银行信息科技管理基本制度
商业银行信息科技外包管理制度
商业银行信息科技外包管理制度
第一章总则
第一条为加强商业银行（以下简称本行）信息科技外包风险管理，依据《商业银行信息科技风险管理指引》（银监发〔2009〕19号）、《银行业金融机构信息科技外包风险监管指引》（银监发〔2013〕5号）及有关文件，制定本制度。
第二条本制度所称信息科技外包是指本行将原本由自身负责处理的信息科技活动委托给服务提供商进行处理的行为，包含项目外包、人力资源外包等形式。
包括但不限于以下类型：
（一）研发咨询类外包：科技管理及科技治理等咨询设计外包，规划、需求、系统开发、测试外包。
（二）系统运行维护类外包：包括数据中心（灾备中心）机房配套设施、网络、系统的运维外包，自助设备、POS机等远程终端及办公设备的运维外包。
（三）业务外包中的信息科技活动：市场拓展、业务操作、企业管理、资产处置等外包中的系统开发、运行维护和数据处理活动。
第三条信息科技外包产生的风险
10 / 11。
银行信息科技信息系统事件管理制度与数据安全管理办法
银行信息科技信息系统事件管理制度与数据安全管理办法银行信息科技系统在现代银行业中发挥着重要的作用，它负责处理和存储大量的关键数据和敏感信息。
为了保护这些数据的安全性，银行需要建立一套系统事件管理制度和数据安全管理办法。
以下是一个针对银行信息科技系统事件管理和数据安全的制度和办法的示例。
一、制度概述1.1目的和范围该制度的目的是确保银行信息科技系统的安全运行，保护客户和银行的数据安全，并及时处理可能发生的系统事件。
1.2定义系统事件：指与银行信息科技系统相关的任何不正常情况，包括但不限于网络攻击、数据泄露、软件故障等。
二、系统事件管理制度2.1事件报告任何发现或怀疑发生系统事件的员工都有责任及时向信息科技部门报告。
信息科技部门负责评估事件的严重程度，并采取相应的措施。
2.2事件分类和优先级根据事件的严重程度和影响范围，对事件进行分类和优先级评估。
优先级高的事件需要立即采取措施解决，同时必要时启动紧急响应计划。
2.3事件处理信息科技部门应对系统事件进行详细调查，包括事件的起因、影响范围和可能的破坏程度。
他们应采取必要的措施，包括隔离受影响的系统、修复已知的漏洞和阻止未知的攻击。
2.4事件记录和跟踪所有的系统事件都应记录下来，并进行跟踪和监控。
这些记录可以用于后续的审计和调查，并帮助改进银行的信息科技系统。
2.5事件响应计划3.1数据保密和权限控制银行应建立完善的数据保密和权限控制机制，限制员工对敏感数据的访问和操作，并及时回收外离职员工的权限。
3.2加密和访问控制敏感数据应通过加密技术进行保护，并建立访问控制机制，限制对数据的访问，并记录数据的浏览和修改情况。
3.3备份与恢复银行应定期备份所有关键数据，并建立有效的恢复机制，以防止数据丢失或损坏。
备份数据应存储在安全的位置，并确保数据的完整性和可用性。
3.4安全审计和监控银行应监控信息科技系统的安全性，并进行定期的安全审计，以发现潜在的漏洞和威胁。
任何异常活动都应及时报告和调查。
银行信息科技信息系统日志管理制度模版
银行信息科技信息系统日志管理制度模版日志是信息系统运行中产生的记录，对于信息系统的安全和有效性有着重要的作用。
银行作为一个信息处理和管理繁琐的单位，系统日志管理至关重要。
以下是银行信息科技系统日志管理制度模板。
一、日志管理原则1.日志管理应遵循监管政策、法律法规和银行相关制度要求；2.日志管理应具有可追溯性、可审计性、可统计性等特点；3.所有的日志管理工作应当保密，禁止泄密以及日志篡改与删除等违规行为；4.优先确保业务应用日志的完整性、真实性和安全性；5.适量收集系统及网络等操作日志，以满足保密、审计、统计等需求；6.建立日志分类、格式规范、备份与归档机制等。
