商业银行信息科技风险现场检查指南

中国银行业监督管理委员会关于印发《商业银行信息科技风险管理指引》的通知文章属性•【制定机关】中国银行业监督管理委员会(已撤销)•【公布日期】2009.03.03•【文号】银监发[2009]19号•【施行日期】2009.03.03•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】银行业监督管理正文中国银行业监督管理委员会关于印发《商业银行信息科技风险管理指引》的通知（银监发[2009]19号）各银监局，各政策性银行、国有商业银行、股份制商业银行、金融资产管理公司，邮政储蓄银行，各省级农村信用联社，银监会直接监管的信托公司、财务公司、金融租赁公司，中央国债登记结算公司：现将《商业银行信息科技风险管理指引》印发给你们，请认真执行。

请各银监局将本通知转发至辖内各银行业金融机构（含外资银行）。

中国银行业监督管理委员会二00九年三月三日商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。

政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行、政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引贯彻落实。

第七条商业银行的董事会应履行以下信息科技管理职责：(一)遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会(以下简称银监会)相关监管要求。

(二)审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。

评估信息科技及其风险管理工作的总体效果和效率。

(三)掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。

(四)规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。

(五)设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。

信息科技现场检查指南为了规范和指导信息科技现场检查工作，提高信息科技现场检查的水平，确保信息科技现场检查的质量，特制定本指南。

一、检查目的(一)了解和掌握银行业金融机构信息科技管理组织体系、工作制和科技制度建设情况，以及从业人员有关业务、技术和安全培训情况，评价其信息科技管理组织水平；(二)了解和掌握银行业金融机构信息安全保障体系和内部控制规程，信息科技风险管理岗位责任制度和监督落实情况，评价其计算机安全管理水平；(三)了解和掌握银行业金融机构信息科技在研发过程中项目管理和变更管理情况，关注规划、需求、分析、设计、编程、测试和投产以及外包等产生风险的环节，评价其管理水平；(四)了解和掌握银行业金融机构信息科技在信息科技运行和操作制度建设和执行情况，促进银行业金融机构完善内控环境，控制和化解操作风险；(五)了解和掌握银行业金融机构信息科技在业务持续性计划方面制度建设和执行情况，促进银行业金融机构信息科技信息科技风险管理涵盖管理、维护的每个环节。

二、检查要点(一)检查信息科技风险管理架构、内部组织结构和工作机制、岗位职责和制度的完善性和有效性，评估信息科技规划和管理的水平，了解信息科技人才管理机制，分析业务、技术和安全培训工作的及时性和有效性，确保合理及时地防范和控制信息科技组织、规划风险。

(二)检查信息安全管理的流程情况，分析相关系统用户管理制度、密码管理制度及网络安全制度，测试系统所涉及操作系统和数据库及防火墙等安全设施的安全性，评估被检查银行是否采取有效安全的保护措施保障信息的保密性、完整性和可用性。

(三)检查分析软件及项目开发管理制度，了解信息科技部门档案管理流程，审阅外包项目涉及的软件质量验收标准，检查银行业金融机构信息科技风险管理效率及水平，评估系统开发的流程、质量及安全的管理情况。

(四)检查信息科技运行和操作管理情况，检查系统监控层面的处理流程及各类系统参数、生产环境变更的受控方式，评估系统运行和操作管理的风险状况，促进运行操作管理的科学化、制度化和规范化，确保信息科技安全可靠的运行。

