。

第八條運(yùn)營(yíng)管理部職能穿插，要部門協(xié)調(diào)是信息系統(tǒng)中涉

及賬務(wù)交易的操作、系統(tǒng)參數(shù)變更、事件管理的主要部門。運(yùn)營(yíng)

管理部的職責(zé)包括：

（-）運(yùn)行與維護(hù)應(yīng)實(shí)行職責(zé)別離，運(yùn)行人員應(yīng)實(shí)行專職，不

得由其他人員兼任。運(yùn)行人員應(yīng)按操作規(guī)程巡檢和操作。維護(hù)人員

應(yīng)按授權(quán)和維護(hù)規(guī)程要求對(duì)生產(chǎn)狀態(tài)的軟硬件、數(shù)據(jù)進(jìn)展維護(hù)，除

應(yīng)急外，其他維護(hù)應(yīng)在非工作時(shí)間進(jìn)展。

（二）制定詳細(xì)的運(yùn)行值班操作表，包括規(guī)定巡檢時(shí)間，操作

范圍、內(nèi)容、方法、命令以及負(fù)責(zé)人員等信息。

（三）提供機(jī)房環(huán)境、設(shè)備使用、網(wǎng)絡(luò)運(yùn)行、系統(tǒng)運(yùn)行職能穿

插，要部門協(xié)調(diào)等監(jiān)控信息。

（四）記錄運(yùn)行值班過(guò)程中所有現(xiàn)象、操作過(guò)程等信息日志。

（五）對(duì)軟件或數(shù)據(jù)的維護(hù)必須通過(guò)特定的應(yīng)用程序進(jìn)展，添

加、刪除和修改數(shù)據(jù)應(yīng)通過(guò)柜員終端，不得對(duì)數(shù)據(jù)庫(kù)進(jìn)展直接操作;

（六）具備各種詳細(xì)的日志信息，包括交易日志和審計(jì)日志

等，以便維護(hù)和審計(jì)。

（七）提供維護(hù)的統(tǒng)計(jì)和報(bào)表打印功能。

（八）對(duì)系統(tǒng)參數(shù)等設(shè)置變更、維護(hù)的要求：

1、應(yīng)對(duì)信息系統(tǒng)配置參數(shù)實(shí)施嚴(yán)格的平安與保密管理，防止

非法生成、變更、泄漏、喪失與破壞。根據(jù)敏感程度和用途，確定

存取權(quán)限、方式和授權(quán)使用范圍，嚴(yán)格審批和登記手續(xù)。

2、制訂嚴(yán)密的變更處理流程，明確變更控制中各崗位的職責(zé),

并遵循流程實(shí)施控制和管理；變更前應(yīng)明確應(yīng)急和回退方案，無(wú)授

權(quán)不得進(jìn)展變更操作；

3、根據(jù)變更需求、變更方案、變更內(nèi)容核實(shí)清單等相關(guān)文檔

審核變更的正確性、平安性和合法性。職能穿插，要部門協(xié)調(diào)

（九）應(yīng)對(duì)機(jī)房環(huán)境設(shè)施實(shí)行日常巡檢，明確信息系統(tǒng)及機(jī)房

環(huán)境設(shè)施出現(xiàn)故障時(shí)的應(yīng)急處理流程和預(yù)案，有實(shí)時(shí)交易效勞的數(shù)

據(jù)中心應(yīng)實(shí)行24小時(shí)值班。

（十）實(shí)行事件報(bào)告制度，發(fā)生信息系統(tǒng)造成重大經(jīng)濟(jì)、聲譽(yù)

損失和重大影響事件，應(yīng)即時(shí)上報(bào)并處理，必要時(shí)啟動(dòng)應(yīng)急處理預(yù)

案。

第九條風(fēng)險(xiǎn)管理部負(fù)責(zé)信息科技風(fēng)險(xiǎn)管理工作，并直接向

分管行領(lǐng)導(dǎo)（風(fēng)險(xiǎn)管理委員會(huì)）報(bào)告工作。該部門應(yīng)為信息科技

突發(fā)事件應(yīng)急響應(yīng)小組的成員之一，負(fù)責(zé)協(xié)調(diào)制定有關(guān)信息科技

風(fēng)險(xiǎn)管理策略，尤其是在涉及信息平安、業(yè)務(wù)連續(xù)性方案和合規(guī)

性風(fēng)險(xiǎn)等方面，為業(yè)務(wù)部門和信息科技部門提供建議及相關(guān)合規(guī)

