【正文】 用戶組的訪問權(quán)限。（三）制定最高權(quán)限系統(tǒng)賬戶的審批、驗證和監(jiān)控流程，并確保最高權(quán)限用戶的操作日志被記錄和監(jiān)察。（四）要求技術(shù)人員定期檢查可用的安全補丁，并報告補丁管理狀態(tài)。（五）在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪問、對用戶賬戶的修改等有關(guān)重要事項，手動或自動監(jiān)控系統(tǒng)出現(xiàn)的任何異常事件，定期匯報監(jiān)控情況。第二十六條 商業(yè)銀行應(yīng)通過以下措施，確保所有信息系統(tǒng)的安全：（一）明確定義終端用戶和信息科技技術(shù)人員在信息系統(tǒng)安全中的角色和職責。（二）針對信息系統(tǒng)的重要性和敏感程度，采取有效的身份驗證方法。（三）加強職責劃分，對關(guān)鍵或敏感崗位進行雙重控制。（四）在關(guān)鍵的接合點進行輸入驗證或輸出核對。（五）采取安全的方式處理保密信息的輸入和輸出，防止信息泄露或被盜取、篡改。（六）確保系統(tǒng)按預(yù)先定義的方式處理例外情況，當系統(tǒng)被迫終止時向用戶提供必要信息。（七）以書面或電子格式保存審計痕跡。（八）要求用戶管理員監(jiān)控和審查未成功的登錄和用戶賬戶的修改。第二十七條 商業(yè)銀行應(yīng)制定相關(guān)策略和流程，管理所有生產(chǎn)系統(tǒng)的活動日志，以支持有效的審核、安全取證分析和預(yù)防欺詐。日志可以在軟件的不同層次、不同的計算機和網(wǎng)絡(luò)設(shè)備上完成，日志劃分為兩大類：（一）交易日志。交易日志由應(yīng)用軟件和數(shù)據(jù)庫管理系統(tǒng)產(chǎn)生，內(nèi)容包括用戶登錄嘗試、數(shù)據(jù)修改、錯誤信息等。交易日志應(yīng)按照國家會計準則要求予以保存。（二）系統(tǒng)日志。系統(tǒng)日志由操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、防火墻、入侵檢測系統(tǒng)和路由器等生成，內(nèi)容包括管理登錄嘗試、系統(tǒng)事件、網(wǎng)絡(luò)事件、錯誤信息等。系統(tǒng)日志保存期限按系統(tǒng)的風險等級確定，但不能少于一年。商業(yè)銀行應(yīng)保證交易日志和系統(tǒng)日志中包含足夠的內(nèi)容，以便完成有效的內(nèi)部控制、解決系統(tǒng)故障和滿足審計需要；應(yīng)采取適當措施保證所有日志同步計時，并確保其完整性。在例外情況發(fā)生后應(yīng)及時復(fù)查系統(tǒng)日志。交易日志或系統(tǒng)日志的復(fù)查頻率和保存周期應(yīng)由信息科技部門和有關(guān)業(yè)務(wù)部門共同決定，并報信息科技管理委員會批準。第二十八條 商業(yè)銀行應(yīng)采取加密技術(shù)，防范涉密信息在傳輸、處理、存儲過程中出現(xiàn)泄露或被篡改的風險，并建立密碼設(shè)備管理制度，以確保：（一）使用符合國家要求的加密技術(shù)和加密設(shè)備。（二）管理、使用密碼設(shè)備的員工經(jīng)過專業(yè)培訓(xùn)和嚴格審查。（三）加密強度滿足信息機密性的要求。（四）制定并落實有效的管理流程，尤其是密鑰和證書生命周期管理。第二十九條 商業(yè)銀行應(yīng)配備切實有效的系統(tǒng)，確保所有終端用戶設(shè)備的安全，并定期對所有設(shè)備進行安全檢查，包括臺式個人計算機（PC）、便攜式計算機、柜員終端、自動柜員機（ATM）、存折打印機、讀卡器、銷售終端（POS）和個人數(shù)字助理（PDA）等。第三十條 商業(yè)銀行應(yīng)制定相關(guān)制度和流程，嚴格管理客戶信息的采集、處理、存貯、傳輸、分發(fā)、備份、恢復(fù)、清理和銷毀。