【正文】 （三）檢查整改意見是否得到落實。（二）通過服務(wù)水平報告、定期自我評估、內(nèi)部或外部獨立審計進行績效考核。第五十七條 商業(yè)銀行在簽署外包協(xié)議或?qū)ν獍鼌f(xié)議進行重大變更前，應(yīng)做好相關(guān)準備，其中包括：（一）分析外包是否適合商業(yè)銀行的組織結(jié)構(gòu)和報告路線、業(yè)務(wù)戰(zhàn)略、總體風(fēng)險控制，是否滿足商業(yè)銀行履行對外包服務(wù)商的監(jiān)督義務(wù)。緊急變更成功后,應(yīng)通過正常的驗收測試和變更管理流程,采用恰當(dāng)?shù)男拚匀〈o急變更。當(dāng)設(shè)備達到預(yù)期使用壽命或性能不能滿足業(yè)務(wù)需求，基礎(chǔ)軟件（操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件）或應(yīng)用軟件必須升級時，應(yīng)及時進行系統(tǒng)升級，并將該類升級活動納入信息科技項目，接受相關(guān)的管理和控制，包括用戶驗收測試。第三十條 商業(yè)銀行應(yīng)制定相關(guān)制度和流程，嚴格管理客戶信息的采集、處理、存貯、傳輸、分發(fā)、備份、恢復(fù)、清理和銷毀。（八）要求用戶管理員監(jiān)控和審查未成功的登錄和用戶賬戶的修改。（四）性能要求或標準。（五）物理與環(huán)境安全管理。（二）建立定期檢查系統(tǒng)性能的程序和標準。（二）信息系統(tǒng)開發(fā)、測試和維護。（四）確保信息科技風(fēng)險管理的有效性，并使有關(guān)管理措施落實到相關(guān)的每一個內(nèi)設(shè)機構(gòu)和分支機構(gòu)。（五）設(shè)立一個由來自高級管理層、信息科技部門和主要業(yè)務(wù)部門的代表組成的專門信息科技管理委員會，負責(zé)監(jiān)督各項職責(zé)的落實，定期向董事會和高級管理層匯報信息科技戰(zhàn)略規(guī)劃的執(zhí)行、信息科技預(yù)算和實際支出、信息科技的整體狀況。為此，銀監(jiān)會在原《指引》的基礎(chǔ)上，廣泛征求業(yè)內(nèi)機構(gòu)意見，制定了本《管理指引》。為了提高信息科技風(fēng)險管理能力，提升信息科技對業(yè)務(wù)戰(zhàn)略發(fā)展的可持續(xù)支持能力，科技規(guī)劃中明確了信息科技發(fā)展方向，強調(diào)了科技基礎(chǔ)建設(shè)，提高信息科技風(fēng)險管理水平，有效防范信息科技風(fēng)險。23．與內(nèi)部各部門及外部相關(guān)各方（尤其是監(jiān)管機構(gòu)、客戶和媒體等）的溝通安（四）當(dāng)商業(yè)銀行的業(yè)務(wù)或風(fēng)險狀況發(fā)生變化時，對本條（一）到（三）進行第五十四條 商業(yè)銀行的業(yè)務(wù)連續(xù)性計劃和應(yīng)急演練結(jié)果應(yīng)由信息科技風(fēng)險管理部門或信息科技管理委員會確認。第三十一條 商業(yè)銀行應(yīng)對所有員工進行必要的培訓(xùn)，使其充分掌握信息科技風(fēng)險管理制度和流程，了解違反規(guī)定的后果，并對違反安全規(guī)定的行為采取零容第五章第三十二條 商業(yè)銀行應(yīng)有能力對信息系統(tǒng)進行需求分析、規(guī)劃、采購、開發(fā)、測試、部署、維護、升級和報廢，制定制度和流程，管理信息科技項目的優(yōu)先排序、立項、審批和控制。第四章第二十條 商業(yè)銀行信息科技部門負責(zé)建立和實施信息分類和保護體系，商業(yè)銀行應(yīng)使所有員工都了解信息安全的重要性，并組織提供必要的培訓(xùn)，讓員工充分了解其職責(zé)范圍內(nèi)的信息保護流程。內(nèi)部審計部門應(yīng)配備足夠的資源和具有專業(yè)能力的信息科技審計人員，獨立于本銀行的日?；顒?，具有適當(dāng)?shù)牡诹臈l（一）制定、實施和調(diào)整審計計劃，檢查和評估商業(yè)銀行信息科技系統(tǒng)和內(nèi)控（二）（三）（四）執(zhí)行信息科技專項審計。