信息科技风险管理办法

信 息 科 技 风 险 管 理 办 法 编 制 部 门 技 术 部 版 次 号 A 0 生 效 日 期 20161201 目 录 修 改 记 录 3 第 一 章 总 则 4 第 二 章 机 构 职 责 5 第 三 章 信 息 科 技 风 险 管 理 11 第 四 章 信 息 安 全 13 第 五 章 信 息 系 统 开 发 测 试 和 维 护 19 第 六 章 信 息 科 技 运 行 21 第 七 章 业 务 连 续 性 管 理 23 第 八 章 外 包 与 审 计 25 第 一 节 外 包 25 第 二 节 审 计 28 第 九 章 附 则 30 附 件 31 修 改 记 录 版次号 生效日期 修改原因 A 0 流程体系文件 A 版 首次发布 第 一 章 总 则 第一条 为有效防范公司运用信息系统进行业务处理 经营 管理和内部控制过程中产生的风险 促进我司各项业务安全 持 续 稳健运行 根据 中华人民共和国银行业监督管理法 中华人民共和国商业银行法 商业银行信息科技风险管理 指引 营口沿海银操作风险管理指引 以及国家信息安全 相关要求和有关法律法规 制定本管理办法 第二条 本管理办法所称信息科技是指计算机 通信 微电 子和软件工程等现代信息技术 在我司业务交易处理 经营管理 和内部控制等方面的应用 并包括进行信息科技治理 建立完整 的管理组织架构 制订完善的管理制度和流程 第三条 本管理办法所称信息科技风险 是指信息科技在我 司运用过程中 由于自然因素 人为因素 技术漏洞和管理缺陷 产生的操作 法律和声誉等风险 第四条 信息科技风险管理的目标是通过建立有效的机制 实现对我司信息科技风险的识别 计量 监测和控制 促进我司 安全 持续 稳健运行 推动业务创新 提高信息技术使用水平 增强核心竞争力和可持续发展能力 第二章 机构职责 第五条 根据我司信息科技治理的要求 法定代表人是本机 构信息科技风险管理的第一责任人 负责组织本管理办法的贯彻 落实 董事会应履行以下信息科技管理职责 一 遵 守 并 贯 彻 执 行 国 家 有 关 信 息 科 技 管 理 的 法 律 法 规 和 技 术 标 准 落 实 中 国 银 行 业 监 督 管 理 委 员 会 以 下 简 称 银 监 会 相 关 监 管 要 求 二 审 查 批 准 信 息 科 技 战 略 确 保 其 与 银 行 的 总 体 业 务 战 略 和 重 大 策 略 相 一 致 评 估 信 息 科 技 及 其 风 险 管 理 工 作 的 总 体 效 果 和 效 率 三 掌 握 主 要 的 信 息 科 技 风 险 确 定 可 接 受 的 风 险 级 别 确 保 相 关 风 险 能 够 被 识 别 计 量 监 测 和 控 制 四 规 范 职 业 道 德 行 为 和 廉 洁 标 准 增 强 内 部 文 化 建 设 提 高 全 体 人 员 对 信 息 科 技 风 险 管 理 重 要 性 的 认 识 五 设 立 一 个 由 来 自 高 级 管 理 层 信 息 科 技 部 门 和 主 要 业 务 部 门 的 代 表 组 成 的 专 门 信 息 科 技 管 理 委 员 会 负 责 监 督 各 项 职 责 的 落 实 定 期 向 董 事 会 和 高 级 管 理 层 汇 报 信 息 科 技 战 略 规 划 的 执 行 信 息 科 技 预 算 和 实 际 支 出 信 息 科 技 的 整 体 状 况 六 在 建 立 良 好 的 公 司 治 理 的 基 础 上 进 行 信 息 科 技 治 理 形 成 分 工 合 理 职 责 明 确 相 互 制 衡 报 告 关 系 清 晰 的 信 息 科 技 治 理 组 织 结 构 加 强 信 息 科 技 专 业 队 伍 的 建 设 建 立 人 才 激 励 机 制 七 确 保 内 部 审 计 部 门 进 行 独 立 有 效 的 信 息 科 技 风 险 管 理 审 计 对 审 计 报 告 进 行 确 认 并 落 实 整 改 八 每 年 审 阅 并 向 银 监 会 及 其 派 出 机 构 报 送 信 息 科 技 风 险 管 理 的 年 度 报 告 九 确 保 信 息 科 技 风 险 管 理 工 作 所 需 资 金 十 确 保 银 行 所 有 员 工 充 分 理 解 和 遵 守 经 其 批 准 的 信 息 科 技 风 险 管 理 制 度 和 流 程 并 安 排 相 关 培 训 十 一 确 保 本 法 