信息科技風(fēng)險管理辦法

1、xxxX艮行信息科技風(fēng)險管理辦法第一章 總則第一條 為 xxxx 艮行有效防范艮行運用信息系統(tǒng)進行業(yè)務(wù) 處理、經(jīng)營管理和內(nèi)部控制過程中產(chǎn)生的風(fēng)險，促進我行各項業(yè) 務(wù)安全、持續(xù)、穩(wěn)健運行，根據(jù)中華人民共和國艮行業(yè)監(jiān)督管 理法、中華人民共和國商業(yè)艮行法、商業(yè)艮行信息科技 風(fēng)險管理指引、營口沿海艮操作風(fēng)險管理指引，以及國家 信息安全相關(guān)要求和有關(guān)法律法規(guī)，制定本管理辦法。第二條 本管理辦法所稱信息科技是指計算機、通信、微電 子和軟件工程等現(xiàn)代信息技術(shù)，在我行業(yè)務(wù)交易處理、經(jīng)營管理 和內(nèi)部控制等方面的應(yīng)用，并包括進行信息科技治理，建立完整 的管理組織架構(gòu)，制訂完善的管理制度和流程。第三條 本管理辦法所

2、稱信息科技風(fēng)險，是指信息科技在我 行運用過程中，由于自然因素、人為因素、技術(shù)漏洞和管理缺陷 產(chǎn)生的操作、法律和聲譽等風(fēng)險。第四條 信息科技風(fēng)險管理的目標(biāo)是通過建立有效的機制， 實現(xiàn)對我行信息科技風(fēng)險的識別、計量、監(jiān)測和控制，促進我行 安全、持續(xù)、穩(wěn)健運行，推動業(yè)務(wù)創(chuàng)新，提高信息技術(shù)使用水平， 增強核心競爭力和可持續(xù)發(fā)展能力。第二章機構(gòu)職責(zé)第五條根據(jù)我行信息科技治理的要求，法定代表人是本機 構(gòu)信息科技風(fēng)險管理的第一責(zé)任人，負責(zé)組織本管理辦法的貫徹 落實，董事會應(yīng)履行以下信息科技管理職責(zé)：（一）遵守并貫徹執(zhí)行國家有關(guān)信息科技管理的法律、法規(guī)和技術(shù)標(biāo)準(zhǔn)，落實中國銀行業(yè)監(jiān)督管理委員會（以下簡稱銀監(jiān)會）

3、相 關(guān)監(jiān)管要求。（二）審查批準(zhǔn)信息科技戰(zhàn)略，確保其與銀行的總體業(yè)務(wù)戰(zhàn)略 和重大策略相一致。評估信息科技及其風(fēng)險管理工作的總體效果和 效率。（三）掌握主要的信息科技風(fēng)險，確定可接受的風(fēng)險級別，確 保相關(guān)風(fēng)險能夠被識別、計量、監(jiān)測和控制。（四）規(guī)范職業(yè)道德行為和廉潔標(biāo)準(zhǔn)， 增強內(nèi)部文化建設(shè)，提 高全體人員對信息科技風(fēng)險管理重要性的認識。（五）設(shè)立一個由來自高級管理層、信息科技部門和主要業(yè)務(wù) 部門的代表組成的專門信息科技管理委員會，負責(zé)監(jiān)督各項職責(zé)的 落實，定期向董事會和高級管理層匯報信息科技戰(zhàn)略規(guī)劃的執(zhí)行、 信息科技預(yù)算和實際支出、信息科技的整體狀況。（六）在建立良好的公司治理的基礎(chǔ)上進行信息科技

4、治理，形成分工合理、職責(zé)明確、相互制衡、報告關(guān)系清晰的信息科技治理組織結(jié)構(gòu)。加強信息科技專業(yè)隊伍的建設(shè)，建立人才激勵機制。（七）確保內(nèi)部審計部門進行獨立有效的信息科技風(fēng)險管理 審計，對審計報告進行確認并落實整改。（八）每年審閱并向銀監(jiān)會及其派出機構(gòu)報送信息科技風(fēng)險 管理的年度報告。（九）確保信息科技風(fēng)險管理工作所需資金。（十）確保銀行所有員工充分理解和遵守經(jīng)其批準(zhǔn)的信息科 技風(fēng)險管理制度和流程，并安排相關(guān)培訓(xùn)。（十一） 確保本法人機構(gòu)涉及客戶信息、賬務(wù)信息以及產(chǎn)品 信息等的核心系統(tǒng)在中國境內(nèi)獨立運行，并保持最高的管理權(quán)限， 符合銀監(jiān)會監(jiān)管和實施現(xiàn)場檢查的要求，防范跨境風(fēng)險。（十二） 及時向銀監(jiān)

