第一篇：銀行信息科技風險自查報告

銀行信息科技風險自查報告

在人們越來越注重自身素養的今天，報告的適用范圍越來越廣泛，我們在寫報告的時候要注意語言要準確、簡潔。你還在對寫報告感到一籌莫展嗎？以下是小編為大家收集的銀行信息科技風險自查報告，僅供參考，歡迎大家閱讀。

按照上級領導的指示，我行認真貫徹精神，為充分做好重要時期金融網絡和信息系統安全保障工作，防范我行信息科技風險，保障計算機系統運行和操作安全，建立和完善信息科技風險管理機制。對我行的信息科技工作進行了一次全面的自我評估及審查。現將審查情況報告如下：

一、設備間建設規范和管理規范

（1）設備間安裝了溫濕度儀表，以用來監控機房溫度和濕度，并能夠及時開啟控溫控濕設備來保證機房的溫度和濕度。

（2）設備間每周由網點經理或支行行長來對設備間的環境狀況進行檢查，并登記成冊，以確保設備間保持整潔和規范。

（3）設備間嚴格控制出入人員，并保證營業網點外來人員有相關證件登記。

（4）支行技術人員每年一次對設備間的主要設備進行巡檢，確保設備能夠正常使用，并在相關登記本上記錄。

二、應急管理和終端安全

（1）支行會不定期對一些預案進行檢查，確保這些預案是最新的，且告知網點人員張貼在需要的地方。

（2）支行每年會抽取一定的網點人員進行培訓和演練，并書寫心得和體會，確保網點人員能夠正確的應對突發狀況。

（3）支行每月會不定期的抽查相關電腦的軟件安裝情況，檢查是否存在私自安裝不必要的軟件，以及是否私自開通ADSL等違規的網絡。

一、網絡運行風險

1、來自互聯網和移動磁介質上病毒的攻擊。隨著我區農村信用社電子化建設的發展，計算機技術在農村信用社各項業務中的廣泛應用，部分員工因病毒防范意識較為薄弱，加上計算機水平又是參差不齊，有的員工很難主動發現客戶端系統出現的漏洞從而實施補丁升級，U盤濫用且從不進行病毒掃描，這樣就容易造成內部信息泄漏或網絡阻塞，中斷重要業務的正常運行。

二、操作流程風險

隨著業務的更新和科技步伐的加快，員工的計算機操作業務能力與嚴格執行規范程序不適應,綜合柜員制未能全面落實,不能夠完全掌握農信社的各項業務操作流程及處置程序,必然會造成操作失誤而導致風險。操作風險大致分為以下幾方面:

1、操作行為不規范,安全防范意識差。目前，我區農村信用社計算機操作員一般只通過了短期輔導培訓，未能全面掌握計算機理論知識及運用技術，主要表現在：一是一些操作人員對計算機知識的`缺乏，

經常出現操作性錯誤；二是操作人員基本安全意識不強，缺乏安全防范意識；三是人員調離或崗位變動時不及時注銷操作員，導致操作員不便于管理；四是人離機不退，個別人隨意離開工作崗位，也不簽退，給他人可乘之機，造成了嚴重的信息安全隱患。

2、不嚴格執行操作流程，造成安全隱患。由于部分員工跟不上當前農村信用社電子化建設步伐，對推出的硬件設備以及電子化產品及功能不熟悉或風險意識不強等原因造成了在操作過程中出現系列風險。一是操作人員不嚴格執行硬件設備的操作流程，造成設備損壞，致使重要業務中斷的風險；二是沒有定期對機器除塵、保養，使微機在較惡劣環境下帶“病”工作，計算機運行報錯或元器件損壞時有發生，影響了信用社窗口的服務效率和形象；三是不嚴格按照業務操作流程操作業務系統程序，給他人或科技結算中心造成不必要的負擔。

為此我們將嚴格按照省市聯社關于計算機管理的一系列相關要求，對日常計算機信息管理中存在的問題經行重點監督和整改：

1、嚴格業務系統、辦公系統與因特網等公眾系統的隔離，無法隔離的要隨時升級殺毒程序，同時嚴格移動磁介質的使用范圍、殺毒流程。加強員工計算機知識培訓，提高員工的電腦操作技能，制定防

毒策略，養成良好的上網習慣，嚴防病毒侵害。

2、加強對一線人員的操作流程、各項基本規定的培訓，加強對信息專管員的培訓，提高其處理計算機及網絡故障、防范計算機及網絡風險的能力；對業務操作人員要重點抓好計算機知識的普及培訓工作，建立各種形式的崗位培訓和定期輪訓制度，提高職工的政治素質、業務技能、敬業精神、計算機業務操作水平和安全防范綜合能力。一線人員的操作和授權不能流于形式，堅決杜絕各種混崗現象，嚴格遵循管理制度。

3、嚴格操作規范及操作權限管理

隨著農村信用社的發展，信貸系統，財務系統，OA系統的成功上線并投入使用，操作人員必須學習和掌握農村信用社的操作流程和各項規章制度,加強制度執行力的管理。操作員密碼必須定期不定期修改，并嚴格按規定設置操作員及操作員密碼，還需定期修改密碼，多用字母或符號，嚴禁使用6位相同數字或電話號碼或生日號碼等，嚴禁口頭或電話告知操作密碼。

4、加強內控建設，強化監督，完善防范機制。首先，建立柜員崗位制約為主，做到責任到崗、落實到人、相互制約、互相監督。其次，

全面落實以主任、內勤主任為主的監管體系，確保做到實時監管，及時發現問題，及時進行整改，消除風險隱患。再則，加強會計事后監督和電視監控系統管理，加大查處力度，重點是督促基層社各項計算機制度執行與落實，提升基層執行力，以此推進和完善防范制度，切實做到防患于未然。

5、日常維護方面，由基社信息專管員負責每周一次對機房衛生清理和設備故障排查，發現問題及時上報科技信息部處理；每月在各基社網點信息專管員的配合下，對網絡設備的運行和管理進行維護和檢查至少一次，全轄的ATM和POS機由科技信息部統一管理，落實基社網點專人負責，加大專管人員的培訓，使日常操作、維護工作和安全防范措施得以落實。

一、網絡運行風險

來自互聯網和移動磁介質上病毒的攻擊。隨著我區農村信用社電子化建設的發展，計算機技術在農村信用社各項業務中的廣泛應用，部分員工因病毒防范意識較為薄弱，加上計算機水平又是參差不齊，有的員工很難主動發現客戶端系統出現的漏洞從而實施補丁升級，U盤濫用且從不進行病毒掃描，這樣就容易造成內部信息泄漏或網絡阻塞，中斷重要業務的正常運行。

二、操作流程風險

隨著業務的更新和科技步伐的加快，員工的計算機操作業務能力與嚴格執行規范程序不適應,綜合柜員制未能全面落實,不能夠完全掌握農信社的各項業務操作流程及處置程序,必然會造成操作失誤而導致風險。操作風險大致分為以下幾方面:

1、操作行為不規范,安全防范意識差。目前，我區農村信用社計算機操作員一般只通過了短期輔導培訓，未能全面掌握計算機理論知識及運用技術，主要表現在：

一是一些操作人員對計算機知識的缺乏，經常出現操作性錯誤；

二是操作人員基本安全意識不強，缺乏安全防范意識；

三是人員調離或崗位變動時不及時注銷操作員，導致操作員不便于管理；

四是人離機不退，個別人隨意離開工作崗位，也不簽退，給他人可乘之機，造成了嚴重的信息安全隱患。

2、不嚴格執行操作流程，造成安全隱患。由于部分員工跟不上當前農村信用社電子化建設步伐，對推出的硬件設備以及電子化產品及功能不熟悉或風險意識不強等原因造成了在操作過程中出現系列風險。

一是操作人員不嚴格執行硬件設備的操作流程，造成設備損壞，致使重要業務中斷的風險；

二是沒有定期對機器除塵、保養，使微機在較惡劣環境下帶“病”工作，計算機運行報錯或元器件損壞時有發生，影響了信用社窗口的服務效率和形象；

三是不嚴格按照業務操作流程操作業務系統程序，給他人或科技結算中心造成不必要的負擔。

為此我們將嚴格按照省市聯社關于計算機管理的一系列相關要求，對日常計算機信息管理中存在的問題經行重點監督和整改：

1、嚴格業務系統、辦公系統與因特網等公眾系統的隔離，無法隔離的要隨時升級殺毒程序，同時嚴格移動磁介質的使用范圍、殺毒流程。加強員工計算機知識培訓，提高員工的電腦操作技能，制定防毒策略，養成良好的上網習慣，嚴防病毒侵害。

2、加強對一線人員的操作流程、各項基本規定的培訓，加強對信息專管員的培訓，提高其處理計算機及網絡故障、防范計算機及網絡風險的能力；對業務操作人員要重點抓好計算機知識的普及培訓工作，建立各種形式的崗位培訓和定期輪訓制度，提高職工的政治素質、業務技能、敬業精神、計算機業務操作水平和安全防范綜合能力。一線人員的操作和授權不能流于形式，堅決杜絕各種混崗現象，嚴格遵循管理制度。

3、嚴格操作規范及操作權限管理

隨著農村信用社的發展，信貸系統，財務系統，OA系統的成功上線并投入使用，操作人員必須學習和掌握農村信用社的操作流程和各項規章制度,加強制度執行力的管理。操作員密碼必須定期不定期修改，并嚴格按規定設置操作員及操作員密碼，還需定期修改密碼，多用字母或符號，嚴禁使用6位相同數字或電話號碼或生日號碼等，嚴禁口頭或電話告知操作密碼。

4、加強內控建設，強化監督，完善防范機制。首先，建立柜員崗位制約為主，做到責任到崗、落實到人、相互制約、互相監督。其次，全面落實以主任、內勤主任為主的監管體系，確保做到實時監管，及時發現問題，及時進行整改，消除風險隱患。再則，加強會計事后監督和電視監控系統管理，加大查處力度，重點是督促基層社各項計算機制度執行與落實，提升基層執行力，以此推進和完善防范制度，切實做到防患于未然。

5、日常維護方面，由基社信息專管員負責每周一次對機房衛生清理和設備故障排查，發現問題及時上報科技信息部處理；每月在各基社網點信息專管員的配合下，對網絡設備的運行和管理進行維護和檢查至少一次，全轄的ATM和POS機由科技信息部統一管理，落實基社網點專人負責，加大專管人員的培訓，使日常操作、維護工作和安全防范措施得以落實。

第二篇：信息科技風險自查報告

信息科技自查報告

按照上級領導的指示，我行認真貫徹精神，為充分做好重要時期金融網絡和信息系統安全保障工作，防范我行信息科技風險，保障計算機系統運行和操作安全，建立和完善信息科技風險管理機制。對我行的信息科技工作進行了一次全面的自我評估及審查。現將審查情況報告如下：

一、設備間建設規范和管理規范

（1）設備間安裝了溫濕度儀表，以用來監控機房溫度和濕度，并能夠及時開啟控溫控濕設備來保證機房的溫度和濕度。

（2）設備間每周由網點經理或支行行長來對設備間的環境狀況進行檢查，并登記成冊，以確保設備間保持整潔和規范。

（3）設備間嚴格控制出入人員，并保證營業網點外來人員有相關證件登記。

（4）支行技術人員每年一次對設備間的主要設備進行巡檢，確保設備能夠正常使用，并在相關登記本上記錄。

二、應急管理和終端安全

（1）支行會不定期對一些預案進行檢查，確保這些預案是最新的，且告知網點人員張貼在需要的地方。

（2）支行每年會抽取一定的網點人員進行培訓和演練，并書寫心得和體會，確保網點人員能夠正確的應對突發狀況。

（3）支行每月會不定期的抽查相關電腦的軟件安裝情況，檢查是否存在私自安裝不必要的軟件，以及是否私自開通ADSL等違規的網絡。

第三篇：村鎮銀行信息科技風險管理辦法

村鎮銀行信息科技風險管理辦法

（征求意見稿）

第一章 總 則

第一條 為加強村鎮銀行信息科技風險管理，確保科技體系持續穩定運轉，根據《商業銀行信息科技風險管理指引》等有關法律、法規，制定本辦法。

第二條 信息科技風險管理是通過建立有效機制，實現對銀行信息系統風險的識別、計量、評價、預警和控制，推動村鎮銀行業務創新，提高信息化管理水平，保障村鎮銀行業務持續平穩發展。

第二章 信息科技風險管理組織架構

第三條 信息科技風險是指信息系統在規劃、研發、建設、運行、維護、監控及退出過程中由于自然因素、人為因素、技術漏洞和管理缺陷產生的操作、法律和聲譽等風險。

第四條

發起行科技信息中心是村鎮銀行信息科技風險的主要管理部門，發起行科技信息中心有以下信息科技風險管理的權限和職責：

（一）建立有效的信息科技風險管理管理架構，完善內部組織結構和工作機制，防范和控制信息科技風險管理；

（二）貫徹執行國家有關信息系統相關法律、法規和技術標準，落實人民銀行和銀監會相關監管要求；

（三）履行村鎮銀行信息系統的規劃、研發、建設、運行、維護和管理職責，建立、健全村鎮銀行信息科技風險管理相關規章、制度，并嚴格執行；

（四）負責村鎮銀行信息系統的規劃、研發、建設、運行、維護和監控等工作，提供村鎮銀行信息系統日常信息服務和運行技術支持；

（五）負責指導和監督村鎮銀行科技部門落實有關信息科技風險管理的各項規章制度；

（六）發起行科技信息中心安全科是村鎮銀行信息科技風險管理的牽頭部門,發起行科技信息中心各科室按其職責范圍承擔相應工作。

第三章 信息科技風險具體控制要求

第五條 信息科技總體風險點是指信息系統在策略、制度、機房、軟件、硬件、網絡、數據、文檔等方面影響全局或共有的風險。包括以下風險點：

（一）缺少信息系統風險管理策略；

（二）自然災害、運行環境變化；

（三）信息系統相關規章制度、技術規范、操作規程不完善；

（四）信息安全標準化工作不符合國家相關規定；

（五）缺乏信息安全風險評估機制；

（六）數據中心機房物理安全；

（七）使用盜版軟件及自有成果的知識產權保護；

（八）電子設備自身運行；

（九）主機與網絡運行；

（十）網絡安全；

（十一）密碼安全；

（十二）數據加密安全；

（十三）信息系統配置參數管理；

（十四）數據管理；

（十五）突發事件響應；

（十六）信息系統故障導致影響銀行信譽；（十七）網上銀行安全。

第六條 信息系統總體風險控制措施：

（一）根據村鎮銀行信息系統總體規劃，在村鎮銀行風險管理政策指引下，制定明確、持續的信息系統風險管理策略，根據信息系統的等級保護級別對信息系統進行分析和評估，并實施有效的風險控制；