商业银行信息科技风险现场检查指南目录第一部分概述 (21)1. 指南说明 (22)1.1 目的及适用范围 (22)1.2 编写原则 (23)1.3 指南框架 (24)第二部分科技管理 (26)2. 信息科技治理 (27)2.1 董事会及高级管理层 (27)检查项1 ：董事会 (27)检查项2 ：信息科技管理委员会 (28)检查项3 ：首席信息官（CIO） (29)2.2 信息科技部门 (30)检查项1 ：信息科技部门 (30)检查项2 ：信息科技战略规划 (32)2.3 信息科技风险管理部门 (33)检查项1 ：信息科技风险管理部门 (33)2.4 信息科技风险审计部门 (34)检查项1 ：信息科技风险审计部门 (34)2.5 知识产权保护和信息披露 (35)检查项1 ：知识产权保护 (35)检查项2 ：信息披露 (35)3. 信息科技风险管理 (37)3.1 风险识别和评估 (37)检查项1 ：风险管理策略 (37)检查项2 ：风险识别与评估 (38)3.2 风险防范和检测 (38)检查项1 ：风险防范措施 (38)检查项2 ：风险计量与检测 (39)4. 信息安全管理 (41)4.1 安全管理机制与管理组织 (41)检查项1：信息分类和保护体系 (41)检查项2：安全管理机制 (42)检查项3：信息安全策略 (43)检查项4：信息安全组织 (43)4.2 安全管理制度 (44)检查项1：规章制度 (44)检查项2：制度合规 (45)检查项3：制度执行 (46)4.3 人员管理 (47)检查项1：人员管理 (47)4.4 安全评估报告 (48)检查项1：安全评估报告 (48)4.5 宣传、教育和培训 (48)检查项1：宣传、教育和培训 (48)5.系统开发、测试与维护 (50)5.1开发管理 (50)检查项1：管理架构 (50)检查项2：制度建设 (52)检查项3：项目控制体系 (53)检查项4：系统开发的操作风险 (54)检查项5：数据继承和迁移 (55)5.2系统测试与上线 (56)检查项1：系统测试 (56)检查项2：系统验收 (58)检查项3：投产上线 (58)5.3系统下线 (59)检查项1：系统下线 (59)6. 系统运行管理 (61)6.1 日常管理 (61)检查项1：职责分离 (61)检查项2：值班制度 (62)检查项3：操作管理 (62)检查项4：人员管理 (63)6.2 访问控制策略 (64)检查项1：物理访问控制策略 (64)检查项2：逻辑访问控制策略 (65)检查项3：账号及权限管理 (66)检查项4：用户责任及终端管理 (67)检查项5：远程接入的控制 (68)6.3 日志管理 (69)检查项1：审计日志检查 (69)检查项2：日志信息的保护 (69)检查项3：操作日志的检查 (70)检查项4：错误日志的检查 (70)6.4系统监控 (71)检查项1：基础环境监控 (71)检查项2：系统性能监控 (71)检查项3：系统运行监控 (72)检查项4：测评体系 (73)6.5 事件管理 (74)检查项1：事件报告流程 (74)检查项2：事件管理和改进 (75)检查项3：服务台管理 (76)6.6问题管理 (76)检查项1：事件分析和问题生成 (77)检查项2：台账管理 (77)检查项3：问题处置 (77)6.7 容量管理 (78)检查项1：容量规划 (78)检查项2：容量监测 (79)检查项3：容量变更 (79)6.8 变更管理 (80)检查项1：变更的流程 (81)检查项2：变更的评估 (81)检查项3：变更的授权 (82)检查项4：变更的执行 (82)检查项5：紧急变更 (83)检查项6：重大变更 (83)7. 业务连续性管理 (85)7.1 业务连续性管理组织 (86)检查项1：董事会及高管层的职责 (86)检查项2：业务连续性管理组织的建立 (87)检查项3：业务连续性管理组织职责 (88)7.2 IT服务连续性管理 (89)检查项1：IT服务连续性计划的组织保障 (89)检查项2：风险评估及业务影响分析 (90)检查项3：IT服务连续性计划的制定 (90)检查项4：IT服务连续性计划的测试与维护 (91)检查项5：IT服务连续性计划审计 (92)检查项6：IT服务连续性相关领域的控制 (93)8. 应急管理 (94)8.1 应急组织 (94)检查项1：应急管理团队 (94)检查项2：应急管理职责 (95)检查项3：应急管理制度 (95)8.2 应急预案 (96)检查项1：应急预案制订 (96)检查项2：应急预案内容 (96)检查项3：应急预案更新 (98)检查项4：外包服务应急 (98)检查项5：应急预案培训 (99)8.3 应急保障 (99)检查项1：人员保障 (99)检查项2：物质保障 (99)检查项3：技术保障 (100)检查项4：沟通保障 (100)8.4 应急演练 (101)检查项1：应急演练的计划 (101)检查项2：应急演练的实施 (101)检查项3：应急演练的总结 (102)8.5 应急响应 (103)检查项1：应急响应流程 (103)检查项2：全程记录处置过程 (103)检查项3：应急事件报告 (104)检查项4：与第三方沟通 (104)检查项5：向新闻媒体通报制度 (105)检查项6：应急处置总结 (105)8.6 持续改进 (106)检查项1：应急事件评估 (106)检查项2：应急响应评估 (106)检查项3：应急管理改进 (107)9. 灾难恢复管理 (108)9.1 灾难恢复组织架构 (108)检查项1：灾难恢复相关组织架构 (108)9.2 灾难恢复策略 (110)检查项1：总体控制 (110)检查项2：灾难恢复策略 (110)检查项3：灾难备份策略 (112)检查项4：外包风险 (113)9.3 灾难恢复预案 (114)检查项1：灾难恢复预案 (114)检查项2：联络与通讯 (115)检查项3：教育、培训和演练 (116)9.4评估和维护更新 (116)检查项1：灾备策略的评估和维护更新 (116)检查项2：灾难恢复预案的评估和维护更新 (117)10. 数据管理 (118)10.1 数据管理制度和岗位 (118)检查项1: 数据管理制度 (118)检查项2 ：数据管理岗位 (119)10.2 数据备份、恢复策略 (119)检查项1：数据备份、转储策略 (119)检查项2：数据恢复、抽检策略 (120)10.3数据存储介质管理 (121)检查项1：介质管理 (121)检查项2：介质的清理和销毁 (122)11. 外包管理 (123)11.1外包管理制度 (123)检查项1：外包管理制度 (123)检查项2：外包审批流程 (123)检查项3：外包协议 (124)检查项4：服务水平协议 (124)检查项5：外包安全保密措施 (125)检查项6：外包文档管理 (125)11.2外包评估和监督 (126)检查项1：外包服务商的评估 (126)检查项2：外包项目的监督管理 (126)12. 内部审计 (128)12.1 内部审计管理 (128)检查项1：内部审计部门、岗位、人员和职责 (128)检查项2：内部审计制度和办法 (128)12.2 内部审计要求 (129)检查项1：内部审计范围和频率 (129)检查项2：内部审计结果的有效性 (129)13. 外部审计 (131)13.1 外部审计资质 (131)检查项1：外部审计机构的资质 (131)13.2 外部审计要求 (131)检查项1：商业银行配合外部审计情况 (131)检查项2：外部审计有效性 (132)检查项3：外审过程中的保密要求 (132)第三部分基础设施 (134)14. 计算机机房 (135)14.1计算机机房建设 (135)检查项1：计算机机房选址 (135)检查项2：机房功能分区 (136)检查项3：计算机机房基础设施建设 (136)检查项4：计算机机房的环境要求 (139)检查项5：计算机机房日常维护 (140)14.2计算机机房管理 (141)检查项1：计算机机房安全管理 (141)检查项2：计算机机房集中监控系统 (142)检查项3：计算机机房安全区域访问控制 (143)检查项4：计算机机房运行管理 (144)14.3机房设备管理 (145)检查项1：机房设备的环境安全 (145)15. 