商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引版

1、?商業(yè)銀行信息科技風(fēng)險(xiǎn)治理指引?WOR阪商業(yè)銀行信息科技風(fēng)險(xiǎn)治理指引第一章總那么第一條 為增強(qiáng)商業(yè)銀行信息科技風(fēng)險(xiǎn)治理根據(jù)?中華人民共和國(guó)銀行業(yè)監(jiān) 督治理法?、?中華人民共和國(guó)商業(yè)銀行法?、?中華人民共和國(guó)外資銀行治理?xiàng)l 例?以及國(guó)家信息平安相關(guān)要求和有關(guān)法律法規(guī)制定本指引.第二條 本指引適用于在中華人民共和國(guó)境內(nèi)依法設(shè)立的法人商業(yè)銀行.政策性銀行、農(nóng)村合作銀行、城市信用社、農(nóng)村信用社、村鎮(zhèn)銀行、貸款公 司、金融資產(chǎn)治理公司、信托公司、財(cái)務(wù)公司、金融租賃公司、汽車(chē)金融公司、貨 幣經(jīng)紀(jì)公司等其他銀行業(yè)金融機(jī)構(gòu)參照?qǐng)?zhí)行.第三條本指引所稱信息科技是指計(jì)算機(jī)、通信、微電子和軟件工程等現(xiàn)代信 息技術(shù)在商

2、業(yè)銀行業(yè)務(wù)交易處理、經(jīng)營(yíng)治理和內(nèi)部限制等方面的應(yīng)用并包括進(jìn) 行信息科技治理建立完整的治理組織架構(gòu)制訂完善的治理制度和流程.第四條 本指引所稱信息科技風(fēng)險(xiǎn)是指信息科技在商業(yè)銀行運(yùn)用過(guò)程中由 于自然因素、人為因素、技術(shù)漏洞和治理缺陷產(chǎn)生的操作、法律和聲譽(yù)等風(fēng)險(xiǎn).第五條 信息科技風(fēng)險(xiǎn)治理的目標(biāo)是通過(guò)建立有效的機(jī)制實(shí)現(xiàn)對(duì)商業(yè)銀行信 息科技風(fēng)險(xiǎn)的識(shí)別、計(jì)量、監(jiān)測(cè)和限制促進(jìn)商業(yè)銀行平安、持續(xù)、穩(wěn)健運(yùn)行推 動(dòng)業(yè)務(wù)創(chuàng)新提升信息技術(shù)使用水平增強(qiáng)核心競(jìng)爭(zhēng)力和可持續(xù)開(kāi)展水平.第二章信息科技治理第六條商業(yè)銀行法定代表人是本機(jī)構(gòu)信息科技風(fēng)險(xiǎn)治理的第一責(zé)任人負(fù)責(zé) 組織本指引的貫徹落實(shí).第七條商業(yè)銀行的董事會(huì)應(yīng)履行以下信息

3、科技治理責(zé)任,遵守并貫徹執(zhí)行國(guó)家有關(guān)信息科技治理的法律、法規(guī)和技術(shù)標(biāo)準(zhǔn)落實(shí)中國(guó)銀行業(yè)監(jiān)督治理委員會(huì),以下簡(jiǎn)稱銀監(jiān)會(huì),相關(guān)監(jiān)管要求.,二,審查批準(zhǔn)信息科技戰(zhàn)略保證其與銀行的總體業(yè)務(wù)戰(zhàn)略和重大策略相一 致.評(píng)估信息科技及其風(fēng)險(xiǎn)治理工作的總體效果和效率.,三,掌握主要的信息科技風(fēng)險(xiǎn)確定可接受的風(fēng)險(xiǎn)級(jí)別保證相關(guān)風(fēng)險(xiǎn)能夠被 識(shí)別、計(jì)量、監(jiān)測(cè)和限制.,四,標(biāo)準(zhǔn)職業(yè)道德行為和廉潔標(biāo)準(zhǔn)增強(qiáng)內(nèi)部文化建設(shè)提升全體人員對(duì)信息 科技風(fēng)險(xiǎn)治理重要性的熟悉.,五,設(shè)立一個(gè)由來(lái)自高級(jí)治理層、信息科技部門(mén)和主要業(yè)務(wù)部門(mén)的代表組成的 專門(mén)信息科技治理委員會(huì)負(fù)責(zé)監(jiān)督各項(xiàng)責(zé)任的落實(shí)定期向董事會(huì)和高級(jí)治理層 匯報(bào)信息科技戰(zhàn)略規(guī)劃的執(zhí)

4、行、信息科技預(yù)算和實(shí)際支出、信息科技的整體狀況.,六,在建立良好的公司治理的根底上進(jìn)行信息科技治理形成分工合理、責(zé)任 明確、相互制衡、報(bào)告關(guān)系活晰的信息科技治理組織結(jié)構(gòu).增強(qiáng)信息科技專業(yè)隊(duì)伍的建設(shè)建立人才鼓勵(lì)機(jī)制.,七,保證內(nèi)部審計(jì)部門(mén)進(jìn)行獨(dú)立有效的信息科技風(fēng)險(xiǎn)治理審計(jì)對(duì)審計(jì)報(bào)告進(jìn) 行確認(rèn)并落實(shí)整改.,八,每年審閱并向銀監(jiān)會(huì)及其派出機(jī)構(gòu)報(bào)送信息科技風(fēng)險(xiǎn)治理的年度報(bào)告.,九,保證信息科技風(fēng)險(xiǎn)治理工作所需資金.,+,保證銀行所有員工充分理解和遵守經(jīng)其批準(zhǔn)的信息科技風(fēng)險(xiǎn)治理制度和流 程并安排相關(guān)培訓(xùn).,十一,保證本法人機(jī)構(gòu)涉及客戶信息、賬務(wù)信息以及產(chǎn)品信息等的核心系統(tǒng)在 中國(guó)境內(nèi)獨(dú)立運(yùn)行并保持最高的

