【文章內(nèi)容簡介】 息科技風險管理指引 》 ?要點： ? 業(yè)務連續(xù)性管理 ? 制定業(yè)務連續(xù)性規(guī)劃，確保在出現(xiàn)無法預見的中斷時，系統(tǒng)仍能持續(xù)運行并提供服務。 ? 業(yè)務影響分析：人員、系統(tǒng)或其他資產(chǎn)的故障或缺失，信息丟失、戰(zhàn)爭、臺風、地震 ? 采取雙機熱備、制定應急計劃、購買商業(yè)保險 《 商業(yè)銀行信息科技風險管理指引 》 ?要點： ? 項目開發(fā)、測試管理 ? 開發(fā)環(huán)境和生產(chǎn)環(huán)境物理隔離 ? 禁止開發(fā)和維護人員隨意進入生產(chǎn)系統(tǒng) ? 組織開展系統(tǒng)上線后評價 ? 外包管理 ? 重要外包報告 ? 外包風險評估 ? 服務水平協(xié)議 ? 安全保密要求（包含敏感客戶信息） ? 應急措施 《 商業(yè)銀行信息科技風險管理指引 》 ?要點： ? 系統(tǒng)運行管理 ? 制定詳細的運行操作說明 ? 系統(tǒng)運行監(jiān)控 ? 容量規(guī)劃 ? 變更管理 ? 事件管理 ? 信息安全管理 ? 安全策略（物理安全 、 人員安全、訪問控制、數(shù)據(jù)加密等） ? 活動日志保存（交易日志、系統(tǒng)日志） 《 商業(yè)銀行信息科技風險管理指引 》 《 銀行業(yè)重要信息系統(tǒng)突發(fā)事件應急管理規(guī)范（試行） 》 ? 作用： ? 規(guī)范并促進了銀行業(yè)金融機構(gòu)做好重要信息系統(tǒng)突發(fā)事件應急管理，提高對突發(fā)事件的綜合管理能力和應急處置能力。 ? 主要概念 ? 重要信息系統(tǒng)：指支撐銀行業(yè)金融機構(gòu)關鍵業(yè)務，其信息安全和系統(tǒng)服務安全關系公民、法人和組織權(quán)益或社會秩序和公共利益，甚至影響國家安全的信息系統(tǒng) ? 要點： ? 明確定義了董事會及高管層、風險管理部門、信息科技管理部門和業(yè)務管理部門在突發(fā)事件中的職責要求，明確了應急領導小組、應急執(zhí)行小組、應急保障小組的職責分工 ? 對突發(fā)事件進行分級定義，將突發(fā)事件按照影響范圍和持續(xù)時間分為特別重大突發(fā)事件（兩個以上省業(yè)務中斷超過 3小時或一個省超過 6小時） 、重大突發(fā)事件（兩個以上省業(yè)務中斷半小時或一個省超 3小時） 、 交大突發(fā)事件（一個省業(yè)務中斷超半小時 ） 三個級別 《 銀行業(yè)重要信息系統(tǒng)突發(fā)事件應急管理規(guī)范（試行） 》 ? 要點： ? 要求銀行機構(gòu)建立信息科技風險防范體系，制定信息系統(tǒng) RTO（ 最短恢復時間目標）、 RPO（ 最近恢復點目標）指標 《 銀行業(yè)重要信息系統(tǒng)突發(fā)事件應急管理規(guī)范（試行） 》 正常處理 初始響應 激活 恢復流程 積壓業(yè)務 正常處理 最近備份 備份 備份 恢復結(jié)束 目標恢復點 事件 在成功恢復之前， 數(shù)據(jù)可能會遺失、 損壞、或無法獲取 目標恢復階段（ RTO） 處理間隙：位于損 壞點與恢復正常處理 之間的滯后時間段 災難聲明 《 銀行業(yè)重要信息系統(tǒng)突發(fā)事件應急管理規(guī)范（試行） 》 ? 要點： ? 對信息科技風險識別、評估、監(jiān)測、預警的各個環(huán)節(jié)提出了具體要求 ? 對銀行機構(gòu)制定應急預案、開展應急演練、應急響應及報告機制、日常應急保障等應急管理內(nèi)容提出了具體要求。 重要突發(fā)事件發(fā)生后 60分鐘內(nèi)將情況報監(jiān)管部門、 12小時內(nèi)提交正式報告、一級事件每兩小時報告進展 《銀行業(yè)重要信息系統(tǒng)投產(chǎn)與變更管理辦法》 ?概念 ? 重要信息系統(tǒng)：指支撐銀行業(yè)金融機構(gòu)關鍵業(yè)務，其信息安全和系統(tǒng)服務安全關系公民、法人和組織權(quán)益或社會秩序和公共利益，甚至影響國家安全的信息系統(tǒng) ? 投產(chǎn)和變更內(nèi)容 ： 支撐重要信息系統(tǒng)運行的機房、網(wǎng)絡設施投產(chǎn)、機房場地遷移、網(wǎng)絡及核心業(yè)務系統(tǒng)應用架構(gòu)變更、核心業(yè)務系統(tǒng)版本變更等。 ?要點 ? 加強和規(guī)范銀行機構(gòu)信息系統(tǒng)投產(chǎn)和變更管理，避免系統(tǒng)投產(chǎn)或變更過程造成業(yè)務中斷或數(shù)據(jù)丟失情況 ? 重要信息系統(tǒng)投產(chǎn)前至少 20個工作日、變更前至少 10個工作日向監(jiān)管部門報告，實施后 1個月內(nèi)提交投產(chǎn)或變更情況報告 《商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引》 ? 概念 ? 數(shù)據(jù)中心：生產(chǎn)中心和災備中心 ? 災備中心：商業(yè)銀行為保障業(yè)務連續(xù)性，在生產(chǎn)中心故障、聽短或癱瘓后，能夠接替生產(chǎn)中心運行，具備專用場所、進行數(shù)據(jù)處理和支持重要業(yè)務持續(xù)運行的組織。 ? 同城災備中心：同一地理區(qū)域，一般距離數(shù)十公里，可防火災、建筑物破壞、電力或通信中斷 ? 異地災備中心：不同地理區(qū)域、距離數(shù)百公里以上，不會同是面臨地震、臺風、洪水等同類災難風險。 ? 要求： ? 總資產(chǎn) 1千億元人民幣且跨省經(jīng)營的法人銀行及省級農(nóng)信社要建立異地災備中心，災難恢復等級達到 5級以上，其他法人銀行應設立同城災備中心并實現(xiàn)數(shù)據(jù)異地備份，災難恢復等級達到 4級以上。 ? 正式運營前至少 20個工作日向監(jiān)管部門報告，變更數(shù)據(jù)中心場所要提前 2月報告 ? 對數(shù)據(jù)中心選址、基本配置提出明確要求 ? 災難恢復等級達到 5級 ? 災難恢復等級達到 5級：數(shù)據(jù)實施備份， 4級：數(shù)據(jù)定期備份 《商業(yè)銀行數(shù)據(jù)中心監(jiān)管指引》 ?災難恢復等級達到 4級：電子傳輸及完整設備支持，數(shù)據(jù)定期備份 ?災難恢復等級達到 5級：實時數(shù)據(jù)傳輸及完整設備支持，數(shù)據(jù)實施備份 ?災難恢復等級達到 5級：數(shù)據(jù)零丟失和遠程集群支持。 《銀行業(yè)金融機構(gòu)信息系統(tǒng)安全保障問責方案》 ?要點 ? 要求法人銀行機構(gòu)簽署信息系統(tǒng)安全保障責任書，明確高管人員對信息系統(tǒng)安全保障的管理責任 ? 對管理失職造成不良后果的，追究責任 《 銀行業(yè)金融機構(gòu)信息科技非現(xiàn)場監(jiān)管報表 》 ? 要點： ? 明確信息科技風險部門為報送責任部門 ? 包括 1份年度報告、 14張年度報表、 6張季度報表、 7張實時報表 《 商業(yè)銀行信息科技風險現(xiàn)場檢查指南 》 ?要點 ? 明確了商業(yè)銀行目前主要的信息科技風險領域、主要風險點，闡明了檢查思路和主要方法，幫助檢查人員明確檢查目標，從而提高信息科技風險現(xiàn)場檢查的有效性和針對性，提升現(xiàn)場檢查質(zhì)量。 ? 提供評價銀行信息科技風險管理各領域狀況的參考標準，并提出了具體的檢查要求和步驟，進一步規(guī)范了信息科技風險現(xiàn)場檢查的程序、手段和行為，是銀監(jiān)會及各級派出機構(gòu)實施現(xiàn)場檢查工作的一個重要參考依據(jù)和檢查指導工具。 ? 指明商業(yè)銀行信息科技風險防控的重點領域、方向和關鍵風險點，提出了風險識別、預警和控制的具體手段，商業(yè)銀行可以充分借鑒《指南》內(nèi)的信息科技風險防控原則和指導思想，應用到銀行信息科技建設和管理實踐中，成為指導銀行全面開展科技風險防控、提升管理能力的有力武器。 四、 信息科技風險監(jiān)管架構(gòu) 信息科技風險監(jiān)管體系 信息科技風險 監(jiān)管年度計劃 數(shù)據(jù)采集 與審核 信息科技風險 分析與評估 信息科技風險 現(xiàn)場檢查 信息科技 風險監(jiān)測 風險提示、 預警 及應急處理 年度信息科技 監(jiān)管評級 年度信息科技 監(jiān)管報告 體系概述 — 總體框架 固有風險 控制有效性 = 剩余風險 固有風險指標 控制有效性指標 信息科技綜合風險水平 信息科技風險評估指標 固有風險水平 控制有效性 風險評估流程方法 體系概述 — 剩余風險綜合分析矩陣 剩余風險 控制有效性 強 中強 中弱 弱 固有風險 高 三級 四級 五級 六級 中高 二級 三級 四級