网络通讯 (146)15.1 内控管理 (146)检查项1：内控制度 (146)检查项2：人员管理 (147)检查项3：访问控制 (147)检查项4：日志管理 (148)检查项5：第三方管理 (149)检查项6：服务外包 (150)检查项7：文档管理 (150)检查项8：风险评估 (151)15.2 网络运行维护 (152)检查项1：运行监控 (152)检查项2：性能监控 (152)检查项3：流量监控 (153)检查项4：监控预警 (153)检查项5：性能调优 (153)检查项6：事件管理 (154)检查项7：运行检查 (154)15.3 网络变更管理 (155)检查项1：变更发起 (155)检查项2：变更计划 (156)检查项3：变更测试 (156)检查项4：变更审批 (156)检查项5：变更实施 (157)15.4 网络服务可用性 (158)检查项1：容量管理 (158)检查项2：冗余管理 (158)检查项3：带外管理 (159)检查项4：压力测试 (160)检查项5：应急管理 (160)15.5 网络安全技术 (160)检查项1：结构安全 (160)检查项2：物理安全 (162)检查项3：传输安全 (162)检查项4：访问控制 (163)检查项5：接入安全 (164)检查项6：网络边界安全 (165)检查项7：入侵检测防范 (166)检查项8：恶意代码防范 (167)检查项9：网络设备防护 (167)检查项10：网络安全测试 (169)检查项11：安全审计日志 (170)检查项12：安全检查 (171)16. 操作系统 (172)16.1账号及密码管理 (172)检查项1：管理制度 (172)检查项2：账号、密码管理 (172)检查项3：账号、密码管理检查 (174)16.2系统访问控制 (174)检查项1：访问控制策略 (174)检查项2：用户登录行为管理 (175)检查项3：登录失败日志管理 (175)检查项4：最小化访问 (176)16.3远程接入管理 (177)检查项1：远程管理制度 (177)检查项2：远程维护管理 (178)检查项3：远程维护审查 (178)16.4日常维护 (179)检查项1：系统性能监控 (179)检查项2：补丁及漏洞管理 (179)检查项3：日常维护管理 (180)检查项4：系统备份和故障恢复 (181)检查项5：病毒及恶意代码管理 (181)检查项6：定时进程设置管理 (182)检查项7：系统审计功能 (182)17. 数据库管理系统 (184)17.1访问控制 (184)检查项1：身份认证 (184)检查项2：授权控制 (185)检查项3：远程访问 (186)检查项4：安全参数设置 (187)17.2日常管理 (187)检查项1：数据安全 (187)检查项2：审计功能 (188)检查项3：性能管理 (189)检查项4：补丁升级 (190)17.3连续性管理 (190)检查项1：备份和恢复 (190)检查项2：连续性和应急管理 (191)18. 第三方中间件 (193)18.1 产品管理 (193)检查项1：中间件测试 (193)检查项2：中间件管理 (193)检查项3：中间件与业务系统架构 (194)18.2 运行管理 (194)检查项1：维护流程和操作手册 (194)检查项2：中间件配置管理 (194)检查项3：中间件日志管理的程序 (195)检查项4：中间件的性能监控 (195)检查项5：中间件产生的事件和问题管理 (196)检查项6：中间件的变更 (196)检查项7：单点故障问题和负载均衡 (196)检查项8：压力测试 (197)第四部分应用系统 (198)19. 应用系统 (199)19.1 应用系统管理 (199)检查项1：业务管理办法与操作流程 (199)检查项2：重要应用系统评估 (199)检查项3：应用系统版本管理 (200)检查项4：应用系统培训教育 (201)19.2 应用系统操作 (201)检查项1：终端用户管理 (201)检查项2：访问控制与授权管理 (202)检查项3：数据保密处理 (203)检查项4：数据完整性处理 (204)检查项5：数据准确性处理 (204)检查项6：日志管理机制 (205)检查项7：备份、恢复机制 (206)检查项8：文档资料管理 (207)检查项9：内部审计的参与 (208)20. 电子银行 (209)20.1 电子银行业务合规性 (209)检查项1：电子银行业务合规性 (209)20.2 电子银行风险管理体系 (210)检查项1：电子银行风险管理体系 (210)20.3 电子银行安全管理 (211)检查项1：电子银行安全策略管理 (211)检查项2：电子银行安全措施 (212)检查项3：电子银行安全监控 (213)检查项4：电子银行安全评估 (213)20.4 电子银行可用性管理 (214)检查项1：电子银行基础设施 (214)检查项2：电子银行性能监测和评估 (215)20.5 电子银行应急管理 (215)检查项1：电子银行应急预案 (215)检查项2：电子银行应急演练 (216)21. 银行卡系统 (217)21.1 银行卡系统管理 (217)检查项1：银行卡系统容量的合理规划 (217)检查项2：银行卡系统物理设备风险和故障处理 (218)检查项3：银行卡交易监控 (218)检查项4：账户密码和交易数据的存储和传输 (219)检查项5：银行卡系统应急预案 (220)21.2 终端设备 (221)检查项1：自助银行机具和安装环境的物理安全 (221)检查项2：自助银行机具的通信安全 (221)检查项3：自助银行机具的安全装置 (222)检查项4：自助银行业务操作流程（机具软件） (222)检查项5：自助银行机具的巡查维护 (223)检查项6：POS机 (223)21.3 自助银行监控 (224)检查项1：自助银行设备日常运行的监控情况 (224)检查项2：监控中心和监控设备 (224)检查项3：自助银行监控发现问题的处置情况 (225)检查项4：自助银行设施安全评估（信息科技方面） (225)22. 第三方存管系统 (226)22.1 管理架构和职责 (226)检查项1：管理架构与岗位职责分工 (226)22.2 系统功能 (226)检查项1：系统功能 (226)22.3 系统一般安全与账户处理 (227)检查项1：账户冲正处理 (227)检查项2：网络访问控制与病毒防范 (227)22.4 数据交换 (228)检查项1：数据交换安全性 (228)22.5 运行维护 (229)检查项1：运行维护安全性 (229)22.6 系统备份 (229)检查项1：系统备份安全性 (229)22.7 应急恢复与事故处理 (230)检查项1：应急恢复与事故处理流程 (230)22.8 系统测试 (230)检查项1：系统测试 (230)22.9 临时派出柜台 (231)检查项1：系统派出柜台安全性 (231)附录 (232)23. 常用检查方法 (233)23.1 问卷与函证 (233)23.2 访谈 (234)23.3 查阅 (235)23.4 观察 (236)23.5 测试 (236)26.6 分析性复核 (239)26.7 评审 (240)24. 主要网络设备常用操作 (241)24.1 Cisco设备常用操作 (241)交换机 (241)路由器 (242)防火墙 (243)24.2 H3C设备常用操作 (244)交换机 (244)路由器 (246)防火墙 (247)25. 主要操作系统常用操作 (249)25.1 AIX系统检查常用操作 (249)25.2 HP/UX系统检查常用操作 (264)25.3 Solaris系统检查常用操作 (270)25.4 Windows系统检查常用操作 (272)26. 主要数据库管理系统常用操作 (282)26.1 DB2 系统检查常用操作 (282)26.2 Sybase 系统检查常用操作 (283)26.3 Oracle 系统检查常用操作 (284)26.4 Informix 系统检查常用操作 (286)26.5 SQL SERVER系统检查常用操作 (289)第一部分概述1. 指南说明1.1 目的及适用范围信息科技与银行业务高度融合，已成为银行业金融机构提高运营效率、实现经营战略和加快金融创新的重要手段。