當(dāng)設(shè)備達到預(yù)期使用壽命或性能不能滿足業(yè)務(wù)需求，基礎(chǔ)軟件（操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件）或應(yīng)用軟件必須升級時，應(yīng)及時進行系統(tǒng)升級，并將該類升級活第六章第三十九條 商業(yè)銀行在選擇數(shù)據(jù)中心的地理位臵時，應(yīng)充分考慮環(huán)境威脅（如是否接近自然災(zāi)害多發(fā)區(qū)、危險或有害設(shè)施、繁忙或主要公路），采取物理控制措施，監(jiān)控對信息處理設(shè)備運行構(gòu)成威脅的環(huán)境狀況，并防止因意外斷電或供電干擾影響數(shù)據(jù)中第四十條 商業(yè)銀行應(yīng)嚴格控制第三方人員（如服務(wù)供應(yīng)商）進入安全區(qū)域，如確需進入應(yīng)得到適當(dāng)?shù)呐鷾?，其活動也?yīng)受到監(jiān)控；針對長期或臨時聘用的技術(shù)人員和承包商，尤其是從事敏感性技術(shù)相關(guān)工作的人員，應(yīng)制定嚴格的審查第四十一條 商業(yè)銀行應(yīng)將信息科技運行與系統(tǒng)開發(fā)和維護分離，確保信息科技第四十二條 商業(yè)銀行應(yīng)按照有關(guān)法律法規(guī)要求保存交易記錄，采取必要的程序和技術(shù)，確保存檔數(shù)據(jù)的完整性，滿足安全保存和可恢復(fù)要求第四十三條 商業(yè)銀行應(yīng)制定詳盡的信息科技運行操作說明。交易日志應(yīng)按照國家會計準則要求予以保（二）系統(tǒng)日志。（七）定期進行運行環(huán)境下操作風(fēng)險和管理控制的檢查。（三）信息科技運行和維護。（十三）配合銀監(jiān)會及其派出機構(gòu)做好信息科技風(fēng)險監(jiān)督檢查工作，并按照監(jiān)管意見進行整改。額敏縣農(nóng)村信用合作聯(lián)社二〇一一年四月二十六日第二篇：商業(yè)銀行信息科技風(fēng)險管理指引商業(yè)銀行信息科技風(fēng)險管理指引第一章 總 則第一條 為加強商業(yè)銀行信息科技風(fēng)險管理，根據(jù)《中華人民共和國銀行業(yè)監(jiān)督管理法》、《中華人民共和國商業(yè)銀行法》、《中華人民共和國外資銀行管理條例》，以及國家信息安全相關(guān)要求和有關(guān)法律法規(guī)，制定本指引。第一篇：信息科技風(fēng)險管理經(jīng)驗交流額敏縣農(nóng)村信用合作聯(lián)社信息科技風(fēng)險管理經(jīng)驗交流塔城地區(qū)銀監(jiān)分局：根據(jù)塔城地區(qū)銀監(jiān)分局《關(guān)于召開2011年塔城地區(qū)銀行業(yè)金融機構(gòu)信息科技風(fēng)險管理聯(lián)席會議的通知》要求，現(xiàn)將和額敏縣農(nóng)村信用合作聯(lián)社信息科技風(fēng)險管理情況匯報如下：一、信息科技風(fēng)險管理基本情況為提高安全管理意識，充分認識信息科技風(fēng)險管理工作的重要性，建立了一把手負責(zé)制，明確信息科技風(fēng)險管理的職責(zé)權(quán)限，逐級落實信息科技管理責(zé)任，嚴格事故追究責(zé)任制。第二條 本指引適用于在中華人民共和國境內(nèi)依法設(shè)立的法人商業(yè)銀行。（十四）履行信息科技風(fēng)險管理其他相關(guān)工作。（四）訪問控制。（八）定期進行信息科技外包項目的風(fēng)險狀況評價。系統(tǒng)日志由操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、防火墻、入侵檢測系統(tǒng)和路由器等生成，內(nèi)容包括管理登錄嘗試、系統(tǒng)事件、網(wǎng)絡(luò)事件、錯誤信息等。