（二）建立同城信息系統災備中心實現運行環境備份，防止各類突發事故和惡意攻擊事件造成不良后果；

（三）建立健全相關信息科技制度，明確信息系統相關人員的職責權限，建立制約機制，實行最小授權；

（四）嚴格執行國家信息安全相關標準，參照有關國際準則，積極推進信息安全標準化，開展信息安全等級保護等相關工作；

（五）加強對信息系統的風險評估，及時對風險點進行修補和完善，以保證信息系統的安全性和完整性；

（六）信息系統數據中心機房建設時嚴格參照國家有關計算機場地、環境、供配電等技術標準，數據中心機房實行嚴格的門禁管理措施，未經授權不得進入；

（七）加強知識產權保護，使用正版軟件，加強軟件版本管理；積極研發具有自主知識產權的信息系統和相關金融產品，并采取有效措施保護村鎮銀行信息化成果；

（八）嚴格執行與銀行信息系統相關的電子設備的選型、購置、登記、保養、維修、報廢等相關規程，選用的設備應經過技術論證，測試性能應符合國家有關標準。信息系統所用的服務器等關鍵設備應具有較高的可靠性、充足的容量和一定的容錯特性，并配置適當數量的備品、備件；

（九）嚴格參照相關標準和規范設計、建設信息系統網絡；網絡設備應兼備技術先進性和產品成熟性；關鍵網絡設備和線路應有冗余備份；嚴格線路租用合同管理，按照業務和交易流量要

求保證傳輸帶寬；監測和管理通信線路及網絡設備，保障網絡安全穩定運行；

（十）加強網絡安全管理。嚴格網絡邊界控制，使用各種技術手段降低外部攻擊、信息泄漏等風險；

（十一）加強信息系統加密機、密鑰、密碼、加解密程序等安全要素的管理，使用符合國家安全標準的密碼設備，完善安全要素生成、領取、使用、修改、保管和銷毀等環節管理制度；

（十二）加強數據采集、存貯、傳輸、使用、備份、恢復、抽檢、清理、銷毀等環節的管理；優化系統和數據庫安全設置，嚴格按授權使用信息系統和數據庫，采用適當的數據加密技術以保護敏感數據的傳輸和存取，以保證數據的完整性、保密性；

（十三）對信息系統配置參數實施嚴格的安全與保密管理，防止非法生成、變更、泄漏、丟失與破壞。根據敏感程度和用途，確定存取權限、方式和授權使用范圍，并嚴格審批和登記手續；

（十四）制定信息系統相關應急預案，并定期進行演練、評審和修訂；

（十五）加強對技術文檔資料和重要數據的備份管理；技術文檔資料和重要數據應保留副本并異地存放，按規定年限保存，調用時應嚴格授權管理；

（十六）在信息系統可能影響客戶服務時，及時通知業務部門，以便以適當方式告知客戶；

（十七）采取有效技術措施，切實加強網上銀行信息安全保

障。加強網銀用戶身份認證管理，與業務部門密切配合，逐步對所有網上銀行高風險賬戶操作統一使用雙重身份認證。積極研發和應用各類維護網上銀行使用安全的技術和手段，保證安全技術和管理水平能夠持續適應網上銀行業務發展的安全要求。

第七條

信息科技研發風險的操作風險點是指信息系統在研發過程中組織、規劃、需求、分析、設計、編程、測試和投產等環節產生的風險。包括以下風險點：

（一）信息系統項目研發管理；

（二）信息系統項目開發人員外包；

（三）信息系統項目需求不明確；

（四）信息系統測試不規范或不完善；

（五）信息系統應用推廣；

（六）信息系統測試發現的軟件缺陷；

（七）信息系統項目文檔管理；

（八）信息系統項目驗收。

第八條

信息科技研發風險具體控制要求：

（一）一般項目研發成立項目工作小組，重大項目還應成立項目領導小組，并指定負責人。項目領導小組負責項目的組織、協調、檢查、監督工作。項目工作小組由業務人員、技術人員和管理人員組成，具體負責整個項目的開發工作；