商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理,根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行、政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用,并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中,由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险.第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力.第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引贯彻落实。

第七条商业银行的董事会应履行以下信息科技管理职责：（一)遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准,落实中国银行业监督管理委员会(以下简称银监会）相关监管要求。

（二)审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。

评估信息科技及其风险管理工作的总体效果和效率。

(三）掌握主要的信息科技风险，确定可接受的风险级别,确保相关风险能够被识别、计量、监测和控制.(四）规范职业道德行为和廉洁标准,增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。

(五)设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。

商业银行信息科技风险现场检查指南商业银行信息科技风险现场检查指南商业银行信息科技风险现场检查指南目录第一部分概述 (21)1. 指南说明 (22)1.1 目的及适用范围 (22)1.2 编写原则 (23)1.3 指南框架 (24)第二部分科技管理 (26)2. 信息科技治理 (27)2.1 董事会及高级管理层 (27)检查项1 ：董事会 (27)检查项2 ：信息科技管理委员会 (28)检查项3 ：首席信息官（CIO） (29)2.2 信息科技部门 (30)检查项1 ：信息科技部门 (30)检查项2 ：信息科技战略规划 (32)2.3 信息科技风险管理部门 (33)检查项1 ：信息科技风险管理部门 (33)2.4 信息科技风险审计部门 (34)检查项1 ：信息科技风险审计部门 (34)2.5 知识产权保护和信息披露 (35)检查项1 ：知识产权保护 (35)检查项2 ：信息披露 (35)3. 信息科技风险管理 (37)3.1 风险识别和评估 (37)检查项1 ：风险管理策略 (37)检查项2 ：风险识别与评估 (38)3.2 风险防范和检测 (38)检查项1 ：风险防范措施 (38)检查项2 ：风险计量与检测 (39) 4. 信息安全管理 (41)4.1 安全管理机制与管理组织 (41) 检查项1：信息分类和保护体系 (41) 检查项2：安全管理机制 (42)检查项3：信息安全策略 (43)检查项4：信息安全组织 (43)4.2 安全管理制度 (44)检查项1：规章制度 (44)检查项2：制度合规 (45)检查项3：制度执行 (46)4.3 人员管理 (47)检查项1：人员管理 (47)4.4 安全评估报告 (48)检查项1：安全评估报告 (48)4.5 宣传、教育和培训 (48)检查项1：宣传、教育和培训 (48) 5.系统开发、测试与维护 (50)5.1开发管理 (50)检查项1：管理架构 (50)检查项2：制度建设 (52)检查项3：项目控制体系 (53)检查项4：系统开发的操作风险 (54) 检查项5：数据继承和迁移 (55) 5.2系统测试与上线 (56)检查项1：系统测试 (56)检查项2：系统验收 (58)检查项3：投产上线 (58)5.3系统下线 (59)检查项1：系统下线 (59)6. 系统运行管理 (61)6.1 日常管理 (61)检查项1：职责分离 (61)检查项2：值班制度 (62)检查项3：操作管理 (62)检查项4：人员管理 (63)6.2 访问控制策略 (64)检查项1：物理访问控制策略 (64) 检查项2：逻辑访问控制策略 (65) 检查项3：账号及权限管理 (66)检查项4：用户责任及终端管理 (67) 检查项5：远程接入的控制 (68) 6.3 日志管理 (69)检查项1：审计日志检查 (69)检查项2：日志信息的保护 (69)检查项3：操作日志的检查 (70)检查项4：错误日志的检查 (70) 6.4系统监控 (71)检查项1：基础环境监控 (71)检查项2：系统性能监控 (71)检查项3：系统运行监控 (72)检查项4：测评体系 (73)6.5 事件管理 (74)检查项1：事件报告流程 (74)检查项2：事件管理和改进 (75)检查项3：服务台管理 (76)6.6问题管理 (76)检查项1：事件分析和问题生成 (77)检查项2：台账管理 (77)检查项3：问题处置 (77)6.7 容量管理 (78)检查项1：容量规划 (78)检查项2：容量监测 (79)检查项3：容量变更 (79)6.8 变更管理 (80)检查项1：变更的流程 (81)检查项2：变更的评估 (81)检查项3：变更的授权 (82)检查项4：变更的执行 (82)检查项5：紧急变更 (83)检查项6：重大变更 (83)7. 业务连续性管理 (85)7.1 业务连续性管理组织 (86)检查项1：董事会及高管层的职责 (86)检查项2：业务连续性管理组织的建立 (87)检查项3：业务连续性管理组织职责 (88)7.2 IT服务连续性管理 (89)检查项1：IT服务连续性计划的组织保障 (89) 检查项2：风险评估及业务影响分析 (90)检查项3：IT服务连续性计划的制定 (90)检查项4：IT服务连续性计划的测试与维护 (91) 检查项5：IT服务连续性计划审计 (92)检查项6：IT服务连续性相关领域的控制 (93) 8. 应急管理 (94)8.1 应急组织 (94)检查项1：应急管理团队 (94)检查项2：应急管理职责 (95)检查项3：应急管理制度 (95)8.2 应急预案 (96)检查项1：应急预案制订 (96)检查项2：应急预案内容 (96)检查项3：应急预案更新 (98)检查项4：外包服务应急 (98)检查项5：应急预案培训 (99)8.3 应急保障 (99)检查项1：人员保障 (99)检查项2：物质保障 (99)检查项3：技术保障 (100)检查项4：沟通保障 (100)8.4 应急演练 (101)检查项1：应急演练的计划 (101)检查项2：应急演练的实施 (101)检查项3：应急演练的总结 (102)8.5 应急响应 (103)检查项1：应急响应流程 (103)检查项2：全程记录处置过程 (103)检查项3：应急事件报告 (104)检查项4：与第三方沟通 (104)检查项5：向新闻媒体通报制度 (105) 检查项6：应急处置总结 (105)8.6 持续改进 (106)检查项1：应急事件评估 (106)检查项2：应急响应评估 (106)检查项3：应急管理改进 (107)9. 灾难恢复管理 (108)9.1 灾难恢复组织架构 (108)检查项1：灾难恢复相关组织架构 (108) 9.2 灾难恢复策略 (110)检查项1：总体控制 (110)检查项2：灾难恢复策略 (110)检查项3：灾难备份策略 (112)检查项4：外包风险 (113)9.3 灾难恢复预案 (114)检查项1：灾难恢复预案 (114)检查项2：联络与通讯 (115)检查项3：教育、培训和演练 (116)9.4评估和维护更新 (116)检查项1：灾备策略的评估和维护更新 (116)检查项2：灾难恢复预案的评估和维护更新 (117) 10. 数据管理 (118)10.1 数据管理制度和岗位 (118)检查项1: 数据管理制度 (118)检查项2 ：数据管理岗位 (119)10.2 数据备份、恢复策略 (119)检查项1：数据备份、转储策略 (119)检查项2：数据恢复、抽检策略 (120)10.3数据存储介质管理 (121)检查项1：介质管理 (121)检查项2：介质的清理和销毁 (122)11. 外包管理 (123)11.1外包管理制度 (123)检查项1：外包管理制度 (123)检查项2：外包审批流程 (123)检查项3：外包协议 (124)检查项4：服务水平协议 (124)检查项5：外包安全保密措施 (125)检查项6：外包文档管理 (125)11.2外包评估和监督 (126)检查项1：外包服务商的评估 (126)检查项2：外包项目的监督管理 (126)12. 内部审计 (128)12.1 内部审计管理 (128)检查项1：内部审计部门、岗位、人员和职责 (128) 检查项2：内部审计制度和办法 (128)12.2 内部审计要求 (129)检查项1：内部审计范围和频率 (129)检查项2：内部审计结果的有效性 (129)13. 外部审计 (131)13.1 外部审计资质 (131)检查项1：外部审计机构的资质 (131)13.2 外部审计要求 (131)检查项1：商业银行配合外部审计情况 (131)检查项2：外部审计有效性 (132)检查项3：外审过程中的保密要求 (132)第三部分基础设施 (134)14. 计算机机房 (135)。