二、日志分类根据银行信息科技系统的特点，将系统日志分为以下几类。
1. 应用日志：用于记录业务系统的运行日志，包括应用程序的日志、审计日志、报告日志、异常日志、安全日志等；2. 系统日志：包括操作系统、数据库服务器、网络设备等硬件设施、常用应用软件等日志；3. 安全日志：包括防火墙、IDS、IPS、网关等所有能对网络进行保护的设备与服务日志；4. 网络日志：包括各种Web服务器、FTP服务器、DNS服务器、邮件服务器等的访问记录等。
三、日志管理规范1. 日志记录规范1）记录时间：时、分、秒精确到毫秒；2）记录类型：包括应用日志、系统日志、安全日志、网络日志；3）记录级别：包括INFO、WARN、ERROR、FATAL和DEBUG；4）日志内容：记录对应系统的操作信息，包括用户ID、操作对象、操作结果、操作描述等信息；5）日志存储方式：按时间、日期、分类等方式进行管理，方便检索和应急情况处理。
2. 日志备份与恢复规范1）维护连续的日志备份记录；2）恢复日志的过程必须有详细的记录，包括恢复的时间、恢复的数据、恢复的原因等信息；3）采用多层次的底层备份和应用层备份策略，同时进行灾备备份。
3. 日志安全保护规范1）日志存放在安全的地方，并避免让未经授权的人员访问；2）尽量减少对日志进行修改和删改操作，保持完整性；3）采用日志非重写形式存储方式，保证日志不会被覆盖；4）日志必须定期进行备份和存档，确保数据完整性并便于审计、分析和证据保留；5）对关键的日志做好时间戳和数字签名。
农商银行信息科技相关管理制度
农商银行信息科技相关管理制度
一、信息科技管理体系
1.建立完善的信息科技管理组织结构，明确各级岗位职责，确保信息科技工作规范有序进行。
2.设立信息科技管理委员会，负责审议信息科技政策、战略和重大决策，并对信息科技工作进行全面掌握和协调。
二、信息科技招投标管理
1.制定招投标管理程序，明确招投标工作的流程和责任分工，确保公正、透明和合规性。
2.开展供应商的定期考核，并建立供应商黑名单制度，确保供应商的质量和信誉。
三、信息系统的规划与运维管理
1.制定信息系统规划，明确信息系统的发展方向和目标，确保信息系统与业务发展的需求相适应。
2.建立信息系统运维管理制度，包括系统备份、故障处理、安全管理等，确保系统的稳定和安全运行。
四、信息安全管理
1.制定信息安全策略和制度，明确信息安全的目标和要求，并落实到每个部门和个人。
2.建立信息安全事件处理机制，及时处理和应对信息安全事件，减少信息安全风险。
五、数据管理
1.建立数据管理制度，包括数据收集、存储、传输、使用和销毁等环节，确保数据的完整性、准确性和安全性。
2.定期开展数据备份和恢复工作，确保数据的可用性和可靠性。
六、信息技术人员管理
1.设立信息技术人员培训计划，提升信息技术人员的专业能力和素质。
2.促进信息技术人员的知识更新和技术创新，激励他们提出改进和创
新的方案。
七、信息科技管理监督与评估
1.建立信息科技管理考核和评估体系，定期对信息科技工作进行评估
和反馈，推动信息科技工作的持续改进。
2.加强对信息科技工作的监督检查，发现问题和风险，及时进行纠正
和改进。
银行科技相关管理制度
银行科技相关管理制度第一章总则第一条为规范银行科技发展和管理工作，促进银行科技与业务的协同发展，提高金融服务效率和质量，保障信息安全，制定本制度。
第二条本制度适用于银行科技部门及其相关管理人员，包括信息技术部门、数字化业务部门、风险管理部门等。
第三条银行科技管理应本着合规、风险可控、客户至上的原则，全面运用信息技术方法和手段，保障金融信息安全，提高业务运行效率和服务质量。
第四条各级领导干部应当加强对银行科技发展和管理工作的重视，落实科技建设的投入和保障，推动科技与业务的深度融合。