性信息，實(shí)施持續(xù)信息科技風(fēng)險(xiǎn)評(píng)估，跟蹤整改意見(jiàn)的落實(shí)，監(jiān)

控信息平安威脅和不合規(guī)事件的發(fā)生。風(fēng)險(xiǎn)管理部的職責(zé)包括：

（一）擬定信息系統(tǒng)風(fēng)險(xiǎn)管理總體政策，并提交高級(jí)管理層審

查、審批。

（二）會(huì)同相關(guān)業(yè)務(wù)部門對(duì)信息系統(tǒng)風(fēng)險(xiǎn)進(jìn)展識(shí)別、監(jiān)測(cè)；

（三）審核信息系統(tǒng)風(fēng)險(xiǎn)狀況。對(duì)總行相關(guān)業(yè)務(wù)部門和分支機(jī)

構(gòu)信息系統(tǒng)風(fēng)險(xiǎn)狀況及維護(hù)、運(yùn)行情況進(jìn)展監(jiān)測(cè)，并進(jìn)展實(shí)時(shí)報(bào)告。

（四）組織新投產(chǎn)后信息系統(tǒng)的后評(píng)價(jià)，并識(shí)別、評(píng)估新信息

系統(tǒng)中所包含的風(fēng)險(xiǎn)，審核相應(yīng)的操作和風(fēng)險(xiǎn)管理程序。

第十條稽核審計(jì)部應(yīng)在部門設(shè)立專門的信息科技風(fēng)險(xiǎn)審計(jì)

崗位，負(fù)責(zé)信息科技審計(jì)制度和流程的實(shí)施，制訂和執(zhí)行信息科

技審計(jì)方案，對(duì)信息科技整個(gè)生命周期和重大事件等進(jìn)展審計(jì)。

稽核審計(jì)部負(fù)責(zé)我行信息系統(tǒng)審計(jì)任務(wù)，也可聘請(qǐng)經(jīng)國(guó)家相應(yīng)監(jiān)

管部門認(rèn)定資質(zhì)的中介機(jī)構(gòu)進(jìn)展信息系統(tǒng)外部審計(jì)。

第三章信息科技風(fēng)險(xiǎn)管理

第十一條我行應(yīng)制定全面的信息科技風(fēng)險(xiǎn)管理策略，包括但

不限于下述領(lǐng)域：

（一）信息分級(jí)與保護(hù)。

（-）信息系統(tǒng)開發(fā)、測(cè)試和維護(hù)。

（三）信息科技運(yùn)行和維護(hù)。

（四）訪問(wèn)控制。

（五）物理平安。

（六）人員平安。

（七）業(yè)務(wù)連續(xù)性方案與應(yīng)急處置。

第十二條我行應(yīng)制定持續(xù)的風(fēng)險(xiǎn)識(shí)別和評(píng)估流程，確定信息

科技中存在隱患的區(qū)域，評(píng)價(jià)風(fēng)險(xiǎn)對(duì)其業(yè)務(wù)的潛在影響，對(duì)風(fēng)險(xiǎn)

進(jìn)展排序，并確定風(fēng)險(xiǎn)防范措施及所需資源的優(yōu)先級(jí)別（包括外

包供給商、產(chǎn)品供給商和效勞商）。

第十三條我行應(yīng)依據(jù)信息科技風(fēng)險(xiǎn)管理策略和風(fēng)險(xiǎn)評(píng)估結(jié)

果，實(shí)施全面的風(fēng)險(xiǎn)防范措施。防范措施應(yīng)包括：

（一）制定明確的信息科技風(fēng)險(xiǎn)管理制度、技術(shù)標(biāo)準(zhǔn)和操作規(guī)

程等,定期進(jìn)展更新和公示。

（-）確定潛在風(fēng)險(xiǎn)區(qū)域，并對(duì)這些區(qū)域進(jìn)展詳細(xì)和獨(dú)立的監(jiān)

控，實(shí)現(xiàn)風(fēng)險(xiǎn)最小化。建立適當(dāng)?shù)目刂瓶蚣埽员阌跈z查和平衡風(fēng)