（二）項目工作小組人員應具備與項目要求相適應的業務經驗與專業技術知識，小組負責人需具備組織領導能力，保證信息

系統研發質量和進度；

（三）項目組根據業務部門項目需求編制項目功能說明書，依據項目功能說明書分別編寫項目總體技術框架、項目設計說明書，設計和編碼應符合項目功能說明書的要求；

（四）軟件研發必須建立獨立的測試環境，以保證測試的完整性和準確性。一般測試應包括功能測試、安全性測試、壓力測試、驗收測試等，測試不得直接使用生產數據；

（五）研發人員必須根據測試結果修補信息系統的功能和缺陷，提高信息系統的整體質量；

（六）根據職責范圍配合業務人員分別編寫操作說明書、技術應急方案、業務連續性計劃、投產計劃、應急回退計劃，并進行演練；

（七）開發過程中所涉及的各種文檔資料應經相關部門、人員的簽字確認并歸檔保存；

（八）軟件開發項目必須進行嚴格的項目驗收流程，項目驗收應出具由相關負責人簽字的項目驗收報告，驗收不合格不得投入使用。

第九條 信息科技運行維護風險的操作風險點是指信息系統在運行與維護過程中操作管理、變更管理、機房管理和事件管理等環節產生的風險。包括以下風險點：

（一）人為因素導致信息系統運行故障；

（二）運行管理不完善；

（三）信息系統日常變更；

（四）新建信息系統運行；

（五）機房環境變化；

（六）信息系統故障報告程序。

第十條 信息科技運行維護風險具體控制要求：

（一）信息系統運行人員應實行專職，不得由其他人員兼任。運行人員應按操作規程巡檢和操作。對生產狀態的軟硬件、數據進行維護應符合授權和維護規程要求；

（二）相關信息系統運行維護人員嚴格按照信息系統管理制度及維護手冊運行及維護信息系統。對軟件或數據的維護必須通過上級審批、授權后方可進行；

（三）制訂嚴格的信息系統變更處理流程，明確變更流程中各崗位的職責分工，并遵循流程實施控制和管理；

（四）在信息系統投產后一定時期內，應配合業務部門，積極參與組織對系統的后評價，根據評價及時對系統功能進行調整和優化；

（五）對機房環境設施實行日常巡檢，明確信息系統及機房環境設施出現故障時的應急處理流程和預案；

（六）實行事件報告制度，發生信息系統造成重大經濟、聲譽損失和重大影響事件，應即時上報并處理，必要時啟動應急處理預案。

第十一條

信息科技外包風險的操作風險點外包風險是指

銀行將信息系統的規劃、研發、建設、運行、維護、監控等委托給業務合作伙伴或外部技術供應商時形成的風險。包括以下風險點：

（一）信息科技外包需求控制風險；

（二）信息科技外包承包方合作風險；

（三）信息科技外包項目商業風險；

（四）信息科技外包項目安全風險；

（五）信息科技外包項目質量風險；

（六）信息科技外包項目風險管理；

（七）信息科技外包項目責任風險；（入）信息科技外包項目監控風險。

第十二條 信息科技外包風險具體控制要求：

（一）在進行信息系統外包時，應根據風險控制和實際需要，合理確定外包的原則和范圍，認真分析和評估外包存在的潛在風險，建立健全相關規章制度，制定相應的風險防范措施；

（二）建立健全外包承包方評估機制，充分審查、評估承包方的經營狀況、財務實力、誠信歷史、安全資質、技術服務能力和實際風險控制與責任承擔水平，并進行必要的盡職情況調查。評估工作可委托具有國家相應監管部門認定資質、具有相關專業經驗的獨立機構完成；

（三）與承包方簽訂書面合同，明確雙方的權利、義務，并規定承包方在安全、保密、知識產權方面的義務和責任；

（四）充分認識外包服務對信息系統風險控制的直接和間接

影響，并將其納入總體安全策略和風險控制之中；

（五）建立完整的信息系統外包風險評估與檢測程序，審查管理外包產生的風險，提高本機構的外包管理的能力；

（六）信息系統外包風險管理應符合風險管理標準和策略，并建立針對信息系統外包風險的應急計劃；

（七）與信息系統外包承包方建立有效的聯絡、溝通和信息交流機制，并制定在意外情況下能夠實現承包方的順利變更辦法，保證信息系統外包服務不間斷的應急預案；

（八）對信息系統外包承包方進行持續的監控。

第四章 附 則

第十三條 各支行可依據本辦法，結合本單位實際情況，制定具體實施細則。

第十四條 本辦法由村鎮銀行負責解釋和修訂。第十五條 本規定自印發之日起施行。

第四篇：信息科技風險自查報告

信息科技風險自查報告

**農商行

按照上級領導的指示，我行認真貫徹《關于加強2010年重要時期金融信息安全保障工作的通知》（銀發[2010]57號文件）精神，為充分做好重要時期金融網絡和信息系統安全保障工作，防范我行信息科技風險，保障計算機系統運行和操作安全，建立和完善信息科技風險管理機制。對我行的信息科技工作進行了一次全面的自我評估及審查。現將審查情況報告如下：

一、組織架構、制度建設及管理情況

1.信息科技治理組織架構

（1）我行在董事會下設科技信息安全管理委員會，行長室下設信息科技管理委員會，信息安全管理委員會下設應急處理領導小組。

科技信息安全管理委員會全面負責領導和協調本行科技信息安全。

科技管理委員會負責統一規劃全行的信息化建設，指導和監督科技部門的各項工作，審議全行計算機網絡的設計方案、軟件項目招標、設備招標和統一采購及日常管理中重大問題的研究和建議。信息系統應急處理領導小組負責組織制定全轄應急處置的實施細則，統一組織、協調、指導、檢查全轄應急處置的管理；負責全轄信息系統突發事件的應急指揮、組織協調和過程控制

（2）我行成立了科技管理部和科技開發部，做到科技運維和科技開發有效分離，加強了信息科技治理。

（3）科技風險審計工作由我行稽核審計部完成，信息科技風險管理由風險管理部門完成。

（4）在支行層面則設立合規員，負責各支行科技信息相關風險監控和報告

2.信息科技管理制度建設

（1）安全管理

對安全管理活動中的各類管理內容建立安全管理制度，制定了由安全策略、管理制度、操作規程等構成的全面的信息安全管理總則《江蘇**農村商業銀行計算機信息系統安全管理制度》，安全管理制度經信息安全領導小組審定，審定周期為一年一次，并且及時發現缺漏或不足對制度進行修訂，并有修訂記錄

（2）事件管理

制訂了安全事件報告和處置管理制度——《信息安全事件管理制度》明確安全事件類型，規定安全事件的現場處理、事件報告和后期恢復的管理職責，并根據國家相關管理部門對計算機安全事件等級劃分方法和安全事件對本系統產生的影響，對安全事件進行等級劃分，制定安全事件報告和響應處理程序，確定事件的報告流程，響應和處置方法等，并對發現的安全弱點和可疑事件有《異常情況上報規定》

（3）應急處理

建立較為完善的信息系統應急恢復策略《江蘇**農村商業銀行計算機信息系統應急處理方案》，對各業務信息系統進行分類，按照重要程度，確定保障級別，制定了各信息系統突發事件專項應急預案。制定數據中心、災備中心機房關鍵基礎設施專項應急預案。

（4）安全操作規范及管理流程

我行有完整的信息安全管理流程，控制信息安全管理。包括介質管理、網絡管理、維護及故障處理制度、軟硬件變更流程、備份管理、ATM安全管理、機房管理、監控管理、密鑰管理、巡檢制度等等科技管理部各項流程。

（5）崗位職責與分工

配備一定數量的系統管理員、網絡管理員、安全管理員等。每個崗位設立2個以上操作維護人員。重要系統均配備A/B角，A/B角定期輪換。明確崗位職責《科技管理部崗位設置》《科技開發部工作職責》《科技管理部崗位百分考核辦法》（6）密級管理制度

錄用人員簽署保密協議；制定人員離崗管理流程規范，嚴格規范人員離崗過程，及時終止離崗員工的所有訪問權限；與外包商簽訂保密協議；有密級的安全管理制度，注明安全管理制度密級，并進行密級管理。

二、信息系統的技術措施情況

1.物理和環境建設

（1）機房的物理訪問控制：機房實現門禁控制，嚴防外部人員進入機房擅自操作。

（2）系統密碼均由專門人員掌管，計算機終端無人看管時鎖定；

（3）機房采用集中監控，監控清晰全面，機房環境設施均有專人崗位值班管理，參數實行24小時不間斷監控，崗位人員具備管理監控專業素質。

（4）機房供電系統均采用雙路UPS供電，線路冗余性好，負載能力強，完全能夠滿足機房電力需求。

（5）機房空調系統的有效性和冗余性，給排風系統的有效性：機房空調系統安全有效，給排風系統工作正常。

（6）中心機房和災備機房均有配套防盜竊、防雷、防火、防水、防靜電、溫濕度控制、電磁保護等措施，確保機房正常運轉。

（7）機房技術文檔完備、有效：制定了《**農村商業銀行計算機信息系統安全管理制度》、《科技部信息部中心機房監控制度》，《**農村商業銀行計算機系統運行維護管理制度》為機房維護制定詳細的規范文檔。

