【文章內(nèi)容簡介】 （一）進(jìn)一步完善信息科技治理組織架構(gòu)全面落實(shí)《商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引》的各項(xiàng)監(jiān)管要求，積極推行信息科技COBIT治理標(biāo)準(zhǔn)的實(shí)施，進(jìn)一步完善信息科技管理、信息科技風(fēng)險(xiǎn)管理、信息科技審計(jì)“三道防線”建設(shè)。在信息科技管理上，逐步細(xì)化完善信息科技管理的各項(xiàng)流程、規(guī)范和制度，優(yōu)化信息科技管理組織架構(gòu)，實(shí)現(xiàn)產(chǎn)品研發(fā)、軟件開發(fā)、測(cè)試和生產(chǎn)運(yùn)行的相互制約和分離；在信息科技風(fēng)險(xiǎn)管理上，建立完善風(fēng)險(xiǎn)管理部內(nèi)部組織架構(gòu)，在信息科技風(fēng)險(xiǎn)管理部設(shè)立風(fēng)險(xiǎn)管理崗位、安全檢查崗位及業(yè)務(wù)連續(xù)性管理崗位；在信息科技審計(jì)上，建立完善全省農(nóng)合機(jī)構(gòu)的信息科技審計(jì)體系，規(guī)劃實(shí)施初期，推動(dòng)省聯(lián)社在稽審中心設(shè)立獨(dú)立的信息科技審計(jì)崗位，條件成熟后，再在省聯(lián)社或銀信金融服務(wù)中心設(shè)立單獨(dú)的信息科技審計(jì)部門。 （二）推行信息科技風(fēng)險(xiǎn)管理標(biāo)準(zhǔn)化治理按照Basel Ⅲ的要求，將信息科技風(fēng)險(xiǎn)明確劃歸到操作風(fēng)險(xiǎn)范疇，從而將信息科技風(fēng)險(xiǎn)管理納入到全面風(fēng)險(xiǎn)管理體系中。在信息科技風(fēng)險(xiǎn)管理體系建設(shè)上，積極推行信息科技風(fēng)險(xiǎn)管理的RISK IT治理標(biāo)準(zhǔn)的實(shí)施，參考借鑒國內(nèi)外信息科技風(fēng)險(xiǎn)管理領(lǐng)域的最佳實(shí)踐，從信息科技風(fēng)險(xiǎn)管理策略、信息科技風(fēng)險(xiǎn)控制、信息系統(tǒng)安全等級(jí)保護(hù)、業(yè)務(wù)連續(xù)性管理、信息科技風(fēng)險(xiǎn)管理績效體系等方面逐步落實(shí)銀監(jiān)會(huì)《商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引》中有關(guān)第二道防線的工作職能，逐步實(shí)現(xiàn)科技管理的自動(dòng)化，將各項(xiàng)管理要求體現(xiàn)到系統(tǒng)平臺(tái)中，確保各項(xiàng)既定管理要求得到有效落實(shí)，把風(fēng)險(xiǎn)管控貫穿于信息系統(tǒng)生命周期，建立起信息科技風(fēng)險(xiǎn)管控的日?；?、流程化、持續(xù)化機(jī)制，提高信息科技風(fēng)險(xiǎn)防范治理水平。 （三）充實(shí)優(yōu)化信息科技風(fēng)險(xiǎn)管理部信息科技風(fēng)險(xiǎn)管理部目前承擔(dān)著規(guī)劃、構(gòu)建全省農(nóng)合機(jī)構(gòu)信息科技風(fēng)險(xiǎn)管理相關(guān)的風(fēng)險(xiǎn)管理策略、風(fēng)險(xiǎn)控制、信息安全管理和業(yè)務(wù)連續(xù)性管理等職能，但目前管理和技術(shù)人員總共只有5人，遠(yuǎn)遠(yuǎn)不能滿足全省農(nóng)合機(jī)構(gòu)信息科技風(fēng)險(xiǎn)管理工作的需要，必須加強(qiáng)技術(shù)人員的引進(jìn)和培養(yǎng)，同時(shí)強(qiáng)化技術(shù)人員的專業(yè)培訓(xùn)和任職資質(zhì)要求，二年內(nèi)信息科技風(fēng)險(xiǎn)管理部主要技術(shù)人員必須獲得注冊(cè)信息安全專業(yè)人員證書（CISP）或國際信息系統(tǒng)審計(jì)師證書（CISA）。