还剩11页未读,继续阅读
本资源只提供10页预览,全部文档请下载后查看!喜欢就下载吧,查找使用更方便
文本内容:
ⅩⅩⅩⅩ银行信息系统应急管理办法第一章总则第一条为提升应急管理水平,有效防范信息科技风险,确保本行信息科技系统安全、平稳运行,根据《中华人民共和国突发事件应对法》、《中华人民共和国银行业监督管理法》、中国银监会《银行业重要信息系统突发事件应急管理规范》、《商业银行业务连续性监管指引》以及相关法律法规,结合本行实际,特制定本办法第二条本办法所称突发事件是指信息系统因下列原因导致系统安全、平稳运行的突发性情况主要包括一)信息技术故障信息系统技术故障、配套设施故障;二)外部服务中断第三方无法合作或提供服务等;三)人为破坏黑客攻击、恐怖袭击等;四)自然灾害火灾、雷击、海啸、地震、重大疫情等第三条本办法所称应急管理是指为有效防范和应对信息系统突发事件釆取的系列措施,包括但不限于确定重要业务及其恢复目标,制定业务连续性计划,配备必要的资源,编制应急预案、积极开展应急演练,处置应急事件等第四条本办法所称应急预案是指涉及风险评估、应急策略、信息系统恢复和重建、应急资源、人员分工等方面的行动计划和操作指引第二章应急管理组织体系第五条本行信息系统应急管理组织体系分为2个级次一级应急管理组织体系由总行牵头组建,二级应急管理组织体系由分行牵头组建一)一级应急组织体系应急管理组织体系由应急决策小组、应急指挥小组、应急执行小组和应急保障小组组成各小组隶属应急决策小组的统一管理和调度应急决策小组行长为应急总指挥和应急决策小组组长;分管综合管理、运营管理、计划财务、风险管理、人力资源、信息科技的副行长担任副组长;总行相关部门负责人为小组成员应急决策小组负责决定应急处置重大事宜,包括决定运营中断事件通报、对外报告和发布相关信息;批准启动总体应急预案等应急指挥小组信息科技部总经理任组长,综合管理部、运营管理部、计划财务部、人力资源部、风险管理部、法律合规部、行政保卫部等部门负责人为小组成员应急指挥小组负责运营中断事件处置应急指挥和指挥调度,督导应急处置实施应急执行小组由信息科技部技术人员和相关业务人员组成技术人员的工作包括但不限于收集分析突发事件的数据信息和日志;明确业务重要程度和恢复优先级别,识别重要业务回复所需的必要资源,为应急决策小组提供决策依据;及时报告应急处置进展情况;做好与软件开发商、IT设备供应商的沟通协调业务人员的工作包括但不限于分析评估突发事件对业务的影响,分析评估各项重要业务在中断事件发生后可能造成的经济损失和非经济损失;进行相关账务处理、支付清算、同业协调、客户解释和稳定应急保障小组由董事会办公室、综合管理部、计划财务部、人力资源部、法律合规部、行政保卫部等部门人员组成应急保障小组负责应急所需人力、物力和财力等资源的保障,应急处置对外报告、宣告、通报和沟通与协调,以及对外媒体公关、秩序维护、安全保障、法律咨询和人员安抚等相关工作总行启动一级应急组织体系后,应急事件涉及的数据中心和分行应启动相应的应急组织体系,根据总行应急决策小组的统一部署组织本单位人员实施应急恢复工作二)二级应急组织体系由分行比照总行组织体系组建总行指派相关部门人员配合分行解决相关问题第六条总、分行信息科技部在全行应急处理过程中有责任和义务提供全面的技术支持第七条总、分行信息科技部应与合作伙伴、供应商、服务商等保持良好的沟通第三章应急准备第八条应急准备包括应急预案、物资与人员、通知报告程序、后勤保障等方面的准备工作第九条各级组织明确应急组织体系组成人员,并设立7x24小时应急联系电话第十条应急预案包括总体应急预案和专项应急预案一)总体应急预案是应对运营中断事件的总体方案,包括总体组织架构、各层级预案定位和衔接关系及对运营中断事件预警、报告、分析、决策、处理、恢复等处置程序总体预案通常用于处置导致大范围业务运营中断的事件二)专项应急预案应当注重灾难场景的设计,明确在不同场景下的应急流程和措施业务条线的专项应急预案,应当注重调动内部资源、釆取业务应急手段尽快恢复业务,并和信息科技部门、保障部门的应急预案有效衔接专项应急预案主要内容应包括应急组织架构及各部门、人员在预案中的角色、权限、职责分工;信息传递路径和方式;运营中断事件处置程序,包括预警、报告、决策、指挥、响应、回