如在信息科技運行手冊中說明計算機操作人員的任務(wù)、工作日程、執(zhí)行步驟，以及生產(chǎn)與開發(fā)環(huán)境中數(shù)據(jù)、軟件的現(xiàn)場及非現(xiàn)場備份流程和要求（即備份的頻率、范圍和保留第四十四條 商業(yè)銀行應(yīng)建立事故管理及處臵機制，及時響應(yīng)信息系統(tǒng)運行事故，逐級向相關(guān)的信息科技管理人員報告事故的發(fā)生，并進行記錄、分析和跟蹤，直到完成徹底的處臵和根本原因分析。信息科技專項審計，是指對信息科技安全事故進行的調(diào)查、分析和評估，或?qū)徲嫴块T根據(jù)風(fēng)險評估結(jié)果對認為必要的特殊事第六十五條 商業(yè)銀行應(yīng)根據(jù)業(yè)務(wù)性質(zhì)、規(guī)模和復(fù)雜程度，信息科技應(yīng)用情況，以及信息科技風(fēng)險評估結(jié)果，決定信息科技內(nèi)部審計范圍和頻率。第二十一條 商業(yè)銀行信息科技部門應(yīng)落實信息安全管理職能。項目實施部門應(yīng)定期向信息科技管理委員會提交重大信息科技項目的進度報告，由其進行審核，進度報告應(yīng)當(dāng)包括計劃的重大變更、關(guān)鍵人員或供應(yīng)商的變更以及主要費用支出情況。第八章 外第五十五條 商業(yè)銀行不得將其信息科技管理責(zé)任外包，應(yīng)合理謹慎監(jiān)督外包職第五十六條 商業(yè)銀行實施重要外包（如數(shù)據(jù)中心和信息科技基礎(chǔ)設(shè)施等)應(yīng)格外謹慎，在準備實施重要外包時應(yīng)以書面材料正式報告銀監(jiān)會或其派出機構(gòu)。二、完善信息科技治理，大力開展信息科技風(fēng)險管理制度建設(shè)?！豆芾碇敢肪哂幸韵聨讉€特點：一是全面涵蓋商業(yè)銀行的信息科技活動，進一步明確信息科技與銀行業(yè)務(wù)的關(guān)系，對于認識和防范風(fēng)險具有更加積極的作用；二是適用范圍由銀行業(yè)金融機構(gòu)變?yōu)榉ㄈ松虡I(yè)銀行，其他銀行業(yè)金融機構(gòu)參照執(zhí)行；三是信息科技治理作為首要內(nèi)容提出，充實并細化了對商業(yè)銀行在治理層面的具體要求；四是重點闡述了信息科技風(fēng)險管理和內(nèi)外部審計要求，特別是要求審計貫穿信息科技活動的整個過程之中；五是參照國際國內(nèi)的標準和成功實踐，對商業(yè)銀行信息科技整個生命周期內(nèi)的信息安全、業(yè)務(wù)連續(xù)性管理和外包等方面提出高標準、高要求，使操作性更強；六是加強了對客戶信息保護的要求。（六）在建立良好的公司治理的基礎(chǔ)上進行信息科技治理，形成分工合理、職責(zé)明確、相互制衡、報告關(guān)系清晰的信息科技治理組織結(jié)構(gòu)。（五）組織專業(yè)培訓(xùn)，提高人才隊伍的專業(yè)技能。（三）信息科技運行和維護。（三）建立信息科技服務(wù)投訴和事故處理的報告機制。（六）通信與運營管理。（五）域的性質(zhì)，如生產(chǎn)域或測試域、內(nèi)部域或外部域。第二十七條 商業(yè)銀行應(yīng)制定相關(guān)策略和流程，管理所有生產(chǎn)系統(tǒng)的活動日志，以支持有效的審核、安全取證分析和預(yù)防欺詐。第三十一條 商業(yè)銀行應(yīng)對所有員工進行必要的培訓(xùn)，使其充分掌握信息科技風(fēng)險管理制度和流程，了解違反規(guī)定的后果，并對違反安全規(guī)定的行為采取零容忍政策。第六章 信息科技運行第三十九條 商業(yè)銀行在選擇數(shù)據(jù)中心的地理位臵時，應(yīng)充分考慮環(huán)境威脅（如是否接近自然災(zāi)害多發(fā)區(qū)、危險或有害設(shè)施、繁忙或主要公路），采取物理控制措施，監(jiān)控對信息處理設(shè)備運行構(gòu)成威脅的環(huán)境狀況，并防止因意外斷電或供電干擾影響數(shù)據(jù)中心的正常運行。