險(xiǎn)；定義每個(gè)業(yè)務(wù)級(jí)別的控制內(nèi)容，包括：

1、最高權(quán)限用戶的審查。

2、控制對(duì)數(shù)據(jù)和系統(tǒng)的物理和邏輯訪問(wèn)。

3、訪問(wèn)授權(quán)以“必需知道〃和“最小授權(quán)〃為原那么。

4、審批和授權(quán)。

5、驗(yàn)證和調(diào)節(jié)。

第十四條我行應(yīng)建立持續(xù)的信息科技風(fēng)險(xiǎn)計(jì)量和監(jiān)測(cè)機(jī)制，

其中應(yīng)包括：

（一）建立信息科技工程實(shí)施前及實(shí)施后的評(píng)價(jià)機(jī)制。

（二）建立定期檢查系統(tǒng)性能的程序和標(biāo)準(zhǔn)。

（三）建立信息科技效勞投訴和事故處理的報(bào)告機(jī)制。

（四）建立內(nèi)部審計(jì)、外部審計(jì)和監(jiān)管發(fā)現(xiàn)問(wèn)題的整改處理機(jī)

制。

（五）安排供給商和業(yè)務(wù)部門對(duì)效勞水平協(xié)議的完成情況進(jìn)

展定期審查。

（六）定期評(píng)估新技術(shù)開展可能造成的影響和已使用軟件面

臨的新威脅

（七）定期進(jìn)展運(yùn)行環(huán)境下操作風(fēng)險(xiǎn)和管理控制的檢查。

（A）定期進(jìn)展信息科技外包工程的風(fēng)險(xiǎn)狀況評(píng)價(jià)。

第四章信息平安

第十五條科技部負(fù)責(zé)建立和實(shí)施信息分類和保護(hù)體系，應(yīng)使

所有員工都了解信息平安的重要性，并組織提供必要的培訓(xùn)，讓

員工充分了解其職責(zé)范圍內(nèi)的信息保護(hù)流程。

第十六條科技部應(yīng)落實(shí)信息平安管理職能。該職能應(yīng)包括建

立信息平安方案和保持長(zhǎng)效的管理機(jī)制，提高全體員工信息平安

意識(shí)，就平安問(wèn)題向其他部門提供建議，并定期向信息科技管理

委員會(huì)提交本銀行信息平安評(píng)估報(bào)告。信息平安管理機(jī)制應(yīng)包括

信息平安標(biāo)準(zhǔn)、策略、實(shí)施方案和持續(xù)維護(hù)方案。信息平安策略

應(yīng)涉及以下領(lǐng)域：

（-）平安制度管理。

（二）信息平安組織管理。

（三）資產(chǎn)管理。

（四）人員平安管理。

（五）物理與環(huán)境平安管理。

（六）通信與運(yùn)營(yíng)管理。

（七）訪問(wèn)控制管理。

（八）系統(tǒng)開發(fā)與維護(hù)管理。

（九）信息平安事故管理。

（十）業(yè)務(wù)連續(xù)性管理。

（十一）合規(guī)性管理。

第十七條應(yīng)建立有效管理用戶認(rèn)證和訪問(wèn)控制的流程。用戶

對(duì)數(shù)據(jù)和系統(tǒng)的訪問(wèn)必須選擇與信息訪問(wèn)級(jí)別相匹配的認(rèn)證機(jī)

制，并且確保其在信息系統(tǒng)內(nèi)的活動(dòng)只限于相關(guān)業(yè)務(wù)能合法開展

所要求的最低限度。用戶調(diào)動(dòng)到新的工作崗位或離開我行時(shí)，應(yīng)

在系統(tǒng)中及時(shí)檢查、更新或注銷用戶身份。

第十八條應(yīng)確保設(shè)立物理平安保護(hù)區(qū)域，包括計(jì)算機(jī)中心或

數(shù)據(jù)中心、存儲(chǔ)機(jī)密信息或放置網(wǎng)絡(luò)設(shè)備等重要信息科技設(shè)備的

區(qū)域，明確相應(yīng)的職責(zé)，采取必要的預(yù)防、檢測(cè)和恢復(fù)控制措施。

第十九條應(yīng)根據(jù)信息平安級(jí)別，將網(wǎng)絡(luò)劃分為不同的邏輯平

安域（以下簡(jiǎn)稱為域）。應(yīng)該對(duì)以下平安因素進(jìn)展評(píng)估，并根據(jù)

平安級(jí)別定義和評(píng)估結(jié)果實(shí)施有效的平安控制，如對(duì)每個(gè)域和整

個(gè)網(wǎng)絡(luò)進(jìn)展物理或邏輯分區(qū)、實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)容過(guò)濾、邏輯訪問(wèn)控制、

