銀行業(yè)重要信息系統(tǒng)突發(fā)事件應(yīng)急管理規(guī)范

1、中國銀行業(yè)監(jiān)督管理委員會辦公廳關(guān)于印發(fā)銀行業(yè)重要信息系統(tǒng)突發(fā)事件應(yīng)急管理規(guī)范（試行）的通知（相關(guān)資料:其他規(guī)范性文件1篇）各銀監(jiān)局，各政策性銀行、國有商業(yè)銀行、股份制商業(yè)銀行、金融資產(chǎn)管理公司，郵政儲蓄銀行，各省級農(nóng)村信用聯(lián)社，銀監(jiān)會直接監(jiān)管的信托公司、企業(yè)集團財務(wù)公司、金融租賃公司：現(xiàn)將銀行業(yè)重要信息系統(tǒng)突發(fā)事件應(yīng)急管理規(guī)范（試行）印發(fā)給你們，請遵照執(zhí)行。請各銀監(jiān)局將本通知轉(zhuǎn)發(fā)至轄內(nèi)各銀行業(yè)金融機構(gòu)。中國銀行業(yè)監(jiān)督管理委員會辦公廳二00八年四月二十三日銀行業(yè)重要信息系統(tǒng)突發(fā)事件應(yīng)急管理規(guī)范（試行）第一章總則第一條為規(guī)范銀行業(yè)重要信息系統(tǒng)的突發(fā)事件應(yīng)急管理，提高應(yīng)對突發(fā)事件的綜合管理水平和應(yīng)急

2、處置能力，有效防范銀行業(yè)信息系統(tǒng)風險，根據(jù)中華人民共和國銀行業(yè)監(jiān)督管理法、中華人民共和國突發(fā)事件應(yīng)對法以及相關(guān)法律法規(guī)，制定本規(guī)范。第二條在中華人民共和國境內(nèi)設(shè)立的政策性銀行、國有商業(yè)銀行、股份制商業(yè)銀行、郵政儲蓄銀行、城市商業(yè)銀行、農(nóng)村商業(yè)銀行、農(nóng)村合作銀行、農(nóng)村信用社、城市信用社，外商獨資銀行、中外合資銀行和外國銀行分行適用本規(guī)范。第三條銀行業(yè)重要信息系統(tǒng)突發(fā)事件應(yīng)對工作原則包括：（一）健全機制。銀行業(yè)金融機構(gòu)應(yīng)建立統(tǒng)一指揮、協(xié)調(diào)有序的應(yīng)急管理機制，主動開展應(yīng)急管理工作，定期演練和評價應(yīng)急預(yù)案，持續(xù)改進本機構(gòu)的應(yīng)急預(yù)案和相關(guān)協(xié)調(diào)機制。（二）明確職責。銀行業(yè)金融機構(gòu)應(yīng)明確本機構(gòu)各部門在應(yīng)急管

3、理工作中的職責，以保障銀行業(yè)金融機構(gòu)業(yè)務(wù)連續(xù)性為目標，以落實和完善應(yīng)急預(yù)案為基礎(chǔ)，全面加強信息系統(tǒng)應(yīng)急管理工作，并制定有效的問責制度。（三）預(yù)防為主。銀行業(yè)金融機構(gòu)應(yīng)建立和完善信息系統(tǒng)突發(fā)事件風險防范體系，對可能導(dǎo)致突發(fā)事件的風險進行有效地識別、分析和控制，并對風險指標動態(tài)、持續(xù)監(jiān)測，減少重大突發(fā)事件發(fā)生的可能性。（四）處置高效。銀行業(yè)金融機構(gòu)應(yīng)加強應(yīng)急處置隊伍建設(shè)，提供充分的資源保障，確保突發(fā)事件發(fā)生時反應(yīng)快速、報告及時、措施得力、操作準確，降低突發(fā)事件可能造成的損失。第四條以下術(shù)語適用于本規(guī)范（一）本規(guī)范所稱重要信息系統(tǒng)是指銀行業(yè)金融機構(gòu)支撐關(guān)鍵業(yè)務(wù)，其信息安全和系統(tǒng)服務(wù)安全關(guān)系公民、法人