--------------------------------------------------------------------------------商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。

政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。

第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。

（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。

评估信息科技及其风险管理工作的总体效果和效率。

（三）掌握a主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。

商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。

政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术,在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条信息科技风险管理的目标是通过建立有效的机制,实现对商业银行信息科技风险的识别、计量、监测和控制,促进商业银行安全、持续、稳健运行,推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人,负责组织本指引的贯彻落实。

第七条商业银行的董事会应履行以下信息科技管理职责：（一) 遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。

（二) 审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致.评估信息科技及其风险管理工作的总体效果和效率。

(三）掌握主要的信息科技风险,确定可接受的风险级别,确保相关风险能够被识别、计量、监测和控制。

（四）规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。

（五) 设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。

商业银行信息科技风险现场检查指南目录第一部分概述....................... 错误!未指定书签。

1. 指南说明.......................... 错误!未指定书签。

1.1 目的及适用范围............... 错误!未指定书签。

1.2 编写原则..................... 错误!未指定书签。

1.3 指南框架..................... 错误!未指定书签。

第二部分科技管理................... 错误!未指定书签。

2. 信息科技治理...................... 错误!未指定书签。

2.1 董事会及高级管理层........... 错误!未指定书签。

检查项1 ：董事会 ............ 错误!未指定书签。

检查项2 ：信息科技管理委员会错误!未指定书签。

检查项3 ：首席信息官（） .... 错误!未指定书签。

2.2 信息科技部门................. 错误!未指定书签。

检查项1 ：信息科技部门 ...... 错误!未指定书签。

检查项2 ：信息科技战略规划 .. 错误!未指定书签。

2.3 信息科技风险管理部门......... 错误!未指定书签。

检查项1 ：信息科技风险管理部门错误!未指定书签。

2.4 信息科技风险审计部门......... 错误!未指定书签。

检查项1 ：信息科技风险审计部门错误!未指定书签。

2.5 知识产权保护和信息披露....... 错误!未指定书签。

检查项1 ：知识产权保护 ...... 错误!未指定书签。

检查项2 ：信息披露 .......... 错误!未指定书签。

3. 信息科技风险管理.................. 错误!未指定书签。

3.1 风险识别和评估............... 错误!未指定书签。

检查项1 ：风险管理策略 ...... 错误!未指定书签。

商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。

政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。

第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。

（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。

评估信息科技及其风险管理工作的总体效果和效率。

（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。

（四）规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。

（五）设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。

商业银行信息科技风险现场检查指南一、引言随着信息科技的快速发展，商业银行在业务运营中越来越依赖于信息系统。

信息科技的进步为商业银行提供了便利，但同时也带来了一系列的风险。

为了确保商业银行的信息科技系统安全可靠，提高其风险管理水平，现场检查是必不可少的环节。

本文将基于商业银行信息科技风险现场检查的实践经验，提出一份指南，帮助检查员顺利完成检查任务。

二、信息科技风险管理框架商业银行应建立完善的信息科技风险管理框架，包括明确的组织结构、责任分工、流程和制度。

检查员在现场检查中，应对该框架进行全面的评估和检查。

1.组织结构和责任分工：检查员应查看商业银行的信息科技部门组织结构，并核实是否合理。

同时，要评估各个部门的职责和权限划分是否清晰。

2.流程和制度：检查员应检查商业银行是否建立了科学合理的信息科技风险管理流程和制度。

这些流程和制度应包括风险评估、风险控制、风险监测和风险应对等方面的内容。

三、信息系统安全2.访问控制：检查员应检查商业银行是否建立了完备的访问控制机制，包括身份认证、授权和审计功能。

同时，还需评估银行内部员工和外部用户访问系统的安全措施。

3.网络安全：检查员应评估商业银行的网络安全措施，包括防火墙、入侵检测系统、网络监控等。

要确保这些安全措施能及时发现并阻止网络攻击。

四、数据安全商业银行的数据是其最重要的资产之一，保护数据安全是商业银行信息科技风险管理的关键要素。

现场检查中，检查员应特别关注以下方面：1.数据备份和恢复：检查员应检查商业银行的数据备份和恢复机制。

要评估备份的频率、备份的存储地点、恢复的可行性和有效性等情况。

2.数据加密和传输：检查员应评估商业银行的数据加密和传输机制。

要确保敏感数据在传输过程中得到合理的加密保护，防止数据泄露和篡改。

3.数据安全管理：检查员应评估商业银行的数据安全管理制度，包括数据分类、访问控制、加密和销毁等。

要确保这些制度的有效执行和合规性。

五、风险监测和应对1.事件监测和报告：检查员应检查商业银行的事件监测和报告机制。