5、治理權(quán)限符合銀監(jiān)會(huì)監(jiān)管和實(shí)施現(xiàn)場(chǎng)檢查的要 求防范跨境風(fēng)險(xiǎn).,十二,及時(shí)向銀監(jiān)會(huì)及其派出機(jī)構(gòu)報(bào)告本機(jī)構(gòu)發(fā)生的重大信息科技事故或突發(fā) 事件按相關(guān)預(yù)案快速響應(yīng).,十三,配合銀監(jiān)會(huì)及其派出機(jī)構(gòu)做好信息科技風(fēng)險(xiǎn)監(jiān)督檢查工作并根據(jù)監(jiān)管 意見(jiàn)進(jìn)行整改.,十四,履行信息科技風(fēng)險(xiǎn)治理其他相關(guān)工作.第八條 商業(yè)銀行應(yīng)設(shè)立首席信息官直接向行長(zhǎng)匯報(bào)并參與決策.首席信 息官的責(zé)任包括:,一,直接參與本銀行與信息科技運(yùn)用有關(guān)的業(yè)務(wù)開(kāi)展決策.,二,保證信息科技戰(zhàn)略尤其是信息系統(tǒng)開(kāi)發(fā)戰(zhàn)略符合本銀行的總體業(yè)務(wù)戰(zhàn) 略和信息科技風(fēng)險(xiǎn)治理策略.,三,負(fù)責(zé)建立一個(gè)切實(shí)有效的信息科技部門(mén)承當(dāng)本銀行的信息科技責(zé)任.確 保其履行：信息科技預(yù)

6、算和支出、信息科技策略、標(biāo)準(zhǔn)和流程、信息科技內(nèi)部控 制、專業(yè)化研發(fā)、信息科技工程發(fā)起和治理、信息系統(tǒng)和信息科技根底設(shè)施的運(yùn) 行、維護(hù)和升級(jí)、信息平安治理、災(zāi)難恢復(fù)方案、信息科技外包和信息系統(tǒng)退出等 責(zé)任.,四,保證信息科技風(fēng)險(xiǎn)治理的有效性并使有關(guān)治理舉措落實(shí)到相關(guān)的每一個(gè) 內(nèi)設(shè)機(jī)構(gòu)和分支機(jī)構(gòu).,五,組織專業(yè)培訓(xùn)提升人才隊(duì)伍的專業(yè)技能.,六,履行信息科技風(fēng)險(xiǎn)治理其他相關(guān)工作.第九條 商業(yè)銀行應(yīng)對(duì)信息科技部門(mén)內(nèi)部治理責(zé)任進(jìn)行明確的界定 ,各崗位的人 員應(yīng)具有相應(yīng)的專業(yè)知識(shí)和技能重要崗位應(yīng)制定詳細(xì)完整的工作手冊(cè)并適時(shí)更 新.對(duì)相關(guān)人員應(yīng)采取以下風(fēng)險(xiǎn)防范舉措：,一,驗(yàn)證個(gè)人信息包括核驗(yàn)有效身份證件、學(xué)

7、歷證實(shí)、工作經(jīng)歷和專業(yè)資格 證書(shū)等信息.,二,審核信息科技員工的道德品行保證其具備相應(yīng)的職業(yè)操守.,三,保證員工了解、遵守信息科技策略、指導(dǎo)原那么、信息保密、授權(quán)使用信息 系統(tǒng)、信息科技治理制度和流程等要求并同員工簽訂相關(guān)協(xié)議.,四,評(píng)估關(guān)鍵崗位信息科技員工流失帶來(lái)的風(fēng)險(xiǎn)做好安排候補(bǔ)員工和崗位接 替方案等防范舉措,在員工崗位發(fā)生變化后及時(shí)變更相關(guān)信息.第十條 商業(yè)銀行應(yīng)設(shè)立或指派一個(gè)特定部門(mén)負(fù)責(zé)信息科技風(fēng)險(xiǎn)治理工作并 直接向首席信息官或首席風(fēng)險(xiǎn)官,風(fēng)險(xiǎn)治理委員會(huì),報(bào)告工作.該部門(mén)應(yīng)為信息科技 突發(fā)事件應(yīng)急響應(yīng)小組的成員之一負(fù)責(zé)協(xié)調(diào)制定有關(guān)信息科技風(fēng)險(xiǎn)治理策略尤 其是在涉及信息平安、業(yè)務(wù)連續(xù)性方

8、案和合規(guī)性風(fēng)險(xiǎn)等方面為業(yè)務(wù)部門(mén)和信息科 技部門(mén)提供建議及相關(guān)合規(guī)性信息實(shí)施持續(xù)信息科技風(fēng)險(xiǎn)評(píng)估跟蹤整改意見(jiàn)的 落實(shí)監(jiān)控信息平安威脅和不合規(guī)事件的發(fā)生.第十一條 商業(yè)銀行應(yīng)在內(nèi)部審計(jì)部門(mén)設(shè)立專門(mén)的信息科技風(fēng)險(xiǎn)審計(jì)崗位負(fù) 責(zé)信息科技審計(jì)制度和流程的實(shí)施制訂和執(zhí)行信息科技審計(jì)方案對(duì)信息科技整 個(gè)生命周期和重大事件等進(jìn)行審計(jì).第十二條商業(yè)銀行應(yīng)根據(jù)知識(shí)產(chǎn)權(quán)相關(guān)法律法規(guī)制定本機(jī)構(gòu)信息科技知識(shí) 產(chǎn)權(quán)保護(hù)策略和制度并使所有員工充分理解并遵照?qǐng)?zhí)行.保證購(gòu)置和使用合法的 軟硬件產(chǎn)品禁止侵權(quán)盜版,采取有效舉措保護(hù)本機(jī)構(gòu)自主知識(shí)產(chǎn)權(quán).第十三條商業(yè)銀行應(yīng)依據(jù)有關(guān)法律法規(guī)的要求標(biāo)準(zhǔn)和及時(shí)披露信息科技風(fēng)險(xiǎn)狀況.第三章信息