4、和組織的權(quán)益或社會秩序和公共利益，甚至影響國家安全的信息系統(tǒng)。主要包括面向客戶、涉及賬務(wù)處理且時效性要求較高的業(yè)務(wù)處理類、渠道類和涉及客戶風險管理等業(yè)務(wù)的管理類信息系統(tǒng)，支撐上述系統(tǒng)運行的前置機、客戶端、機房、網(wǎng)絡(luò)等基礎(chǔ)設(shè)施也應(yīng)作為重要信息系統(tǒng)的一部分。（二）本規(guī)范所稱業(yè)務(wù)服務(wù)時段是指銀行業(yè)金融機構(gòu)重要信息系統(tǒng)所承載業(yè)務(wù)對客戶提供服務(wù)的時間。（三）本規(guī)范所稱突發(fā)事件是指銀行業(yè)金融機構(gòu)重要信息系統(tǒng)以及為之提供支持服務(wù)的電力、通訊等系統(tǒng)突然發(fā)生的，影響業(yè)務(wù)持續(xù)開展，需要采取應(yīng)急處置措施應(yīng)對的事件。（四）本規(guī)范所稱信息系統(tǒng)應(yīng)急管理是指貫穿于整個信息系統(tǒng)生命周期中，通過風險防范、應(yīng)急響應(yīng)、應(yīng)急保障以確

5、保信息系統(tǒng)能夠滿足業(yè)務(wù)發(fā)展戰(zhàn)略對業(yè)務(wù)連續(xù)性要求的管理。（五）本規(guī)范所稱業(yè)務(wù)影響分析是指分析業(yè)務(wù)功能及其相關(guān)信息系統(tǒng)資源、評估特定信息系統(tǒng)突發(fā)事件對各種業(yè)務(wù)功能的影響的過程。（六）本規(guī)范所稱剩余風險是指采取了風險控制措施后仍不能被完全消除的信息系統(tǒng)風險。第二章組織機構(gòu)及職責第五條中國銀行業(yè)監(jiān)督管理委員會（以下簡稱銀監(jiān)會）信息科技監(jiān)管部門是銀行業(yè)信息系統(tǒng)應(yīng)急處理日常管理機構(gòu)，其應(yīng)急管理職責是：（一）監(jiān)管、指導(dǎo)銀行業(yè)金融機構(gòu)信息系統(tǒng)應(yīng)急管理工作；（二）向上級部門報告銀行業(yè)金融機構(gòu)信息系統(tǒng)突發(fā)事件；（三）通報、發(fā)布銀行業(yè)信息系統(tǒng)應(yīng)急處理情況；（四）向銀行業(yè)金融機構(gòu)發(fā)布信息系統(tǒng)突發(fā)事件預(yù)警信息；（五）督

6、導(dǎo)、檢查銀行業(yè)金融機構(gòu)信息系統(tǒng)應(yīng)急演練；（六）維護銀行業(yè)應(yīng)急管理組織機構(gòu)通訊聯(lián)絡(luò)方式。第六條銀監(jiān)會派出機構(gòu)結(jié)合本地實際情況設(shè)立相應(yīng)的應(yīng)急管理組織機構(gòu)，明確職責并監(jiān)督、檢查轄內(nèi)銀行業(yè)金融機構(gòu)做好應(yīng)急預(yù)案，負責轄內(nèi)銀行業(yè)信息系統(tǒng)突發(fā)事件應(yīng)急管理工作。第七條銀行業(yè)金融機構(gòu)應(yīng)綜合考慮其業(yè)務(wù)和系統(tǒng)規(guī)模，建立應(yīng)急管理組織機構(gòu)，負責本機構(gòu)信息系統(tǒng)突發(fā)事件應(yīng)急管理工作。（一）董事會和高級管理層應(yīng)對本機構(gòu)應(yīng)急管理政策及其實施效果負有最終的責任。董事會和高級管理層應(yīng)領(lǐng)導(dǎo)、監(jiān)督本機構(gòu)信息系統(tǒng)應(yīng)急管理體系建設(shè)，制定落實應(yīng)急管理的分級授權(quán)制度和問責制度，研究確定應(yīng)急處置重大決策和指導(dǎo)意見，為應(yīng)急管理工作配置充分的資源，