傳輸加密、網(wǎng)絡(luò)監(jiān)控、記錄活動(dòng)日志等。

（-）域內(nèi)應(yīng)用程序和用戶組的重要程度。

（-）各種通訊渠道進(jìn)入域的訪問(wèn)點(diǎn)。

（三）域內(nèi)配置的網(wǎng)絡(luò)設(shè)備和應(yīng)用程序使用的網(wǎng)絡(luò)協(xié)議和端

口。

（四）性能要求或標(biāo)準(zhǔn)。

（五）域的性質(zhì)，如生產(chǎn)域或測(cè)試域、內(nèi)部域或外部域。

（六）不同域之間的連通性。

（七）域的可信程度。

第二十條應(yīng)通過(guò)以下措施，確保所有計(jì)算機(jī)操作系統(tǒng)和系統(tǒng)

軟件的平安：

（-）制定每種類型操作系統(tǒng)的根本平安要求，確保所有系統(tǒng)

滿足根本平安要求。

（二）明確定義包括終端用戶、系統(tǒng)開發(fā)人員、系統(tǒng)測(cè)試人員、

計(jì)算機(jī)操作人員、系統(tǒng)管理員和用戶管理員等不同用戶組的訪問(wèn)權(quán)

限。

（三）制定最高權(quán)限系統(tǒng)賬戶的審批、驗(yàn)證和監(jiān)控流程，并確

保最高權(quán)限用戶的操作日志被記錄和監(jiān)察。

（四）要求技術(shù)人員定期檢查可用的平安補(bǔ)丁，并報(bào)告補(bǔ)丁管

理狀態(tài)。

（五）在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪

問(wèn)、對(duì)用戶賬戶的修改等有關(guān)重要事項(xiàng)，手動(dòng)或自動(dòng)監(jiān)控系統(tǒng)出現(xiàn)

的任何異常事件，定期匯報(bào)監(jiān)控情況。

第二十一條應(yīng)通過(guò)以下措施，確保所有信息系統(tǒng)平安：

（-）明確定義終端用戶和信息科技技術(shù)人員在信息系統(tǒng)平

安中的角色和職責(zé)。

（二）針對(duì)信息系統(tǒng)的重要性和敏感程度，采取有效的身份驗(yàn)

證方法。

（三）加強(qiáng)職責(zé)劃分，對(duì)關(guān)鍵或敏感崗位進(jìn)展雙重控制。

（四）在關(guān)鍵的接合點(diǎn)進(jìn)展輸入驗(yàn)證或輸出核對(duì)。

（五）采取平安的方式處理保密信息的輸入和輸出，防止信息

泄露或被盜取、篡改。

（六）確保系統(tǒng)按預(yù)先定義的方式處理例外情況，當(dāng)系統(tǒng)被迫

終止時(shí)向用戶提供必要信息。

（七）以書面或電子格式保存審計(jì)痕跡。

（八）要求用戶管理員監(jiān)控和審查未成功的登錄和用戶賬戶

的修改。

第二十二條應(yīng)制定相關(guān)策略和流程，管理所有生產(chǎn)系統(tǒng)的

活動(dòng)日志，以支持有效的審核、平安取證分析和預(yù)防欺詐。日志

可以在軟件的不同層次、不同的計(jì)算機(jī)和網(wǎng)絡(luò)設(shè)備上完成，日志

劃分為兩大類：

（-）交易日志。交易日志由應(yīng)用軟件和數(shù)據(jù)庫(kù)管理系統(tǒng)產(chǎn)

生，內(nèi)容包括用戶登錄嘗試、數(shù)據(jù)修改、錯(cuò)誤信息等。交易日志應(yīng)

按照國(guó)家會(huì)計(jì)準(zhǔn)那么要求予以保存。

（二）系統(tǒng)日志。系統(tǒng)口志由操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)、防

火墻、入侵檢測(cè)系統(tǒng)和路由器等生成，內(nèi)容包括管理登錄嘗試、系

統(tǒng)事件、網(wǎng)絡(luò)事件、錯(cuò)誤信息等。系統(tǒng)日志保存期限按系統(tǒng)的風(fēng)險(xiǎn)

等級(jí)確定，但不能少于一年。

第二十三條應(yīng)保證交易日志和系統(tǒng)日志中包含足夠的內(nèi)