人 机 构 涉 及 客 户 信 息 账 务 信 息 以 及 产 品 信 息 等 的 核 心 系 统 在 中 国 境 内 独 立 运 行 并 保 持 最 高 的 管 理 权 限 符 合 银 监 会 监 管 和 实 施 现 场 检 查 的 要 求 防 范 跨 境 风 险 十 二 及 时 向 银 监 会 及 其 派 出 机 构 报 告 本 机 构 发 生 的 重 大 信 息 科 技 事 故 或 突 发 事 件 按 相 关 预 案 快 速 响 应 十 三 配 合 银 监 会 及 其 派 出 机 构 做 好 信 息 科 技 风 险 监 督 检 查 工 作 并 按 照 监 管 意 见 进 行 整 改 十 四 履 行 信 息 科 技 风 险 管 理 其 他 相 关 工 作 第六条 我司应设立分管信息科技的副行级领导 直接向行 长汇报 并参与决策 副行级领导的职责包括 一 直 接 参 与 本 银 行 与 信 息 科 技 运 用 有 关 的 业 务 发 展 决 策 二 确 保 信 息 科 技 战 略 尤 其 是 信 息 系 统 开 发 战 略 符 合 本 银 行 的 总 体 业 务 战 略 和 信 息 科 技 风 险 管 理 策 略 三 负 责 建 立 一 个 切 实 有 效 的 信 息 科 技 部 门 承 担 本 银 行 的 信 息 科 技 职 责 确 保 其 履 行 信 息 科 技 预 算 和 支 出 信 息 科 技 策 略 标 准 和 流 程 信 息 科 技 内 部 控 制 专 业 化 研 发 信 息 科 技 项 目 发 起 和 管 理 信 息 系 统 和 信 息 科 技 基 础 设 施 的 运 行 维 护 和 升 级 信 息 安 全 管 理 灾 难 恢 复 计 划 信 息 科 技 外 包 和 信 息 系 统 退 出 等 职 责 四 确 保 信 息 科 技 风 险 管 理 的 有 效 性 并 使 有 关 管 理 措 施 落 实 到 相 关 的 每 一 个 内 设 机 构 和 分 支 机 构 五 组 织 专 业 培 训 提 高 人 才 队 伍 的 专 业 技 能 六 履 行 信 息 科 技 风 险 管 理 其 他 相 关 工 作 第七条 科技部负责我司信息安全 信息系统开发 测试和 维护 信息科技运行 业务连续性管理 应对内部管理职责进行 明确的界定 各岗位的人员应具有相应的专业知识和技能 重要 岗位应制定详细完整的工作手册并适时更新 并对相关人员采取 相关的风险防范措施 一 验 证 个 人 信 息 包 括 核 验 有 效 身 份 证 件 学 历 证 明 工 作 经 历 和 专 业 资 格 证 书 等 信 息 二 审 核 信 息 科 技 员 工 的 道 德 品 行 确 保 其 具 备 相 应 的 职 业 操 守 三 确 保 员 工 了 解 遵 守 信 息 科 技 策 略 指 导 原 则 信 息 保 密 授 权 使 用 信 息 系 统 信 息 科 技 管 理 制 度 和 流 程 等 要 求 并 同 员 工 签 订 相 关 协 议 四 评 估 关 键 岗 位 信 息 科 技 员 工 流 失 带 来 的 风 险 做 好 安 排 候 补 员 工 和 岗 位 接 替 计 划 等 防 范 措 施 在 员 工 岗 位 发 生 变 化 后 及 时 变 更 相 关 信 息 第八条 运营管理部职能交叉 要部门协调是信息系统中涉 及账务交易的操作 系统参数变更 事件管理的主要部门 运营 管理部的职责包括 一 运 行 与 维 护 应 实 行 职 责 分 离 运 行 人 员 应 实 行 专 职 不 得 由 其 他 人 员 兼 任 运 行 人 员 应 按 操 作 规 程 巡 检 和 操 作 维 护 人 员 应 按 授 权 和 维 护 规 程 要 求 对 生 产 状 态 的 软 硬 件 数 据 进 行 维 护 除 应 急 外 其 他 维 护 应 在 非 工 作 时 间 进 行 二 制 定 详 细 的 运 行 值 班 操 作 表 包 括 规 定 巡 检 时 间 操 作 范 围 内 容 办 法 命 令 以 及 负 责 人 员 等 信 息 三 提 供 机 房 环 境 设 备 使 用 网 络 运 行 系 统 运 行 职 能 交 叉 要 部 门 协 调 等 监 控 信 息 四 记 录 运 行 值 班 过 程 中 所 有 现 象 操 作 过 程 等 信 息 日 志 五 对 软 件 或 数 据 的 维 护 必 须 通 过 特 