2.網絡管理

我行根據文件要求，對重要網絡設施(包括網絡傳輸線路、網絡設備、網絡安全設備)進行了詳細的自查，情況如下: 1.網絡安全策略

（1）內網的安全管理情況；

內網網絡安全管理： 外聯單位互聯安全保護措施：通過兩臺PIX525防火墻連接外聯單位，兩臺防火墻通過FAILOVER形成熱備，在防火墻上配置安全策略，嚴格控制進出生產網的數據。

在對外路由器上設置過濾規則，形成防護網。使用過濾規則設置功能，作過濾防護，形成銀行網絡與外聯單位之間的第一道防護網。正確地配置和使用防火墻。防火墻功能正確實施的關鍵是其安全策略的配置和管理，為企業的重要數據和內部網絡系統提供了一層可靠的安全保障。

使用地址轉換的通信策略，防火墻對內部地址進行轉換，對外映射為一個虛擬地址。

（2）外網的安全管理情況；

辦公網網絡安全建設：天融信防火墻安全防護建設：在**農商行辦公網INTERNET出口部署兩臺天融信防火墻提供了強大的網絡應用控制功能。用戶可以輕松的針對一些典型網絡應用，如MSN，QQ、Skype、即時通信應用，以及BT、訊雷等p2p應用實行靈活的訪問控制策略，如禁止、限時、乃至流量控制。還提供了定制功能，可以對用戶所關心的網絡應用進行全面控制。

能夠在核心網絡中同所有網絡設備一起構建高可用性及高安全性的拓撲結構，自身能夠實現A/A部署和狀態同步，能夠實現動態的鏈路切換，同時提供了電源冗余功能，最大限度地滿足了網絡的健壯性及穩定性，保證了整個網絡的不間斷工作。

（3）加密技術應用和私鑰的管理情況；

ARRY設備遠程VPN安全保護建設：**農商行辦公網已經部署了VPN，INTERNET用戶可以連接到內部辦公網。采用VPN技術，加強信息傳輸過程中的安全防范，可以在公共Internet網絡上提供安全通信。是企業遠程用戶、業務合作伙伴和供應商盡快實現通信和共享信息理想的安全性解決方案。根據業務系統的特點選擇對業務數據進行傳輸加密；對于網絡設備認證過程中敏感的信息進行加密。制定了《**農村商業銀行科技部密鑰管理制度》。

（4）防火墻的設置、維護和管理情況；

在網銀系統設置兩層物理防火墻，將網絡分為三個邏輯區域，及非授信區、停火區及安全區。非授信區可理解為Internet，即存在潛在威脅的區域；停火區（DMZ）內部署網銀Web服務器、RA服務器以及其它直接向外部提供服務或者進行通訊的服務器，如Mail服務器、防病毒服務器等；安全區用戶部署網銀應用服務器、數據庫服務器、通信服務器等核心部件；

（5）、設置入侵檢測系統。

入侵檢測用在網絡關鍵節點設置探頭以偵測網絡數據中。

2.網絡服務連續性、冗余性

1.所有重要通信線路均有備份線路且采用不同運營商，確保網絡無斷點。

2.網絡設備的冗余性：網絡設備均有備份。核心網絡設備，核心生產系統設備均采用雙機熱備，同城設有災備機房，確保關鍵生產設備運行的可靠性

3.訪問線路的帶寬完全能夠滿足各信息系統的帶寬需求，無網絡擁塞現象。

4.網絡設備管理配置均由專人分管負責，確保合理操作，保障網絡通暢、安全； 5.日志服務器暫無，有網絡日志，但無集中審計，需加強網絡設備日志的安全審計。

3.信息系統可靠性

我行根據文件要求，對關鍵服務器、存儲器運行的可靠性，生產系統資源冗余度等進行了全面自查，情況如下: 1.系統重要設備和組件的冗余備份

經自查，關鍵生產設備均采用雙電源，服務器有UPS電源支持，且有RAID保護。系統具備較高的可用性，所有前置系統都有備機，且定期切換演練，系統重要設備和組件均有相應的定時備份。

2.制定各系統的應急預案，定期對預案修訂和培訓，目前，我行針對世博會演練了信貸系統切換，中心機房供電演練，影像支付系統演練，網銀系統惡意攻擊模擬演練。

3.設備和系統的維護和升級管理

設備、系統均有專人維護管理，部分設備、系統聘請專業公司人員進行升級維護，崗位人員均具備相關素質，并實行AB角色。

4.對外包系統要求開發商要對我行技術人員進行詳細的日常運行、維護培訓，把相關技術移交給我行技術人員，對涉及二次開發的系統要求開發商提供完整的二次開發手冊，培訓我行技術人員掌握二次開發技術 5.系統軟件的用戶授權及鑒別認證措施：

系統軟件用戶密碼相關人員各自保管，重要系統管理密碼實行分左右手密碼保管原則，系統軟件用戶訪問實現權限控制，各級人員只能進行權限內操作。

6.系統變更管理: 制定了變更管理的主要準則和規章制度，變更管理的審批授權機制和工作流程；對變更管理進行登記、備案和存檔，制定了非計劃性緊急變更的實施方案、備份和恢復。

7.對系統日志及操作行為日志進行監察審計，確保系統穩定運行

8.系統容量管理計劃

系統處理容量增長趨勢完全滿足增量業務需求，并有適度冗余。

9.補丁更新

及時關注系統安全漏洞最新情況，及時對新發現的安全漏洞打上相關的安全補丁。經檢查當前系統已是最新最完整版本，已安裝了最新補丁

10.病毒、惡意代碼的安全防護

系統均安裝病毒查殺軟件，對病毒、惡意代碼進行安全防護。同時嚴格控制操作人員在機器上運行可能攜帶惡意代碼、病毒的腳本的外來第三方軟件

11.系統安全配置檢查 定期巡檢，對系統的安全配置實行不定期檢測，對可能存在的隱患進行排除。

4.應用安全

1.業務應用系統的用戶授權及鑒別認證措施

業務應用系統用戶密碼相關業務人員各自保管，通過操作號和密碼進行身份鑒別認證。人員離開時應設置屏幕密碼保護或退出到登陸狀態。

2.業務應用系統的用戶訪問控制

系統軟件用戶訪問實現權限控制，各級人員只能進行權限內操作

4.數據安全、備份可用性

1.數據備份策略及備份數據的可用性

（1）對各應用系統指定相應備份策略，指定不同級別的具體備份操作，每次備份完畢應檢查備份數據的有效性，并異地妥善保管好磁介質，重要數據永久保存

（2）應定期執行恢復程序，檢查和測試備份介質的有效性，確保可以在恢復程序規定的時間內完成備份的恢復。

（3）不定期對數據進行抽檢，與業務所在日期數據進行比對核實。并有應急恢復預案，及同城異地災備系統確保數據恢復性。

2.數據安全性（1）敏感數據的傳輸和存儲加密：

敏感數據傳輸實行加密管理，存儲的一些敏感數據實行加密亂碼顯示。

（2）重要業務數據的通信完整性檢測

重要業務數據通信檢測完整、正常。

（3）重要業務數據的備份策略及恢復測試機制

重要業務數據定時備份，專人存儲保管，有完整的應急恢復預案。

（4）建立了同城異地災備中心，并制定了《江蘇**農村商業銀行異地容災項目災難恢復計劃書》，內容包括危險級別的定義劃分、決策流程、災難恢復團隊、日常備份和恢復流程、災難響應和行動流程、災難切換流程、災備系統回切流程、災難恢復計劃的測試、維護等。還包含了涉及系統設備的具體清單、操作步驟等，預計RTO為6小時以內，RPO較低。

