信息科技風險管理辦法

第一章總則

第一條為有效防范運用信息系統(tǒng)進行業(yè)務處理、經(jīng)營管理

和內(nèi)部控制過程中產(chǎn)生的風險，促進我行各項業(yè)務安全、持續(xù)、

穩(wěn)健運行，根據(jù)《中華人民共和國銀行業(yè)監(jiān)督管理法》、《中華

人民共和國商業(yè)銀行法》、《商業(yè)銀行信息科技風險管理指引》、

《營口沿海銀操作風險管理指引》，以及國家信息安全相關(guān)要求

和有關(guān)法律法規(guī)，制定本管理辦法。

第二條本管理辦法所稱信息科技是指計算機、通信、微電

子和軟件工程等現(xiàn)代信息技術(shù)，在我行業(yè)務交易處理、經(jīng)營管理

和內(nèi)部控制等方面的應用，并包括進行信息科技管理，建立完整

的管理組織架構(gòu)，制訂完善的管理制度和流程。

第三條本管理辦法所稱信息科技風險，是指信息科技在我

行運用過程中，由于自然因素、人為囚素、技術(shù)漏洞和管理缺陷

產(chǎn)生的操作、法律和聲譽等風險。

第四條信息科技風險管理的目標是通過建立有效的機制，

實現(xiàn)對我行信息科技風險的識別、計量、監(jiān)測和控制，促進我行

安全、持續(xù)、穩(wěn)健運行，推動業(yè)務創(chuàng)新，提高信息技術(shù)使用水平,

增強核心競爭力和可持續(xù)發(fā)展能力。

笫二章機構(gòu)職責

第五條根據(jù)我行信息科技管理的要求，法定代表人是本機

構(gòu)信息科技風險管理的第一責任人，負責組織本管理辦法的貫徹

落實，董事會應履行以下信息科技管理職責：

（-）遵守并貫徹執(zhí)行國家有關(guān)信息科技管理的法律、法規(guī)和

技術(shù)標準，落實中國銀行業(yè)監(jiān)督管理委員會（以下簡稱銀監(jiān)會）相

關(guān)監(jiān)管要求。

（-）審查批準信息科技戰(zhàn)略，確保其與銀行的總體業(yè)務戰(zhàn)略

和重大策略相一致。評估信息科技及其風險管理工作的總體效果和

效率。

（三）掌握主要的信息科技風險，確定可接受的風險級別，確

保相關(guān)風險能夠被識別、計量、監(jiān)測和控制。

（四）規(guī)范職業(yè)道德行為和廉潔標準，增強內(nèi)部文化建設(shè)，提

高全體人員對信息科技風險管理重要性的認識。

（五）設(shè)立一個由來自高級管理層、信息科技部門和主要業(yè)務

部門的代表組成的專門信息科技管理委員會，負責監(jiān)督各項職責的

落實，定期向董事會和高級管理層匯報信息科技戰(zhàn)略規(guī)劃的執(zhí)行、

信息科技預算和實際支出、信息科技的整體狀況。

（六）在建立良好的公司管理的基礎(chǔ)上進行信息科技管理，形

成份工合理、職責明確、相互制衡、報告關(guān)系清晰的信息科技管理

組織結(jié)構(gòu)。加強信息科技專業(yè)隊伍的建設(shè)，建立人材激勵機制。

（七）確保內(nèi)部審計部門進行獨立有效的信息科技風險管理

審計，對審計報告進行確認并落實整改。

（A）每年審閱并向銀監(jiān)會及其派出機構(gòu)報送信息科技風險

管理的年度報告。

（九）確保信息科技風險管理工作所需資金。

（十）確保銀行所有員工充分理解和遵守經(jīng)其批準的信息科

技風險管理制度和流程，并安排相關(guān)培訓。

（十一）確保本法人機構(gòu)涉及客戶信息、賬務信息以及產(chǎn)品

信息等的核心系統(tǒng)在中國境內(nèi)獨立運行，并保持最高的管理權(quán)限，

符合銀監(jiān)會監(jiān)管和實施現(xiàn)場檢查的要求，防范跨境風險。

（十二）及時向銀監(jiān)會及其派出機構(gòu)報告本機構(gòu)發(fā)生的重大