退等;运营中断事件处置过程中的风险控制措施;运营中断事件的危机处理机制;运营中断事件的内部沟通机制和联系方式;运营中断事件的外部沟通机制和联系方式;应急完成后的还原机制明确信息系统和基础设施的恢复优先次序、明确恢复时间目标RTO和恢复点目标(RPO建立和完善第三方技术支持和应急响应服务机制三)总行应制定切实可行的总体应急预案和专项应急预案,并牵头组织制定分行应急预案四)应急预案根据业务系统的重要程度确定业务系统的应急服务级别五)定期审议、评估、更新、完善应急预案,确保其有效性第十一条关键应急所需软硬件资源建设一)重点加强信息系统关键资源的建设,实现信息系统的高可用性,保障信息系统的持续运行并减少信息系统中断后的恢复时间二)信息系统关键硬件设备建立备份机制,应急执行小组确保备份设备可用三)应急执行小组应制作数据、版本、配置、技术资料、应急预案等副本,配备业务操作和办公所需资源,并确保其能够迅速启用四)应急执行小组应当建立符合业务连续性管理要求的备用资源,如备用业务和办公场所资源、备用信息系统运行场所资源、备用信息技术资源、备用人力资源等,以及电力、通讯、消防、安保等资源五)在选择备用场地时,应当确保不会同时遭受同类型风险;应当综合分析备用场地所在地的自然环境、地区配套设施、区域经济环境、交通条件、政策环境和成本等各方面因素,以及灾难恢复所需的金融服务、通讯、设备、技术等外部服务供应商资源情况六)对应急所需资源建立完善的补充机制第十二条应急人员一)明确关键岗位的备份人员及其备份方式,并确保备份人员可用;关键岗位须建立双人备份(A、B角)制度二)定期组织培训,培训内容包括应急预案和应急组织体系第四章应急演练第十三条总、分行信息科技部每年组织一次技术应急演练,检验应急预案的完整性、可操作性和有效性,验证业务连续性资源的可用性,提高运营中断事件的综合处置能力第十四条制定应急演练计划应当考虑业务的重要性和影响程度,包括客户范围、业务性质、业务时效性、经济与非经济影响等,演练频率、方式应当与业务的重要性和影响程度相匹配第十五条应急演练的具体要求一)由信息科技部制定年度应急演练计划,应急演练计划应以应急预案为基础按照应急演练计划和应急预案进行应急演练二)分行进行应急演练前,应报总行批准,并在总行指导下进行三)应急演练应选择在对业务影响小的时段进行,重点加强业务和信息科技部门的协调、配合四)应将外部供应商纳入演练范围并定期开展演练;应积极参加金融同业单位、外部金融市场、金融服务平台和公共事业部门等组织的业务连续性计划演练,确保应急和协调措施的有效性五)演练结束后,应保证应急资源恢复正常;六)演练结束后,应急执行小组并对应急演练过程进行完整记录,编写总结报告,提出改进意见,及时修订应急预案,并在45个工作日内向监管部门提交演练总结报告总结报告和应急预案同时报总行信息科技管理委员会,并会同风险管理部报董事会备第五章应急(突发)事件的分级第十六条应急事件分级根据实际情况,本行突发事件分为一)一级事件(特别重大突发事件)本行由于重要信息系统服务中断或重要数据损毁、丢失、泄露,造成经济秩序混乱或重大经济损失、影响金融稳定的,或对公众利益、社会秩序、国家安全造成特别严重损害的突发事件;由于重要信息系统服务异常,在业务服务时段导致本行两个含)以上省(自治区、直辖市)业务无法正常开展达3小时(含以上,或者一个省(自治区、直辖市)业务无法正常开展达6个小时(含)以上的突发事件;业务服务时段以外,重要信息系统出现的故障或事件救治未果,可能产生上述1至2类的突发事件二)二级事件(重大突发事件)本行由于重要信息系统服务中断或重要数据损毁、丢失、泄露,对银行或客户利益造成严重损害的突发事件;在业务服务时段导致本行两个(含)以上省(自治区、直辖市)业务无法正常开展达半小时(含)以上,或者一个省(自治区、直辖市)业务无法正常开展达3个小时(含)以上的突发事件;业务服务时段以外,出现的重要信息系统故障或事件救治未果,可能产生上述1至2类的突发事件三)三级事件(较大突发事件)