5、會及其派出機構(gòu)報告本機構(gòu)發(fā)生的重大 信息科技事故或突發(fā)事件，按相關(guān)預(yù)案快速響應(yīng)。（十三） 配合銀監(jiān)會及其派出機構(gòu)做好信息科技風(fēng)險監(jiān)督檢 查工作，并按照監(jiān)管意見進行整改。（十四） 履行信息科技風(fēng)險管理其他相關(guān)工作。第六條 我行應(yīng)設(shè)立分管信息科技的副行級領(lǐng)導(dǎo)，直接向行 長匯報，并參與決策。副行級領(lǐng)導(dǎo)的職責(zé)包括：（一）直接參與本銀行與信息科技運用有關(guān)的業(yè)務(wù)發(fā)展決策。（二）確保信息科技戰(zhàn)略，尤其是信息系統(tǒng)開發(fā)戰(zhàn)略，符合本銀行的總體業(yè)務(wù)戰(zhàn)略和信息科技風(fēng)險管理策略（三）負責(zé)建立一個切實有效的信息科技部門，承擔(dān)本銀行的信 息科技職責(zé)。確保其履行：信息科技預(yù)算和支出、信息科技策略、 標(biāo)準(zhǔn)和流程、信息科技內(nèi)部控

6、制、專業(yè)化研發(fā)、信息科技項目發(fā)起 和管理、信息系統(tǒng)和信息科技基礎(chǔ)設(shè)施的運行、維護和升級、信息 安全管理、災(zāi)難恢復(fù)計劃、信息科技外包和信息系統(tǒng)退出等職責(zé)。（四）確保信息科技風(fēng)險管理的有效性，并使有關(guān)管理措施落實 到相關(guān)的每一個內(nèi)設(shè)機構(gòu)和分支機構(gòu)。（五）組織專業(yè)培訓(xùn)，提高人才隊伍的專業(yè)技能。（六）履行信息科技風(fēng)險管理其他相關(guān)工作。第七條 科技部負責(zé)我行信息安全、信息系統(tǒng)開發(fā)、測試和 維護、信息科技運行、業(yè)務(wù)連續(xù)性管理；應(yīng)對內(nèi)部管理職責(zé)進行 明確的界定，各崗位的人員應(yīng)具有相應(yīng)的專業(yè)知識和技能，重要 崗位應(yīng)制定詳細完整的工作手冊并適時更新，并對相關(guān)人員采取 相關(guān)的風(fēng)險防范措施：（一）驗證個人信息，包括

7、核驗有效身份證件、學(xué)歷證明、工作 經(jīng)歷和專業(yè)資格證書等信息。（二）審核信息科技員工的道德品行，確保其具備相應(yīng)的職業(yè)操 守。（三）確保員工了解、遵守信息科技策略、指導(dǎo)原則、信息保密、 授權(quán)使用信息系統(tǒng)、信息科技管理制度和流程等要求，并同員工簽 訂相關(guān)協(xié)議。（四）評估關(guān)鍵崗位信息科技員工流失帶來的風(fēng)險，做好安排候 補員工和崗位接替計劃等防范措施；在員工崗位發(fā)生變化后及時變 更相關(guān)信息。第八條運營管理部職能交叉，要部門協(xié)調(diào)是信息系統(tǒng)中涉 及賬務(wù)交易的操作、系統(tǒng)參數(shù)變更、事件管理的主要部門。運營 管理部的職責(zé)包括：（一）運行與維護應(yīng)實行職責(zé)分離，運行人員應(yīng)實行專職，不得 由其他人員兼任。運行人員應(yīng)按操

8、作規(guī)程巡檢和操作。維護人員應(yīng) 按授權(quán)和維護規(guī)程要求對生產(chǎn)狀態(tài)的軟硬件、數(shù)據(jù)進行維護，除應(yīng) 急外，其他維護應(yīng)在非工作時間進行。（二）制定詳細的運行值班操作表，包括規(guī)定巡檢時間，操作范 圍、內(nèi)容、辦法、命令以及負責(zé)人員等信息。（三）提供機房環(huán)境、設(shè)備使用、網(wǎng)絡(luò)運行、系統(tǒng)運行職能交叉， 要部門協(xié)調(diào)等監(jiān)控信息。（四）記錄運行值班過程中所有現(xiàn)象、操作過程等信息日志。（五） 對軟件或數(shù)據(jù)的維護必須通過特定的應(yīng)用程序進行，添加、 刪除和修改數(shù)據(jù)應(yīng)通過柜員終端，不得對數(shù)據(jù)庫進行直接操作；（六）具備各種詳細的日志信息，包括交易日志和審計日志等， 以便維護和審計。（七）提供維護的統(tǒng)計和報表打印功能。（八）對系統(tǒng)參