信息科技事故或者突發(fā)事件，按相關(guān)預案快速響應。

（十三）配合銀監(jiān)會及其派出機構(gòu)做好信息科技風險監(jiān)督檢

查工作，并按照監(jiān)管意見進行整改。

（十四）履行信息科技風險管理其他相關(guān)工作。

第六條我行應設(shè)立分管信息科技的副行級領(lǐng)導，直接向行

長匯報，并參預決策。副行級領(lǐng)導的職責包括：

（一）直接參預本銀行與信息科技運用有關(guān)的業(yè)務發(fā)展決策。

（二）確保信息科技戰(zhàn)略，特別是信息系統(tǒng)開辟戰(zhàn)略，符合本銀

行的總體業(yè)務戰(zhàn)略和信息科技風險管理策略。

（三）負責建立一個切實有效的信息科技部門，承擔本銀行的信

息科技職責。確保其履行：信息科技預算和支出、信息科技策略、

標準和流程、信息科技內(nèi)部控制、專業(yè)化研發(fā)、信息科技項目發(fā)起

和管理、信息系統(tǒng)和信息科技基礎(chǔ)設(shè)施的運行、維護和升級、信息

安全管理、災難恢復計劃、信息科技外包和信息系統(tǒng)退出等職責。

（四）確保信息科技風險管理的有效性，并使有關(guān)管理措施落

實到相關(guān)的每一個內(nèi)設(shè)機構(gòu)和分支機構(gòu)。

（五）組織專業(yè)培訓，提高人材隊伍的專業(yè)技能。

（六）履行信息科技風險管理其他相關(guān)工作。

第七條科技部負責我行信息安全、信息系統(tǒng)開辟、測試和

維護、信息科技運行、業(yè)務連續(xù)性管理；應對內(nèi)部管理職責進行

明確的界定，各崗位的人員應具有相應的專業(yè)知識和技能，重要

崗位應制定詳細完整的工作手冊并適時更新，并對相關(guān)人員采取

相關(guān)的風險防范措施：

（-）驗證個人信息，包括核驗有效身份證件、學歷證明、工

作經(jīng)歷和專業(yè)資格證書等信息。

（-）審核信息科技員工的道德品格，確保其具備相應的職業(yè)

操守。

（三）確保員工了解、遵守信息科技策略、指導原則、信息保

密、授權(quán)使用信息系統(tǒng)、信息科技管理制度和流程等要求，并同員

工簽訂相關(guān)協(xié)議。

（四）評估關(guān)鍵崗位信息科技員工流失帶來的風險，做好安排

候補員工和崗位接替計劃等防范措施；在員工崗位發(fā)生變化后及時

變更相關(guān)信息。

第八條運營管理部職能交叉，要部門協(xié)調(diào)是信息系統(tǒng)中涉

及賬務交易的操作、系統(tǒng)參數(shù)變更、事件管理的主要部門。運營

管理部的職責包括：

（一）運行與維護應實行職責分離，運行人員應實行專職，不

得由其他人員兼任。運行人員應按操作規(guī)程巡檢和操作。維護人員

應按授權(quán)和維護規(guī)程要求對生產(chǎn)狀態(tài)的軟硬件、數(shù)據(jù)進行維護，除

應急外，其他維護應在非工作時間進行。

（二）制定詳細的運行值班操作表，包括規(guī)定巡檢時間，操作

范圍、內(nèi)容、辦法、命令以及負責人員等信息。

（三）提供機房環(huán)境、設(shè)備使用、網(wǎng)絡運行、系統(tǒng)運行職能交

叉，要部門協(xié)調(diào)等監(jiān)控信息。

（四）記錄運行值班過程中所有現(xiàn)象、操作過程等信息日志C

（五）對軟件或者數(shù)據(jù)的維護必須通過特定的應用程序進行，

添力口、刪除和修改數(shù)據(jù)應通過柜員終端，不得對數(shù)據(jù)庫進行直接操

作；

（六）具備各種詳細的日志信息，包括交易日志和審計日志

等，以便維護和審計。

（七）提供維護的統(tǒng)計和報表打印功能。

（八）對系統(tǒng)參數(shù)等設(shè)置變更、維護的要求:

1、應對信息系統(tǒng)配置參數(shù)實施嚴格的安全與保密管理，防止

非法生成、變更、泄漏、丟失與破壞。根據(jù)敏感程度和用途，確定

存取權(quán)限、方式和授權(quán)使用范圍，嚴格審批和登記手續(xù)。

2、制訂嚴密的變更處理流程，明確變更控制中各崗位的職責，

并遵循流程實施控制和管理；變更前應明確應急和回退方案，無授

權(quán)不得進行變更操作；

3、根據(jù)變更需求、變更方案、變更內(nèi)容核實清單等相關(guān)文檔

審核變更的正確性、安全性和合法性。職能交叉，要部門協(xié)調(diào)

（九）應對機房環(huán)境設(shè)施實行日常巡檢，明確信息系統(tǒng)及機房

環(huán)境設(shè)施浮現(xiàn)故障時的應急處理流程和預案，有實時交易服務的數(shù)

據(jù)中心應實行24小時值班。

（十）實行事件報告制度，發(fā)生信息系統(tǒng)造成重大經(jīng)濟、聲譽

損失和重大影響事件，應即時上報并處理，必要時啟動應急處理預

案。

第九條風險管理部負責信息科技風險管理工作，并直接向

分管行領(lǐng)導（風險管理委員會）報告工作。該部門應為信息科技

突發(fā)事件應急響應小組的成員之一，負責協(xié)調(diào)制定有關(guān)信息科技

風險管理策略，特別是在涉及信息安全、業(yè)務連續(xù)性計劃和合規(guī)

性風險等方面，為業(yè)務部門和信息科技部門提供建議及相關(guān)合規(guī)

性信息，實施持續(xù)信息科技風險評估，跟蹤整改意見的落實，監(jiān)

控信息安全威脅和不合規(guī)事件的發(fā)生。風險管理部的職責包括：

（一）擬定信息系統(tǒng)風險管理總體政策，并提交高級管理層審

查、審批。

（二）會同相關(guān)業(yè)務部門對信息系統(tǒng)風險進行識別、監(jiān)測；

（三）審核信息系統(tǒng)風險狀況。對總行相關(guān)業(yè)務部門和分支機

構(gòu)信息系統(tǒng)風險狀況及維護、運行情況進行監(jiān)測，并進行實時報告。

（四）組織新投產(chǎn)后信息系統(tǒng)的后評價，并識別、評估新信息

系統(tǒng)中所包含的風險，審核相應的操作和風險管理程序。

第十條稽核審計部應在部門設(shè)立專門的信息科技風險審計

崗位，負責信息科技審計制度和流程的實施，制訂和執(zhí)行信息科

技審””戈IJ,對信息科技整個生命周期和重大事件等進行審計。

稽核審計部負責我行信息系統(tǒng)審計任務，也可禮聘經(jīng)國家相應監(jiān)

管部門認定資質(zhì)的中介機構(gòu)進行信息系統(tǒng)外部審計。

第三章信息科技風險管理

第十一條我行應制定全面的信息科技風險管理策略，包括但

不限于下述領(lǐng)域：

（-）信息分級與保護。

（-）信息系統(tǒng)開辟、測試和維護。

（三）信息科技運行和維護。

（四）訪問控制。

（五）物理安全。

（六）人員安全。

（七）業(yè)務連續(xù)性計劃與應急處置。

第十二條我行應制定持續(xù)的風險識別和評估流程，確定信息

科技中存在隱患的區(qū)域，評價風險對其業(yè)務的潛在影響，對風險

進行排序，并確定風險防范措施及所需資源的優(yōu)先級別（包括外

包供應商、產(chǎn)品供應商和服務商）。

第十三條我行應依據(jù)信息科技風險管理策略和風險評估結(jié)

果，實施全面的風險防范措施。防范措施應包括：

（一）制定明確的信息科技風險管理制度、技術(shù)標準和操作規(guī)

程等，定期進行更新和公示。

（二）確定潛在風險區(qū)域，并對這些區(qū)域進行詳細和獨立的監(jiān)

