商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引

1、商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引中國(guó)銀行業(yè)監(jiān)督管理委員會(huì)辦公廳關(guān)于印發(fā) <商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引 > 的通知 （銀監(jiān)辦發(fā) 2010 114號(hào)） 頒布商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引總則第一條為加強(qiáng)商業(yè)銀行數(shù)據(jù)中心風(fēng)險(xiǎn)管理 , 保障數(shù)據(jù)中心安全、可靠、穩(wěn)定運(yùn) 行,提高商業(yè)銀行業(yè)務(wù)連續(xù)性水平 , 根據(jù)中華人民共和國(guó)銀行業(yè)監(jiān)督管理法及 中華人民共和國(guó)商業(yè)銀行法制定本指引。第二條在中華人民共和國(guó)境內(nèi)設(shè)立的國(guó)有商業(yè)銀行、股份制商業(yè)銀行、郵政 儲(chǔ)蓄銀行、城市商業(yè)銀行、省級(jí)農(nóng)村信用聯(lián)合社、外商獨(dú)資銀行、中外合資銀行適 用本指引。中國(guó)銀行業(yè)監(jiān)督管理委員會(huì) （以下簡(jiǎn)稱中國(guó)銀監(jiān)會(huì) ） 監(jiān)管的其他金融機(jī)構(gòu) 參照本指引

2、執(zhí)行。第三條以下術(shù)語(yǔ)適用于本指引 :（ 一 ） 本指引所稱數(shù)據(jù)中心包括生產(chǎn)中心和災(zāi)難備份中心 （ 以下簡(jiǎn)稱災(zāi)備中 心）。（ 二 ） 本指引所稱生產(chǎn)中心是指商業(yè)銀行對(duì)全行業(yè)務(wù)、客戶和管理等重要信息 進(jìn)行集中存儲(chǔ)、處理和維護(hù) ,具備專用場(chǎng)所 ,為業(yè)務(wù)運(yùn)營(yíng)及管理提供信息科技支撐服 務(wù)的組織。（ 三 ） 本指引所稱災(zāi)備中心是指商業(yè)銀行為保障其業(yè)務(wù)連續(xù)性 , 在生產(chǎn)中心故 障、停頓或癱疾后 , 能夠接替生產(chǎn)中心運(yùn)行 , 具備專用場(chǎng)所 , 進(jìn)行數(shù)據(jù)處理和支持重 要業(yè)務(wù)持續(xù)運(yùn)行的組織。（ 四 ） 本指引所稱災(zāi)備中心同城模式是指災(zāi)備中心與生產(chǎn)中心位于同一地理區(qū) 域, 一般距離數(shù)十公里 ,可防范火災(zāi)、建筑物破壞

3、、電力或通信系統(tǒng)中斷等事件。災(zāi)備中心異地模式是指災(zāi)備中心與生產(chǎn)中心處于不同地理區(qū)域 , 一般距離在數(shù)百公里 以上, 不會(huì)同時(shí)面臨同類區(qū)域性災(zāi)難風(fēng)險(xiǎn) , 如地震、臺(tái)風(fēng)和洪水等。（ 五 ） 本指引所稱重要信息系統(tǒng)是指支撐重要業(yè)務(wù) , 其信息安全和服務(wù)質(zhì)量關(guān)系 公民、法人和組織的權(quán)益 , 或關(guān)系社會(huì)秩序、公共利益乃至國(guó)家安全的信息系統(tǒng)。 包括面向客戶、涉及賬務(wù)處理且時(shí)效性要求較高的業(yè)務(wù)處理類、渠道類和涉及客戶 風(fēng)險(xiǎn)管理等業(yè)務(wù)的管理類信息系統(tǒng) , 以及支撐系統(tǒng)運(yùn)行的機(jī)房和網(wǎng)絡(luò)等基礎(chǔ)設(shè)施。第四條信息安全技術(shù)信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范 （GB/T20988-2007） 中的條款 通過(guò)本指引的引用而成為本指引的條

