【正文】 第二十九條 商業(yè)銀行應配備切實有效的系統(tǒng)，確保所有終端用戶設備的安全，并定期對所有設備進行安全檢查，包括臺式個人計算機（PC）、便攜式計算機、柜員終端、自動柜員機（ATM）、存折打印機、讀卡器、銷售終端（POS）和個人數(shù)字助理（PDA第三十條 商業(yè)銀行應制定相關制度和流程，嚴格管理客戶信息的采集、處理、存貯、傳輸、分發(fā)、備份、恢復、清理和銷毀。在例外情況發(fā)生后應及時復查系統(tǒng)日志。系統(tǒng)日志保存期限按系統(tǒng)的風險等級確定，但不能少于一年。交易日志應按照國家會計準則要求予以保（二）系統(tǒng)日志。日志可以在軟件的不同層次、（一）交易日志。（六）（七）第二十五條 商業(yè)銀行應通過以下措施，確保所有計算機操作系統(tǒng)和系統(tǒng)軟件的安全：（一）制定每種類型操作系統(tǒng)的基本安全要求，確保所有系統(tǒng)滿足基本安全要（二）明確定義包括終端用戶、系統(tǒng)開發(fā)人員、系統(tǒng)測試人員、計算機操作人（三）制定最高權限系統(tǒng)賬戶的審批、驗證和監(jiān)控流程，并確保最高權限用戶（四）（五）在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪問、對用戶賬戶的修改等有關重要事項，手動或自動監(jiān)控系統(tǒng)出現(xiàn)的任何異常事件，定期匯報監(jiān)控第二十六條（一）明確定義終端用戶和信息科技技術人員在信息系統(tǒng)安全中的角色和職（二）（三）加強職責劃分，對關鍵或敏感崗位進行雙重控制。應該對下列安全因素進行評估，并根據(jù)安全級別定義和評估結果實施有效的安全控制，如對每個域和整個網(wǎng)絡進行物理或邏輯分區(qū)、實現(xiàn)網(wǎng)絡內容過濾、邏輯訪問控制、傳輸加密、網(wǎng)絡監(jiān)控、記錄活動日志等。用戶對數(shù)據(jù)和系統(tǒng)的訪問必須選擇與信息訪問級別相匹配的認證機制，并且確保其在信息系統(tǒng)內的活動只限于相關業(yè)務能合法開展所要求的最低限度。信息安全管理機制應包括信息安全標準、策略、實施計劃和持續(xù)維護計劃。第二十一條 商業(yè)銀行信息科技部門應落實信息安全管理職能。第十九條 中資商業(yè)銀行在境外設立的機構及境內的外資商業(yè)銀行，應當遵守境內外監(jiān)管機構關于信息科技風險管理的要求，并防范因監(jiān)管差異所造成的風險。（七）定期進行運行環(huán)境下操作風險和管理控制的檢查。（四）建立內部審計、外部審計和監(jiān)管發(fā)現(xiàn)問題的整改處理機制。（二）建立定期檢查系統(tǒng)性能的程序和標準?！氨匦柚馈焙汀白钚∈跈唷睘樵瓌t。建立適當?shù)目刂瓶蚣埽员阌跈z查和平衡風險；定義每個業(yè)務級別的控制內容，包括：。第十七條 商業(yè)銀行應依據(jù)信息科技風險管理策略和風險評估結果，實施全面的風險防范措施。（七）業(yè)務連續(xù)性計劃與應急處臵。（五）物理安全。（三）信息科技運行和維護。第十五條 商業(yè)銀行應制定全面的信息科技風險管理策略，包括但不限于下述領域：（一）信息分級與保護。確保購買和使用合法的軟硬件產(chǎn)品，禁止侵權盜版；采取有效措施保護本機構自主知識產(chǎn)權。該部門應為信息科技突發(fā)事件應急響應小組的成員之一，負責協(xié)調制定有關信息科技風險管理策略，尤其是在涉及信息安全、業(yè)務連續(xù)性計劃和合規(guī)性風險等方面，為業(yè)務部門和信息科技部門提供建議及相關合規(guī)性信息，實施持續(xù)信息科技風險評估，跟蹤整改意見的落實，監(jiān)控信息安全威脅和不合規(guī)事件的發(fā)生。對相關人員應采取下列風險防范措施：（一）驗證個人信息，包括核驗有效身份證件、學歷證明、工作經(jīng)歷和專業(yè)資（二）（三）確保員工了解、遵守信息科技策略、指導原則、信息保密、授權使用信息系統(tǒng)、信息科技管理制度和流程等要求，并同員工簽訂相關協(xié)議。（六）履行信息科技風險管理其他相關工作。