容，以便完成有效的內(nèi)部控制、解決系統(tǒng)故障和滿足審計(jì)需要；

應(yīng)采取適當(dāng)措施保證所有日志同步計(jì)時(shí)，并確保其完整性。在例

外情況發(fā)生后應(yīng)及時(shí)復(fù)查系統(tǒng)日志。交易日志或系統(tǒng)日志的復(fù)查

頻率和保存周期應(yīng)由信息科技部門和有關(guān)業(yè)務(wù)部門共同決定，并

報(bào)信息科技管理委員會(huì)批準(zhǔn)。

第二十四條應(yīng)采取加密技術(shù)，防范涉密信息在傳輸、處理、

存儲(chǔ)過(guò)程中出現(xiàn)泄露或被篡改的風(fēng)險(xiǎn)，并建立密碼設(shè)備管理制度,

以確保：

（一）使用符合國(guó)家要求的加密技術(shù)和加密設(shè)備。

（-）管理、使用密碼設(shè)備的員工經(jīng)過(guò)專業(yè)培訓(xùn)和嚴(yán)格審查。

（三）加密強(qiáng)度滿足信息機(jī)密性的要求。

（四）制定并落實(shí)有效的管理流程，尤其是密鑰和證書生命周

期管理。

第二十五條配備切實(shí)有效的系統(tǒng)，確保所有終端用戶設(shè)備

的平安，并定期對(duì)所有設(shè)備進(jìn)展平安檢查，包括臺(tái)式個(gè)人計(jì)算機(jī)

（PC）、便攜式計(jì)算機(jī)、柜員終端、自動(dòng)柜員機(jī)（ATM）、存折打

印機(jī)、讀卡器、銷售終端（POS）和個(gè)人數(shù)字助理（PDA）等。

第二十六條制定相關(guān)制度和流程，嚴(yán)格管理客戶信息的采

集、處理、存貯、傳輸、分發(fā)、備份、恢復(fù)、清理和銷毀。

第二十七條對(duì)所有員工進(jìn)展必要的培訓(xùn)，使其充分掌握信

息科技風(fēng)險(xiǎn)管理制度和流程，了解違反規(guī)定的后果，并對(duì)違反平

安規(guī)定的行為采取零容忍政策。

第五章信息系統(tǒng)開發(fā)、測(cè)試和維護(hù)

第二十八條應(yīng)有能力對(duì)信息系統(tǒng)進(jìn)展需求分析、規(guī)劃、采

購(gòu)、開發(fā)、測(cè)試、部署、維護(hù)、升級(jí)和報(bào)廢，制定制度和流程，

管理信息科技工程的優(yōu)先排序、立項(xiàng)、審批和控制。工程實(shí)施部

門應(yīng)定期向信息科技管理委員會(huì)提交重大信息科技工程的進(jìn)度報(bào)

告，由其進(jìn)展審核，進(jìn)度報(bào)告應(yīng)當(dāng)包括方案的重大變更、關(guān)鍵人

員或供給商的變更以及主要費(fèi)用支出情況。應(yīng)在信息系統(tǒng)投產(chǎn)后

一定時(shí)期內(nèi)，組織對(duì)系統(tǒng)的后評(píng)價(jià)，并根據(jù)評(píng)價(jià)結(jié)果及時(shí)對(duì)系統(tǒng)

功能進(jìn)展調(diào)整和優(yōu)化。

第二十九條應(yīng)認(rèn)識(shí)到信息科技工程相關(guān)的風(fēng)險(xiǎn)，包括潛在

的各種操作風(fēng)險(xiǎn)、財(cái)務(wù)損失風(fēng)險(xiǎn)和因無(wú)效工程規(guī)劃或不適當(dāng)?shù)墓?/p>

程管理控制產(chǎn)生的時(shí)機(jī)本錢，并采取適當(dāng)?shù)墓こ坦芾矸椒ǎ刂?/p>

信息科技工程相關(guān)的風(fēng)險(xiǎn)。

第三十條采取適當(dāng)?shù)南到y(tǒng)開發(fā)方法，控制信息系統(tǒng)的生命周

期。典型的系統(tǒng)生命周期包括系統(tǒng)分析、設(shè)計(jì)、開發(fā)或外購(gòu)、測(cè)

試、試運(yùn)行、部署、維護(hù)和退出。所采用的系統(tǒng)開發(fā)方法應(yīng)符合

信息科技工程的規(guī)模、性質(zhì)和復(fù)雜度。

第三十一條制定相關(guān)控制信息系統(tǒng)變更的制度和流程，確

保系統(tǒng)的可靠性、完整性和可維護(hù)性，其中應(yīng)包括以下要求：

（一）生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測(cè)試系統(tǒng)有效隔離。

（-）生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測(cè)試系統(tǒng)的管理職能相別離。

（三）除得到管理層批準(zhǔn)執(zhí)行緊急修復(fù)任務(wù)外，制止應(yīng)用程序

開發(fā)和維護(hù)人員進(jìn)入生產(chǎn)系統(tǒng)，且所有的緊急修復(fù)活動(dòng)都應(yīng)立即進(jìn)