7、定期聽取風險狀況分析、信息系統(tǒng)重大突發(fā)事件、現(xiàn)有應(yīng)急管理政策重大修改等匯報，負責信息系統(tǒng)突發(fā)事件信息披露等。（二）風險管理部門應(yīng)制訂應(yīng)急管理政策和基本管理制度并報董事會和高級管理層審定，統(tǒng)一組織、協(xié)調(diào)、指導(dǎo)、檢查本機構(gòu)信息系統(tǒng)突發(fā)事件應(yīng)急管理；建立應(yīng)急處置的預(yù)授權(quán)制度，定期分析風險狀況和總結(jié)信息系統(tǒng)突發(fā)事件應(yīng)急管理成效，履行向董事會和高級管理層報告職責，履行向銀監(jiān)會及其派出機構(gòu)信息系統(tǒng)應(yīng)急管理部門的報告職責等。（三）信息科技管理部門和業(yè)務(wù)管理部門負責本機構(gòu)信息系統(tǒng)突發(fā)事件應(yīng)急管理工作的具體落實，制定信息系統(tǒng)突發(fā)事件預(yù)防措施、預(yù)警標準和應(yīng)急策略，組織做好信息系統(tǒng)營運監(jiān)測和維護，實施信息系統(tǒng)突發(fā)事

8、件應(yīng)急處置，評估總結(jié)信息系統(tǒng)突發(fā)事件及應(yīng)急處置過程中暴露的問題并整改，履行向風險管理部門的報告職責，定期組織信息系統(tǒng)應(yīng)急演練，持續(xù)改進本機構(gòu)信息系統(tǒng)應(yīng)急預(yù)案等。各銀行業(yè)金融機構(gòu)的業(yè)務(wù)管理部門應(yīng)針對信息系統(tǒng)突發(fā)事件建立相應(yīng)的業(yè)務(wù)應(yīng)急預(yù)案和操作流程，并進行持續(xù)改進和優(yōu)化。第八條銀行業(yè)金融機構(gòu)應(yīng)組建應(yīng)急團隊，在發(fā)生信息系統(tǒng)突發(fā)事件時，能夠做到及時實施專項應(yīng)急處置工作。應(yīng)急團隊應(yīng)包括但不限于應(yīng)急領(lǐng)導(dǎo)小組、應(yīng)急執(zhí)行小組、支持保障小組。（一）應(yīng)急領(lǐng)導(dǎo)小組由董事會和高管層授權(quán)并由高管人員任應(yīng)急領(lǐng)導(dǎo)小組組長，各相關(guān)職能部門（包括但不限于風險管理部門、業(yè)務(wù)管理部門、信息科技管理部門和支持保障部門等）和一級分支機

9、構(gòu)的負責人為應(yīng)急領(lǐng)導(dǎo)小組成員，其職責是：1.負責信息系統(tǒng)突發(fā)事件的應(yīng)急指揮、組織協(xié)調(diào)和過程控制；2.明確新聞發(fā)布人，授權(quán)其在應(yīng)急過程中統(tǒng)一對外信息發(fā)布口徑；3.宣布重大應(yīng)急響應(yīng)狀態(tài)的降級或解除；4.向董事會和高級管理層報告應(yīng)急處置進展情況和總結(jié)報告。（二）應(yīng)急執(zhí)行小組由業(yè)務(wù)管理部門、信息科技管理部門、運營部門等派員組成，對應(yīng)急領(lǐng)導(dǎo)小組負責，其職責是：1.實施信息系統(tǒng)突發(fā)事件的具體應(yīng)急處置工作；2.對信息系統(tǒng)突發(fā)事件業(yè)務(wù)影響情況進行分析和評估；3.收集分析信息系統(tǒng)突發(fā)事件應(yīng)急處置過程中的數(shù)據(jù)信息和日志。4.向應(yīng)急領(lǐng)導(dǎo)小組報告應(yīng)急處置進展情況和事態(tài)發(fā)展情況。（三）支持保障小組由人力資源部門、計劃財

10、務(wù)部門、法律事務(wù)部門、公共關(guān)系部門、安全保衛(wèi)部門、后勤保障部門等派員組成，對應(yīng)急領(lǐng)導(dǎo)小組負責，其職責是：1.提供應(yīng)急所需人力和物力等資源保障；2.做好對受影響客戶的解釋和安撫工作；3.做好秩序維護、安全保障、法律咨詢和支援等工作；4.建立與電力、通訊、公安和消防等相關(guān)外部機構(gòu)的應(yīng)急協(xié)調(diào)機制和應(yīng)急聯(lián)動機制；5.其他為降低事件負面影響或損失提供的應(yīng)急支持保障等。第三章突發(fā)事件分級第九條突發(fā)事件依照其影響范圍及持續(xù)時間等因素分級。當突發(fā)事件同時滿足多個級別的定級條件時，按最高級別確定突發(fā)事件等級。（一）特別重大突發(fā)事件（級）1.銀行業(yè)金融機構(gòu)由于重要信息系統(tǒng)服務(wù)中斷或重要數(shù)據(jù)損毀、丟失、泄露，造成經(jīng)

