中國銀行業監督管理委員會 商業銀行信息科技風險管理指引 第一章 總 則 第一條 為加強商業銀行信息科技風險管理，根據《中華人民共和國銀行業監督管理法》、《中華人民共和國商業銀行法》、《中華人民共和國外資銀行管理條例》，以及國家信息安全相關要求和有關法律法規，制定本指引。? 第二條 本指引適用于在中華人民共和國境內依法設立的法人商業銀行。? 政策性銀行、農村合作銀行、城市信用社、農村信用社、村鎮銀行、貸款公司、金融資產管理公司、信托公司、財務公司、金融租賃公司、汽車金融公司、貨幣經紀公司等其他銀行業金融機構參照執行。? 第三條 本指引所稱信息科技是指計算機、通信、微電子和軟件工程等現代信息技術，在商業銀行業務交易處理、經營管理和內部控制等方面的應用，并包括進行信息科技治理，建立完整的管理組織架構，制訂完善的管理制度和流程。? 第四條 本指引所稱信息科技風險，是指信息科技在商業銀行運用過程中，由于自然因素、人為因素、技術漏洞和管理缺陷產生的操作、法律和聲譽等風險。 第五條 信息科技風險管理的目標是通過建立有效的機制，實現對商業銀行信息科技風險的識別、計量、監測和控制，促進商業銀行安全、持續、穩健運行，推動業務創新，提高信息技術使用水平，增強核心競爭力和可持續發展能力。 第二章 信息科技治理?? 第六條 商業銀行法定代表人是本機構信息科技風險管理的第一責任人，負責組織本指引的貫徹落實。? 第七條 商業銀行的董事會應履行以下信息科技管理職責： （一） 遵守并貫徹執行國家有關信息科技管理的法律、法規和技術標準，落實中國銀行業監督管理委員會（以下簡稱銀監會）相關監管要求。? （二） 審查批準信息科技戰略，確保其與銀行的總體業務戰略和重大策略相一致。評估信息科技及其風險管理工作的總體效果和效率。? （三） 掌握主要的信息科技風險，確定可接受的風險級別，確保相關風險能夠被識別、計量、監測和控制。? （四） 規范職業道德行為和廉潔標準，增強內部文化建設，提高全體人員對信息科技風險管理重要性的認識。? （五） 設立一個由來自高級管理層、信息科技部門和主要業務部門的代表組成的專門信息科技管理委員會，負責監督各項職責的落實，定期向董事會和高級管理層匯報信息科技戰略規劃的執行、信息科技預算和實際支出、信息科技的整體狀況。? （六） 在建立良好的公司治理的基礎上進行信息科技治理，形成分工合理、職責明確、相互制衡、報告關系清晰的信息科技治理組織結構。加強信息科技專業隊伍的建設，建立人才激勵機制。? （七） 確保內部審計部門進行獨立有效的信息科技風險管理審計，對審計報告進行確認并落實整改。? （八） 每年審閱并向銀監會及其派出機構報送信息科技風險管理的年度報告。? （九） 確保信息科技風險管理工作所需資金。? （十） 確保銀行所有員工充分理解和遵守經其批準的信息科技風險管理制度和流程，并安排相關培訓。? （十一） 確保本法人機構涉及客戶信息、賬務信息以及產品信息等的核心系統在中國境內獨立運行，并保持最高的管理權限，符合銀監會監管和實施現場檢查的要求，防范跨境風險。? （十二） 及時向銀監會及其派出機構報告本機構發生的重大信息科技事故或突發事件，按相關預案快速響應。? （十三） 配合銀監會及其派出機構做好信息科技風險監督檢查工作，并按照監管意見進行整改。? （十四） 履行信息科技風險管理其他相關工作。? 第八條 商業銀行應設立首席信息官，直接向行長匯報，并參與決策。首席信息官的職責包括：? （一） 直接參與本銀行與信息科技運用有關的業務發展決策。? （二） 確保信息科技戰略，尤其是信息系統開發戰略，符合本銀行的總體業務戰略和信息科技風險管理策略。? （三） 負責建立一個切實有效的信息科技部門，承擔本銀行的信息科技職責。確保其履行：信息科技預算和支出、信息科技策略、標準和流程、信息科技內部控制、專業化研發、信息科技項目發起和管理、信息系統和信息科技基礎設施的運行、維護和升級、信息安全管理、災難恢復計劃、信息科技外包和信息系統退出等職責。? （四） 確保信息科技風險管理的有效性，并使有關管理措施落實到相關的每一個內設機構和分支機構。? （五） 組織專業培訓，提高人才隊伍的專業技能。? （六） 履行信息科技風險管理其他相關工作。? 第九條 商業銀行應對信息科技部門內部管理職責進行明確的界定；各崗位的人員應具有相應的專業知識和技能，重要崗位應制定詳細完整的工作手冊并適時更新。對相關人員應采取下列風險防范措施：? （一） 驗證個人信息，包括核驗有效身份證件、學歷證明、工作經歷和專業資格證書等信息。? （二） 審核信息科技員工的道德品行，確保其具備相應的職業操守。? （三） 確保員工了解、遵守信息科技策略、指導原則、信息保密、授權使用信息系統、信息科技管理制度和流程等要求，并同員工簽訂相關協議。? （四） 評估關鍵崗位信息科技員工流失帶來的風險，做好安排候補員工和崗位接替計劃等防范措施；在員工崗位發生變化后及時變更相關信息。? 第十條 商業銀行應設立或指派一個特定部門負責信息科技風險管理工作，并直接向首席信息官或首席風險官（風險管理委員會）報告工作。