定 的 应 用 程 序 进 行 添 加 删 除 和 修 改 数 据 应 通 过 柜 员 终 端 不 得 对 数 据 库 进 行 直 接 操 作 六 具 备 各 种 详 细 的 日 志 信 息 包 括 交 易 日 志 和 审 计 日 志 等 以 便 维 护 和 审 计 七 提 供 维 护 的 统 计 和 报 表 打 印 功 能 八 对 系 统 参 数 等 设 置 变 更 维 护 的 要 求 1 应 对 信 息 系 统 配 置 参 数 实 施 严 格 的 安 全 与 保 密 管 理 防 止 非 法 生 成 变 更 泄 漏 丢 失 与 破 坏 根 据 敏 感 程 度 和 用 途 确 定 存 取 权 限 方 式 和 授 权 使 用 范 围 严 格 审 批 和 登 记 手 续 2 制 订 严 密 的 变 更 处 理 流 程 明 确 变 更 控 制 中 各 岗 位 的 职 责 并 遵 循 流 程 实 施 控 制 和 管 理 变 更 前 应 明 确 应 急 和 回 退 方 案 无 授 权 不 得 进 行 变 更 操 作 3 根 据 变 更 需 求 变 更 方 案 变 更 内 容 核 实 清 单 等 相 关 文 档 审 核 变 更 的 正 确 性 安 全 性 和 合 法 性 职 能 交 叉 要 部 门 协 调 九 应 对 机 房 环 境 设 施 实 行 日 常 巡 检 明 确 信 息 系 统 及 机 房 环 境 设 施 出 现 故 障 时 的 应 急 处 理 流 程 和 预 案 有 实 时 交 易 服 务 的 数 据 中 心 应 实 行 24 小 时 值 班 十 实 行 事 件 报 告 制 度 发 生 信 息 系 统 造 成 重 大 经 济 声 誉 损 失 和 重 大 影 响 事 件 应 即 时 上 报 并 处 理 必 要 时 启 动 应 急 处 理 预 案 第九条 风险管理部负责信息科技风险管理工作 并直接向 分管行领导 风险管理委员会 报告工作 该部门应为信息科技 突发事件应急响应小组的成员之一 负责协调制定有关信息科技 风险管理策略 尤其是在涉及信息安全 业务连续性计划和合规 性风险等方面 为业务部门和信息科技部门提供建议及相关合规 性信息 实施持续信息科技风险评估 跟踪整改意见的落实 监 控信息安全威胁和不合规事件的发生 风险管理部的职责包括 一 拟 定 信 息 系 统 风 险 管 理 总 体 政 策 并 提 交 高 级 管 理 层 审 查 审 批 二 会 同 相 关 业 务 部 门 对 信 息 系 统 风 险 进 行 识 别 监 测 三 审 核 信 息 系 统 风 险 状 况 对 总 行 相 关 业 务 部 门 和 分 支 机 构 信 息 系 统 风 险 状 况 及 维 护 运 行 情 况 进 行 监 测 并 进 行 实 时 报 告 四 组 织 新 投 产 后 信 息 系 统 的 后 评 价 并 识 别 评 估 新 信 息 系 统 中 所 包 含 的 风 险 审 核 相 应 的 操 作 和 风 险 管 理 程 序 第十条 稽核审计部应在部门设立专门的信息科技风险审计 岗位 负责信息科技审计制度和流程的实施 制订和执行信息科 技审计计划 对信息科技整个生命周期和重大事件等进行审计 稽核审计部负责我司信息系统审计任务 也可聘请经国家相应监 管部门认定资质的中介机构进行信息系统外部审计 第三章 信息科技风险管理 第十一条 我司应制定全面的信息科技风险管理策略 包括 但不限于下述领域 一 信 息 分 级 与 保 护 二 信 息 系 统 开 发 测 试 和 维 护 三 信 息 科 技 运 行 和 维 护 四 访 问 控 制 五 物 理 安 全 六 人 员 安 全 七 业 务 连 续 性 计 划 与 应 急 处 置 第十二条 我司应制定持续的风险识别和评估流程 确定信 息科技中存在隐患的区域 评价风险对其业务的潜在影响 对风 险进行排序 并确定风险防范措施及所需资源的优先级别 包括 外包供应商 产品供应商和服务商 第十三条 我司应依据信息科技风险管理策略和风险评估结 果 实施全面的风险防范措施 防范措施应包括 一 制 定 明 确 的 信 息 科 技 风 险 管 理 制 度 技 术 标 准 和 操 作 规 程 等 定 期 进 行 更 新 和 公 示 二 确 定 潜 在 风 险 区 域 并 对 这 些 区 域 进 行 详 细 和 独 立 的 监 控 实 现 风 险 最 小 化 建 立 适 