中国银监会办公厅关于印发《商业银行数据中心监管指引》的通知
中国银行业监督管理委员会关于印发《商业银行信息科技风险管理指引》的通知
中国银行业监督管理委员会关于印发《商业银行信息科技风险管理指引》的通知文章属性•【制定机关】中国银行业监督管理委员会(已撤销)•【公布日期】2009.03.03•【文号】银监发[2009]19号•【施行日期】2009.03.03•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】银行业监督管理正文中国银行业监督管理委员会关于印发《商业银行信息科技风险管理指引》的通知（银监发[2009]19号）各银监局，各政策性银行、国有商业银行、股份制商业银行、金融资产管理公司，邮政储蓄银行，各省级农村信用联社，银监会直接监管的信托公司、财务公司、金融租赁公司，中央国债登记结算公司：现将《商业银行信息科技风险管理指引》印发给你们，请认真执行。
请各银监局将本通知转发至辖内各银行业金融机构（含外资银行）。
中国银行业监督管理委员会二00九年三月三日商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。
第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。
政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。
第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。
第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。
《商业银行数据中心监管指引》(银监办发﹝2010﹞114号)
中国银行业监督管理委员会办公厅关于印发《商业银行数据中心监管指引》的通知银监办发[2010]114号各银监局，各政策性银行、国有商业银行、股份制商业银行，邮政储蓄银行，各省级农村信用联社：为加强商业银行数据中心风险管理，保障数据中心安全、可靠、稳定运行，加强灾难恢复管理，提高业务连续性水平，现将《商业银行数据中心监管指引》印发给你们，请遵照执行。
请各银监局将本通知转发至辖内相关银行业金融机构。
中国银行业监督管理委员会办公厅二0一0年四月二十日商业银行数据中心监管指引第一章总则第一条为加强商业银行数据中心风险管理，保障数据中心安全、可靠、稳定运行，提高商业银行业务连续性水平，根据《中华人民共和国银行业监督管理法》及《中华人民共和国商业银行法》制定本指引。
第二条在中华人民共和国境内设立的国有商业银行、股份制商业银行、邮政储蓄银行、城市商业银行、省级农村信用联合社、外商独资银行、中外合资银行适用本指引。
中国银行业监督管理委员会（以下简称中国银监会）监管的其他金融机构参照本指引执行。
第三条以下术语适用于本指引：（一）本指引所称数据中心包括生产中心和灾难备份中心（以下简称灾备中心）。
（二）本指引所称生产中心是指商业银行对全行业务、客户和管理等重要信息进行集中存储、处理和维护，具备专用场所，为业务运营及管理提供信息科技支撑服务的组织。
（三）本指引所称灾备中心是指商业银行为保障其业务连续性，在生产中心故障、停顿或瘫疾后，能够接替生产中心运行，具备专用场所，进行数据处理和支持重要业务持续运行的组织。
（四）本指引所称灾备中心同城模式是指灾备中心与生产中心位于同一地理区域，一般距离数十公里，可防范火灾、建筑物破坏、电力或通信系统中断等事件。
灾备中心异地模式是指灾备中心与生产中心处于不同地理区域，一般距离在数百公里以上，不会同时面临同类区域性灾难风险，如地震、台风和洪水等。
（五）本指引所称重要信息系统是指支撑重要业务，其信息安全和服务质量关系公民、法人和组织的权益，或关系社会秩序、公共利益乃至国家安全的信息系统。
商业银行数据中心监管指引