9、數(shù)等設(shè)置變更、維護的要求:1、應(yīng)對信息系統(tǒng)配置參數(shù)實施嚴格的安全與保密管理，防止 非法生成、變更、泄漏、丟失與破壞。根據(jù)敏感程度和用途，確定 存取權(quán)限、方式和授權(quán)使用范圍，嚴格審批和登記手續(xù)。2、制訂嚴密的變更處理流程，明確變更控制中各崗位的職責(zé)， 并遵循流程實施控制和管理；變更前應(yīng)明確應(yīng)急和回退方案，無授 權(quán)不得進行變更操作；3、根據(jù)變更需求、變更方案、變更內(nèi)容核實清單等相關(guān)文檔 審核變更的正確性、安全性和合法性。職能交叉，要部門協(xié)調(diào)（九）應(yīng)對機房環(huán)境設(shè)施實行日常巡檢，明確信息系統(tǒng)及機房環(huán) 境設(shè)施出現(xiàn)故障時的應(yīng)急處理流程和預(yù)案，有實時交易服務(wù)的數(shù)據(jù) 中心應(yīng)實行24小時值班。（十）實行事件報告

10、制度，發(fā)生信息系統(tǒng)造成重大經(jīng)濟、聲譽損 失和重大影響事件，應(yīng)即時上報并處理，必要時啟動應(yīng)急處理預(yù)案。第九條風(fēng)險管理部負責(zé)信息科技風(fēng)險管理工作，并直接向 分管行領(lǐng)導(dǎo)（風(fēng)險管理委員會）報告工作。該部門應(yīng)為信息科技 突發(fā)事件應(yīng)急響應(yīng)小組的成員之一，負責(zé)協(xié)調(diào)制定有關(guān)信息科技 風(fēng)險管理策略，尤其是在涉及信息安全、業(yè)務(wù)連續(xù)性計劃和合規(guī) 性風(fēng)險等方面，為業(yè)務(wù)部門和信息科技部門提供建議及相關(guān)合規(guī) 性信息，實施持續(xù)信息科技風(fēng)險評估，跟蹤整改意見的落實，監(jiān) 控信息安全威脅和不合規(guī)事件的發(fā)生。風(fēng)險管理部的職責(zé)包括：（一）擬定信息系統(tǒng)風(fēng)險管理總體政策，并提交高級管理層審查、審批（二）會同相關(guān)業(yè)務(wù)部門對信息系統(tǒng)風(fēng)險進行

11、識別、監(jiān)測;（三）審核信息系統(tǒng)風(fēng)險狀況。對總行相關(guān)業(yè)務(wù)部門和分支機構(gòu) 信息系統(tǒng)風(fēng)險狀況及維護、運行情況進行監(jiān)測，并進行實時報告。（四）組織新投產(chǎn)后信息系統(tǒng)的后評價，并識別、評估新信息系 統(tǒng)中所包含的風(fēng)險，審核相應(yīng)的操作和風(fēng)險管理程序。第十條 稽核審計部應(yīng)在部門設(shè)立專門的信息科技風(fēng)險審計 崗位，負責(zé)信息科技審計制度和流程的實施，制訂和執(zhí)行信息科 技審計計劃，對信息科技整個生命周期和重大事件等進行審計。 稽核審計部負責(zé)我行信息系統(tǒng)審計任務(wù)，也可聘請經(jīng)國家相應(yīng)監(jiān) 管部門認定資質(zhì)的中介機構(gòu)進行信息系統(tǒng)外部審計。第三章信息科技風(fēng)險管理第十一條我行應(yīng)制定全面的信息科技風(fēng)險管理策略，包括但不限于下述領(lǐng)域：（

12、一）信息分級與保護。（二）信息系統(tǒng)開發(fā)、測試和維護。（三）信息科技運行和維護。（四）訪問控制。（五）物理安全。（六）人員安全（七）業(yè)務(wù)連續(xù)性計劃與應(yīng)急處置。第十二條我行應(yīng)制定持續(xù)的風(fēng)險識別和評估流程，確定信息科技中存在隱患的區(qū)域，評價風(fēng)險對其業(yè)務(wù)的潛在影響，對風(fēng)險 進行排序，并確定風(fēng)險防范措施及所需資源的優(yōu)先級別（包括外 包供應(yīng)商、產(chǎn)品供應(yīng)商和服務(wù)商）。第十三條我行應(yīng)依據(jù)信息科技風(fēng)險管理策略和風(fēng)險評估結(jié)果，實施全面的風(fēng)險防范措施。防范措施應(yīng)包括：（一）制定明確的信息科技風(fēng)險管理制度、技術(shù)標(biāo)準(zhǔn)和操作規(guī)程 等，定期進行更新和公示。（二）確定潛在風(fēng)險區(qū)域，并對這些區(qū)域進行詳細和獨立的監(jiān)控， 實現(xiàn)風(fēng)險