当 的 控 制 框 架 以 便 于 检 查 和 平 衡 风 险 定 义 每 个 业 务 级 别 的 控 制 内 容 包 括 1 最 高 权 限 用 户 的 审 查 2 控 制 对 数 据 和 系 统 的 物 理 和 逻 辑 访 问 3 访 问 授 权 以 必 需 知 道 和 最 小 授 权 为 原 则 4 审 批 和 授 权 5 验 证 和 调 节 第十四条 我司应建立持续的信息科技风险计量和监测机制 其中应包括 一 建 立 信 息 科 技 项 目 实 施 前 及 实 施 后 的 评 价 机 制 二 建 立 定 期 检 查 系 统 性 能 的 程 序 和 标 准 三 建 立 信 息 科 技 服 务 投 诉 和 事 故 处 理 的 报 告 机 制 四 建 立 内 部 审 计 外 部 审 计 和 监 管 发 现 问 题 的 整 改 处 理 机 制 五 安 排 供 应 商 和 业 务 部 门 对 服 务 水 平 协 议 的 完 成 情 况 进 行 定 期 审 查 六 定 期 评 估 新 技 术 发 展 可 能 造 成 的 影 响 和 已 使 用 软 件 面 临 的 新 威 胁 七 定 期 进 行 运 行 环 境 下 操 作 风 险 和 管 理 控 制 的 检 查 八 定 期 进 行 信 息 科 技 外 包 项 目 的 风 险 状 况 评 价 第四章 信息安全 第十五条 科技部负责建立和实施信息分类和保护体系 应 使所有员工都了解信息安全的重要性 并组织提供必要的培训 让员工充分了解其职责范围内的信息保护流程 第十六条 科技部应落实信息安全管理职能 该职能应包括 建立信息安全计划和保持长效的管理机制 提高全体员工信息安 全意识 就安全问题向其他部门提供建议 并定期向信息科技管 理委员会提交本银行信息安全评估报告 信息安全管理机制应包 括信息安全标准 策略 实施计划和持续维护计划 信息安全策 略应涉及以下领域 一 安 全 制 度 管 理 二 信 息 安 全 组 织 管 理 三 资 产 管 理 四 人 员 安 全 管 理 五 物 理 与 环 境 安 全 管 理 六 通 信 与 运 营 管 理 七 访 问 控 制 管 理 八 系 统 开 发 与 维 护 管 理 九 信 息 安 全 事 故 管 理 十 业 务 连 续 性 管 理 十 一 合 规 性 管 理 第十七条 应建立有效管理用户认证和访问控制的流程 用 户对数据和系统的访问必须选择与信息访问级别相匹配的认证机 制 并且确保其在信息系统内的活动只限于相关业务能合法开展 所要求的最低限度 用户调动到新的工作岗位或离开我司时 应 在系统中及时检查 更新或注销用户身份 第十八条 应确保设立物理安全保护区域 包括计算机中心 或数据中心 存储机密信息或放置网络设备等重要信息科技设备 的区域 明确相应的职责 采取必要的预防 检测和恢复控制措 施 第十九条 应根据信息安全级别 将网络划分为不同的逻辑 安全域 以下简称为域 应该对下列安全因素进行评估 并根 据安全级别定义和评估结果实施有效的安全控制 如对每个域和 整个网络进行物理或逻辑分区 实现网络内容过滤 逻辑访问控 制 传输加密 网络监控 记录活动日志等 一 域 内 应 用 程 序 和 用 户 组 的 重 要 程 度 二 各 种 通 讯 渠 道 进 入 域 的 访 问 点 三 域 内 配 置 的 网 络 设 备 和 应 用 程 序 使 用 的 网 络 协 议 和 端 口 四 性 能 要 求 或 标 准 五 域 的 性 质 如 生 产 域 或 测 试 域 内 部 域 或 外 部 域 六 不 同 域 之 间 的 连 通 性 七 域 的 可 信 程 度 第二十条 应通过以下措施 确保所有计算机操作系统和系 统软件的安全 一 制 定 每 种 类 型 操 作 系 统 的 基 本 安 全 要 求 确 保 所 有 系 统 满 足 基 本 安 全 要 求 二 明 确 定 义 包 括 终 端 用 户 系 统 开 发 人 员 系 统 测 试 人 员 计 算 机 操 作 人 员 系 统 管 理 员 和 用 户 管 理 员 等 不 同 用 户 组 的 访 问 权 限 三 制 定 最 高 权 限 系 统 账 户 的 审 批 验 证 和 监 控 流 程 并 确 保 最 高 权 限 用 户 的 操 作 日 志 被 记 录 和 监 察 四 要 求 技 术 人 员 定 期 检 查 可 用 的 安 全 补 丁 并 报 告 