9、科技風(fēng)險(xiǎn)治理第十四條商業(yè)銀行應(yīng)制定符合銀行總體業(yè)務(wù)規(guī)劃的信息科技戰(zhàn)略、信息科技 運(yùn)行方案和信息科技風(fēng)險(xiǎn)評(píng)估方案保證配谿足夠人力、財(cái)力資源維持穩(wěn)定、安 全的信息科技環(huán)境.第十五條商業(yè)銀行應(yīng)制定全面的信息科技風(fēng)險(xiǎn)治理策略包括但不限于下述領(lǐng)域,一,信息分級(jí)與保護(hù).,二,信息系統(tǒng)開(kāi)發(fā)、測(cè)試和維護(hù).,三,信息科技運(yùn)行和維護(hù).,四,訪問(wèn)限制.,五,物理平安.,六,人員平安.,七,業(yè)務(wù)連續(xù)性方案與應(yīng)急處谿.第十六條 商業(yè)銀行應(yīng)制定持續(xù)的風(fēng)險(xiǎn)識(shí)別和評(píng)估流程確定信息科技中存在 隱患的區(qū)域評(píng)價(jià)風(fēng)險(xiǎn)對(duì)其業(yè)務(wù)的潛在影響對(duì)風(fēng)險(xiǎn)進(jìn)行排序并確定風(fēng)險(xiǎn)防范措 施及所需資源的優(yōu)先級(jí)別,包括外包供給商、產(chǎn)品供給商和效勞商,.第十七

10、條 商業(yè)銀行應(yīng)依據(jù)信息科技風(fēng)險(xiǎn)治理策略和風(fēng)險(xiǎn)評(píng)估結(jié)果實(shí)施全面 的風(fēng)險(xiǎn)防范舉措.防范舉措應(yīng)包括:,一,制定明確的信息科技風(fēng)險(xiǎn)治理制度、技術(shù)標(biāo)準(zhǔn)和操作規(guī)程等定期進(jìn)行更 新和公示.,二,確定潛在風(fēng)險(xiǎn)區(qū)域并對(duì)這些區(qū)域進(jìn)行詳細(xì)和獨(dú)立的監(jiān)控實(shí)現(xiàn)風(fēng)險(xiǎn)最小化.建立適當(dāng)?shù)南拗瓶蚣芤员阌跈z查和平衡風(fēng)險(xiǎn) ,定義每個(gè)業(yè)務(wù)級(jí)別的限制內(nèi)容 包括:1最高權(quán)限用戶的審查.2限制對(duì)數(shù)據(jù)和系統(tǒng)的物理和邏輯訪問(wèn).3訪問(wèn)授權(quán)以“必需知道和“最小授權(quán)為原那么.4審批和授權(quán).5驗(yàn)證和調(diào)節(jié).第十八條商業(yè)銀行應(yīng)建立持續(xù)的信息科技風(fēng)險(xiǎn)計(jì)量和監(jiān)測(cè)機(jī)制其中應(yīng)包括,一,建立信息科技工程實(shí)施前及實(shí)施后的評(píng)價(jià)機(jī)制.,二,建立定期檢查系統(tǒng)性能的程序和標(biāo)準(zhǔn)

11、.,三,建立信息科技效勞投訴和事故處理的報(bào)告機(jī)制.,四,建立內(nèi)部審計(jì)、外部審計(jì)和監(jiān)管發(fā)現(xiàn)問(wèn)題的整改處理機(jī)制.,五,安排供給商和業(yè)務(wù)部門(mén)對(duì)效勞水平協(xié)議的完成情況進(jìn)行定期審查.,六,定期評(píng)估新技術(shù)開(kāi)展可能造成的影響和已使用軟件面臨的新威脅.,七,定期進(jìn)行運(yùn)行環(huán)境下操作風(fēng)險(xiǎn)和治理限制的檢查.,八,定期進(jìn)行信息科技外包工程的風(fēng)險(xiǎn)狀況評(píng)價(jià).第十九條 中資商業(yè)銀行在境外設(shè)立的機(jī)構(gòu)及境內(nèi)的外資商業(yè)銀行應(yīng)當(dāng)遵守 境內(nèi)外監(jiān)管機(jī)構(gòu)關(guān)于信息科技風(fēng)險(xiǎn)治理的要求并防范因監(jiān)管差異所造成的風(fēng)險(xiǎn).第四章信息平安第二十條商業(yè)銀行信息科技部門(mén)負(fù)責(zé)建立和實(shí)施信息分類(lèi)和保護(hù)體系商業(yè) 銀行應(yīng)使所有員工都了解信息平安的重要性并組織提供必