第五条银行科技部门应当加强技术创新和管理创新，不断提高银行科技水平和管理水平，提升银行核心竞争力。
第六条银行科技管理部门应当加强对科技人员的培训、考核和激励，激发科技人员的工作热情和创新意识。
第七条银行科技管理部门应当建立健全银行科技风险管理制度，防范和化解银行科技风险，确保信息安全、数据完整和系统稳定。
第八条银行科技管理部门应当建立健全科技项目管理制度和绩效考核制度，提高科技项目的成功率和效益。
第二章组织架构第九条银行科技管理部门应根据业务需求和科技发展趋势，合理设置科技部门的组织结构和岗位设置。
第十条银行科技管理部门应当建立健全科技人员的激励机制和培训机制，提高科技人员的专业水平和创新能力。
第十一条银行应当建立健全科技项目管理部门，负责科技项目的立项、评审、实施、监督和验收工作。
第十二条银行科技管理部门应当建立健全科技风险管理部门，负责金融信息安全、系统稳定和技术风险的防范和管理。
第三章工作职责第十三条银行科技管理部门应当负责科技发展战略的规划、制定和实施，提出年度科技发展计划，推动科技与业务深度融合。
第十四条银行科技管理部门应当负责科技人员的招聘、管理和培训，建立健全科技人员的激励机制和培训机制。
第十五条银行科技管理部门应当负责科技项目的立项、评审、实施、监督和验收工作，提高科技项目的成功率和效益。
第十六条银行科技管理部门应当负责科技风险的防范和管理，建立健全科技风险管理制度，确保信息安全、数据完整和系统稳定。
银行信息科技软件正版化工作管理制度模版
银行信息科技软件正版化工作管理制度模版一、制度目的为了规范银行信息科技软件的使用，确保系统的安全稳定，保护版权归属权，提高信息技术应用的合规性和可靠性，特制定此制度。
二、适用范围本制度适用于全行范围内使用的信息科技软件的版权保护管理工作。
三、制度内容1、软件采购管理（1）采购流程银行应严格按照相关法律法规和政策规定采购信息科技软件，并建立相应的采购管理制度。
采购部门应及时了解软件供应商的基本情况、软件功能、软件操作指南、付款方式等，保证采购的软件版权合法、软件质量可靠、价格公道合理，同时确保版权的归属权。
（2）保管制度银行应将购买的软件的信息进行登记，包括软件名称、版本、购买日期、购买价格、供应商、版权证书、使用方式等。
并根据购买的软件数量建立相应的存储空间，分类存储软件程序源码、文档、光盘等信息，保证软件的安全性和完整性。
（3）硬件环境银行在采购软件时必须考虑其硬件环境，并确保所采购的软件与现有硬件设备相匹配，成功安装和运行，以保证软件使用的顺畅性。
2、软件安装管理（1）软件安装流程银行在采购软件后，在保证版权归属权的前提下，根据软件的需求、功能等，进行软件安装。
建立详细的软件安装过程记录，包括软件安装的时间、位置、版本、安装文件及文件路径等，以保证软件安装的透明度与可控性。
（2）软件版本升级银行在使用软件过程中，应及时关注软件的版本更新及其官方认证的发布信息。
对软件更新升级的需求，应严格按照相关规定，进行统一管理和控制。
安装升级后，应对系统进行相应的测试，保证升级过程中数据的准确性和完整性，并根据升级信息更改相应的记录。
3、软件使用管理（1）软件使用流程银行应在所有终端电脑上安装相关软件，保证欲使用的软件是正版软件，且有相应的版权证书。
每位员工都应该根据自己的工作需要，通过特定授权方式获得特定的软件使用权。
（2）软件使用加密算法银行应采取一系列措施保护软件安全，包括硬件的防盗、软件的加密等。
银行信息科技管理基本制度
银行信息科技管理基本制度银行是现代经济体系中至关重要的机构之一，负责着资金的储存、运作和流转。
银行的信息科技管理，是银行业务成功与否的关键之一。
银行的信息科技管理基本制度，是确保银行信息系统安全稳定、数据资产保护的重要保障，同时也可以提高银行的经营效率和客户服务水平。
