信息科技風險管理指引(編輯修改稿)
2025-05-15 04:18 本頁面
【文章內(nèi)容簡介】 賬戶的審批、驗證和監(jiān)控流程，并確保最高權(quán)限用戶的操作日志被記錄和監(jiān)察。（四）要求技術(shù)人員定期檢查可用的安全補丁，并報告補丁管理狀態(tài)。（五）在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪問、對用戶賬戶的修改等有關重要事項，手動或自動監(jiān)控系統(tǒng)出現(xiàn)的任何異常事件，定期匯報監(jiān)控情況。第二十六條商業(yè)銀行應通過以下措施，確保所有信息系統(tǒng)的安全：（一）明確定義終端用戶和信息科技技術(shù)人員在信息系統(tǒng)安全中的角色和職責。（二）針對信息系統(tǒng)的重要性和敏感程度，采取有效的身份驗證方法。（三）加強職責劃分，對關鍵或敏感崗位進行雙重控制。（四）在關鍵的接合點進行輸入驗證或輸出核對。（五）采取安全的方式處理保密信息的輸入和輸出，防止信息泄露或被盜取、篡改。（六）確保系統(tǒng)按預先定義的方式處理例外情況，當系統(tǒng)被迫終止時向用戶提供必要信息。（七）以書面或電子格式保存審計痕跡。（八）要求用戶管理員監(jiān)控和審查未成功的登錄和用戶賬戶的修改。第二十七條商業(yè)銀行應制定相關策略和流程，管理所有生產(chǎn)系統(tǒng)的活動日志，以支持有效的審核、安全取證分析和預防欺詐。日志可以在軟件的不同層次、不同的計算機和網(wǎng)絡設備上完成，日志劃分為兩大類：（一）交易日志。交易日志由應用軟件和數(shù)據(jù)庫管理系統(tǒng)產(chǎn)生，內(nèi)容包括用戶登錄嘗試、數(shù)據(jù)修改、錯誤信息等。交易日志應按照國家會計準則要求予以保存。（二）系統(tǒng)日志。系統(tǒng)日志由操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、防火墻、入侵檢測系統(tǒng)和路由器等生成，內(nèi)容包括管理登錄嘗試、系統(tǒng)事件、網(wǎng)絡事件、錯誤信息等。系統(tǒng)日志保存期限按系統(tǒng)的風險等級確定，但不能少于一年。商業(yè)銀行應保證交易日志和系統(tǒng)日志中包含足夠的內(nèi)容，以便完成有效的內(nèi)部控制、解決系統(tǒng)故障和滿足審計需要；應采取適當措施保證所有日志同步計時，并確保其完整性。在例外情況發(fā)生后應及時復查系統(tǒng)日志。交易日志或系統(tǒng)日志的復查頻率和保存周期應由信息科技部門和有關業(yè)務部門共同決定，并報信息科技管理委員會批準。第二十八條商業(yè)銀行應采取加密技術(shù)，防范涉密信息在傳輸、處理、存儲過程中出現(xiàn)泄露或被篡改的風險，并建立密碼設備管理制度，以確保：（一）使用符合國家要求的加密技術(shù)和加密設備。（二）管理、使用密碼設備的員工經(jīng)過專業(yè)培訓和嚴格審查。（三）加密強度滿足信息機密性的要求。（四）制定并落實有效的管理流程，尤其是密鑰和證書生命周期管理。第二十九條商業(yè)銀行應配備切實有效的系統(tǒng)，確保所有終端用戶設備的安全，并定期對所有設備進行安全檢查，包括臺式個人計算機（PC）、便攜式計算機、柜員終端、自動柜員機（ATM）、存折打印機、讀卡器、銷售終端（POS）和個人數(shù)字助理（PDA）等。第三十條商業(yè)銀行應制定相關制度和流程，嚴格管理客戶信息的采集、處理、存貯、傳輸、分發(fā)、備份、恢復、清理和銷毀。第三十一條商業(yè)銀行應對所有員工進行必要的培訓，使其充分掌握信息科技風險管理制度和流程，了解違反規(guī)定的后果，并對違反安全規(guī)定的行為采取零容忍政策。第五章信息系統(tǒng)開發(fā)、測試和維護第三十二條商業(yè)銀行應有能力對信息系統(tǒng)進行需求分析、規(guī)劃、采購、開發(fā)、測試、部署、維護、升級和報廢，制定制度和流程，管理信息科技項目的優(yōu)先排序、立項、審批和控制。項目實施部門應定期向信息科技管理委員會提交重大信息科技項目的進度報告，由其進行審核，進度報告應當包括計劃的重大變更、關鍵人員或供應商的變更以及主要費用支出情況。應在信息系統(tǒng)投產(chǎn)后一定時期內(nèi)，組織對系統(tǒng)的后評價，并根據(jù)評價結(jié)果及時對系統(tǒng)功能進行調(diào)整和優(yōu)化。第三十三條商業(yè)銀行應認識到信息科技項目相關的風險，包括潛在的各種操作風險、財務損失風險和因無效項目規(guī)劃或不適當?shù)捻椖抗芾砜刂飘a(chǎn)生的機會成本，并采取適當?shù)捻椖抗芾矸椒ǎ刂菩畔⒖萍柬椖肯嚓P的風險。第三十四條商業(yè)銀行應采取適當?shù)南到y(tǒng)開發(fā)方法，控制信息系統(tǒng)的生命周期。典型的系統(tǒng)生命周期包括系統(tǒng)分析、設計、開發(fā)或外購、測試、試運行、部署、維護和退出。所采用的系統(tǒng)開發(fā)方法應符合信息科技項目的規(guī)模、性質(zhì)和復雜度。第三十五條商業(yè)銀行應制定相關控制信息系統(tǒng)變更的制度和流程，確保系統(tǒng)的可靠性、完整性和可維護性，其中應包括以下要求：（一）生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)有效隔離。（二）生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)的管理職能相分離。（三）除得到管理層批準執(zhí)行緊急修復任務外，禁止應用程序開發(fā)和維護人員進入生產(chǎn)系統(tǒng)，且所有的緊急修復活動都應立即進行記錄和審核。（四）將完成開發(fā)和測試環(huán)境的程序或系統(tǒng)配置變更應用到生產(chǎn)系統(tǒng)時，應得到信息科技部門和業(yè)務部門的聯(lián)合批準，并對變更進行及時記錄和定期復查。第三十六條商業(yè)銀行應制定并落實相關制度、標準和流程，確保信息系統(tǒng)開發(fā)、測試、維護過程中數(shù)據(jù)的完整性、保密性和可用性。第三十七條商業(yè)銀行應建立并完善有效的問題管理流程，以確保全面地追蹤、分析和解決信息系統(tǒng)問題，并對問題進行記錄、分類和索引；如需供應商提供支持服務或技術(shù)援助，應向相關人員提供所需的合同和相關信息，并將過程記錄在案；對完成緊急恢復起至關重要作用的任務和指令集，應有清晰的描述和說明，并通知相關人員。第三十八條商業(yè)銀行應制定相關制度和流程，控制系統(tǒng)升級過程。當設備達到預期使用壽命或性能不能滿足業(yè)務需求，基礎軟件（操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件）或應用軟件
公司管理相關推薦
鄂ICP備17016276號-1