1.本行由于重要信息系统服务中断或重要数据损毁、丢失、泄露,对银行或客户利益造成较大损害的突发事件;在业务服务时段导致本行一个省(自治区、直辖市)业务无法正常开展达半个小时(含)以上的突发事件;业务服务时段以外,出现的重要信息系统故障或事件救治未果,可能产生上述1至2类的突发事件第十七条应急事件处理流程第六章应急启动和应急处理第十八条发生影响系统连续运行的生产事件,应急指挥小组应在30分钟内报告应急决策小组,应急决策小组应在30分钟内决策是否启动应急处理第十九条应急执行小组应严格按照应急预案或决策方案实施应急处理,尽快恢复系统运行第二十条无法在约定时间内恢复系统运行时,应急决策小组应按照规定及时通知相关业务部门启动业务应急预案第二十一条应急处理过程基本要求一)应急指挥小组成员现场指挥;二)参与应急的各单位人员须服从应急指挥小组的统一安排;三)应急执行小组须对应急处理过程进行记录第二十二条需要外部公司技术支持时,应急保障小组应协调联系服务供应商提供支持第二十三条应急处理过程中出现异常或应急预案、决策方案失效,应急指挥小组应即时上报应急决策小组,由应急执行小组进行现场分析并提供决策依据第七章信息报告与披露第二十四条发生突发事件,分行应即时向总行信息科技部和分行主管行长报告,总行信息科技部应即时报告主管行长,并告知相关业务部门第二十五条突发事件达到应急启动触发条件并启动应急预案的,应急决策小组须及时向董事长汇报第二十六条应急事件相关信息的披露按《ⅩⅩⅩⅩ银行声誉风险管理办法》有关规定执行第八章系统恢复和重建第二十七条应急执行小组按照应急预案或决策方案,依据业务系统服务级别逐一恢复各系统第二十八条系统恢复过程中,应急指挥小组应确定系统重入或重建策略;应急执行小组应对故障部件进行修复,重入或重建应急前状态,以确保信息系统的持续安全第九章应急状态终止第二十九条系统恢复后,应急指挥小组应即时组织恢复运行环境,并进行全面检查验证,同时向应急决策小组书面报告检查情况第三十条系统恢复提供正常服务级别后,应急指挥小组应按照预定的通知报告流程告知受影响单位和业务部门终止应急状态第十章应急事件分析总结第三十一条应急状态结束后,应急指挥小组应组织召开分析会,并形成分析报告第三十二条应急执行小组组织编写应急过程分析报告,分析总结问题原因、过程及经验教训,形成应急总结报告总结报告和应急预案一并报总行信息科技管理委员会,并会同风险管理部报董事会第十—章应急方案的完善第三十三条应急执行小组应根据应急过程分析报告和评价指标,制定应急方案的改进计划和整改意见第三十四条根据改进计划和整改意见,应急执行小组制定改进计划,修订完善应急预案第十二章风险防范第三十五条为有效防范、应对突发事件,风险防范应遵行以下要求一)对信息系统基础类设施加强抗风险能力,如电源、主机及硬件、系统架构、网络等二)系统上线、系统升级、网络改造、设备更新时,应对风险因素进行提前分析评估,制定切实可行的应急预案,事后应密切关注系统运行状况三)值班人员须坚守岗位,并按时巡查中心机房设备,做到对故障及时发现、及时报告,特别应注意重大业务活动、重大社会活动、信息系统重大变更时等关键时点四)应急处理过程中,如属于重发情况,应参照以往的处理办法或相关操作手册进行处理;情况不明的,参加处理人员应密切配合,对故障原因仔细分析,研究处理方案五)应急处理过程中,应妥善保护日志信息六)应急处理过程中引入预授权制,某一层级的人员缺位时可以越级汇报情况、下达指令七)发生重大信息系统突发事件,各分行、总行信息科技部应在事发后1小时内电话报告、2小时内书面报告总行综合管理部;总行应在事件发生后2小时内电话报告、8小时内书面报告监管部门八)重大信息系统突发事件处理结束后,总行信息科技部应对处理情况进行全面总结,包括事件发生原因、处理过程、剩佘风险评估及解决办法等总结报告报行领导、IT风险管理委员会及监管部门第十三章持续改进第三十六条每年开展一次对突发事件风险防范措施的全面评估和审计活动,包括评估风险识别,分析和控制措施的有效性、应急预案的完备性、应急演练的全面性和及时性,检验防范措施的有效性等,并及时改进风险控制措施,完善应急预案第三十七条每年开展一次对应急响应工作的全面评估与审计活动,评估范围包括应急响应的有效性、投入资源的充分性、突发事件报告的及时性等第三十八条将应急管理纳入全面风险管理体系,建立应急管理长效机制,保证应急管理工作的持续性和有效性第十四章附则第三十九条本办法由总行信息科技部负责解释和修订第四十条本办法自发文之日起执行。