商业银行信息科技风险现场检查指南-.docx

商业银行信息科技风险现场检查指南目 录第一部分 概述 121. 指南说明 131.1 目的及适用范围 131.2 编写原则 141.3 指南框架 15第二部分 科技管理 172. 信息科技治理 182.1 董事会及高级管理层 18检查项1 ：董事会 18检查项2 ：信息科技管理委员会 19检查项3 ：首席信息官（CIO） 202.2 信息科技部门 21检查项1 ：信息科技部门 21检查项2 ：信息科技战略规划 232.3 信息科技风险管理部门 24检查项1 ：信息科技风险管理部门 242.4 信息科技风险审计部门 25检查项1 ：信息科技风险审计部门 252.5 知识产权保护和信息披露 26检查项1 ：知识产权保护 26检查项2 ：信息披露 263. 信息科技风险管理 283.1 风险识别和评估 28检查项1 ：风险管理策略 28检查项2 ：风险识别与评估 293.2 风险防范和检测 29检查项1 ：风险防范措施 29检查项2 ：风险计量与检测 304. 信息安全管理 324.1 安全管理机制与管理组织 32检查项1：信息分类和保护体系 32检查项2：安全管理机制 33检查项3：信息安全策略 34检查项4：信息安全组织 344.2 安全管理制度 35检查项1：规章制度 35检查项2：制度合规 36检查项3：制度执行 374.3 人员管理 38检查项1：人员管理 384.4 安全评估报告 39检查项1：安全评估报告 394.5 宣传、教育和培训 39检查项1：宣传、教育和培训 395.系统开发、测试与维护 415.1开发管理 41检查项1：管理架构 41检查项2：制度建设 43检查项3：项目控制体系 44检查项4：系统开发的操作风险 45检查项5：数据继承和迁移 465.2系统测试与上线 47检查项1：系统测试 47检查项2：系统验收 49检查项3：投产上线 495.3系统下线 50检查项1：系统下线 506. 系统运行管理 526.1 日常管理 52检查项1：职责分离 52检查项2：值班制度 53检查项3：操作管理 53检查项4：人员管理 546.2 访问控制策略 55检查项1：物理访问控制策略 55检查项2：逻辑访问控制策略 56检查项3：账号及权限管理 57检查项4：用户责任及终端管理 58检查项5：远程接入的控制 596.3 日志管理 60检查项1：审计日志检查 60检查项2：日志信息的保护 60检查项3：操作日志的检查 61检查项4：错误日志的检查 616.4系统监控 62检查项1：基础环境监控 62检查项2：系统性能监控 62检查项3：系统运行监控 63检查项4：测评体系 646.5 事件管理 65检查项1：事件报告流程 65检查项2：事件管理和改进 66检查项3：服务台管理 676.6问题管理 67检查项1：事件分析和问题生成 68检查项2：台账管理 68检查项3：问题处置 686.7 容量管理 69检查项1：容量规划 69检查项2：容量监测 70检查项3：容量变更 706.8 变更管理 71检查项1：变更的流程 72检查项2：变更的评估 72检查项3：变更的授权 73检查项4：变更的执行 73检查项5：紧急变更 74检查项6：重大变更 747. 业务连续性管理 767.1 业务连续性管理组织 77检查项1：董事会及高管层的职责 77检查项2：业务连续性管理组织的建立 78检查项3：业务连续性管理组织职责 797.2 IT服务连续性管理 80检查项1：IT服务连续性计划的组织保障 80检查项2：风险评估及业务影响分析 81检查项3：IT服务连续性计划的制定 81检查项4：IT服务连续性计划的测试与维护 82检查项5：IT服务连续性计划审计 83检查项6：IT服务连续性相关领域的控制 848. 应急管理 858.1 应急组织 85检查项1：应急管理团队 85检查项2：应急管理职责 86检查项3：应急管理制度 868.2 应急预案 87检查项1：应急预案制订 87检查项2：应急预案内容 87检查项3：应急预案更新 89检查项4：外包服务应急 89检查项5：应急预案培训 908.3 应急保障 90检查项1：人员保障 90检查项2：物质保障 90检查项3：技术保障 91检查项4：沟通保障 918.4 应急演练 92检查项1：应急演练的计划 92检查项2：应急演练的实施 92检查项3：应急演练的总结 938.5 应急响应 93检查项1：应急响应流程 93检查项2：全程记录处置过程 94检查项3：应急事件报告 95检查项4：与第三方沟通 95检查项5：向新闻媒体通报制度 96检查项6：应急处置总结 968.6 持续改进 97检查项1：应急事件评估 97检查项2：应急响应评估 97检查项3：应急管理改进 979. 灾难恢复管理 999.1 灾难恢复组织架构 99检查项1：灾难恢复相关组织架构 999.2 灾难恢复策略 101检查项1：总体控制 101检查项2：灾难恢复策略 101检查项3：灾难备份策略 103检查项4：外包风险 1049.3 灾难恢复预案 105检查项1：灾难恢复预案 105检查项2：联络与通讯 106检查项3：教育、培训和演练 1079.4评估和维护更新 107检查项1：灾备策略的评估和维护更新 107检查项2：灾难恢复预案的评估和维护更新 10810. 