商业银行信息科技风险管理指引(2).doc
《商业银行信息科技风险管理指引(2).doc》由会员分享,可在线阅读,更多相关《商业银行信息科技风险管理指引(2).doc(12页珍藏版)》请在咨信网上搜索。
1、商业银行信息科技风险管理指导第一章 总则第一条为加强商业银行信息科技风险管理,根据中华人民共和国银行业监督管理法、中华人民共和国商业银行法、中华人民共和国外资银行管理条例,以及国家信息安全有关规定和有关法律法规,制定本指导。第二条本指导合用于在中华人民共和国境内依法设置法人商业银行。 政策性银行、农村合作银行、都市信用社、农村信用社、村镇银行、贷款企业、金融资产管理企业、信托企业、财务企业、金融租赁企业、汽车金融企业、货币经纪企业等其他银行业金融机构参照执行。第三条本指导所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术,在商业银行业务交易处理、经营管理和内部控制等方面应用,并包括进
2、行信息科技治理,建立完整管理组织架构,制定完善管理制度和流程。第四条本指导所称信息科技风险,是指信息科技在商业银行运用过程中,由于自然原因、人为原因、技术漏洞和管理缺陷产生操作、法律和声誉等风险。第五条信息科技风险管理目是通过建立有效机制,实现对商业银行信息科技风险识别、计量、监测和控制,增进商业银行安全、持续、稳健运行,推进业务创新,提高信息技术使用水平,增强关键竞争力和可持续发展能力。第二章 信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理第一负责人,负责组织本指导贯彻贯彻。第七条商业银行董事会应履行如下信息科技管理职责:(一)遵守并贯彻执行国家有关信息科技管理法律、法规和技术
3、原则,贯彻中国银行业监督管理委员会(如下简称银监会)有关监管规定。(二)审查同意信息科技战略,保证其与银行总体业务战略和重大方略相一致。评估信息科技及其风险管理工作总体效果和效率。(三)掌握重要信息科技风险,确定可接受风险级别,保证有关风险可以被识别、计量、监测和控制。(四)规范职业道德行为和廉洁原则,增强内部文化建设,提高全体人员对信息科技风险管理重要性认识。(五)设置一种由来自高级管理层、信息科技部门和重要业务部门代表构成专门信息科技管理委员会,负责监督各项职责贯彻,定期向董事会和高级管理层汇报信息科技战略规划执行、信息科技预算和实际支出、信息科技整体状况。(六)在建立良好企业治理基础上进
4、行信息科技治理,形成分工合理、职责明确、互相制衡、汇报关系清晰信息科技治理组织构造。加强信息科技专业队伍建设,建立人才鼓励机制。(七)保证内部审计部门进行独立有效信息科技风险管理审计,对审计汇报进行确认并贯彻整改。(八)每年审阅并向银监会及其派出机构报送信息科技风险管理年度汇报。(九)保证信息科技风险管理工作所需资金。(十)保证银行所有员工充足理解和遵守经其同意信息科技风险管理制度和流程,并安排有关培训。(十一)保证本法人机构波及客户信息、账务信息以及产品信息等关键系统在中国境内独立运行,并保持最高管理权限,符合银监会监管和实行现场检查规定,防备跨境风险。(十二)及时向银监会及其派出机构汇报本
5、机构发生重大信息科技事故或突发事件,按有关预案迅速响应。(十三)配合银监会及其派出机构做好信息科技风险监督检查工作,并按照监管意见进行整改。(十四)履行信息科技风险管理其他有关工作。第八条商业银行应设置首席信息官,直接向行长汇报,并参与决策。首席信息官职责包括:(一)直接参与本银行与信息科技运用有关业务发展决策。(二)保证信息科技战略,尤其是信息系统开发战略,符合本银行总体业务战略和信息科技风险管理方略。(三)负责建立一种切实有效信息科技部门,承担本银行信息科技职责。保证其履行:信息科技预算和支出、信息科技方略、原则和流程、信息科技内部控制、专业化研发、信息科技项目发起和管理、信息系统和信息科
6、技基础设施运行、维护和升级、信息安全管理、劫难恢复计划、信息科技外包和信息系统退出等职责。(四)保证信息科技风险管理有效性,并使有关管理措施贯彻到有关每一种内设机构和分支机构。(五)组织专业培训,提高人才队伍专业技能。(六)履行信息科技风险管理其他有关工作。第九条商业银行应对信息科技部门内部管理职责进行明确界定;各岗位人员应具有对应专业知识和技能,重要岗位应制定详细完整工作手册并适时更新。对有关人员应采用下列风险防备措施:(一)验证个人信息,包括核验有效身份证件、学历证明、工作经历和专业资格证书等信息。(二)审核信息科技员工道德品行,保证其具有对应职业操守。(三)保证员工理解、遵守信息科技方略
