【正文】 運營和發(fā)展的支柱，原《指引》定位在信息系統(tǒng)風險管理的基本、原則性要求，已難以滿足商業(yè)銀行信息科技風險管理的需要。第七十四條 第七十五條第七十六條 本指引自頒布之日起施行，《銀行業(yè)金融機構信息系統(tǒng)風險管理指引》（銀監(jiān)發(fā)?2006?63號）同時廢止。但至少應每第六十六條 商業(yè)銀行在進行大規(guī)模系統(tǒng)開發(fā)時，應要求信息科技風險管理部門第十章第六十七條 商業(yè)銀行可以在符合法律、法規(guī)和監(jiān)管要求的情況下，委托具備相第六十八條 在委托審計過程中，商業(yè)銀行應確保外部審計機構能夠對本銀行的硬件、軟件、文檔和數(shù)據(jù)進行檢查，以發(fā)現(xiàn)信息科技存在的風險，國家法律、第六十九條 商業(yè)銀行在實施外部審計前應與外部審計機構進行充分溝通，詳細第七十條 銀監(jiān)會及其派出機構必要時可指定具備相應資質的外部審計機構對商業(yè)銀行執(zhí)行信息科技審計或相關檢查。內(nèi)部審計部門應配備足夠的資源和具有專業(yè)能力的信息科技審計人員，獨立于本銀行的日?；顒?，具有適當?shù)牡诹臈l（一）制定、實施和調整審計計劃，檢查和評估商業(yè)銀行信息科技系統(tǒng)和內(nèi)控（二）（三）（四）執(zhí)行信息科技專項審計。尤其需要考慮外包服務商的重大資源損失，重大財務損失和重第六十二條 商業(yè)銀行所有信息科技外包合同應由信息科技風險管理部門、法律部門和信息科技管理委員會審核通過。（三）針對績效不達標的情況調整流程，采取整改措施。第五十七條 商業(yè)銀行在簽署外包協(xié)議或對外包協(xié)議進行重大變更前，應做好相（一）分析外包是否適合商業(yè)銀行的組織結構和報告路線、業(yè)務戰(zhàn)略、總體風（二）（三）充分審查、評估外包服務商的財務穩(wěn)定性和專業(yè)經(jīng)驗，對外包服務商進（四）考慮外包協(xié)議變更前后實施的平穩(wěn)過渡（包括終止合同可能發(fā)生的情（五）關注可能存在的集中風險，如多家商業(yè)銀行共用同一外包服務商帶來的第五十八條 商業(yè)銀行在與外包服務商合同談判過程中，應考慮的因素包括但不（一）（二）（三）通過界定信息所有權、簽署保密協(xié)議和采取技術防護措施保護客戶信息（四）（五）外包服務商遵守商業(yè)銀行有關信息科技風險制度和流程的意愿及相關措（六）外包服務商提供的業(yè)務連續(xù)性保障水平，以及提供相關專屬資源的承諾。23．與內(nèi)部各部門及外部相關各方（尤其是監(jiān)管機構、客戶和媒體等）的溝通安（四）當商業(yè)銀行的業(yè)務或風險狀況發(fā)生變化時，對本條（一）到（三）進行第五十四條 商業(yè)銀行的業(yè)務連續(xù)性計劃和年度應急演練結果應由信息科技風險管理部門或信息科技管理委員會確認。（二）（三）第五十二條 商業(yè)銀行應采取系統(tǒng)恢復和雙機熱備處理等措施降低業(yè)務中斷的第五十三條 商業(yè)銀行應建立維持其運營連續(xù)性策略的文檔，并制定對策略的充分性和有效性進行檢查和溝通的計劃。包括緊急變更在內(nèi)的所有變更都應記入日志，由信息科技部門和業(yè)務部門共同審核簽字，并事先進行備份,以便必要時可以恢復原來的系統(tǒng)版本和數(shù)據(jù)文件。商業(yè)銀行應建立服務臺，為用戶提供相關技術問題的在線支持，并將問題提交給相關信息科技部門進行調查和解決。當設備達到預期使用壽命或性能不能滿足業(yè)務需求，基礎軟件（操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件）或應用軟件必須升級時，應及時進行系統(tǒng)升級，并將該類升級活第六章第三十九條 商業(yè)銀行在選擇數(shù)據(jù)中心的地理位臵時，應充分考慮環(huán)境威脅（如是否接近自然災害多發(fā)區(qū)、危險或有害設施、繁忙或主要公路），采取物理控制措施，監(jiān)控對信息處理設備運行構成威脅的環(huán)境狀況，并防止因意外斷電或供第四十條 商業(yè)銀行應嚴格控制第三方人員（如服務供應商）進入安全區(qū)域，如確需進入應得到適當?shù)呐鷾?