農(nóng)村信用合作聯(lián)社信息科技風(fēng)險管理辦法(參考版)
2025-05-17 23:45本頁面
【正文】 第七十七條 本辦法自發(fā)布之日起實(shí)施。審計過程中所有涉及資料的調(diào)閱應(yīng)有交接手續(xù)，并不得帶離現(xiàn)場或進(jìn)行修改、復(fù)制。 第七十四條 中介機(jī)構(gòu)根據(jù)授權(quán)出具的審計報告經(jīng)中國銀行業(yè)監(jiān)督管理委員會及其派出機(jī)構(gòu)或自治區(qū)聯(lián)社審閱確定后具有法律效力，有關(guān)部室對該審計報告在法定時間內(nèi)提出整改意見，并按審計報告中提出的建議進(jìn)行及時整改。 15 第七十三條 信息科技風(fēng)險審計也可以由中國銀行業(yè)監(jiān)督管理委員會及其派出機(jī)構(gòu)或自治區(qū)聯(lián)社依據(jù)法 律、法規(guī)和規(guī)章，委托并授權(quán)有法定資質(zhì)的中介評估機(jī)構(gòu)進(jìn)行。上線后的系統(tǒng)審閱應(yīng)在信息系統(tǒng)投入生產(chǎn)半年后進(jìn)行，審計報告應(yīng)對被審計的信息系統(tǒng)提出改進(jìn)或增加風(fēng)險控制、能否繼續(xù)生產(chǎn)等內(nèi)容的審計建議。 對于所含內(nèi)容較多的文檔資料，應(yīng)對關(guān)鍵交易的數(shù)據(jù)處理流程、交易接口和其他重要的安全事項進(jìn)行審閱。 上線前的系統(tǒng)審閱重點(diǎn)： （一）被外界成功攻破的可能性； （二）在內(nèi)部安全控制方面的設(shè)計漏洞與缺陷； （三）項目開發(fā)管理方面的問題； （四）效率與效能； （五）功能、設(shè)計和工作流程是否符合法律、法規(guī)和內(nèi)部控制方面的規(guī)定并有連續(xù)兼容性； （六）其他需重點(diǎn)審閱的內(nèi)容。 第六十九條 上線前系統(tǒng)審閱是指審計人員采用非現(xiàn)場形式，對信息項目開發(fā)過程中所提交的有關(guān) 文檔資料進(jìn)行審閱，指出其中存在的風(fēng)險，了解是否具有相應(yīng)的控制措施，并提出評價和建議的過程。根據(jù)信息系統(tǒng)的總體風(fēng)險狀況確定審計頻率，但每 3 年至少審計一次。 第六十六條 信息科技風(fēng)險審計應(yīng)包括：總體風(fēng)險審計、系統(tǒng)審閱和專項風(fēng)險審計。 第六十四條 將敏感的信息系統(tǒng)，以及其他涉及國家秘密、商業(yè)秘密和客戶隱私數(shù)據(jù)的管理與傳遞等內(nèi)容進(jìn)行外包時，應(yīng)遵守國家有關(guān)法律法規(guī)，符合中國人民銀行和中國銀行業(yè)監(jiān)督管理委員會的有關(guān)規(guī)定，并在實(shí)施外包前報中國人民銀行、中國銀行業(yè)監(jiān)督管理委員會及其派出機(jī)構(gòu)和法律法規(guī)規(guī)定需要報告的機(jī)構(gòu)備案。 第六十二條 進(jìn)行項目外包時 必須與承包方簽訂書面合同，明確雙方的權(quán)利、義務(wù)，并規(guī)定承包方在安全、保密、知識產(chǎn)權(quán)等方面的 義務(wù)和責(zé)任。評估工作可委托經(jīng)國家相應(yīng)監(jiān)管部門認(rèn)定資質(zhì)，具有相關(guān)專業(yè)經(jīng)驗的獨(dú)立機(jī)構(gòu)完成。 12 第五十九條 信息科技外包風(fēng)險管理應(yīng)當(dāng)符合風(fēng)險管理標(biāo)準(zhǔn)和策略，并應(yīng)建立針對外包風(fēng)險的應(yīng)急計劃。 第五十八條 在進(jìn)行信息科技外包時，應(yīng)根據(jù)風(fēng)險控制和實(shí)際需要，合理確定外包的原則和范圍，認(rèn)真分析和評估外包存在的潛在風(fēng)險以及外包服務(wù)對信息系統(tǒng)風(fēng)險控制的直接和間接影響，并將其納入總體安全策略和風(fēng)險控制之中。 第五十六條 實(shí)行事件報告制度，發(fā)生信息系統(tǒng)造成重大經(jīng)濟(jì)、聲譽(yù)損失和重大影響事件，按照《內(nèi)蒙古農(nóng)村信用社重要信息系統(tǒng)應(yīng)急管理規(guī)范》的規(guī)定及時報告并處理，必要時啟動應(yīng)急處理預(yù)案。 第五十五條 采集生產(chǎn)主機(jī)、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備、防火墻和入侵檢測等產(chǎn)生的詳細(xì)日志并定期審閱。 第五十四條 對信息系統(tǒng)配置參數(shù) 實(shí)施嚴(yán)格的安全與保密管理，防止非法生成、變更、泄漏、丟失與破壞。 第五十二條 自治區(qū)聯(lián)社對運(yùn)行維護(hù)人員實(shí)施有效管理，對敏感性崗位人員定期進(jìn)行背景檢查和崗位輪換，實(shí)施有效避免人員過度流失的政策和 有效崗位職權(quán)終止的制度。 第五十條 信息 系統(tǒng)的維護(hù)應(yīng)符合以下要求： （一） 除對信息系統(tǒng)設(shè)備和系統(tǒng)環(huán)境的維護(hù)外，對軟件或數(shù)據(jù)的維護(hù)必須通過特定的應(yīng)用程序進(jìn)行，添加、刪除和修改數(shù)據(jù)應(yīng)盡可能通過柜員終端進(jìn)行，不對數(shù)據(jù)庫進(jìn)行直接操作，如遇 10 無法通過柜員終端進(jìn)行維護(hù)的特殊情況時，經(jīng)業(yè)務(wù)部門和科技信息中心審核后，再由科技信息中心進(jìn)行維護(hù)，并進(jìn)行詳細(xì)登記； （二）記錄并保存各種詳細(xì)的日志信息，以便維護(hù)和審計； （三） 提供統(tǒng)計和報表打印功能。 （五）繪制反映各類設(shè)備連接物理位置和交互關(guān)系的系統(tǒng)圖和拓?fù)鋱D。 （三）記錄機(jī)房環(huán)境、設(shè)備使用、網(wǎng)絡(luò)運(yùn)行、系統(tǒng)運(yùn)行等監(jiān)控信息以及值班操作信息。 第四十九條 信息系統(tǒng)
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1