電子銀行風(fēng)險(xiǎn)管理原則(更新版)
【正文】 清楚授予作業(yè)範(fàn)圍及存取權(quán)限。（７） 跨國(guó)界委外計(jì)畫(huà)必須符合本國(guó)相關(guān)法律及規(guī)定，包含客戶(hù)資料隱私權(quán)及機(jī)密資料保護(hù)。（５） 必須明確分派負(fù)責(zé)監(jiān)督電子銀行委外作業(yè)之職責(zé)。（１） 銀行高階管理階層應(yīng)該清楚定義策略目的、成本效益分析，做為決定將電子銀行業(yè)務(wù)委外給第三者之參考依據(jù)。（七） 對(duì)於重要電子銀行業(yè)務(wù)中斷及業(yè)務(wù)復(fù)原，應(yīng)即時(shí)對(duì)外公告。（三） 重要之電子銀行業(yè)務(wù)處理程序及傳輸系統(tǒng)已建立災(zāi)變備援及業(yè)務(wù)復(fù)原計(jì)畫(huà)並定期測(cè)試。（二） 明確公告電子銀行所提供的產(chǎn)品及服務(wù)之客戶(hù)資料隱私權(quán)政策及標(biāo)準(zhǔn)。（三） 對(duì)限閱資料之存取都要留存紀(jì)錄，且能確信該紀(jì)錄無(wú)法被竄改。九、 銀行對(duì)於電子銀行全部交易，應(yīng)留有清楚的稽核追蹤紀(jì)錄。（二） 對(duì)於原始靜態(tài)資料（包含網(wǎng)頁(yè)內(nèi)容）及負(fù)責(zé)檢核資料完整性要符合分工牽制原則。２、 凡是新增、刪除或變更個(gè)人、代理者、系統(tǒng)之認(rèn)證資料，均需經(jīng)過(guò)認(rèn)證辨識(shí)及授權(quán)，才可修改認(rèn)證系統(tǒng)資料庫(kù)。５、 委外作業(yè)廠商對(duì)外不得以銀行名義辦理受託處理事項(xiàng)。三、 董事會(huì)及高階管理階層應(yīng)建立全面持續(xù)嚴(yán)謹(jǐn)之監(jiān)督程序，以管理委外作業(yè)廠商所提供支援電子銀行業(yè)務(wù)之服務(wù)。 5 電子銀行資安實(shí)務(wù)參考資料 7 一、 董事會(huì)（或常務(wù)董事會(huì)，下同）及高階管理階層應(yīng)成立專(zhuān)責(zé)單位或指定專(zhuān)人，建立有效風(fēng)險(xiǎn)管理制度，包括風(fēng)險(xiǎn)管理政策及風(fēng)險(xiǎn)控管程序，以有效管理電子銀行業(yè)務(wù)風(fēng)險(xiǎn)。 3 七、銀行對(duì)於電子銀行系統(tǒng)、資料庫(kù)及應(yīng)用程式，應(yīng)採(cǎi)行適當(dāng)?shù)氖跈?quán)控管及存取管理機(jī)制。 2 二、銀行之關(guān)鍵性安全控管機(jī)制應(yīng)經(jīng)董事會(huì)及高階管理階層認(rèn)可。 4 十、銀行對(duì)於電子銀行資料，應(yīng)依其敏感性及傳送、儲(chǔ)存方式，採(cǎi)行適當(dāng)?shù)拇胧跃S護(hù)資料之機(jī)密性。（三） 應(yīng)建立電子銀行業(yè)務(wù)風(fēng)險(xiǎn)管理授權(quán)及通報(bào)機(jī)制（影響銀行經(jīng)營(yíng)及聲譽(yù)之緊急突發(fā)事件，例如駭客入侵、客戶(hù)資料外洩），定期或於必要時(shí)將風(fēng)險(xiǎn)管理執(zhí)行狀況及風(fēng)險(xiǎn)承擔(dān)情形向董事會(huì)及高階管理階層報(bào)告。（三） 合約至少應(yīng)載明下列事項(xiàng)，以確保委外服務(wù)品質(zhì)。（六） 對(duì)於電子銀行業(yè)務(wù)委外事項(xiàng)應(yīng)建立一套適當(dāng)之緊急應(yīng)變計(jì)畫(huà)。五、 銀行應(yīng)採(cǎi)行交易認(rèn)證法，加強(qiáng)電子銀行交易的不可否認(rèn)性，釐清客我之責(zé)任與義務(wù)，進(jìn)而建立客戶(hù)與銀行間的互信機(jī)制。七、 銀行對(duì)於電子銀行系統(tǒng)、資料庫(kù)及應(yīng)用程式，應(yīng)採(cǎi)行適當(dāng)?shù)氖跈?quán)控管及存取管理機(jī)制。（三） 任何超出客戶(hù)原有限額之交易。（二） 銀行網(wǎng)站提供之資訊包括：１、 銀行名稱(chēng)、總行地址、營(yíng)業(yè)據(jù)點(diǎn)等。（五） 委外作業(yè)廠商對(duì)保護(hù)客戶(hù)資料隱私權(quán)之政策及標(biāo)準(zhǔn)，應(yīng)符合銀行的標(biāo)準(zhǔn)。（二） 緊急事件之發(fā)生應(yīng)有明確之評(píng)估及認(rèn)定機(jī)制，包括事件發(fā)生所帶來(lái)之危機(jī)、事件之重要性及服務(wù)中斷之信譽(yù)風(fēng)險(xiǎn)；另外監(jiān)控連線(xiàn)支援作業(yè)和定期分析客戶(hù)抱怨事項(xiàng)，可幫助確認(rèn)現(xiàn)有安控機(jī)制之漏洞。２、 應(yīng)依據(jù)電子銀行資料及系統(tǒng)敏感程度與重要性建立分類(lèi)及保護(hù)機(jī)制，資料復(fù)原計(jì)畫(huà)必須能夠保護(hù)所有敏感和高風(fēng)險(xiǎn)交易之電子銀行系統(tǒng)、伺服器、資料庫(kù)及應(yīng)用程式。２、 對(duì)於所選擇委外作業(yè)廠商所提供的服務(wù)之後，銀行應(yīng)該持續(xù)定期進(jìn)行適當(dāng)風(fēng)險(xiǎn)分析。（２） 服務(wù)提供者所需提供的資訊及接收的資訊必須界定清楚，且必須及時(shí)和完整的提供資訊，以利銀行評(píng)估服務(wù)水準(zhǔn)及風(fēng)險(xiǎn)；訂立重要的門(mén)檻及程序，適時(shí)通知銀行可能造成服務(wù)中斷之安控缺失及重大風(fēng)險(xiǎn)事件。例如，定期安排對(duì)電子銀行服務(wù)具有專(zhuān)業(yè)知識(shí)、技能之人員，進(jìn)行評(píng)估及稽核。４、 任何附加給予個(gè)人、代理者或系統(tǒng)管理者權(quán)限或改變存取權(quán)必須證明已經(jīng)由適當(dāng)?shù)氖跈?quán)，並留存紀(jì)錄。５、 在交易處理程序、監(jiān)控及記帳功能上，得設(shè)立能夠偵測(cè)到任何企圖竄改電子銀行交易或紀(jì)錄行為之機(jī)制。（２） 通知客戶(hù)要保護(hù)好密碼並適時(shí)變更，不要用懶人密碼
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1