补 丁 管 理 状 态 五 在 系 统 日 志 中 记 录 不 成 功 的 登 录 重 要 系 统 文 件 的 访 问 对 用 户 账 户 的 修 改 等 有 关 重 要 事 项 手 动 或 自 动 监 控 系 统 出 现 的 任 何 异 常 事 件 定 期 汇 报 监 控 情 况 第二十一条 应通过以下措施 确保所有信息系统安全 一 明 确 定 义 终 端 用 户 和 信 息 科 技 技 术 人 员 在 信 息 系 统 安 全 中 的 角 色 和 职 责 二 针 对 信 息 系 统 的 重 要 性 和 敏 感 程 度 采 取 有 效 的 身 份 验 证 方 法 三 加 强 职 责 划 分 对 关 键 或 敏 感 岗 位 进 行 双 重 控 制 四 在 关 键 的 接 合 点 进 行 输 入 验 证 或 输 出 核 对 五 采 取 安 全 的 方 式 处 理 保 密 信 息 的 输 入 和 输 出 防 止 信 息 泄 露 或 被 盗 取 篡 改 六 确 保 系 统 按 预 先 定 义 的 方 式 处 理 例 外 情 况 当 系 统 被 迫 终 止 时 向 用 户 提 供 必 要 信 息 七 以 书 面 或 电 子 格 式 保 存 审 计 痕 迹 八 要 求 用 户 管 理 员 监 控 和 审 查 未 成 功 的 登 录 和 用 户 账 户 的 修 改 第二十二条 应制定相关策略和流程 管理所有生产系统的 活动日志 以支持有效的审核 安全取证分析和预防欺诈 日志 可以在软件的不同层次 不同的计算机和网络设备上完成 日志 划分为两大类 一 交 易 日 志 交 易 日 志 由 应 用 软 件 和 数 据 库 管 理 系 统 产 生 内 容 包 括 用 户 登 录 尝 试 数 据 修 改 错 误 信 息 等 交 易 日 志 应 按 照 国 家 会 计 准 则 要 求 予 以 保 存 二 系 统 日 志 系 统 日 志 由 操 作 系 统 数 据 库 管 理 系 统 防 火 墙 入 侵 检 测 系 统 和 路 由 器 等 生 成 内 容 包 括 管 理 登 录 尝 试 系 统 事 件 网 络 事 件 错 误 信 息 等 系 统 日 志 保 存 期 限 按 系 统 的 风 险 等 级 确 定 但 不 能 少 于 一 年 第二十三条 应保证交易日志和系统日志中包含足够的内容 以便完成有效的内部控制 解决系统故障和满足审计需要 应采 取适当措施保证所有日志同步计时 并确保其完整性 在例外情 况发生后应及时复查系统日志 交易日志或系统日志的复查频率 和保存周期应由信息科技部门和有关业务部门共同决定 并报信 息科技管理委员会批准 第二十四条 应采取加密技术 防范涉密信息在传输 处理 存储过程中出现泄露或被篡改的风险 并建立密码设备管理制度 以确保 一 使 用 符 合 国 家 要 求 的 加 密 技 术 和 加 密 设 备 二 管 理 使 用 密 码 设 备 的 员 工 经 过 专 业 培 训 和 严 格 审 查 三 加 密 强 度 满 足 信 息 机 密 性 的 要 求 四 制 定 并 落 实 有 效 的 管 理 流 程 尤 其 是 密 钥 和 证 书 生 命 周 期 管 理 第二十五条 配备切实有效的系统 确保所有终端用户设备 的安全 并定期对所有设备进行安全检查 包括台式个人计算机 PC 便携式计算机 柜员终端 自动柜员机 ATM 存折 打印机 读卡器 销售终端 POS 和个人数字助理 PDA 等 第二十六条 制定相关制度和流程 严格管理客户信息的采 集 处理 存贮 传输 分发 备份 恢复 清理和销毁 第二十七条 对所有员工进行必要的培训 使其充分掌握信 息科技风险管理制度和流程 了解违反规定的后果 并对违反安 全规定的行为采取零容忍政策 第五章 信息系统开发 测试和维护 第二十八条 应有能力对信息系统进行需求分析 规划 采 购 开发 测试 部署 维护 升级和报废 制定制度和流程 管理信息科技项目的优先排序 立项 审批和控制 项目实施部 门应定期向信息科技管理委员会提交重大信息科技项目的进度报 告 由其进行审核 进度报告应当包括计划的重大变更 关键人 员或供应商的变更以及主要费用支出情况 应在信息系统投产后 一定时期内 组织对系统的后评价 并根据评价结果及时对系统 功能进行调整和优化 第二十九条 应认识到信息科技项目相关的风险 包括潜在 的各种操作风险 财务损失风险和因无效项目规划或不适当的项 