控，實現(xiàn)風險最小化。建立適當?shù)目刂瓶蚣?，以便于檢查和平衡風

險；定義每一個業(yè)務級別的控制內(nèi)容，包括：

1、最高權(quán)限用戶的審查。

2、控制對數(shù)據(jù)和系統(tǒng)的物理和邏輯訪問。

3、訪問授權(quán)以“必需知道”和“最小授權(quán)”為原則。

4、審批和授權(quán)。

5、驗證和調(diào)節(jié)。

第十四條我行應建立持續(xù)的信息科技風險計量和監(jiān)測機制，

其中應包括：

（?）建立信息科技項目實施前及實施后的評價機制。

（-）建立定期檢查系統(tǒng)性能的程序和標準。

（三）建立信息科技服務投訴和事故處理的報告機制。

（四）建立內(nèi)部審計、外部審計和監(jiān)管發(fā)現(xiàn)問題的整改處理機

制。

（五）安排供應商和業(yè)務部門對服務水平協(xié)議的完成情況進

行定期審查。

（六）定期評估新技術(shù)發(fā)展可能造成的影響和已使用軟件面

臨的新威脅。

（七）定期進行運行環(huán)境下操作風險和管理控制的檢查。

（A）定期進行信息科技外包項目的風險狀況評價。

第四章信息安全

第十五條科技部負責建立和實施信息分類和保護體系，應使

所有員工都了解信息安全的重要性，并組織提供必要的培訓，讓

員工充分了解其職責范圍內(nèi)的信息保護流程。

第十六條科技部應落實信息安全管理職能。該職能應包括建

立信息安全計劃和保持長效的管理機制，提高全體員工信息安全

意識，就安全問題向其他部門提供建議，并定期向信息科技管理

委員會提交本銀行信息安全評估報告。信息安全管理機制應包括

信息安全標準、策略、實施計劃和持續(xù)維護計劃。信息安全策略

應涉及以下領(lǐng)域：

（一）安全制度管理。

（-）信息安全組織管理。

（三）資產(chǎn)管理。

（四）人員安全管理。

（五）物理與環(huán)境安全管理。

（六）通信與運營管理。

（七）訪問控制管理。

（八）系統(tǒng)開辟與維護管理。

（九）信息安全事故管理。

（十）業(yè)務連續(xù)性管理。

（十一）合規(guī)性管理。

第十七條應建立有效管理用戶認證和訪問控制的流程。用戶

對數(shù)據(jù)和系統(tǒng)的訪問必須選擇與信息訪問級別相匹配的認證機

制，并且確保其在信息系統(tǒng)內(nèi)的活動只限于相關(guān)業(yè)務能合法開展

所要求的最低限度。用戶調(diào)動到新的工作崗位或者離開我行時，

應在系統(tǒng)中及時檢查、更新或者注銷用戶身份。

第十八條應確保設(shè)立物理安全保護區(qū)域，包括計算機中心或

者數(shù)據(jù)中心、存儲機密信息或者放置網(wǎng)絡設(shè)備等重要信息科技

設(shè)備的

區(qū)域，明確相應的職責，采取必要的預防、檢測和恢復控制措施。

第十九條應根據(jù)信息安全級別，將網(wǎng)絡劃分為不同的邏輯安

全域（以下簡稱為域）。應該對下列安全因素進行評估，并根據(jù)

安全級別定義和評估結(jié)果實施有效的安全控制，如對每一個域和

整個網(wǎng)絡進行物理或者邏輯分區(qū)、實現(xiàn)網(wǎng)絡內(nèi)容過濾、邏輯訪問

控制、傳輸加密、網(wǎng)絡監(jiān)控、記錄活動口志等。

（一）域內(nèi)應用程序和用戶組的重要程度。

（-）各種通訊渠道進入域的訪問點。

（三）域內(nèi)配置的網(wǎng)絡設(shè)備和應用程序使用的網(wǎng)絡協(xié)議和端

口。

（四）性能要求或者標準。

（五）域的性質(zhì)，如生產(chǎn)域或者測試域、內(nèi)部域或者外部域。

（六）不同域之間的連通性。

（七）域的可信程度。

第二十條應通過以下措施，確保所有計算機操作系統(tǒng)和系統(tǒng)

軟件的安全：

（-）制定每種類型操作系統(tǒng)的基本安全要求，確保所有系統(tǒng)

滿足基本安全要求。

（二）明確定義包括終端用戶、系統(tǒng)開辟人員、系統(tǒng)測試人員、

計算機操作人員、系統(tǒng)管理員和用戶管理員等不同用戶組的訪問權(quán)