12、要的培訓(xùn)讓員工充分 了解其責(zé)任范圍內(nèi)的信息保護(hù)流程.第二十一條 商業(yè)銀行信息科技部門(mén)應(yīng)落實(shí)信息平安治理職能.該職能應(yīng)包括 建立信息平安方案和保持長(zhǎng)效的治理機(jī)制提升全體員工信息平安意識(shí)就平安問(wèn)題向其他部門(mén)提供建議并定期向 信息科技治理委員會(huì)提交本銀行信息平安評(píng)估報(bào)告.信息平安治理機(jī)制應(yīng)包括信息 平安標(biāo)準(zhǔn)、策略、實(shí)施方案和持續(xù)維護(hù)方案.信息平安策略應(yīng)涉及以下領(lǐng)域:,一,平安制度治理.,二,信息平安組織治理.,三,資產(chǎn)治理.,四,人員平安治理,五,物理與環(huán)境平安治理,六,通信與運(yùn)營(yíng)治理.,七,訪問(wèn)限制治理.,八,系統(tǒng)開(kāi)發(fā)與維護(hù)治理.,九,信息平安事故治理.,+,業(yè)務(wù)連續(xù)性治理.,十一,合規(guī)性治理.第

13、二十二條 商業(yè)銀行應(yīng)建立有效治理用戶認(rèn)證和訪問(wèn)限制的流程.用戶對(duì)數(shù) 據(jù)和系統(tǒng)的訪問(wèn)必須選擇與信息訪問(wèn)級(jí)別相匹配的認(rèn)證機(jī)制并且保證其在信息系 統(tǒng)內(nèi)的活動(dòng)只限于相關(guān)業(yè)務(wù)能合法開(kāi)展所要求的最低限度.用戶調(diào)動(dòng)到新的工作崗 位或離開(kāi)商業(yè)銀行時(shí)應(yīng)在系統(tǒng)中及時(shí)檢查、更新或注銷(xiāo)用戶身份.第二十三條 商業(yè)銀行應(yīng)保證設(shè)立物理平安保護(hù)區(qū)域包括計(jì)算機(jī)中央或數(shù)據(jù) 中央、存儲(chǔ)機(jī)密信息或放谿網(wǎng)絡(luò)設(shè)備等重要信息科技設(shè)備的區(qū)域明確相應(yīng)的責(zé)任采取必要的預(yù)防、檢測(cè)和恢復(fù)限制 舉措.第二十四條 商業(yè)銀行應(yīng)根據(jù)信息平安級(jí)別將網(wǎng)絡(luò)劃分為不同的邏輯平安域 以下簡(jiǎn)稱為域,.應(yīng)該對(duì)以下平安因素進(jìn)行評(píng)估并根據(jù)平安級(jí)別定義和評(píng)估結(jié)果 實(shí)施有效的平

14、安限制如對(duì)每個(gè)域和整個(gè)網(wǎng)絡(luò)進(jìn)行物理或邏輯分區(qū)、實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)容 過(guò)濾、邏輯訪問(wèn)限制、傳輸加密、網(wǎng)絡(luò)監(jiān)控、記錄活動(dòng)日志等.,一,域內(nèi)應(yīng)用程序和用戶組的重要程度.,二,各種通訊渠道進(jìn)入域的訪問(wèn)點(diǎn).,三,域內(nèi)配谿的網(wǎng)絡(luò)設(shè)備和應(yīng)用程序使用的網(wǎng)絡(luò)協(xié)議和端口.,四,性能要求或標(biāo)準(zhǔn).,五,域的性質(zhì)如生產(chǎn)域或測(cè)試域、內(nèi)部域或外部域.,六,不同域之間的連通性.,七,域的可信程度.第二十五條 商業(yè)銀行應(yīng)通過(guò)以下舉措保證所有計(jì)算機(jī)操作系統(tǒng)和系統(tǒng)軟件 的平安：,一,制定每種類(lèi)型操作系統(tǒng)的根本平安要求保證所有系統(tǒng)滿足根本平安要 求.,二,明確定義包括終端用戶、系統(tǒng)開(kāi)發(fā)人員、系統(tǒng)測(cè)試人員、計(jì)算機(jī)操作人 員、系統(tǒng)治理員和用戶治

15、理員等不同用戶組的訪問(wèn)權(quán)限.,三,制定最高權(quán)限系統(tǒng)賬戶的審批、驗(yàn)證和監(jiān)控流程并保證最高權(quán)限用戶的 操作日志被記錄和監(jiān)察.,四,要求技術(shù)人員定期檢查可用的平安補(bǔ)丁并報(bào)告補(bǔ)丁治理狀態(tài).,五,在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪問(wèn)、對(duì)用戶賬戶的修 改等有關(guān)重要事項(xiàng)手動(dòng)或自動(dòng)監(jiān)控系統(tǒng)出現(xiàn)的任何異常事件定期匯報(bào)監(jiān)控情 況.第二十六條商業(yè)銀行應(yīng)通過(guò)以下舉措保證所有信息系統(tǒng)的平安 ：,一,明確定義終端用戶和信息科技技術(shù)人員在信息系統(tǒng)平安中的角色和責(zé)任.,二,針對(duì)信息系統(tǒng)的重要性和敏感程度采取有效的身份驗(yàn)證方法.,三,增強(qiáng)責(zé)任劃分對(duì)關(guān)鍵或敏感崗位進(jìn)行雙重限制.,四,在關(guān)鍵的接合點(diǎn)進(jìn)行輸入驗(yàn)證或輸出核

16、對(duì).,五,采取平安的方式處理保密信息的輸入和輸出預(yù)防信息泄露或被盜取、篡 改.,六,保證系統(tǒng)按預(yù)先定義的方式處理例外情況當(dāng)系統(tǒng)被迫終止時(shí)向用戶提供 必要信息.,七,以書(shū)面或電子格式保存審計(jì)痕跡,八,要求用戶治理員監(jiān)控和審查未成功的登錄和用戶賬戶的修改.第二十七條商業(yè)銀行應(yīng)制定相關(guān)策略和流程治理所有生產(chǎn)系統(tǒng)的活動(dòng)日志 以支持有效的審核、平安取證分析和預(yù)防欺詐.日志可以在軟件的不同層次、不同的計(jì)算機(jī)和網(wǎng)絡(luò)設(shè)備上完成日志 劃分為兩大類(lèi)：,一,交易日志.交易日志由應(yīng)用軟件和數(shù)據(jù)庫(kù)治理系統(tǒng)產(chǎn)生內(nèi)容包括用戶登 錄嘗試、數(shù)據(jù)修改、錯(cuò)誤信息等.交易日志應(yīng)根據(jù)國(guó)家會(huì)計(jì)準(zhǔn)那么要求予以保存.,二,系統(tǒng)日志.系統(tǒng)日志

