随着国民文化水平的提升，报告在工作与学习方面，已经成为了常见记录方式。报告是有着写作格式与技巧的，写出有效的报告十分重要。下面是小编为大家整理的《银行信息系统分析报告》，仅供参考，希望能够帮助到大家。
第一篇：银行信息系统分析报告
2013年信息管理与信息系统专业-银行-实习报告
毕业实习报告
一、 学生实习的地区、单位统计与分析
在2013年10月8日至2013年11月29日期间，我在中国民生银行北京西长安街支行进行了为期8周的实习。我认为实习是一件很具意义的事情，在实习中可以体验到把课本上的知识运用于实际的快乐，在实习中也会有感到自己的知识不够用时候的困惑。但是在学校学习到的自学能力，能够帮助我最快的调整自己，让自己尽快学会一些新东西。所以，我想实习的目的不在于通过结业考试，而是为了获取知识，获取工作技能，换句话说，在学校学习是为了能够适应社会的需要，通过学习保证能够完成将来的工作，为社会作出贡献。
实习单位介绍：中国民生银行于1996年1月12日在北京正式成立，是中国首家主要由非公有制企业入股的全国性股份制商业银行，同时又是严格按照《公司法》和《商业银行法》建立的规范的股份制金融企业。2000年12月19日，中国民生银行A股股票(600016)在上海证券交易所挂牌上市。中国民生银行自上市以来，按照“团结奋进，开拓创新，培育人才;严格管理，规范行为，敬业守法;讲究质量，提高效益，健康发展”的经营发展方针，在改革发展与管理等方面进行了有益探索，先后推出了“大集中”科技平台、“两率”考核机制、“三卡”工程、独立评审制度、八大基础管理系统、集中处理商业模式及事业部改革等制度创新，实现了低风险、快增长、高效益的战略目标，树立了充满生机与活力的崭新的商业银行形象。截至2011年12月31日，中国民生银行资产总额22,290.64亿元，存款总额16447.38亿元，贷款和垫款总额12052.21亿元，实现净利润279.20亿元，不良贷款率0.63%，保持国内领先水平。
二、 学生实习的内容归类与分析
1.学习银行员工守则
2.学习柜面相关知识
3.了解银行系统架构以及银行管理流程
三、 学生实习的主要成果与分析
知道员工应严格履行各自的岗位职责,恪尽职守,以负责的精神认真完成每项工作。作为实习生能够学习并且遵守员工行为规范，完全做到企业对员工的工作要求。这些虽然很不容易，但是努力做到之后，心里很满足。发现自己的责任感增强了。大部分时间学习了基本的柜面相关知识，努力去和客户交流为客户提供服务。大堂助理是连接客户、高柜柜员、客户经理的纽带,因此首先就得学习柜面相关知识,才能更好的解答客户问题,引导客户办理相关业务,维持大唐秩序,减轻柜员的工作量,提高整体服务效率。 积极学习金融业务知识和业务技能,自觉参加各种业务培训,不断提高自己的业务素质。自己学习了有关银行系统的知识。了解了银行系统的架构，并且了解银行系统的管理流程。银行系统从业务的角度讲，大概有业务系统，管理信息系统，渠道系统，和其他外围系统构成。而且商业银行的IT系统在业务和交易系统层次主要有J2EE、C、COBOL(大机)、PRG(400平台、PL/SQL、CICS、TUXEDO、MQ等技术。在低端的一些应用如OA、报表展示等场合也有用NOTES、VBA、JSP、PASCAL、.NET
等。
四、 学生实习期间导师指导小组指导情况与分析
通过实习期间的导师指导和小组指导，在和老师和小组同学交流之后，知道了自己实习期间的收获和不足，解决自己实习期间出现的问题为以后的实习做好准备。而且听了别的同学的报告，也了解了别的同学的实习内容，也对其他同学的实习单位有所了解，在有限的时间知道了更多实习知识。
五、 学生实习过程中的主要问题及措施建议
自己实习期间的心态调整不是很好，要积极调整心态。而且发现自己在学校学习的知识有不足的情况，要尽快自学新的知识。
这个实习，我过得是如此的充实，如此有意义。 它对我以后的人生是一笔财富。我相信一分付出，一分收获，有付出，就一定会有收获。在银行实习中可以学到在书本中学不到的知识，它让我开阔了视野，了解真正的社会，深入上班族的生活，无限回味。更何况参加社会实习 活动的过程、阅历本身就是一笔宝贵的财富。它对我来说也是一种动力，是体味人生的百味筒 ，是验证实力的试金石，它让我体味到生活的酸甜苦辣咸，父母赚钱的不易，让我懂得了各种滋味只有亲身参与才能体会的到，钱来之不易。 行不行，实习中看!
纸上得来终觉浅，投身实习觅真知。我相信，经过了在社会中的的磨练，我会变得更加成熟、更加自信，我相信，当代90后青年大学生不会再是小皇帝，我们有实力承担的起未来建设国家的重任，追求进步，刻苦求知，勤于实习，在身体上受到了锤炼,在思想上得到了启发和升华，多了一份生活体验，社会实习经验和组织活动能力。
第二篇：银行信息系统安全管理方案
随着金融界向电子化、数字化、网络化的发展，各金融机构对计算机的重视程度越来越高，全球高新技术尤其是信息技术的发展，进一步提高了银行计算机的应用水平。
1银行业务的发展和信息安全范畴的变迁
随着金融界向电子化、数字化、网络化的发展，各金融机构对计算机的重视程度越来越高，全球高新技术尤其是信息技术的发展，进一步提高了银行计算机的应用水平。人们可以通过国际互联网随时随地进行信息交流、电子商务活动，银行既要保障有强固的银行内部业务网络，又要扩展业务，利用互联网、无线网等尽可能多的通讯途径对全国甚至全球个人实行24小时金融电子服务，许多银行也顺应形势相继推出了网上银行、自助银行、客户服务中心、手机银行等。同时，经营的集约化和数据的集中化趋势一方面顺应了银行业务发展的要求，避免了业务分散导致的业务风险，但是另一方面不可避免的导致了信息安全风险的集中。
随着银行业务系统顺应趋势的开放和互连，其信息安全范畴已经突破了以业务系统物理隔离和协议隔离为基础的传统银行信息安全。我们必须在一个日趋开放的系统平台上重新审视银行的信息安全问题。金融系统(银行、保险、证券)是国家政策要求实施安全等级保护的11大类关键信息基础设施的重点系统。因此，如何建立一个高效的现代信息安全体系，日益成为突出的问题。
2 冠群金辰公司的主动防御安全策略
冠群金辰公司具有多年的信息安全产品研发、工程实施和安全服务经验，在金融行业具有丰富的行业应用经验，并且对国外和国内的金融行业业务应用、信息安全策略、相关法律法规等有深刻的理解，具有独到的见解。