展記錄和審核。

（四）將完成開發(fā)和測(cè)試環(huán)境的程序或系統(tǒng)配置變更應(yīng)用到

生產(chǎn)系統(tǒng)時(shí)，應(yīng)得到信息科技部門和業(yè)務(wù)部門的聯(lián)合批準(zhǔn)，并對(duì)變

更進(jìn)展及時(shí)記錄和定期復(fù)查。

（五）制定并落實(shí)相關(guān)制度、標(biāo)準(zhǔn)和流程,確保信息系統(tǒng)開發(fā)、

測(cè)試、維護(hù)過(guò)程中數(shù)據(jù)的完整性、保密性和可用性。

第三十二條建立并完善有效的問(wèn)題管理流程，以確保全面

地追蹤、分析和解決信息系統(tǒng)問(wèn)題，并對(duì)問(wèn)題進(jìn)展記錄、分類和

索引；如需供給商提供支持效勞或技術(shù)援助，應(yīng)向相關(guān)人員提供

所需的合同和相關(guān)信息，并將過(guò)程記錄在案；對(duì)完成緊急恢復(fù)起

至關(guān)重要作用的任務(wù)和指令集，應(yīng)有清晰的描述和說(shuō)明，并通知

相關(guān)人員。

第六章信息科技運(yùn)行

第三十三條在選擇數(shù)據(jù)中心的地理位置時(shí)，應(yīng)充分考慮環(huán)

境威脅〔如是否接近自然災(zāi)害多發(fā)區(qū)、危險(xiǎn)或有害設(shè)施、繁忙或

主要公路），采取物理控制措施，監(jiān)控對(duì)信息處理設(shè)備運(yùn)行構(gòu)成

威脅的環(huán)境狀況，并防止因意外斷電或供電干擾影響數(shù)據(jù)中心的

正常運(yùn)行。

第三十四條嚴(yán)格控制第三方人員（如效勞供給商）進(jìn)入平

安區(qū)域，如確需進(jìn)入應(yīng)得到適當(dāng)?shù)呐鷾?zhǔn)，其活動(dòng)也應(yīng)受到監(jiān)控；

針對(duì)長(zhǎng)期或臨時(shí)聘用的技術(shù)人員和承包商，尤其是從事敏感性技

術(shù)相關(guān)工作的人員，應(yīng)制定嚴(yán)格的審查程序，包括身份驗(yàn)證和背

景調(diào)查。

第三十五條應(yīng)將信息科技運(yùn)行與系統(tǒng)開發(fā)和維護(hù)別離，確

保信息科技部門內(nèi)部的崗位制約；對(duì)數(shù)據(jù)中心的崗位和職責(zé)做出

明確規(guī)定。

第三十六條按照有關(guān)法律法規(guī)要求保存交易記錄，采取必

要的程序和技術(shù)，確保存檔數(shù)據(jù)的完整性，滿足平安保存和可恢

復(fù)耍求。

第三十七條制定詳盡的信息科技運(yùn)行操作說(shuō)明。如在信息

科技運(yùn)行手冊(cè)中說(shuō)明計(jì)算機(jī)操作人員的任務(wù)、工作日程、執(zhí)行步

驟，以及生產(chǎn)與開發(fā)環(huán)境中數(shù)據(jù)、軟件的現(xiàn)場(chǎng)及非現(xiàn)場(chǎng)備份流程

和要求（即備份的頻率、范圍和保存周期）。

第三十八條建立事故管理及處置機(jī)制，及時(shí)響應(yīng)信息系統(tǒng)

運(yùn)行事故，逐級(jí)向相關(guān)的信息科技管理人員報(bào)告事故的發(fā)生，并

進(jìn)展記錄、分析和跟蹤，直到完成徹底的處置和根本原因分析。

我行應(yīng)建立效勞臺(tái)，為用戶提供相關(guān)技術(shù)問(wèn)題的在線支持，并將

問(wèn)題提交給相關(guān)信息科技部門進(jìn)展調(diào)查和解決。

第三十九條建立效勞水平管理相關(guān)的制度和流程，對(duì)信息

科技運(yùn)行效勞水平進(jìn)展考核。

第四十條建立連續(xù)監(jiān)控信息系統(tǒng)性能的相關(guān)程序，及時(shí)、完

整地報(bào)告例外情況；該程序應(yīng)提供預(yù)警功能，在例外情況對(duì)系統(tǒng)

性能造成影響前對(duì)其進(jìn)展識(shí)別和修正。

第四十一條制定容量規(guī)劃，以適應(yīng)由于外部環(huán)境變化產(chǎn)生

的業(yè)務(wù)開展和交易量增長(zhǎng)。容量規(guī)劃應(yīng)涵蓋生產(chǎn)系統(tǒng)、備份系統(tǒng)

