制度體系之-信息科技風(fēng)險(xiǎn)管理辦法(文件)
【正文】 驟，以及生產(chǎn)與開發(fā)環(huán)境中數(shù)據(jù)、軟件的現(xiàn)場(chǎng)及非現(xiàn)場(chǎng)備份流程和要求（即備份的頻率、范圍和保留周期）。 第四十條 建立連續(xù)監(jiān)控信息系統(tǒng)性能的相關(guān)程序，及時(shí)、完整地報(bào)告例外情況；該程序應(yīng)提供預(yù)警功能，在例外情況對(duì)系統(tǒng)性能造成影響前對(duì)其進(jìn)行識(shí)別和修正。 第四十三條 制定有效的變更管理流程，以確保生產(chǎn)環(huán)境的完整性和可靠性。 第四十五條 評(píng)估因意外事件導(dǎo)致其業(yè)務(wù)運(yùn)行中斷的可能性及其影響，包括評(píng)估可能由下述原因?qū)е碌钠茐模? (一 ) 內(nèi)外部資源的故障或缺失（如人員、系統(tǒng)或其 他資產(chǎn)）。 第四十七條 建立維持其運(yùn)營連續(xù)性策略的文檔，并制定對(duì)策略的充分性和有效性進(jìn)行檢查和溝通的計(jì)劃。 (二 ) 更新實(shí)施業(yè)務(wù)連續(xù)性計(jì)劃的 流程及相關(guān)聯(lián)系信息。 第八章 外包與審計(jì) 第一節(jié) 外包 第四十九條 不得將我行信息科技管理責(zé)任外包，應(yīng)合理謹(jǐn)慎監(jiān)督外包職能的履行。 (三 ) 充分審查、評(píng)估外包服務(wù)商的財(cái)務(wù)穩(wěn)定性和專業(yè)經(jīng)驗(yàn)，對(duì)外包服務(wù)商進(jìn)行風(fēng)險(xiǎn)評(píng)估，考查其設(shè)施和能力是否足以承擔(dān)相應(yīng)的責(zé)任。 (二 ) 銀行業(yè)監(jiān)管機(jī) 構(gòu)和內(nèi)部審計(jì)、外部審計(jì)能執(zhí)行足夠的監(jiān)督。 (六 ) 外包服務(wù)商提供的業(yè)務(wù)連續(xù)性保障水平，以及提供相關(guān)專屬資源的承諾。 外包服務(wù)商提供的服務(wù) 不充分，造成我行不能履行監(jiān)督義務(wù)。 第五十四條 加強(qiáng)信息科技相關(guān)外包管理工作，確保我行的客戶資料等敏感信息的安全，包括但不限于采取以下措施： (一 ) 實(shí)現(xiàn)本銀行客戶資料與外包服務(wù)商其他客戶資料的有效隔離。 (五 ) 嚴(yán)格控制外包服務(wù)商再次對(duì)外轉(zhuǎn)包，采取足夠措施確保我行相關(guān)信息的安全。 第五十六條 我行所有信息科技外包合同應(yīng)由 科技部 、風(fēng)險(xiǎn)管理部、法律合規(guī)部和信息科技管理委員會(huì)審核通過。 第五十八條 我行內(nèi)部信息科技審計(jì)的責(zé)任包括： (一 ) 制定、實(shí)施和調(diào)整審計(jì)計(jì)劃，檢查和評(píng)估我行信息科技系統(tǒng)和內(nèi)控機(jī)制的充分性和有效性。信息科技專項(xiàng)審計(jì)，是指對(duì)信息科技安全事故進(jìn)行的調(diào)查、分析和評(píng) 估，或?qū)徲?jì)部門根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果對(duì)認(rèn)為必要的特殊事項(xiàng)進(jìn)行的審計(jì)。 第六十一條 我行可以在符合法律、法規(guī)和監(jiān)管要求的情況下，委托具備相應(yīng)資質(zhì)的外部審計(jì)機(jī)構(gòu)進(jìn)行信息科技外部審計(jì)。外部審計(jì)機(jī)構(gòu)根據(jù)銀監(jiān)會(huì)或其派出機(jī)構(gòu)的委托或授權(quán)對(duì)我行進(jìn)行審計(jì)時(shí)，應(yīng)出示委托授權(quán)書，并依照委托授權(quán)書上規(guī)定的范圍進(jìn)行審計(jì)。 第六十八條 本辦法自下發(fā)之日起實(shí)施。 第六十六條 我行在委托外部審計(jì)機(jī)構(gòu)進(jìn)行外部審計(jì)時(shí)，應(yīng)與其簽訂保密協(xié)議，并督促其嚴(yán)格遵守法律法規(guī)，保守本銀行的商業(yè)秘密和信息科技風(fēng)險(xiǎn)信息，防止其擅自對(duì)本銀行提供的任何文件進(jìn)行修改、復(fù)制或帶離現(xiàn)場(chǎng)。 第六十三條 我行在實(shí)施外部審計(jì)前應(yīng)與外部審計(jì)機(jī)構(gòu)進(jìn)行充分溝通，詳細(xì)確定審計(jì)范圍，不應(yīng)故意隱瞞事實(shí)或阻撓審計(jì)檢查。