第三十一條 商業(yè)銀行應(yīng)對所有員工進行必要的培訓(xùn)，使其充分掌握信息科技風險管理制度和流程，了解違反規(guī)定的后果，并對違反安全規(guī)定的行為采取零容忍政策。第五章 信息系統(tǒng)開發(fā)、測試和維護第三十二條 商業(yè)銀行應(yīng)有能力對信息系統(tǒng)進行需求分析、規(guī)劃、采購、開發(fā)、測試、部署、維護、升級和報廢，制定制度和流程，管理信息科技項目的優(yōu)先排序、立項、審批和控制。項目實施部門應(yīng)定期向信息科技管理委員會提交重大信息科技項目的進度報告，由其進行審核，進度報告應(yīng)當包括計劃的重大變更、關(guān)鍵人員或供應(yīng)商的變更以及主要費用支出情況。應(yīng)在信息系統(tǒng)投產(chǎn)后一定時期內(nèi)，組織對系統(tǒng)的后評價，并根據(jù)評價結(jié)果及時對系統(tǒng)功能進行調(diào)整和優(yōu)化。第三十三條 商業(yè)銀行應(yīng)認識到信息科技項目相關(guān)的風險，包括潛在的各種操作風險、財務(wù)損失風險和因無效項目規(guī)劃或不適當?shù)捻椖抗芾砜刂飘a(chǎn)生的機會成本，并采取適當?shù)捻椖抗芾矸椒?，控制信息科技項目相關(guān)的風險。第三十四條 商業(yè)銀行應(yīng)采取適當?shù)南到y(tǒng)開發(fā)方法，控制信息系統(tǒng)的生命周期。典型的系統(tǒng)生命周期包括系統(tǒng)分析、設(shè)計、開發(fā)或外購、測試、試運行、部署、維護和退出。所采用的系統(tǒng)開發(fā)方法應(yīng)符合信息科技項目的規(guī)模、性質(zhì)和復(fù)雜度。第三十五條 商業(yè)銀行應(yīng)制定相關(guān)控制信息系統(tǒng)變更的制度和流程，確保系統(tǒng)的可靠性、完整性和可維護性，其中應(yīng)包括以下要求：（一）生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)有效隔離。（二）生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)的管理職能相分離。（三）除得到管理層批準執(zhí)行緊急修復(fù)任務(wù)外，禁止應(yīng)用程序開發(fā)和維護人員進入生產(chǎn)系統(tǒng)，且所有的緊急修復(fù)活動都應(yīng)立即進行記錄和審核。（四）將完成開發(fā)和測試環(huán)境的程序或系統(tǒng)配臵變更應(yīng)用到生產(chǎn)系統(tǒng)時，應(yīng)得到信息科技部門和業(yè)務(wù)部門的聯(lián)合批準，并對變更進行及時記錄和定期復(fù)查。第三十六條 商業(yè)銀行應(yīng)制定并落實相關(guān)制度、標準和流程，確保信息系統(tǒng)開發(fā)、測試、維護過程中數(shù)據(jù)的完整性、保密性和可用性。第三十七條 商業(yè)銀行應(yīng)建立并完善有效的問題管理流程，以確保全面地追蹤、分析和解決信息系統(tǒng)問題，并對問題進行記錄、分類和索引；如需供應(yīng)商提供支持服務(wù)或技術(shù)援助，應(yīng)向相關(guān)人員提供所需的合同和相關(guān)信息，并將過程記錄在案；對完成緊急恢復(fù)起至關(guān)重要作用的任務(wù)和指令集，應(yīng)有清晰的描述和說明，并通知相關(guān)人員。第三十八條 商業(yè)銀行應(yīng)制定相關(guān)制度和流程，控制系統(tǒng)升級過程。當設(shè)備達到預(yù)期使用壽命或性能不能滿足業(yè)務(wù)需求，基礎(chǔ)軟件（操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件）或應(yīng)用軟件必須升級時，應(yīng)及時進行系統(tǒng)升級，并將該類升級活動納入信息科技項目，接受相關(guān)的管理和控制，包括用戶驗收測試。