17、由操作系統(tǒng)、數(shù)據(jù)庫(kù)治理系統(tǒng)、防火墻、入侵檢測(cè)系 統(tǒng)和路由器等生成內(nèi)容包括治理登錄嘗試、系統(tǒng)事件、網(wǎng)絡(luò)事件、錯(cuò)誤信息等. 系統(tǒng)日志保存期限按系統(tǒng)的風(fēng)險(xiǎn)等級(jí)確定但不能少于一年.商業(yè)銀行應(yīng)保證交易日志和系統(tǒng)日志中包含足夠的內(nèi)容以便完成有效的內(nèi)部 限制、解決系統(tǒng)故障和滿足審計(jì)需要,應(yīng)采取適當(dāng)舉措保證所有日志同步計(jì)時(shí)并 保證其完整性.在例外情況發(fā)生后應(yīng)及時(shí)復(fù)查系統(tǒng)日志.交易日志或系統(tǒng)日志的復(fù) 查頻率和保存周期應(yīng)由信息科技部門(mén)和有關(guān)業(yè)務(wù)部門(mén)共同決定并報(bào)信息科技治理 委員會(huì)批準(zhǔn).第二十八條 商業(yè)銀行應(yīng)采取加密技術(shù)防范涉密信息在傳輸、處理、存儲(chǔ)過(guò) 程中出現(xiàn)泄露或被篡改的風(fēng)險(xiǎn)并建立密碼設(shè)備治理制度以保證：,一,

18、使用符合國(guó)家要求的加密技術(shù)和加密設(shè)備.,二,治理、使用密碼設(shè)備的員工經(jīng)過(guò)專業(yè)培訓(xùn)和嚴(yán)格審查.,三,加密強(qiáng)度滿足信息機(jī)密性的要求.,四,制定并落實(shí)有效的治理流程尤其是密鑰和證書(shū)生命周期治理.第二十九條商業(yè)銀行應(yīng)配備切實(shí)有效的系統(tǒng)保證所有終端用戶設(shè)備的平安并定期對(duì)所有設(shè)備進(jìn)行平安檢查包括臺(tái)式個(gè)人計(jì)算機(jī),PC,、便攜式計(jì)算機(jī)、柜員終端、自動(dòng)柜員機(jī),ATM,、存折打印機(jī)、讀卡器、銷(xiāo)售終端,POS,和個(gè)人數(shù)字助 理,PDA,等.第三十條 商業(yè)銀行應(yīng)制定相關(guān)制度和流程嚴(yán)格治理客戶信息的采集、處理、存貯、傳輸、分發(fā)、備份、恢復(fù)、活理和銷(xiāo)毀.第三十一條商業(yè)銀行應(yīng)對(duì)所有員工進(jìn)行必要的培訓(xùn)使其充分掌握信息科技 風(fēng)

19、險(xiǎn)治理制度和流程了解違反規(guī)定的后果并對(duì)違反平安規(guī)定的行為采取零容忍 政策.第五章信息系統(tǒng)開(kāi)發(fā)、測(cè)試和維護(hù)第三十二條商業(yè)銀行應(yīng)有水平對(duì)信息系統(tǒng)進(jìn)行需求分析、規(guī)劃、采購(gòu)、開(kāi)發(fā)、測(cè)試、部署、維護(hù)、升級(jí)和報(bào)廢制定制度和流程治理信息科技工程的優(yōu)先 排序、立項(xiàng)、審批和限制.工程實(shí)施部門(mén)應(yīng)定期向信息科技治理委員會(huì)提交重大信 息科技工程的進(jìn)度報(bào)告由其進(jìn)行審核進(jìn)度報(bào)告應(yīng)當(dāng)包括方案的重大變更、關(guān)鍵 人員或供給商的變更以及主要費(fèi)用支出情況.應(yīng)在信息系統(tǒng)投產(chǎn)后一定時(shí)期內(nèi)組 織對(duì)系統(tǒng)的后評(píng)價(jià)并根據(jù)評(píng)價(jià)結(jié)果及時(shí)對(duì)系統(tǒng)功能進(jìn)行調(diào)整和優(yōu)化.第三十三條 商業(yè)銀行應(yīng)熟悉到信息科技工程相關(guān)的風(fēng)險(xiǎn)包括潛在的各種操 作風(fēng)險(xiǎn)、財(cái)務(wù)損失風(fēng)