11、濟秩序混亂或重大經(jīng)濟損失、影響金融穩(wěn)定的，或?qū)娎嬖斐商貏e嚴重損害的突發(fā)事件；2.由于重要信息系統(tǒng)服務(wù)異常，在業(yè)務(wù)服務(wù)時段導(dǎo)致銀行業(yè)金融機構(gòu)兩個（含）以上?。ㄗ灾螀^(qū)、直轄市）業(yè)務(wù)無法正常開展達3個小時（含）以上，或一個?。ㄗ灾螀^(qū)、直轄市）業(yè)務(wù)無法正常開展達6個小時（含）以上的突發(fā)事件；3.業(yè)務(wù)服務(wù)時段以外，重要信息系統(tǒng)出現(xiàn)的故障或事件救治未果，可能產(chǎn)生上述1至2類的突發(fā)事件。（二）重大突發(fā)事件（級）1.銀行業(yè)金融機構(gòu)由于重要信息系統(tǒng)服務(wù)中斷或重要數(shù)據(jù)損毀、丟失、泄露，對銀行或客戶利益造成嚴重損害的突發(fā)事件；2.由于重要信息系統(tǒng)服務(wù)異常，在業(yè)務(wù)服務(wù)時段導(dǎo)致銀行金融機構(gòu)兩個（含）以上?。ㄗ灾螀^(qū)

12、、直轄市）業(yè)務(wù)無法正常開展達半個小時（含）以上，或一個?。ㄗ灾螀^(qū)、直轄市）業(yè)務(wù)無法正常開展達3個小時（含）以上的突發(fā)事件；3.業(yè)務(wù)服務(wù)時段以外，出現(xiàn)的重要信息系統(tǒng)故障或事件救治未果，可能產(chǎn)生上述1至2類的突發(fā)事件。（三）較大突發(fā)事件（級）1.銀行業(yè)金融機構(gòu)由于重要信息系統(tǒng)服務(wù)中斷或重要數(shù)據(jù)損毀、丟失、泄露，對銀行或客戶利益造成較大損害的突發(fā)事件；2.由于重要信息系統(tǒng)服務(wù)異常，在業(yè)務(wù)服務(wù)時段導(dǎo)致一個?。ㄗ灾螀^(qū)、直轄市）業(yè)務(wù)無法正常開展達半個小時（含）以上的突發(fā)事件；3.業(yè)務(wù)服務(wù)時段以外，出現(xiàn)的重要信息系統(tǒng)故障或事件救治未果，可能產(chǎn)生上述1至2類的突發(fā)事件。第十條重要信息系統(tǒng)突發(fā)事件發(fā)生后，銀行業(yè)

13、金融機構(gòu)應(yīng)依據(jù)事件影響范圍和影響時間的變化，按照上述定義進行事件級別升級。第四章風險防范第十一條銀行業(yè)金融機構(gòu)應(yīng)根據(jù)業(yè)務(wù)影響分析確定各項業(yè)務(wù)的信息系統(tǒng)恢復(fù)指標，主要包括：（一）恢復(fù)時間目標（rto）：業(yè)務(wù)功能恢復(fù)正常的時間要求；（二）恢復(fù)點目標（rpo）：業(yè)務(wù)功能恢復(fù)時能夠容忍的數(shù)據(jù)丟失量。第十二條銀行業(yè)金融機構(gòu)應(yīng)根據(jù)信息系統(tǒng)恢復(fù)指標和系統(tǒng)間的依賴關(guān)系，確定各信息系統(tǒng)應(yīng)急響應(yīng)恢復(fù)優(yōu)先順序，并系統(tǒng)化地識別信息技術(shù)資源風險，包括基礎(chǔ)設(shè)施類風險、主機和硬件設(shè)備類風險、系統(tǒng)類風險、應(yīng)用類風險、網(wǎng)絡(luò)類風險等，以確保風險識別的全面性。第十三條銀行業(yè)金融機構(gòu)應(yīng)制定全面的風險防范措施，并通過場景模擬、壓力測試

