【正文】 急響應小組的成員之一，負責協(xié)調制定有關信息科技風險管理策略，尤其是在涉及信息安全、業(yè)務連續(xù)性計劃和合規(guī)性風險等方面，為業(yè)務部門和信息科技部門提供建議及相關合規(guī)性信息，實施持續(xù)信息科技風險評估，跟蹤整改意見的落實，監(jiān)控信息安全威脅和不合規(guī)事件的發(fā)生。第八條 商業(yè)銀行應設立首席信息官，直接向行長匯報，并參與決策。（五）設立一個由來自高級管理層、信息科技部門和主要業(yè)務部門的代表組成的專門信息科技管理委員會，負責監(jiān)督各項職責的落實，定期向董事會和高級管理層匯報信息科技戰(zhàn)略規(guī)劃的執(zhí)行、信息科技預算和實際支出、信息科技的整體狀況。政策性銀行、農村合作銀行、城市信用社、農村信用社、村鎮(zhèn)銀行、貸款公司、金融資產管理公司、信托公司、財務公司、金融租賃公司、汽車金融公司、貨幣經紀公司等其他銀行業(yè)金融機構參照執(zhí)行。各項應用系統(tǒng)的維護、數(shù)據(jù)備份等由自治區(qū)科技中心操作。成立了以聯(lián)社理事長為組長、領導班子成員為副組長、各相關部門及營業(yè)網點主任為成員的信息科技工作領導小組，制定了信息科技應急處置預案，明確了因信息科技風險導致營業(yè)網點發(fā)生業(yè)務故障時，聯(lián)社各相關部門需采取的措施和步驟，提高了對信息科技風險的預防和處置能力。目前我社網點全部建立了電話線路備份，如網點專線出現(xiàn)故障，通過向地區(qū)科技分中心申請后，可以使用電話備份線路辦理業(yè)務。今后我社將在自治區(qū)聯(lián)社的領導下，在地區(qū)銀監(jiān)局的正確監(jiān)管下，加強信息科技風險防范，努力提高信息科技防范工作力度，做好對敏感信息的保護和應急能力建設，確保我社信息科技工作穩(wěn)定、安全發(fā)展。評估信息科技及其風險管理工作的總體效果和效率。（十一）確保本法人機構涉及客戶信息、賬務信息以及產品信息等的核心系統(tǒng)在中國境內獨立運行，并保持最高的管理權限，符合銀監(jiān)會監(jiān)管和實施現(xiàn)場檢（十二）及時向銀監(jiān)會及其派出機構報告本機構發(fā)生的重大信息科技事故或突發(fā)事件，按相關預案快速響應。第九條 商業(yè)銀行應對信息科技部門內部管理職責進行明確的界定；各崗位的人員應具有相應的專業(yè)知識和技能，重要崗位應制定詳細完整的工作手冊并適時更新。（二）信息系統(tǒng)開發(fā)、測試和維護。防范措施應包括：（一）制定明確的信息科技風險管理制度、技術標準和操作規(guī)程等，定期進行（二）確定潛在風險區(qū)域，并對這些區(qū)域進行詳細和獨立的監(jiān)控，實現(xiàn)風險最小化。（五）（六）定期評估新技術發(fā)展可能造成的影響和已使用軟件面臨的新威脅。（一）（二）（三）（四）（五）（六）（七）（八）（九）（十）（十一）第二十二條 商業(yè)銀行應建立有效管理用戶認證和訪問控制的流程。交易日志由應用軟件和數(shù)據(jù)庫管理系統(tǒng)產生，內容包括用戶登錄嘗試、數(shù)據(jù)修改、錯誤信息等。第三十一條 商業(yè)銀行應對所有員工進行必要的培訓，使其充分掌握信息科技風險管理制度和流程，了解違反規(guī)定的后果，并對違反安全規(guī)定的行為采取零容忍政策。第三十六條 商業(yè)銀行應制定并落實相關制度、標準和流程，確保信息系統(tǒng)開發(fā)、第三十七條 商業(yè)銀行應建立并完善有效的問題管理流程，以確保全面地追蹤、分析和解決信息系統(tǒng)問題，并對問題進行記錄、分類和索引；如需供應商提供支持服務或技術援助，應向相關人員提供所需的合同和相關信息，并將過程記錄在案；對完成緊急恢復起至關重要作用的任務和指令集，應有清晰的描述和第三十八條 商業(yè)銀行應制定相關制度和流程，控制系統(tǒng)升級過程。其中包括：（一）規(guī)范的業(yè)務連續(xù)性計劃,明確降低短期、中期和長期中斷所造成影響的措施，包括但不限于:1．