20、險(xiǎn)和因無(wú)效工程規(guī)劃或不適當(dāng)?shù)墓こ讨卫硐拗飘a(chǎn)生的時(shí)機(jī)本錢(qián) 并采取適當(dāng)?shù)捻?xiàng)目治理方法限制信息科技工程相關(guān)的風(fēng)險(xiǎn).第三十四條商業(yè)銀行應(yīng)采取適當(dāng)?shù)南到y(tǒng)開(kāi)發(fā)方法限制信息系統(tǒng)的生命周 期.典型的系統(tǒng)生命周期包括系統(tǒng)分析、設(shè)計(jì)、開(kāi)發(fā)或外購(gòu)、測(cè)試、試運(yùn)行、部 署、維護(hù)和退出.所采用的系統(tǒng)開(kāi)發(fā)方法應(yīng)符合信息科技工程的規(guī)模、性質(zhì)和復(fù)雜 度.第三十五條商業(yè)銀行應(yīng)制定相關(guān)限制信息系統(tǒng)變更的制度和流程保證系統(tǒng) 的可靠性、完整性和可維護(hù)性其中應(yīng)包括以下要求 ：,一,生產(chǎn)系統(tǒng)與開(kāi)發(fā)系統(tǒng)、測(cè)試系統(tǒng)有效隔離.,二,生產(chǎn)系統(tǒng)與開(kāi)發(fā)系統(tǒng)、測(cè)試系統(tǒng)的治理職能相別離.,三,除得到治理層批準(zhǔn)執(zhí)行緊急修復(fù)任務(wù)外禁止應(yīng)用程序開(kāi)發(fā)和維護(hù)人員進(jìn)

21、入生產(chǎn)系統(tǒng)且所有的緊急修復(fù)活動(dòng)都應(yīng)立即進(jìn)行記錄和審核.,四,將完成開(kāi)發(fā)和測(cè)試環(huán)境的程序或系統(tǒng)配谿變更應(yīng)用到生產(chǎn)系統(tǒng)時(shí)應(yīng)得到信息科技部門(mén)和業(yè)務(wù)部門(mén)的聯(lián)合批準(zhǔn)并對(duì)變更進(jìn)行及時(shí)記錄和定期復(fù)查.第三十六條商業(yè)銀行應(yīng)制定并落實(shí)相關(guān)制度、標(biāo)準(zhǔn)和流程保證信息系統(tǒng)開(kāi)發(fā)、測(cè)試、維護(hù)過(guò)程中數(shù)據(jù)的完整性、保密性和可用性.第三十七條 商業(yè)銀行應(yīng)建立并完善有效的問(wèn)題治理流程以保證全面地追蹤、分析和解決信息系統(tǒng)問(wèn)題并對(duì)問(wèn)題進(jìn)行記錄、分類(lèi)和索引,如需供給商提供支持效勞或技術(shù)援助應(yīng)向相關(guān)人員提供所需的合同和相關(guān)信息并將過(guò)程記錄在案,對(duì)完成緊急恢復(fù)起至關(guān)重要作用的任務(wù)和指令集應(yīng)有活晰的描述和說(shuō)明并通知相關(guān)人員.第三十八條商業(yè)銀

22、行應(yīng)制定相關(guān)制度和流程限制系統(tǒng)升級(jí)過(guò)程.當(dāng)設(shè)備達(dá)到預(yù)期使用壽命或性能不能滿足業(yè)務(wù)需求根底軟件,操作系統(tǒng)、數(shù)據(jù)庫(kù)治理系 統(tǒng)、中間件,或應(yīng)用軟件必須升級(jí)時(shí)應(yīng)及時(shí)進(jìn)行系統(tǒng)升級(jí)并將該類(lèi)升級(jí)活動(dòng)納 入信息科技工程接受相關(guān)的治理和限制包括用戶驗(yàn)收測(cè)試.第六章信息科技運(yùn)行第三十九條 商業(yè)銀行在選擇數(shù)據(jù)中央的地理位谿時(shí)應(yīng)充分考慮環(huán)境威脅 ,如是否接近自然災(zāi)害多發(fā)區(qū)、危險(xiǎn)或有害設(shè)施、繁忙或主要公路 ,采取物理限制措 施監(jiān)控對(duì)信息處理設(shè)備運(yùn)行構(gòu)成威脅的環(huán)境狀況并預(yù)防因意外斷電或供電十?dāng)_ 影響數(shù)據(jù)中央的正常運(yùn)行.第四十條商業(yè)銀行應(yīng)嚴(yán)格限制第三方人員,如效勞供給商,進(jìn)入平安區(qū)域如確需進(jìn)入應(yīng)得到適當(dāng)?shù)呐鷾?zhǔn)其活動(dòng)也應(yīng)受到

23、監(jiān)控,針對(duì)長(zhǎng)期或臨時(shí)聘用的技術(shù)人 員和承包商尤其是從事敏感性技術(shù)相關(guān)工作的人員應(yīng)制定嚴(yán)格的審查程序包 括身份驗(yàn)證和背景調(diào)查.第四十一條 商業(yè)銀行應(yīng)將信息科技運(yùn)行與系統(tǒng)開(kāi)發(fā)和維護(hù)別離保證信息科 技部門(mén)內(nèi)部的崗位制約,對(duì)數(shù)據(jù)中央的崗位和責(zé)任做出明確規(guī)定.第四十二條商業(yè)銀行應(yīng)根據(jù)有關(guān)法律法規(guī)要求保存交易記錄采取必要的程序和技術(shù)保證存檔數(shù)據(jù)的完整性滿足平安保存和可恢 復(fù)要求.第四十三條商業(yè)銀行應(yīng)制定詳盡的信息科技運(yùn)行操作說(shuō)明.如在信息科技運(yùn) 行手冊(cè)中說(shuō)明計(jì)算機(jī)操作人員的任務(wù)、工作日程、執(zhí)行步驟以及生產(chǎn)與開(kāi)發(fā)環(huán)境 中數(shù)據(jù)、軟件的現(xiàn)場(chǎng)及非現(xiàn)場(chǎng)備份流程和要求,即備份的頻率、范圍和保存周期第四十四條商業(yè)銀行應(yīng)

