银行业金融机构信息系统风险管理指引523.pdf

《银行业金融机构信息系统风险管理指引523.pdf》由会员分享，可在线阅读，更多相关《银行业金融机构信息系统风险管理指引523.pdf（7页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、 银行业金融机构信息系统风险管理指引 第一章 总则 第一条 为有效防范银行业金融机构运用信息系统进行业务处理、经营管理和内部控制过程中产生的风险促进我国银行业安全、持续、稳健运行根据中华人民共和国银行业监督管理法、国家信息安全相关要求和信息系统管理的有关法律法规制定本指引。第二条 本指引适用于银行业金融机构。本指引所称银行业金融机构是指在中华人民共和国境内设立的商业银行、城市信用合作社、农村合作银行、农村信用合作社等吸收公众存款的金融机构以及政策性银行。在中华人民共和国境内设立的金融资产管理公司、信托投资公司、财务公司、金融租赁公司、汽车金融公司以及经中国银行业监督管理委员会 以下简称银监会及

2、其派出机构批准设立的其他金融机构适用本指引规定。第三条 本指引所称信息系统是指银行业金融机构运用现代信息、通信技术集成的处理业务、经营管理和内部控制的系统。第四条 本指引所称信息系统风险是指信息系统在规划、研发、建设、运行、维护、监控及退出过程中由于技术和管理缺陷产生的操作、法律和声誉等风险。第五条 信息系统风险管理的目标是通过建立有效的机制实现对信息系统风险的识别、计量、评价、预警和控制推动银行业金融机构业务创新提高信息化水平增强核心竞争力和可持续发展能力。第二章 机构职责 第六条 银行业金融机构应建立有效的信息系统风险管理架构完善内部组织 结构和工作机制防范和控制信息系统风险。第七条 银行

3、业金融机构应认真履行下列信息系统管理职责 一 贯彻执行国家有关信息系统管理的法律、法规和技术标准落实银监会相关监管要求 二 建立有效的信息安全保障体系和内部控制规程明确信息系统风险管理岗位责任制度并监督落实 三 负责组织对本机构信息系统风险进行检查、评估、分析及时向本机构专 门委员会和银监会及其派出机构报送相关的管理信息 四 及时向银监会及其派出机构报告本机构发生的重大信息系统事故或突发事件并按有关预案快速响应 五 每年经董事会或其他决策机构审查后向银监会及其派出机构报送信息系统风险管理的年度报告 六 做好本机构信息系统审计工作 七 配合银监会及其派出机构做好信息系统风险监督检查工作并按照监管

4、意见进行整改 八 组织本机构信息系统从业人员进行信息系统有关的业务、技术和安全培训 九 开展与信息系统风险管理相关的其他工作。第八条 银行业金融机构的董事会或其他决策机构负责信息系统的战略规划、重大项目和风险监督管理 信息科技管理委员会、风险管理委员会或其他负责风险 监督的专业委员会应制定信息系统总体策略统筹信息系统项目建设定期评估、报告本机构信息系统风险状况为决策层提供建议采取相应的风险控制措施。第九条 银行业金融机构法定代表人或主要负责人是本机构信息系统风险管理 责任人。第十条 银行业金融机构应设立信息科技部门统一负责本机构信息系统的规 划、研发、建设、运行、维护和监控提供日常科技服务和运

5、行技术支持建立或明确专门信息系统风险管理部门建立、健全信息系统风险管理规章、制度并协 助业务部门及信息科技部门严格执行提供相关的监管信息设立审计部门或专门审计岗位建立健全信息系统风险审计制度配备适量的合格人员进行信息系统风险审计。第十一条 银行业金融机构从事与信息系统相关工作的人员应符合以下要求 一 具备良好的职业道德掌握履行信息系统相关岗位职责所需的专业知识和技能 二 未经岗前培训或培训不合格者不得上岗经考核不适宜的工作人员应及时进行调整。第十二条 银行业金融机构应加强信息系统风险管理的专业队伍建设建立人才激励机制适应信息技术的发展。第十三条 银行业金融机构应依据有关法律法规及时和规范地披露

6、信息系统风险状况。第三章 总体风险控制 第十四条 总体风险是指信息系统在策略、制度、机房、软件、硬件、网络、数据、文档等方面影响全局或共有的风险。第十五条 银行业金融机构应根据信息系统总体规划制定明确、持续的风险管理策略按照信息系统的敏感程度对各个集成要素进行分析和评估并实施有效控制。第十六条 银行业金融机构应采取措施防范自然灾害、运行环境变化等产生的安全威胁防止各类突发事故和恶意攻击。第十七条 银行业金融机构应建立健全信息系统相关的规章制度、技术规范、操作规程等明确与信息系统相关人员的职责权限建立制约机制实行最小授权。第十八条 在境外设立的我国银行业金融机构或在境内设立的境外银行业金融机构应

7、防范由于境内外信息系统监管制度差异等造成的跨境风险。第十九条 银行业金融机构应严格执行国家信息安全相关标准参照有关国际准则积极推进信息安全标准化实行信息安全等级保护。第二十条 银行业金融机构应加强对信息系统的评估和测试及时进行修补和更新以保证信息系统的安全性、完整性。第二十一条 银行业金融机构信息系统数据中心机房应符合国家有关计算机场 地、环境、供配电等技术标准。全国性数据中心至少应达到国家类机房标准省域数据中心至少应达到国家类机房标准省域以下数据中心至少应达到类机房标准。数据中心机房应实行严格的门禁管理措施未经授权不得进入。第二十二条 银行业金融机构应重视知识产权保护使用正版软件加强软件 版