目管理控制产生的机会成本 并采取适当的项目管理方法 控制 信息科技项目相关的风险 第三十条 采取适当的系统开发方法 控制信息系统的生命 周期 典型的系统生命周期包括系统分析 设计 开发或外购 测试 试运行 部署 维护和退出 所采用的系统开发方法应符 合信息科技项目的规模 性质和复杂度 第三十一条 制定相关控制信息系统变更的制度和流程 确 保系统的可靠性 完整性和可维护性 其中应包括以下要求 一 生 产 系 统 与 开 发 系 统 测 试 系 统 有 效 隔 离 二 生 产 系 统 与 开 发 系 统 测 试 系 统 的 管 理 职 能 相 分 离 三 除 得 到 管 理 层 批 准 执 行 紧 急 修 复 任 务 外 禁 止 应 用 程 序 开 发 和 维 护 人 员 进 入 生 产 系 统 且 所 有 的 紧 急 修 复 活 动 都 应 立 即 进 行 记 录 和 审 核 四 将 完 成 开 发 和 测 试 环 境 的 程 序 或 系 统 配 置 变 更 应 用 到 生 产 系 统 时 应 得 到 信 息 科 技 部 门 和 业 务 部 门 的 联 合 批 准 并 对 变 更 进 行 及 时 记 录 和 定 期 复 查 五 制 定 并 落 实 相 关 制 度 标 准 和 流 程 确 保 信 息 系 统 开 发 测 试 维 护 过 程 中 数 据 的 完 整 性 保 密 性 和 可 用 性 第三十二条 建立并完善有效的问题管理流程 以确保全面 地追踪 分析和解决信息系统问题 并对问题进行记录 分类和 索引 如需供应商提供支持服务或技术援助 应向相关人员提供 所需的合同和相关信息 并将过程记录在案 对完成紧急恢复起 至关重要作用的任务和指令集 应有清晰的描述和说明 并通知 相关人员 第六章 信息科技运行 第三十三条 在选择数据中心的地理位置时 应充分考虑环 境威胁 如是否接近自然灾害多发区 危险或有害设施 繁忙或 主要公路 采取物理控制措施 监控对信息处理设备运行构成 威胁的环境状况 并防止因意外断电或供电干扰影响数据中心的 正常运行 第三十四条 严格控制第三方人员 如服务供应商 进入安 全区域 如确需进入应得到适当的批准 其活动也应受到监控 针对长期或临时聘用的技术人员和承包商 尤其是从事敏感性技 术相关工作的人员 应制定严格的审查程序 包括身份验证和背 景调查 第三十五条 应将信息科技运行与系统开发和维护分离 确 保信息科技部门内部的岗位制约 对数据中心的岗位和职责做出 明确规定 第三十六条 按照有关法律法规要求保存交易记录 采取必 要的程序和技术 确保存档数据的完整性 满足安全保存和可恢 复要求 第三十七条 制定详尽的信息科技运行操作说明 如在信息 科技运行手册中说明计算机操作人员的任务 工作日程 执行步 骤 以及生产与开发环境中数据 软件的现场及非现场备份流程 和要求 即备份的频率 范围和保留周期 第三十八条 建立事故管理及处置机制 及时响应信息系统 运行事故 逐级向相关的信息科技管理人员报告事故的发生 并 进行记录 分析和跟踪 直到完成彻底的处置和根本原因分析 我司应建立服务台 为用户提供相关技术问题的在线支持 并将 问题提交给相关信息科技部门进行调查和解决 第三十九条 建立服务水平管理相关的制度和流程 对信息 科技运行服务水平进行考核 第四十条 建立连续监控信息系统性能的相关程序 及时 完整地报告例外情况 该程序应提供预警功能 在例外情况对系 统性能造成影响前对其进行识别和修正 第四十一条 制定容量规划 以适应由于外部环境变化产生 的业务发展和交易量增长 容量规划应涵盖生产系统 备份系统 及相关设备 第四十二条 及时进行维护和适当的系统升级 以确保与技 术相关服务的连续可用性 并完整保存记录 包括疑似和实际的 故障 预防性和补救性维护记录 以确保有效维护设备和设施 第四十三条 制定有效的变更管理流程 以确保生产环境的 完整性和可靠性 包括紧急变更在内的所有变更都应记入日志 由信息科技部门和业务部门共同审核签字 并事先进行备份 以 便必要时可以恢复原来的系统版本和数据文件 紧急变更成功后 应 通过正常的验收测试和变更管理流程 采用恰当的修正以取代紧 急变更 第七章 业务连续性管理 第四十四条 根据自身业务的性质 规模和复杂程度制定适 当的业务连续性规划 以确保在出现无法预见的中断时 系统仍 能持续运行并提供服务 定期对规划进行更新和演练 以保证其 