一、总则银行信息科技管理基本制度是银行信息管理的基本规范，是银行科技管理现代化和信息化的重要体现，是银行保障业务连续不中断的有效措施。
二、管理架构银行的信息科技管理，应当由公司高层领导、信息技术部门、安全保障部门、业务部门以及相关监管机构共同协作完成。
三、信息系统安全管理银行信息系统安全管理是一个系统工程，包括信息系统架构安全、系统安全运维、系统管理员管理、授权和认证、事件处理和风险评估等等。
银行应当完善相关制度规范、定期华丽安全测试和评估、加强身份认证和权限管理、实施数据加密和备份等一系列措施。
四、信息资产保护银行的信息资产是其重要财产，对信息资产的保护和管理是银行业务持续发展的重中之重。
银行应当建立完善的信息资产管理机制、做好数据备份和紧急恢复措施、定期进行信息资产情况评估等。
五、信息技术人员管理银行应当建立详细的信息技术人力资源管理机制，考核评价标准等管理制度，同时应该建立绩效评估体系以及培训和发展计划等。
此外，还需要将信技术人员的行为纳入管理范围，即使在离职后依然应该对其使用银行机密的管制。
六、信息安全风险评估信息安全风险评估是银行安全保障的重要手段，应该定期进行系统的安全检测和风险评估，同时采取各种预防措施以保障系统和用户的安全性和保密性。
七、对外服务银行应该对外客户的提供安全、高效、方便的电子银行服务，包括网上银行、手机银行、自动柜员机等各种方式。
此外，银行还应该加强手机支付、社交媒体平台等新业务的安全风险管理。
八、监管与纠正银行应该遵守相关的国家法律法规和业务规范，并定期接受相关监管部门的检查与测试。
如果发现银行有违规行为，监管机构可对其进行纠正、罚款等惩戒措施。
银行科技需求管理制度范本
银行科技需求管理制度范本第一章总则第一条为了加强银行科技需求管理，提高科技服务质量，支持银行业务发展，根据《中华人民共和国银行业监督管理法》、《商业银行法》等法律法规，制定本制度。
第二条本制度适用于我国境内设立的各类商业银行、政策性银行和农村合作银行等银行业金融机构。
第三条银行科技需求管理应遵循合法、合规、科学、高效的原则，确保科技资源的有效配置，提高科技服务的质量和效率。
第二章组织架构与职责第四条银行应设立科技需求管理组织，负责科技需求的收集、分析、评审和监督等工作。
科技需求管理组织应在银行高级管理层的领导下，独立开展工作。
第五条科技需求管理组织的主要职责包括：（一）制定和更新科技需求管理政策和流程；（二）收集和分析业务部门、分支机构和其他相关方的科技需求；（三）组织科技需求的评审和 prioritization；（四）监督科技项目的实施进度和质量；（五）定期向高级管理层报告科技需求管理和项目实施情况。
第六条银行各部门应按照职责分工，协同配合科技需求管理工作。
业务部门负责提出科技需求，科技部门负责科技需求的研发和实施，风险管理部门负责科技风险的监控和评估。
第三章科技需求的收集与分析第七条银行应建立科技需求收集渠道，包括业务部门、分支机构、客户和外部合作伙伴等。
科技需求管理组织应定期组织科技需求调研，了解业务发展和市场变化情况。
第八条科技需求管理组织应对收集到的科技需求进行分类、筛选和分析，确定科技需求的优先级和可行性。
科技需求应按照业务重要性、紧急程度和资源限制等因素进行评估。
第九条科技需求管理组织应建立科技需求库，对科技需求进行统一管理和跟踪。
科技需求库应包括需求描述、需求来源、需求优先级、需求状态等信息。
第四章科技需求的评审与立项第十条科技需求管理组织应建立科技需求评审机制，对科技需求进行定期评审。
评审组应由业务、技术、风险等方面的专家组成。
第十一条科技需求评审的主要内容包括：（一）科技需求的合理性和可行性；（二）科技需求与银行业务战略和科技战略的契合度；（三）科技需求的资源需求和成本效益分析；（四）科技需求的风险评估和应对措施。