7、、指导原则、信息保密、授权使用信息系统、信息科技管理制度和流程等规定,并同员工签订有关协议。(四)评估关键岗位信息科技员工流失带来风险,做好安排候补员工和岗位接替计划等防备措施;在员工岗位发生变化后及时变更有关信息。第十条商业银行应设置或指派一种特定部门负责信息科技风险管理工作,并直接向首席信息官或首席风险官(风险管理委员会)汇报工作。该部门应为信息科技突发事件应急响应小组组员之一,负责协调制定有关信息科技风险管理方略,尤其是在波及信息安全、业务持续性计划和合规性风险等方面,为业务部门和信息科技部门提供提议及有关合规性信息,实行持续信息科技风险评估,跟踪整改意见贯彻,监控信息安全威胁和不合规事
8、件发生。第十一条商业银行应在内部审计部门设置专门信息科技风险审计岗位,负责信息科技审计制度和流程实行,制定和执行信息科技审计计划,对信息科技整个生命周期和重大事件等进行审计。第十二条商业银行应按照知识产权有关法律法规,制定本机构信息科技知识产权保护方略和制度,并使所有员工充足理解并遵照执行。保证购置和使用合法软硬件产品,严禁侵权盗版;采用有效措施保护本机构自主知识产权。第十三条商业银行应根据有关法律法规规定,规范和及时披露信息科技风险状况。第三章 信息科技风险管理第十四条商业银行应制定符合银行总体业务规划信息科技战略、信息科技运行计划和信息科技风险评估计划,保证配臵足够人力、财力资源,维持稳定
9、、安全信息科技环境。第十五条商业银行应制定全面信息科技风险管理方略,包括但不限于下述领域:(一)信息分级与保护。(二)信息系统开发、测试和维护。(三)信息科技运行和维护。(四)访问控制。(五)物理安全。(六)人员安全。(七)业务持续性计划与应急处臵。第十六条商业银行应制定持续风险识别和评估流程,确定信息科技中存在隐患区域,评价风险对其业务潜在影响,对风险进行排序,并确定风险防备措施及所需资源优先级别(包括外包供应商、产品供应商和服务商)。第十七条商业银行应根据信息科技风险管理方略和风险评估成果,实行全面风险防备措施。防备措施应包括:(一)制定明确信息科技风险管理制度、技术原则和操作规程等,定期
10、进行更新和公告。(二)确定潜在风险区域,并对这些区域进行详细和独立监控,实现风险最小化。建立合适控制框架,以便于检查和平衡风险;定义每个业务级别控制内容,包括:1.最高权限顾客审查。2.控制对数据和系统物理和逻辑访问。3.访问授权以“必需懂得”和“最小授权”为原则。4.审批和授权。5.验证和调整。第十八条商业银行应建立持续信息科技风险计量和监测机制,其中应包括:(一)建立信息科技项目实行前及实行后评价机制。(二)建立定期检查系统性能程序和原则。(三)建立信息科技服务投诉和事故处理汇报机制。(四)建立内部审计、外部审计和监管发现问题整改处理机制。(五)安排供应商和业务部门对服务水平协议完毕状况进
11、行定期审查。(六)定期评估新技术发展也许导致影响和已使用软件面临新威胁。(七)定期进行运行环境下操作风险和管理控制检查。(八)定期进行信息科技外包项目风险状况评价。第十九条中资商业银行在境外设置机构及境内外资商业银行,应当遵守境内外监管机构有关信息科技风险管理规定,并防备因监管差异所导致风险。第四章 信息安全第二十条商业银行信息科技部门负责建立和实行信息分类和保护体系,商业银行应使所有员工都理解信息安全重要性,并组织提供必要培训,让员工充足理解其职责范围内信息保护流程。第二十一条商业银行信息科技部门应贯彻信息安全管理职能。该职能应包括建立信息安全计划和保持长期有效管理机制,提高全体员工信息安全
12、意识,就安全问题向其他部门提供提议,并定期向信息科技管理委员会提交本银行信息安全评估汇报。信息安全管理机制应包括信息安全原则、方略、实行计划和持续维护计划。信息安全方略应波及如下领域:(一)安全制度管理。(二)信息安全组织管理。(三)资产管理。(四)人员安全管理。(五)物理与环境安全管理。(六)通信与运行管理。(七)访问控制管理。(八)系统开发与维护管理。(九)信息安全事故管理。(十)业务持续性管理。(十一)合规性管理。第二十二条商业银行应建立有效管理顾客认证和访问控制流程。顾客对数据和系统访问必须选择与信息访问级别相匹配认证机制,并且保证其在信息系统内活动只限于有关业务能合法开展所规定最低程