有效性 第四十五条 评估因意外事件导致其业务运行中断的可能性 及其影响 包括评估可能由下述原因导致的破坏 一 内 外 部 资 源 的 故 障 或 缺 失 如 人 员 系 统 或 其 他 资 产 二 信 息 丢 失 或 受 损 三 外 部 事 件 如 战 争 地 震 或 台 风 等 第四十六条 应采取系统恢复和双机热备处理等措施降低业 务中断的可能性 并通过应急安排和保险等方式降低影响 第四十七条 建立维持其运营连续性策略的文档 并制定对 策略的充分性和有效性进行检查和沟通的计划 其中包括 一 规 范 的 业 务 连 续 性 计 划 明 确 降 低 短 期 中 期 和 长 期 中 断 所 造 成 影 响 的 措 施 包 括 但 不 限 于 1 资 源 需 求 如 人 员 系 统 和 其 他 资 产 以 及 获 取 资 源 的 方 式 2 运 行 恢 复 的 优 先 顺 序 3 与 内 部 各 部 门 及 外 部 相 关 各 方 尤 其 是 监 管 机 构 客 户 和 媒 体 等 的 沟 通 安 排 二 更 新 实 施 业 务 连 续 性 计 划 的 流 程 及 相 关 联 系 信 息 三 验 证 受 中 断 影 响 的 信 息 完 整 性 的 步 骤 四 当 我 司 的 业 务 或 风 险 状 况 发 生 变 化 时 对 本 条 一 到 三 进 行 审 核 并 升 级 第四十八条 我司的业务连续性计划和年度应急演练结果应 由信息科技风险管理部门或信息科技管理委员会确认 第八章 外包与审计 第一节 外包 第四十九条 不得将我司信息科技管理责任外包 应合理谨 慎监督外包职能的履行 第五十条 实施重要外包 如数据中心和信息科技基础设施 等 应格外谨慎 在准备实施重要外包时应以书面材料正式报告 银监会或其派出机构 第五十一条 在签署外包协议或对外包协议进行重大变更前 应做好相关准备 其中包括 一 分 析 外 包 是 否 适 合 我 司 的 组 织 结 构 和 报 告 路 线 业 务 战 略 总 体 风 险 控 制 是 否 满 足 我 司 履 行 对 外 包 服 务 商 的 监 督 义 务 二 考 虑 外 包 协 议 是 否 允 许 我 司 监 测 和 控 制 与 外 包 相 关 的 操 作 风 险 三 充 分 审 查 评 估 外 包 服 务 商 的 财 务 稳 定 性 和 专 业 经 验 对 外 包 服 务 商 进 行 风 险 评 估 考 查 其 设 施 和 能 力 是 否 足 以 承 担 相 应 的 责 任 四 考 虑 外 包 协 议 变 更 前 后 实 施 的 平 稳 过 渡 包 括 终 止 合 同 可 能 发 生 的 情 况 五 关 注 可 能 存 在 的 集 中 风 险 如 多 家 我 司 共 用 同 一 外 包 服 务 商 带 来 的 潜 在 业 务 连 续 性 风 险 第五十二条 在与外包服务商合同谈判过程中 应考虑的因 素包括但不限于 一 对 外 包 服 务 商 的 报 告 要 求 和 谈 判 必 要 条 件 二 银 行 业 监 管 机 构 和 内 部 审 计 外 部 审 计 能 执 行 足 够 的 监 督 三 通 过 界 定 信 息 所 有 权 签 署 保 密 协 议 和 采 取 技 术 防 护 措 施 保 护 客 户 信 息 和 其 他 信 息 四 担 保 和 损 失 赔 偿 是 否 充 足 五 外 包 服 务 商 遵 守 我 司 有 关 信 息 科 技 风 险 制 度 和 流 程 的 意 愿 及 相 关 措 施 六 外 包 服 务 商 提 供 的 业 务 连 续 性 保 障 水 平 以 及 提 供 相 关 专 属 资 源 的 承 诺 七 第 三 方 供 应 商 出 现 问 题 时 保 证 软 件 持 续 可 用 的 相 关 措 施 八 变 更 外 包 协 议 的 流 程 以 及 我 司 或 外 包 服 务 商 选 择 变 更 或 终 止 外 包 协 议 的 条 件 例 如 1 我 司 或 外 包 服 务 商 的 所 有 权 或 控 制 权 发 生 变 化 2 我 司 或 外 包 服 务 商 的 业 务 经 营 发 生 重 大 变 化 3 外 包 服 务 商 提 供 的 服 务 不 充 分 造 成 我 司 不 能 履 行 监 督 义 务 第五十三条 在实施双方关系管理 以及起草服务水平协议 时 应考虑的因素包括但不限于 一 提 出 定 性 和 定 量 的 绩 