14、等手段驗證風險防范措施的有效性。在突發(fā)事件應(yīng)急處置后，應(yīng)評估已有風險防范措施的有效性并加以改進。第十四條銀行業(yè)金融機構(gòu)應(yīng)依據(jù)風險防范措施對關(guān)鍵信息技術(shù)資源進行剩余風險評估，明確剩余風險的監(jiān)測方法與預(yù)警條件，并將其納入信息系統(tǒng)風險事件監(jiān)測與預(yù)警體系中。第十五條銀行業(yè)金融機構(gòu)應(yīng)對關(guān)鍵信息技術(shù)資源建立監(jiān)測指標體系以及相關(guān)的日常監(jiān)測與預(yù)警機制，對監(jiān)測指標的異常波動及時預(yù)警，并定期測試與修訂監(jiān)測指標體系以確保其有效性。第十六條銀行業(yè)金融機構(gòu)應(yīng)建立關(guān)鍵時點監(jiān)測與預(yù)警機制，在重大業(yè)務(wù)活動、重大社會活動、信息系統(tǒng)重大變更等關(guān)鍵時點加強風險監(jiān)控和預(yù)警，并及時向企業(yè)職能部門進行風險提示，多部門協(xié)同做好應(yīng)急準備。第

15、十七條銀行業(yè)金融機構(gòu)在系統(tǒng)上線、系統(tǒng)升級、網(wǎng)絡(luò)改造、設(shè)備更新等關(guān)鍵信息技術(shù)資源發(fā)生重大變更及業(yè)務(wù)種類和交易量發(fā)生重大變化時，應(yīng)重新識別、分析、控制風險，并更新剩余風險評估和風險事件監(jiān)測與預(yù)警。第十八條銀行業(yè)金融機構(gòu)應(yīng)與電力、通信等重要基礎(chǔ)設(shè)施服務(wù)商，主機、網(wǎng)絡(luò)、存儲等重要設(shè)備服務(wù)商，系統(tǒng)集成服務(wù)商以及其他外包服務(wù)商簽定服務(wù)水平協(xié)議，并對服務(wù)商的技術(shù)與產(chǎn)品政策、服務(wù)水平、服務(wù)能力發(fā)生變化可能產(chǎn)生的影響及時進行風險評估和預(yù)警。第五章應(yīng)急預(yù)案與演練第十九條銀行業(yè)金融機構(gòu)應(yīng)根據(jù)恢復(fù)時間目標（rto）和恢復(fù)點目標（rpo），結(jié)合風險控制策略，從基礎(chǔ)設(shè)施、網(wǎng)絡(luò)、信息系統(tǒng)等不同方面，分類制定本機構(gòu)應(yīng)急預(yù)案。

16、第二十條銀行業(yè)金融機構(gòu)編制的信息系統(tǒng)應(yīng)急預(yù)案應(yīng)包括以下內(nèi)容：（一）明確有關(guān)各方的分工和責任；（二）說明重要信息系統(tǒng)的業(yè)務(wù)影響范圍、恢復(fù)時間目標、恢復(fù)點目標、以及信息系統(tǒng)包括的系統(tǒng)資源，明確資源的物理位置、設(shè)備型號、軟件資源、網(wǎng)絡(luò)配置等關(guān)鍵信息；（三）明確各類故障的診斷方法和流程；應(yīng)急場景應(yīng)至少覆蓋電力故障、火情水災(zāi)、治安、病毒爆發(fā)、網(wǎng)絡(luò)攻擊、人為破壞、不可抗力、計算機硬件故障、操作系統(tǒng)故障、系統(tǒng)漏洞、應(yīng)用系統(tǒng)故障以及其他各類與信息系統(tǒng)相關(guān)的故障；（四）制定系統(tǒng)恢復(fù)流程和應(yīng)急處置操作手冊，盡可能將操作代碼化、自動化，降低應(yīng)急處置過程中產(chǎn)生的操作風險；（五）明確應(yīng)急恢復(fù)過程中的關(guān)鍵狀態(tài)，并明確不同