13、度。顾客调动到新工作岗位或离开商业银行时,应在系统中及时检查、更新或注销顾客身份。第二十三条商业银行应保证设置物理安全保护区域,包括计算机中心或数据中心、存储机密信息或放臵网络设备等重要信息科技设备区域,明确对应职责,采用必要防止、检测和恢复控制措施。第二十四条商业银行应根据信息安全级别,将网络划分为不一样逻辑安全域(如下简称为域)。应当对下列安全原因进行评估,并根据安全级别定义和评估成果实行有效安全控制,如对每个域和整个网络进行物理或逻辑分区、实现网络内容过滤、逻辑访问控制、传播加密、网络监控、记录活动日志等。(一)域内应用程序和顾客组重要程度。(二)多种通讯渠道进入域访问点。(三)域内配臵
14、网络设备和应用程序使用网络协议和端口。(四)性能规定或原则。(五)域性质,如生产域或测试域、内部域或外部域。(六)不一样域之间连通性。(七)域可信程度。第二十五条商业银行应通过如下措施,保证所有计算机操作系统和系统软件安全:(一)制定每种类型操作系统基本安全规定,保证所有系统满足基本安全规定。(二)明确定义包括终端顾客、系统开发人员、系统测试人员、计算机操作人员、系统管理员和顾客管理员等不一样顾客组访问权限。(三)制定最高权限系统账户审批、验证和监控流程,并保证最高权限顾客操作日志被记录和监察。(四)规定技术人员定期检查可用安全补丁,并汇报补丁管理状态。(五)在系统日志中记录不成功登录、重要系
15、统文献访问、对顾客账户修改等有关重要事项,手动或自动监控系统出现任何异常事件,定期汇报监控状况。第二十六条商业银行应通过如下措施,保证所有信息系统安全:(一)明确定义终端顾客和信息科技技术人员在信息系统安全中角色和职责。(二)针对信息系统重要性和敏感程度,采用有效身份验证措施。(三)加强职责划分,对关键或敏感岗位进行双重控制。(四)在关键接合点进行输入验证或输出查对。(五)采用安全方式处理保密信息输入和输出,防止信息泄露或被盗取、篡改。(六)保证系统按预先定义方式处理例外状况,当系统被迫终止时向顾客提供必要信息。(七)以书面或电子格式保留审计痕迹。(八)规定顾客管理员监控和审查未成功登录和顾客
16、账户修改。 第二十七条商业银行应制定有关方略和流程,管理所有生产系统活动日志,以支持有效审核、安全取证分析和防止欺诈。日志可以在软件不一样层次、不一样计算机和网络设备上完毕,日志划分为两大类:(一)交易日志。交易日志由应用软件和数据库管理系统产生,内容包括顾客登录尝试、数据修改、错误信息等。交易日志应按照国家会计准则规定予以保留。(二)系统日志。系统日志由操作系统、数据库管理系统、防火墙、入侵检测系统和路由器等生成,内容包括管理登录尝试、系统事件、网络事件、错误信息等。系统日志保留期限按系统风险等级确定,但不能少于一年。商业银行应保证交易日志和系统日志中包括足够内容,以便完毕有效内部控制、处理
17、系统故障和满足审计需要;应采用合适措施保证所有日志同步计时,并保证其完整性。在例外状况发生后应及时复查系统日志。交易日志或系统日志复查频率和保留周期应由信息科技部门和有关业务部门共同决定,并报信息科技管理委员会同意。第二十八条商业银行应采用加密技术,防备涉密信息在传播、处理、存储过程中出现泄露或被篡改风险,并建立密码设备管理制度,以保证:(一)使用符合国家规定加密技术和加密设备。(二)管理、使用密码设备员工通过专业培训和严格审查。(三)加密强度满足信息机密性规定。(四)制定并贯彻有效管理流程,尤其是密钥和证书生命周期管理。 第二十九条商业银行应配置切实有效系统,保证所有终端顾客设备安全,并定期
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 商业银行 信息 科技 风险 管理 指引
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【天****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【天****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。