限。

（三）制定最高權(quán)限系統(tǒng)賬戶的審批、驗證和監(jiān)控流程，并確

保最高權(quán)限用戶的操作日志被記錄和監(jiān)察。

（四）要求技術(shù)人員定期檢查可用的安全補丁，并報告補丁管

理狀態(tài)。

（五）在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪

問、對用戶賬戶的修改等有關(guān)重要事項，手動或者自動監(jiān)控系統(tǒng)浮

現(xiàn)的任何異常事件，定期匯報監(jiān)控情況。

第二十f應通過以下措施，確保所有信息系統(tǒng)安全：

（一）明確定義終端用戶和信息科技技術(shù)人員在信息系統(tǒng)安

全中的角色和職責。

（二）針對信息系統(tǒng)的重要性和敏感程度，采取有效的身份驗

證方法。

（三）加強職責劃分，對關(guān)鍵或者敏感崗位進行雙重控制。

（四）在關(guān)鍵的接合點進行輸入驗證或者輸出核對。

（五）采取安全的方式處理保密信息的輸入和輸出，防止信息

泄露或者被盜取、篡改。

（A）確保系統(tǒng)按預先定義的方式處理例外情況，當系統(tǒng)被迫

終止時向用戶提供必要信息。

（七）以書面或者電子格式保存審計痕跡。

（A）要求用戶管理員監(jiān)控和審查未成功的登錄和用戶賬戶

的修改。

第二十二條應制定相關(guān)策略和流程，管理所有生產(chǎn)系統(tǒng)的

活動日志，以支持有效的審核、安全取證分析和預防欺詐。日志

可以在軟件的不同層次、不同的計算機和網(wǎng)絡設(shè)備上完成，日志

劃分為兩大類：

（一）交易日志。交易日志由應用軟件和數(shù)據(jù)庫管理系統(tǒng)產(chǎn)

生，內(nèi)容包括用戶登錄嘗試、數(shù)據(jù)修改、錯誤信息等。交易日志應

按照國家會計準則要求予以保存。

（二）系統(tǒng)日志。系統(tǒng)日志由操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、防

火墻、入侵檢測系統(tǒng)和路由器等生成，內(nèi)容包括管理登錄嘗試、系

統(tǒng)事件、網(wǎng)絡事件、錯誤信息等。系統(tǒng)口志保存期限按系統(tǒng)的風險

等級確定，但不能少于一年。

第二十三條應保證交易日志和系統(tǒng)日志中包含足夠的內(nèi)

