制度體系之-信息科技風(fēng)險管理辦法-wenkub
2022-09-18 03:39:51 本頁面
【正文】 護應(yīng)實行職責(zé)分離，運行人員應(yīng)實行專職，不得由其他人員兼任。 (二 ) 審核信息科技員工的道德品行，確保其具備相應(yīng)的職業(yè)操守。 (四 ) 確保信息科技風(fēng)險管理的有效性，并使有關(guān)管理措施落實 到相關(guān)的每一個內(nèi)設(shè)機構(gòu)和分支機構(gòu)。副行級領(lǐng)導(dǎo)的職責(zé)包括： (一 ) 直接參與本銀行與信息科技運用有關(guān)的業(yè)務(wù)發(fā)展決策。 （十二） 及時向銀監(jiān)會及其派出機構(gòu)報告本機構(gòu)發(fā)生的重大信息科技事故或突發(fā)事件，按相關(guān)預(yù)案快速響應(yīng)。 （八） 每年審閱并向銀監(jiān)會及其派出機構(gòu)報送信息科技風(fēng)險管理的年度報告。 （五） 設(shè)立一個由來自高級管理層、信息 科技部門和主要業(yè)務(wù)部門的代表組成的專門信息科技管理委員會，負責(zé)監(jiān)督各項職責(zé)的落實，定期向董事會和高級管理層匯報信息科技戰(zhàn)略規(guī)劃的執(zhí)行、信息科技預(yù)算和實際支出、信息科技的整體狀況。 （二） 審查批準(zhǔn)信息科技戰(zhàn)略，確保其與銀行的總體業(yè)務(wù)戰(zhàn)略和重大策略相一致。 第二條 本管理辦法所稱信息科技是指計算機、通信、微電子和軟件工程等現(xiàn)代信息技術(shù)，在我行業(yè)務(wù)交易處理、經(jīng)營管理和內(nèi)部控制等方面的應(yīng)用，并包括進行信息科技治理，建立完整的管理組織架構(gòu)，制訂完善的管理制度和流程。 第三條 本管理辦法所稱信息科技風(fēng)險，是指信息科技在我 行運用過程中，由于自然因素、人為因素、技術(shù)漏洞和管理缺陷產(chǎn)生的操作、法律和聲譽等風(fēng)險。評估信息科技及其風(fēng)險管理工作的總體效果和效率。 （六） 在建立良好的公司治理的基礎(chǔ)上進行信息科技治理，形成分工合理、職責(zé)明確、相互制衡、報告關(guān)系清晰的信息科技治理組織結(jié)構(gòu)。 （九） 確保信息科技風(fēng)險管理 工作所需資金。 （十三） 配合銀監(jiān)會及其派出機構(gòu)做好信息科技風(fēng)險監(jiān)督檢查工作，并按照監(jiān)管意見進行整改。 (二 ) 確保信息科技戰(zhàn)略，尤其是信息系統(tǒng)開發(fā)戰(zhàn)略，符合本銀行的總體業(yè)務(wù)戰(zhàn)略和信息科技風(fēng)險管理策略。 (五 ) 組織專業(yè)培訓(xùn)，提高人才隊伍的專業(yè)技能。 (三 ) 確保員工了解、遵守信息科技策 略、指導(dǎo)原則、信息保密、授權(quán)使用信息系統(tǒng)、信息科技管理制度和流程等要求，并同員工簽訂相關(guān)協(xié)議。運行人員應(yīng)按操作規(guī)程巡檢和操作。 (四 ) 記錄運行值班過程中所有現(xiàn)象、操作過程等信息 日志 。根據(jù)敏感程度和用途，確定存取權(quán)限、方式和授權(quán)使用范圍，嚴(yán)格審批和登記手續(xù)。 第九條 風(fēng)險管理部負責(zé)信息科技風(fēng)險管理工作，并直接向分管行領(lǐng)導(dǎo) （風(fēng)險管理委員會）報告工作。對總行相關(guān)業(yè)務(wù)部門和分支機構(gòu)信息系統(tǒng)風(fēng)險狀況及維護、運行情況進行監(jiān)測，并進行 實時 報告。 第三章 信息科技風(fēng)險管理 第十一條 我行應(yīng)制定全面的信息科技風(fēng)險管理策略，包括但不限于下述領(lǐng)域： (一 ) 信息分級與保護。 (五 ) 物理安全。 第十三條 我行應(yīng)依據(jù)信息科技風(fēng)險管理策略和風(fēng)險評估結(jié)果，實施全面的風(fēng) 險防范措施。 