根据对客户需求的详细调查分析，推出了以客户价值为中心，以3S为代表的安全理念，即Security Solution(安全方案)，Security Application(安全应用)，Security Service(安全服务)。安全方案是基于符合用户需求的自有产品和合作伙伴的优秀产品搭建的整体解决方案;安全应用则是基于用户的实际应用系统和业务系统的安全需要，将我们的安全方案进行定制和二次开发，以满足用户对业务系统和安全系统更高程度的整合需求;安全服务则是参照国际和国内信息安全管理和工程标准，并结合冠群金辰公司的服务经验积累提供的评估、设计、实施、管理、教育等一系列服务项目，以帮助用户在日趋严峻的安全环境中保持业务的顺利运行。
经过对信息安全趋势的分析，我们认为在当前新的安全漏洞发现频率日益加快、安全攻击事件大幅度增加的状况下，局限于传统的被动(Reactive)防范策略是非常危险的。我们按照风险管理的思路，提出了主动(Proactive)防御策略，强调利用先进的技术、产品，配合以有效的管理方法和运维模式，避免入侵行为造成损害，并且有效防御新的安全漏洞造成的风险。脆弱性三维图可以帮助客户识别风险状况，选择采用适当有效的风险控制方法，达到成本和效益之间的平衡。
冠群金辰公司倡导采用以主动防御为基础的纵深防御体系来进行银行安全保障体系的建立。
第一：在整个受保护网络环境中的每一个环节上减少可能会被入侵者利用的突出的脆弱点;
第二：对于关键的资源，使用多重防御策略来管理风险，以便在一层防御不够时，在理想情况下，另一层防御将会削弱对被保护资源的破坏。
3.银行信息安全风险管理思路和技术建议
银行信息安全问题不仅仅是技术上的问题，同样重要的是管理问题。2003年4月底正式挂牌的中国银监会5月份以第二号公告的形式，就巴塞尔新资本协议公开征求中国银行业界意见。新巴塞尔协议的实施势必大大提升银行业的整体业务风险管理水平。同样，在银行的信息安全领域也需要一种成熟的风险管理思路。这种风险管理的思想要贯穿在银行的每一个业务系统的生命周期阶段。对于每一个银行业务系统，比如柜台业务、资金清算等随着时间的发展都可以分为不同的阶段。按照NIST风险管理指南，这些阶段可以划分为系统规划阶段、系统开发阶段、系统实施阶段、系统运行阶段和系统废止阶段。根据银行业务系统各自的特点，其各阶段的具体内容会有所不同，但基本周期保持不变。所以与之相对应就产生了所谓系统安全的生命周期，即是将安全生命周期模型整合到系统生命周期模型上，一方面在系统生命周期各阶段提取安全需求，另一方面将安全生命周期的过程应用在系统生命周期各阶段，即在系统各阶段遵循安全的过程性开
展相应安全工作。不同系统，各阶段的安全需求不同，安全工作展开的顺序也会有所不同。但是，它们的共同点就是需要同时从技术和管理两个方面着手进行风险管理，同时这两个方面不是孤立实施的，而是有机结合的。
冠群金辰公司的银行业信息安全风险管理方案主要分为下面几个部分：
第一， 参照相关法律法规、金融行业相关规定、国内外信息安全标准等，为用户建立一套信息安全管理系统和业务持续性策略;
第二， 根据业务系统的需要，进行安全技术层面的实施，其中包括对银行现有设备和系统的加固、自有安全产品配置和实施、第三方安全产品配置和实施以及根据实际需求进行的专有安全系统开发和实施等。
第三，提供需求分析、风险评估、安全审计、紧急响应等覆盖全系统生命周期的安全服务。冠群金辰公司拥有一支持有CCIE、CISSP、BS7799 LA、CISP、SCSA等国际国内认证的专业安全服务队伍和专职的银行业务顾问小组，提供基于整体和业务的安全服务。
由于银行系统业务种类众多，信息系统也千差万别，不同银行业务信息系统对机密性、完整性、可用性、可控性与可审查性也具有不同的要求，所以不可能采用一个相同的模式进行所有银行系统安全体系的设计。这里仅仅根据中国人民银行2001年发布的《银行信息系统安全技术规范》和中国人民银行2002年发布的关于加强银行数据集中安全工作的指导意见的260号文件，对于构成银行信息
系统的几个关键层次进行示例分析，主要从技术角度对冠群金辰的解决方案进行简单介绍。
3.1 物理安全
主要是按照国家标准GB50173-9
3、GB2887-8
9、GB9316-88等加强场地设防。计算机设备实体安全类中，首先要求场地环境条件的控制，对计算机网络的中心机房及其延伸点，要坚决搞好基本环境建设，要有完整的防雷电设施，且有严格的防电磁干扰设施，机房内要搞好防水防火的预防工作，对主机房电源要有完整的双回路备份机制。尤其是银行主机机房的物理安全保障措施一定要到位。同城异地备份甚至不同城市之间的灾备中心都是需要考虑的。另外，信息处理设备安全、媒体介质存放安全也是需要重点考虑的内容。
3.2 网络互连的隔离和网关病毒过滤
随着银行业务的发展，业务主机不可避免地需要和外部系统互联。比如为了实现跨系统银行间资金汇划的电子联行系统采用的天地对接基本上建立在电信局的公共通信网上，开放的网络环境和网络协议为系统互联提供了方便，但同时也降低了系统的安全性。正在蓬勃兴起的银行中间业务的发展更是促进了不同行业之间的网络连通。有网络的连接是造成安全风险的重要源头，一定需要对不同安全级别的网络之间进行安全隔离。除了物理隔离外，逻辑隔离按照通讯方式有几种级别：双方网络互有通讯、单向通讯、按需通讯等。按照安全级别的要求可分为简单包过滤、状态包过滤、应用层代理、专有协议隔离等。冠群金辰公司的
轩辕防火墙是集防火墙、VPN、流量管理等功能于一体的网络安全设备。它能通过Web浏览器或CLI及中央管理台集中管理，并且支持透明模式。轩辕防火墙产品能够满足银行系统中大部分的网络逻辑隔离要求。
冠群金辰公司的赤霄KILL过滤网关是一个专用硬件设备，用于在银行网络之间过滤病毒。它能够高效率地过滤包含在HTTP、FTP以及SMTP 协议中的计算机病毒，实现病毒的网络隔离，避免病毒在网络之间的扩散。该产品具有丰富和功能和优异的性能，在2002年一举获得了中国大IT媒体：《中国计算机报》和《计算机世界报》的编辑选择奖和产品奖，并在另一大专业媒体《网络世界》2003年5月12日发布的产品购买指南中得到高度评价，被称为 "防病毒网关的佼佼者"，更于今年7月份又获得“网管员最信赖的防病毒产品”奖项。通过在银行内部、银行和第三方网络等网关处部署该产品，可以杜绝病毒最主要的传播途径，给被保护网络营造一个安全的计算环境。
3.3 数据传输加密
当需要在非银行控制的公网上传输机密信息时，必须采用有效的措施对网络上传输的数据进行加密处理。冠群金辰公司的轩辕防火墙内置了基于 IPSEC协议的VPN功能，能够方便地在网络边界处实现数据的加密传输，方便了银行不同分支部门之间的安全通信和远程办公。对于已经设置没有VPN功能的防火墙的网络，冠群金辰公司的软件VPN产品能够方便地部署在网络中的任意一台计算机上，实现网络内部的加密通信和远程安全访问。