银行信息科技运行维护管理制度模版
银行信息科技运行维护管理制度模版银行信息科技运行维护管理制度第一章总则第一条为规范银行信息科技系统的运行管理，确保系统的安全、稳定、高效运行，维护银行信息系统的信息安全和业务的连续性，制定本制度。
第二条本制度适用于银行内部所有信息科技运行维护管理工作。
第三条信息科技系统运行维护管理应当遵循“安全、稳定、高效”的原则。
第四条银行应当建立信息科技运行维护管理机构和岗位，并配备专业的技术人员，确保信息科技系统的正常运行。
第五条银行应当根据信息科技系统的特性，制定相应的信息安全策略和技术措施，加强对信息科技系统的保护，确保信息安全。
第二章组织管理第六条银行应当设立信息科技管理部门，负责信息科技系统的规划、建设、维护、管理和运营。
第七条银行信息科技管理部门应当定期制定信息科技运行维护管理计划，并报领导批准。
第八条银行信息科技管理部门应当配备专业、技术过硬的员工，具备较强的信息安全意识、技术水平和应急处理能力。
第九条银行信息科技管理部门应当定期组织员工进行业务和应急演练，提升信息科技运行维护管理水平和应急处理能力。
第十条银行应当建立信息科技系统运行维护管理责任制，确保信息科技系统的运行安全和业务的连续性。
第三章运行管理第十一条信息科技系统应当具备可靠的运行环境和设备，保证信息科技系统运行的稳定性。
第十二条信息科技系统应当进行24小时不间断的监控和运行管理，保证信息安全和业务连续性。
第十三条信息科技系统应当建立相应的灾备机制，保证在发生故障或灾害的情况下，能够及时恢复业务。
第十四条信息科技系统应当定期进行备份和存档，并进行数据加密和存储，确保信息的安全性和可靠性。
第十五条信息科技系统应当采用权威、可靠的安全防护设施和系统，进行信息安全的保护和防范。
第十六条信息科技系统应当按照相关法律法规和规章制度要求，建立信息安全事件处置和报告机制，保证信息安全。
第四章审计监督第十七条银行应当委托专业的第三方机构对信息科技系统运行维护管理进行审计和监督，保证信息科技系统的规范、合法运行。
银行的计算机安全管理制度
一、总则为了保障银行信息系统安全稳定运行，防止信息泄露、系统瘫痪、网络攻击等安全事件的发生，依据《中华人民共和国网络安全法》、《中华人民共和国个人信息保护法》等相关法律法规，结合我行实际情况，特制定本制度。
二、组织架构与职责1. 银行成立计算机安全工作领导小组，负责统筹规划、组织协调全行计算机安全工作。
2. 信息科技部门负责制定计算机安全管理制度，组织实施安全措施，定期开展安全检查，及时发现和处置安全隐患。
3. 各部门负责人对本部门计算机安全负总责，负责组织本部门员工落实计算机安全管理制度。
4. 全体员工应自觉遵守计算机安全管理制度，提高安全意识，共同维护银行信息系统安全。
三、安全管理制度1. 系统安全（1）操作系统、数据库、应用软件等关键信息系统应定期更新、打补丁，确保系统安全。
（2）采用强密码策略，对系统用户进行分类管理，严格控制用户权限。
（3）建立完善的访问控制机制，防止未授权访问和非法操作。
（4）加强系统日志管理，对系统操作进行记录，便于追踪和审计。
2. 数据安全（1）严格执行数据分类分级保护制度，对敏感数据采取加密、脱敏等措施。
（2）建立数据备份和恢复机制，确保数据安全。
（3）加强数据安全风险评估，及时识别和处置数据安全风险。
3. 网络安全（1）加强网络安全设备的管理，确保网络设备安全稳定运行。
（2）定期开展网络安全检查，发现漏洞及时修复。
（3）加强网络安全监测，及时发现和处置网络攻击、病毒等安全事件。
4. 个人信息保护（1）遵循“最小化原则”，严格控制个人信息收集范围。
（2）采用加密、脱敏等技术手段，保护个人信息安全。