商业银行信息科技风险现场检查指南商业银行信息科技风险现场检查指南目录第一部分概述 (33)1. 指南说明 (34)1.1 目的及适用范围 (34)1.2 编写原则 (35)1.3 指南框架 (36)第二部分科技管理 (38)2. 信息科技治理 (39)2.1 董事会及高级管理层 (39)检查项1 ：董事会 (39)检查项2 ：信息科技管理委员会 (40)检查项3 ：首席信息官（CIO） (41)2.2 信息科技部门 (42)检查项1 ：信息科技部门 (42)检查项2 ：信息科技战略规划 (44)2.3 信息科技风险管理部门 (45)检查项1 ：信息科技风险管理部门.452.4 信息科技风险审计部门 (46)检查项1 ：信息科技风险审计部门.462.5 知识产权保护和信息披露 (47)检查项1 ：知识产权保护 (47)检查项2 ：信息披露 (47)3. 信息科技风险管理 (49)3.1 风险识别和评估 (49)检查项1 ：风险管理策略 (49)检查项2 ：风险识别与评估 (50)3.2 风险防范和检测 (50)检查项1 ：风险防范措施 (50)检查项2 ：风险计量与检测 (51)4. 信息安全管理 (53)4.1 安全管理机制与管理组织 (53)检查项1：信息分类和保护体系 (53)检查项2：安全管理机制 (54)检查项3：信息安全策略 (55)检查项4：信息安全组织 (55)4.2 安全管理制度 (56)检查项1：规章制度 (56)检查项2：制度合规 (57)检查项3：制度执行 (58)4.3 人员管理 (59)检查项1：人员管理 (59)4.4 安全评估报告 (60)检查项1：安全评估报告 (60)4.5 宣传、教育和培训 (60)检查项1：宣传、教育和培训 (60)5.系统开发、测试与维护 (62)5.1开发管理 (62)检查项1：管理架构 (62)检查项2：制度建设 (64)检查项3：项目控制体系 (65)检查项4：系统开发的操作风险 (66)检查项5：数据继承和迁移 (67)5.2系统测试与上线 (68)检查项1：系统测试 (68)检查项2：系统验收 (70)检查项3：投产上线 (70)5.3系统下线 (71)检查项1：系统下线 (71)6. 系统运行管理 (73)6.1 日常管理 (73)检查项1：职责分离 (73)检查项2：值班制度 (74)检查项3：操作管理 (74)检查项4：人员管理 (75)6.2 访问控制策略 (76)检查项1：物理访问控制策略 (76)检查项2：逻辑访问控制策略 (77)检查项3：账号及权限管理 (78)检查项4：用户责任及终端管理 (79)检查项5：远程接入的控制 (80)6.3 日志管理 (81)检查项1：审计日志检查 (81)检查项2：日志信息的保护 (81)检查项3：操作日志的检查 (82)检查项4：错误日志的检查 (82)6.4系统监控 (83)检查项1：基础环境监控 (83)检查项2：系统性能监控 (83)检查项3：系统运行监控 (84)检查项4：测评体系 (85)6.5 事件管理 (86)检查项1：事件报告流程 (86)检查项2：事件管理和改进 (87)检查项3：服务台管理 (88)6.6问题管理 (88)检查项1：事件分析和问题生成 (89)检查项2：台账管理 (89)检查项3：问题处置 (89)6.7 容量管理 (90)检查项1：容量规划 (90)检查项2：容量监测 (91)检查项3：容量变更 (91)6.8 变更管理 (92)检查项1：变更的流程 (93)检查项2：变更的评估 (93)检查项3：变更的授权 (94)检查项4：变更的执行 (94)检查项5：紧急变更 (95)检查项6：重大变更 (95)7. 业务连续性管理 (97)7.1 业务连续性管理组织 (98)检查项1：董事会及高管层的职责 (98)检查项2：业务连续性管理组织的建立 (99)检查项3：业务连续性管理组织职责 (100)7.2 IT服务连续性管理 (101)检查项1：IT服务连续性计划的组织保障 (101)检查项2：风险评估及业务影响分析 (102)检查项3：IT服务连续性计划的制定 (102)检查项4：IT服务连续性计划的测试与维护 (103)检查项5：IT服务连续性计划审计 104检查项6：IT服务连续性相关领域的控制 (105)8. 应急管理 (106)8.1 应急组织 (106)检查项1：应急管理团队 (106)检查项2：应急管理职责 (107)检查项3：应急管理制度 (107)8.2 应急预案 (108)检查项1：应急预案制订 (108)检查项2：应急预案内容 (108)检查项3：应急预案更新 (110)检查项4：外包服务应急 (110)检查项5：应急预案培训 (111)8.3 应急保障 (111)检查项1：人员保障 (111)检查项2：物质保障 (111)检查项3：技术保障 (112)检查项4：沟通保障 (112)8.4 应急演练 (113)检查项1：应急演练的计划 (113)检查项2：应急演练的实施 (113)检查项3：应急演练的总结 (114)8.5 应急响应 (115)检查项1：应急响应流程 (115)检查项2：全程记录处置过程 (115)检查项3：应急事件报告 (116)检查项4：与第三方沟通 (116)检查项5：向新闻媒体通报制度 (117)检查项6：应急处置总结 (117)8.6 持续改进 (118)检查项1：应急事件评估 (118)检查项2：应急响应评估 (118)检查项3：应急管理改进 (119)9. 灾难恢复管理 (120)9.1 灾难恢复组织架构 (120)检查项1：灾难恢复相关组织架构.1209.2 灾难恢复策略 (122)检查项1：总体控制 (122)检查项2：灾难恢复策略 (122)检查项3：灾难备份策略 (124)检查项4：外包风险 (125)9.3 灾难恢复预案 (126)检查项1：灾难恢复预案 (126)检查项2：联络与通讯 (127)检查项3：教育、培训和演练 (128)9.4评估和维护更新 (128)检查项1：灾备策略的评估和维护更新 (128)检查项2：灾难恢复预案的评估和维护更新 (129)10. 数据管理 (130)10.1 数据管理制度和岗位 (130)检查项1: 数据管理制度 (130)检查项2 ：数据管理岗位 (131)10.2 数据备份、恢复策略 (131)检查项1：数据备份、转储策略 (131)检查项2：数据恢复、抽检策略 (132)10.3数据存储介质管理 (133)检查项1：介质管理 (133)检查项2：介质的清理和销毁 (134)11. 外包管理 (135)11.1外包管理制度 (135)检查项1：外包管理制度 (135)检查项2：外包审批流程 (135)检查项3：外包协议 (136)检查项4：服务水平协议 (136)检查项5：外包安全保密措施 (137)检查项6：外包文档管理 (137)11.2外包评估和监督 (138)检查项1：外包服务商的评估 (138)检查项2：外包项目的监督管理 (138)12. 内部审计 (140)12.1 内部审计管理 (140)检查项1：内部审计部门、岗位、人员和职责 (140)检查项2：内部审计制度和办法 (140)12.2 内部审计要求 (141)检查项1：内部审计范围和频率 (141)检查项2：内部审计结果的有效性.141 13. 外部审计 (143)13.1 外部审计资质 (143)检查项1：外部审计机构的资质 (143)13.2 外部审计要求 (143)检查项1：商业银行配合外部审计情况 (143)检查项2：外部审计有效性 (144)检查项3：外审过程中的保密要求.144 第三部分基础设施 (146)14. 计算机机房 (147)14.1计算机机房建设 (147)检查项1：计算机机房选址 (147)检查项2：机房功能分区 (148)检查项3：计算机机房基础设施建设 (148)检查项4：计算机机房的环境要求.151检查项5：计算机机房日常维护 (152)14.2计算机机房管理 (153)检查项1：计算机机房安全管理 (153)检查项2：计算机机房集中监控系统 (154)检查项3：计算机机房安全区域访问控制 (155)检查项4：计算机机房运行管理 (156)14.3机房设备管理 (157)检查项1：机房设备的环境安全 (157)15. 