3.4 网络入侵行为和蠕虫病毒的传播监控
网络攻击的表现形式主要有两种：第一，人为入侵(包括内部和外部);第二，蠕虫和病毒的网络渗透和传播。而且，目前这两种形式有逐渐趋于统一的趋势。对于这两种行为我们都要进行严格监控，并且需要统一在一个平台下进行关联监控，以更好的起到安全检测的目的。
冠群金辰提供的干将/莫邪系列入侵检测系统能够在从百兆到千兆的网络中提供实时的入侵检测和病毒传播统一监控，也是唯一能够实现在同一个平台下进行入侵行为和蠕虫病毒传播的监控的安全系统。这样在银行网络中发生入侵行为或蠕虫传播时，管理员能够很快定位网络和系统问题所在，减少故障时间，降低损失。尤其是在结构复杂的网络中，利用干将/莫邪系列入侵检测系统提供的监控功能，管理员可以迅速定位被感染的服务器，控制传染源。
3.5 安全级别提升和分散授权原则在操作系统级的实施
操作系统的安全是银行信息系统安全的重要方面。为了更加有效地避免金融犯罪，杜绝银行内部人员作案，银行要求采用的操作系统具有相当高的抗攻击能力，有必要时需要采用B1级别的安全操作系统，比如网上银行主机和关键业务主机系统。在人民银行发布的《银行计算机信息系统安全技术规范》中也明确了这一点。但是目前基本上所有的商用操作系统都是C2级的，不能满足银行的要求。如果采用专用的安全操作系统，势必需要对原有的应用程序进行改造，造成大量人力物力和财力的资源浪费。冠群金辰公司提供的龙渊服务器核心防护产品
可以很好地解决这一问题，既能克服通用操作系统(包括Windows，Unix， Linux)的安全弊病，又能够和所有应用程序兼容，并且容易管理。它能够将大部分商用操作系统的安全等级提升到TCSEC B1级，支持强制访问控制，在大幅度提升安全性的同时保护了用户原有投资。比如通过在银行业务主机上部署龙渊服务器核心防护，可以在一台主机上将管理员权限分成系统管理员、安全管理员、安全审计员以及其它一般性质的业务操作人员，并且同时取消操作系统的超级用户特权。这样，所有人员的动作都能够被互相监督，大大降低了内部人员作案的可能性。
通过在关键的银行业务服务器上部署冠群金辰公司的龙渊服务器核心防护，安全管理员能够严格限定所有用户在该服务器上的任何操作，从时间、地点、访问方式等多个方面进行极细粒度的访问控制;并且其动态安全扩展(DSX)技术使得服务器能够高强度抵御未知的攻击类型，尤其是缓冲区溢出类型的攻击，从而避免了损失，为安全管理员赢得了宝贵的时间。这种防范措施对于Windows平台和UNIX、Linux平台都适用，并且不依赖特征库的升级即可完成防范功能。另外，通过该系统在本机上限定该计算机允许的网络通信类型，即使该计算机感染了蠕虫或被放置了木马程序，也无法对外发出违反预定安全策略的数据包，避免了可能导致的蠕虫传播和网络拥塞现象，降低了攻击后的影响。在最坏的情况下，即使入侵者已经获得了被攻击服务器的管理员账户和密码，龙渊服务器核心防护仍然能够保证该入侵者仅仅具有一个该系统上普通用户的权限，不能为所欲为，造成更大的损失和影响。这是传统的由防病毒、防火墙和入侵检测系统构成的安全防御体系所不能够实现的重要特点。该方案已经在全球著名银行，如花旗银行的系统中广泛采用。
3.6 其它安全设施
网上银行的兴起决定了在整个银行的安全体系的建设中，确立一个稳固的身份认证机制是根本的前提条件。通过建立PKI/CA认证系统，可以确保各种人员、资源的身份，防止网络欺诈行为和交易抵赖行为。
一个统一的网络防病毒体系是银行信息安全中的重要组成部分。冠群金辰公司作为国内防病毒软件厂商的先驱，其KILL防病毒系统已经在全国各行业广泛应用，尤其是网络防病毒系统更是国内厂商的佼佼者。KILL防病毒系统的技术已经非常成熟，在一个软件中集成了两个完全不同的防病毒引擎，能够对 Windows 95/98/NT/2000/XP、Linux、UNIX、Netware等多种平台进行病毒防护，并且可以通过集中的中央控制台完成软件安装、完全免费的特征码自动升级、病毒报警集中管理等工作，得到了广泛的用户认可。
冠群金辰的承影漏洞扫描系统可以扫描各个计算机、网络设备，及时发现存在的安全漏洞，并且事先做出预防措施，是主动防御体系中不可或缺的一部分。
利用安全信息管理(SIM)平台可以对银行网络内采用的所有安全相关的设备的报警信息和日志，甚至包括业务系统、应用系统的信息进行统一的汇总和关联性分析，降低管理成本，提高管理效率。
第三篇：村镇银行信息系统突发事件应急预案
(征求意见稿)
为防范信息科技风险，规范计算机信息系统突发事件的响应和处臵，建立健全信息系统安全应急响应机制，最大限度地消除突发事件造成的危害和影响，确保村镇银行信息系统安全稳健运行，制定本应急预案。
第一章
工作原则
村镇银行信息系统突发事件应急工作按照“谁主管，谁负责”的原则，逐级实行信息系统突发事件应急保护责任制，实现科学化、规范化管理。
(一)健全机制。村镇银行信息系统突发事件应急工作由信息安全领导小组统一领导和指挥，协调相关部门具体实施，完善应急工作体系和机制。
(二)明确责任。村镇银行各部室和各支行有责任对系统突发事件进行防范、预警、报告、响应、协调、控制，分工负责、相互配合。
(三)预防为主。各单位要对可能导致突发事件的风险进行有效识别、分析和控制，对信息系统持续监测，加强对信息系统 -1- 的日常管理维护，减少突发事件发生的可能性。
(四)处置高效。加强应急处臵队伍的建设，提供充分的资源保障，确保突发事件发生时反应迅速、报告及时、措施得力、操作准确，降低突发事件造成的损失。
第二章
组织机构及职责
村镇银行组建应急团队，在发生信息系统突发事件时，及时实施专项应急处臵工作。应急团队包括应急领导小组、应急执行小组、支持保障小组。
(一)应急领导小组 组长：分管行长
成员：机关各部门及各支行负责人 职责：
1、负责信息系统突发事件的应急指挥、组织协调和过程控制;
2、明确新闻发布人，授权其在应急过程中统一对外信息发布口径;
3、宣布重大应急响应状态的降级和解除;
4、向董事会和高级管理层报告应急处臵进展情况和总结报告。
(二)应急执行小组对应急领导小组负责 成员：各部室经办员和各支行内管人员、微机主管 职责：
-2-
1、实施信息系统突发事件的具体应急处臵工作;
2、对信息系统突发事件业务影响情况进行分析和评估;
3、收集分析信息系统突发事件应急处理过程中的数据信息和日志;
4、向应急领导小组报告应急处臵进展情况和事态发展情况。