五年內(nèi)預(yù)期信息科技風(fēng)險(xiǎn)管理部總?cè)藬?shù)達(dá)到12人，其中中層管理人員2人，信息科技風(fēng)險(xiǎn)管理人員4人，安全檢查人員4人，業(yè)務(wù)連續(xù)性管理人員2人。（四）建立信息科技風(fēng)險(xiǎn)披露機(jī)制建立行之有效的信息科技風(fēng)險(xiǎn)的報(bào)告線路，制定信息科技風(fēng)險(xiǎn)月報(bào)、季報(bào)和年報(bào)等的披露規(guī)范，定期向省聯(lián)社領(lǐng)導(dǎo)、信息科技管理委員會(huì)和銀信中心管理層提交信息科技風(fēng)險(xiǎn)評(píng)估報(bào)告、信息安全報(bào)告、現(xiàn)場(chǎng)檢查報(bào)告和審計(jì)報(bào)告，確保省聯(lián)社理事會(huì)、管理層掌握主要的信息科技風(fēng)險(xiǎn)并在此基礎(chǔ)上確定可接受的風(fēng)險(xiǎn)級(jí)別，從而確保相關(guān)風(fēng)險(xiǎn)能夠被識(shí)別、計(jì)量、監(jiān)測(cè)和控制，切實(shí)提升省聯(lián)社理事會(huì)及管理層的信息科技風(fēng)險(xiǎn)管理的履職能力。（五）加強(qiáng)信息科技風(fēng)險(xiǎn)意識(shí)的教育和培訓(xùn) 建立全省農(nóng)合機(jī)構(gòu)常態(tài)化的信息科技風(fēng)險(xiǎn)管理意識(shí)培訓(xùn)教育機(jī)制。定期組織全省農(nóng)合機(jī)構(gòu)科技人員學(xué)習(xí)銀監(jiān)會(huì)、人民銀行和省聯(lián)社有關(guān)銀行業(yè)金融機(jī)構(gòu)信息科技風(fēng)險(xiǎn)監(jiān)管指引、規(guī)范和制度，確保所有科技人員了解、遵守信息科技策略、指導(dǎo)原則、信息保密、授權(quán)使用信息系統(tǒng)、信息科技管理制度和流程等要求，逐步提高全省農(nóng)合機(jī)構(gòu)科技人員的信息科技風(fēng)險(xiǎn)管理水平。定期舉辦信息科技治理和風(fēng)險(xiǎn)控制相關(guān)國際標(biāo)準(zhǔn)及最佳實(shí)踐體系的培訓(xùn)。在信息科技治理方面舉辦COBIT控制體系培訓(xùn)，在信息科技風(fēng)險(xiǎn)管理方面舉辦RISK IT控制體系培訓(xùn)，在信息安全方面舉辦ISO 27002控制體系培訓(xùn)，在生產(chǎn)運(yùn)行方面進(jìn)行ITIL最佳實(shí)踐體系培訓(xùn)，在軟件開發(fā)方面舉辦CMMI質(zhì)量控制體系培訓(xùn)。通過培訓(xùn)，逐步提升全省農(nóng)合機(jī)構(gòu)科技人員的安全意識(shí)、風(fēng)險(xiǎn)意識(shí)，促進(jìn)信息科技風(fēng)險(xiǎn)管理文化建設(shè)，保障全省農(nóng)合機(jī)構(gòu)數(shù)據(jù)大集中系統(tǒng)的安全運(yùn)行。 二、逐步完善信息科技風(fēng)險(xiǎn)管理策略（一）細(xì)化銀監(jiān)會(huì)《商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引》、《銀行業(yè)重要信息系統(tǒng)投產(chǎn)與變更管理辦法》、《商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引》、《銀行業(yè)重要信息系統(tǒng)突發(fā)事件應(yīng)急管理規(guī)范》等文件要求，逐步建立信息系統(tǒng)架構(gòu)風(fēng)險(xiǎn)管理、信息安全管理、生產(chǎn)運(yùn)行風(fēng)險(xiǎn)管理，開發(fā)測(cè)試和維護(hù)風(fēng)險(xiǎn)管理、外包風(fēng)險(xiǎn)管理的具體策略, 并在此基礎(chǔ)上聘請(qǐng)專業(yè)咨詢公司協(xié)助完善信息科技風(fēng)險(xiǎn)管理體系。 （二）積極引進(jìn)國內(nèi)外銀行業(yè)金融機(jī)構(gòu)先進(jìn)的信息科技風(fēng)險(xiǎn)管理策略： 在信息科技架構(gòu)管理策略上，積極引進(jìn)國內(nèi)外銀行業(yè)金融機(jī)構(gòu)先進(jìn)的信息科技架構(gòu)管控流程和最佳實(shí)踐，逐步健全業(yè)務(wù)架構(gòu)、應(yīng)用架構(gòu)、數(shù)據(jù)架構(gòu)、基礎(chǔ)設(shè)施架構(gòu)、組織架構(gòu)等方面風(fēng)險(xiǎn)的內(nèi)外評(píng)審機(jī)制，逐步完善架構(gòu)評(píng)價(jià)體系，持續(xù)跟蹤并監(jiān)測(cè)架構(gòu)規(guī)劃的執(zhí)行情況，在保持架構(gòu)相對(duì)穩(wěn)定的基礎(chǔ)上，適時(shí)調(diào)整架構(gòu)規(guī)劃以適應(yīng)發(fā)展要求，實(shí)現(xiàn)信息科技架構(gòu)風(fēng)險(xiǎn)的有效管理。在信息安全管理策略上，積極推行ISO 27002信息安全治理標(biāo)準(zhǔn)的實(shí)施。建立健全信息安全的內(nèi)部控制體系，通過技術(shù)和管理手段，確保信息系統(tǒng)和數(shù)據(jù)的機(jī)密性、完整性和可用性，提升信息安全保障體系的健壯性和有效性；合理劃分內(nèi)部網(wǎng)絡(luò)區(qū)域，有效隔離生產(chǎn)網(wǎng)、辦公網(wǎng)和測(cè)試網(wǎng)，在物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、桌面、數(shù)據(jù)、開發(fā)、運(yùn)行等不同層面完善身份認(rèn)證、訪問控制、日志分析、操作審計(jì)等安全風(fēng)險(xiǎn)控制策略；建立業(yè)務(wù)安全監(jiān)控機(jī)制，細(xì)化客戶端安全、互聯(lián)網(wǎng)安全、應(yīng)用交易安全等方面的安全防范策略，及時(shí)識(shí)別危險(xiǎn)賬戶和客戶異常行為，實(shí)現(xiàn)技術(shù)防范與業(yè)務(wù)交易安全監(jiān)控聯(lián)動(dòng)；統(tǒng)一規(guī)劃互聯(lián)網(wǎng)、外聯(lián)網(wǎng)安全防護(hù)標(biāo)準(zhǔn)策略，主動(dòng)應(yīng)對(duì)安全威脅，嚴(yán)格防止敏感數(shù)據(jù)泄露，重點(diǎn)防范外部攻擊；加強(qiáng)網(wǎng)上銀行安全威脅發(fā)展趨勢(shì)的跟蹤、分析和研究，推動(dòng)新技術(shù)新產(chǎn)品在網(wǎng)上銀行等互聯(lián)網(wǎng)系統(tǒng)中的應(yīng)用，在互聯(lián)網(wǎng)系統(tǒng)客戶端引入安全掃描等機(jī)制，主動(dòng)評(píng)價(jià)客戶平臺(tái)安全狀況，加強(qiáng)客戶平臺(tái)準(zhǔn)入管理，增強(qiáng)客戶異常行為檢查，通過識(shí)別客戶交易時(shí)段、地點(diǎn)、交易頻率及額度等信息，提前預(yù)警防范風(fēng)險(xiǎn)。在生產(chǎn)運(yùn)行風(fēng)險(xiǎn)管理策略上，積極推動(dòng)生產(chǎn)運(yùn)行管理的ITIL最佳實(shí)踐體系的實(shí)施。