某銀行信息科技風(fēng)險(xiǎn)識別與評估管理辦法

1、某銀行信息科技風(fēng)險(xiǎn)識別與評估管理辦法第一章總則第一條為規(guī)范信息科技風(fēng)險(xiǎn)評估工作，提高某銀行信息科技風(fēng)險(xiǎn)管理水平，促進(jìn)我行業(yè)務(wù)安全、持續(xù)、穩(wěn)健發(fā)展，根據(jù)國家信息安全法律、法規(guī)及銀行業(yè)信息科技監(jiān)管要求及《某銀行信息科技風(fēng)險(xiǎn)管理策略》，結(jié)合我行風(fēng)險(xiǎn)管理實(shí)際情況，特制定本辦法。第二條本辦法屬于信息科技風(fēng)險(xiǎn)類“管理辦法”，適用于某銀行信息科技工作全過程的風(fēng)險(xiǎn)評估。風(fēng)險(xiǎn)評估對象包括信息科技組織、管理過程和信息資產(chǎn)。第三條信息科技風(fēng)險(xiǎn)，是指信息科技在

2、合規(guī)管理、支持業(yè)務(wù)創(chuàng)新和業(yè)務(wù)運(yùn)營過程中，由于管理流程及資源缺失或不足、人為因素和技術(shù)漏洞產(chǎn)生的操作、法律、聲譽(yù)等風(fēng)險(xiǎn)。第四條信息科技風(fēng)險(xiǎn)評估是指在信息科技風(fēng)險(xiǎn)事件發(fā)生之前或之后（但還沒有結(jié)束），該事件給信息系統(tǒng)的研發(fā)、生產(chǎn)等各個(gè)方面造成的影響和損失的可能性進(jìn)行量化評估的工作。第五條本辦法所指的信息科技風(fēng)險(xiǎn)類型及來源包括但不限于以下內(nèi)容：(一)信息科技總體風(fēng)險(xiǎn)是指信息科技在策略、制度、物理環(huán)境、軟件、硬件、網(wǎng)絡(luò)、數(shù)據(jù)、文檔等方面影響全局或

3、共有的風(fēng)險(xiǎn)。(二)信息系統(tǒng)風(fēng)險(xiǎn)是指信息系統(tǒng)在規(guī)劃、研發(fā)、建設(shè)、運(yùn)行、維護(hù)、監(jiān)控及下線過程中由于技術(shù)和管理缺陷產(chǎn)生的風(fēng)險(xiǎn)。(三)研發(fā)風(fēng)險(xiǎn)是指信息系統(tǒng)在研發(fā)過程中組織、規(guī)劃、需求、分析、設(shè)計(jì)、編程、測試和投產(chǎn)等環(huán)節(jié)產(chǎn)生的風(fēng)險(xiǎn)。(四)運(yùn)行維護(hù)風(fēng)險(xiǎn)是指信息系統(tǒng)在運(yùn)行與維護(hù)過程中訪問管理、操作管理、員擔(dān)任；（三）評估分析人員負(fù)責(zé)匯總、整理和分析采集到的信息與證據(jù)材料，編寫風(fēng)險(xiǎn)評估報(bào)告。評估分析人員由行內(nèi)經(jīng)驗(yàn)豐富的專業(yè)人員擔(dān)任，必要時(shí)可聘請業(yè)內(nèi)專業(yè)

4、人員。第十條在同一風(fēng)險(xiǎn)評估任務(wù)中，評估實(shí)施團(tuán)隊(duì)成員不少于三人，評估管理人員和評估分析人員不得兼任評估人員。第三章風(fēng)險(xiǎn)評估計(jì)劃第十一條總行和一級分行每年度應(yīng)開展一次整體信息科技風(fēng)險(xiǎn)評估，兩次以上專項(xiàng)信息科技風(fēng)險(xiǎn)評估。第十二條信息科技風(fēng)險(xiǎn)評估要以信息科技風(fēng)險(xiǎn)監(jiān)測信息、數(shù)據(jù)以及其他有關(guān)信息為基礎(chǔ)，遵循科學(xué)、透明和個(gè)案處理的原則進(jìn)行。第十三條出現(xiàn)以下情況時(shí)，應(yīng)結(jié)合本單位以往風(fēng)險(xiǎn)評估情況，確定是否啟動專項(xiàng)信息科技風(fēng)險(xiǎn)評估：（一）新系統(tǒng)上線后或已有