第六章 信息科技運行第三十九條 商業(yè)銀行在選擇數(shù)據(jù)中心的地理位臵時，應(yīng)充分考慮環(huán)境威脅（如是否接近自然災(zāi)害多發(fā)區(qū)、危險或有害設(shè)施、繁忙或主要公路），采取物理控制措施，監(jiān)控對信息處理設(shè)備運行構(gòu)成威脅的環(huán)境狀況，并防止因意外斷電或供電干擾影響數(shù)據(jù)中心的正常運行。第四十條 商業(yè)銀行應(yīng)嚴格控制第三方人員（如服務(wù)供應(yīng)商）進入安全區(qū)域，如確需進入應(yīng)得到適當?shù)呐鷾?，其活動也?yīng)受到監(jiān)控；針對長期或臨時聘用的技術(shù)人員和承包商，尤其是從事敏感性技術(shù)相關(guān)工作的人員，應(yīng)制定嚴格的審查程序，包括身份驗證和背景調(diào)查。第四十一條 商業(yè)銀行應(yīng)將信息科技運行與系統(tǒng)開發(fā)和維護分離，確保信息科技部門內(nèi)部的崗位制約；對數(shù)據(jù)中心的崗位和職責做出明確規(guī)定。第四十二條 商業(yè)銀行應(yīng)按照有關(guān)法律法規(guī)要求保存交易記錄，采取必要的程序和技術(shù)，確保存檔數(shù)據(jù)的完整性，滿足安全保存和可恢復(fù)要求。第四十三條 商業(yè)銀行應(yīng)制定詳盡的信息科技運行操作說明。如在信息科技運行手冊中說明計算機操作人員的任務(wù)、工作日程、執(zhí)行步驟，以及生產(chǎn)與開發(fā)環(huán)境中數(shù)據(jù)、軟件的現(xiàn)場及非現(xiàn)場備份流程和要求（即備份的頻率、范圍和保留周期）。第四十四條 商業(yè)銀行應(yīng)建立事故管理及處臵機制，及時響應(yīng)信息系統(tǒng)運行事故，逐級向相關(guān)的信息科技管理人員報告事故的發(fā)生，并進行記錄、分析和跟蹤，直到完成徹底的處臵和根本原因分析。商業(yè)銀行應(yīng)建立服務(wù)臺，為用戶提供相關(guān)技術(shù)問題的在線支持，并將問題提交給相關(guān)信息科技部門進行調(diào)查和解決。第四十五條 商業(yè)銀行應(yīng)建立服務(wù)水平管理相關(guān)的制度和流程，對信息科技運行服務(wù)水平進行考核。第四十六條 商業(yè)銀行應(yīng)建立連續(xù)監(jiān)控信息系統(tǒng)性能的相關(guān)程序，及時、完整地報告例外情況；該程序應(yīng)提供預(yù)警功能，在例外情況對系統(tǒng)性能造成影響前對其進行識別和修正。第四十七條 商業(yè)銀行應(yīng)制定容量規(guī)劃，以適應(yīng)由于外部環(huán)境變化產(chǎn)生的業(yè)務(wù)發(fā)展和交易量增長。容量規(guī)劃應(yīng)涵蓋生產(chǎn)系統(tǒng)、備份系統(tǒng)及相關(guān)設(shè)備。第四十八條 商業(yè)銀行應(yīng)及時進行維護和適當?shù)南到y(tǒng)升級，以確保與技術(shù)相關(guān)服務(wù)的連續(xù)可用性，并完整保存記錄（包括疑似和實際的故障、預(yù)防性和補救性維護記錄），以確保有效維護設(shè)備和設(shè)施。第四十九條 商業(yè)銀行應(yīng)制定有效的變更管理流程，以確保生產(chǎn)環(huán)境的完整性和可靠性。包括緊急變更在內(nèi)的所有變更都應(yīng)記入日志，由信息科技部門和業(yè)務(wù)部門共同審核簽字，并事先進行備份,以便必要時可以恢復(fù)原來的系統(tǒng)版本和數(shù)據(jù)文件。緊急變更成功后,應(yīng)通過正常的驗收測試和變更管理流程,采用恰當?shù)男拚匀〈o急變更。第七章 業(yè)務(wù)連續(xù)性管理第五十條 商業(yè)銀行應(yīng)根據(jù)自身業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度制定適當?shù)臉I(yè)務(wù)連續(xù)性規(guī)劃，以確保在出現(xiàn)無法預(yù)見的中斷時，系統(tǒng)仍能持續(xù)運行并提供服務(wù)；定期對規(guī)劃進行更新和演練，以保證其有效性。