資源需求（如人員、系統(tǒng)和其他資產）以及獲取資源的方式。商業(yè)銀行應設立流程定期審閱和修訂服第九章 內部審計第六十三條 商業(yè)銀行內部審計部門應根據(jù)業(yè)務的性質、規(guī)模和復雜程度，對相關系統(tǒng)及其控制的適當性和有效性進行監(jiān)測。加強信息科技專（七）確保內部審計部門進行獨立有效的信息科技風險管理審計，對審計報告（八）每年審閱并向銀監(jiān)會及其派出機構報送信息科技風險管理的報告。（八）第十九條 中資商業(yè)銀行在境外設立的機構及境內的外資商業(yè)銀行，應當遵守境內外監(jiān)管機構關于信息科技風險管理的要求，并防范因監(jiān)管差異所造成的風險。（六）（七）第二十五條 商業(yè)銀行應通過以下措施，確保所有計算機操作系統(tǒng)和系統(tǒng)軟件的（一）制定每種類型操作系統(tǒng)的基本安全要求，確保所有系統(tǒng)滿足基本安全要（二）明確定義包括終端用戶、系統(tǒng)開發(fā)人員、系統(tǒng)測試人員、計算機操作人（三）制定最高權限系統(tǒng)賬戶的審批、驗證和監(jiān)控流程，并確保最高權限用戶（四）（五）在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪問、對用戶賬戶的修改等有關重要事項，手動或自動監(jiān)控系統(tǒng)出現(xiàn)的任何異常事件，定期匯報監(jiān)第二十六條（一）明確定義終端用戶和信息科技技術人員在信息系統(tǒng)安全中的角色和職（二）（三）加強職責劃分，對關鍵或敏感崗位進行雙重控制。（三）（四）第二十九條 商業(yè)銀行應配備切實有效的系統(tǒng)，確保所有終端用戶設備的安全，并定期對所有設備進行安全檢查，包括臺式個人計算機（PC）、便攜式計算機、柜員終端、自動柜員機（ATM）、存折打印機、讀卡器、銷售終端（POS）和個人數(shù)字助理（PDA第三十條 商業(yè)銀行應制定相關制度和流程，嚴格管理客戶信息的采集、處理、存貯、傳輸、分發(fā)、備份、恢復、清理和銷毀。第三十六條 商業(yè)銀行應制定并落實相關制度、標準和流程，確保信息系統(tǒng)開發(fā)、第三十七條 商業(yè)銀行應建立并完善有效的問題管理流程，以確保全面地追蹤、分析和解決信息系統(tǒng)問題，并對問題進行記錄、分類和索引；如需供應商提供支持服務或技術援助，應向相關人員提供所需的合同和相關信息，并將過程記錄在案；對完成緊急恢復起至關重要作用的任務和指令集，應有清晰的描述和第三十八條 商業(yè)銀行應制定相關制度和流程，控制系統(tǒng)升級過程。其中包括：（一）規(guī)范的業(yè)務連續(xù)性計劃,明確降低短期、中期和長期中斷所造成影響的措施，包括但不限于:1．資源需求（如人員、系統(tǒng)和其他資產）以及獲取資源的方式。商業(yè)銀行應設立流程定期審閱和修訂服第九章第六十三條 商業(yè)銀行內部審計部門應根據(jù)業(yè)務的性質、規(guī)模和復雜程度，對相關系統(tǒng)及其控制的適當性和有效性進行監(jiān)測。一、將信息科技風險管理和信息安全納入公司信息科技發(fā)展規(guī)劃。為了做好制度建設，公司領導高度重視，以公司流程建設為契機，完善了相關制度，理順了相關制度的制定、修訂、廢止流程和審批制度流程，切實抓好制度建設。隨著銀行業(yè)信息化的發(fā)展，信息科技的作用已經從業(yè)務支持逐步走向與業(yè)務的融合，成為銀行穩(wěn)健運營和發(fā)展的支柱，原《指引》定位在信息系統(tǒng)風險管理的基本、原則性要求，已難以滿足商業(yè)銀行信息科技風險管理的需要。第三條 本指引所稱信息科技是指計算機、通信、微電子和軟件工程等現(xiàn)代信息技術，在商業(yè)銀行業(yè)務交易處理、經營管理和內部控制等方面的應用，并包括進行信息科技治理，建立完整的管理組織架構，制訂完善的管理制度和流程。（四）規(guī)范職業(yè)道德行為和廉潔標準，增強內部文化建設，提高全體人員對信息科技風險管理重要性的認識。