（五）应统一调度各项运维任务，协调和解决各项运维任务冲突，妥善记录和保存运维 任务调度过程。 （六）应制定验收交接标准及流程，规范重要信息系统投产验收管理。加强版本控制， 防范因软件版本、操作文档等不一致产生的风险。 （七）应根据商业银行总体风险控制策略及应急管理要求，从基础设施、网络、信息系 统等不同方面分别制定应急预案，并及时修订应急预案，定期进行演练，保证其有效性。 （八）应集中监控重要信息系统和通信网络运行状态。采用监控管理工具，实时监控重 要信息系统和通信网络的运行状况，通过监测、采集、分析和调优，提升生产系统运行的可 靠性、稳定性和可用性。监控记录应满足故障定位、诊断及事后审计等要求。 第二十七条 数据中心应建立信息安全管理规范，保证重要信息的机密性、完整性和可 用性，包括： （一）应设立专门的信息安全管理部门或岗位，制定安全管理制度和实施计划，定期对 信息安全策略、制度和流程的执行情况进行检查和报告。 （二） 应建立和落实人员安全管理制度， 明确信息安全管理职责； 通过安全教育与培训， 提高人员的安全意识和技能；建立重要岗位人员备份制度和监督制约机制。 （三）应加强信息资产管理，识别信息资产并建立责任制，根据信息资产重要性实施分 类控制和分级保护，防范信息资产生成、使用和处置过程中的风险。 （四）应建立和落实物理环境安全管理制度，明确安全区域、规范区域访问管理，减少 未授权访问所造成的风险。 （五）应建立操作安全管理制度，制定操作规程文档，规范信息系统监控、日常维护和 批处理操作等过程。 （六）应建立数据安全管理制度，规范数据的产生、获取、存储、传输、分发、备份、
震、地质灾害高发区域。 第二十一条 数据中心基础设施建设应以满足重要信息系统运行高可用性和高可靠性要 求、保障业务连续性为目标，应满足但不限于以下要求： （一）建筑物结构，如层高、承重、抗震等，应满足专用机房建设要求。 （二）应根据使用要求划分功能区域，各功能区域原则上相对独立。 （三）应配备不间断电源、应急发电设施等以满足信息技术设备连续运行的要求。 （四）通信线路、供电、机房专用空调等基础设施应具备冗余能力，进行冗余配置，消 除单点隐患。 （五）机房区域应采用气体消防和自动消防预警系统，内部通道设置、装饰材料等应满 足消防要求，并通过消防验收。 （六）应采取防雷接地、防磁、防水、防盗、防鼠虫害等保护措施。 （七）应采用环保节能技术，降低能耗，提高效率。 第二十二条 数据中心安防与基础设施保障应满足但不限于以下要求： （一） 各功能区域应根据使用功能划分安全控制级别， 不同级别区域采用独立的出入控 制设备，并集中监控，各区域出入口及重要位置应采用视频监控，监控记录保存时间应满足 亭件分析、监督审计的需要。 （二）应具备机房环境监控系统，对基础设施设备、机房环境状况、安防系统状况进行 7x24 小时实时监测，监测记录保存时间应满足故障诊断、事后审计的需要。 （三）每年至少开展一次针对基础设施的安全评估，对基础设施的可用性和可靠性、运 维管理流程以及人员的安全意识等方面进行检查，及时发现安全隐患并落实整改。 第二十三条 数据中心应来用两家或多家通信运营商线路互为备份。互为备份的通信线 路不得经过同一路由节点。
中国银行业监督管理委员会关于印发《银行业金融机构信息系统风险管理指引》的通知
中国银行业监督管理委员会关于印发《银行业金融机构信息系统风险管理指引》的通知文章属性•【制定机关】中国银行业监督管理委员会(已撤销)•【公布日期】2006.08.07•【文号】银监发[2006]63号•【施行日期】2006.08.07•【效力等级】部门规范性文件•【时效性】失效•【主题分类】银行业监督管理正文*注：本篇法规已被《中国银行业监督管理委员会关于印发＜商业银行信息科技风险管理指引＞的通知》（发布日期：2009年3月3日实施日期：2009年3月3日）废止中国银行业监督管理委员会关于印发《银行业金融机构信息系统风险管理指引》的通知(银监发[2006]63号)各银监局，各政策性银行、国有商业银行、股份制商业银行，各金融资产管理公司，各省（区、市）农村信用社联合社、国家邮政局邮政储汇局，银监会直接监管的信托投资公司、财务公司、金融租赁公司，中央国债登记结算公司，建银投资公司：现将《银行业金融机构信息系统风险管理指引》印发给你们，请认真执行。
请各银监局将本通知转发至辖内各银行业金融机构。
