商業(yè)銀行分支機(jī)構(gòu)信息科技風(fēng)險快速巡查單(存儲版)
【正文】 □否明確界定允許外包的內(nèi)容、范圍和活動: □是 □否重要信息科技外包協(xié)議經(jīng)過信息科技風(fēng)險管理部門、法律部門的審批: □是 □否與外包服務(wù)商簽訂書面合同，明確其在安全、保密、知識產(chǎn)權(quán)等方面的義務(wù)：□是 □否備 注（事實依據(jù)）：沒有信息科技外包工作巡查方法：訪談和抽樣需關(guān)注的問題（根據(jù)需要填寫）:2. 是否進(jìn)行外包人員管理？外包人員進(jìn)場前學(xué)習(xí)關(guān)于外包人員管理的規(guī)章制度，并簽署《保密承諾書》: □是 □否完整統(tǒng)計外包人員信息: □是 □否定期對外包人員的履職情況進(jìn)行檢查: □是 □否對違反保密義務(wù)、工作規(guī)范或有其他重大違規(guī)行為的外包人員堅決辭退: □是 □否外包人員設(shè)備（如：自帶的計算機(jī)、便攜機(jī)、移動通信設(shè)備、集線器等）經(jīng)批準(zhǔn)方可接入銀行網(wǎng)絡(luò): □是 □否備 注（事實依據(jù)）：沒有信息科技外包工作巡查方法：訪談和抽樣需關(guān)注的問題（根據(jù)需要填寫）:3. 自助設(shè)備的維護(hù)是否經(jīng)過授權(quán)并嚴(yán)格管理？嚴(yán)格控制將自助設(shè)備交第三方（外公司）來進(jìn)行維護(hù): □是 □否第三方維護(hù)合約、維護(hù)的內(nèi)容、采取的安全措施是否詳細(xì)到位:□是 □否:第三方進(jìn)行維護(hù)時由本行人員陪同: □是 □否是否限制對重要數(shù)據(jù)進(jìn)行訪問: □是 □否備 注（事實依據(jù)）：沒有信息科技外包工作巡查方法：訪談需關(guān)注的問題（根據(jù)需要填寫）:4. 第三方外包服務(wù)的安全設(shè)備是否經(jīng)過授權(quán)并嚴(yán)格管理？在將安全設(shè)備（如：IDS、加密機(jī)等）維護(hù)外包給第三方前進(jìn)行風(fēng)險評估，或采取嚴(yán)格的安全措施: □是 □否在將安全設(shè)備維護(hù)外包前，得到相關(guān)業(yè)務(wù)部門的同意: □是 □否備 注（事實依據(jù)）：沒有信息科技外包工作巡查方法：訪談需關(guān)注的問題（根據(jù)需要填寫）:第六部分：內(nèi)外部審計1. 總行或省行是否對本級開展獨立的信息科技內(nèi)部審計？保證每三年接受一次總行的全面審計： □是 ■否信息科技內(nèi)部審計能有效揭示風(fēng)險，達(dá)到預(yù)期審計目的： □是 ■否內(nèi)部審計報告提交主要行領(lǐng)導(dǎo)： ■是 □否認(rèn)真對待內(nèi)審結(jié)果，及時對發(fā)現(xiàn)的問題進(jìn)行整改： ■是 □否備 注（事實依據(jù)）：2011年信息科技內(nèi)部審計未發(fā)現(xiàn)問題；2012年信息科技內(nèi)部審計發(fā)現(xiàn)1個問題。生產(chǎn)系統(tǒng)中服務(wù)器端設(shè)置帶密碼的屏幕保護(hù)，系統(tǒng)無人使用時，處于鎖定狀態(tài)。，但未登記IP使用人員。巡查方法：訪談和抽樣需關(guān)注的問題（根據(jù)需要填寫）:，未建立問題根源分析及跟蹤解決機(jī)制。2. 機(jī)房監(jiān)控是否有效？電視監(jiān)控錄像的保存時間達(dá)到3個月： ■是 □否監(jiān)控覆蓋哪些重要場所： ■主機(jī)房 ■網(wǎng)絡(luò)機(jī)房 ■電源室□運行、監(jiān)控值班室 ■中心機(jī)房走道 ■外門□部分業(yè)務(wù)部門的重要機(jī)房（銀行卡打卡室、SWIFT室）攝像頭電源由UPS專線供電： ■是 □否重要場所監(jiān)控是否無死角： □是 ■否備 注（事實依據(jù)）：巡查方法：實地查看和抽樣需關(guān)注的問題（根據(jù)需要填寫）:機(jī)房內(nèi)共有3路視頻監(jiān)控，存在盲區(qū)；檢查時點，其中一路視頻監(jiān)控失效。2. 高管層在信息科技工作中履職是否到位？ 有主管科技工作的行級領(lǐng)導(dǎo): ■有 □無高管層對監(jiān)管部門的監(jiān)管制度較為了解: ■是 □否進(jìn)行信息科技重大投入決策: ■是 □否審閱信息科技年度工作報告和工作計劃： ■是 □否審閱信息科技風(fēng)險評估報告并組織制定風(fēng)險控制策略：□是 ■否審閱信息科技審計報告并督促整改： ■是 □否備 注（事實依據(jù)）： 巡查方法：訪談和抽樣需關(guān)注的問題（根據(jù)需要填寫）:高管層未組織制定風(fēng)險控制策略。、密碼，且全部使用超級用戶，不能滿足最小權(quán)限原則。巡查方法：訪談和抽樣需關(guān)注的問題（根據(jù)需要填寫）:機(jī)房值班及巡檢信息錄入“信息技術(shù)綜合管理系統(tǒng)”（ITMS），但該系統(tǒng)用戶權(quán)限管理不嚴(yán)格，個人用戶可修改已登記信息，且可以查看、修改其他用戶的登記信息。3. 是否實施備份管理？前置機(jī)和重要信息系統(tǒng)的操作系統(tǒng)、日志、應(yīng)用程序、數(shù)據(jù)庫、生產(chǎn)數(shù)據(jù)、配置信息定期進(jìn)行備份： ■是 □否定期對備份的可用性進(jìn)行檢查或抽查并做記錄：■是 □否備份的傳送、存放、使用和銷毀符合規(guī)定： □是 ■否備 注（事實依據(jù)）：通過ftp方式將大小額系統(tǒng)、驗印系統(tǒng)數(shù)據(jù)庫備份至位于泰安的異地備份中心。5. 是否實施安全產(chǎn)品管理？安全專用產(chǎn)品屬于總行統(tǒng)一選型：
公司管理相關(guān)推薦
鄂ICP備17016276號-1