13、最小化。建立適當(dāng)?shù)目刂瓶蚣?，以便于檢查和平衡風(fēng)險； 定義每個業(yè)務(wù)級別的控制內(nèi)容，包括：1、最高權(quán)限用戶的審查。2、控制對數(shù)據(jù)和系統(tǒng)的物理和邏輯訪問。3、訪問授權(quán)以“必需知道”和“最小授權(quán)”為原則。4、審批和授權(quán)。5、驗證和調(diào)節(jié)。第十四條我行應(yīng)建立持續(xù)的信息科技風(fēng)險計量和監(jiān)測機制， 其中應(yīng)包括：（一）建立信息科技項目實施前及實施后的評價機制（二）建立定期檢查系統(tǒng)性能的程序和標(biāo)準(zhǔn)。（三）建立信息科技服務(wù)投訴和事故處理的報告機制。（四）建立內(nèi)部審計、外部審計和監(jiān)管發(fā)現(xiàn)問題的整改處理機制。（五）安排供應(yīng)商和業(yè)務(wù)部門對服務(wù)水平協(xié)議的完成情況進行定 期審查。（六）定期評估新技術(shù)發(fā)展可能造成的影響和已使用軟

14、件面臨的 新威脅。（七）定期進行運行環(huán)境下操作風(fēng)險和管理控制的檢查。（八）定期進行信息科技外包項目的風(fēng)險狀況評價。第四章信息安全第十五條科技部負責(zé)建立和實施信息分類和保護體系，應(yīng)使所有員工都了解信息安全的重要性，并組織提供必要的培訓(xùn)，讓 員工充分了解其職責(zé)范圍內(nèi)的信息保護流程。第十六條科技部應(yīng)落實信息安全管理職能。該職能應(yīng)包括建 立信息安全計劃和保持長效的管理機制，提高全體員工信息安全 意識，就安全問題向其他部門提供建議，并定期向信息科技管理 委員會提交本銀行信息安全評估報告。信息安全管理機制應(yīng)包括 信息安全標(biāo)準(zhǔn)、策略、實施計劃和持續(xù)維護計劃。信息安全策略 應(yīng)涉及以下領(lǐng)域：（一）安全制度管理。

15、（二）信息安全組織管理（三）資產(chǎn)管理。（四）人員安全管理。（五）物理與環(huán)境安全管理。（六）通信與運營管理。（七）訪問控制管理。（八）系統(tǒng)開發(fā)與維護管理。（九）信息安全事故管理。（十）業(yè)務(wù)連續(xù)性管理。（十一）合規(guī)性管理。第十七條 應(yīng)建立有效管理用戶認證和訪問控制的流程。用戶對數(shù)據(jù)和系統(tǒng)的訪問必須選擇與信息訪問級別相匹配的認證機 制，并且確保其在信息系統(tǒng)內(nèi)的活動只限于相關(guān)業(yè)務(wù)能合法開展 所要求的最低限度。用戶調(diào)動到新的工作崗位或離開我行時，應(yīng) 在系統(tǒng)中及時檢查、更新或注銷用戶身份。第十八條 應(yīng)確保設(shè)立物理安全保護區(qū)域， 包括計算機中心或 數(shù)據(jù)中心、存儲機密信息或放置網(wǎng)絡(luò)設(shè)備等重要信息科技設(shè)備的 區(qū)

16、域，明確相應(yīng)的職責(zé)，采取必要的預(yù)防、檢測和恢復(fù)控制措施。第十九條應(yīng)根據(jù)信息安全級別，將網(wǎng)絡(luò)劃分為不同的邏輯安 全域（以下簡稱為域）。應(yīng)該對下列安全因素進行評估，并根據(jù)安全級別定義和評估結(jié)果實施有效的安全控制，如對每個域和整 個網(wǎng)絡(luò)進行物理或邏輯分區(qū)、實現(xiàn)網(wǎng)絡(luò)內(nèi)容過濾、 邏輯訪問控制、傳輸加密、網(wǎng)絡(luò)監(jiān)控、記錄活動日志等。（一）域內(nèi)應(yīng)用程序和用戶組的重要程度。（二）各種通訊渠道進入域的訪問點。（三）域內(nèi)配置的網(wǎng)絡(luò)設(shè)備和應(yīng)用程序使用的網(wǎng)絡(luò)協(xié)議和端口。（四）性能要求或標(biāo)準(zhǔn)。（五）域的性質(zhì)，如生產(chǎn)域或測試域、內(nèi)部域或外部域。（六）不同域之間的連通性。（七）域的可信程度。第二十條應(yīng)通過以下措施，確保所有計