17、狀態(tài)的溝通和報告內(nèi)容及等級；（六）明確應(yīng)急相關(guān)人員的協(xié)調(diào)內(nèi)容和溝通方式；（七）明確系統(tǒng)重建步驟，確保信息系統(tǒng)恢復(fù)正常業(yè)務(wù)處理能力。第二十一條銀行業(yè)金融機構(gòu)應(yīng)將支撐信息系統(tǒng)運行的重要外包服務(wù)的應(yīng)急管理納入其中，建立重要外包服務(wù)的專項應(yīng)急預(yù)案，對于重要基礎(chǔ)設(shè)施、重要設(shè)備、網(wǎng)絡(luò)、系統(tǒng)集成以及其他外包服務(wù)商的技術(shù)與產(chǎn)品政策、服務(wù)水平、服務(wù)能力制定風險應(yīng)對措施，外包服務(wù)的應(yīng)急預(yù)案應(yīng)能夠保障銀行業(yè)信息系統(tǒng)恢復(fù)時間目標（rto）和恢復(fù)點目標（rpo）的要求。第二十二條銀行業(yè)金融機構(gòu)應(yīng)定期對應(yīng)急預(yù)案進行測試和演練，確保其有效性。第二十三條當信息系統(tǒng)發(fā)生系統(tǒng)上線、系統(tǒng)升級、網(wǎng)絡(luò)改造、設(shè)備更新、配置參數(shù)調(diào)整等變更

18、時應(yīng)及時更新應(yīng)急預(yù)案，并適時實施演練。第二十四條銀行業(yè)金融機構(gòu)應(yīng)制定年度信息系統(tǒng)應(yīng)急演練計劃，明確演練的時間、內(nèi)容、依據(jù)、目的、負責人和相關(guān)配合機構(gòu)等要素。演練計劃應(yīng)涵蓋對應(yīng)急預(yù)案各環(huán)節(jié)的檢驗，驗證應(yīng)急預(yù)案的有效性、應(yīng)急資源的完備性及應(yīng)急人員的適應(yīng)性。應(yīng)急演練應(yīng)做到全面演練和專項演練相結(jié)合，一般情況下，銀行業(yè)金融機構(gòu)每年至少應(yīng)組織一次全系統(tǒng)范圍內(nèi)的應(yīng)急演練。第二十五條銀行業(yè)金融機構(gòu)應(yīng)嚴格按照應(yīng)急演練計劃實施應(yīng)急演練，并注意如下事項：（一）以應(yīng)急預(yù)案為基礎(chǔ)，制定應(yīng)急演練總體方案，并進行風險再評估，制定相應(yīng)的保障措施；（二）應(yīng)急演練內(nèi)容應(yīng)全面完整，涵蓋信息系統(tǒng)的各類應(yīng)急場景；（三）嚴格控制應(yīng)急演練

19、引起的信息系統(tǒng)變更風險，避免因演練導(dǎo)致服務(wù)中斷；（四）應(yīng)急演練應(yīng)選擇在非主要業(yè)務(wù)時段進行；（五）應(yīng)急演練完成后，應(yīng)保證實施應(yīng)急預(yù)案所需的各項資源恢復(fù)正常；（六）定期對信息系統(tǒng)應(yīng)急響應(yīng)相關(guān)人員進行培訓。第二十六條銀行業(yè)金融機構(gòu)應(yīng)積極配合其他業(yè)務(wù)相關(guān)機構(gòu)完成跨機構(gòu)或跨行業(yè)應(yīng)急演練。第二十七條銀行業(yè)金融機構(gòu)在應(yīng)急演練的過程中，對可能存在較大風險的演練（如全系統(tǒng)范圍的演練），應(yīng)按屬地監(jiān)管原則，在實施演練前將應(yīng)急演練計劃向銀監(jiān)會或其派出機構(gòu)報備。第二十八條應(yīng)急演練結(jié)束后，銀行業(yè)金融機構(gòu)應(yīng)撰寫應(yīng)急演練情況總結(jié)報告，大型或重要的應(yīng)急演練總結(jié)報告應(yīng)提交董事會和高管層。總結(jié)報告包括但不限于：內(nèi)容和目的、總體方案