4、款。商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引第一章設(shè)立與變更第五條商業(yè)銀行應(yīng)于取得金融許可證后兩年內(nèi) ,設(shè)立生產(chǎn)中心 ; 生產(chǎn)中心設(shè)立 后兩年內(nèi) , 設(shè)立災(zāi)備中心。第六條商業(yè)銀行數(shù)據(jù)中心應(yīng)配置滿足業(yè)務(wù)運(yùn)營(yíng)與管理要求的場(chǎng)地、基礎(chǔ)設(shè) 施、網(wǎng)絡(luò)、信息系統(tǒng)和人員 , 并具備支持業(yè)務(wù)不間斷服務(wù)的能力。第七條總資產(chǎn)規(guī)模一千億元人民幣以上且跨省設(shè)立分支機(jī)構(gòu)的法人商業(yè)銀行 及省級(jí)農(nóng)村信用聯(lián)合社應(yīng)設(shè)立異地模式災(zāi)備中心 , 重要信息系統(tǒng)災(zāi)難恢復(fù)能力應(yīng)達(dá) 到信息安全技術(shù)信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范中定義的災(zāi)難恢復(fù)等級(jí)第 5級(jí)（含）以上; 其他法人商業(yè)銀行應(yīng)設(shè)立同城模式災(zāi)備中心并實(shí)現(xiàn)數(shù)據(jù)異地備份 重要信息系統(tǒng)災(zāi)難恢復(fù)能力應(yīng)達(dá)到信息安全技術(shù)信

5、息系統(tǒng)災(zāi)難恢復(fù)規(guī)范 中定義的災(zāi)難恢復(fù)等級(jí)第 4 級(jí)（含）以上。第八條商業(yè)銀行應(yīng)就數(shù)據(jù)中心設(shè)立 , 數(shù)據(jù)中心服務(wù)范圍、服務(wù)職能和場(chǎng)所變更 以及其他對(duì)數(shù)據(jù)中心持續(xù)運(yùn)行具有較大影響的重大變更事項(xiàng)向中國(guó)銀監(jiān)會(huì)或其派出 機(jī)構(gòu)報(bào)告。第九條商業(yè)銀行應(yīng)在數(shù)據(jù)中心規(guī)劃籌建階段 , 以及在數(shù)據(jù)中心正式運(yùn)營(yíng)前至少 20個(gè)工作日 , 向中國(guó)銀監(jiān)會(huì)或其派出機(jī)構(gòu)報(bào)告。第十條商業(yè)銀行變更數(shù)據(jù)中心場(chǎng)所時(shí)應(yīng)至少提前 2 個(gè)月, 其他重大變更應(yīng)至少 提前 10 個(gè)工作日向中國(guó)銀監(jiān)會(huì)或其派出機(jī)構(gòu)報(bào)告。商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引第二章風(fēng)險(xiǎn)管理第十一條商業(yè)銀行信息科技風(fēng)險(xiǎn)管理部門應(yīng)制定數(shù)據(jù)中心風(fēng)險(xiǎn)管理策略、風(fēng) 險(xiǎn)識(shí)別和評(píng)估流程 ,定期開

6、展風(fēng)險(xiǎn)評(píng)估工作 ,對(duì)風(fēng)險(xiǎn)進(jìn)行分級(jí)管理 , 持續(xù)監(jiān)督風(fēng)險(xiǎn)管 理狀況,及時(shí)預(yù)警 , 將風(fēng)險(xiǎn)控制在可接受水平。第十二條商業(yè)銀行信息科技部門應(yīng)指導(dǎo)、監(jiān)督和協(xié)調(diào)數(shù)據(jù)中心明確信息系統(tǒng) 運(yùn)營(yíng)維護(hù)管理策略 ,建立運(yùn)營(yíng)維護(hù)管理制度、標(biāo)準(zhǔn)和流程 , 落實(shí)信息科技風(fēng)險(xiǎn)管理措 施。第十三條商業(yè)銀行數(shù)據(jù)中心應(yīng)建立健全各項(xiàng)管理與內(nèi)控制度 , 從技術(shù)和管理等 方面實(shí)施風(fēng)險(xiǎn)控制措施。第十四條商業(yè)銀行數(shù)據(jù)中心應(yīng)設(shè)立專門管理崗位 , 監(jiān)督、檢查數(shù)據(jù)中心各項(xiàng)規(guī) 范、制度、標(biāo)準(zhǔn)和流程的執(zhí)行情況以及風(fēng)險(xiǎn)管理狀況。第十五條商業(yè)銀行應(yīng)根據(jù)業(yè)務(wù)影響分析所識(shí)別出風(fēng)險(xiǎn)的可能性和損失程度, 決定是否購(gòu)買商業(yè)保險(xiǎn)以應(yīng)對(duì)不同類型的災(zāi)難 , 并定期檢查