（十一）確保本法人機構涉及客戶信息、賬務信息以及產品信息等的核心系統(tǒng)在中國境內獨立運行，并保持最高的管理權限，符合銀監(jiān)會監(jiān)管和實施現(xiàn)場檢查的要求，防范跨境風險。確保其履行：信息科技預算和支出、信息科技策略、標準和流程、信息科技內部控制、專業(yè)化研發(fā)、信息科技項目發(fā)起和管理、信息系統(tǒng)和信息科技基礎設施的運行、維護和升級、信息安全管理、災難恢復計劃、信息科技外包和信息系統(tǒng)退出等職責。（四）評估關鍵崗位信息科技員工流失帶來的風險，做好安排候補員工和崗位接替計劃等防范措施；在員工崗位發(fā)生變化后及時變更相關信息。第十五條 商業(yè)銀行應制定全面的信息科技風險管理策略，包括但不限于下述領域：（一）信息分級與保護。第十七條 商業(yè)銀行應依據(jù)信息科技風險管理策略和風險評估結果，實施全面的風險防范措施。十八條 商業(yè)銀行應建立持續(xù)的信息科技風險計量和監(jiān)測機制，其中應包括：（一）建立信息科技項目實施前及實施后的評價機制。第十九條 中資商業(yè)銀行在境外設立的機構及境內的外資商業(yè)銀行，應當遵守境內外監(jiān)管機構關于信息科技風險管理的要求，并防范因監(jiān)管差異所造成的風險。（四）人員安全管理。第二十二條 商業(yè)銀行應建立有效管理用戶認證和訪問控制的流程。（三）域內配臵的網絡設備和應用程序使用的網絡協(xié)議和端口。（四）要求技術人員定期檢查可用的安全補丁，并報告補丁管理狀態(tài)。（七）以書面或電子格式保存審計痕跡。系統(tǒng)日志保存期限按系統(tǒng)的風險等級確定，但不能少于一年。第二十九條 商業(yè)銀行應配備切實有效的系統(tǒng)，確保所有終端用戶設備的安全，并定期對所有設備進行安全檢查，包括臺式個人計算機（PC）、便攜式計算機、柜員終端、自動柜員機（ATM）、存折打印機、讀卡器、銷售終端（POS）和個人數(shù)字助理（PDA）等。典型的系統(tǒng)生命周期包括系統(tǒng)分析、設計、開發(fā)或外購、測試、試運行、部署、維護和退出。第三十八條 商業(yè)銀行應制定相關制度和流程，控制系統(tǒng)升級過程。第四十四條 商業(yè)銀行應建立事故管理及處臵機制，及時響應信息系統(tǒng)運行事故，逐級向相關的信息科技管理人員報告事故的發(fā)生，并進行記錄、分析和跟蹤，直到完成徹底的處臵和根本原因分析。包括緊急變更在內的所有變更都應記入日志，由信息科技部門和業(yè)務部門共同審核簽字，并事先進行備份,以便必要時可以恢復原來的系統(tǒng)版本和數(shù)據(jù)文件。其中包括：（一）規(guī)范的業(yè)務連續(xù)性計劃,明確降低短期、中期和長期中斷所造成影響的措施，包括但不限于:1．資源需求（如人員、系統(tǒng)和其他資產）以及獲取資源的方式。第五十六條 商業(yè)銀行實施重要外包（如數(shù)據(jù)中心和信息科技基礎設施等)應格外謹慎，在準備實施重要外包時應以書面材料正式報告銀監(jiān)會或其派出機構。（三）通過界定信息所有權、簽署保密協(xié)議和采取技術防護措施保護客戶信息和其他信息。第五十九條 商業(yè)銀行在實施雙方關系管理，以及起草服務水平協(xié)議時，應考慮的因素包括但不限于：（一）提出定性和定量的績效指標，評估外包服務商為商業(yè)銀行及其相關客戶提供服務的充分性。（六）確保在中止外包協(xié)議時收回或銷毀外包服務商保存的所有客戶資料。（二）按照第（一）款規(guī)定完成審計工作，在此基礎上提出整改意見。第六十八條 在委托審計過程中，商業(yè)。（四）執(zhí)行信息科技專項審計。尤其需要考慮外包服務商的重大資源損失，重大財務損失和重要人員的變動，以及外包協(xié)議的意外終止。（三）針對績效不達標的情況調整流程，采取整改措施。（五）外包服務商遵守商業(yè)銀行有關信息科技風險制度和流程的意愿及相關措施。（二）考慮外包協(xié)議是否允許商業(yè)銀行監(jiān)測和控制與外包相關的操作風險。3．與內部各部門及外部相關各方（尤其是監(jiān)管機構、客戶和媒體等）的溝通安排。