20、、參與人員、準備工作、主要過程和關(guān)鍵時間點記錄、存在的問題、后續(xù)改進措施及實施計劃、演練結(jié)論。第二十九條銀行業(yè)金融機構(gòu)應(yīng)根據(jù)演練總結(jié)報告提出的改進措施進行整改，及時修訂相應(yīng)的應(yīng)急預(yù)案，并組織審計部門對整改情況進行監(jiān)督和檢查。第三十條對于全系統(tǒng)范圍的年度演練或跨機構(gòu)和跨行業(yè)的演練，銀行業(yè)金融機構(gòu)應(yīng)將演練總結(jié)報告上報銀監(jiān)會或其派出機構(gòu)。第三十一條銀行業(yè)金融機構(gòu)在應(yīng)急演練過程中，應(yīng)根據(jù)審計、監(jiān)管部門要求，將應(yīng)急演練計劃、過程記錄和結(jié)果分析等歸檔。第六章應(yīng)急響應(yīng)第三十二條銀行業(yè)金融機構(gòu)應(yīng)按照本機構(gòu)既定的應(yīng)急預(yù)案，做好應(yīng)急處置，快速有效處置突發(fā)事件。第三十三條銀行業(yè)金融機構(gòu)風險管理部門應(yīng)在董事會和高管層

21、授權(quán)下負責突發(fā)事件報告，并指定專人為報告責任人。當報告責任人確定或發(fā)生變更時應(yīng)及時向銀監(jiān)會或其派出機構(gòu)信息系統(tǒng)應(yīng)急管理部門報備。當多個重要信息系統(tǒng)同時受到影響時，按照受影響程序最高原則報告。第三十四條全國性銀行業(yè)金融機構(gòu)總部向銀監(jiān)會信息系統(tǒng)應(yīng)急管理部門報告；全國性銀行業(yè)金融機構(gòu)的一級分支機構(gòu)、地方性銀行業(yè)金融機構(gòu)向當?shù)劂y監(jiān)會派出機構(gòu)信息系統(tǒng)應(yīng)急管理部門報告。第三十五條突發(fā)事件應(yīng)急響應(yīng)流程：（一）應(yīng)急執(zhí)行小組應(yīng)根據(jù)既定的應(yīng)急預(yù)案，啟動應(yīng)急操作，并及時報告應(yīng)急領(lǐng)導(dǎo)小組。應(yīng)急處置應(yīng)集中于建立臨時業(yè)務(wù)處理能力、修復(fù)原系統(tǒng)損害、在原系統(tǒng)或新設(shè)施中恢復(fù)運行業(yè)務(wù)能力等應(yīng)急措施；（二）對于應(yīng)急預(yù)案沒有覆蓋的突

22、發(fā)事件，應(yīng)立即報告應(yīng)急領(lǐng)導(dǎo)小組進行應(yīng)急決策；（三）應(yīng)急領(lǐng)導(dǎo)小組應(yīng)立即啟動本機構(gòu)應(yīng)急組織，組織協(xié)調(diào)機構(gòu)內(nèi)部進行應(yīng)急處置，并負責向監(jiān)管部門報告應(yīng)急響應(yīng)情況；（四）支持保障小組做好各項應(yīng)急保障工作，為應(yīng)急處置提供場地、交通、通訊及其他后勤保障；（五）銀行業(yè)金融機構(gòu)應(yīng)在重要信息系統(tǒng)突發(fā)事件后60分鐘之內(nèi)將突發(fā)事件相關(guān)情況上報銀監(jiān)會或其派出機構(gòu)信息系統(tǒng)應(yīng)急管理部門，并在事件發(fā)生后12小時內(nèi)提交正式書面報告；（六）對造成經(jīng)濟秩序混亂或重大經(jīng)濟損失、影響金融穩(wěn)定的，或?qū)︺y行、客戶、公眾的利益造成損害的突發(fā)事件，銀行業(yè)金融機構(gòu)要立即上報；（七）銀行業(yè)金融機構(gòu)應(yīng)將應(yīng)急處置重大進展情況及時上報銀監(jiān)會或其派出機構(gòu)，