7、其保險(xiǎn)策略及范圍。投保 資產(chǎn)清單應(yīng)保存于安全場(chǎng)所 , 以便索賠時(shí)使用。第十六條商業(yè)銀行內(nèi)部審計(jì)部門應(yīng)至少每三年進(jìn)行一次數(shù)據(jù)中心內(nèi)部審計(jì)。第十七條商業(yè)銀行在采取有效信息安全控制措施的前提下 , 可聘請(qǐng)合格的外部 審計(jì)機(jī)構(gòu)定期對(duì)數(shù)據(jù)中心進(jìn)行審計(jì)第十八條商業(yè)銀行數(shù)據(jù)中心應(yīng)根據(jù)內(nèi)、外部審計(jì)意見 , 及時(shí)制定整改計(jì)劃并實(shí) 施整改。商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引第三章運(yùn)行環(huán)境管理第十九條商業(yè)銀行進(jìn)行數(shù)據(jù)中心選址時(shí) ,應(yīng)進(jìn)行全面的風(fēng)險(xiǎn)評(píng)估 , 綜合考慮地 理位置、環(huán)境、設(shè)施等各種因素對(duì)數(shù)據(jù)中心安全運(yùn)營(yíng)的潛在影響 , 規(guī)避選址不當(dāng)風(fēng) 險(xiǎn), 避免數(shù)據(jù)中心選址過(guò)度集中。第二十條數(shù)據(jù)中心選址應(yīng)滿足但不限于以下要求 :（

8、一 ） 生產(chǎn)中心與災(zāi)備中心的場(chǎng)所應(yīng)保持合理距離 , 避免同時(shí)遭受同類風(fēng)險(xiǎn)。（ 二 ） 應(yīng)選址于電力供給可靠 , 交通、通信便捷地區(qū) ; 遠(yuǎn)離水災(zāi)和火災(zāi)隱患區(qū)域 ; 遠(yuǎn)離易燃、易爆場(chǎng)所等危險(xiǎn)區(qū)域 ;遠(yuǎn)離強(qiáng)振源和強(qiáng)噪聲源 , 避開強(qiáng)電磁場(chǎng)干擾 ;應(yīng)避 免選址于地震、地質(zhì)災(zāi)害高發(fā)區(qū)域。第二十一條數(shù)據(jù)中心基礎(chǔ)設(shè)施建設(shè)應(yīng)以滿足重要信息系統(tǒng)運(yùn)行高可用性和高 可靠性要求、保障業(yè)務(wù)連續(xù)性為目標(biāo) , 應(yīng)滿足但不限于以下要求 :（ 一 ） 建筑物結(jié)構(gòu) , 如層高、承重、抗震等 , 應(yīng)滿足專用機(jī)房建設(shè)要求。（ 二 ） 應(yīng)根據(jù)使用要求劃分功能區(qū)域 , 各功能區(qū)域原則上相對(duì)獨(dú)立。（ 三 ） 應(yīng)配備不間斷電源、應(yīng)急發(fā)電設(shè)

9、施等以滿足信息技術(shù)設(shè)備連續(xù)運(yùn)行的要 求。（ 四 ） 通信線路、供電、機(jī)房專用空調(diào)等基礎(chǔ)設(shè)施應(yīng)具備冗余能力 , 進(jìn)行冗余配 置, 消除單點(diǎn)隱患。（ 五 ） 機(jī)房區(qū)域應(yīng)采用氣體消防和自動(dòng)消防預(yù)警系統(tǒng) , 內(nèi)部通道設(shè)置、裝飾材料 等應(yīng)滿足消防要求 , 并通過(guò)消防驗(yàn)收。（ 六 ） 應(yīng)采取防雷接地、防磁、防水、防盜、防鼠蟲害等保護(hù)措施。（七）應(yīng)采用環(huán)保節(jié)能技術(shù) ,降低能耗 ,提高效率。第二十二條數(shù)據(jù)中心安防與基礎(chǔ)設(shè)施保障應(yīng)滿足但不限于以下要求 :（ 一 ） 各功能區(qū)域應(yīng)根據(jù)使用功能劃分安全控制級(jí)別 , 不同級(jí)別區(qū)域采用獨(dú)立的 出入控制設(shè)備 ,并集中監(jiān)控 ,各區(qū)域出入口及重要位置應(yīng)采用視頻監(jiān)控 ,監(jiān)控記錄

10、保 存時(shí)間應(yīng)滿足事件分析、監(jiān)督審計(jì)的需要。（ 二 ） 應(yīng)具備機(jī)房環(huán)境監(jiān)控系統(tǒng) , 對(duì)基礎(chǔ)設(shè)施設(shè)備、機(jī)房環(huán)境狀況、安防系統(tǒng)狀 況進(jìn)行 7x24小時(shí)實(shí)時(shí)監(jiān)測(cè) ,監(jiān)測(cè)記錄保存時(shí)間應(yīng)滿足故障診斷、事后審計(jì)的需要。（ 三 ） 每年至少開展一次針對(duì)基礎(chǔ)設(shè)施的安全評(píng)估 , 對(duì)基礎(chǔ)設(shè)施的可用性和可靠 性、運(yùn)維管理流程以及人員的安全意識(shí)等方面進(jìn)行檢查 , 及時(shí)發(fā)現(xiàn)安全隱患并落實(shí) 整改。第二十三條數(shù)據(jù)中心應(yīng)來(lái)用兩家或多家通信運(yùn)營(yíng)商線路互為備份?；閭浞?的通信線路不得經(jīng)過(guò)同一路由節(jié)點(diǎn)。商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引第四章運(yùn)營(yíng)維護(hù)管理第二十四條商業(yè)銀行應(yīng)建立滿足業(yè)務(wù)發(fā)展要求的數(shù)據(jù)中心運(yùn)營(yíng)維護(hù)管理體系 , 根據(jù)業(yè)務(wù)需求定義