第五十一條 商業(yè)銀行應(yīng)評估因意外事件導(dǎo)致其業(yè)務(wù)運行中斷的可能性及其影響，包括評估可能由下述原因?qū)е碌钠茐模邯ィㄒ唬﹥?nèi)外部資源的故障或缺失（如人員、系統(tǒng)或其他資產(chǎn)）。（二）信息丟失或受損。（三）外部事件（如戰(zhàn)爭、地震或臺風等）。第五十二條 商業(yè)銀行應(yīng)采取系統(tǒng)恢復(fù)和雙機熱備處理等措施降低業(yè)務(wù)中斷的可能性，并通過應(yīng)急安排和保險等方式降低影響。第五十三條 商業(yè)銀行應(yīng)建立維持其運營連續(xù)性策略的文檔，并制定對策略的充分性和有效性進行檢查和溝通的計劃。其中包括：（一）規(guī)范的業(yè)務(wù)連續(xù)性計劃,明確降低短期、中期和長期中斷所造成影響的措施，包括但不限于:1．資源需求（如人員、系統(tǒng)和其他資產(chǎn)）以及獲取資源的方式。2．運行恢復(fù)的優(yōu)先順序。3．與內(nèi)部各部門及外部相關(guān)各方（尤其是監(jiān)管機構(gòu)、客戶和媒體等）的溝通安排。（二）更新實施業(yè)務(wù)連續(xù)性計劃的流程及相關(guān)聯(lián)系信息。（三）驗證受中斷影響的信息完整性的步驟。（四）當商業(yè)銀行的業(yè)務(wù)或風險狀況發(fā)生變化時，對本條（一）到（三）進行審核并升級。第五十四條 商業(yè)銀行的業(yè)務(wù)連續(xù)性計劃和應(yīng)急演練結(jié)果應(yīng)由信息科技風險管理部門或信息科技管理委員會確認。第八章 外 包第五十五條 商業(yè)銀行不得將其信息科技管理責任外包，應(yīng)合理謹慎監(jiān)督外包職能的履行。第五十六條 商業(yè)銀行實施重要外包（如數(shù)據(jù)中心和信息科技基礎(chǔ)設(shè)施等)應(yīng)格外謹慎，在準備實施重要外包時應(yīng)以書面材料正式報告銀監(jiān)會或其派出機構(gòu)。第五十七條 商業(yè)銀行在簽署外包協(xié)議或?qū)ν獍鼌f(xié)議進行重大變更前，應(yīng)做好相關(guān)準備，其中包括：（一）分析外包是否適合商業(yè)銀行的組織結(jié)構(gòu)和報告路線、業(yè)務(wù)戰(zhàn)略、總體風險控制，是否滿足商業(yè)銀行履行對外包服務(wù)商的監(jiān)督義務(wù)。（二）考慮外包協(xié)議是否允許商業(yè)銀行監(jiān)測和控制與外包相關(guān)的操作風險。（三）充分審查、評估外包服務(wù)商的財務(wù)穩(wěn)定性和專業(yè)經(jīng)驗，對外包服務(wù)商進行風險評估，考查其設(shè)施和能力是否足以承擔相應(yīng)的責任。（四）考慮外包協(xié)議變更前后實施的平穩(wěn)過渡（包括終止合同可能發(fā)生的情況）。（五）關(guān)注可能存在的集中風險，如多家商業(yè)銀行共用同一外包服務(wù)商帶來的潛在業(yè)務(wù)連續(xù)性風險。第五十八條 商業(yè)銀行在與外包服務(wù)商合同談判過程中，應(yīng)考慮的因素包括但不限于： （一）對外包服務(wù)商的報告要求和談判必要條件。（二）銀行業(yè)監(jiān)管機構(gòu)和內(nèi)部審計、外部審計能執(zhí)行足夠的監(jiān)督。（三）通過界定信息所有權(quán)、簽署保密協(xié)議和采取技術(shù)防護措施保護客戶信息和其他信息。（四）擔保和損失賠償是否充足。（五）外包服務(wù)商遵守商業(yè)銀行有關(guān)信息科技風險制度和流程的意愿及相關(guān)措施。（六）外包服務(wù)商提供的業(yè)務(wù)連續(xù)性保障水平，以及提供相關(guān)專屬資源的承諾。