17、算機操作系統(tǒng)和系統(tǒng) 軟件的安全：（一）制定每種類型操作系統(tǒng)的基本安全要求，確保所有系統(tǒng)滿 足基本安全要求。（二）明確定義包括終端用戶、系統(tǒng)開發(fā)人員、系統(tǒng)測試人員、 計算機操作人員、系統(tǒng)管理員和用戶管理員等不同用戶組的訪問權(quán) 限。（三）制定最高權(quán)限系統(tǒng)賬戶的審批、驗證和監(jiān)控流程，并確保 最高權(quán)限用戶的操作日志被記錄和監(jiān)察。（四）要求技術(shù)人員定期檢查可用的安全補丁，并報告補丁管理 狀態(tài)。（五）在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪問、對用戶賬戶的修改等有關(guān)重要事項， 手動或自動監(jiān)控系統(tǒng)出現(xiàn)的任 何異常事件，定期匯報監(jiān)控情況。第二一條 應(yīng)通過以下措施，確保所有信息系統(tǒng)安全：（一）明確定義終端

18、用戶和信息科技技術(shù)人員在信息系統(tǒng)安全中 的角色和職責(zé)。（二）針對信息系統(tǒng)的重要性和敏感程度，采取有效的身份驗證 方法。（三）加強職責(zé)劃分，對關(guān)鍵或敏感崗位進行雙重控制。（四）在關(guān)鍵的接合點進行輸入驗證或輸出核對。（五）采取安全的方式處理保密信息的輸入和輸出，防止信息泄 露或被盜取、篡改。（六）確保系統(tǒng)按預(yù)先定義的方式處理例外情況，當(dāng)系統(tǒng)被迫終 止時向用戶提供必要信息。（七）以書面或電子格式保存審計痕跡。（八）要求用戶管理員監(jiān)控和審查未成功的登錄和用戶賬戶的修第二十二條應(yīng)制定相關(guān)策略和流程，管理所有生產(chǎn)系統(tǒng)的 活動日志，以支持有效的審核、安全取證分析和預(yù)防欺詐。日志 可以在軟件的不同層次、不同的

19、計算機和網(wǎng)絡(luò)設(shè)備上完成，日志 劃分為兩大類：（一）交易日志。交易日志由應(yīng)用軟件和數(shù)據(jù)庫管理系統(tǒng)產(chǎn)生， 內(nèi)容包括用戶登錄嘗試、數(shù)據(jù)修改、錯誤信息等。交易日志應(yīng)按照 國家會計準(zhǔn)則要求予以保存。（二）系統(tǒng)日志。系統(tǒng)日志由操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、防火 墻、入侵檢測系統(tǒng)和路由器等生成，內(nèi)容包括管理登錄嘗試、系統(tǒng) 事件、網(wǎng)絡(luò)事件、錯誤信息等。系統(tǒng)日志保存期限按系統(tǒng)的風(fēng)險等 級確定，但不能少于一年。第二十三條 應(yīng)保證交易日志和系統(tǒng)日志中包含足夠的內(nèi) 容，以便完成有效的內(nèi)部控制、解決系統(tǒng)故障和滿足審計需要； 應(yīng)米取適當(dāng)措施保證所有日志同步計時，并確保其完整性。在例 外情況發(fā)生后應(yīng)及時復(fù)查系統(tǒng)日志。交易日志或

20、系統(tǒng)日志的復(fù)查 頻率和保存周期應(yīng)由信息科技部門和有關(guān)業(yè)務(wù)部門共同決定，并 報信息科技管理委員會批準(zhǔn)。第二十四條應(yīng)采取加密技術(shù)，防范涉密信息在傳輸、處理、 存儲過程中出現(xiàn)泄露或被篡改的風(fēng)險，并建立密碼設(shè)備管理制度，以確保：（一）使用符合國家要求的加密技術(shù)和加密設(shè)備。（二）管理、使用密碼設(shè)備的員工經(jīng)過專業(yè)培訓(xùn)和嚴格審查。（三）加密強度滿足信息機密性的要求。（四）制定并落實有效的管理流程，尤其是密鑰和證書生命周期 管理。第二十五條 配備切實有效的系統(tǒng)，確保所有終端用戶設(shè)備 的安全，并定期對所有設(shè)備進行安全檢查，包括臺式個人計算機（PC ）、便攜式計算機、柜員終端、自動柜員機（ ATM ）、存折 打印