中国银行业监督管理委员会二00六年八月七日银行业金融机构信息系统风险管理指引第一章总则第一条为有效防范银行业金融机构运用信息系统进行业务处理、经营管理和内部控制过程中产生的风险，促进我国银行业安全、持续、稳健运行，根据《中华人民共和国银行业监督管理法》、国家信息安全相关要求和信息系统管理的有关法律法规，制定本指引。
第二条本指引适用于银行业金融机构。
本指引所称银行业金融机构，是指在中华人民共和国境内设立的商业银行、城市信用合作社、农村合作银行、农村信用合作社等吸收公众存款的金融机构以及政策性银行。
在中华人民共和国境内设立的金融资产管理公司、信托投资公司、财务公司、金融租赁公司、汽车金融公司以及经中国银行业监督管理委员会（以下简称银监会）及其派出机构批准设立的其他金融机构，适用本指引规定。
第三条本指引所称信息系统，是指银行业金融机构运用现代信息、通信技术集成的处理业务、经营管理和内部控制的系统。
《商业银行数据中心监管指引》-2010
《商业银行数据中心监管指引》-2010⒈引言⑴目的本指引旨在对商业银行数据中心的监管进行规范，保护客户信息和银行数据的安全性和完整性，促进银行业务的稳定发展。
⑵背景随着信息化时代的到来，商业银行数据中心的重要性日益凸显。
数据中心的安全与稳定运行直接影响整个银行业务的正常运转。
因此，对商业银行数据中心的监管变得尤为重要。
⒉数据中心建设⑴设计规划①数据中心布局设计②数据中心设备选型③数据中心物理安全措施⑵网络与通信①数据中心网络架构②网络安全措施与防护③通信设备选择与配置⑶机房环境管理①温度与湿度控制②供电与备用电源③消防安全设施⒊数据安全管理⑴数据备份与恢复①备份策略与周期②数据恢复测试与验证⑵访问控制①身份验证与权限管理②访问日志与审计⑶数据加密与传输安全①加密算法与密钥管理②数据传输安全措施⒋风险管理⑴数据中心风险评估①风险识别与分类②风险评估与分析方法⑵应急响应与恢复①应急响应计划制定②应急演练与恢复策略⒌监管要求与义务⑴监督与检查①监管机构监督部门职责②数据中心监督检查事项⑵报告与信息披露①数据中心运行报告②安全事件通报要求⒍附件本文档涉及的附件详见附件1、附件2等。
⒎法律名词及注释⑴数据中心：商业银行机构用于存储、管理和处理数据的物理或虚拟场所。
⑵监管机构：国家相关金融监管部门。
⑶数据备份：将数据复制到另一个存储介质或位置，以便在数据丢失或损坏时进行恢复。
⑷加密算法：将数据转化为密文的数学算法。
⑸身份验证：确认用户身份的过程。
⑹应急响应计划：为应对突发事件而事先制定的方案。
《商业银行数据中心监管指引》
商业银行数据中心监管指引第一章总则第一条为加强商业银行数据中心风险管理，保障数据中心安全、可靠、稳定运行，提高商业银行业务连续性水平，根据《中华人民共和国银行业监督管理法》及《中华人民共和国商业银行法》制定本指引。
第二条在中华人民共和国境内设立的国有商业银行、股份制商业银行、邮政储蓄银行、城市商业银行、省级农村信用联合社、外商独资银行、中外合资银行适用本指引。
中国银行业监督管理委员会（以下简称中国银监会）监管的其他金融机构参照本指引执行。
第三条以下术语适用于本指引：（一）本指引所称数据中心包括生产中心和灾难备份中心（以下简称灾备中心）。
（二）本指引所称生产中心是指商业银行对全行业务、客户和管理等重要信息进行集中存储、处理和维护，具备专用场所，为业务运营及管理提供信息科技支撑服务的组织。
（三）本指引所称灾备中心是指商业银行为保障其业务连续性，在生产中心故障、停顿或瘫疾后，能够接替生产中心运行，具备专用场所，进行数据处理和支持重要业务持续运行的组织。
（四）本指引所称灾备中心同城模式是指灾备中心与生产中心位于同一地理区域，一般距离数十公里，可防范火灾、建筑物破坏、电力或通信系统中断等事件。
灾备中心异地模式是指灾备中心与生产中心处于不同地理区域，一般距离在数百公里以上，不会同时面临同类区域性灾难风险，如地震、台风和洪水等。
（五）本指引所称重要信息系统是指支撑重要业务，其信息安全和服务质量关系公民、法人和组织的权益，或关系社会秩序、公共利益乃至国家安全的信息系统。
包括面向客户、涉及账务处理且时效性要求较高的业务处理类、渠道类和涉及客户风险管理等业务的管理类信息系统，以及支撑系统运行的机房和网络等基础设施。