容，以便完成有效的內(nèi)部控制、解決系統(tǒng)故障和滿足審計需要；

應采取適當措施保證所有日志同步計時，并確保其完整性。在例

外情況發(fā)生后應及時復查系統(tǒng)日志。交易日志或者系統(tǒng)日志的復

查頻率和保存周期應由信息科技部門和有關(guān)'業(yè)務部門共同決定，

并報信息科技管理委員會批準。

第二十四條應采取加密技術(shù)，防范涉密信息在傳輸、處理、

存儲過程中浮現(xiàn)泄露或者被篡改的風險，并建立密碼設(shè)備管理制度,

以確保：

（一）使用符合國家要求的加密技術(shù)和加密設(shè)備。

（-）管理、使用密碼設(shè)備的員工經(jīng)過專業(yè)培訓和嚴格審查C

（三）加密強度滿足信息機密性的要求。

（四）制定并落實有效的管理流程，特別是密鑰和證書生命周

期管理。

第二十五條配備切實有效的系統(tǒng)，確保所有終端用戶設(shè)備

的安全，并定期對所有設(shè)備進行安全檢查，包括臺式個人計算機

（PC）、便攜式計算機、柜員終端、自動柜員機（ATM）、存折打

印機、讀卡器、銷售終端（POS）和個人數(shù)字助理（PDA）等。

第二十六條制定相關(guān)制度和流程，嚴格管理客戶信息的采

集、處理、存貯、傳輸、分發(fā)、備份、恢復、清理和銷毀。

第二十七條對所有員工進行必要的培訓，使其充分掌握信

息科技風險管理制度和流程，了解違反規(guī)定的后果，并對違反安

全規(guī)定的行為采取零容忍政策。

第五章信息系統(tǒng)開辟、測試和維護

第二十八條應有能力對信息系統(tǒng)進行需求分析、規(guī)劃、采

購、開辟、測試、部署、維護、升級和報廢，制定制度和流程，

管理信息科技項目的優(yōu)先排序、立項、審批和控制。項目實施

部

門應定期向信息科技管理委員會提交重大信息科技項目的進度報

告，由其進行審核，進度報告應當包括計劃的重大變更、關(guān)鍵人

員或者供應商的變更以及主要費用支出情況。應在信息系統(tǒng)投

產(chǎn)后一定時期內(nèi)，組織對系統(tǒng)的后評價，并根據(jù)評價結(jié)果及時

對系統(tǒng)功能進行調(diào)整和優(yōu)化。

第二十九條應認識到信息科技項目相關(guān)的風險，包括潛在

的各種操作風險、財務損失風險和因無效項目規(guī)劃或者不適當?shù)?/p>

項

目管理控制產(chǎn)生的機會成本，并采取適當?shù)捻椖抗芾矸椒?，?/p>

制信息科技項目相關(guān)的風險。

第三十條采取適當?shù)南到y(tǒng)開辟方法，控制信息系統(tǒng)的生命周

期。典型的系統(tǒng)生命周期包括系統(tǒng)分析、設(shè)計、開辟或者外購、

測試、試運行、部署、維護和退出。所采用的系統(tǒng)開辟方法應

符合信息科技項目的規(guī)模、性質(zhì)和復雜度。

第三十一條制定相關(guān)控制信息系統(tǒng)變更的制度和流程，確

保系統(tǒng)的可靠性、完整件和可維護性，其中應包括以下要求：

（一）生產(chǎn)系統(tǒng)與開辟系統(tǒng)、測試系統(tǒng)有效隔離。

（-）生產(chǎn)系統(tǒng)與開辟系統(tǒng)、測試系統(tǒng)的管理職能相分離。

（三）除得到管理層批準執(zhí)行緊急修復任務外，禁止應用程序

開辟和維護人員進入生產(chǎn)系統(tǒng)，且所有的緊急修復活動都應即將進

行記錄和審核。

（四）將完成開辟和測試環(huán)境的程序或者系統(tǒng)配置變更應用

到生產(chǎn)系統(tǒng)時，應得到信息科技部門和業(yè)務部門的聯(lián)合批準，并

對變更進行及時記錄和定期復查。

（五）制定并落實相關(guān)制度、標準和流程，確保信息系統(tǒng)開辟、

測試、維護過程中數(shù)據(jù)的完整性、保密性和可用性。

第三十二條建立并完善有效的問題管理流程，以確保全面

地追蹤、分析和解決信息系統(tǒng)問題，并對問題進行記錄、分類和

索引；如需供應商提供支持服務或者技術(shù)援助，應向相關(guān)人員提

供所需的合同和相關(guān)信息，并將過程記錄在案；對完成緊急恢

復起至關(guān)重要作用的任務和指令集，應有清晰的描述和說明，

并通知相關(guān)人員。

第六章信息科技運行

第三十三條在選擇數(shù)據(jù)中心的地理位置時，應充分考慮環(huán)

境威脅（如是否接近自然災害多發(fā)區(qū)、危（wei）險或者有害設(shè)

施、繁忙或者主要公路），采取物理控制措施，監(jiān)控對信息處

理設(shè)備運行構(gòu)成威脅的環(huán)境狀況，并防止因意外斷電或者供電

干擾影響數(shù)據(jù)中心的正常運行。

第三十四條嚴格控制第三方人員（如服務供應商）進入安

全區(qū)域，如確需進入應得到適當?shù)呐鷾?，其活動也應受到監(jiān)控；

針對長期或者暫時聘用的技術(shù)人員和承包商，特別是從事敏感性

技術(shù)相關(guān)工作的人員，應制定嚴格的審查程序，包括身份驗證

和背景調(diào)查。

第三十五條應將信息科技運行與系統(tǒng)開辟和維護分離，確

保信息科技部門內(nèi)部的崗位制約；對數(shù)據(jù)中心的崗位和職責做出

明確規(guī)定。

第三十六條按照有關(guān)法律法規(guī)要求保存交易記錄，采取必

要的程序和技術(shù)，確保存檔數(shù)據(jù)的完整性，滿足安全保存和可恢

復要求。

第三十七條制定詳盡的信息科技運行操作說明。如在信息

科技運行手冊中說明計算機操作人員的任務、工作日程、執(zhí)行步

驟，以及生產(chǎn)與開辟環(huán)境中數(shù)據(jù)、軟件的現(xiàn)場及非現(xiàn)場備份流程

和要求（即備份的頻率、范圍和保留周期）。

第三十八條建立事故管理及處置機制，及時響應信息系統(tǒng)