（3）建立健全个人信息安全管理制度，加强个人信息安全培训。
5. 应急响应（1）制定计算机安全事件应急预案，明确事件分类、处置流程和责任分工。
（2）定期开展应急演练，提高员工应对计算机安全事件的能力。
（3）发现计算机安全事件，立即启动应急预案，及时报告和处理。
四、监督检查1. 信息科技部门定期对各部门计算机安全工作进行监督检查，发现问题及时督促整改。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
xx银行信息科技管理基本制度xx总发〔xx〕6号附件6，xx年1月12日印发第一章总则第一条为了规范xx银行（以下简称“本行”）信息科技风险管理,促进全行信息科技工作的健康发展,根据《商业银行信息科技风险管理指引》、《计算机信息安全等级保护条例》以及国家信息安全相关要求和有关法律法规,特制定本制度。
第二条本制度所称信息科技管理，包括：信息科技治理、信息科技风险管理、信息安全、信息系统项目管理、信息科技运行、业务连续性管理、外包管理、内外部审计等。
第三条本制度适用于总行及各分支机构信息科技管理。
第四条本制度所指信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在银行业务交易处理、经营管理和内部控制等方面应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。
第五条信息科技管理工作应接受当地银行监管部门、公安部门和国家有关信息安全管理部门的检查和指导。
第二章组织与职责第六条健全和完善信息科技管理架构，成立信息科技管理委员会，设立首席信息官。
明确董事会、信息科技管理委员会、首席信息官以及科技部、风险管理部、稽核监察部等部门的职责，全面协调开展信息科技风险管理工作。
第七条董事会应履行以下信息科技管理职能：(一)遵守并贯彻执行国家和银监会有关信息科技管理的政策和规定；(二)审查和批准信息科技发展战略规划，评估信息科技风险管理效果；(三)了解信息风险，明确信息风险等级，落实信息风险识别和评价机制；(四)建立职责明确、报告清晰的信息科技治理组织结构；(五)监督信息科技战略规划、预算执行和整体状况,确保信息科技风险管理工作所需资金；(六)落实信息科技外部审计工作，按要求向银监部门报送信息科技风险管理报告；(七)及时向银监部门上报重大信息科技事故和突发事件，落实应急响应机制；(八)确保相关职能部门配合银监会及其派出机构做好信息科技风险监督检查工作，并按照监管意见进行整改；(九)履行信息科技风险管理其他相关工作。
第八条设立首席信息官，直接向行长汇报，并参与决策（在未设立首席信息官情况下，其职责由科技分管行长兼任），首席信息官的职责包括：(一)直接参与本行与信息科技运作有关的业务发展决策；(二)确保信息科技战略，尤其是信息系统开发战略的实施，保持与总体业务发展战略和信息科技风险管理策略相一致；(三)负责组建信息科技部门，承担信息科技职责，确保科技部门各项职能的良好履行；(四)确保信息科技风险管理的有效性，有效涵盖所有风险点，使防范措施落实到每一个内设机构和分支机构；(五)加强信息科技队伍建设，开展专业培训，提高专业技术水平。
第九条总行科技部为全行信息科技工作的主要职能部门，应按照信息科技管理要求合理设置岗位，明确不同岗位的职责和技能要求；人事保卫部对于重要岗位人员应加强审核管理，签定保密协议，落实强制休假，按年度进行考评。