確保其履行：信息科技 預算和支出、信息科技策略、標準和流程、信息科技內部控制、專業(yè)化研發(fā)、信息科技項目發(fā)起和管理、信息系統(tǒng)和信息科技基礎設施的運行、維護和升級、信息安全管理、災難恢復計劃、信息科技外包和信息系統(tǒng)退出等職責。第八條 商業(yè)銀行應設立首席信息官，直接向行長匯報，并參與決策。（十三）配合銀監(jiān)會及其派出機構做好信息科技風險監(jiān)督檢查工作，并按照監(jiān)管意見進行整改。（十）確保銀行所有員工充分理解和遵守經(jīng)其批準的信息科技風險管理制度和流程，并安排相關培訓。加強信息科技專業(yè)隊伍的建設，建立人（七）確保內部審計部門進行獨立有效的信息科技風險管理審計，對審計報告（八）每年審閱并向銀監(jiān)會及其派出機構報送信息科技風險管理的年度報告。（五）設立一個由來自高級管理層、信息科技部門和主要業(yè)務部門的代表組成的專門信息科技管理委員會，負責監(jiān)督各項職責的落實，定期向董事會和高級管理層匯報信息科技戰(zhàn)略規(guī)劃的執(zhí)行、信息科技預算和實際支出、信息科技的整體狀況。（三）掌握主要的信息科技風險，確定可接受的風險級別，確保相關風險能夠被識別、計量、監(jiān)測和控制。第二章第六條 商業(yè)銀行法定代表人是本機構信息科技風險管理的第一責任人，負責組第七條 商業(yè)銀行的董事會應履行以下信息科技管理職責：（一）遵守并貫徹執(zhí)行國家有關信息科技管理的法律、法規(guī)和技術標準，落實（二）審查批準信息科技戰(zhàn)略，確保其與銀行的總體業(yè)務戰(zhàn)略和重大策略相一致。第四條 本指引所稱信息科技風險，是指信息科技在商業(yè)銀行運用過程中，由于自然因素、人為因素、技術漏洞和管理缺陷產(chǎn)生的操作、法律和聲譽等風險。政策性銀行、農村合作銀行、城市信用社、農村信用社、村鎮(zhèn)銀行、貸款公司、金融資產(chǎn)管理公司、信托公司、財務公司、金融租賃公司、汽車金融公司、貨幣經(jīng)紀公司等其他銀行業(yè)金融機構參照執(zhí)行。第一篇：商業(yè)銀行信息科技風險管理指引商業(yè)銀行信息科技風險管理指引第一章 總 則第一條 為加強商業(yè)銀行信息科技風險管理，根據(jù)《中華人民共和國銀行業(yè)監(jiān)督管理法》、《中華人民共和國商業(yè)銀行法》、《中華人民共和國外資銀行管理條例》，以及國家信息安全相關要求和有關法律法規(guī)，制定本指引。第二條 本指引適用于在中華人民共和國境內依法設立的法人商業(yè)銀行。第三條 本指引所稱信息科技是指計算機、通信、微電子和軟件工程等現(xiàn)代信息技術，在商業(yè)銀行業(yè)務交易處理、經(jīng)營管理和內部控制等方面的應用，并包括進行信息科技治理，建立完整的管理組織架構，制訂完善的管理制度和流程。第五條 信息科技風險管理的目標是通過建立有效的機制，實現(xiàn)對商業(yè)銀行信息科技風險的識別、計量、監(jiān)測和控制，促進商業(yè)銀行安全、持續(xù)、穩(wěn)健運行，推動業(yè)務創(chuàng)新，提高信息技術使用水平，增強核心競爭力和可持續(xù)發(fā)展能力。評估信息科技及其風險管理工作的總體效果和效率。（四）規(guī)范職業(yè)道德行為和廉潔標準，增強內部文化建設，提高全體人員對信息科技風險管理重要性的認識。（六）在建立良好的公司治理的基礎上進行信息科技治理，形成分工合理、職責明確、相互制衡、報告關系清晰的信息科技治理組織結構。（九）確保信息科技風險管理工作所需資金。（十一）確保本法人機構涉及客戶信息、賬務信息以及產(chǎn)品信息等的核心系統(tǒng)在中國境內獨立運行，并保持最高的管理權限，符合銀監(jiān)會監(jiān)管和實施現(xiàn)場檢（十二）及時向銀監(jiān)會及其派出機構報告本機構發(fā)生的重大信息科技事故或突發(fā)事件，按相關預案快速響應。（十四）履行信息科技風險管理其他相關工作。首席信息（一）（二）確保信息科技戰(zhàn)略，尤其是信息系統(tǒng)開發(fā)戰(zhàn)略，符合本銀行的總體業(yè)務（三）負責建立一個切實有效的信息科技部門，承擔本銀行的信息科技職責。