及相關(guān)設(shè)備。

第四十二條及時(shí)進(jìn)展維護(hù)和適當(dāng)?shù)南到y(tǒng)升級(jí)，以確保與技

術(shù)相關(guān)效勞的連續(xù)可用性，并完整保存記錄（包括疑似和實(shí)際的

故障、預(yù)防性和補(bǔ)救性維護(hù)記錄），以確保有效維護(hù)設(shè)備和設(shè)施。

第四十三條制定有效的變更管理流程，以確保生產(chǎn)環(huán)境的

完整性和可靠性。包括緊急變更在內(nèi)的所有變更都應(yīng)記入日志，

由信息科技部門和業(yè)務(wù)部門共同審核簽字，并事先進(jìn)展備份，以便

必要時(shí)可以恢復(fù)原來(lái)的系統(tǒng)版本和數(shù)據(jù)文件。緊急變更成功后,

應(yīng)通過(guò)正常的驗(yàn)收測(cè)試和變更管理流程，采用恰當(dāng)?shù)男拚匀〈?/p>

緊急變更。

第七章業(yè)務(wù)連續(xù)性管理

第四十四條根據(jù)自身業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度制定適

當(dāng)?shù)臉I(yè)務(wù)連續(xù)性規(guī)劃，以確保在出現(xiàn)無(wú)法預(yù)見(jiàn)的中斷時(shí)，系統(tǒng)仍

能持續(xù)運(yùn)行并提供效勞；定期對(duì)規(guī)劃進(jìn)展更新和演練，以保證其

有效性。

第四十五條評(píng)估因意外事件導(dǎo)致其業(yè)務(wù)運(yùn)行中斷的可能性

及其影響，包括評(píng)估可能由下述原因?qū)е碌钠茐模?/p>

（-）內(nèi)外部資源的故障或缺失（如人員、系統(tǒng)或其他資產(chǎn)）。

（二）信息喪失或受損。

（三）外部事件（如戰(zhàn)爭(zhēng)、地震或臺(tái)風(fēng)等）。

第四十六條應(yīng)采取系統(tǒng)恢復(fù)和雙機(jī)熱備處理等措施降低業(yè)

務(wù)中斷的可能性，并通過(guò)應(yīng)急安排和保險(xiǎn)等方式降低影響。

第四十七條建立維持其運(yùn)營(yíng)連續(xù)性策略的文檔，并制定對(duì)

策略的充分性和有效性進(jìn)展檢查和溝通的方案。其中包括：

（-）標(biāo)準(zhǔn)的業(yè)務(wù)連續(xù)性方案,明確降低短期、中期和長(zhǎng)期中

斷所造成影響的措施，包括但不限于：

1、資源需求（如人員、系統(tǒng)和其他資產(chǎn)）以及獲取資源的方

式。

2、運(yùn)行恢復(fù)的優(yōu)先順序。

3、與內(nèi)部各部門及外部相關(guān)各方（尤其是監(jiān)管機(jī)構(gòu)、客戶和

媒體等）的溝通安排。

（二）更新實(shí)施業(yè)務(wù)連續(xù)性方案的流程及相關(guān)聯(lián)系信息。

（三）驗(yàn)證受中斷影響的信息完整性的步驟。

（四）當(dāng)我行的業(yè)務(wù)或風(fēng)險(xiǎn)狀況發(fā)生變化時(shí)，對(duì)本條一到三進(jìn)

展審核并升級(jí)。

第四十八條我行的業(yè)務(wù)連續(xù)性方案和年度應(yīng)急演練結(jié)果應(yīng)

由信息科技風(fēng)險(xiǎn)管理部門或信息科技管理委員會(huì)確認(rèn)。

第八章外包與審計(jì)

第一節(jié)外包

第四十九條不得將我行信息科技管理責(zé)任外包，應(yīng)合理慎

重監(jiān)視外包職能的履行。

第五十條實(shí)施重要外包（如數(shù)據(jù)中心和信息科技根底設(shè)施等）

應(yīng)格外慎重，在準(zhǔn)備實(shí)施重要外包時(shí)應(yīng)以書面材料正式報(bào)告銀監(jiān)

會(huì)或其派出機(jī)構(gòu)。

第五十一條在簽署外包協(xié)議或?qū)ν獍鼌f(xié)議進(jìn)展重大變更

前，應(yīng)做好相關(guān)準(zhǔn)備，其中包括：

（-）分析外包是否適合我行的組織構(gòu)造和報(bào)告路線、業(yè)務(wù)戰(zhàn)