（七）第三方供應(yīng)商出現(xiàn)問題時，保證軟件持續(xù)可用的相關(guān)措施。（八）變更外包協(xié)議的流程，以及商業(yè)銀行或外包服務(wù)商選擇變更或終止外包協(xié)議的條件，例如：。。，造成商業(yè)銀行不能履行監(jiān)督義務(wù)。第五十九條 商業(yè)銀行在實施雙方關(guān)系管理，以及起草服務(wù)水平協(xié)議時，應(yīng)考慮的因素包括但不限于：（一）提出定性和定量的績效指標，評估外包服務(wù)商為商業(yè)銀行及其相關(guān)客戶提供服務(wù)的充分性。（二）通過服務(wù)水平報告、定期自我評估、內(nèi)部或外部獨立審計進行績效考核。（三）針對績效不達標的情況調(diào)整流程，采取整改措施。第六十條 商業(yè)銀行應(yīng)加強信息科技相關(guān)外包管理工作，確保商業(yè)銀行的客戶資料等敏感信息的安全，包括但不限于采取以下措施：（一）實現(xiàn)本銀行客戶資料與外包服務(wù)商其他客戶資料的有效隔離。（二）按照“必需知道”和“最小授權(quán)”原則對外包服務(wù)商相關(guān)人員授權(quán)。（三）要求外包服務(wù)商保證其相關(guān)人員遵守保密規(guī)定。（四）應(yīng)將涉及本銀行客戶資料的外包作為重要外包，并告知相關(guān)客戶。（五）嚴格控制外包服務(wù)商再次對外轉(zhuǎn)包，采取足夠措施確保商業(yè)銀行相關(guān)信息的安全。（六）確保在中止外包協(xié)議時收回或銷毀外包服務(wù)商保存的所有客戶資料。第六十一條 商業(yè)銀行應(yīng)建立恰當?shù)膽?yīng)急措施，應(yīng)對外包服務(wù)商在服務(wù)中可能出現(xiàn)的重大缺失。尤其需要考慮外包服務(wù)商的重大資源損失，重大財務(wù)損失和重要人員的變動，以及外包協(xié)議的意外終止。第六十二條 商業(yè)銀行所有信息科技外包合同應(yīng)由信息科技風險管理部門、法律部門和信息科技管理委員會審核通過。商業(yè)銀行應(yīng)設(shè)立流程定期審閱和修訂服務(wù)水平協(xié)議。第九章 內(nèi)部審計第六十三條 商業(yè)銀行內(nèi)部審計部門應(yīng)根據(jù)業(yè)務(wù)的性質(zhì)、規(guī)模和復(fù)雜程度，對相關(guān)系統(tǒng)及其控制的適當性和有效性進行監(jiān)測。內(nèi)部審計部門應(yīng)配備足夠的資源和具有專業(yè)能力的信息科技審計人員，獨立于本銀行的日?；顒樱哂羞m當?shù)氖跈?quán)訪問本銀行的記錄。第六十四條 商業(yè)銀行內(nèi)部信息科技審計的責任包括：（一）制定、實施和調(diào)整審計計劃，檢查和評估商業(yè)銀行信息科技系統(tǒng)和內(nèi)控機制的充分性和有效性。（二）按照第（一）款規(guī)定完成審計工作，在此基礎(chǔ)上提出整改意見。（三）檢查整改意見是否得到落實。（四）執(zhí)行信息科技專項審計。信息科技專項審計，是指對信息科技安全事故進行的調(diào)查、分析和評估，或?qū)徲嫴块T根據(jù)風險評估結(jié)果對認為必要的特殊事項進行的審計。第六十五條 商業(yè)銀行應(yīng)根據(jù)業(yè)務(wù)性質(zhì)、規(guī)模和復(fù)雜程度，信息科技應(yīng)用情況，以及信息科技風險評估結(jié)果，決定信息科技內(nèi)部審計范圍和頻率。但至少應(yīng)每三年進行一次全面審計。第六十六條 商業(yè)銀行在進行大規(guī)模系統(tǒng)開發(fā)時，應(yīng)要求信息科技風險管理部門和內(nèi)部審計部門參與，保證系統(tǒng)開發(fā)符合本銀行信息科技風險管理標準。第十章 外部審計第六十七條 商業(yè)銀行可以在符合法律、法規(guī)和監(jiān)管要求的情況下，委托具備相應(yīng)資質(zhì)的外部審計機構(gòu)進行信息科技外部審計。第六十八條 在委托審計過程中，商業(yè)