（四）確保信息科技風險管理的有效性，并使有關管理措施落實到相關的每一（五）組織專業(yè)培訓，提高人才隊伍的專業(yè)技能。第九條 商業(yè)銀行應對信息科技部門內部管理職責進行明確的界定；各崗位的人員應具有相應的專業(yè)知識和技能，重要崗位應制定詳細完整的工作手冊并適時更新。（四）評估關鍵崗位信息科技員工流失帶來的風險，做好安排候補員工和崗位第十條 商業(yè)銀行應設立或指派一個特定部門負責信息科技風險管理工作，并直接向首席信息官或首席風險官（風險管理委員會）報告工作。第十一條 商業(yè)銀行應在內部審計部門設立專門的信息科技風險審計崗位，負責信息科技審計制度和流程的實施，制訂和執(zhí)行信息科技審計計劃，對信息科技第十二條 商業(yè)銀行應按照知識產(chǎn)權相關法律法規(guī)，制定本機構信息科技知識產(chǎn)權保護策略和制度，并使所有員工充分理解并遵照執(zhí)行。第十三條 商業(yè)銀行應依據(jù)有關法律法規(guī)的要求，規(guī)范和及時披露信息科技風險第三章第十四條 商業(yè)銀行應制定符合銀行總體業(yè)務規(guī)劃的信息科技戰(zhàn)略、信息科技運行計劃和信息科技風險評估計劃，確保配臵足夠人力、財力資源，維持穩(wěn)定、安全的信息科技環(huán)境。（二）信息系統(tǒng)開發(fā)、測試和維護。（四）訪問控制。（六）人員安全。第十六條 商業(yè)銀行應制定持續(xù)的風險識別和評估流程，確定信息科技中存在隱患的區(qū)域，評價風險對其業(yè)務的潛在影響，對風險進行排序，并確定風險防范措施及所需資源的優(yōu)先級別（包括外包供應商、產(chǎn)品供應商和服務商）。防范措施應包括：（一）制定明確的信息科技風險管理制度、技術標準和操作規(guī)程等，定期進行（二）確定潛在風險區(qū)域，并對這些區(qū)域進行詳細和獨立的監(jiān)控，實現(xiàn)風險最小化。 商業(yè)銀行應建立持續(xù)的信息科技風險計量和監(jiān)測機制，其中應包括：（一）建立信息科技項目實施前及實施后的評價機制。（三）建立信息科技服務投訴和事故處理的報告機制。（五）（六）定期評估新技術發(fā)展可能造成的影響和已使用軟件面臨的新威脅。（八）定期進行信息科技外包項目的風險狀況評價。第四章 信息安全第二十條 商業(yè)銀行信息科技部門負責 建立和實施信息分類和保護體系，商業(yè)銀行應使所有員工都了解信息安全的重要性，并組織提供必要的培訓，讓員工充分了解其職責范圍內的信息保護流程。該職能應包括建立信息安全計劃和保持長效的管理機制，提高全體員工信息安全意識，就安全問題向其他部門提供建議，并定期向信息科技管理委員會提交本銀行信息安全評估報告。（一）（二）（三）（四）（五）（六）（七）（八）（九）（十）（十一）第二十二條 商業(yè)銀行應建立有效管理用戶認證和訪問控制的流程。用戶調動到新的第二十三條 商業(yè)銀行應確保設立物理安全保護區(qū)域，包括計算機中心或數(shù)據(jù)中心、存儲機密信息或放臵網(wǎng)絡設備等重要信息科技設備的區(qū)域，明確相應的職第二十四條 商業(yè)銀行應根據(jù)信息安全級別，將網(wǎng)絡劃分為不同的邏輯安全域（以下簡稱為域）。（一）（二）（三）（四）（五）域的性質，如生產(chǎn)域或測試域、內部域或外部域。（四）（五）采取安全的方式處理保密信息的輸入和輸出，防止信息泄露或被盜取、（六）確保系統(tǒng)按預先定義的方式處理例外情況，當系統(tǒng)被迫終止時向用戶提（七）以書面或電子格式（八）第二十七條 商業(yè)銀行應制定相關策略和流程，管理所有生產(chǎn)系統(tǒng)的活動日志，以支持有效的審核、安全取證分析和預防欺詐。交易日志由應用軟件和數(shù)據(jù)庫管理系統(tǒng)產(chǎn)生，內容包括用戶登錄嘗試、數(shù)據(jù)修改、錯誤信息等。系統(tǒng)日志由操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、防火墻、入侵檢測系統(tǒng)和路由器等生成，內容包括管理登錄嘗試、系統(tǒng)事件、網(wǎng)絡事件、錯誤信息等。