21、機、讀卡器、銷售終端（POS ）和個人數(shù)字助理（PDA ）等。第二十六條 制定相關(guān)制度和流程，嚴格管理客戶信息的采集、處理、存貯、傳輸、分發(fā)、備份、恢復(fù)、清理和銷毀。第二十七條對所有員工進行必要的培訓(xùn)，使其充分掌握信 息科技風(fēng)險管理制度和流程，了解違反規(guī)定的后果，并對違反安 全規(guī)定的行為采取零容忍政策。第五章信息系統(tǒng)開發(fā)、測試和維護第二十八條 應(yīng)有能力對信息系統(tǒng)進行需求分析、規(guī)劃、采 購、開發(fā)、測試、部署、維護、升級和報廢，制定制度和流程， 管理信息科技項目的優(yōu)先排序、立項、審批和控制。項目實施部 門應(yīng)定期向信息科技管理委員會提交重大信息科技項目的進度報 告，由其進行審核，進度報告應(yīng)當(dāng)包括計劃

22、的重大變更、關(guān)鍵人 員或供應(yīng)商的變更以及主要費用支出情況。應(yīng)在信息系統(tǒng)投產(chǎn)后 一定時期內(nèi)，組織對系統(tǒng)的后評價，并根據(jù)評價結(jié)果及時對系統(tǒng) 功能進行調(diào)整和優(yōu)化。第二十九條應(yīng)認識到信息科技項目相關(guān)的風(fēng)險，包括潛在的各種操作風(fēng)險、財務(wù)損失風(fēng)險和因無效項目規(guī)劃或不適當(dāng)?shù)捻?目管理控制產(chǎn)生的機會成本，并采取適當(dāng)?shù)捻椖抗芾矸椒?，控?信息科技項目相關(guān)的風(fēng)險。第三十條 采取適當(dāng)?shù)南到y(tǒng)開發(fā)方法， 控制信息系統(tǒng)的生命周 期。典型的系統(tǒng)生命周期包括系統(tǒng)分析、設(shè)計、開發(fā)或外購、測 試、試運行、部署、維護和退出。所采用的系統(tǒng)開發(fā)方法應(yīng)符合 信息科技項目的規(guī)模、性質(zhì)和復(fù)雜度。第三十一條制定相關(guān)控制信息系統(tǒng)變更的制度和流程

23、，確 保系統(tǒng)的可靠性、完整性和可維護性，其中應(yīng)包括以下要求：（一）生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)有效隔離。（二）生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)的管理職能相分離。（三）除得到管理層批準(zhǔn)執(zhí)行緊急修復(fù)任務(wù)外，禁止應(yīng)用程序開 發(fā)和維護人員進入生產(chǎn)系統(tǒng)，且所有的緊急修復(fù)活動都應(yīng)立即進行 記錄和審核。（四）將完成開發(fā)和測試環(huán)境的程序或系統(tǒng)配置變更應(yīng)用到生產(chǎn)系統(tǒng)時，應(yīng)得到信息科技部門和業(yè)務(wù)部門的聯(lián)合批準(zhǔn)，并對變更進行及時記錄和定期復(fù)查。（五）制定并落實相關(guān)制度、標(biāo)準(zhǔn)和流程，確保信息系統(tǒng)開發(fā)、 測試、維護過程中數(shù)據(jù)的完整性、保密性和可用性。第三十二條 建立并完善有效的問題管理流程，以確保全面 地追蹤、分析和解決信

24、息系統(tǒng)問題，并對問題進行記錄、分類和 索引；如需供應(yīng)商提供支持服務(wù)或技術(shù)援助，應(yīng)向相關(guān)人員提供所需的合同和相關(guān)信息，并將過程記錄在案；對完成緊急恢復(fù)起 至關(guān)重要作用的任務(wù)和指令集，應(yīng)有清晰的描述和說明，并通知 相關(guān)人員。第六章信息科技運行第三十三條 在選擇數(shù)據(jù)中心的地理位置時，應(yīng)充分考慮環(huán) 境威脅（如是否接近自然災(zāi)害多發(fā)區(qū)、危險或有害設(shè)施、繁忙或 主要公路），采取物理控制措施，監(jiān)控對信息處理設(shè)備運行構(gòu)成 威脅的環(huán)境狀況，并防止因意外斷電或供電干擾影響數(shù)據(jù)中心的 正常運行。第三十四條嚴格控制第三方人員（如服務(wù)供應(yīng)商）進入安 全區(qū)域，如確需進入應(yīng)得到適當(dāng)?shù)呐鷾?zhǔn)，其活動也應(yīng)受到監(jiān)控； 針對長期或臨時

25、聘用的技術(shù)人員和承包商，尤其是從事敏感性技 術(shù)相關(guān)工作的人員，應(yīng)制定嚴格的審查程序，包括身份驗證和背 景調(diào)查。第三十五條應(yīng)將信息科技運行與系統(tǒng)開發(fā)和維護分離，確 保信息科技部門內(nèi)部的崗位制約；對數(shù)據(jù)中心的崗位和職責(zé)做出 明確規(guī)定。第三十六條按照有關(guān)法律法規(guī)要求保存交易記錄，采取必 要的程序和技術(shù)，確保存檔數(shù)據(jù)的完整性，滿足安全保存和可恢 復(fù)要求。第三十七條制定詳盡的信息科技運行操作說明。如在信息 科技運行手冊中說明計算機操作人員的任務(wù)、工作日程、執(zhí)行步 驟，以及生產(chǎn)與開發(fā)環(huán)境中數(shù)據(jù)、軟件的現(xiàn)場及非現(xiàn)場備份流程 和要求（即備份的頻率、范圍和保留周期）。第三十八條建立事故管理及處置機制，及時響應(yīng)信