8、本管理优先使用具有中国自主知识产权的软、硬件产品 积极研发具有自主知 识产权的信息系统和相关金融产品并采取有效措施保护本机构信息化成果。第二十三条 银行业金融机构与信息系统相关的电子设备的选型、购置、登记、保养、维修、报废等应严格执行相关规程选用的设备应经过技术论证测 试性能应符合国家有关标准。信息系统所用的服务器等关键设备应具有较高的可靠性、充足的容量和一定的容错特性并配置适当的备品备件。第二十四条 信息系统的网络应参照相关的标准和规范设计、建设网络设备应兼备技术先进性和产品成熟性网络设备和线路应有冗余备份严格线路租用合同管理按照业务和交易流量要求保证传输带宽建立完善的网管中心监测和管理通信

9、线路及网络设备保障网络安全稳定运行。第二十五条 银行业金融机构应加强网络安全管理。生产网络与开发测试网 络、业务网络与办公网络、内部网络与外部网络应实施隔离加强无线网、互联网接入边界控制使用内容过滤、身份认证、防火墙、病毒防范、入侵检测、漏洞扫描、数据加密等技术手段有效降低外部攻击、信息泄漏等风险。第二十六条 银行业金融机构应加强信息系统加密机、密钥、密码、加解密程序等安全要素的管理使用符合国家安全标准的密码设备完善安全要素生成、领取、使用、修改、保管和销毁等环节管理制度。密钥、密码应定期更改。第二十七条 银行业金融机构应加强数据采集、存贮、传输、使用、备份、恢复、抽检、清理、销毁等环节的有效

10、管理不得脱离系统采集加工、传输、存取数 据优化系统和数据库安全设置严格按授权使用系统和数据库采用适当的数据加密技术以保护敏感数据的传输和存取保证数据的完整性、保密性。第二十八条 银行业金融机构应对信息系统配置参数实施严格的安全与保密管理防止非法生成、变更、泄漏、丢失与破坏。根据敏感程度和用途确定存取权限、方式和授权使用范围严格审批和登记手续。第二十九条 银行业金融机构应制定信息系统应急预案并定期演练、评审和修订。省域以下数据中心至少实现数据备份异地保存省域数据中心至少实现异地数据实时备份全国性数据中心实现异地灾备。第三十条 银行业金融机构应加强对技术文档资料和重要数据的备份管理 技术文档资料和

11、重要数据应保留副本并异地存放按规定年限保存调用时应严格授 权。信息系统的技术文档资料包括系统环境说明文件、源程序以及系统研发、运 行、维护过程中形成的各类技术资料。重要数据包括 交易数据、账务数据、客户数据以及产生的报表数据等。银行业金融机构在信息系统可能影响客户服务时应以适当方 第三十一条式告知客户。第四章 研发风险控制 第三十二条 研发风险是指信息系统在研发过程中组织、规划、需求、分析、设计、编程、测试和投产等环节产生的风险。第三十三条 银行业金融机构信息系统研发前应成立项目工作小组重大项目还应成立项目领导小组并指定负责人。项目领导小组负责项目的组织、协调、检查、监督工作。项目工作小组由业

12、务人员、技术人员和管理人员组成具体负责整个项目的开发工作。第三十四条 项目工作小组人员应具备与项目要求相适应的业务经验与专业技术知识小组负责人需具备组织领导能力 保证信息系统研发质量和进度。第三十五条 银行业金融机构业务部门根据本机构业务发展战略在充分进行市场调查、产品效益分析的基础上制定信息系统研发项目可行性报告。第三十六条 银行业金融机构业务部门编写项目需求说明书提出风险控制要求信息科技部门根据项目需求编制项目功能说明书。第三十七条 银行业金融机构信息科技部门依据项目功能说明书分别编写项目总体技术框架、项目设计说明书设计和编码应符合项目功能说明书的要求。第三十八条 银行业金融机构应建立独立

13、的测试环境以保证测试的完整性和准确性。测试至少应包括功能测试、安全性测试、压力测试、验收测试、适应性测试。测试不得直接使用生产数据。第三十九条 银行业金融机构信息科技部门应根据测试结果修补系统的功能和缺陷提高系统的整体质量。第四十条 银行业金融机构业务人员、技术人员应根据职责范围分别编写操作说明书、技术应急方案、业务连续性计划、投产计划、应急回退计划并进行演练。第四十一条 开发过程中所涉及的各种文档资料应经相关部门、人员的签字确认并归档保存。第四十二条 项目验收应出具由相关负责人签字的项目验收报告验收不合格不得投产使用。第五章 运行维护风险控制 第四十三条 运行维护风险是指信息系统在运行与维护

14、过程中操作管理、变更管理、机房管理和事件管理等环节产生的风险。第四十四条 银行业金融机构信息系统运行与维护应实行职责分离运行人员应实行专职不得由其他人员兼任。运行人员应按操作规程巡检和操作。维护人员应按授权和维护规程要求对生产状态的软硬件、数据进行维护除应急外其他维护应在非工作时间进行。第四十五条 银行业金融机构信息系统的运行应符合以下要求 一 制定详细的运行值班操作表包括规定巡检时间操作范围、内容、办法、命令以及负责人员等信息 二 提供常见和简便的操作菜单或命令如信息系统的启动或停止、运行日志的查询等 三 提供机房环境、设备使用、网络运行、系统运行等监控信息 四 记录运行值班过程中所有现象、操作过程等信息。第四十六条 银行业金融机构信息系统的维护应符合以下要求 一 除对信息系统设备和系统环境的维护外对软件或数据的维护必须通过特定的应用程序进行添加、删除和修改数据应通过柜员终端不得对数据库进行直接操作 二 具备各种详细的日志信息包括交易日志和审计日志等以便维护和审计 三 提供维护的统计和报表打印功能。