11、運(yùn)營(yíng)維護(hù)服務(wù)內(nèi)容 , 制定服務(wù)標(biāo)準(zhǔn)和評(píng)價(jià)方法 , 建立運(yùn)營(yíng)維護(hù)管理 持續(xù)改進(jìn)機(jī)制。第二十五條數(shù)據(jù)中心應(yīng)建立滿足信息科技服務(wù)要求的運(yùn)營(yíng)管理組織架構(gòu)。設(shè) 立生產(chǎn)調(diào)度、信。息安全、操作運(yùn)行維護(hù)、質(zhì)量合規(guī)管理等職能相關(guān)的部門或崗位 明確崗位和職責(zé) , 配備專職人員 , 提供崗位專業(yè)技能培訓(xùn) , 確保關(guān)鍵崗位職責(zé)分離 , 通 過(guò)職責(zé)分工和崗位制約降低數(shù)據(jù)中心操作風(fēng)險(xiǎn)。第二十六條數(shù)據(jù)中心應(yīng)建立信息科技運(yùn)行維護(hù)服務(wù)管理流程 , 提高整體運(yùn)行效 率和服務(wù)水平 , 包括:（ 一 ） 應(yīng)建立事件和問題管理機(jī)制。明確亭件管理流程 , 定義事件類別、事件分 級(jí)響應(yīng)要求和事件升級(jí)、上報(bào)規(guī)則 , 及時(shí)受理、響應(yīng)、審批和交

12、付服務(wù)請(qǐng)求 ,保障生 產(chǎn)服務(wù)質(zhì)量 , 盡可能降低對(duì)業(yè)務(wù)影響 ;建立服務(wù)臺(tái)負(fù)責(zé)受理、跟蹤、解答各類運(yùn)營(yíng)問 題;建立問題根源分析及跟蹤解決機(jī)制 , 查明運(yùn)營(yíng)事件產(chǎn)生的根本原因 ,避免事件再 次發(fā)生。（ 二 ） 應(yīng)建立變更管理流程 , 減少或防止變更對(duì)信息科技服務(wù)的影響。根據(jù)變更 對(duì)業(yè)務(wù)影響大小進(jìn)行變更分級(jí) , 對(duì)變更影響、變更風(fēng)險(xiǎn)、資源需求和變更批準(zhǔn)進(jìn)行 控制和管理 ; 變更方案應(yīng)包括應(yīng)急及回退措施 , 并經(jīng)過(guò)充分測(cè)試和驗(yàn)證 ;建立變更管 理聯(lián)動(dòng)機(jī)制 , 當(dāng)生產(chǎn)中心發(fā)生變更時(shí) ,應(yīng)同步分析災(zāi)備系統(tǒng)變更需求并進(jìn)行相應(yīng)的變 更,評(píng)估災(zāi)備恢復(fù)的有效性 ; 應(yīng)盡量減少緊急變更。（ 三 ） 應(yīng)建立配置管理流

13、程 , 統(tǒng)一管理、及時(shí)更新數(shù)據(jù)中心基礎(chǔ)設(shè)施和重要信息 系統(tǒng)配置信息 , 支持變更風(fēng)險(xiǎn)評(píng)估、變更實(shí)施、故障事件排查、問題根源分析等服 務(wù)管理流程。（ 四 ） 應(yīng)對(duì)重要信息系統(tǒng)和通信網(wǎng)絡(luò)的容量和性能需求進(jìn)行前瞻性規(guī)劃, 分析、調(diào)整和優(yōu)化容量和性能 , 滿足業(yè)務(wù)發(fā)展要求。（ 五 ） 應(yīng)統(tǒng)一調(diào)度各項(xiàng)運(yùn)維任務(wù) , 協(xié)調(diào)和解決各項(xiàng)運(yùn)維任務(wù)沖突 , 妥善記錄和保 存運(yùn)維任務(wù)調(diào)度過(guò)程。（ 六 ） 應(yīng)制定驗(yàn)收交接標(biāo)準(zhǔn)及流程 , 規(guī)范重要信息系統(tǒng)投產(chǎn)驗(yàn)收管理。加強(qiáng)版本 控制, 防范因軟件版本、操作文檔等不一致產(chǎn)生的風(fēng)險(xiǎn)。（ 七 ） 應(yīng)根據(jù)商業(yè)銀行總體風(fēng)險(xiǎn)控制策略及應(yīng)急管理要求 , 從基礎(chǔ)設(shè)施、網(wǎng)絡(luò)、 信息系統(tǒng)等不