運行事故，逐級向相關(guān)的信息科技管理人員報告事故的發(fā)生，并

進行記錄、分析和跟蹤，直到完成徹底的處置和根本原因分析。

我行應建立服務臺，為用戶提供相關(guān)技術(shù)問題的在線支持，并將

問題提交給相關(guān)信息科技部門進行調(diào)查和解決。

第三十九條建立服務水平管理相關(guān)的制度和流程，對信息

科技運行服務水平進行考核。

第四十條建立連續(xù)監(jiān)控信息系統(tǒng)性能的相關(guān)程序，及時、完

整地報告例外情況；該程序應提供預警功能，在例外情況對系統(tǒng)

性能造成影響前對其進行識別和修正。

第四十一條制定容量規(guī)劃，以適應由于外部環(huán)境變化產(chǎn)生

的業(yè)務發(fā)展和交易量增長。容量規(guī)劃應涵蓋生產(chǎn)系統(tǒng)、備份系統(tǒng)

及相關(guān)設(shè)備。

笫四十二條及時進行維護和適當?shù)南到y(tǒng)升級，以確保與技

術(shù)相關(guān)服務的連續(xù)可用性，并完整保存記錄（包括疑似和實際的

故障、預防性和補救性維護記錄），以確保有效維護設(shè)備和設(shè)施。

第四十三條制定有效的變更管理流程，以確保生產(chǎn)環(huán)境的

完整性和可靠性。包括緊急變更在內(nèi)的所有變更都應記入日志，

由信息科技部門和業(yè)務部門共同審核簽字，并事先進行備份，以便

必要時可以恢復原來的系統(tǒng)版本和數(shù)據(jù)文件。緊急變更成功后，

應通過正常的驗收測試和變更管理流程，采用恰當?shù)男拚匀〈?/p>

緊急變更。

第七章業(yè)務連續(xù)性管理

第四十四條根據(jù)自身業(yè)務的性質(zhì)、規(guī)模和復雜程度制定適

當?shù)臉I(yè)務連續(xù)性規(guī)劃，以確保在浮現(xiàn)無法預見的中斷時，系統(tǒng)仍

能持續(xù)運行并提供服務；定期對規(guī)劃進行更新和演練，以保證其

有效性。

第四十五條評估因意外事件導致其業(yè)務運行中斷的可能性

及其影響，包括評估可能由下述原因?qū)е碌钠茐模?/p>

（-）內(nèi)外部資源的故障或者缺失（如人員、系統(tǒng)或者其他資產(chǎn)）。

（二）信息丟失或者受損。

（三）外部事件（如戰(zhàn)爭、地震或者臺風等）。

第四十六條應采取系統(tǒng)恢復和雙機熱各處理等措施降低業(yè)

務中斷的可能性，并通過應急安排和保險等方式降低影響。

第四十七條建立維持其運營連續(xù)性策略的文檔，并制定對

策略的充分性和有效性進行檢查和溝通的計劃。其中包括：

（一）規(guī)范的業(yè)務連續(xù)性計劃，明確降低短期、中期和長期中

斷所造成影響的措施，包括但不限于：

1、資源需求（如人員、系統(tǒng)和其他資產(chǎn)）以及獲取資源的方

式。

2、運行恢復的優(yōu)先順序。

3、與內(nèi)部各部門及外部相關(guān)各方（特別是監(jiān)管機構(gòu)、客戶和

媒體等）的溝通安排。

（二）更新實施業(yè)務連續(xù)性計劃的流程及相關(guān)聯(lián)系信息。

（三）驗證受中斷影響的信息完整性的步驟。

（四）當我行的業(yè)務或者風險狀況發(fā)生變化時，對本條一到三

進

行審核并升級。

第四十八條我行的業(yè)務連續(xù)性計劃和年度應急演練結(jié)果應

由信息科技風險管理部門或者信息科技管理委員會確認。

第八章外包與審計

第一節(jié)外包

第四十九條不得將我行信息科技管理責任外包，應合理謹

慎監(jiān)督外包職能的履行。

第五十條實施重要外包（如數(shù)據(jù)中心和信息科技基礎(chǔ)設(shè)施等）

應分外謹慎，在準備實施重要外包時應以書面材料正式報告銀監(jiān)