第四条《信息安全技术信息系统灾难恢复规范》（GB/T20988－2007）中的条款通过本指引的引用而成为本指引的条款。
第二章设立与变更第五条商业银行应于取得金融许可证后两年内，设立生产中心；生产中心设立后两年内，设立灾备中心。
《商业银行数据中心监管指引》-2010
《商业银行数据中心监管指引》-2010 商业银行数据中心监管指引第一章：指引目的与背景1.1 目的1.2 背景与依据第二章：数据中心监管范围和要求2.1 数据中心定义2.2 应用系统监管2.2.1 业务权限管理2.2.2 安全措施要求2.2.3 审计要求2.3 网络基础设施监管2.3.1 数据传输安全2.3.2 网络拓扑监管2.3.3 网络设备安全2.4 机房基础设施监管2.4.1 建筑条件及安全性要求 2.4.2 供电与供应监管2.4.3 空调与温湿度监管2.4.4 火灾防护措施2.5 数据备份与恢复监管2.5.1 数据备份要求2.5.2 数据恢复测试第三章：数据安全保障3.1 安全评估与监管制度3.1.1 安全评估流程3.1.2 监管制度建设3.2 数据访问控制3.2.1 用户认证要求3.2.2 数据加密要求3.2.3 数据传输安全性3.3 安全事件监控与应急响应 3.3.1 安全事件监控要求3.3.2 安全事件应急响应机制第四章：数据中心审计4.1 内部审计要求4.2 外部审计要求第五章：附件附件一、数据中心监管要求检查表附件二、数据中心备份计划示例注释：1：商业银行：指符合国家相关法律法规要求的经营商业银行业务的金融机构。
2：数据中心：指商业银行用于存储、处理和管理数据的设施，包括机房、网络设备、服务器、存储设备等。
3：应用系统：指商业银行用于开展各项业务的软件系统，如核心银行系统、风险管理系统等。
本文档涉及附件：1：数据中心监管要求检查表2：数据中心备份计划示例本文所涉及的法律名词及注释：1：商业银行法：《中华人民共和国商业银行法》2：个人信息保护法：《中华人民共和国个人信息保护法》 3：数据安全法：《中华人民共和国数据安全法》。
银保监发〔2018〕22号 银行业金融机构数据治理指引
中国银行保险监督管理委员会关于印发银行业金融机构数据治理指引的通知银保监发〔2018〕22号各银监局，机关各部门，各政策性银行、大型银行、股份制银行，邮储银行，外资银行，金融资产管理公司，其他会管金融机构：现将《银行业金融机构数据治理指引》印发给你们，请遵照执行。
2018年5月21日（此件发至银监分局和地方法人银行业金融机构）银行业金融机构数据治理指引第一章总则第一条为指导银行业金融机构加强数据治理，提高数据质量，发挥数据价值，提升经营管理能力，根据《中华人民共和国银行业监督管理法》等法律法规，制定本指引。
第二条本指引适用于中华人民共和国境内经银行业监督管理机构批准设立的银行业金融机构。
本指引所称银行业金融机构，是指在中华人民共和国境内设立的商业银行、农村信用合作社等吸收公众存款的金融机构、政策性银行以及国家开发银行。
第三条数据治理是指银行业金融机构通过建立组织架构，明确董事会、监事会、高级管理层及内设部门等职责要求，制定和实施系统化的制度、流程和方法，确保数据统一管理、高效运行，并在经营管理中充分发挥价值的动态过程。
第四条银行业金融机构应当将数据治理纳入公司治理范畴，建立自上而下、协调一致的数据治理体系。
第五条银行业金融机构数据治理应当遵循以下基本原则：（一）全覆盖原则。
数据治理应当覆盖数据的全生命周期，覆盖业务经营、风险管理和内部控制流程中的全部数据，覆盖内部数据和外部数据，覆盖监管数据，覆盖所有分支机构和附属机构。
（二）匹配性原则。
数据治理应当与管理模式、业务规模、风险状况等相适应，并根据情况变化进行调整。
（三）持续性原则。
数据治理应当持续开展，建立长效机制。
（四）有效性原则。
数据治理应当推动数据真实准确客观反映银行业金融机构实际情况，并有效应用于经营管理。
第六条银行业金融机构应当将监管数据纳入数据治理，建立工作机制和流程，确保监管数据报送工作有效组织开展，监管数据质量持续提升。
法定代表人或主要负责人对监管数据质量承担最终责任。