数据管理 10910.1 数据管理制度和岗位 109检查项1: 数据管理制度 109检查项2 ：数据管理岗位 11010.2 数据备份、恢复策略 110检查项1：数据备份、转储策略 110检查项2：数据恢复、抽检策略 11110.3数据存储介质管理 112检查项1：介质管理 112检查项2：介质的清理和销毁 11311. 外包管理 11411.1外包管理制度 114检查项1：外包管理制度 114检查项2：外包审批流程 114检查项3：外包协议 115检查项4：服务水平协议 115检查项5：外包安全保密措施 116检查项6：外包文档管理 11611.2外包评估和监督 117检查项1：外包服务商的评估 117检查项2：外包项目的监督管理 11712. 内部审计 11912.1 内部审计管理 119检查项1：内部审计部门、岗位、人员和职责 119检查项2：内部审计制度和办法 11912.2 内部审计要求 120检查项1：内部审计范围和频率 120检查项2：内部审计结果的有效性 12013. 外部审计 12213.1 外部审计资质 122检查项1：外部审计机构的资质 12213.2 外部审计要求 122检查项1：商业银行配合外部审计情况 122检查项2：外部审计有效性 123检查项3：外审过程中的保密要求 123第三部分 基础设施 12514. 计算机机房 12614.1计算机机房建设 126检查项1：计算机机房选址 126检查项2：机房功能分区 127检查项3：计算机机房基础设施建设 127检查项4：计算机机房的环境要求 130检查项5：计算机机房日常维护 13114.2计算机机房管理 132检查项1：计算机机房安全管理 132检查项2：计算机机房集中监控系统 133检查项3：计算机机房安全区域访问控制 134检查项4：计算机机房运行管理 13514.3机房设备管理 136检查项1：机房设备的环境安全 13615. 网络通讯 13715.1 内控管理 137检查项1：内控制度 137检查项2：人员管理 138检查项3：访问控制 138检查项4：日志管理 139检查项5：第三方管理 140检查项6：服务外包 141检查项7：文档管理 141检查项8：风险评估 14215.2 网络运行维护 143检查项1：运行监控 143检查项2：性能监控 143检查项3：流量监控 144检查项4：监控预警 144检查项5：性能调优 144检查项6：事件管理 145检查项7：运行检查 14515.3 网络变更管理 146检查项1：变更发起 146检查项2：变更计划 147检查项3：变更测试 147检查项4：变更审批 147检查项5：变更实施 14815.4 网络服务可用性 149检查项1：容量管理 149检查项2：冗余管理 149检查项3：带外管理 150检查项4：压力测试 151检查项5：应急管理 15115.5 网络安全技术 151检查项1：结构安全 151检查项2：物理安全 153检查项3：传输安全 153检查项4：访问控制 154检查项5：接入安全 155检查项6：网络边界安全 156检查项7：入侵检测防范 157检查项8：恶意代码防范 158检查项9：网络设备防护 158检查项10：网络安全测试 160检查项11：安全审计日志 161检查项12：安全检查 16216. 操作系统 16316.1账号及密码管理 163检查项1：管理制度 163检查项2：账号、密码管理 163检查项3：账号、密码管理检查 16516.2系统访问控制 165检查项1：访问控制策略 165检查项2：用户登录行为管理 166检查项3：登录失败日志管理 166检查项4：最小化访问 16716.3远程接入管理 168检查项1：远程管理制度 168检查项2：远程维护管理 169检查项3：远程维护审查 16916.4日常维护 170检查项1：系统性能监控 170检查项2：补丁及漏洞管理 170检查项3：日常维护管理 171检查项4：系统备份和故障恢复 172检查项5：病毒及恶意代码管理 172检查项6：定时进程设置管理 173检查项7：系统审计功能 17317. 数据库管理系统 17517.1访问控制 175检查项1：身份认证 175检查项2：授权控制 176检查项3：远程访问 177检查项4：安全参数设置 17817.2日常管理 178检查项1：数据安全 178检查项2：审计功能 179检查项3：性能管理 180检查项4：补丁升级 18117.3连续性管理 181检查项1：备份和恢复 181检查项2：连续性和应急管理 18218. 第三方中间件 18418.1 产品管理 184检查项1：中间件测试 184检查项2：中间件管理 184检查项3：中间件与业务系统架构 18518.2 运行管理 185检查项1：维护流程和操作手册 185检查项2：中间件配置管理 185检查项3：中间件日志管理的程序 186检查项4：中间件的性能监控 186检查项5：中间件产生的事件和问题管理 187检查项6：中间件的变更 187检查项7：单点故障问题和负载均衡。