总行科技部主要职责包括：(一)负责并实施董事会和总行经营层下达的各项信息科技工作，并报告相关信息科技工作；(二)负责并制定全行科技发展规划和电子化建设计划；(三)负责并管理全行信息科技项目的开发和上线工作；(四)负责并管理全行计算机信息系统日常运行维护工作；(五)负责并管理全行电子化设备采购、登记和维护工作；(六)负责并实施全行计算机信息系统风险控制和安全管理工作；(七)负责并制定总行信息科技管理制度、办法和流程；(八)负责并实施全行信息科技外包管理工作；(九)负责并实施技术业务连续性管理工作；(十)负责并管理、指导分支机构开展信息科技工作；(十一)负责并管理全行信息科技成果、保密、知识产权保护等工作；(十二)负责并实施全行计算机安全等级保护和内外部审计整改工作。
第十条风险管理部负责信息科技风险管理工作，其职责包括：(一)负责向信息科技管理委员会、首席信息官和首席风险官报告信息科技风险管理工作；(二)负责协调制定有关信息科技风险管理策略；(三)负责组织重大信息科技项目的风险审议；(四)负责协调组织实施全行信息系统应急管理和业务连续性计划；(五)负责并实施持续信息科技风险评估，监督、跟踪各项整改意见落实情况；第十一条总行法律与合规部负责信息科技管理的合规管理工作，其职责包括：(一)负责向信息委员会、首席信息官和首席风险官报告信息科技管理的合规管理工作；(二)负责审核和监督信息科技合规性检查制度和流程；(三)负责就信息安全、业务连续性计划和合规性风险等方面，为业务部门和信息科技部门提供建议和合规性信息；(四)负责监控信息科技合规信息，及时提出预警和合规风险提示。
第十二条总行稽核监察部负责信息科技风险审计工作，其职责包括：(一)负责向信息委员会、首席信息官和首席风险官报告信息科技风险审计工作报告；(二)负责制定和实施信息科技审计制度和流程；(三)负责制定和执行信息科技审计计划；(四)负责对信息科技整个生命周期和重大事件等进行审计；(五)配合银行监管部门做好信息科技现场检查，并负责协调外部审计工作。
第十三条总行办公室负责并管理全行电子化设备采购的商户洽谈和合同管理。
第十四条总行会计结算部、个金业务部、公司业务部、授信管理部、国际业务部和计划财务部等业务管理部门负责信息科技项目的立项和上线实施工作。
第三章信息科技风险管理第一节风险管理定义第十五条信息科技风险，是指信息科技在银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
第十六条信息科技风险管理的基本原则是：体系规范、制度健全、流程合规、措施有效，全面保障信息系统安全稳定的运行。
第二节风险管理策略第十七条以业务发展战略为基础，制定和完善信息科技发展战略，落实信息科技运行和风险评估计划，确保人、财、物各项资源的有效保障，并逐步建立和完善与之相适应的全行信息科技风险管理策略。
第十八条信息科技风险管理策略应包括但不限于以下内容：(一)信息分级和保护；(二)信息系统开发、测试和维护；(三)信息科技运行和维护；(四)访问控制；(五)物理安全；(六)人员安全；(七)业务连续性计划与应急管理。
第三节风险管理措施第十九条信息科技风险管理部门应制定和完善信息风险识别和评估流程，鉴定和评价信息风险点及可能对业务带来的潜在影响。
并针对风险程度进行排序，实施相应的风险防控措施及确定所需资源的优先级。
第二十条应依据信息科技风险管理策略和风险评估结果，全面实施风险防范措施。
防范措施应包括：(一)健全和完善信息科技风险管理制度、技术标准和操作规程等；(二)确定潜在风险点，并对风险点进行有效的监测、跟踪和分析，制定相应的控制措施，实现风险最小化。
并针对各业务系统定义控制内容，包括：1.最高权限用户的审查；2.控制对数据和系统的物理和逻辑访问；3.访问授权以“必需知道”和“最小授权”为原则；4.审批和授权；5.验证和调节。