14、同方面分別制定應(yīng)急預(yù)案 ,并及時(shí)修訂應(yīng)急預(yù)案 ,定期進(jìn)行演練 ,保證 其有效性。（ 八 ） 應(yīng)集中監(jiān)控重要信息系統(tǒng)和通信網(wǎng)絡(luò)運(yùn)行狀態(tài)。采用監(jiān)控管理工具 , 實(shí)時(shí) 監(jiān)控重要信息系統(tǒng)和通信網(wǎng)絡(luò)的運(yùn)行狀況 , 通過(guò)監(jiān)測(cè)、采集、分析和調(diào)優(yōu) ,提升生產(chǎn) 系統(tǒng)運(yùn)行的可靠性、穩(wěn)定性和可用性。監(jiān)控記錄應(yīng)滿足故障定位、診斷及事后審計(jì)第二十七條數(shù)據(jù)中心應(yīng)建立信息安全管理規(guī)范 , 保證重要信息的機(jī)密性、完整 性和可用性 , 包括:（ 一 ） 應(yīng)設(shè)立專門的信息安全管理部門或崗位 , 制定安全管理制度和實(shí)施計(jì)劃 , 定期對(duì)信息安全策略、制度和流程的執(zhí)行情況進(jìn)行檢查和報(bào)告。（ 二 ） 應(yīng)建立和落實(shí)人員安全管理制度 , 明

15、確信息安全管理職責(zé) ; 通過(guò)安全教育 與培訓(xùn) , 提高人員的安全意識(shí)和技能 ; 建立重要崗位人員備份制度和監(jiān)督制約機(jī)制。（ 三 ） 應(yīng)加強(qiáng)信息資產(chǎn)管理 , 識(shí)別信息資產(chǎn)并建立責(zé)任制 , 根據(jù)信息資產(chǎn)重要性 實(shí)施分類控制和分級(jí)保護(hù) , 防范信息資產(chǎn)生成、使用和處置過(guò)程中的風(fēng)險(xiǎn)。（ 四 ） 應(yīng)建立和落實(shí)物理環(huán)境安全管理制度 , 明確安全區(qū)域、規(guī)范區(qū)域訪問管理 減少未授權(quán)訪問所造成的風(fēng)險(xiǎn)。（ 五 ） 應(yīng)建立操作安全管理制度 , 制定操作規(guī)程文檔 , 規(guī)范信息系統(tǒng)監(jiān)控、日常 維護(hù)和批處理操作等過(guò)程。（ 六 ） 應(yīng)建立數(shù)據(jù)安全管理制度 , 規(guī)范數(shù)據(jù)的產(chǎn)生、獲取、存儲(chǔ)、傳輸、分發(fā)、 備份、恢復(fù)和清理的管理

16、 , 以及存儲(chǔ)介質(zhì)的臺(tái)帳、轉(zhuǎn)儲(chǔ)、抽檢、報(bào)廢和銷毀的管理 保證數(shù)據(jù)的保密、真實(shí)、完整和可用。（ 七 ） 應(yīng)建立網(wǎng)絡(luò)通信與訪問安全策略 , 隔離不同網(wǎng)絡(luò)功能區(qū)域 , 采取與其安全 級(jí)別對(duì)應(yīng)的預(yù)防、監(jiān)測(cè)等控制措施 , 防范對(duì)網(wǎng)絡(luò)的未授權(quán)訪問 , 保證網(wǎng)絡(luò)通信安全。（ 八 ） 應(yīng)建立基礎(chǔ)設(shè)施和重要信息的授權(quán)訪問機(jī)制 , 制定訪問控制流程 , 保留訪 問記錄 , 防止未授權(quán)訪問。商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引第五章災(zāi)難恢復(fù)管理第二十八條商業(yè)銀行應(yīng)將災(zāi)難恢復(fù)管理納入業(yè)務(wù)連續(xù)性管理框架 , 建立災(zāi)難恢 復(fù)管理組織架構(gòu) , 明確災(zāi)難恢復(fù)管理機(jī)制和流程。第二十九條商業(yè)銀行應(yīng)統(tǒng)籌規(guī)劃災(zāi)難恢復(fù)工作 , 定期進(jìn)行風(fēng)險(xiǎn)評(píng)估和