，其活動也應受到監(jiān)控；針對長期或臨時聘用的技術人員和承包商，尤其是從事敏感性技術相關工作的人員，應制定嚴格的審查第四十一條 商業(yè)銀行應將信息科技運行與系統(tǒng)開發(fā)和維護分離，確保信息科技第四十二條 商業(yè)銀行應按照有關法律法規(guī)要求保存交易記錄，采取必要的程序第四十三條 商業(yè)銀行應制定詳盡的信息科技運行操作說明。（三）除得到管理層批準執(zhí)行緊急修復任務外，禁止應用程序開發(fā)和維護人員進入生產(chǎn)系統(tǒng)，且所有（四）將完成開發(fā)和測試環(huán)境的程序或系統(tǒng)配臵變更應用到生產(chǎn)系統(tǒng)時，應得到信息科技部門和業(yè)務部門的聯(lián)合批準，并對變更進行及時記錄和定期復查。典型的系統(tǒng)生命周期包括系統(tǒng)分析、設計、開發(fā)或外購、測試、試運行、部署、維護和退出。應在信息系統(tǒng)投產(chǎn)后一定時期內(nèi)，組織對系統(tǒng)的后評價，并根據(jù)評價結果及時對系統(tǒng)功能進行調整和優(yōu)化。第三十一條 商業(yè)銀行應對所有員工進行必要的培訓，使其充分掌握信息科技風險管理制度和流程，了解違反規(guī)定的后果，并對違反安全規(guī)定的行為采取零容第五章第三十二條 商業(yè)銀行應有能力對信息系統(tǒng)進行需求分析、規(guī)劃、采購、開發(fā)、測試、部署、維護、升級和報廢，制定制度和流程，管理信息科技項目的優(yōu)先排序、立項、審批和控制。交易日志或系統(tǒng)日志的復查頻率和保存周期應由信息科技部門和有關業(yè)務部門共同決定，并報信第二十八條 商業(yè)銀行應采取加密技術，防范涉密信息在傳輸、處理、存儲過程（一）（二）管理、使用密碼設備的員工經(jīng)過專業(yè)培訓和嚴格審查。系統(tǒng)日志由操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、防火墻、入侵檢測系統(tǒng)和路由器等生成，內(nèi)容包括管理登錄嘗試、系統(tǒng)事件、網(wǎng)絡事件、錯誤信商業(yè)銀行應保證交易日志和系統(tǒng)日志中包含足夠的內(nèi)容，以便完成有效的內(nèi)部控制、解決系統(tǒng)故障和滿足審計需要；應采取適當措施保證所有日志同步計時，并確保其完整性。交易日志由應用軟件和數(shù)據(jù)庫管理系統(tǒng)產(chǎn)生，內(nèi)容包括用戶登錄嘗試、數(shù)據(jù)修改、錯誤信息等。（四）（五）采取安全的方式處理保密信息的輸入和輸出，防止信息泄露或被盜取、（六）確保系統(tǒng)按預先定義的方式處理例外情況，當系統(tǒng)被迫終止時向用戶提（七）（八）第二十七條 商業(yè)銀行應制定相關策略和流程，管理所有生產(chǎn)系統(tǒng)的活動日志，以支持有效的審核、安全取證分析和預防欺詐。應該對下列安全因素進行評估，并根據(jù)安全級別定義和評估結果實施有效的安全控制，如對每個域和整個網(wǎng)絡進行物理或邏輯分區(qū)、實現(xiàn)（一）（二）（三）（四）（五）域的性質，如生產(chǎn)域或測試域、內(nèi)部域或外部域。用戶對數(shù)據(jù)和系統(tǒng)的訪問必須選擇與信息訪問級別相匹配的認證機制，并且確保其在信息系統(tǒng)內(nèi)的活動只限于相關業(yè)務能合法開展所要求的最低限度。該職能應包括建立信息安全計劃和保持長效的管理機制，提高全體員工信息安全意識，就安全問題向其他部門提供建議，并定期向信息科技管理委員會提交本銀行信息安全評估報告。第四章第二十條 商業(yè)銀行信息科技部門負責建立和實施信息分類和保護體系，商業(yè)銀行應使所有員工都了解信息安全的重要性，并組織提供必要的培訓，讓員工充分了解其職責范圍內(nèi)的信息保護流程。建立適當?shù)目刂瓶蚣?，以便于檢查和平衡風險；定義每個業(yè)務級別的控“必需知道”和“ 商業(yè)銀行應建立持續(xù)的信息科技風險計量和監(jiān)測機制，其中應包括：（一）（二）（三）（四）（五）（六）（七）定期進行運行環(huán)境下操作風險和管理控制的檢查。