第七章 業(yè)務(wù)連續(xù)性管理第五十條 商業(yè)銀行應(yīng)根據(jù)自身業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度制定適當(dāng)?shù)臉I(yè)務(wù)連續(xù)性規(guī)劃，以確保在出現(xiàn)無法預(yù)見的中斷時，系統(tǒng)仍能持續(xù)運行并提供服務(wù)；定期對規(guī)劃進行更新和演練，以保證其有效性。（二）考慮外包協(xié)議是否允許商業(yè)銀行監(jiān)測和控制與外包相關(guān)的操作風(fēng)險。（三）針對績效不達標的情況調(diào)整流程，采取整改措施。（四）執(zhí)行信息科技專項審計。（二）按照第（一）款規(guī)定完成審計工作，在此基礎(chǔ)上提出整改意見。第五十九條 商業(yè)銀行在實施雙方關(guān)系管理，以及起草服務(wù)水平協(xié)議時，應(yīng)考慮的因素包括但不限于：（一）提出定性和定量的績效指標，評估外包服務(wù)商為商業(yè)銀行及其相關(guān)客戶提供服務(wù)的充分性。第五十六條 商業(yè)銀行實施重要外包（如數(shù)據(jù)中心和信息科技基礎(chǔ)設(shè)施等)應(yīng)格外謹慎，在準備實施重要外包時應(yīng)以書面材料正式報告銀監(jiān)會或其派出機構(gòu)。包括緊急變更在內(nèi)的所有變更都應(yīng)記入日志，由信息科技部門和業(yè)務(wù)部門共同審核簽字，并事先進行備份,以便必要時可以恢復(fù)原來的系統(tǒng)版本和數(shù)據(jù)文件。第三十八條 商業(yè)銀行應(yīng)制定相關(guān)制度和流程，控制系統(tǒng)升級過程。第二十九條 商業(yè)銀行應(yīng)配備切實有效的系統(tǒng)，確保所有終端用戶設(shè)備的安全，并定期對所有設(shè)備進行安全檢查，包括臺式個人計算機（PC）、便攜式計算機、柜員終端、自動柜員機（ATM）、存折打印機、讀卡器、銷售終端（POS）和個人數(shù)字助理（PDA）等。（七）以書面或電子格式保存審計痕跡。（三）域內(nèi)配臵的網(wǎng)絡(luò)設(shè)備和應(yīng)用程序使用的網(wǎng)絡(luò)協(xié)議和端口。（四）人員安全管理。十八條 商業(yè)銀行應(yīng)建立持續(xù)的信息科技風(fēng)險計量和監(jiān)測機制，其中應(yīng)包括：（一）建立信息科技項目實施前及實施后的評價機制。第十五條 商業(yè)銀行應(yīng)制定全面的信息科技風(fēng)險管理策略，包括但不限于下述領(lǐng)域：（一）信息分級與保護。確保其履行：信息科技預(yù)算和支出、信息科技策略、標準和流程、信息科技內(nèi)部控制、專業(yè)化研發(fā)、信息科技項目發(fā)起和管理、信息系統(tǒng)和信息科技基礎(chǔ)設(shè)施的運行、維護和升級、信息安全管理、災(zāi)難恢復(fù)計劃、信息科技外包和信息系統(tǒng)退出等職責(zé)。（四）規(guī)范職業(yè)道德行為和廉潔標準，增強內(nèi)部文化建設(shè)，提高全體人員對信息科技風(fēng)險管理重要性的認識。隨著銀行業(yè)信息化的發(fā)展，信息科技的作用已經(jīng)從業(yè)務(wù)支持逐步走向與業(yè)務(wù)的融合，成為銀行穩(wěn)健運營和發(fā)展的支柱，原《指引》定位在信息系統(tǒng)風(fēng)險管理的基本、原則性要求，已難以滿足商業(yè)銀行信息科技風(fēng)險管理的需要。一、將信息科技風(fēng)險管理和信息安全納入公司信息科技發(fā)展規(guī)劃。其中包括：（一）規(guī)范的業(yè)務(wù)連續(xù)性計劃,明確降低短期、中期和長期中斷所造成影響的措施，包括但不限于:1．資源需求（如人員、系統(tǒng)和其他資產(chǎn)）以及獲取資源的方式。（三）（四）第二十九條 商業(yè)銀行應(yīng)配備切實有效的系統(tǒng)，確保所有終端用戶設(shè)備的安全，并定期對所有設(shè)備進行安全檢查，包括臺式個人計算機（PC）、便攜式計算機、柜員終端、自動柜員機（ATM）、存折打印機、讀卡器、銷售終端（POS）和個人數(shù)字助理（PDA第三十條 商業(yè)銀行應(yīng)制定相關(guān)制度和流程，嚴格管理客戶信息的采集、處理、存貯、傳輸、分發(fā)、備份、恢復(fù)、清理和銷毀。