网络通讯 (158)15.1 内控管理 (158)检查项1：内控制度 (158)检查项2：人员管理 (159)检查项3：访问控制 (159)检查项4：日志管理 (160)检查项5：第三方管理 (161)检查项6：服务外包 (162)检查项7：文档管理 (162)检查项8：风险评估 (163)15.2 网络运行维护 (164)检查项1：运行监控 (164)检查项2：性能监控 (164)检查项3：流量监控 (165)检查项4：监控预警 (165)检查项5：性能调优 (165)检查项6：事件管理 (166)检查项7：运行检查 (166)15.3 网络变更管理 (167)检查项1：变更发起 (167)检查项2：变更计划 (168)检查项3：变更测试 (168)检查项4：变更审批 (168)检查项5：变更实施 (169)15.4 网络服务可用性 (170)检查项1：容量管理 (170)检查项2：冗余管理 (170)检查项3：带外管理 (171)检查项4：压力测试 (172)检查项5：应急管理 (172)15.5 网络安全技术 (172)检查项1：结构安全 (172)检查项2：物理安全 (174)检查项3：传输安全 (174)检查项4：访问控制 (175)检查项5：接入安全 (177)检查项6：网络边界安全 (177)检查项7：入侵检测防范 (178)检查项8：恶意代码防范 (179)检查项9：网络设备防护 (179)检查项10：网络安全测试 (181)检查项11：安全审计日志 (182)检查项12：安全检查 (183)16. 操作系统 (184)16.1账号及密码管理 (184)检查项1：管理制度 (184)检查项2：账号、密码管理 (184)检查项3：账号、密码管理检查 (186)16.2系统访问控制 (186)检查项1：访问控制策略 (186)检查项2：用户登录行为管理 (187)检查项3：登录失败日志管理 (188)检查项4：最小化访问 (188)16.3远程接入管理 (190)检查项1：远程管理制度 (190)检查项2：远程维护管理 (190)检查项3：远程维护审查 (191)16.4日常维护 (191)检查项1：系统性能监控 (191)检查项2：补丁及漏洞管理 (192)检查项3：日常维护管理 (192)检查项4：系统备份和故障恢复 (193)检查项5：病毒及恶意代码管理 (194)检查项6：定时进程设置管理 (194)检查项7：系统审计功能 (195)17. 数据库管理系统 (196)17.1访问控制 (196)检查项1：身份认证 (196)检查项2：授权控制 (197)检查项3：远程访问 (198)检查项4：安全参数设置 (199)17.2日常管理 (199)检查项1：数据安全 (199)检查项2：审计功能 (200)检查项3：性能管理 (201)检查项4：补丁升级 (202)17.3连续性管理 (202)检查项1：备份和恢复 (202)检查项2：连续性和应急管理 (203)18. 第三方中间件 (205)18.1 产品管理 (205)检查项1：中间件测试 (205)检查项2：中间件管理 (205)检查项3：中间件与业务系统架构.20618.2 运行管理 (206)检查项1：维护流程和操作手册 (206)检查项2：中间件配置管理 (206)检查项3：中间件日志管理的程序.207检查项4：中间件的性能监控 (207)检查项5：中间件产生的事件和问题管理 (208)检查项6：中间件的变更 (208)检查项7：单点故障问题和负载均衡 (208)检查项8：压力测试 (209)第四部分应用系统 (210)19. 应用系统 (211)19.1 应用系统管理 (211)检查项1：业务管理办法与操作流程 (211)检查项2：重要应用系统评估 (211)检查项3：应用系统版本管理 (212)检查项4：应用系统培训教育 (213)19.2 应用系统操作 (213)检查项1：终端用户管理 (213)检查项2：访问控制与授权管理 (214)检查项3：数据保密处理 (215)检查项4：数据完整性处理 (216)检查项5：数据准确性处理 (216)检查项6：日志管理机制 (217)检查项7：备份、恢复机制 (218)检查项8：文档资料管理 (219)检查项9：内部审计的参与 (220)20. 电子银行 (221)20.1 电子银行业务合规性 (221)检查项1：电子银行业务合规性 (221)20.2 电子银行风险管理体系 (222)检查项1：电子银行风险管理体系.22220.3 电子银行安全管理 (223)检查项1：电子银行安全策略管理.223检查项2：电子银行安全措施 (224)检查项3：电子银行安全监控 (225)检查项4：电子银行安全评估 (225)20.4 电子银行可用性管理 (226)检查项1：电子银行基础设施 (226)检查项2：电子银行性能监测和评估 (227)20.5 电子银行应急管理 (227)检查项1：电子银行应急预案 (227)检查项2：电子银行应急演练 (228)21. 银行卡系统 (229)21.1 银行卡系统管理 (229)检查项1：银行卡系统容量的合理规划 (229)检查项2：银行卡系统物理设备风险和故障处理 (230)检查项3：银行卡交易监控 (230)检查项4：账户密码和交易数据的存储和传输 (231)检查项5：银行卡系统应急预案 (232)21.2 终端设备 (233)检查项1：自助银行机具和安装环境的物理安全 (233)检查项2：自助银行机具的通信安全 (233)检查项3：自助银行机具的安全装置 (234)检查项4：自助银行业务操作流程（机具软件） (234)检查项5：自助银行机具的巡查维护 (235)检查项6：POS机 (235)21.3 自助银行监控 (236)检查项1：自助银行设备日常运行的监控情况 (236)检查项2：监控中心和监控设备 (236)检查项3：自助银行监控发现问题的处置情况 (237)检查项4：自助银行设施安全评估（信息科技方面） (237)22. 第三方存管系统 (238)22.1 管理架构和职责 (238)检查项1：管理架构与岗位职责分工 (238)22.2 系统功能 (238)检查项1：系统功能 (238)22.3 系统一般安全与账户处理 (239)检查项1：账户冲正处理 (239)检查项2：网络访问控制与病毒防范 (239)22.4 数据交换 (240)检查项1：数据交换安全性 (240)22.5 运行维护 (241)检查项1：运行维护安全性 (241)22.6 系统备份 (241)检查项1：系统备份安全性 (241)22.7 应急恢复与事故处理 (242)检查项1：应急恢复与事故处理流程 (242)22.8 系统测试 (242)检查项1：系统测试 (242)22.9 临时派出柜台 (243)检查项1：系统派出柜台安全性 (243)附录 (244)23. 常用检查方法 (245)23.1 问卷与函证 (245)23.2 访谈 (246)23.3 查阅 (247)23.4 观察 (248)23.5 测试 (248)26.6 分析性复核 (251)26.7 评审 (252)24. 主要网络设备常用操作 (253)24.1 Cisco设备常用操作 (253)交换机 (253)路由器 (254)防火墙 (255)24.2 H3C设备常用操作 (257)交换机 (257)路由器 (258)防火墙 (260)25. 主要操作系统常用操作 (262)25.1 AIX系统检查常用操作 (262)25.2 HP/UX系统检查常用操作 (276)25.3 Solaris系统检查常用操作 (290)25.4 Windows系统检查常用操作 (291)26. 主要数据库管理系统常用操作 (309)26.1 DB2 系统检查常用操作 (309)26.2 Sybase 系统检查常用操作 (310)26.3 Oracle 系统检查常用操作 (311)26.4 Informix 系统检查常用操作 (313)26.5 SQL SERVER系统检查常用操作 (316)第一部分概述1. 指南说明1.1 目的及适用范围信息科技与银行业务高度融合，已成为银行业金融机构提高运营效率、实现经营战略和加快金融创新的重要手段。