24、建立事故治理及處谿機(jī)制及時(shí)響應(yīng)信息系統(tǒng)運(yùn)行事 故逐級(jí)向相關(guān)的信息科技治理人員報(bào)告事故的發(fā)生并進(jìn)行記錄、分析和跟蹤 直到完成徹底的處谿和根本原因分析.商業(yè)銀行應(yīng)建立效勞臺(tái)為用戶提供相關(guān)技 術(shù)問(wèn)題的在線支持并將問(wèn)題提交給相關(guān)信息科技部門(mén)進(jìn)行調(diào)查和解決.第四十五條商業(yè)銀行應(yīng)建立效勞水平治理相關(guān)的制度和流程對(duì)信息科技運(yùn) 行效勞水平進(jìn)行考核.第四十六條商業(yè)銀行應(yīng)建立連續(xù)監(jiān)控信息系統(tǒng)性能的相關(guān)程序及時(shí)、完整 地報(bào)告例外情況,該程序應(yīng)提供預(yù)警功能在例外情況對(duì)系統(tǒng)性能造成影響前對(duì)其 進(jìn)行識(shí)別和修正.第四十七條 商業(yè)銀行應(yīng)制定容量規(guī)劃以適應(yīng)由于外部環(huán)境變化產(chǎn)生的業(yè)務(wù) 開(kāi)展和交易量增長(zhǎng).容量規(guī)劃應(yīng)涵蓋生產(chǎn)系統(tǒng)、備

25、份系統(tǒng)及相關(guān)設(shè)備.第四十八條 商業(yè)銀行應(yīng)及時(shí)進(jìn)行維護(hù)和適當(dāng)?shù)南到y(tǒng)升級(jí)以保證與技術(shù)相關(guān) 效勞的連續(xù)可用性并完整保存記錄,包括疑似和實(shí)際的故障、預(yù)防性和補(bǔ)救性維 護(hù)記錄,以確保有效維護(hù)設(shè)備和設(shè)施第四十九條商業(yè)銀行應(yīng)制定有效的變更治理流程以保證生產(chǎn)環(huán)境的完整性和可靠性.包括緊急變更在內(nèi)的所有變更都應(yīng)記入日志由信息科技部門(mén)和業(yè)務(wù)部 門(mén)共同審核簽字并事先進(jìn)行備份以便必要時(shí)可以恢復(fù)原來(lái)的系統(tǒng)版本和數(shù)據(jù)文 件.緊急變更成功后應(yīng)通過(guò)正常的驗(yàn)收測(cè)試和變更治理流程采用恰當(dāng)?shù)男拚?取代緊急變更.第七章業(yè)務(wù)連續(xù)性治理第五十條 商業(yè)銀行應(yīng)根據(jù)自身業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度制定適當(dāng)?shù)臉I(yè)務(wù)連續(xù)性規(guī)劃以保證在出現(xiàn)無(wú)法預(yù)見(jiàn)的

26、中斷時(shí)系統(tǒng)仍能持續(xù)運(yùn)行并提供效勞,定期對(duì)規(guī)劃進(jìn)行更新和演練以保證其有效性.第五十一條 商業(yè)銀行應(yīng)評(píng)估因意外事件導(dǎo)致其業(yè)務(wù)運(yùn)行中斷的可能性及其影 響包括評(píng)估可能由下述原因?qū)е碌钠茐模?一,內(nèi)外部資源的故障或缺失,如人員、系統(tǒng)或其他資產(chǎn),0,二,信息喪失或受損.,三,外部事件,如戰(zhàn)爭(zhēng)、地震或臺(tái)風(fēng)等,.第五十二條 商業(yè)銀行應(yīng)采取系統(tǒng)恢復(fù)和雙機(jī)熱備處理等舉措降低業(yè)務(wù)中斷的可能性并通過(guò)應(yīng)急安排和保險(xiǎn)等方式降低影響.第五十三條商業(yè)銀行應(yīng)建立維持其運(yùn)營(yíng)連續(xù)性策略的文檔并制定對(duì)策略的充分性和有效性進(jìn)行檢查和溝通的方案.其中包括:,一,標(biāo)準(zhǔn)的業(yè)務(wù)連續(xù)性方案明確降低短期、中期和長(zhǎng)期中斷所造成影響的措施包括但不限于

27、:1資源需求,如人員、系統(tǒng)和其他資產(chǎn),以及獲取資源的方式.2運(yùn)行恢復(fù)的優(yōu)先順序.3與內(nèi)部各部門(mén)及外部相關(guān)各方,尤其是監(jiān)管機(jī)構(gòu)、客戶和媒體等,的溝通安 排.,二,更新實(shí)施業(yè)務(wù)連續(xù)性方案的流程及相關(guān)聯(lián)系信息.,三,驗(yàn)證受中斷影響的信息完整性的步驟.,四,當(dāng)商業(yè)銀行的業(yè)務(wù)或風(fēng)險(xiǎn)狀況發(fā)生變化時(shí)對(duì)本條 ,一,到,三,進(jìn)行審核并 升級(jí).第五十四條商業(yè)銀行的業(yè)務(wù)連續(xù)性方案和年度應(yīng)急演練結(jié)果應(yīng)由信息科技風(fēng) 險(xiǎn)治理部門(mén)或信息科技治理委員會(huì)確認(rèn).第八意外包第五十五條商業(yè)銀行不得將其信息科技治理責(zé)任外包應(yīng)合理謹(jǐn)慎監(jiān)督外包 職能的履行.第五十六條 商業(yè)銀行實(shí)施重要外包,如數(shù)據(jù)中央和信息科技根底設(shè)施等,應(yīng)格 外謹(jǐn)慎在準(zhǔn)