(三)支持保障小组对应急领导小组负责 成员：由村镇银行根据实际情况确定人员组成。 职责：
1、提供应急所需人力和物力等资源保障;
2、做好对受影响客户的解释和安抚工作;
3、做好秩序维护、安全保障、法律咨询和支援等工作;
4、建立与电力、通讯、公安和消防等相关外部机构的应急协调机制和应急联动机制;
5、其他为降低事件负面影响或损失提供的应急支持保障等。
第三章
突发事件分级
根据突发事件影响范围及持续时间等因素，将信息系统主机、系统、应用、网络、线路以及机房环境发生的突发事件分为三级：
(一)一级突发事件。造成村镇银行信息系统业务中断(持续6小时以上)或重要数据损毁、丢失，造成重大经济损失，或 -3- 对客户利益造成特别严重损害，后果非常严重的突发事件。造成一级突发事件的情况有：
1、重大火灾、地震等自然灾害导致村镇银行中心机房主要生产设施遭受毁灭性破坏，形成灾难性故障，持续6小时以上不能修复。
2、关键设备的重大故障引起的业务中断。如业务系统主机、存储设备、网络核心设备(交换机、路由器)两套热备设备同时故障，持续6个小时以上无法修复。
3、由于严重的存储设备故障或数据库崩溃等原因，造成业务数据丢失。
4、出现治安或人为方面情况形成灾难性故障，业务数据被破坏。
5、供电系统出现故障，市电供电系统停电6个小时以上，且UPS机组和发电机组工作异常。
6、其他突发情况造成生产系统不能正常工作。
(二)二级突发事件。造成村镇银行信息系统业务中断(持续3个小时以上)或重要数据损毁、丢失，对银行或客户利益造成严重损害，后果严重的突发事件。造成二级突发事件的情况有：
1、主机系统主、备两套设备同时发生故障。
2、磁盘故障，破坏数据的完整性。
3、网络系统故障：
(1)主、备核心路由器，核心交换机同时发生故障;
-4- (2)中心机房通信线路中断; (3)多个网点通信设备同时发生故障; (4)多个网点通信线路同时中断。
4、软件系统故障：
(1)操作系统软件故障，系统无法运行; (2)核心业务的数据库系统出现无法使用的故障; (3)应用系统软件故障，系统无法运行。
5、机房附属设备故障： (1)两台UPS同时故障;
(2)空调故障引起机房、主机温度、湿度异常，超过临界值; (3)市电供电系统出现异常故障超过3个小时或单路供电系统异常超过一天。
6、网络遭受黑客攻击后造成网络或主机系统瘫痪、数据被非法更改。
7、发生火灾、水灾、地震等自然灾害导致村镇银行中心机房主要生产设施遭受破坏，造成业务中断，持续3小时以上不能修复。
8、其他原因造成生产系统工作异常。
(三)三级突发事件。造成村镇银行信息系统业务中断(持续半个小时以上)或重要数据损毁、丢失，对银行或客户利益造成较大损害的突发事件。造成三级突发事件的情况有：
1、主机、应用系统故障：
-5- (1)业务系统主机需切换到备份机; (2)业务服务器需由备份机接管服务; (3)应用系统软件故障，系统无法运行。
2、网络系统故障： (1)单台核心交换机故障; (2)单台核心路由器故障; (3)单条主干通信线路故障; (4)多个网点通信设备故障; (5)多个网点通信线路故障。
3、机房附属设备故障：
(1)外部电源线路停止供电超过UPS最大负载时间; (2)单台UPS故障而不能正常供电;
(3)消防系统出现故障，持续24小时不能修复。
4、各种因素(疫情、离岗等)导致生产系统的关键岗位人员不能上岗。
5、发生火灾、水灾、地震等自然灾害导致村镇银行中心机房主要生产设施遭受破坏，造成业务中断，持续半小时以上不能修复。
6、其他原因造成生产系统工作异常。
第四章
风险防范措施
-6-
(一)加强信息安全的日常监测、分析和预警工作，进一步提高计算机信息安全管理。
(二)优化组合和配臵应急技术人员及应急资源，集中使用，统一调度，以保证应急处理的高效性。
(三)通过场景模拟、压力测试等手段进行应急演练，验证应急预案的有效性。定期或不定期进行全面演练或专项演练。
(四)各种应急预案应根据实际情况每年重新进行制订或临时根据情况进行更改。
(五)比较重大的系统、网络调整或配臵的更改，应根据实际情况制订相应的应急预案。
(六)重大突发事件发生后，应立即上报应急执行小组，并执行应急预案。对应急预案没有覆盖的突发事件，应立即报告应急领导小组进行应急决策。
(七)如果造成大面积长时间的停业，应立即上报应急领导小组，统一对外发布信息，做好客户的解释工作并上报银监部门和人民银行。
(八)突发事件发生后应立即对发生的事件进行调查核实、保存相关证据，便于事后分析、评估和总结。
(九)加强对外包服务的应急管理，将相关设备及服务提供商、电力、电信等纳入应急预案。
(十)定期对应急响应相关人员进行应急预案和应急演练的培训。
-7-
第五章
应急预案与演练
出现突发事件时，机房值班人员要采取积极果断的处臵措施，并将已发生的或正在发生的事件第一时间报告给应急执行小组。上述人员接到报告后，必须通知相关人员一同在第一时间到达现场，执行应急预案。应急预案包括：
(一)火灾、水灾、台风、地震等自然灾害及其他突发灾难事件发生时，按照紧急情况疏散方案迅速撤离，并启用灾备中心，待灾情基本清除后返回，及时恢复机房的正常运行。
(二)故障设备的修复，财务部立即联系相关公司人员进行故障设备的修复，并联系设备供应商借用(或租用)同类主机、网络设备(必要时借用相应的场地)，使业务尽快恢复。
(三)若存储设备故障或数据库崩溃或业务数据被破坏，应立即启用备用的存储设备，使用备份数据进行恢复，并联系供应商对设备进行修复。
(四)供电系统出现问题，应首先启用备用电源，如备用电源出现故障，短时间无法修复，则联系设备供应商借用(或租用)相同设备进行替换，并尽快修复故障设备。
(五)其他突发情况上报应急执行小组，并由应急执行小组上报应急领导小组，做出相关处理方案进行处理。
(六)系统恢复后，通知网点进行账务核对，调整突发事件发生时的差错业务。
-8-
(七)应急执行小组要将突发事件情况上报应急领导小组，统一向外界通报情况，做好客户的解释工作并上报银监部门和人民银行。
第六章
应急响应
村镇银行应按照既定的应急预案，做好应急处臵，快速有效地处臵突发事件。
突发事件应急响应流程：
(一)应急执行小组应根据既定的应急预案，启动应急操作，并及时报告应急领导小组。应急处臵应集中于建立临时的业务处理能力、修复原系统损坏，在原系统或新设施中恢复运行业务能力等应急措施;
(二)对于应急预案没有覆盖的突发事件，应立即报告应急领导小组进行应急决策;