第七章 業(yè)務連續(xù)性管理第五十條 商業(yè)銀行應根據(jù)自身業(yè)務的性質、規(guī)模和復雜程度制定適當?shù)臉I(yè)務連續(xù)性規(guī)劃，以確保在出現(xiàn)無法預見的中斷時，系統(tǒng)仍能持續(xù)運行并提供服務；定期對規(guī)劃進行更新和演練，以保證其有效性。第四十五條 商業(yè)銀行應建立服務水平管理相關的制度和流程，對信息科技運行服務水平進行考核。第六章 信息科技運行第三十九條 商業(yè)銀行在選擇數(shù)據(jù)中心的地理位臵時，應充分考慮環(huán)境威脅（如是否接近自然災害多發(fā)區(qū)、危險或有害設施、繁忙或主要公路），采取物理控制措施，監(jiān)控對信息處理設備運行構成威脅的環(huán)境狀況，并防止因意外斷電或供電干擾影響數(shù)據(jù)中心的正常運行。第三十五條 商業(yè)銀行應制定相關控制信息系統(tǒng)變更的制度和流程，確保系統(tǒng)的可靠性、完整性和可維護性，其中應包括以下要求：（一）生產系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)有效隔離。第三十一條 商業(yè)銀行應對所有員工進行必要的培訓，使其充分掌握信息科技風險管理制度和流程，了解違反規(guī)定的后果，并對違反安全規(guī)定的行為采取零容忍政策。在例外情況發(fā)生后應及時復查系統(tǒng)日志。第二十七條 商業(yè)銀行應制定相關策略和流程，管理所有生產系統(tǒng)的活動日志，以支持有效的審核、安全取證分析和預防欺詐。第二十六條 商業(yè)銀行應通過以下措施，確保所有信息系統(tǒng)的安全：（一）明確定義終端用戶和信息科技技術人員在信息系統(tǒng)安全中的角色和職責。（五）域的性質，如生產域或測試域、內部域或外部域。用戶調動到新的工作崗位或離開商業(yè)銀行時，應在系統(tǒng)中及時檢查、更新或注銷用戶身份。（六）通信與運營管理。第二十一條 商業(yè)銀行信息科技部門應落實信息安全管理職能。（三）建立信息科技服務投訴和事故處理的報告機制。（二）確定潛在風險區(qū)域，并對這些區(qū)域進行詳細和獨立的監(jiān)控，實現(xiàn)風險最小化。（三）信息科技運行和維護。該部門應為信息科技突發(fā)事件應急響應小組的成員之一，負責協(xié)調制定有關信息科技風險管理策略，尤其是在涉及信息安全、業(yè)務連續(xù)性計劃和合規(guī)性風險等方面，為業(yè)務部門和信息科技部門提供建議及相關合規(guī)性信息，實施持續(xù)信息科技風險評估，跟蹤整改意見的落實，監(jiān)控信息安全威脅和不合規(guī)事件的發(fā)生。（五）組織專業(yè)培訓，提高人才隊伍的專業(yè)技能。（十三）配合銀監(jiān)會及其派出機構做好信息科技風險監(jiān)督檢查工作，并按照監(jiān)管意見進行整改。（六）在建立良好的公司治理的基礎上進行信息科技治理，形成分工合理、職責明確、相互制衡、報告關系清晰的信息科技治理組織結構。第五條 信息科技風險管理的目標是通過建立有效的機制，實現(xiàn)對商業(yè)銀行信息科技風險的識別、計量、監(jiān)測和控制，促進商業(yè)銀行安全、持續(xù)、穩(wěn)健運行，推動業(yè)務創(chuàng)新，提高信息技術使用水平，增強核心競爭力和可持續(xù)發(fā)展能力。《管理指引》具有以下幾個特點：一是全面涵蓋商業(yè)銀行的信息科技活動，進一步明確信息科技與銀行業(yè)務的關系，對于認識和防范風險具有更加積極的作用；二是適用范圍由銀行業(yè)金融機構變?yōu)榉ㄈ松虡I(yè)銀行，其他銀行業(yè)金融機構參照執(zhí)行；三是信息科技治理作為首要內容提出，充實并細化了對商業(yè)銀行在治理層面的具體要求；四是重點闡述了信息科技風險管理和內外部審計要求，特別是要求審計貫穿信息科技活動的整個過程之中；五是參照國際國內的標準和成功實踐，對商業(yè)銀行信息科技整個生命周期內的信息安全、業(yè)務連續(xù)性管理和外包等方面提出高標準、高要求，使操作性更強；六是加強了對客戶信息保護的要求。首先，完善基礎設施建設，對