對(duì)生產(chǎn)運(yùn)行涉及的事件管理、問題管理、變更管理、數(shù)據(jù)管理、系統(tǒng)管理、網(wǎng)絡(luò)管理、機(jī)房管理等流程進(jìn)行全面梳理，明確主要風(fēng)險(xiǎn)點(diǎn)和薄弱環(huán)節(jié)，制定有效的風(fēng)險(xiǎn)防范或緩釋策略；持續(xù)完善變更風(fēng)險(xiǎn)管理策略，加強(qiáng)變更流程的審核和控制，有效降低變更操作風(fēng)險(xiǎn)；完善生產(chǎn)數(shù)據(jù)備份策略，建立備份數(shù)據(jù)驗(yàn)證環(huán)境，提高數(shù)據(jù)安全保障能力；完善生產(chǎn)事件的管理策略，細(xì)化生產(chǎn)運(yùn)行事件分類，建立完善事件處理知識(shí)庫，提高運(yùn)行事件響應(yīng)處理能力；推進(jìn)自動(dòng)化生產(chǎn)運(yùn)行操作平臺(tái)建設(shè)，強(qiáng)化操作復(fù)核機(jī)制和權(quán)限控制，實(shí)現(xiàn)日常運(yùn)維中重復(fù)性工作的自動(dòng)化和規(guī)范化操作，避免人為操作帶來的風(fēng)險(xiǎn)隱患。部署全面的安全防護(hù)系統(tǒng)和風(fēng)險(xiǎn)監(jiān)測(cè)工具，對(duì)運(yùn)行風(fēng)險(xiǎn)進(jìn)行有效的監(jiān)測(cè)、預(yù)警和及時(shí)處置。在開發(fā)測(cè)試、維護(hù)和項(xiàng)目投產(chǎn)風(fēng)險(xiǎn)管理策略上，積極推動(dòng)軟件開發(fā)CMMI質(zhì)量控制體系的實(shí)施，提高軟件開發(fā)質(zhì)量管理能力。在項(xiàng)目管理上，加強(qiáng)項(xiàng)目需求與設(shè)計(jì)階段的架構(gòu)審核和安全評(píng)審，嚴(yán)格執(zhí)行信息安全技術(shù)架構(gòu)原則；在軟件開發(fā)管理上，大力推廣使用代碼檢測(cè)技術(shù)和漏洞測(cè)試工具，提高軟件編碼質(zhì)量，防范軟件開發(fā)過程中存在的風(fēng)險(xiǎn)和漏洞；在變更投產(chǎn)管理上，建立重要信息系統(tǒng)變更投產(chǎn)前的風(fēng)險(xiǎn)評(píng)估機(jī)制，有效提升軟件開發(fā)和項(xiàng)目投產(chǎn)風(fēng)險(xiǎn)管控水平。在外包風(fēng)險(xiǎn)管理策略上，完善外包合同協(xié)議的風(fēng)險(xiǎn)審核機(jī)制，建立外包實(shí)施過程中的操作安全、數(shù)據(jù)保密、人員變更等風(fēng)險(xiǎn)防范策略，完善外包突發(fā)事件應(yīng)急預(yù)案，防范外包供應(yīng)商服務(wù)中斷或異常退出風(fēng)險(xiǎn)。(三)建立完善業(yè)務(wù)系統(tǒng)應(yīng)用風(fēng)險(xiǎn)防范策略 健全業(yè)務(wù)系統(tǒng)應(yīng)用風(fēng)險(xiǎn)防范規(guī)范、制度和流程，定期進(jìn)行業(yè)務(wù)系統(tǒng)應(yīng)用風(fēng)險(xiǎn)分析，及時(shí)發(fā)現(xiàn)、修正業(yè)務(wù)操作過程、交易流程、操作權(quán)限等的風(fēng)險(xiǎn)隱患和漏洞。制定業(yè)務(wù)系統(tǒng)應(yīng)用風(fēng)險(xiǎn)指標(biāo)，構(gòu)建業(yè)務(wù)系統(tǒng)應(yīng)用風(fēng)險(xiǎn)分析系統(tǒng)，確保內(nèi)審機(jī)構(gòu)和管理部門能夠及時(shí)、準(zhǔn)確掌握業(yè)務(wù)操作風(fēng)險(xiǎn)狀況，實(shí)現(xiàn)對(duì)業(yè)務(wù)操作行為實(shí)時(shí)或定期風(fēng)