银行业金融机构信息系统风险管理指引

银行业金融机构信息系统风险管理指引 第一章 总 则 第一条第一条 为有效防范银行业金融机构运用信息系统进行业务处理、经营管理和内部 控制过程中产生的风险，促进我国银行业安全、持续、稳健运行，根据《中华人民共和国 银行业监督管理法》、国家信息安全相关要求和信息系统管理的有关法律法规，制定本指引。 第二条第二条 本指引适用于银行业金融机构。 本指引所称银行业金融机构，是指在中华人民共和国境内设立的商业银行、城市信用合作社、 农村合作银行、农村信用合作社等吸收公众存款的金融机构以及政策性银行。 在中华人民共和国境内设立的金融资产管理公司、信托投资公司、财务公司、金融租赁公司、 汽车金融公司以及经中国银行业监督管理委员会（以下简称银监会）及其派出机构批准设立 的其他金融机构，适用本指引规定。 第三条第三条 本指引所称信息系统，是指银行业金融机构运用现代信息、通信技术集成 的处理业务、经营管理和内部控制的系统。 第四条第四条 本指引所称信息系统风险，是指信息系统在规划、研发、建设、运行、维 护、监控及退出过程中由于技术和管理缺陷产生的操作、法律和声誉等风险。 第五条第五条 信息系统风险管理的目标是通过建立有效的机制，实现对信息系统风险的 识别、计量、评价、预警和控制，推动银行业金融机构业务创新，提高信息化水平，增强核 心竞争力和可持续发展能力。 第二章 机构职责 第六条第六条 银行业金融机构应建立有效的信息系统风险管理架构，完善内部组织结构 和工作机制，防范和控制信息系统风险。 第七条第七条 银行业金融机构应认真履行下列信息系统管理职责： （一）贯彻执行国家有关信息系统管理的法律、法规和技术标准，落实银监会相关监管要求； （二）建立有效的信息安全保障体系和内部控制规程，明确信息系统风险管理岗位责任制度， 并监督落实； （三）负责组织对本机构信息系统风险进行检查、评估、分析，及时向本机构专门委员会和 银监会及其派出机构报送相关的管理信息； （四）及时向银监会及其派出机构报告本机构发生的重大信息系统事故或突发事件，并按有 关预案快速响应； （五）每年经董事会或其他决策机构审查后向银监会及其派出机构报送信息系统风险管理的 年度报告； （六）做好本机构信息系统审计工作； （七）配合银监会及其派出机构做好信息系统风险监督检查工作，并按照监管意见进行整改； （八）组织本机构信息系统从业人员进行信息系统有关的业务、技术和安全培训； （九）开展与信息系统风险管理相关的其他工作。 第八条第八条 银行业金融机构的董事会或其他决策机构负责信息系统的战略规划、重大 项目和风险监督管理；信息科技管理委员会、风险管理委员会或其他负责风险监督的专业委 员会应制定信息系统总体策略，统筹信息系统项目建设，定期评估、报告本机构信息系统风 险状况，为决策层提供建议，采取相应的风险控制措施。 第九条第九条 银行业金融机构法定代表人或主要负责人是本机构信息系统风险管理责任 人。 第十条第十条 银行业金融机构应设立信息科技部门，统一负责本机构信息系统的规划、 研发、建设、运行、维护和监控，提供日常科技服务和运行技术支持；建立或明确专门信息 系统风险管理部门，建立、健全信息系统风险管理规章、制度，并协助业务部门及信息科技 部门严格执行，提供相关的监管信息；设立审计部门或专门审计岗位，建立健全信息系统风 险审计制度，配备适量的合格人员进行信息系统风险审计。 第十一条第十一条 银行业金融机构从事与信息系统相关工作的人员应符合以下要求： （一）具备良好的职业道德，掌握履行信息系统相关岗位职责所需的专业知识和技能； （二）未经岗前培训或培训不合格者不得上岗；经考核不适宜的工作人员，应及时进行调整。 第十二条第十二条 银行业金融机构应加强信息系统风险管理的专业队伍建设，建立人才 激励机制，适应信息技术的发展。 第十三条第十三条 银行业金融机构应依据有关法律法规及时和规范地披露信息系统风险 状况。 第三章 总体风险控制 第十四条第十四条 总体风险是指信息系统在策略、制度、机房、软件、硬件、网络、数 据、文档等方面影响全局或共有的风险。 第十五条第十五条 银行业金融机构应根据信息系统总体规划，制定明确、持续的风险管 理策略，按照信息系统的敏感程度对各个集成要素进行分析和评估，并实施有效控制。 第十六条第十六条 银行业金融机构应采取措施防范自然灾害、运行环境变化等产生的安 全威胁，防止各类突发事故和恶意攻击。 第十七条第十七条 银行业金融机构应建立健全信息系统相关的规章制度、技术规范、操 作规程等；明确与信息系统相关人员的职责权限，建立制约机制，实行最小授权。 第十八条第十八条 在境外设立的我国银行业金融机构或在境内设立的境外银行业金融机 构，应防范由于境内外信息系统监管制度差异等造成的跨境风险。 第十九条第十九条 银行业金融机构应严格执行国家信息安全相关标准，参照有关国际准 则，积极推进信息安全标准化，实行信息安全等级保护。 第二十条第二十条 银行业金融机构应加强对信息系统的评估和测试，及时进行修补和更 新，以保证信息系统的安全性、完整性。 第二十一条第二十一条 银行业金融机构信息系统数据中心机房应符合国家有关计算机场 地、环境、供配电等技术标准。全国性数据中心至少应达到国家A类机房标准，省域数据中 心至少应达到国家 B类机房标准，省域以下数据中心至少应达到C类机房标准。数据中心机 房应实行严格的门禁管理措施，未经授权不得进入。 第二十二条第二十二条 银行业金融机构应重视知识产权保护，使用正版软件，加强软件 版本管理，优先使用具有中国自主知识产权的软、硬件产品；积极研发具有自主知识产权的 信息系统和相关金融产品，并采取有效措施保护本机构信息化成果。 第二十三条第二十三条 银行业金融机构与信息系统相关的电子设备的选型、购置、登记、 保养、维修、报废等应严格执行相关规程，选用的设备应经过技术论证，测试性能应符合国 家有关标准。信息系统所用的服务器等关键设备应具有较高的可靠性、充足的容量和一定的 容错特性，并配置适当的备品备件。 第二十四条第二十四条 信息系统的网络应参照相关的标准和规范设计、建设；网络设备 应兼备技术先进性和产品成熟性；网络设备和线路应有冗余备份；严格线路租用合同管理， 按照业务和交易流量要求保证传输带宽；建立完善的网管中心，监测和管理通信线路及网络 设备，保障网络安全稳定运行。 第二十五条第二十五条 银行业金融机构应加强网络安全管理。生产网络与开发测试网络、 业务网络与办公网络、内部网络与外部网络应实施隔离；加强无线网、互联网接入边界控制； 使用内容过滤、身份认证、防火墙、病毒防范、入侵检测、漏洞扫描、数据加密等技术手段， 有效降低外部攻击、信息泄漏等风险。 第二十六条第二十六条 银行业金融机构应加强信息系统加密机、密钥、密码、加解密程 序等安全要素的管理，使用符合国家安全标准的密码设备，完善安全要素生成、领取、使用、 修改、保管和销毁等环节管理制度。密钥、密码应定期更改。 第二十七条第二十七条 银行业金融机构应加强数据采集、存贮、传输、使用、备份、恢 复、抽检、清理、销毁等环节的有效管理，不得脱离系统采集加工、传输、存取数据；优化 系统和数