商業(yè)銀行應保證交易日志和系統(tǒng)日志中包含足夠的內容，以便完成有效的內部控制、解決系統(tǒng)故障和滿足審計需要；應采取適當措施保證所有日志同步計時，并確保其完整性。交易日志或系統(tǒng)日志的復查頻率和保存周期應由信息科技部門和有關業(yè)務部門共同決定，并報信第二十八條 商業(yè)銀行應采取加密技術，防范涉密信息在傳輸、處理、存儲過程中出現(xiàn)泄露或被篡改的風險，并建立密（一）（二）管理、使用密碼設備的員工經(jīng)過專業(yè)培訓和嚴格審查。第三十一條 商業(yè)銀行應對所有員工進行必要的培訓，使其充分掌握信息科技風險管理制度和流程，了解違反規(guī)定的后果，并對違反安全規(guī)定的行為采取零容忍政策。項目實施部門應定期向信息科技管理委員會提交重大信息科技項目的進度報告，由其進行審核，進度報告應當包括計劃的重大變更、關鍵人員或供應商的變更以及主要費用支出情況。第三十三條 商業(yè)銀行應認識到信息科技項目相關的風險，包括潛在的各種操作風險、財務損失風險和因無效項目規(guī)劃或不適當?shù)捻椖抗芾砜刂飘a(chǎn)生的機會成第三十四條 商業(yè)銀行應采取適當?shù)南到y(tǒng)開發(fā)方法，控制信息系統(tǒng)的生命周期。所采用的系統(tǒng)開發(fā)方法應符合信息科技項目的規(guī)模、性質和復雜第三十五條 商業(yè)銀行應制定相關控制信息系統(tǒng)變更的制度和流程，確保系統(tǒng)的（一）（二）生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)的管理職能相分離。第三十六條 商業(yè)銀行應制定并落實相關制度、標準和流程，確保信息系統(tǒng)開發(fā)、第三十七條 商業(yè)銀行應建立并完善有效的問題管理流程，以確保全面地追蹤、分析和解決信息系統(tǒng)問題，并對問題進行記錄、分類和索引；如需供應商提供支持服務或技術援助，應向相關人員提供所需的合同和相關信息，并將過程記錄在案；對完成緊急恢復起至關重要作用的任務和指令集，應有清晰的描述和第三十八條 商業(yè)銀行應制定相關制度和流程，控制系統(tǒng)升級過程。如在信息科技運行手冊中說明計算機操作人員的任務、工作日程、執(zhí)行步驟，以及生產(chǎn)與開發(fā)環(huán)境中數(shù)據(jù)、軟件的現(xiàn)場及非現(xiàn)場備份流程和要求（即備份的頻率、范圍和保留第四十四條 商業(yè)銀行應建立事故管理及處臵機制，及時響應信息系統(tǒng)運行事故，逐級向相關的信息科技管理人員報告事故的發(fā)生，并進行記錄、分析和跟蹤，直到完成徹底的處臵和根本原因分析。第四十五條 商業(yè)銀行應建立服務水平管理相關的制度和流程，對信息科技運行第四十六條 商業(yè)銀行應建立連續(xù)監(jiān)控信息系統(tǒng)性能的相關程序，及時、完整地報告例外情況；該程序應提供預警功能，在例外情況對系統(tǒng)性能造成影響前對第四十七條 商業(yè)銀行應制定容量規(guī)劃，以適應由于外部環(huán)境變化產(chǎn)生的業(yè)務發(fā)第四十八條 商業(yè)銀行應及時進行維護和適當?shù)南到y(tǒng)升級，以確保與技術相關服務的連續(xù)可用性，并完整保存記錄（包括疑似和實際的故障、預防性和補救性第四十九條 商業(yè)銀行應制定有效的變更管理流程，以確保生產(chǎn)環(huán)境的完整性和可靠性。緊急變更成功后,應通過正常的驗收測試和變更管理流程,采用恰當?shù)牡谄哒碌谖迨畻l 商業(yè)銀行應根據(jù)自身業(yè)務的性質、規(guī)模和復雜程度制定適當?shù)臉I(yè)務連續(xù)性規(guī)劃，以確保在出現(xiàn)無法預見的中斷時，系統(tǒng)仍能持續(xù)運行并提供服務；第五十一條 商業(yè)銀行應評估因意外事件導致其業(yè)務運行中斷的可能性及其影（一）內外部資源的故障或缺失（如人員、系統(tǒng)或其他資產(chǎn)）。其中包括：（一）規(guī)范的業(yè)務連續(xù)性計劃,明確降低短期、中期和長期中斷所造成影響的措施，包括但不限于:1．資源需求（如人員、系統(tǒng)和其他資產(chǎn)）以及獲取資源的方式。第八章 外第五十五條 商業(yè)銀行