17、業(yè)務(wù)影響 分析, 確定災(zāi)難恢復(fù)目標(biāo)和恢復(fù)等級(jí) ,明確災(zāi)難恢復(fù)策略、預(yù)案并及時(shí)更新。第三十條商業(yè)銀行災(zāi)難恢復(fù)預(yù)案應(yīng)包括但不限于以下內(nèi)容 : 災(zāi)難恢復(fù)指揮小組 和工作小組人員組成及聯(lián)系方式、匯報(bào)路線和溝通協(xié)調(diào)機(jī)制、災(zāi)難恢復(fù)資源分配、 基礎(chǔ)設(shè)施與信息系統(tǒng)的恢復(fù)優(yōu)先次序、災(zāi)難恢復(fù)與回切流程及時(shí)效性要求、對(duì)外溝 通機(jī)制、最終用戶操作指導(dǎo)及第三方技術(shù)支持和應(yīng)急響應(yīng)服務(wù)等內(nèi)容。第三十一條商業(yè)銀行應(yīng)為災(zāi)難恢復(fù)提供充分的資源保障 , 包括基礎(chǔ)設(shè)施、網(wǎng)絡(luò) 通信、運(yùn)維及技術(shù)支持人力資源、技術(shù)培訓(xùn)等。第三十二條商業(yè)銀行應(yīng)建立與服務(wù)提供商、電力部門、公安部門、當(dāng)?shù)卣?和新聞媒體等單位的外部協(xié)作機(jī)制 , 保證災(zāi)難恢復(fù)時(shí)

18、能及時(shí)獲取外部支持。第三十三條商業(yè)銀行應(yīng)建立災(zāi)難恢復(fù)有效性測(cè)試驗(yàn)證機(jī)制 , 測(cè)試驗(yàn)證應(yīng)定期或 在重大變更后進(jìn)行 , 內(nèi)容應(yīng)包含業(yè)務(wù)功能的恢復(fù)驗(yàn)證。第三十四條商業(yè)銀行應(yīng)每年至少進(jìn)行一次重要信息系統(tǒng)專項(xiàng)災(zāi)備切換演練 , 每 三年至少進(jìn)行一次重要信息系統(tǒng)全面災(zāi)備切換演練 , 以真實(shí)業(yè)務(wù)接管為目標(biāo) ,驗(yàn)證災(zāi)備系統(tǒng)有效接管生產(chǎn)系統(tǒng)及安全回切的能力第三十五條商業(yè)銀行進(jìn)行全面災(zāi)備切換和真實(shí)業(yè)務(wù)接管演練前應(yīng)向中國(guó)銀監(jiān) 會(huì)或其派出機(jī)構(gòu)報(bào)告 , 并在演練結(jié)束后報(bào)送演練總結(jié)。第三十六條商業(yè)銀行因?yàn)?zāi)難亭件啟動(dòng)災(zāi)難恢復(fù)或?qū)?zāi)備中心回切至生產(chǎn)中心 后,應(yīng)及時(shí)向中國(guó)銀監(jiān)會(huì)或其派出機(jī)構(gòu)報(bào)告 ,報(bào)告內(nèi)容包括但不限于 : 災(zāi)難亭

19、件發(fā)生 時(shí)間、影響范圍和程度 , 亭件起因、應(yīng)急處置措施、災(zāi)難恢復(fù)實(shí)施情況和結(jié)果、回 切方案。商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引第六章外包管理第三十七條商業(yè)銀行董事會(huì)對(duì)外包負(fù)最終管理責(zé)任 , 應(yīng)推動(dòng)和完善外包風(fēng)險(xiǎn)管 理體系建設(shè) , 確保商業(yè)銀行有效應(yīng)對(duì)外包風(fēng)險(xiǎn)。第三十八條商業(yè)銀行應(yīng)根據(jù)信。息科技戰(zhàn)略規(guī)劃制定數(shù)據(jù)中心外包策略 ; 應(yīng)制 定數(shù)據(jù)中心服務(wù)外包管理制度、流程 , 建立全面的風(fēng)險(xiǎn)控制機(jī)制。第三十九條商業(yè)銀行應(yīng)確定外包服務(wù)所涉及的信息資產(chǎn)的關(guān)鍵性和敏感程度 , 審慎確定數(shù)據(jù)中心外包服務(wù)范圍。第四十條商業(yè)銀行應(yīng)充分識(shí)別、分析、評(píng)估數(shù)據(jù)中心外包風(fēng)險(xiǎn) , 包括信息安全 風(fēng)險(xiǎn)、服務(wù)中斷風(fēng)險(xiǎn)、系統(tǒng)失控風(fēng)險(xiǎn)以及