但至少應(yīng)每三年進(jìn)行一次全面審計(jì)。 (三 ) 檢查整改意見是否得到落實(shí)。 第二節(jié) 審計(jì) 第五十七條 我行內(nèi)部審計(jì)部門應(yīng)根據(jù)業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度，對(duì)相關(guān)系統(tǒng)及其控制的適當(dāng)性和有效性進(jìn)行監(jiān)測(cè)。 第五十五條 我行應(yīng)建立恰當(dāng)?shù)膽?yīng)急措施，應(yīng)對(duì)外包服務(wù)商在服務(wù)中可能出現(xiàn)的重大缺失。 (三 ) 要 求外包服務(wù)商保證其相關(guān)人員遵守保密規(guī)定。 (二 ) 通過服務(wù)水平報(bào)告、定期自我評(píng)估、內(nèi)部或外部獨(dú)立審計(jì)進(jìn)行績效考核。 (八 ) 變更外包協(xié)議的流程，以及我行或外包服務(wù)商選擇變更或終止外包協(xié)議的條件，例如： 我行或外包服務(wù)商的所有權(quán)或控制權(quán)發(fā)生變化。 (四 ) 擔(dān)保和損失賠償是否充足。 (五 ) 關(guān)注可能存在的集中風(fēng)險(xiǎn)，如多家我行共用同一外包服務(wù)商帶來的潛在業(yè)務(wù)連續(xù)性風(fēng)險(xiǎn)。 第五十一條 在簽署外包協(xié)議或?qū)ν獍鼌f(xié)議進(jìn)行重大變更前，應(yīng)做好相關(guān)準(zhǔn)備，其中包括： (一 ) 分析外包是否適合我行的組織結(jié) 構(gòu)和報(bào)告路線、業(yè)務(wù)戰(zhàn)略、總體風(fēng)險(xiǎn)控制，是否滿足我行履行對(duì)外包服務(wù)商的監(jiān)督義務(wù)。 (四 ) 當(dāng)我行 的業(yè)務(wù)或風(fēng)險(xiǎn)狀況發(fā)生變化時(shí)，對(duì)本條一到三 進(jìn)行審核并升級(jí)。 運(yùn)行恢復(fù)的優(yōu)先順序。 (三 ) 外部事件（如戰(zhàn)爭、地震或臺(tái)風(fēng)等）。緊急變更成功后 ,應(yīng)通過正常的驗(yàn)收測(cè)試和變更管理流程 ,采用恰當(dāng)?shù)男拚匀〈o急變更。容量規(guī)劃應(yīng)涵蓋生產(chǎn)系統(tǒng)、備份系統(tǒng)及相關(guān)設(shè)備。我行應(yīng)建立服務(wù)臺(tái)，為用戶提供相關(guān)技術(shù)問題的在線支持，并將問題提交給相關(guān)信息科技部門進(jìn)行調(diào)查和解決。 第三十六條 按照有關(guān)法律法規(guī)要求保存交易記錄，采取必 要的程序和技術(shù)，確保存檔數(shù)據(jù) 的完整性，滿足安全保存和可恢復(fù)要求。 第三十二條 建立并完善有效的問題管理流程，以確保全面 地追蹤、分析和解決信息系統(tǒng)問題，并對(duì)問題進(jìn)行記錄、分類和索引；如需供應(yīng)商提供支持服務(wù)或技術(shù)援助，應(yīng)向相關(guān)人員提供所需的合同和相關(guān)信息，并將過程記錄在案；對(duì)完成緊急恢復(fù)起至關(guān)重要作用的任務(wù)和指令集，應(yīng)有清晰的描述和說明，并通知相關(guān)人員。 (二 ) 生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測(cè)試系統(tǒng)的管理職能相分離。 第三十條 采取適當(dāng)?shù)南到y(tǒng)開發(fā)方法，控制信息系統(tǒng)的生命周期。 第五章 信息系統(tǒng)開發(fā)、測(cè)試和維護(hù) 第二十八條 應(yīng)有能力對(duì)信息系統(tǒng)進(jìn)行需求分析、規(guī)劃、采購、開發(fā)、測(cè)試、部署、維護(hù)、升級(jí)和報(bào)廢，制定制度和流程，管理信息科技項(xiàng)目的優(yōu)先排序、立項(xiàng)、審批和控制。 (四 ) 制定并落實(shí)有效的管理流程，尤其是密鑰和證書生命周期管理。交 易日志或系統(tǒng)日志的復(fù)查頻率和保存周期應(yīng)由信息科技部門和有關(guān)業(yè)務(wù)部門共同決定，并報(bào)信息科技管理委員會(huì)批準(zhǔn)。系統(tǒng)日志由操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、防火墻、入侵檢測(cè)系統(tǒng)和路由器等生成，內(nèi)容包括管理登錄嘗試、系統(tǒng)事件、網(wǎng)
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1