信息科技風險管理辦法-wenkub
2023-05-03 04:18:00 本頁面
【正文】 (四) 確保信息科技風險管理的有效性，并使有關(guān)管理措施落實到相關(guān)的每一個內(nèi)設機構(gòu)和分支機構(gòu)。副行級領(lǐng)導的職責包括：(一) 直接參與本銀行與信息科技運用有關(guān)的業(yè)務發(fā)展決策。（十二） 及時向銀監(jiān)會及其派出機構(gòu)報告本機構(gòu)發(fā)生的重大信息科技事故或突發(fā)事件，按相關(guān)預案快速響應。（八） 每年審閱并向銀監(jiān)會及其派出機構(gòu)報送信息科技風險管理的年度報告。（五） 設立一個由來自高級管理層、信息科技部門和主要業(yè)務部門的代表組成的專門信息科技管理委員會，負責監(jiān)督各項職責的落實，定期向董事會和高級管理層匯報信息科技戰(zhàn)略規(guī)劃的執(zhí)行、信息科技預算和實際支出、信息科技的整體狀況。（二） 審查批準信息科技戰(zhàn)略，確保其與銀行的總體業(yè)務戰(zhàn)略和重大策略相一致。第二條 本管理辦法所稱信息科技是指計算機、通信、微電子和軟件工程等現(xiàn)代信息技術(shù)，在我行業(yè)務交易處理、經(jīng)營管理和內(nèi)部控制等方面的應用，并包括進行信息科技治理，建立完整的管理組織架構(gòu)，制訂完善的管理制度和流程。第三條 本管理辦法所稱信息科技風險，是指信息科技在我行運用過程中，由于自然因素、人為因素、技術(shù)漏洞和管理缺陷產(chǎn)生的操作、法律和聲譽等風險。評估信息科技及其風險管理工作的總體效果和效率。（六） 在建立良好的公司治理的基礎(chǔ)上進行信息科技治理，形成分工合理、職責明確、相互制衡、報告關(guān)系清晰的信息科技治理組織結(jié)構(gòu)。（九） 確保信息科技風險管理工作所需資金。（十三） 配合銀監(jiān)會及其派出機構(gòu)做好信息科技風險監(jiān)督檢查工作，并按照監(jiān)管意見進行整改。(二) 確保信息科技戰(zhàn)略，尤其是信息系統(tǒng)開發(fā)戰(zhàn)略，符合本銀行的總體業(yè)務戰(zhàn)略和信息科技風險管理策略。(五) 組織專業(yè)培訓，提高人才隊伍的專業(yè)技能。(三) 確保員工了解、遵守信息科技策略、指導原則、信息保密、授權(quán)使用信息系統(tǒng)、信息科技管理制度和流程等要求，并同員工簽訂相關(guān)協(xié)議。運行人員應按操作規(guī)程巡檢和操作。(四) 記錄運行值班過程中所有現(xiàn)象、操作過程等信息日志。根據(jù)敏感程度和用途，確定存取權(quán)限、方式和授權(quán)使用范圍，嚴格審批和登記手續(xù)。第九條 風險管理部負責信息科技風險管理工作，并直接向分管行領(lǐng)導（風險管理委員會）報告工作。對總行相關(guān)業(yè)務部門和分支機構(gòu)信息系統(tǒng)風險狀況及維護、運行情況進行監(jiān)測，并進行實時報告。第三章 信息科技風險管理第十一條 我行應制定全面的信息科技風險管理策略，包括但不限于下述領(lǐng)域：(一) 信息分級與保護。(五) 物理安全。第十三條 我行應依據(jù)信息科技風險管理策略和風險評估結(jié)果，實施全面的風險防范措施。 控制對數(shù)據(jù)和系統(tǒng)的物理和邏輯訪問。第十四條 我行應建立持續(xù)的信息科技風險計量和監(jiān)測機制，其中應包括：(一) 建立信息科技項目實施前及實施后的評價機制。(五) 安排供應商和業(yè)務部門對服務水平協(xié)議的完成情況進行定期審查。