商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引-wenkub
2023-05-02 08:10:27 本頁(yè)面
【正文】 應(yīng)對(duì)信息科技部門內(nèi)部管理職責(zé)進(jìn)行明確的界定；各崗位的人員應(yīng)具有相應(yīng)的專業(yè)知識(shí)和技能，重要崗位應(yīng)制定詳細(xì)完整的工作手冊(cè)并適時(shí)更新。確保其履行：信息科技預(yù)算和支出、信息科技策略、標(biāo)準(zhǔn)和流程、信息科技內(nèi)部控制、專業(yè)化研發(fā)、信息科技項(xiàng)目發(fā)起和管理、信息系統(tǒng)和信息科技基礎(chǔ)設(shè)施的運(yùn)行、維護(hù)和升級(jí)、信息安全管理、災(zāi)難恢復(fù)計(jì)劃、信息科技外包和信息系統(tǒng)退出等職責(zé)。 第八條 商業(yè)銀行應(yīng)設(shè)立首席信息官，直接向行長(zhǎng)匯報(bào)，并參與決策。 ?。ㄊ唬?確保本法人機(jī)構(gòu)涉及客戶信息、賬務(wù)信息以及產(chǎn)品信息等的核心系統(tǒng)在中國(guó)境內(nèi)獨(dú)立運(yùn)行，并保持最高的管理權(quán)限，符合銀監(jiān)會(huì)監(jiān)管和實(shí)施現(xiàn)場(chǎng)檢查的要求，防范跨境風(fēng)險(xiǎn)。 （七） 確保內(nèi)部審計(jì)部門進(jìn)行獨(dú)立有效的信息科技風(fēng)險(xiǎn)管理審計(jì)，對(duì)審計(jì)報(bào)告進(jìn)行確認(rèn)并落實(shí)整改。 ?。ㄋ模?規(guī)范職業(yè)道德行為和廉潔標(biāo)準(zhǔn)，增強(qiáng)內(nèi)部文化建設(shè)，提高全體人員對(duì)信息科技風(fēng)險(xiǎn)管理重要性的認(rèn)識(shí)。 第七條 商業(yè)銀行的董事會(huì)應(yīng)履行以下信息科技管理職責(zé)： ?。ㄒ唬?遵守并貫徹執(zhí)行國(guó)家有關(guān)信息科技管理的法律、法規(guī)和技術(shù)標(biāo)準(zhǔn)，落實(shí)中國(guó)銀行業(yè)監(jiān)督管理委員會(huì)（以下簡(jiǎn)稱銀監(jiān)會(huì)）相關(guān)監(jiān)管要求。 第三條 本指引所稱信息科技是指計(jì)算機(jī)、通信、微電子和軟件工程等現(xiàn)代信息技術(shù)，在商業(yè)銀行業(yè)務(wù)交易處理、經(jīng)營(yíng)管理和內(nèi)部控制等方面的應(yīng)用，并包括進(jìn)行信息科技治理，建立完整的管理組織架構(gòu)，制訂完善的管理制度和流程。商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引目錄第一章 總 則第二章 信息科技治理第三章 信息科技風(fēng)險(xiǎn)管理第四章 信息安全第五章 信息系統(tǒng)開(kāi)發(fā)、測(cè)試和維護(hù)第六章 信息科技運(yùn)行第七章 業(yè)務(wù)連續(xù)性管理第八章 外 包第九章 內(nèi)部審計(jì)第十章 外部審計(jì)第十一章 附 則第一章 總 則第二章 信息科技治理第三章 信息科技風(fēng)險(xiǎn)管理第四章 信息安全第五章 信息系統(tǒng)開(kāi)發(fā)、測(cè)試和維護(hù)第六章 信息科技運(yùn)行第七章 業(yè)務(wù)連續(xù)性管理第八章 外 包第九章 內(nèi)部審計(jì)第十章 外部審計(jì)第十一章 附 則展開(kāi) 編輯本段第一章 總 則 第一條 為加強(qiáng)商業(yè)銀行信息科技風(fēng)險(xiǎn)管理，根據(jù)《中華人民共和國(guó)銀行業(yè)監(jiān)督管理法》、《中華人民共和國(guó)商業(yè)銀行法》、《中華人民共和國(guó)外資銀行管理?xiàng)l例》，以及國(guó)家信息安全相關(guān)要求和有關(guān)法律法規(guī)，制定本指引。 第四條 本指引所稱信息科技風(fēng)險(xiǎn)，是指信息科技在商業(yè)銀行運(yùn)用過(guò)程中，由于自然因素、人為因素、技術(shù)漏洞和管理缺陷產(chǎn)生的操作、法律和聲譽(yù)等風(fēng)險(xiǎn)。 ?。ǘ?審查批準(zhǔn)信息科技戰(zhàn)略，確保其與銀行的總體業(yè)務(wù)戰(zhàn)略和重大策略相一致。 ?。ㄎ澹?設(shè)立一個(gè)由來(lái)自高級(jí)管理層、信息科技部門和主要業(yè)務(wù)部門的代表組成的專門信息科技管理委員會(huì)，負(fù)責(zé)監(jiān)督各項(xiàng)職責(zé)的落實(shí)，定期向董事會(huì)和高級(jí)管理層匯報(bào)信息科技戰(zhàn)略規(guī)劃的執(zhí)行、信息科技預(yù)算和實(shí)際支出、信息科技的整體狀況。 ?。ò耍?每年審閱并向銀監(jiān)會(huì)及其派出機(jī)構(gòu)報(bào)送信息科技風(fēng)險(xiǎn)管理的年度報(bào)告。 ?。ㄊ?及時(shí)向銀監(jiān)會(huì)及其派出機(jī)構(gòu)報(bào)告本機(jī)構(gòu)發(fā)生的重大信息科技事故或突發(fā)事件，按相關(guān)預(yù)案快速響應(yīng)。首席信息官的職責(zé)包括： ?。ㄒ唬?直接參與本銀行與信息科技運(yùn)用有關(guān)的業(yè)務(wù)發(fā)展決策。 （四） 確保信息科技風(fēng)險(xiǎn)管理的有效性，并使有關(guān)管理措施落實(shí)到相關(guān)的每一個(gè)內(nèi)設(shè)機(jī)構(gòu)和分支機(jī)構(gòu)。對(duì)相關(guān)人員應(yīng)采取下列風(fēng)險(xiǎn)防范措施： ?。ㄒ唬?驗(yàn)證個(gè)人信息，包括核驗(yàn)有效身份證件、學(xué)歷證明、工作經(jīng)歷和專業(yè)資格證書(shū)等信息。 第十條 商業(yè)銀行應(yīng)設(shè)立或指派一個(gè)特定部門負(fù)責(zé)信息科技風(fēng)險(xiǎn)管理工作，并直接向首席信息官或首席風(fēng)險(xiǎn)官（風(fēng)險(xiǎn)管理委員會(huì)）報(bào)告工作。確保購(gòu)買和使用合法的軟硬件產(chǎn)品，禁止侵權(quán)盜版；采取有效措施保護(hù)本機(jī)構(gòu)自主知識(shí)產(chǎn)權(quán)。 （二） 信息系統(tǒng)開(kāi)發(fā)、測(cè)試和維護(hù)。 （六） 人員安全。防范措施應(yīng)包括： ?。ㄒ唬?制定明確的信息科技風(fēng)險(xiǎn)管理制度、技術(shù)標(biāo)準(zhǔn)和操作規(guī)程等，定期進(jìn)行更新和公示。 3. 訪問(wèn)授權(quán)以“必需知道”和“最小授權(quán)”為原則。 ?。ǘ?建立定期檢查系統(tǒng)性能的程序和標(biāo)準(zhǔn)。 ?。?定期評(píng)估新技術(shù)發(fā)展可能造成的影響和已使用軟件面臨的新威脅。編輯本段第四章 信息安全 第二十條 商業(yè)銀行信息科技部門負(fù)責(zé)建立和實(shí)施信息分類和保護(hù)體系，商業(yè)銀行應(yīng)使所有員工都了解信息安全的重要性，并組織提供必要的培訓(xùn)，讓員工充分了解其職責(zé)范圍內(nèi)的信息保護(hù)流程。 信息安全策略應(yīng)涉及以下領(lǐng)域： ?。ㄒ唬?安全制度管理。 ?。ㄎ澹?物理與環(huán)境安全管理。 ?。ň牛?信息安全事故管理。用戶對(duì)數(shù)據(jù)和系統(tǒng)的訪問(wèn)必須選擇與信息訪問(wèn)級(jí)別相匹配的認(rèn)證機(jī)制，并且確保其在信息系統(tǒng)內(nèi)的活動(dòng)只限于相關(guān)業(yè)務(wù)能合法開(kāi)展所要求的最低限度。應(yīng)該對(duì)下列安全因素進(jìn)行評(píng)估，并根據(jù)安全級(jí)別定義和評(píng)估結(jié)果實(shí)施有效的安全控制，如對(duì)每個(gè)域和整個(gè)網(wǎng)絡(luò)進(jìn)行物理或邏輯分區(qū)、實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)容過(guò)濾、邏輯訪問(wèn)控制、傳輸加密、網(wǎng)絡(luò)監(jiān)控、記錄活動(dòng)日志等。 ?。ㄋ模?性能要求或標(biāo)準(zhǔn)。 第二十五條 商業(yè)銀行應(yīng)通過(guò)以下措施，確保所有計(jì)算機(jī)操作系統(tǒng)和系統(tǒng)軟件的安全： ?。ㄒ唬?制定每種類型操作系統(tǒng)的基本安全要求，確保所有系統(tǒng)滿足基本安全要求。 ?。ㄎ澹?在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪問(wèn)、對(duì)用戶賬戶的修改等有關(guān)重要事項(xiàng)，手動(dòng)或自動(dòng)監(jiān)控系統(tǒng)出現(xiàn)的任何異常事件，定期匯報(bào)監(jiān)控情況。 ?。ㄋ模?在關(guān)鍵的接合點(diǎn)進(jìn)行輸入驗(yàn)證或輸出核對(duì)。 ?。ò耍?要求用戶管理員監(jiān)控和審查未成功的登錄和用戶賬戶的修改。交易日志應(yīng)按照國(guó)家會(huì)計(jì)準(zhǔn)則要求予以保存。 商業(yè)銀行應(yīng)保證交易日志和系統(tǒng)日志中包含足夠的內(nèi)容，以便完成有效的內(nèi)部
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1