(三)应急领导小组应立即启动本机构应急组织，组织协调机构内部进行应急处臵，并负责向监管部门报告应急响应情况;
(四)支持保障小组做好各项应急保障工作，为应急处臵提供场地、交通、通讯及其他后勤保障;
(五)村镇银行应在重要信息系统发生突发事件60分钟之内，将突发事件相关情况上报银监会或其派出机构信息系统应急管理部门，并在事件发生12小时内提交正式书面报告;
(六)对造成经济秩序混乱或重大经济损失，影响金融稳定 -9- 的，或对银行、客户、公众的利益造成损害的突发事件，村镇银行要立即上报;
(七)村镇银行应将应急处臵重大进展情况及时上报银监会或其派出机构,直至应急结束,一级突发事件发生后,村镇银行应每2小时将应急处臵进展情况上报,直至应急结束。
重要信息系统恢复正常服务即为应急结束。
村镇银行在应急结束后，应针对应急工作进行评估和总结，并报银监会或其派出机构信息系统应急管理部门。总结报告应包括信息系统突发事件评估、处臵工作总结以及症结分析和相应的建议等内容。
第七章
附 则
(一)各行可依据本预案，结合本单位实际情况，制定具体实施细则。
(二)本预案由村镇银行负责解释和修订。
(三)本预案自印发之日起施行。
-10-
第四篇： 村镇银行计算机信息系统保密管理办法
(征求意见稿)
第一章
总 则
第一条 为加强村镇银行计算机信息系统的保密管理，确保国家秘密的安全，根据《中华人民共和国保守国家秘密法》和国家保密局《计算机信息系统保密管理暂行规定》、《计算机信息系统国际互联网保密管理规定》等有关法律、法规，制定本办法。
第二条 本办法适用于村镇银行系统采集、存储、处理、传递、使用、输出和销毁涉及国家秘密的通信、办公自动化和计算机信息系统(以下简称“涉密计算机信息系统”)。
第二章 组织与职责
第三条 村镇银行科技部门负责对村镇银行计算机信息系统保密工作进行工作指导、协调。科技部门牵头成立计算机安全检查小组负责具体计算机信息系统保密的检查工作。
第四条 村镇银行计算机信息系统的保密管理坚持“业务谁主管，保密谁负责”的原则。即特定计算机信息系统的保密管理工作由村镇银行或支行主管该系统的部门或岗位承担。
第五条 计算机信息系统的保密管理工作，应主动接受国家有关保密部门的业务指导和监督。
第六条 计算机信息系统的业务负责部门应协助计算安全检查小组，定期组织开展要害部门和重要岗位计算机信息系统的保密技术检查，发现问题应及时整改。 第七条 涉密计算机信息系统的使用部门应加强员工保密知识的学习教育，严格执行有关保密管理规定，协助村镇银行科技部门做好涉密计算机信息系统的日常管理工作。
第八条 涉密计算机信息系统工作人员的职责要求：
(一)选配涉密计算机信息系统管理人员应按国家有关规定进行严格审查，岗前保密培训，并保持相对稳定;
(二)涉密计算机信息系统工作人员应严格执行有关保密管理规定和操作规程;
(三)涉密计算机信息系统工作人员应自觉接受村镇银行保密部门的监督检查。 第九条 各支行和员工发现下列问题应及时采取补救措施，并报告保密部门。
(一)发现保密方面的漏洞和隐患;
(二)发现违反有关保密规定的行为;
(三)发现泄密事件。
第三章 系统规划建设
第十条 涉密计算机信息系统在使用前，必须报村镇银行保密管理部门审批，审批办法依照中保委《涉及 国家秘密的通信、办公自动化和计算机信息系统审批暂行办法》(中保办发[1998]6号)执行;已投入使用而尚未经过审批的涉密计算机信息系统，要按上述办法补办审批手续;未经审批或审批不合格的涉密计算 机信息系统不得投入使用。
第十一条 规划和建设涉密计算机信息系统，应同步规划建设相应的保密设施。 第十二条 涉密计算机信息系统的规划、研制、安装和使用，均必须符合保密要求。
第十三条 安装、使用涉密计算机信息系统的场所，应按国家有关规定，与办公驻地、人员住所保持相应的安全距离，并根据处理信息的涉密程度设立必要控制区，无关人员不得进入。
第十四条 安装、使用涉密计算机信息系统的场所应采取有效的安全保密措施，有关设备的技术措施 应得到国家保密部门或有关主管部门的认可，其他物理安全要求均应符合国家有关保密标准。
第十五条 保密部门应定期组织对安装、使用涉密计算机信息系统场所的保密技术检查。
第十六条 保密部门应依照有关法规和标准对建设中的涉密计算机信息系统进行保密监督和技术检 查。
第十七条 在采购计算机安全产品时，其产品必须有国家安全管理部门颁发的许可证，选购的密码产 品应符合国家有关主管部门对普密、商密管理规定。
第四章 涉密信息管理
第十八条 存储涉密信息的计算机媒体介质(包括软盘、硬盘、光盘、U盘等)，应按所存储信息的 最高密级标明密级，并按相应的密级进行管理;对不再使用的媒体介质应送交保密部门及时销毁。
第十九条 涉及国家秘密和村镇银行商业秘密的信息，不得在与国际互联网相联的计算机信息系统中编 辑、存储、运行、传递、发布，确保信息的机密性、完整性和可用性。
第二十条 上网信息的保密管理实行“谁上网谁负责”的办法。各级行应根据国家保密法规，实行上网信息保密审批领导责任制，提供主页制作服务的单位，要对自己制作的主页承担具体保密责任。
第二十一条 涉密信息必须按照保密规定进行采集、存储、处理、传递、使用和销毁，应当符合下列 要求：
(一)计算机信息系统存储、处理、传输、输出的涉密信息要有相应的密级标识，密级标识不能与正文分离;
(二)涉密信息在存储、传输中，必须采取加密措施，防止信息非授权泄露;
(三)使用加密措施应当与涉密信息的密级相同，并得到有权部门认证;
(四)涉密信息的复制、分发、输出必须得到有效的控制，并按相应密级的文件进行管理;
(五)涉密信息的销毁必须有效且不可恢复。
第二十二条 凡使用电子邮件进行网上信息交流的，应当遵守国家和村镇银行有关的保密规定，不得转发、传递或抄送国家秘密和村镇银行商业秘密信息。 第二十三条 涉密信息的数据库必须有与涉密信息密级相适应的安全保密措施，确保涉密信息在建 库、检索、修改、输出等环节的保密。
(一)用身份验证方法对用户注册和鉴别;
(二)对不同用户设置不同的用户权限，控制用户对数据的操作权限和访问范围;
(三)建立系统日志和数据备份。
第五章 系统管理
第二十四条 涉密计算机信息系统，不得直接或间接与国际互联网或其他公共信息网络联接，必须实行物理隔离。
第二十五条 涉密计算机信息系统应采取有效的防病毒、防黑客措施。外来文件在执行或打开前，应先进行病毒和黑客程序的检测和清除。
第二十六条 涉密计算机信息系统中涉及国家秘密信息的各种程序，应当在建库、检索、修改、打印 等环节设置保密措施，其保密措施应按处理秘密信息的最高密级进行管理。