20、聲譽(yù)風(fēng)險(xiǎn)、戰(zhàn)略風(fēng)險(xiǎn)等 , 形成風(fēng)險(xiǎn)評(píng)估報(bào) 告并報(bào)董事會(huì)和高管層審核。第四十一條實(shí)施數(shù)據(jù)中心服務(wù)外包時(shí) , 商業(yè)銀行的管理責(zé)任不得外包。第四十二條數(shù)據(jù)中心服務(wù)外包一般包括 :（ 一 ） 基礎(chǔ)設(shè)施類 : 外包服務(wù)商向商業(yè)銀行提供數(shù)據(jù)中心機(jī)房、配套設(shè)施或運(yùn)行 設(shè)備的服務(wù)。（ 二 ） 運(yùn)營(yíng)維護(hù)類 : 外包服務(wù)商向商業(yè)銀行提供數(shù)據(jù)中心信息系統(tǒng)或墓礎(chǔ)設(shè)施的 日常運(yùn)行、維護(hù)等服務(wù)。第四十三條商業(yè)銀行在選擇數(shù)據(jù)中心外包服務(wù)商時(shí) , 應(yīng)充分審查、評(píng)估外包服 務(wù)商的資質(zhì)、專業(yè)能力和服務(wù)方案 , 對(duì)外包服務(wù)商進(jìn)行風(fēng)險(xiǎn)評(píng)估 , 考查其服務(wù)能力是 否足以承擔(dān)相應(yīng)的貴任。評(píng)估包括 : 外包服務(wù)商的企業(yè)信譽(yù)及財(cái)務(wù)德定性 ,

21、外包服務(wù) 商的信息安全和信息科技服務(wù)管理體系 , 銀行業(yè)服務(wù)經(jīng)驗(yàn)等。提供數(shù)據(jù)中心基礎(chǔ)設(shè) 施外包服務(wù)的服務(wù)商 , 其運(yùn)行環(huán)境應(yīng)符合商業(yè)銀行要求 , 并具有完備的安全管理規(guī) 范。第四十四條商業(yè)銀行應(yīng)與數(shù)據(jù)中心外包服務(wù)商簽訂書面合同 , 在合同中明確重 要事項(xiàng), 包括但不限于雙方的權(quán)利和義務(wù)、外包服務(wù)水平、服務(wù)的可靠性、服務(wù)的 可用性、信息安全控制、服務(wù)持續(xù)性計(jì)劃、審計(jì)、合規(guī)性要求、違約賠償?shù)?。第四十五條商業(yè)銀行應(yīng)要求外包服務(wù)商購(gòu)買商業(yè)保險(xiǎn)以保證其有足夠的賠償 能力, 并告知保險(xiǎn)覆蓋范圍。第四十六條商業(yè)銀行應(yīng)加強(qiáng)對(duì)數(shù)據(jù)中心外包服務(wù)活動(dòng)的安全管理 , 包括但不限 于:（ 一 ） 商業(yè)銀行應(yīng)將數(shù)據(jù)中心外

22、包服務(wù)安全管理納入數(shù)據(jù)中心的整體安全策略,保障業(yè)務(wù)、管理和客戶敏感數(shù)據(jù)信息安全。（ 二 ） 商業(yè)銀行應(yīng)按照“必需知道”和“最小授權(quán)”原則 , 嚴(yán)格控制外包服務(wù)商 信息訪問的權(quán)限 , 要求外包服務(wù)商不得對(duì)外泄露所接觸的商業(yè)銀行信息。（ 三 ） 商業(yè)銀行應(yīng)要求外包服務(wù)商保留操作痕跡、記錄完整的日志 , 相關(guān)內(nèi)容和 保存期限應(yīng)滿足事件分析、安全取證、獨(dú)立審計(jì)和監(jiān)督檢查需要。（ 四 ） 商業(yè)銀行應(yīng)要求外包服務(wù)商遵守商業(yè)銀行有關(guān)信息科技風(fēng)險(xiǎn)管理制度和 流程。（ 五 ） 商業(yè)銀行應(yīng)要求外包服務(wù)商每年至少開展一次信息安全風(fēng)險(xiǎn)評(píng)估并提交 評(píng)估報(bào)告。（ 六 ） 商業(yè)銀行應(yīng)要求外包服務(wù)商聘請(qǐng)外部機(jī)構(gòu)定期對(duì)其進(jìn)行安