26、息系統(tǒng) 運行事故，逐級向相關(guān)的信息科技管理人員報告事故的發(fā)生，并 進行記錄、分析和跟蹤，直到完成徹底的處置和根本原因分析。 我行應(yīng)建立服務(wù)臺，為用戶提供相關(guān)技術(shù)問題的在線支持，并將 問題提交給相關(guān)信息科技部門進行調(diào)查和解決。第三十九條建立服務(wù)水平管理相關(guān)的制度和流程，對信息 科技運行服務(wù)水平進行考核。第四十條 建立連續(xù)監(jiān)控信息系統(tǒng)性能的相關(guān)程序，及時、完整地報告例外情況；該程序應(yīng)提供預(yù)警功能，在例外情況對系統(tǒng) 性能造成影響前對其進行識別和修正。第四十一條 制定容量規(guī)劃，以適應(yīng)由于外部環(huán)境變化產(chǎn)生 的業(yè)務(wù)發(fā)展和交易量增長。容量規(guī)劃應(yīng)涵蓋生產(chǎn)系統(tǒng)、備份系統(tǒng) 及相關(guān)設(shè)備。第四十二條 及時進行維護和適

27、當(dāng)?shù)南到y(tǒng)升級，以確保與技 術(shù)相關(guān)服務(wù)的連續(xù)可用性，并完整保存記錄（包括疑似和實際的 故障、預(yù)防性和補救性維護記錄），以確保有效維護設(shè)備和設(shè)施。第四十三條制定有效的變更管理流程，以確保生產(chǎn)環(huán)境的 完整性和可靠性。包括緊急變更在內(nèi)的所有變更都應(yīng)記入日志， 由信息科技部門和業(yè)務(wù)部門共同審核簽字，并事先進行備份，以便必要時可以恢復(fù)原來的系統(tǒng)版本和數(shù)據(jù)文件。緊急變更成功后，應(yīng)通過正常的驗收測試和變更管理流程，采用恰當(dāng)?shù)男拚匀〈o急變更第七章業(yè)務(wù)連續(xù)性管理第四十四條 根據(jù)自身業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度制定適 當(dāng)?shù)臉I(yè)務(wù)連續(xù)性規(guī)劃，以確保在出現(xiàn)無法預(yù)見的中斷時，系統(tǒng)仍 能持續(xù)運行并提供服務(wù)；定期對規(guī)劃進行更

28、新和演練，以保證其 有效性。第四十五條 評估因意外事件導(dǎo)致其業(yè)務(wù)運行中斷的可能性 及其影響，包括評估可能由下述原因?qū)е碌钠茐模海ㄒ唬﹥?nèi)外部資源的故障或缺失（如人員、系統(tǒng)或其他資產(chǎn)）。（二）信息丟失或受損。（三）外部事件（如戰(zhàn)爭、地震或臺風(fēng)等）。第四十六條應(yīng)采取系統(tǒng)恢復(fù)和雙機熱備處理等措施降低業(yè) 務(wù)中斷的可能性，并通過應(yīng)急安排和保險等方式降低影響。第四十七條建立維持其運營連續(xù)性策略的文檔，并制定對 策略的充分性和有效性進行檢查和溝通的計劃。其中包括：（一）規(guī)范的業(yè)務(wù)連續(xù)性計劃，明確降低短期、中期和長期中斷所 造成影響的措施，包括但不限于：1、資源需求（如人員、系統(tǒng)和其他資產(chǎn)）以及獲取資源的方式。

29、2、運行恢復(fù)的優(yōu)先順序3、與內(nèi)部各部門及外部相關(guān)各方（尤其是監(jiān)管機構(gòu)、客戶和 媒體等）的溝通安排。（二）更新實施業(yè)務(wù)連續(xù)性計劃的流程及相關(guān)聯(lián)系信息。（三）驗證受中斷影響的信息完整性的步驟。（四）當(dāng)我行的業(yè)務(wù)或風(fēng)險狀況發(fā)生變化時，對本條一到三進行 審核并升級。第四十八條我行的業(yè)務(wù)連續(xù)性計劃和年度應(yīng)急演練結(jié)果應(yīng) 由信息科技風(fēng)險管理部門或信息科技管理委員會確認。第八章外包與審計第一節(jié)外包第四十九條不得將我行信息科技管理責(zé)任外包，應(yīng)合理謹 慎監(jiān)督外包職能的履行。第五十條 實施重要外包（如數(shù)據(jù)中心和信息科技基礎(chǔ)設(shè)施等）應(yīng)格外謹慎，在準(zhǔn)備實施重要外包時應(yīng)以書面材料正式報告銀監(jiān) 會或其派出機構(gòu)。第五十一條在