第二十七条 涉密网络内部，应当采取身份认证、数字签名、访问控制、监控管理、信息加密、数据 保护、审计跟踪等措施。
(一)涉密网络的访问应按权限控制，不得越权操作。访问、处理秘密级、机密级信息，应按用户类别控制;
(二)涉密计算机网络系统的通信应采用完整性校验技术，以确保信息的完整性;
(三)涉密计算机网络应当采取身份认证技术，防止冒充和非法访问;
(四)涉密计算机网络应采用加密措施，保证信息在处理、存储、传输过程中的安全性。
第二十八条 涉密计算机网络系统应当符合《涉及国家秘密的计算机信息系统保密技术要求》所规定的其他安全保密措施。 第二十九条 涉密计算机在进行维护检修时，对涉密信息应采取安全保密措施(将涉密信息转储后彻 底删除)。无法采取上述措施时，安全保密人员和业务人员必须在维修现场，对维修人员、维修对象、维 修内容进行监督并详细记录。
第六章 考评及奖惩
第三十条 村镇银行要定期对涉密计算机信息系统的运行、维护、使用情况进行检查和综合考评，并对检查和综合考评结果予以通报;对在计算机信息系统保密工作中做出显著成绩的单位、部门和个人，应给 予表彰。
第三十一条 违反本规定的使用单位、部门和个人，由村镇银行保密部门责令其停止使用，限期整改。 对拒不执行整改，又不停止使用，而造成泄密的，应根据《村镇银行违规违纪行为处分管理办法》，给予有关责任人相应处罚。对违反本规定泄露国家秘密的，依据国家有关规定和法律，追究有关领导和直接责任人的责任，造成重大损失的，要从严处罚，直至追究刑事责任。
第七章 附 则
第三十二条 各支行可依据本办法，结合实际情况，制定具体实施细则。 第三十三条 本办法由村镇银行负责制定、解释和修订。
第三十四条 本办法自发布之日起施行，原规定与本办法相抵触的，以本办法为准。
第五篇：银行业金融机构信息系统风险管理指引
【发布单位】中国银行业监督管理委员会 【发布文号】
【发布日期】2006-11-01 【生效日期】2006-11-01 【失效日期】 【所属类别】政策参考
【文件来源】中国银行业监督管理委员会
银行业金融机构信息系统风险管理指引
第一章 总 则
第一条第一条 为有效防范银行业金融机构运用信息系统进行业务处理、经营管理和内部控制过程中产生的风险，促进我国银行业安全、持续、稳健运行，根据《 中华人民共和国银行业监督管理法》、国家信息安全相关要求和信息系统管理的有关法律法规，制定本指引。
第二条第二条 本指引适用于银行业金融机构。
本指引所称银行业金融机构，是指在中华人民共和国境内设立的商业银行、城市信用合作社、农村合作银行、农村信用合作社等吸收公众存款的金融机构以及政策性银行。
在中华人民共和国境内设立的金融资产管理公司、信托投资公司、财务公司、金融租赁公司、汽车金融公司以及经中国银行业监督管理委员会(以下简称银监会)及其派出机构批准设立的其他金融机构，适用本指引规定。
第三条第三条 本指引所称信息系统，是指银行业金融机构运用现代信息、通信技术集成的处理业务、经营管理和内部控制的系统。
第四条第四条 本指引所称信息系统风险，是指信息系统在规划、研发、建设、运行、维护、监控及退出过程中由于技术和管理缺陷产生的操作、法律和声誉等风险。
第五条第五条 信息系统风险管理的目标是通过建立有效的机制，实现对信息系统风险的识别、计量、评价、预警和控制，推动银行业金融机构业务创新，提高信息化水平，增强核心竞争力和可持续发展能力。
第二章 机构职责
第六条第六条 银行业金融机构应建立有效的信息系统风险管理架构，完善内部组织结构和工作机制，防范和控制信息系统风险。
第七条第七条 银行业金融机构应认真履行下列信息系统管理职责：
(一)贯彻执行国家有关信息系统管理的法律、法规和技术标准，落实银监会相关监管要求;
(二)建立有效的信息安全保障体系和内部控制规程，明确信息系统风险管理岗位责任制度，并监督落实;
(三)负责组织对本机构信息系统风险进行检查、评估、分析，及时向本机构专门委员会和银监会及其派出机构报送相关的管理信息;
(四)及时向银监会及其派出机构报告本机构发生的重大信息系统事故或突发事件，并按有关预案快速响应;
(五)每年经董事会或其他决策机构审查后向银监会及其派出机构报送信息系统风险管理的报告;
(六)做好本机构信息系统审计工作;
(七)配合银监会及其派出机构做好信息系统风险监督检查工作，并按照监管意见进行整改;
(八)组织本机构信息系统从业人员进行信息系统有关的业务、技术和安全培训;
(九)开展与信息系统风险管理相关的其他工作。
第八条第八条 银行业金融机构的董事会或其他决策机构负责信息系统的战略规划、重大项目和风险监督管理;信息科技管理委员会、风险管理委员会或其他负责风险监督的专业委员会应制定信息系统总体策略，统筹信息系统项目建设，定期评估、报告本机构信息系统风险状况，为决策层提供建议，采取相应的风险控制措施。
第九条第九条 银行业金融机构法定代表人或主要负责人是本机构信息系统风险管理责任人。
第十条第十条 银行业金融机构应设立信息科技部门，统一负责本机构信息系统的规划、研发、建设、运行、维护和监控，提供日常科技服务和运行技术支持;建立或明确专门信息系统风险管理部门，建立、健全信息系统风险管理规章、制度，并协助业务部门及信息科技部门严格执行，提供相关的监管信息;设立审计部门或专门审计岗位，建立健全信息系统风险审计制度，配备适量的合格人员进行信息系统风险审计。
第十一条第十一条 银行业金融机构从事与信息系统相关工作的人员应符合以下要求：
(一)具备良好的职业道德，掌握履行信息系统相关岗位职责所需的专业知识和技能;
(二)未经岗前培训或培训不合格者不得上岗;经考核不适宜的工作人员，应及时进行调整。
第十二条第十二条 银行业金融机构应加强信息系统风险管理的专业队伍建设，建立人才激励机制，适应信息技术的发展。
第十三条第十三条 银行业金融机构应依据有关法律法规及时和规范地披露信息系统风险状况。
第三章 总体风险控制
第十四条第十四条 总体风险是指信息系统在策略、制度、机房、软件、硬件、网络、数据、文档等方面影响全局或共有的风险。
第十五条第十五条 银行业金融机构应根据信息系统总体规划，制定明确、持续的风险管理策略，按照信息系统的敏感程度对各个集成要素进行分析和评估，并实施有效控制。
第十六条第十六条 银行业金融机构应采取措施防范自然灾害、运行环境变化等产生的安全威胁，防止各类突发事故和恶意攻击。
第十七条第十七条 银行业金融机构应建立健全信息系统相关的规章制度、技术规范、操作规程等;明确与信息系统相关人员的职责权限，建立制约机制，实行最小授权。