商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理,根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行、政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用,并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中,由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险.第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力.第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引贯彻落实。

第七条商业银行的董事会应履行以下信息科技管理职责：（一)遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准,落实中国银行业监督管理委员会(以下简称银监会）相关监管要求。

（二)审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。

评估信息科技及其风险管理工作的总体效果和效率。

(三）掌握主要的信息科技风险，确定可接受的风险级别,确保相关风险能够被识别、计量、监测和控制.(四）规范职业道德行为和廉洁标准,增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。

(五)设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。

商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。

政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。

第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。

（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。

评估信息科技及其风险管理工作的总体效果和效率。

（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。

（四）规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。

（五）设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。

商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。

政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。

第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。

（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。

评估信息科技及其风险管理工作的总体效果和效率。

（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。

（四）规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。

（五）设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。

前言信息科技已经成为银行业金融机构实现经营战略和业务运营的基础平台以及金融创新的重要手段。

银行业对信息科技的高度依赖，决定了信息系统的安全性、可靠性和有效性对维系整个银行业的安全和金融体系的稳定具有至关重要的作用。

银监会党委对信息科技风险监管工作高度重视，刘明康主席多次召开专项工作会议并做出重要批示和指示，明确要求着力推进信息科技风险监管。

银监会坚持贯彻“管法人、管风险、管内控、提高透明度”的监管理念，把信息科技风险纳入银行总体风险监管框架，切实加强制度建设和风险监控，确保银行业信息系统安全稳定。

在目前信息技术革新日新月异、金融业务不断创新、银行对信息科技依赖性越来越大的新形势下，银监会坚持“风险为本”的监管原则，提出了信息科技风险功能性监管的新思路，突出“制度先行”，完善监管框架，借鉴和吸收国际先进标准及业界最佳实践，不断丰富信息科技风险监管方式方法，制定了一系列的监管规范，结合奥运保障开展现场检查，并针对性地发出有关风险提示，建立非现场监管体系和监管评级体系，从而构建了信息科技风险监管的基础框架，全面展开信息科技风险的监管工作。

按照郭利根副主席提出的“集成资源，形成信息科技风险监管合力”和“搞好规划，全面加强信息科技风险监管制度建设”要求，银监会强化机制建设、优化资源配置，整合科技人力资源，集中全国银监会系统科技骨干力量，在北京成立了信息科技监管“专项工作组”，又在上海、深圳两地分别成立信息科技风险监管工作室，按照统一调度、统一指挥、统一培训的工作原则，制度建设、奥运保障、现场检查、非现场监管及监管评级五线并举，形成了矩阵式的监管工作模式，快速锻炼了一支能战会战、能够担当重任的信息科技风险专业化监管队伍。

《手册》的编写得到了各方的大力支持。

上海、湖北、安徽、山东、山西、江苏、江西、河南、内蒙古、黑龙江、青岛、福建、河北、宁夏、辽宁、吉林、浙江、四川、深圳、广东、1天津、重庆、大连、云南、贵州银监局派出精锐技术骨干，参加《手册》编写工作；银监会各部门与各银监局提出了许多宝贵意见；上海银监局为编写工作提供了大量支持和保障工作。

中国银行业监督管理委员会关于印发《商业银行信息科技风险管理指引》的通知文章属性•【制定机关】中国银行业监督管理委员会(已撤销)•【公布日期】2009.03.03•【文号】银监发[2009]19号•【施行日期】2009.03.03•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】银行业监督管理正文中国银行业监督管理委员会关于印发《商业银行信息科技风险管理指引》的通知（银监发[2009]19号）各银监局，各政策性银行、国有商业银行、股份制商业银行、金融资产管理公司，邮政储蓄银行，各省级农村信用联社，银监会直接监管的信托公司、财务公司、金融租赁公司，中央国债登记结算公司：现将《商业银行信息科技风险管理指引》印发给你们，请认真执行。

请各银监局将本通知转发至辖内各银行业金融机构（含外资银行）。

中国银行业监督管理委员会二00九年三月三日商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。

第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。

政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。

第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。

第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

1前言信息科技已经成为银行业金融机构实现经营战略和业务运营的基础平台以及金融创新的重要手段。

银行业对信息科技的高度依赖，决定了信息系统的安全性、可靠性和有效性对维系整个银行业的安全和金融体系的稳定具有至关重要的作用。

银监会党委对信息科技风险监管工作高度重视，刘明康主席多次召开专项工作会议并做出重要批示和指示，明确要求着力推进信息科技风险监管。

银监会坚持贯彻“管法人、管风险、管内控、提高透明度”的监管理念，把信息科技风险纳入银行总体风险监管框架，切实加强制度建设和风险监控，确保银行业信息系统安全稳定。

在目前信息技术革新日新月异、金融业务不断创新、银行对信息科技依赖性越来越大的新形势下，银监会坚持“风险为本”的监管原则，提出了信息科技风险功能性监管的新思路，突出“制度先行”，完善监管框架，借鉴和吸收国际先进标准及业界最佳实践，不断丰富信息科技风险监管方式方法，制定了一系列的监管规范，结合奥运保障开展现场检查，并针对性地发出有关风险提示，建立非现场监管体系和监管评级体系，从而构建了信息科技风险监管的基础框架，全面展开信息科技风险的监管工作。

按照郭利根副主席提出的“集成资源，形成信息科技风险监管合力”和“搞好规划，全面加强信息科技风险监管制度建设”要求，银监会强化机制建设、优化资源配置，整合科技人力资源，集中全国银监会系统科技骨干力量，在北京成立了信息科技监管“专项工作组”，又在上海、深圳两地分别成立信息科技风险监管工作室，按照统一调度、统一指挥、统一培训的工作原则，制度建设、奥运保障、现场检查、非现场监管及监管评级五线并举，形成了矩阵式的监管工作模式，快速锻炼了一支能战会战、能够担当重任的信息科技风险专业化监管队伍。

《手册》的编写得到了各方的大力支持。

上海、湖北、安徽、山东、山西、江苏、江西、河南、内蒙古、黑龙江、青岛、福建、河北、宁夏、辽宁、吉林、浙江、四川、深圳、广东、天津、重庆、大连、云南、贵州银监局派出精锐技术骨干，参加《手册》编写工作；银监会各部门与各银监局提出了许多宝贵意见；上海银监局为编写工作提供了大量支持和保障工作。