會或者其派出機構(gòu)。

第五十一條在簽署外包協(xié)議或者對外包協(xié)議進行重大變

更前，應做好相關(guān)準備，其中包括：

（-）分析外包是否適合我行的組織結(jié)構(gòu)和報告路線、業(yè)務戰(zhàn)

略、總體風險控制，是否滿足我行履行對外包服務商的監(jiān)督義務。

（二）考慮外包協(xié)議是否允許我行監(jiān)測和控制與外包相關(guān)的

操作風險。

（三）充分審查、評估外包服務商的財務穩(wěn)定性和專業(yè)經(jīng)驗，

對外包服務商進行風險評估，考查其設(shè)施和能力是否足以承擔相應

的責任。

（四）考慮外包協(xié)議變更先后實施的平穩(wěn)過渡（包括終止合同

可能發(fā)生的情況）。

（五）關(guān)注可能存在的集中風險，如多家我行共用同一外包服

務商帶來的潛在業(yè)務連續(xù)性風險。

第五十二條在與外包服務商合同談判過程中，應考慮的因

素包括但不限于：

（一）對外包服務商的報告要求和談判必要條件。

（二）銀行業(yè)監(jiān)管機構(gòu)和內(nèi)部審計、外部審計能執(zhí)行足夠的監(jiān)

督。

（三）通過界定佶息所有權(quán)、簽署保密協(xié)議和采取技術(shù)防護措

施保護客戶信息和其他信息。

（四）擔保和損失賠償是否充足。

（五）外包服務商遵守我行有關(guān)信息科技風險制度和流程的

意愿及相關(guān)措施。

（六）外包服務商提供的業(yè)務連續(xù)性保障水平，以及提供相關(guān)

專屬資源的承諾。

（七）第三方供應商浮現(xiàn)問題時，保證軟件持續(xù)可用的相關(guān)措

施。

（八）變更外包協(xié)議的流程，以及我行或者外包服務商選擇變

更或者終止外包協(xié)議的條件，例如：

1、我行或者外包服務商的所有權(quán)或者控制權(quán)發(fā)生變化。

2、我行或者外包服務商的業(yè)務經(jīng)營發(fā)生重大變化。

3、外包服務商提供的服務不充分，造成我行不能履行監(jiān)督義

務。

第五十三條在實施雙方關(guān)系管理，以及起草服務水平協(xié)議

時，應考慮的因素包括但不限于：

（一）提出定性和定量的績效指標，評估外包服務商為我行及

其相關(guān)客戶提供服務的充分性。

（二）通過服務水平報告、定期自我評估、內(nèi)部或者外部獨立

審計進行績效考核。

（三）針對績效不達標的情況調(diào)整流程，采取整改措施。

第五十四條加強信息科技相關(guān)外包管理工作，確保我行的

客戶資料等敏感信息的安全，包括但不限于采取以下措施：

（-）實現(xiàn)本銀行客戶資料與外包服務商其他客戶資料的有

效隔離。

（-）按照“必需知道”和“最小授權(quán)”原則對外包服務商相

關(guān)人員授權(quán)。

（三）要求外包服務商保證其相關(guān)人員遵守保密規(guī)定。

（四）應將涉及本銀行客戶資料的外包作為重要外包，并告知

相關(guān)客戶。

（五）嚴格控制外包服務商再次對外轉(zhuǎn)包，采取足夠措施確保

我行相關(guān)信息的安全。

（六）確保在中止外包協(xié)議時收回或者銷毀外包服務商保存

的所有客戶資料。

第五十五條我行應建立恰當?shù)膽贝胧?，應對外包服務?/p>

在服務中可能浮現(xiàn)的重大缺