第四章 信息安全第十五條 科技部負責建立和實施信息分類和保護體系，應使所有員工都了解信息安全的重要性，并組織提供必要的培訓，讓員工充分了解其職責范圍內(nèi)的信息保護流程。信息安全策略應涉及以下領(lǐng)域：(一) 安全制度管理。(五) 物理與環(huán)境安全管理。(九) 信息安全事故管理。用戶對數(shù)據(jù)和系統(tǒng)的訪問必須選擇與信息訪問級別相匹配的認證機制，并且確保其在信息系統(tǒng)內(nèi)的活動只限于相關(guān)業(yè)務能合法開展所要求的最低限度。應該對下列安全因素進行評估，并根據(jù)安全級別定義和評估結(jié)果實施有效的安全控制，如對每個域和整個網(wǎng)絡進行物理或邏輯分區(qū)、實現(xiàn)網(wǎng)絡內(nèi)容過濾、邏輯訪問控制、傳輸加密、網(wǎng)絡監(jiān)控、記錄活動日志等。(四) 性能要求或標準。第二十條 應通過以下措施，確保所有計算機操作系統(tǒng)和系統(tǒng)軟件的安全：(一) 制定每種類型操作系統(tǒng)的基本安全要求，確保所有系統(tǒng)滿足基本安全要求。(五) 在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪問、對用戶賬戶的修改等有關(guān)重要事項，手動或自動監(jiān)控系統(tǒng)出現(xiàn)的任何異常事件，定期匯報監(jiān)控情況。(四) 在關(guān)鍵的接合點進行輸入驗證或輸出核對。(八) 要求用戶管理員監(jiān)控和審查未成功的登錄和用戶賬戶的修改。交易日志應按照國家會計準則要求予以保存。第二十三條 應保證交易日志和系統(tǒng)日志中包含足夠的內(nèi)容，以便完成有效的內(nèi)部控制、解決系統(tǒng)故障和滿足審計需要；應采取適當措施保證所有日志同步計時，并確保其完整性。(二) 管理、使用密碼設備的員工經(jīng)過專業(yè)培訓和嚴格審查。第二十六條 制定相關(guān)制度和流程，嚴格管理客戶信息的采集、處理、存貯、傳輸、分發(fā)、備份、恢復、清理和銷毀。應在信息系統(tǒng)投產(chǎn)后一定時期內(nèi)，組織對系統(tǒng)的后評價，并根據(jù)評價結(jié)果及時對系統(tǒng)功能進行調(diào)整和優(yōu)化。所采用的系統(tǒng)開發(fā)方法應符合信息科技項目的規(guī)模、性質(zhì)和復雜度。(四) 將完成開發(fā)和測試環(huán)境的程序或系統(tǒng)配置變更應用到生產(chǎn)系統(tǒng)時，應得到信息科技部門和業(yè)務部門的聯(lián)合批準，并對變更進行及時記錄和定期復查。第三十四條 嚴格控制第三方人員（如服務供應商）進入安全區(qū)域，如確需進入應得到適當?shù)呐鷾?，其活動也應受到監(jiān)控；針對長期或臨時聘用的技術(shù)人員和承包商，尤其是從事敏感性技術(shù)相關(guān)工作的人員，應制定嚴格的審查程序，包括身份驗證和背景調(diào)查。如在信息科技運行手冊中說明計算機操作人員的任務、工作日程、執(zhí)行步驟，以及生產(chǎn)與開發(fā)環(huán)境中數(shù)據(jù)、軟件的現(xiàn)場及非現(xiàn)場備份流程和要求（即備份的頻率、范圍和保留周期）。第四十條 建立連續(xù)監(jiān)控信息系統(tǒng)性能的相關(guān)程序，及時、完整地報告例外情況；該程序應提供預警功能，在例外情況對系統(tǒng)性能造成
公司管理相關(guān)推薦
鄂ICP備17016276號-1