5.運行維護監控系統

我行根據文件要求，對信息系統的監測預警進行了全面自查，情況如下: 1.監測預警制度、流程及自動化監控平臺

已建立完善監測預警制度、流程，機房環境、參數，系統的運行狀況，CPU使用情況、文件系統使用情況等均實現自動化監控。

2.監測預警組織結構及人員設置

每天有人員24小時值班，檢查系統及網絡運行狀況，及時發現問題，監測預警專人負責，按照警報級別逐級上報，確保故障的及時排除。

3.監測預警日志

設立監控日志，每日由監測預警人員負責記錄。

4.監測預警文檔的完備性

有監測預警文檔說明，但不夠完善。

5.與電力供應部門、網絡供應商、公安部門等外部機構均有相應的應急聯動機制，我行正在實施保衛部網點聲光聯動報警，做到入侵報警設施與照明、視頻安防監控及聲音復核等設備聯動

三、不足和改進方法

1.需將管理與技術相結合，進一步加強信息安全管理手段

從IT風險管理手段來看，部分系統的風險控制不夠先進，缺乏專業的風險技術支持，事前預防作用有限，事中控制不夠。缺乏對科技風險的集中審計。本行將引進AAA統一認證管理系統，加強系統用戶的授權，權限控制和賬號管理。架設日志服務器，對系統日志進行集中收集和審計。通過平臺對所有用戶進行統一的授權。采用基于角色的授權機制，按照內部的組織結構劃分角色，并為用戶綁定角色。對于不同的角色分配不同應用系統的訪問權限。平臺依靠記錄追蹤用戶和管理人員的訪問過程，建立一套全面的、有效的回溯和追查機制。可以實時監測用戶對各應用系統的訪問狀態，及時發現非法訪問事件，對出現的問題進行事后追溯和責任追究提供實證。通過對系統運行狀態實時監控審計，增強系統的可維護性。

2.進一步完善計算機系統安全管理制度

本行已經在內部建立并健全了一系列的計算機系統安全管理制度，并由稽核部門對銀行計算機系統進行專項稽核，但未配備專門的稽核人員，在廣度和深度上不夠，因此對照新指引的精神，從組織上保證信息風險有具體人員來承擔責任，強化執行力和合規性。將日常信息風險管理從傳統的檢查模式逐步過渡到基于評估、規劃、執行和監督全面循環改進的模式。制訂詳細的IT風險管理架構，確立IT服務管理與IT風險管理的關系，明確IT風險管理的范圍、職責，制訂符合銀行實際情況的管理流程，出臺可操作性強的安全技術規范，加強開發過程的風險控制。從而有效地防范科技風險。

第五篇：銀行信息科技風險的治理途徑

銀行信息科技風險的治理途徑

中國農業發展銀行總行營運中心 李小慶

信息科技風險治理的主要目標是為了采取一定的有效措施，規避信息科技風險帶來的損失，同時需要平衡信息科技風險防控所收獲的價值和開展信息科技風險防控活動所需的成本。257 信息化建設一直是現代銀行發展戰略的重要組成部分。最近十年，銀行信息化建設一直在高速向前發展。隨著數據大集中工程的啟動及完成，銀行信息化從信息基礎設施到業務系統的建設，都取得了較為明顯的成效，信息化總體架構已經成熟，各類業務應用系統已經初具規模。各類信息系統已經成為銀行提供客戶服務、獲取市場價值、培育核心競爭力的重要途徑。

但是，隨著銀行信息化規模的日益擴大，信息科技風險的防控及治理始終是銀行信息化建設和管理的薄弱環節。2009年，銀監會發布《商業銀行信息科技風險治理指引》（以下簡稱《指引》），從信息安全、信息系統開發和信息科技運行等多個層面對信息科技風險治理進行了清晰規定。從《指引》中，我們可以解讀到，信息科技風險治理是以可接受的成本識別、控制、降低可能影響信息系統風險的過程，通過風險識別，制定信息科技風險治理策略，采取適當的控制目標與控制方式對風險進行控制，使風險被避免、轉移或降低到一個可以被接受的水平，同時考慮控制費用與風險之間的平衡。信息科技風險治理體系主要包含信息科技風險識別、分析與評價，信息科技風險的計量，信息科技的治理思路和控制措施。

一、信息科技風險識別、分析與評價

信息科技風險治理的主要目標是在可接受成本的范圍內，分析信息系統面臨的潛在風險，并采取一定措施控制和防御風險的過程。風險識別是指對組成信息科技風險因素在系統中潛在可能性認識的過程，風險分析是指系統化地識別和分析風險來源和風險類型，風險評價是指按組織制定的風險標準計算風險水平，確定風險嚴重性。

1．風險識別

信息科技風險的組成因素，一般包含價值信息資產、信息資產面臨的威脅、信息資產的脆弱性等。信息資產是對組織具有價值的信息資源，是風險控制措施保護的對象。信息資產面臨的威脅是可能對信息資產或組織造成損害的潛在因素。信息資產脆弱性是信息資產可能被威脅利用的弱點。風險識別是對信息系統和信息基礎設施的威脅、脆弱性和風險的識別，它包含以下元素：被特定威脅利用的信息資產的一種或一組脆弱性，導致信息資產丟失或損害的潛在可能性，即特定威脅事件發生的可能性與后果的集合。風險識別過程是綜合分析信息科技風險各組成因素，包含信息資產的價值、對信息資產的威脅和威脅發生的可能性、信息資產脆弱性、現有的風險控制提供的保護等，從而導出風險的過程。銀行對信息科技風險一般具有偏好性考慮，其結果受到業務需求及戰略目標、文化、業務流程、風險要求、信息規模和結構的影響，因此在風險識別實施前，應確定風險識別的范圍和目標，建立適當的組織結構，建立系統化的風險識別方法，獲得管理者對風險識別工作的批準。

2．風險分析

在進行風險識別之后，必須就各項風險對整個信息系統的影響程度做一些分析和評價，通常這些評價建立在以特性為依據的判斷和以數據統計為依據的研究上。風險分析的方法非常多，一般采用統計學范疇內的概率、分布頻率、平均數、眾數等方法。但無論是哪一種工具，都各有長短，而且不可避免地會受到分析者的主觀影響。可以通過多維度、多人員分析或者采取頭腦風暴法等盡可能避免。此外，應當明確，風險是一種變化著的事物，基于這種易變條件上的預測和分析，是不可能做到十分精確和可靠的。所有的風險分析都只有一個目的，即盡量為避免信息系統提供的服務失控和為具體的信息系統開發和運行中突發問題預留足夠的后備措施和緩沖空間。