確保購買和使用合法第十三條 商業(yè)銀行應依據(jù)有關法律法規(guī)的要求，規(guī)范和及時披露信息科技風險第三章第十四條 商業(yè)銀行應制定符合銀行總體業(yè)務規(guī)劃的信息科技戰(zhàn)略、信息科技運行計劃和信息科技風險評估計劃，確保配臵足夠人力、財力資源，維持穩(wěn)定、安全的信息科技環(huán)境。確保其履行：信息科技預算和支出、信息科技策略、標準和流程、信息科技內(nèi)部控制、專業(yè)化研發(fā)、信息科技項目發(fā)起和管理、信息系統(tǒng)和信息科技基礎設施的運行、維護和升級、信息安全管理、災難恢復計劃、信息科技外包和信息（四）確保信息科技風險管理的有效性，并使有關管理措施落實到相關的每一（五）（六）第九條 商業(yè)銀行應對信息科技部門內(nèi)部管理職責進行明確的界定；各崗位的人員應具有相應的專業(yè)知識和技能，重要崗位應制定詳細完整的工作手冊并適時（一）驗證個人信息，包括核驗有效身份證件、學歷證明、工作經(jīng)歷和專業(yè)資（二）（三）確保員工了解、遵守信息科技策略、指導原則、信息保密、授權使用信（四）評估關鍵崗位信息科技員工流失帶來的風險，做好安排候補員工和崗位接替計劃等第十條 商業(yè)銀行應設立或指派一個特定部門負責信息科技風險管理工作，并直接向首席信息官或首席風險官（風險管理委員會）報告工作。（九）（十）確保銀行所有員工充分理解和遵守經(jīng)其批準的信息科技風險管理制度和（十一）確保本法人機構涉及客戶信息、賬務信息以及產(chǎn)品信息等的核心系統(tǒng)在中國境內(nèi)獨立運行，并保持最高的管理權限，符合銀監(jiān)會監(jiān)管和實施現(xiàn)場檢查的要求，防范跨境（十二）及時向銀監(jiān)會及其派出機構報告本機構發(fā)生的重大信息科技事故或突（十三）配合銀監(jiān)會及其派出機構做好信息科技風險監(jiān)督檢查工作，并按照監(jiān)（十四）第八條 商業(yè)銀行應設立首席信息官，直接向行長匯報，并參與決策。第二章第六條 商業(yè)銀行法定代表人是本機構信息科技風險管理的第一責任人，負責組第七條 商業(yè)銀行的董事會應履行以下信息科技管理職責：（一）遵守并貫徹執(zhí)行國家有關信息科技管理的法律、法規(guī)和技術標準，落實（二）審查批準信息科技戰(zhàn)略，確保其與銀行的總體業(yè)務戰(zhàn)略和重大策略相一（三）掌握主要的信息科技風險，確定可接受的風險級別，確保相關風險能夠（四）規(guī)范職業(yè)道德行為和廉潔標準，增強內(nèi)部文化建設，提高全體人員對信（五）設立一個由來自高級管理層、信息科技部門和主要業(yè)務部門的代表組成的專門信息科技管理委員會，負責監(jiān)督各項職責的落實，定期向董事會和高級管理層匯報信息科技戰(zhàn)略規(guī)劃的執(zhí)行、信息科技預算和實際支出、信息科技的（六）在建立良好的公司治理的基礎上進行信息科技治理，形成分工合理、職責明確、相互制衡、報告關系清晰的信息科技治理組織結構。第四條 本指引所稱信息科技風險，是指信息科技在商業(yè)銀行運用過程中，由于自然因素、人為因素、技術漏洞和管理缺陷產(chǎn)生的操作、法律和聲譽等風險。但至少應每第六十六條 商業(yè)銀行在進行大規(guī)模系統(tǒng)開發(fā)時，應要求信息科技風險管理部門第十章第六十七條 商業(yè)銀行可以在符合法律、法規(guī)和監(jiān)管要求的情況下，委托具備相第六十八條 在委托審計過程中，商業(yè)銀行應確保外部審計機構能夠對本銀行的硬件、軟件、文檔和數(shù)據(jù)進行檢查，以發(fā)現(xiàn)信息科技存在的風險，國家法律、第六十九條 商業(yè)銀行在實施外部審計前應與外部審計機構進行充分溝通，詳細第七十條 銀監(jiān)會及其派出機構必要時可指定具備相應資質的外部審計機構對商業(yè)銀行執(zhí)行信息科技審計或相關檢查。內(nèi)部審計部門應配備足夠的資源和具有專業(yè)能力的信息科技審計人員，獨立于本銀行的日?；顒?，具有適當?shù)牡诹臈l（一）制定、實施和調整審計計劃，檢查和評估商業(yè)銀行信息科技系統(tǒng)和內(nèi)控（二）（三）（四）執(zhí)行信息科技專項審計。