解决商业银行信息科技风险管理解决方案(三)
本帖最后由 adminlily 于 2018-8-25 16:29 编辑信息安全，明确要求信息科技部门负责落实信息安全管理职能，负责建立和实施信息分类和保护体系，通过建立有效管理用户认证和访问控制的流程保障业务安全，通过设立物理安全保护区域保障物理安全，通过将网络划分为不同的逻辑安全域保障网络安全，通过操作系统和系统软件的安全控制保障系统安全，同时加强信息系统、终端设备、传输控制、信息保护等方面的安全，并对员工进行持续培训，通过建立信息安全体系，全面控制信息安全方面风险，此章是参考了国内外信息安全最佳实践（ISO27000与等级保护），针对信息科技部门，提出信息科技风险管理的事中控制（第二道防线）的重要组成部分。
第五章 系统开发、测试与维护，明确要求对信息系统进行需求分析、规划、采购、开发、测试、部署、维护、升级和报废，制定制度和流程，采取适当的项目管理方法，控制信息科技项目相关的风险。采取适当的系统开发方法，控制信息系统的生命周期。应制定相关控制信息系统变更的制度和流程，确保系统的可靠性、完整性和可维护性，应制定并落实相关制度、标准和流程，确保信息系统开发、测试、维护过程中数据的完整性、保密性和可用性等具体要求。此章是针对软件开发与项目实施部门，提出信息科技风险管理的事中控制（第二道防线）的重要组成部分。
第六章 信息科技运行，明确了商业银行数据中心物理环境要求、人员岗位职责要求，并要求商业银行制定详尽的信息科技运行操作说明，建立事故管理及处置机制及时响应信息系统运行事故，建立服务水平管理相关的制度和流程，建立连续监控信息系统性能的相关程序，制定容量规划应及时进行维护和适当的系统升级，制定有效的变更管理流程以确保生产环境的完整性和可靠性等。此章主要参考了ITIL最佳实践，针对数据中心与运行部门，提出信息科技风险管理的事中控制（第二道防线）的重要组成部分。
第七章 业务连续性管理，明确要求商业银行根据自身业务的性质、规模和复杂程度制定适当的业务连续性规划，以确保在出现无法预见的中断时，系统仍能持续运行并提供服务；定期对规划进行更新和演练，以保证其有效性。此章主要参考了BCP最佳实践，针对业务运营部门，提出信息科技风险管理的事中控制（第二道防线）的重要组成部分。
第八章 外包管理，明确商业银行不得将其信息科技管理责任外包，应合理谨慎监督外包职能的履行，针对外包方选择、外包谈判、外包协议，外包执行中的信息安全等方面提出了明确要求，此章是针对商业银行各部门的外包合作，提出信息科技风险管理的事中控制（第二道防线）的重要组成部分。
页:
[1]