28、備實(shí)施重要外包時(shí)應(yīng)以書(shū)面材料正式報(bào)告銀監(jiān)會(huì)或其派出機(jī)構(gòu).第五十七條商業(yè)銀行在簽署外包協(xié)議或?qū)ν獍鼌f(xié)議進(jìn)行重大變更前應(yīng)做好 相關(guān)準(zhǔn)備其中包括:,一,分析外包是否適合商業(yè)銀行的組織結(jié)構(gòu)和報(bào)告路線、業(yè)務(wù)戰(zhàn)略、總體風(fēng)險(xiǎn) 限制是否滿足商業(yè)銀行履行對(duì)外包效勞商的監(jiān)督義務(wù).,二,考慮外包協(xié)議是否允許商業(yè)銀行監(jiān)測(cè)和限制與外包相關(guān)的操作風(fēng)險(xiǎn).,三,充分審查、評(píng)估外包效勞商的財(cái)務(wù)穩(wěn)定性和專業(yè)經(jīng)驗(yàn)對(duì)外包效勞商進(jìn)行 風(fēng)險(xiǎn)評(píng)估考查其設(shè)施和水平是否足以承當(dāng)相應(yīng)的責(zé)任.,四,考慮外包協(xié)議變更前后實(shí)施的平穩(wěn)過(guò)渡,包括終止合同可能發(fā)生的情況,.,五,關(guān)注可能存在的集中風(fēng)險(xiǎn)如多家商業(yè)銀行共用同一外包效勞商帶來(lái)的潛 在業(yè)務(wù)連續(xù)性風(fēng)

29、險(xiǎn).第五十八條 商業(yè)銀行在與外包效勞商合同談判過(guò)程中應(yīng)考慮的因素包括但 不限于：,一,對(duì)外包效勞商的報(bào)告要求和談判必要條件.,二,銀行業(yè)監(jiān)管機(jī)構(gòu)和內(nèi)部審計(jì)、外部審計(jì)能執(zhí)行足夠的監(jiān)督.,三,通過(guò)界定信息所有權(quán)、簽署保密協(xié)議和采取技術(shù)防護(hù)舉措保護(hù)客戶信息和 其他信息.,四,擔(dān)保和損失賠償是否充足.,五,外包效勞商遵守商業(yè)銀行有關(guān)信息科技風(fēng)險(xiǎn)制度和流程的意愿及相關(guān)措 施.,六,外包效勞商提供的業(yè)務(wù)連續(xù)性保證水平以及提供相關(guān)專屆資源的承諾.,七,第三方供給商出現(xiàn)問(wèn)題時(shí)保證軟件持續(xù)可用的相關(guān)舉措.,八,變更外包協(xié)議的流程以及商業(yè)銀行或外包效勞商選擇變更或終止外包協(xié) 議的條件例如：1商業(yè)銀行或外包效勞商的

30、所有權(quán)或限制權(quán)發(fā)生變化.2商業(yè)銀行或外包效勞商的業(yè)務(wù)經(jīng)營(yíng)發(fā)生重大變化.3外包效勞商提供的效勞不充分造成商業(yè)銀行不能履行監(jiān)督義務(wù).第五十九條商業(yè)銀行在實(shí)施雙方關(guān)系治理以及起草效勞水平協(xié)議時(shí)應(yīng)考慮的因素包括但不限于:,一,提出定性和定量的績(jī)效指標(biāo)評(píng)估外包效勞商為商業(yè)銀行及其相關(guān)客戶提 供效勞的充分性.,二,通過(guò)效勞水平報(bào)告、定期自我評(píng)估、內(nèi)部或外部獨(dú)立審計(jì)進(jìn)行績(jī)效考核.,三,針對(duì)績(jī)效不達(dá)標(biāo)的情況調(diào)整流程米取整改舉措.第六十條商業(yè)銀行應(yīng)增強(qiáng)信息科技相關(guān)外包治理工作保證商業(yè)銀行的客戶 資料等敏感信息的平安包括但不限于采取以下舉措 ：,一,實(shí)現(xiàn)本銀行客戶資料與外包效勞商其他客戶資料的有效隔離.,二,根據(jù)

31、“必需知道和“最小授權(quán)原那么對(duì)外包效勞商相關(guān)人員授權(quán).,三,要求外包效勞商保證其相關(guān)人員遵守保密規(guī)定.,四,應(yīng)將涉及本銀行客戶資料的外包作為重要外包并告知相關(guān)客戶.,五,嚴(yán)格限制外包效勞商再次對(duì)外轉(zhuǎn)包采取足夠舉措保證商業(yè)銀行相關(guān)信息 的平安.,六,保證在中止外包協(xié)議時(shí)收回或銷(xiāo)毀外包效勞商保存的所有客戶資料.第六十一條商業(yè)銀行應(yīng)建立恰當(dāng)?shù)膽?yīng)急舉措應(yīng)對(duì)外包效勞商在效勞中可能 出現(xiàn)的重大缺失.尤其需要考慮外包效勞商的重大資源損失重大財(cái)務(wù)損失和重要 人員的變動(dòng)以及外包協(xié)議的意外終止.第六十二條 商業(yè)銀行所有信息科技外包合同應(yīng)由信息科技風(fēng)險(xiǎn)治理部門(mén)、法 律部門(mén)和信息科技治理委員會(huì)審核通過(guò).商業(yè)銀行應(yīng)設(shè)立流程定期審閱和修訂效勞 水平協(xié)議.第九章內(nèi)部審計(jì)第六十三條 商業(yè)銀行內(nèi)部審計(jì)部門(mén)應(yīng)根據(jù)業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度對(duì) 相關(guān)系統(tǒng)及其限制的適當(dāng)性和有效性進(jìn)行監(jiān)測(cè).內(nèi)部審計(jì)部門(mén)應(yīng)配備足夠的資源和 具有專業(yè)水平的信息科技審計(jì)