3．風險評價

信息科技風險評價方法有兩種：定量方法和定性方法。定量分析是試圖從財務價值上對構成風險的信息資產的各項要素進行量化分析評價的一種方法，由于定量分析所依賴的數據的可靠性和有效性很難保證，加之對數據統計缺乏長期性，所以，定量分析方法在銀行信息科技風險評價中并不常用，取而代之的是更容易實施的定性分析方法。

定性風險評價并不強求對構成風險的各個要素進行精確的量化評價，它有賴于評價者的經驗判斷、業界慣例以及組織自身定義的標準，來對風險要素進行相對的等級分化，最終得出的風險大小，只需要通過等級差別來分出優先順序即可。事實上，銀行最關心的是業務活動的持續性，對于影響業務活動持續性的各種風險問題，在有限的資源支持情況下，只需要抓住最突出的問題，有針對性地采取措施即可。

二、信息科技風險計量方法

風險計量是在風險識別的基礎上，根據信息科技風險組成要素的相關屬性進行賦值，進行綜合計算最終獲得信息科技風險值。信息資產的屬性主要是資產價值，威脅的屬性主要是威脅主體、影響程度、影響范圍等，脆弱性的屬性主要是信息資產缺陷的嚴重程度。風險計量的主要內容是對信息資產進行識別，并對信息資產的價值進行賦值；對威脅進行識別，描述威脅的屬性，并對威脅潛在影響程度賦值；對信息資產的脆弱性進行識別，并對具體信息資產的脆弱性的嚴重程度賦值。風險計量原理如圖1所示，具體計量方法進行如下介紹。

1．信息資產風險的計量

信息資產是指任何對銀行具有價值的信息資產，包括計算機硬件、通信設施、機房、數據庫、文檔信息、軟件、信息服務和人員等，所有這些信息資產都需要妥善保護。為了進一步定義其價值，一般需將其分類，除一般認可的軟件、硬件、數據信息資產外，還需增加人員、服務等項目，在此基礎上可進一步細分，以達到精細化管理的要求。對細分后的信息資產，需定義其價值。這里所講的價值并不是財物價格，而是從信息科技風險的角度，即機密性、完整性、可用性的價值取值。如果采取三級分類法對信息資產進行劃分，分類標準參照如下。

（1）關鍵信息資產：從保密性而言，對應為機密級，涵蓋重要的信息、信息處理設施和系統資源，只能給少數必須知道者（特定的任務群體），一旦泄漏，會造成嚴重的損害（部門或特定范圍）。

（2）重要信息資產：從保密性而言，對應為秘密級，涵蓋一般性的商業秘密，泄漏后會造成一定的損害，但不會造成重大的影響與損失。未經授權的更改、破壞或誤操作對信息系統造成一定的影響，或給業務帶來明顯沖擊。

（3）普通信息資產：并非敏感信息，主要限于內部使用。一旦泄漏，并不會造成顯著的影響。很難采用精確的財務方式來給信息資產確定價值，一般采用定性的方式來建立信息資產的價值或重要度，即按照事先確定的價值尺度將信息資產的價值劃分為不同等級。經過信息資產識別與估價后，組織應根據信息資產價值的大小進一步確定需要保護的關鍵信息資產。

2．威脅風險的計量

威脅風險的計量用以評價威脅發生時對信息資產造成的潛在影響或后果，威脅一般能對信息基礎設施進行損壞，還有可能導致信息泄密，或信息完整性和可用性受損，信息服務質量下降，嚴重的甚至可能造成信息系統崩潰、信息服務中斷，直接影響銀行的經營利潤和聲譽風險。不同的威脅可能對銀行及其信息資產的影響程度不盡相同，其導致的價值損失可能也不一樣，威脅的可能性可以采取資產的相對價值的損失度來衡量，資產的相對價值是通過折舊損耗之后資產的現值，價值損失度表示當信息資產遭遇威脅攻擊之后，信息資產及信息服務質量遭受損失的程度。威脅的可能性一般可分為三級，取值標準如下。

（1）高：在業務活動持續期間，威脅發生后，會對資產的相對價值造成全部損失或巨大損失。

（2）中：在業務活動持續期間，威脅發生后，會對資產的相對價值造成中度損失或局部損失。

（3）低：在業務活動持續期間，威脅發生后，會對資產的相對價值造成輕微損失或零損失。

3．脆弱性風險的計量

由于組織、人員、管理、技術、流程、信息資產本身的缺陷，導致信息資產和信息基礎設施在某些方向存在一定的脆弱性，這些脆弱性在信息系統連續運行的過程中，當遇到某種環境或某類事件時，就會被激發或體現出來，它可能導致信息資產直接受損或信息系統運行質量下降，同時還有可能被某種威脅利用，導致較為嚴重的后果。因此，應該針對每一項需要保護的信息資產，分析其脆弱性存在的地方及嚴重程度，評價由于其脆弱性的存在，當意外事件或威脅發生時，會給銀行帶來的直接或間接的損失或傷害。信息資產脆弱性一般分為三級，取值標準如下。

（1）高：當有意外事件或脆弱性被威脅利用，會造成存在此脆弱性的信息資產立即停止為相關業務提供服務。

（2）中：當有意外事件或脆弱性被威脅利用，會造成存在此脆弱性的信息資產降低為相關業務提供服務的效率，但服務仍可繼續。

（3）低：當有意外事件或脆弱性被威脅利用，會造成存在此脆弱性的信息資產對繼續為相關業務提供服務沒有影響。

最終每項信息資產的風險狀況可用以下方法簡單計算得到：

風險值=信息資產價值*威脅可能性*弱點嚴重性

資產價值、威脅可能性、脆弱性嚴重性采用三級分類，其低、中、高取值分別為1、2、3，資產的風險值則有1、2、3、4、6、8、9、12、18、27等結果。我們可以定義風險值在l至9的資產為低風險資產，風險值12至18為中等風險資產，風險值27為高風險資產。銀行可根據自己的風險偏好，確定可接受的風險程度，如低風險可接受，而中高風險不可接受，然后對不可接受風險采取相應的控制措施。通過降低風險發生的可能性，確保信息資產的殘余風險控制在銀行可接受的范圍內。

三、銀行信息科技風治理思路

按照國際信息系統審計與控制協會ISACA的觀點，信息科技風險治理是一個由各類信息關系和信息科技風險治理活動過程組成的治理結構，用以指導、分析和控制信息科技風險。信息科技風險治理的主要目標是為了采取一定的有效措施，規避信息科技風險帶來的損失，同時需要平衡信息科技風險防控所收獲的價值和開展信息科技風險防控活動所需的成本。因此，不僅僅要從技術層面規避風險，同時要從流程、技術、人員三個不可分離的層面來從事信息科技風險的管理工作。目前在信息科技風險管控方面，銀行還需滿足外部監管部門的要求，從而避免給銀行帶來更大的合規風險。