第二十一条应建立持续的信息科技风险计量和监测机制，其中应包括：(一)建立信息科技项目实施前及实施后评价机制；(二)建立定期检查系统性能的程序和标准；(三)建立信息科技服务投诉和事故处理的报告制度；(四)建立内、外部审计和监管发现问题的整改处理机制；(五)定期对服务供应商服务水平协议的完成情况进行审查；(六)定期对运行环境下操作风险和管理控制进行检查；(七)定期对信息科技外包项目的风险状况进行评价；(八)定期对新技术发展可能造成的影响和已使用软件面临的新威胁进行评估。
第四章信息安全管理第一节安全管理机构第二十二条建立和完善全行信息安全管理机构，成立全行信息安全管理领导小组，全面负责全行信息安全指导和管理工作。
信息安全管理领导小组隶属于总行信息技术管理委员会统一管理，其组成人员包括总行领导、首席信息官、总行科技部以及相关业务部门负责人组成。
第二十三条总行及各分支机构应根据安全管理要求，设立安全管理职能部门、安全管理员岗位，并明确职责及职能要求。
第二节安全管理职能第二十四条总行科技部是全行信息安全管理的主要职能部门，负责全行计算机安全等级保护、技防实施、计划与项目预算、制度制定、安全检查及人员培训和管理等；会计结算部、个金业务部、公司业务部、授信管理部、国际业务部和计划财务部等部门对信息系统的业务处理以及业务流程的安全承担管理责任；人事保卫部对信息系统的场地以及系统资产的防灾、防火、防雷、防盗、防破坏等承担管理责任；办公室负责信息的涉密和保密管理、信息资产采购的合法性保障以及通讯、电力等后勤保障工作。
第二十五条信息安全管理主要职能应包括：(一)制定和完善全行信息安全计划，推进信息安全体系整体建设，构建长效管理机制；(二)组织并实施全行信息安全项目，负责分支机构和各业务条线信息安全的统一管理；(三)定期向信息科技管理委员会提交信息安全评估报告并汇报其他重大安全事项；(四)健全信息安全管理机制，完善全行信息安全策略、标准、制度、实施流程和持续维护要求；(五)建立信息安全资产预算管理，确保安全技防落实；(六)定期开展安全教育，组织全行员工学习安全防护知识；(七)配合银行监管部门、公安和其他信息安全管理部门做好现场安全检查和整改落实工作；(八)组织开展全行安全检查，指导并督促分支机构落实安全管理职责。
第二十六条总行各部室和各分支行应根据安全管理要求，明确分管科技负责人，并设信息安全管理员岗位（兼），负责本部门信息安全管理工作，其主要职能应包括：(一)负责本部门信息资产的安全管理，建立本部门电脑设备的申领、更换和维护记录的台帐。
(二)负责本部门电脑设备和系统的运行维护管理，做好日常维护和每日的运行情况记录，定期进行分析总结，并及时汇报总行科技部或相关业务部门。
(三)负责本部门的网络安全使用管理，定期检查、记录网络使用情况，发现故障和安全隐患，及时上报总行科技部，并落实整改。
(四)配合总行以及当地银行监管部门、公安和其他信息安全管理部门做好现场安全检查和整改落实工作。
(五)定期开展本部门信息安全教育，负责本部门计算机业务应用和安全知识的辅导、培训工作，检查、监督本部门遵守信息科技安全管理方面的法律、规章和制度。
第三节信息安全策略第二十七条总行信息安全管理部门应依据全行信息科技风险管理总体要求，制定、完善和实施全行信息安全策略。
信息安全策略应包括如下内容：(一)安全制度管理；(二)信息安全组织管理；(三)信息资产管理；(四)人员安全管理；(五)物理与环境安全管理；(六)系统运营与网络通信管理；(七)访问控制管理；(八)系统、项目开发与维护管理；(九)信息安全事故管理；(十)业务连续性管理；(十一)合规性管理。
第二十八条建立和完善有效的用户认证和访问控制机制，确保用户对数据和系统访问是可控和有效的。
当用户发生变更应及时在系统中做好检查、更新和注销用户身份。
第二十九条对于信息科技重要区域应设立安全保护区（如中心机房、灾备中心、存储重要数据和放置重要系统、网络、通信等设备的场所），须明确安全防护措施、控制手段和机房建设标准，确保信息系统重要场所的安全。