30、簽署外包協(xié)議或?qū)ν獍鼌f(xié)議進行重大變更 前，應(yīng)做好相關(guān)準(zhǔn)備，其中包括：（一）分析外包是否適合我行的組織結(jié)構(gòu)和報告路線、業(yè)務(wù)戰(zhàn)略、總體風(fēng)險控制，是否滿足我行履行對外包服務(wù)商的監(jiān)督義務(wù)（二）考慮外包協(xié)議是否允許我行監(jiān)測和控制與外包相關(guān)的操作 風(fēng)險。（三）充分審查、評估外包服務(wù)商的財務(wù)穩(wěn)定性和專業(yè)經(jīng)驗，對 外包服務(wù)商進行風(fēng)險評估，考查其設(shè)施和能力是否足以承擔(dān)相應(yīng)的 責(zé)任。（四）考慮外包協(xié)議變更前后實施的平穩(wěn)過渡（包括終止合同可 能發(fā)生的情況）。（五）關(guān)注可能存在的集中風(fēng)險，如多家我行共用同一外包服務(wù) 商帶來的潛在業(yè)務(wù)連續(xù)性風(fēng)險。第五十二條 在與外包服務(wù)商合同談判過程中，應(yīng)考慮的因 素包括但不限于：（一

31、）對外包服務(wù)商的報告要求和談判必要條件。（二）銀行業(yè)監(jiān)管機構(gòu)和內(nèi)部審計、外部審計能執(zhí)行足夠的監(jiān)督（三）通過界定信息所有權(quán)、簽署保密協(xié)議和采取技術(shù)防護措施 保護客戶信息和其他信息。（四）擔(dān)保和損失賠償是否充足。（五）外包服務(wù)商遵守我行有關(guān)信息科技風(fēng)險制度和流程的意愿 及相關(guān)措施。（六）外包服務(wù)商提供的業(yè)務(wù)連續(xù)性保障水平，以及提供相關(guān)專屬資源的承諾（七）第三方供應(yīng)商出現(xiàn)問題時，保證軟件持續(xù)可用的相關(guān)措施。（八）變更外包協(xié)議的流程，以及我行或外包服務(wù)商選擇變更或 終止外包協(xié)議的條件，例如：1、我行或外包服務(wù)商的所有權(quán)或控制權(quán)發(fā)生變化。2、我行或外包服務(wù)商的業(yè)務(wù)經(jīng)營發(fā)生重大變化。3、外包服務(wù)商提供的服

32、務(wù)不充分，造成我行不能履行監(jiān)督義 務(wù)。第五十三條在實施雙方關(guān)系管理，以及起草服務(wù)水平協(xié)議 時，應(yīng)考慮的因素包括但不限于：（一）提出定性和定量的績效指標(biāo)，評估外包服務(wù)商為我行及其 相關(guān)客戶提供服務(wù)的充分性。（二）通過服務(wù)水平報告、定期自我評估、內(nèi)部或外部獨立審計 進行績效考核。（三）針對績效不達標(biāo)的情況調(diào)整流程，采取整改措施。第五十四條加強信息科技相關(guān)外包管理工作，確保我行的 客戶資料等敏感信息的安全，包括但不限于采取以下措施：（一）實現(xiàn)本銀行客戶資料與外包服務(wù)商其他客戶資料的有效隔 離。（二）按照“必需知道”和“最小授權(quán)”原則對外包服務(wù)商相關(guān)人員授權(quán)（三）要求外包服務(wù)商保證其相關(guān)人員遵守保密規(guī)定。（四）應(yīng)將涉及本銀行客戶資料的外包作為重要外包，并告知相 關(guān)客戶。（五）嚴格控制外包服務(wù)商再次對外轉(zhuǎn)包，采取足夠措施確保我 行相關(guān)信息的安全。（六）確保在中止外包協(xié)議時收回或銷毀外包服務(wù)商保存的所有 客戶資料。第五十五條 我行應(yīng)建立恰當(dāng)?shù)膽?yīng)急措施，應(yīng)對外包服務(wù)商 在服務(wù)中可能出現(xiàn)的重大缺失。尤其需要考慮外包服務(wù)商的重大 資源損失，重大財務(wù)損失和重要人員的變動，以及外包協(xié)議的意 外終止。第五十六條 我行所有信