控制對數(shù)據(jù)和系統(tǒng)的物理和邏輯訪問。 第十四條 我行應(yīng)建立持續(xù)的信息科技風(fēng)險計量和監(jiān)測機制，其中應(yīng)包括： (一 ) 建立信息科技項目實施前及實施后的評價機制。 (五 ) 安排供應(yīng)商和業(yè)務(wù)部門對服務(wù)水平協(xié)議的完成情況進行定期審查。 第四章 信息安全 第十五條 科技部 負責(zé)建立和實施信息分類和保護體系，應(yīng)使所有員工都了解信息安全的重要性，并組織提供必要的培訓(xùn)，讓員工充分了解其職責(zé)范圍內(nèi)的信息保護流程。信息安全策略應(yīng)涉及以下領(lǐng)域： (一 ) 安全制度管理。 (五 ) 物理與環(huán)境安全管理。 (九 ) 信息安全事故管理。用戶對數(shù)據(jù)和系統(tǒng)的訪問必須選擇與信息 訪問級別相匹配的認(rèn)證機制，并且確保其在信息系統(tǒng)內(nèi)的活動只限于相關(guān)業(yè)務(wù)能合法開展所要求的最低限度。應(yīng)該對下列安全因素進行評估，并根據(jù)安全級別定義和評估結(jié)果實施有效的安全控制，如對每個域和整個網(wǎng)絡(luò)進行物理或邏輯分 區(qū)、實現(xiàn)網(wǎng)絡(luò)內(nèi)容過濾、邏輯訪問控制、傳輸加密、網(wǎng)絡(luò)監(jiān)控、記錄活動日志等。 (四 ) 性能要求或標(biāo)準(zhǔn)。 第二十條 應(yīng)通過以下措施，確保所有計算機操作系統(tǒng)和系統(tǒng)軟件的安全： (一 ) 制定每種類型操作系統(tǒng)的基本安全要求，確保所有系統(tǒng)滿足基本安全要求。 (五 ) 在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪問、對用戶賬戶的修改等有關(guān)重要事項，手動或自動監(jiān)控系統(tǒng)出現(xiàn)的任何異常事件，定期匯報監(jiān)控情況。 (四 ) 在關(guān)鍵的接合點進行輸入驗證或輸出核對。 (八 ) 要求用戶管理員監(jiān)控和審查未成功的登錄和用戶賬戶的修改。交易日志應(yīng)按照國家會計準(zhǔn)則要求予以保存。 第二十三條 應(yīng)保證交易日志和系統(tǒng)日志中包含足夠的內(nèi)容，以便完成有效的內(nèi)部控制、解決系統(tǒng)故障和滿足審計需要；應(yīng)采取適當(dāng)措施保證所有日志同步計時，并確保其完整性。 (二 ) 管理、使用密碼設(shè)備的員工經(jīng)過專業(yè)培訓(xùn)和嚴(yán)格審查。 第二十六條 制定相關(guān)制度和流程，嚴(yán)格管理客戶信息的采集、處理、存貯、傳輸、分發(fā)、備份、恢復(fù)、清理和銷毀。應(yīng)在信息系統(tǒng)投產(chǎn)后一定時期內(nèi)，組織對系統(tǒng)的后評價，并根據(jù)評價結(jié)果及時對系統(tǒng)功能進行調(diào)整和優(yōu)化。所采用的系統(tǒng)開發(fā)方法應(yīng)符合信息科技項目的規(guī)模、性質(zhì)和復(fù)雜度。 (四 ) 將完成開發(fā)和測試環(huán)境的程序或系統(tǒng)配置變更應(yīng)用到生產(chǎn)系統(tǒng)時，應(yīng)得到信息科技部門和業(yè)務(wù)部門的聯(lián)合批準(zhǔn)，并對變更進行 及時記錄和定期復(fù)查。 第三十四條 嚴(yán)格控制第三方人員（如服務(wù)供應(yīng)商）進入安全區(qū)域，如確需進入應(yīng)得到適當(dāng)?shù)呐鷾?zhǔn)，其活動也應(yīng)受到監(jiān)控；針對長期或臨時聘用的技術(shù)人員和承包商，尤其是從事敏感性技術(shù)相關(guān)工作的人員，應(yīng)制定嚴(yán)格的審查程序，包括身份驗證和背景調(diào)查。如在信息科技運行手冊中說明計算機操作人員的任務(wù)、工作日程、執(zhí)行步
公司管理相關(guān)推薦
鄂ICP備17016276號-1