1．提出信息科技風險治理需求

信息科技風險是信息系統各組成要件在履行其應用功能過程中，在完整性、可用性、抗否認性和機密性等方面存在的脆弱性，以及信息系統內部或外部的人們利用這些脆弱性可能產生的違背信息系統所屬組織風險管理意志的行為及其后果。信息科技風險治理需求則是對抗和消除信息科技風險治理風險的必要}生和可行陛，它是制定和實施信息科技風險治理策略的起點和依據。在制定信息科技風險治理策略前，首先需要進行信息科技風險治理風險識別，充分分析信息科技風險治理需求。為此，銀行需要詳細分析銀行信息系統的構成，所要保護的信息系統資源類別，以及對攻擊者攻擊目的、技術手段和造成的后果的假設，兼顧所受到的已知的、可能的和與該系統有關的威脅，以及構成信息系統各部件的缺陷和隱患共同形成的風險等，從而提出信息科技風險治理需求。

2．確定信息科技風險治理策略

信息科技風險治理需求轉變為信息科技風險治理策略主要把握三個平衡標準：一是能夠采取一定的方法將信息科技風險降到可以接受的程度；二是潛在的信息科技風險的威脅隨時有可能對現有信息資產的價值進行催毀或造成較大程度的損失；三是銀行自身的合規建設和外部監管部門的合規要求。

一個較好的信息科技風險治理策略，應該最大限度地按照信息科技風險治理等級保護要求對信息資產的脆弱性進行保護，對信息資產面臨的威脅進行防控、規避或消除，能夠體現系統資源擁有者和管理者的信息科技風險治理意志和思路，保證攻擊信息系統所花的代價遠遠大于獲取信息資產的現值和潛在價值。同時，信息科技風險治理策略應盡可能地制約所預見的系統風險及其變化，并在維持“風險一信息科技風險治理一投資”關系中具有持續平衡能力。

3．建立信息科技風險治理體系

將信息科技風險治理策略付諸實施的關鍵，是建立起符合銀行實際的保障信息資產的信息科技風險治理組織體系、管理體系和技術體系，從而在管理和技術上保證信息科技風險治理策略得以完整準確地實現，全面準確地滿足信息科技風險治理需求。其中，組織體系是信息系統信息科技風險治理的組織保障，由人、崗位和人事管理機構三部分組成；管理體系是信息科技風險治理的靈魂，由法律管理、制度管理、培訓和管理四部分組成，信息科技風險治理需求分析和信息科技風險治理策略制定是其關鍵內容；技術體系是全面提供信息科技風險治理保護的技術保障系統，包括確定必需的信息科技風險治理服務、信息科技風險治理機制和技術管理以及它們在信息系統上的合理部署和配置。

四、信息科技風險防控方法

通過對銀行信息科技治理、全面的信息科技項目風險管理、信息系統開發、維護、運行管理、信息風險體系的建立、銀行業務連續性管理、技術外包管理、內部和外部審計等幾方面結合，具體論述銀行各類信息科技風險的防控策略和建立一體化防控機制的措施，通過建立有效的防控機制，實現對銀行信息科技風險的識別、計量、評價和控制，提供風險預警，增強銀行的核心競爭力和可持續發展的能力。

1．建立信息科技風險治理的決策議事機構

在銀行風險管理委員會和信息化委員會的基礎上，在其下面建立信息科技風險治理的議事決策機構——信息科技風險管理分委會，信息科技風險管理分委會由銀行的最高管理層及與信息科技風險治理有關的部門負責人、管理技術人員組成，定期召開會議，并就以下重要信息科技風險治理議題進行討論并做出決策，為銀行信息科技風險治理提供導向與支持：評審和審批信息科技風險治理策略；分配信息科技風險治理職責；確認風險評價的結果；對與信息科技風險治理有關的重大更改事項，如組織機構調整、信息系統更改等進行決策；評審和監測信息科技風險治理事故；審批與信息科技風險治理有關的其他重要事項。

2．明確信息科技風險治理的職責和流程

職責缺乏或界定不清，最終導致信息科技風險控制得不到有效的實施，形成管理風險。銀行最高管理者應確保對以下信息科技風險治理職責進行規定并形成書面文件：管理層職責，部門職責；在管理層指定一名信息科技風險治理經理，分管銀行信息科技風險治理事宜，負責銀行的信息科技風險治理方針的貫徹與落實，就信息科技風險治理的效果與有關重大問題及時與最高管理者進行溝通。確定與信息科技風險治理有關的管理、操作、驗證等人員的職責；基本原則就是告知管理層和員工信息科技風險治理時的行為和方法，特別是在信息科技風險治理通常不被重視的地方。

3．建立信息系統的安全等級保護機制

銀行需要按照國家及監管部門有關等級保護的管理規范和技術標準開展等級保護工作，建設風險設施、建立風險制度、落實風險責任，接受公安機關、保密部門對信息系統安全等級保護工作的監督、指導，保障信息系統風險。信息系統安全等級保護工作的原則為：對照標準定級，各信息系統風險保護等級的確定須對照監管部門或總行關于等級劃分和定級的標準來確定；分級實施保護，根據確定的信息系統風險保護等級，按照相關的法規和標準，分級別實施不同強度的風險保護；建設保護同步，信息系統在新建、改建、擴建時須同步規劃和設計風險方案，并組織實施；等級動態調整．信息系統的功能和系統架構發生重大變化的，須重新進行等級確定并實施風險保護。

4．加強與其他關聯組織間的協作

信息科技發展日新月異，信息安全產品與技術不斷翻新，信息安全威脅的手段與種類也在不斷地變化。因此，對于外行來說，信息科技風險治理的某些方面是復雜的和困難的，對內行來說，同樣也是復雜的和困難的。銀行可通過各種方式，獲取信息科技風險治理方面的建議以支持信息科技風險治理。與信息科技風險治理有關的國家管理機關有公安部、國家安全局、信息產業部等，銀行在遵守信息科技風險治理法律法規的方面，應服從與信息科技風險治理有關的國家執法機構、人民銀行和銀監會的管理和指導。銀行有必要保持和它們以及同業銀行、信息服務供應商、電信運營商的適當聯系，以確保在出現風險事故時盡快采取適當的行動和獲得建議。但在進行風險信息的交流時，要防止銀行的機密信息傳給未經授權的人。

5．對信息科技風險治理工作進行獨立評審

信息科技風險治理以風險出現的可能性作為對象而展開的，遵循管理的一般循環模式：計劃、執行、檢查、行動的持續改進模式。為驗證各項信息科技風險治理方針及控制程序、風險管理規章制度是否被有效實施，發現風險隱患并采取糾正措施，防止同樣的問題再次發生，可以通過內部審核或外部審核達到上述目的。所謂審核的“獨立”性是指審核員與被審核方保持適當的獨立性，即被審核方不應審核自己的工作，確保信息科技風險治理體系和策略的公正與可靠。