效 指 标 评 估 外 包 服 务 商 为 我 司 及 其 相 关 客 户 提 供 服 务 的 充 分 性 二 通 过 服 务 水 平 报 告 定 期 自 我 评 估 内 部 或 外 部 独 立 审 计 进 行 绩 效 考 核 三 针 对 绩 效 不 达 标 的 情 况 调 整 流 程 采 取 整 改 措 施 第五十四条 加强信息科技相关外包管理工作 确保我司的 客户资料等敏感信息的安全 包括但不限于采取以下措施 一 实 现 本 银 行 客 户 资 料 与 外 包 服 务 商 其 他 客 户 资 料 的 有 效 隔 离 二 按 照 必 需 知 道 和 最 小 授 权 原 则 对 外 包 服 务 商 相 关 人 员 授 权 三 要 求 外 包 服 务 商 保 证 其 相 关 人 员 遵 守 保 密 规 定 四 应 将 涉 及 本 银 行 客 户 资 料 的 外 包 作 为 重 要 外 包 并 告 知 相 关 客 户 五 严 格 控 制 外 包 服 务 商 再 次 对 外 转 包 采 取 足 够 措 施 确 保 我 司 相 关 信 息 的 安 全 六 确 保 在 中 止 外 包 协 议 时 收 回 或 销 毁 外 包 服 务 商 保 存 的 所 有 客 户 资 料 第五十五条 我司应建立恰当的应急措施 应对外包服务商 在服务中可能出现的重大缺失 尤其需要考虑外包服务商的重大 资源损失 重大财务损失和重要人员的变动 以及外包协议的意 外终止 第五十六条 我司所有信息科技外包合同应由科技部 风险 管理部 法律合规部和信息科技管理委员会审核通过 我司应设 立流程定期审阅和修订服务水平协议 第二节 审计 第五十七条 我司内部审计部门应根据业务的性质 规模和 复杂程度 对相关系统及其控制的适当性和有效性进行监测 稽 核审计部门应配备足够的资源和具有专业能力的信息科技审计人 员 独立于我司的日常活动 具有适当的授权访问我司的记录 第五十八条 我司内部信息科技审计的责任包括 一 制 定 实 施 和 调 整 审 计 计 划 检 查 和 评 估 我 司 信 息 科 技 系 统 和 内 控 机 制 的 充 分 性 和 有 效 性 二 按 照 第 一 款 规 定 完 成 审 计 工 作 在 此 基 础 上 提 出 整 改 意 见 三 检 查 整 改 意 见 是 否 得 到 落 实 四 执 行 信 息 科 技 专 项 审 计 信 息 科 技 专 项 审 计 是 指 对 信 息 科 技 安 全 事 故 进 行 的 调 查 分 析 和 评 估 或 审 计 部 门 根 据 风 险 评 估 结 果 对 认 为 必 要 的 特 殊 事 项 进 行 的 审 计 第五十九条 我司应根据业务性质 规模和复杂程度 信息 科技应用情况 以及信息科技风险评估结果 决定信息科技内部 审计范围和频率 但至少应每三年进行一次全面审计 第六十条 我司在进行大规模系统开发时 应要求信息科技 风险管理部门和内部审计部门参与 保证系统开发符合本银行信 息科技风险管理标准 第六十一条 我司可以在符合法律 法规和监管要求的情况 下 委托具备相应资质的外部审计机构进行信息科技外部审计 第六十二条 在委托审计过程中 我司应确保外部审计机构 能够对本银行的硬件 软件 文档和数据进行检查 以发现信息 科技存在的风险 国家法律 法规及监管部门规章 规范性文件 规定的重要商业 技术保密信息除外 第六十三条 我司在实施外部审计前应与外部审计机构进行 充分沟通 详细确定审计范围 不应故意隐瞒事实或阻挠审计检 查 第六十四条 银监会及其派出机构必要时可指定具备相应资 质的外部审计机构对我司执行信息科技审计或相关检查 外部审 计机构根据银监会或其派出机构的委托或授权对我司进行审计时 应出示委托授权书 并依照委托授权书上规定的范围进行审计 第六十五条 外部审计机构根据授权出具的审计报告 经银 监会及其派出机构审阅批准后具有与银监会及其派出机构出具的 检查报告同等的效力 被审计的我司应根据该审计报告提出整改 计划 并在规定的时间内实施整改 第六十六条 我司在委托外部审计机构进行外部审计时 应 与其签订保密协议 并督促其严格遵守法律法规 保守本银行的 商业秘密和信息科技风险信息 防止其擅自对本银行提供的任何 文件进行修改 复制或带离现场 第九章 附则 第 六 十 七 条 本办法由营口沿海银风险管理部负责解释 和修订 第六十八条 本办法自下发之日起实施 附 件 无