23、全審計(jì)并提交 審計(jì)報(bào)告 , 督促其及時(shí)整改發(fā)現(xiàn)的問題。第四十七條商業(yè)銀行應(yīng)禁止外包服務(wù)商轉(zhuǎn)包并嚴(yán)格控制分包 , 保證外包服務(wù)水 平。第四十八條商業(yè)銀行應(yīng)制定數(shù)據(jù)中心外包服務(wù)應(yīng)急計(jì)劃 , 制訂供應(yīng)商替換方案 以應(yīng)對(duì)外包服務(wù)商破產(chǎn)、不可抗力或其它潛在問題導(dǎo)致服務(wù)中斷或服務(wù)水平下降的 情形, 支持?jǐn)?shù)據(jù)中心連續(xù)、可靠運(yùn)行。第四十九條商業(yè)銀行應(yīng)建立外包服務(wù)考核、評(píng)價(jià)機(jī)制 , 定期對(duì)外包服務(wù)活動(dòng)和 外包服務(wù)商的服務(wù)能力進(jìn)行審核和評(píng)估 , 確保獲得持續(xù)、穩(wěn)定的外包服務(wù)。第五十條商業(yè)銀行在實(shí)施數(shù)據(jù)中心整體服務(wù)外包以及涉及影響業(yè)務(wù)、管理和 客戶敏感數(shù)據(jù)信息安全的外包前 , 應(yīng)向中國(guó)銀監(jiān)會(huì)或其派出機(jī)構(gòu)報(bào)告。第五十

24、一條商業(yè)銀行應(yīng)在外包服務(wù)協(xié)議條款中明確商業(yè)銀行和監(jiān)管機(jī)構(gòu)有權(quán) 對(duì)協(xié)議范圍內(nèi)的服務(wù)活動(dòng)進(jìn)行監(jiān)督檢查 , 包括外包商的服務(wù)職能、責(zé)任、系統(tǒng)和設(shè) 施等內(nèi)容。商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引第七章監(jiān)督管理第五十二條中國(guó)銀監(jiān)會(huì)及其派出機(jī)構(gòu)可依法對(duì)商業(yè)銀行的數(shù)據(jù)中心實(shí)施非現(xiàn) 場(chǎng)監(jiān)管及現(xiàn)場(chǎng)檢查。現(xiàn)場(chǎng)檢查原則上每三年一次。第五十三條針對(duì)商業(yè)銀行數(shù)據(jù)中心設(shè)立、變更、運(yùn)營(yíng)過(guò)程存在的風(fēng)險(xiǎn) , 中國(guó)銀 監(jiān)會(huì)或其派出機(jī)構(gòu)可向商業(yè)銀行提示風(fēng)險(xiǎn)并提出整改意見。商業(yè)銀行應(yīng)及時(shí)整改并 反饋結(jié)果。商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引第八章附則第五十四條本指引由中國(guó)銀監(jiān)會(huì)負(fù)責(zé)解釋、修訂。第五十五條本指引自公布之日起執(zhí)行。附件: 商業(yè)銀行數(shù)據(jù)中心監(jiān)管指

25、引報(bào)告材料目錄和格式要求 商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引附件 :編輯商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引報(bào)告材料目錄和格式要求一、數(shù)據(jù)中心規(guī)劃報(bào)告材料目錄（ 一） 數(shù)據(jù)中心建設(shè)規(guī)劃報(bào)告 , 包括 :1. 立項(xiàng)報(bào)告和可行性分析報(bào)告 , 包括建設(shè)背景、建設(shè)目標(biāo)、風(fēng)險(xiǎn)評(píng)估、效益分 析、成本投入等。2. 基礎(chǔ)設(shè)施規(guī)劃方案 , 包括選址、建筑物結(jié)構(gòu)、功能區(qū)域劃分、監(jiān)控、防雷接 地及消防等配套設(shè)施、機(jī)房等級(jí)等。3. 信息系統(tǒng)建設(shè)規(guī)劃方案 ,包括功能與技術(shù)方案規(guī)劃、人員配置計(jì)劃、系統(tǒng)服 務(wù)的區(qū)域和業(yè)務(wù)范圍等。災(zāi)備中心還需提供災(zāi)難恢復(fù)目標(biāo)、災(zāi)難恢復(fù)等級(jí)、災(zāi)備技 術(shù)方案規(guī)劃及風(fēng)險(xiǎn)評(píng)佑報(bào)告等。（ 二 ） 區(qū)域環(huán)境及基礎(chǔ)設(shè)施風(fēng)險(xiǎn)評(píng)估說(shuō)明 , 包括風(fēng)險(xiǎn)識(shí)別 , 風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)控制 策略等。（ 三 ） 建設(shè)及運(yùn)營(yíng)模式說(shuō)明 , 包括技術(shù)支持及運(yùn)行維護(hù)體系等。如采用外包 , 需 提供外包的服務(wù)