尤其需要考慮外包服務商的重大資源損失，重大財務損失和重第六十二條 商業(yè)銀行所有信息科技外包合同應由信息科技風險管理部門、法律部門和信息科技管理委員會審核通過。（三）針對績效不達標的情況調整流程，采取整改措施。第五十七條 商業(yè)銀行在簽署外包協(xié)議或對外包協(xié)議進行重大變更前，應做好相（一）分析外包是否適合商業(yè)銀行的組織結構和報告路線、業(yè)務戰(zhàn)略、總體風（二）（三）充分審查、評估外包服務商的財務穩(wěn)定性和專業(yè)經(jīng)驗，對外包服務商進（四）考慮外包協(xié)議變更前后實施的平穩(wěn)過渡（包括終止合同可能發(fā)生的情（五）關注可能存在的集中風險，如多家商業(yè)銀行共用同一外包服務商帶來的第五十八條 商業(yè)銀行在與外包服務商合同談判過程中，應考慮的因素包括但不（一）（二）銀行業(yè)（三）通過界定信息所有權、簽署保密協(xié)議和采取技術防護措施保護客戶信息（四）（五）外包服務商遵守商業(yè)銀行有關信息科技風險制度和流程的意愿及相關措（六）外包服務商提供的業(yè)務連續(xù)性保障水平，以及提供相關專屬資源的承諾。23．與內(nèi)部各部門及外部相關各方（尤其是監(jiān)管機構、客戶和媒體等）的溝通安（四）當商業(yè)銀行的業(yè)務或風險狀況發(fā)生變化時，對本條（一）到（三）進行第五十四條 商業(yè)銀行的業(yè)務連續(xù)性計劃和年度應急演練結果應由信息科技風險管理部門或信息科技管理委員會確認。（二）（三）第五十二條 商業(yè)銀行應采取系統(tǒng)恢復和雙機熱備處理等措施降低業(yè)務中斷的第五十三條 商業(yè)銀行應建立維持其運營連續(xù)性策略的文檔，并制定對策略的充分性和有效性進行檢查和溝通的計劃。包括緊急變更在內(nèi)的所有變更都應記入日志，由信息科技部門和業(yè)務部門共同審核簽字，并事先進行備份,以便必要時可以恢復原來的系統(tǒng)版本和數(shù)據(jù)文件。商業(yè)銀行應建立服務臺，為用戶提供相關技術問題的在線支持，并將問題提交給相關信息科技部門進行調查和解決。當設備達到預期使用壽命或性能不能滿足業(yè)務需求，基礎軟件（操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件）或應用軟件必須升級時，應及時進行系統(tǒng)升級，并將該類升級活第六章第三十九條 商業(yè)銀行在選擇數(shù)據(jù)中心的地理位臵時，應充分考慮環(huán)境威脅（如是否接近自然災害多發(fā)區(qū)、危險或有害設施、繁忙或主要公路），采取物理控制措施，監(jiān)控對信息處理設備運行構成威脅的環(huán)境狀況，并防止因意外斷電或供電干擾影響數(shù)據(jù)中第四十條 商業(yè)銀行應嚴格控制第三方人員（如服務供應商）進入安全區(qū)域，如確需進入應得到適當?shù)呐鷾?，其活動也應受到監(jiān)控；針對長期或臨時聘用的技術人員和承包商，尤其是從事敏感性技術相關工作的人員，應制定嚴格的審查第四十一條 商業(yè)銀行應將信息科技運行與系統(tǒng)開發(fā)和維護分離，確保信息科技第四十二條 商業(yè)銀行應按照有關法律法規(guī)要求保存交易記錄，采取必要的程序和技術，確保存檔數(shù)據(jù)的完整性，滿足安全保存和可恢復要求第四十三條 商業(yè)銀行應制定詳盡的信息科技運行操作說明。（三）除得到管理層批準執(zhí)行緊急修復任務外，禁止應用程序開發(fā)和維護人員（四）將完成開發(fā)和測試環(huán)境的程序或系統(tǒng)配臵變更應用到生產(chǎn)系統(tǒng)時，應得到信息科技部門和業(yè)務部門的聯(lián)合批準，并對變更進行及時記錄和定期復查。典型的系統(tǒng)生命周期包括系統(tǒng)分析、設計、開發(fā)或外購、測試、試運行、部署、維護和退出。應在信息系統(tǒng)投產(chǎn)后一定時期內(nèi)，組織對系統(tǒng)的后評價，并根據(jù)評價結果及時對系統(tǒng)功能進行調整和優(yōu)化。第五章第三十二條 商業(yè)銀行應有能力對信息系統(tǒng)進行需求分析、規(guī)劃、采購、開發(fā)、測試、部署、維護、升級和報廢，制定制度和流程，管理信息科技項目的優(yōu)先排序、立項、審批和控制。（三）（四）