該部門應為信息科技突發事件應急響應小組的成員之一，負責協調制定有關信息科技風險管理策略，尤其是在涉及信息安全、業務連續性計劃和合規性風險等方面，為業務部門和信息科技部門提供建議及相關合規性信息，實施持續信息科技風險評估，跟蹤整改意見的落實，監控信息安全威脅和不合規事件的發生。? 第十一條 商業銀行應在內部審計部門設立專門的信息科技風險審計崗位，負責信息科技審計制度和流程的實施，制訂和執行信息科技審計計劃，對信息科技整個生命周期和重大事件等進行審計。? 第十二條 商業銀行應按照知識產權相關法律法規，制定本機構信息科技知識產權保護策略和制度，并使所有員工充分理解并遵照執行。確保購買和使用合法的軟硬件產品，禁止侵權盜版；采取有效措施保護本機構自主知識產權。? 第十三條 商業銀行應依據有關法律法規的要求，規范和及時披露信息科技風險狀況。?? 第三章 信息科技風險管理?? 第十四條 商業銀行應制定符合銀行總體業務規劃的信息科技戰略、信息科技運行計劃和信息科技風險評估計劃，確保配置足夠人力、財力資源，維持穩定、安全的信息科技環境。? 第十五條 商業銀行應制定全面的信息科技風險管理策略，包括但不限于下述領域：? （一） 信息分級與保護。? （二） 信息系統開發、測試和維護。? （三） 信息科技運行和維護。? （四） 訪問控制。? （五） 物理安全。? （六） 人員安全。? （七） 業務連續性計劃與應急處置。? 第十六條 商業銀行應制定持續的風險識別和評估流程，確定信息科技中存在隱患的區域，評價風險對其業務的潛在影響，對風險進行排序，并確定風險防范措施及所需資源的優先級別（包括外包供應商、產品供應商和服務商）。? 第十七條 商業銀行應依據信息科技風險管理策略和風險評估結果，實施全面的風險防范措施。防范措施應包括：? （一） 制定明確的信息科技風險管理制度、技術標準和操作規程等，定期進行更新和公示。? （二） 確定潛在風險區域，并對這些區域進行詳細和獨立的監控，實現風險最小化。建立適當的控制框架，以便于檢查和平衡風險；定義每個業務級別的控制內容，包括：? 1. 最高權限用戶的審查。? 2. 控制對數據和系統的物理和邏輯訪問。? 3. 訪問授權以“必需知道”和“最小授權”為原則。? 4. 審批和授權。? 5. 驗證和調節。? 第十八條 商業銀行應建立持續的信息科技風險計量和監測機制，其中應包括：? （一） 建立信息科技項目實施前及實施后的評價機制。? （二） 建立定期檢查系統性能的程序和標準。? （三） 建立信息科技服務投訴和事故處理的報告機制。? （四） 建立內部審計、外部審計和監管發現問題的整改處理機制。? （五） 安排供應商和業務部門對服務水平協議的完成情況進行定期審查。? （六） 定期評估新技術發展可能造成的影響和已使用軟件面臨的新威脅。? （七） 定期進行運行環境下操作風險和管理控制的檢查。? （八） 定期進行信息科技外包項目的風險狀況評價。? 第十九條 中資商業銀行在境外設立的機構及境內的外資商業銀行，應當遵守境內外監管機構關于信息科技風險管理的要求，并防范因監管差異所造成的風險。?? 第四章 信息安全?? 第二十條 商業銀行信息科技部門負責建立和實施信息分類和保護體系，商業銀行應使所有員工都了解信息安全的重要性，并組織提供必要的培訓，讓員工充分了解其職責范圍內的信息保護流程。 第二十一條 商業銀行信息科技部門應落實信息安全管理職能。該職能應包括建立信息安全計劃和保持長效的管理機制，提高全體員工信息安全意識，就安全問題向其他部門提供建議，并定期向信息科技管理委員會提交本銀行信息安全評估報告。信息安全管理機制應包括信息安全標準、策略、實施計劃和持續維護計劃。? 信息安全策略應涉及以下領域：? （一） 安全制度管理。? （二） 信息安全組織管理。? （三） 資產管理。? （四） 人員安全管理。? （五） 物理與環境安全管理。? （六） 通信與運營管理。? （七） 訪問控制管理。? （八） 系統開發與維護管理。? （九） 信息安全事故管理。? （十） 業務連續性管理。? （十一） 合規性管理。? 第二十二條 商業銀行應建立有效管理用戶認證和訪問控制的流程。用戶對數據和系統的訪問必須選擇與信息訪問級別相匹配的認證機制，并且確保其在信息系統內的活動只限于相關業務能合法開展所要求的最低限度。用戶調動到新的工作崗位或離開商業銀行時，應在系統中及時檢查、更新或注銷用戶身份。? 第二十三條 商業銀行應確保設立物理安全保護區域，包括計算機中心或數據中心、存儲機密信息或放置網絡設備等重要信息科技設備的區域，明確相應的職責，采取必要的預防、檢測和恢復控制措施。? 第二十四條 商業銀行應根據信息安全級別，將網絡劃分為不同的邏輯安全域（以下簡稱為域）。應該對下列安全因素進行評估，并根據安全級別定義和評估結果實施有效的安全控制，如對每個域和整個網絡進行物理或邏輯分區、實現網絡內容過濾、邏輯訪問控制、傳輸加密、網絡監控、記錄活動日志等。? （一） 域內應用程序和用戶組的重要程度。? （二） 各種通訊渠道進入域的訪問點。? （三） 域內配置的網絡設備和應用程序使用的網絡協議和端口。?