23、直至應(yīng)急結(jié)束。級突發(fā)事件發(fā)生后，銀行業(yè)金融機構(gòu)應(yīng)每2小時將應(yīng)急處置進展情況上報，直至應(yīng)急結(jié)束。第三十六條上報銀監(jiān)會或其派出機構(gòu)的局面報告內(nèi)容應(yīng)包括突發(fā)事件時間、地點、現(xiàn)象、影響的業(yè)務(wù)范圍、原因分析、后果的初步判斷、已采取的措施，后續(xù)擬采取方案的建議、事件報告單位、聯(lián)系人及聯(lián)系方式、其他與本突發(fā)事件有關(guān)的內(nèi)容，并在報告中重點明確需要銀監(jiān)會協(xié)調(diào)的事項。第三十七條銀監(jiān)會及其派出機構(gòu)信息系統(tǒng)應(yīng)急管理部門根據(jù)銀行業(yè)金融機構(gòu)應(yīng)急協(xié)調(diào)需求，組織協(xié)調(diào)國家信息化管理、信息安全管理、治安管理、電力管理等跨部門資源，統(tǒng)籌安排處置工作。第三十八條應(yīng)急處置中所有相關(guān)的信息和處理過程應(yīng)進行嚴格記錄，外部供應(yīng)商的處理過程應(yīng)

24、有專門記錄文件，如果涉及到保險理賠，中間過程和場景可用攝像設(shè)備進行記錄。所有過程資料應(yīng)由專人存檔保管。第三十九條應(yīng)急處置過程中出現(xiàn)異?；驊?yīng)急預(yù)案、決策方案失效，銀行業(yè)金融機構(gòu)應(yīng)急領(lǐng)導(dǎo)小組要立即上報銀監(jiān)會或其派出機構(gòu)信息系統(tǒng)應(yīng)急管理部門。第四十條重要信息系統(tǒng)突發(fā)事件發(fā)生后，銀行業(yè)金融機構(gòu)應(yīng)將相關(guān)信息及時通報給受影響的外部機構(gòu)及重要客戶，并將相關(guān)信息準確通報給相關(guān)設(shè)備及服務(wù)提供商、電信、電力等外部組織，以獲得應(yīng)急響應(yīng)支持。第四十一條重要信息系統(tǒng)突發(fā)事件發(fā)生后，根據(jù)突發(fā)事件的嚴重程度，銀行業(yè)金融機構(gòu)應(yīng)急領(lǐng)導(dǎo)小組應(yīng)及時向新聞媒體發(fā)布相關(guān)信息，嚴格按照行業(yè)、機構(gòu)的相關(guān)規(guī)定和要求對外發(fā)布信息，機構(gòu)內(nèi)其它部

25、門或者個人不得隨意接受新聞媒體采訪或?qū)ν獍l(fā)表個人看法。第四十二條重要信息系統(tǒng)恢復(fù)正常服務(wù)即為應(yīng)急結(jié)束。第四十三條銀行業(yè)金融機構(gòu)在應(yīng)急結(jié)束后，應(yīng)針對應(yīng)急工作進行評估和總結(jié)，并報銀監(jiān)會或其派出機構(gòu)信息系統(tǒng)應(yīng)急管理部門?？偨Y(jié)報告應(yīng)包括信息系統(tǒng)突發(fā)事件評估、處置工作總結(jié)以及癥結(jié)分析和相應(yīng)建議等內(nèi)容。（一）突發(fā)事件評估應(yīng)包括現(xiàn)象、影響范圍、處理時間和過程以及造成的損失；（二）處置工作總結(jié)應(yīng)評價應(yīng)急預(yù)案的可用性，分析處置工作中存在的問題，總結(jié)處置工作的整體過程；（三）癥結(jié)分析和相應(yīng)建議應(yīng)分析突發(fā)事件的深層次原因，反映存在的困難和問題，并提出改進措施、計劃及相關(guān)建議。第七章應(yīng)急保障第四十四條銀行業(yè)金融機構(gòu)應(yīng)建立長效的人員保障機制，確保人員能夠勝任應(yīng)急處置工作。在人員保障方面應(yīng)達到以下要求：（一）確保應(yīng)急處置人員具備應(yīng)急工作必要的技術(shù)資質(zhì)，定期組織人員培訓以滿足應(yīng)急處置的要求，并通過應(yīng)急演練，保證應(yīng)急處置人員的熟練度；（二）確保主、備崗機制的落實；（三）確保主、備崗人員定期進行互換；（四）避免一人兼過多的崗位。第四十五條銀行業(yè)金融機構(gòu)應(yīng)建立有效的物質(zhì)保障機制，確保在應(yīng)急響應(yīng)過程中不會因物質(zhì)缺乏而導(dǎo)致應(yīng)急處置中斷或延長應(yīng)急處置時間。