第十八条第十八条 在境外设立的我国银行业金融机构或在境内设立的境外银行业金融机构，应防范由于境内外信息系统监管制度差异等造成的跨境风险。
第十九条第十九条 银行业金融机构应严格执行国家信息安全相关标准，参照有关国际准则，积极推进信息安全标准化，实行信息安全等级保护。
第二十条第二十条 银行业金融机构应加强对信息系统的评估和测试，及时进行修补和更新，以保证信息系统的安全性、完整性。
第二十一条第二十一条 银行业金融机构信息系统数据中心机房应符合国家有关计算机场地、环境、供配电等技术标准。全国性数据中心至少应达到国家A类机房标准，省域数据中心至少应达到国家B类机房标准，省域以下数据中心至少应达到C类机房标准。数据中心机房应实行严格的门禁管理措施，未经授权不得进入。
第二十二条第二十二条 银行业金融机构应重视知识产权保护，使用正版软件，加强软件版本管理，优先使用具有中国自主知识产权的软、硬件产品;积极研发具有自主知识产权的信息系统和相关金融产品，并采取有效措施保护本机构信息化成果。
第二十三条第二十三条 银行业金融机构与信息系统相关的电子设备的选型、购置、登记、保养、维修、报废等应严格执行相关规程，选用的设备应经过技术论证，测试性能应符合国家有关标准。信息系统所用的服务器等关键设备应具有较高的可靠性、充足的容量和一定的容错特性，并配置适当的备品备件。
第二十四条第二十四条 信息系统的网络应参照相关的标准和规范设计、建设;网络设备应兼备技术先进性和产品成熟性;网络设备和线路应有冗余备份;严格线路租用合同管理，按照业务和交易流量要求保证传输带宽;建立完善的网管中心，监测和管理通信线路及网络设备，保障网络安全稳定运行。
第二十五条第二十五条 银行业金融机构应加强网络安全管理。生产网络与开发测试网络、业务网络与办公网络、内部网络与外部网络应实施隔离;加强无线网、互联网接入边界控制;使用内容过滤、身份认证、防火墙、病毒防范、入侵检测、漏洞扫描、数据加密等技术手段，有效降低外部攻击、信息泄漏等风险。
第二十六条第二十六条 银行业金融机构应加强信息系统加密机、密钥、密码、加解密程序等安全要素的管理，使用符合国家安全标准的密码设备，完善安全要素生成、领取、使用、修改、保管和销毁等环节管理制度。密钥、密码应定期更改。
第二十七条第二十七条 银行业金融机构应加强数据采集、存贮、传输、使用、备份、恢复、抽检、清理、销毁等环节的有效管理，不得脱离系统采集加工、传输、存取数据;优化系统和数据库安全设置，严格按授权使用系统和数据库，采用适当的数据加密技术以保护敏感数据的传输和存取，保证数据的完整性、保密性。
第二十八条第二十八条 银行业金融机构应对信息系统配置参数实施严格的安全与保密管理，防止非法生成、变更、泄漏、丢失与破坏。根据敏感程度和用途，确定存取权限、方式和授权使用范围，严格审批和登记手续。
第二十九条第二十九条 银行业金融机构应制定信息系统应急预案，并定期演练、评审和修订。省域以下数据中心至少实现数据备份异地保存，省域数据中心至少实现异地数据实时备份，全国性数据中心实现异地灾备。
第三十条第三十条 银行业金融机构应加强对技术文档资料和重要数据的备份管理;技术文档资料和重要数据应保留副本并异地存放，按规定年限保存，调用时应严格授权。信息系统的技术文档资料包括：系统环境说明文件、源程序以及系统研发、运行、维护过程中形成的各类技术资料。重要数据包括：交易数据、账务数据、客户数据，以及产生的报表数据等。
第三十一条第三十一条 银行业金融机构在信息系统可能影响客户服务时，应以适当方式告知客户。
第四章 研发风险控制
第三十二条第三十二条 研发风险是指信息系统在研发过程中组织、规划、需求、分析、设计、编程、测试和投产等环节产生的风险。
第三十三条第三十三条 银行业金融机构信息系统研发前应成立项目工作小组，重大项目还应成立项目领导小组，并指定负责人。项目领导小组负责项目的组织、协调、检查、监督工作。项目工作小组由业务人员、技术人员和管理人员组成，具体负责整个项目的开发工作。
第三十四条第三十四条 项目工作小组人员应具备与项目要求相适应的业务经验与专业技术知识，小组负责人需具备组织领导能力,保证信息系统研发质量和进度。
第三十五条第三十五条 银行业金融机构业务部门根据本机构业务发展战略，在充分进行市场调查、产品效益分析的基础上制定信息系统研发项目可行性报告。
第三十六条第三十六条 银行业金融机构业务部门编写项目需求说明书，提出风险控制要求，信息科技部门根据项目需求编制项目功能说明书。
第三十七条第三十七条 银行业金融机构信息科技部门依据项目功能说明书分别编写项目总体技术框架、项目设计说明书，设计和编码应符合项目功能说明书的要求。
第三十八条第三十八条 银行业金融机构应建立独立的测试环境，以保证测试的完整性和准确性。测试至少应包括功能测试、安全性测试、压力测试、验收测试、适应性测试。测试不得直接使用生产数据。
第三十九条第三十九条 银行业金融机构信息科技部门应根据测试结果修补系统的功能和缺陷，提高系统的整体质量。
第四十条第四十条 银行业金融机构业务人员、技术人员应根据职责范围分别编写操作说明书、技术应急方案、业务连续性计划、投产计划、应急回退计划，并进行演练。
第四十一条第四十一条 开发过程中所涉及的各种文档资料应经相关部门、人员的签字确认并归档保存。
第四十二条第四十二条 项目验收应出具由相关负责人签字的项目验收报告，验收不合格不得投产使用。
第五章 运行维护风险控制
第四十三条第四十三条 运行维护风险是指信息系统在运行与维护过程中操作管理、变更管理、机房管理和事件管理等环节产生的风险。
第四十四条第四十四条 银行业金融机构信息系统运行与维护应实行职责分离，运行人员应实行专职，不得由其他人员兼任。运行人员应按操作规程巡检和操作。维护人员应按授权和维护规程要求对生产状态的软硬件、数据进行维护，除应急外，其他维护应在非工作时间进行。
第四十五条第四十五条 银行业金融机构信息系统的运行应符合以下要求：
(一)制定详细的运行值班操作表，包括规定巡检时间，操作范围、内容、办法、命令以及负责人员等信息;
(二)提供常见和简便的操作菜单或命令，如信息系统的启动或停止、运行日志的查询等;
(三)提供机房环境、设备使用、网络运行、系统运行等监控信息;
(四)记录运行值班过程中所有现象、操作过程等信息。
第四十六条第四十六条 银行业金融机构信息系统的维护应符合以下要求：
(一)除对信息系统设备和系统环境的维护外，对软件或数据的维护必须通过特定的应用程序进行，添加、删除和修改数据应通过柜员终端，不得对数据库进行直接操作;