略、總體風(fēng)險(xiǎn)控制，是否滿足我行履行對(duì)外包效勞商的監(jiān)視義務(wù)。

（二）考慮外包協(xié)議是否允許我行監(jiān)測(cè)和控制與外包相關(guān)的

操作風(fēng)險(xiǎn)。

（三）充分審查、評(píng)估外包效勞商的財(cái)務(wù)穩(wěn)定性和專業(yè)經(jīng)歷，

對(duì)外包效勞商進(jìn)展風(fēng)險(xiǎn)評(píng)估，考察其設(shè)施和能力是否足以承當(dāng)相應(yīng)

的責(zé)任。

（四）考慮外包協(xié)議變更前后實(shí)施的平穩(wěn)過(guò)渡（包括終止合同

可能發(fā)生的情況〕。

（五）關(guān)注可能存在的集中風(fēng)險(xiǎn)，如多家我行共用同一外包效

勞商帶來(lái)的潛在業(yè)務(wù)連續(xù)性風(fēng)險(xiǎn)。

第五十二條在與外包效勞商合同談判過(guò)程中，應(yīng)考慮的因

索包括但不限于：

（-）對(duì)外包效勞商的報(bào)告要求和談判必要條件。

（-）銀行業(yè)監(jiān)管機(jī)構(gòu)和內(nèi)部審計(jì)、外部審計(jì)能執(zhí)行足夠的監(jiān)

視。

（三）通過(guò)界定信息所有權(quán)、簽署保密協(xié)議和采取技術(shù)防護(hù)措

施保護(hù)客戶信息和其他信息。

（四）擔(dān)保和損失賠償是否充足。

（五）外包效勞商遵守我行有關(guān)信息科技風(fēng)險(xiǎn)制度和流程的

意愿及相關(guān)措施。

（六）外包效勞商提供的業(yè)務(wù)連續(xù)性保障水平，以及提供相關(guān)

專屬資源的承諾。

（七）第三方供給商出現(xiàn)問(wèn)題時(shí)，保證軟件持續(xù)可用的相關(guān)措

施。

（A）變更外包協(xié)議的流程，以及我行或外包效勞商選擇變更

或終止外包協(xié)議的條件，例如：

1、我行或外包效勞商的所有權(quán)或控制權(quán)發(fā)生變化。

2、我行或外包效勞商的業(yè)務(wù)經(jīng)營(yíng)發(fā)生重大變化。

3、外包效勞商提供的效勞不充分，造成我行不能履行監(jiān)視義

務(wù)。

第五十三條在實(shí)施雙方關(guān)系管理，以及起草效勞水平協(xié)議

時(shí)，應(yīng)考慮的因素包括但不限于：

（-）提出定性和定量的績(jī)效指標(biāo)，評(píng)估外包效勞商為我行及

其相關(guān)客戶提供效勞的充分性。

（二）通過(guò)效勞水平報(bào)告、定期自我評(píng)估、內(nèi)部或外部獨(dú)立審

計(jì)進(jìn)展績(jī)效考核。

（三）針對(duì)績(jī)效不達(dá)標(biāo)的情況調(diào)整流程，采取整改措施。

第五十四條加強(qiáng)信息科技相關(guān)外包管理工作，確保我行的

客戶資料等敏感信息的平安，包括但不限于采取以下措施：

（一）實(shí)現(xiàn)本銀行客戶資料與外包效勞商其他客戶資料的有

效隔離。

（二）按照“必需知道〃和“最小授權(quán)〃原那么對(duì)外包效勞商

相關(guān)人員授權(quán)。

（三）要求外包效勞商保證其相關(guān)人員遵守保密規(guī)定。

（四）應(yīng)將涉及本銀行客戶資料的外包作為重要外包，并告知

相關(guān)客戶。

（五）嚴(yán)格控制外包效勞商再次對(duì)外轉(zhuǎn)包，采取足夠措施確保

我行相關(guān)信息的平安。

（六）確保在中止外包協(xié)議時(shí)收回或銷毀外包效勞商保存的

所有客戶資料。

第五十五條我行應(yīng)建立恰當(dāng)?shù)膽?yīng)急措施，應(yīng)對(duì)外包效勞商

在效勞中可能出現(xiàn)的重大缺失。尤其需要考慮外包效勞商的重大

資源損失，重大財(cái)務(wù)損失和重要人員的變動(dòng)，以及外包協(xié)議的意

外終止。

第五十六條我行所有信息科技外包合同應(yīng)由科