（八）第十九條 中資商業(yè)銀行在境外設(shè)立的機構(gòu)及境內(nèi)的外資商業(yè)銀行，應(yīng)當(dāng)遵守境內(nèi)外監(jiān)管機構(gòu)關(guān)于信息科技風(fēng)險管理的要求，并防范因監(jiān)管差異所造成的風(fēng)險。商業(yè)銀行應(yīng)設(shè)立流程定期審閱和修訂服第九章 內(nèi)部審計第六十三條 商業(yè)銀行內(nèi)部審計部門應(yīng)根據(jù)業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度，對相關(guān)系統(tǒng)及其控制的適當(dāng)性和有效性進行監(jiān)測。第三十六條 商業(yè)銀行應(yīng)制定并落實相關(guān)制度、標準和流程，確保信息系統(tǒng)開發(fā)、第三十七條 商業(yè)銀行應(yīng)建立并完善有效的問題管理流程，以確保全面地追蹤、分析和解決信息系統(tǒng)問題，并對問題進行記錄、分類和索引；如需供應(yīng)商提供支持服務(wù)或技術(shù)援助，應(yīng)向相關(guān)人員提供所需的合同和相關(guān)信息，并將過程記錄在案；對完成緊急恢復(fù)起至關(guān)重要作用的任務(wù)和指令集，應(yīng)有清晰的描述和第三十八條 商業(yè)銀行應(yīng)制定相關(guān)制度和流程，控制系統(tǒng)升級過程。交易日志由應(yīng)用軟件和數(shù)據(jù)庫管理系統(tǒng)產(chǎn)生，內(nèi)容包括用戶登錄嘗試、數(shù)據(jù)修改、錯誤信息等。（五）（六）定期評估新技術(shù)發(fā)展可能造成的影響和已使用軟件面臨的新威脅。（二）信息系統(tǒng)開發(fā)、測試和維護。（十一）確保本法人機構(gòu)涉及客戶信息、賬務(wù)信息以及產(chǎn)品信息等的核心系統(tǒng)在中國境內(nèi)獨立運行，并保持最高的管理權(quán)限，符合銀監(jiān)會監(jiān)管和實施現(xiàn)場檢（十二）及時向銀監(jiān)會及其派出機構(gòu)報告本機構(gòu)發(fā)生的重大信息科技事故或突發(fā)事件，按相關(guān)預(yù)案快速響應(yīng)。今后我社將在自治區(qū)聯(lián)社的領(lǐng)導(dǎo)下，在地區(qū)銀監(jiān)局的正確監(jiān)管下，加強信息科技風(fēng)險防范，努力提高信息科技防范工作力度，做好對敏感信息的保護和應(yīng)急能力建設(shè)，確保我社信息科技工作穩(wěn)定、安全發(fā)展。成立了以聯(lián)社理事長為組長、領(lǐng)導(dǎo)班子成員為副組長、各相關(guān)部門及營業(yè)網(wǎng)點主任為成員的信息科技工作領(lǐng)導(dǎo)小組，制定了信息科技應(yīng)急處置預(yù)案，明確了因信息科技風(fēng)險導(dǎo)致營業(yè)網(wǎng)點發(fā)生業(yè)務(wù)故障時，聯(lián)社各相關(guān)部門需采取的措施和步驟，提高了對信息科技風(fēng)險的預(yù)防和處置能力。政策性銀行、農(nóng)村合作銀行、城市信用社、農(nóng)村信用社、村鎮(zhèn)銀行、貸款公司、金融資產(chǎn)管理公司、信托公司、財務(wù)公司、金融租賃公司、汽車金融公司、貨幣經(jīng)紀公司等其他銀行業(yè)金融機構(gòu)參照執(zhí)行。第八條 商業(yè)銀行應(yīng)設(shè)立首席信息官，直接向行長匯報，并參與決策。（五）物理安全。第十九條 中資商業(yè)銀行在境外設(shè)立的機構(gòu)及境內(nèi)的外資商業(yè)銀行，應(yīng)當(dāng)遵守境內(nèi)外監(jiān)管機構(gòu)關(guān)于信息科技風(fēng)險管理的要求，并防范因監(jiān)管差異所造成的風(fēng)險。系統(tǒng)日志保存期限按系統(tǒng)的風(fēng)險等級確定，但不能少于一年。商