(二)具备各种详细的日志信息，包括交易日志和审计日志等，以便维护和审计;
(三)提供维护的统计和报表打印功能。
第四十七条第四十七条 银行业金融机构信息系统的变更应符合以下要求：
(一)制订严密的变更处理流程，明确变更控制中各岗位的职责，并遵循流程实施控制和管理;变更前应明确应急和回退方案，无授权不得进行变更操作;
(二)根据变更需求、变更方案、变更内容核实清单等相关文档审核变更的正确性、安全性和合法性;
(三)应采用软件工具精确判断变更的真实位置和内容，形成变更内容核实清单，实现真实、有效、全面的检验;
(四)软件版本变更后应保留初始版本和所有历史版本，保留所有历史的变更内容核实清单。
第四十八条第四十八条 银行业金融机构在信息系统投产后一定时期内，应组织对系统的后评价，并根据评价及时对系统功能进行调整和优化。
第四十九条第四十九条 银行业金融机构应对机房环境设施实行日常巡检，明确信息系统及机房环境设施出现故障时的应急处理流程和预案，有实时交易服务的数据中心应实行24小时值班。
第五十条第五十条 银行业金融机构应实行事件报告制度，发生信息系统造成重大经济、声誉损失和重大影响事件，应即时上报并处理，必要时启动应急处理预案。
第六章 外包风险控制
第五十一条第五十一条 外包风险是指银行业金融机构将信息系统的规划、研发、建设、运行、维护、监控等委托给业务合作伙伴或外部技术供应商时形成的风险。
第五十二条第五十二条 银行业金融机构在进行信息系统外包时，应根据风险控制和实际需要，合理确定外包的原则和范围，认真分析和评估外包存在的潜在风险，建立健全有关规章制度，制定相应的风险防范措施。
第五十三条第五十三条 银行业金融机构应建立健全外包承包方评估机制，充分审查、评估承包方的经营状况、财务实力、诚信历史、安全资质、技术服务能力和实际风险控制与责任承担水平，并进行必要的尽职调查。评估工作可委托经国家相应监管部门认定资质，具有相关专业经验的独立机构完成。
第五十四条第五十四条 银行业金融机构应当与承包方签订书面合同，明确双方的权利、义务，并规定承包方在安全、保密、知识产权方面的义务和责任。
第五十五条第五十五条 银行业金融机构应充分认识外包服务对信息系统风险控制的直接和间接影响，并将其纳入总体安全策略和风险控制之中。
第五十六条第五十六条 银行业金融机构应建立完整的信息系统外包风险评估与监测程序，审慎管理外包产生的风险，提高本机构对外包管理的能力。
第五十七条第五十七条 银行业金融机构的信息系统外包风险管理应当符合风险管理标准和策略，并应建立针对外包风险的应急计划。
第五十八条第五十八条 银行业金融机构应与外包承包方建立有效的联络、沟通和信息交流机制，并制定在意外情况下能够实现承包方的顺利变更，保证外包服务不间断的应急预案。
第五十九条第五十九条 银行业金融机构将敏感的信息系统，以及其他涉及国家秘密、商业秘密和客户隐私数据的管理与传递等内容进行外包时，应遵守国家有关法律法规，符合银监会的有关规定，经过董事会或其他决策机构批准，并在实施外包前报银监会及其派出机构和法律法规规定需要报告的机构备案。
第七章 审 计
第六十条第六十条 银行业金融机构内设审计部门负责本机构信息系统审计，也可聘请经国家相应监管部门认定资质的中介机构进行信息系统外部审计。
第六十一条第六十一条 信息系统风险审计应包括：总体风险审计、系统审阅和专项风险审计。
第六十二条第六十二条 总体风险审计是指对本机构所有信息系统共有的公共部分进行审计，实施总体风险控制。根据信息系统的总体风险状况确定审计频率，但至少每3年审计一次。
第六十三条第六十三条 信息系统的系统审阅是指对研发、运行及退出的全过程进行审计，分投产前与投产后的审阅。
第六十四条第六十四条 投产前的系统审阅是指审计人员采用非现场形式，对信息项目开发过程中所提交的有关文档资料进行审阅，指出其中存在的风险，了解是否具有相应的控制措施，并提出评价和建议的过程。信息系统投产前的系统审阅应关注信息系统的安全控制、权限设置、正确性、连贯性、完整性、可审计性和及时性等内容。
投产前的系统审阅重点：
(一)被外界成功攻破的可能性;
(二)在内部安全控制方面的设计漏洞与缺陷;
(三)项目开发管理方面的问题;
(四)效率与效能;
(五)功能、设计和工作流程是否符合法律、法规和内部控制方面的规定并有连续兼容性;
(六)其他需重点审阅的内容。
第六十五条第六十五条 投产前的系统审阅文档资料包括：
(一)项目可行性报告;
(二)项目需求说明书;
(三)项目功能说明书(包括业务与技术方面存在的风险及控制办法);
(四)项目总体技术框架;
(五)项目设计说明书;
(六)项目实施计划;
(七)与第三方签订的外包协议;
(八)测试计划及验收报告;
(九)投产计划;
(十)项目开发例会的会议记录;
(十一)操作手册;
(十二)其他需审阅的文档资料。
对于所含内容较多的文档资料，应对关键交易的数据处理流程、交易接口和其他重要的安全事项进行审阅。
第六十六条第六十六条 投产后的系统审阅是指在信息系统投入生产一段时间后进行的审计，旨在评估对信息系统各项风险的控制是否恰当，能否实现预定的设计目标。投产后的系统审阅应在信息系统投入生产半年后进行，审计报告应对被审计的信息系统提出改进或增加风险控制、能否继续生产等内容的审计建议。
第六十七条第六十七条 信息系统专项风险审计是指对被审计单位发生信息安全事故进行的调查、分析和评估，或原有信息系统进行重大结构调整的审计，或审计部门认为需要对信息系统某项专题进行审计。
第六十八条第六十八条 银行业金融机构信息系统风险审计也可以由银监会及其派出机构依据法律、法规和规章，委托并授权有法定资质的中介评估机构进行。
第六十九条第六十九条 中介机构根据银监会或其派出机构委托或授权对银行业金融机构进行审计时，应出示委托授权书，并依照委托授权书上规定的委托和授权范围进行审计。
第七十条第七十条 中介机构根据授权出具的审计报告经银监会及其派出机构审阅确定后具有法律效力，被审计金融机构应对该审计报告在法定时间内提出整改意见，并按审计报告中提出的建议进行及时整改。
第七十一条第七十一条 中介机构应严格执行法律法规，保守被审计单位的商业秘密和风险信息。审计过程中所有涉及资料的调阅应有交接手续，并不得带离现场或进行修改、复制。
第八章 附 则
第七十二条第七十二条 本指引由中国银行业监督管理委员会负责解释、修订。
第七十三条第七十三条 本指引自颁布之日起施行。
本内容来源于政府官方网站，如需引用，请以正式文件为准。