银行业金融机构机房安全管理

『壹』 银行业金融机构在什么个人金融信息时应当严格遵守法律规定确保信息安全

银行业金融在收集、保存、使用、对外提供个人金融信息时，应当严格遵守法律规定，采取有效措施加强对个人金融信息保护，确保信息安全，防止信息泄露和滥用。特别是在收集个人金融信息时，应当遵循合法、合理原则，不得收集与业务无关的信息或采取不正当方式收集信息。
同时，银行业金融应当建立健全内部控制制度，对易发生个人金融信息泄露的环节进行充分排查。央行要求，银行业金融不得篡改、违法使用个人金融信息。使用个人金融信息时，应当符合收集该信息的目的，而且不得出售个人金融信息；不得向本金融以外的其他和个人提供个人金融信息等。

『贰』 金融机构应从()管理的角度

第七条 银行业金融机构应认真履行列信息系统管理职责：
（）贯彻执行家关信息系统管理律、规技术标准落实银监相关监管要求；
（二）建立效信息安全保障体系内部控制规程明确信息系统风险管理岗位责任制度并监督落实；
（三）负责组织本机构信息系统风险进行检查、评估、析及向本机构专门委员银监及其派机构报送相关管理信息；
（四）及向银监及其派机构报告本机构发重信息系统事故或突发事件并按关预案快速响应；
（五）每经董事或其决策机构审查向银监及其派机构报送信息系统风险管理度报告；
（六）做本机构信息系统审计工作；
（七）配合银监及其派机构做信息系统风险监督检查工作并按照监管意见进行整改；
（八）组织本机构信息系统业员进行信息系统关业务、技术安全培训；
（九）展与信息系统风险管理相关其工作
第八条 银行业金融机构董事或其决策机构负责信息系统战略规划、重项目风险监督管理；信息科技管理委员、风险管理委员或其负责风险监督专业委员应制定信息系统总体策略统筹信息系统项目建设定期评估、报告本机构信息系统风险状况决策层提供建议采取相应风险控制措施
第九条 银行业金融机构定代表或主要负责本机构信息系统风险管理责任
第十条 银行业金融机构应设立信息科技部门统负责本机构信息系统规划、研发、建设、运行、维护监控提供科技服务运行技术支持；建立或明确专门信息系统风险管理部门建立、健全信息系统风险管理规章、制度并协助业务部门及信息科技部门严格执行提供相关监管信息；设立审计部门或专门审计岗位建立健全信息系统风险审计制度配备适量合格员进行信息系统风险审计
第十条 银行业金融机构事与信息系统相关工作员应符合要求：
（）具备良职业道德掌握履行信息系统相关岗位职责所需专业知识技能；
（二）未经岗前培训或培训合格者岗；经考核适宜工作员应及进行调整
第十二条 银行业金融机构应加强信息系统风险管理专业队伍建设建立才激励机制适应信息技术发展
第十三条 银行业金融机构应依据关律规及规范披露信息系统风险状况
总体风险控制
第十四条 总体风险指信息系统策略、制度、机房、软件、硬件、网络、数据、文档等面影响全局或共风险
第十五条 银行业金融机构应根据信息系统总体规划制定明确、持续风险管理策略按照信息系统敏程度各集要素进行析评估并实施效控制
第十六条 银行业金融机构应采取措施防范自灾害、运行环境变化等产安全威胁防止各类突发事故恶意攻击
第十七条 银行业金融机构应建立健全信息系统相关规章制度、技术规范、操作规程等；明确与信息系统相关员职责权限建立制约机制实行授权
第十八条 境外设立我银行业金融机构或境内设立境外银行业金融机构应防范由于境内外信息系统监管制度差异等造跨境风险
第十九条 银行业金融机构应严格执行家信息安全相关标准参照关际准则积极推进信息安全标准化实行信息安全等级保护
第二十条 银行业金融机构应加强信息系统评估测试及进行修补更新保证信息系统安全性、完整性
第二十条 银行业金融机构信息系统数据机房应符合家关计算机场、环境、供配电等技术标准全性数据至少应达家A类机房标准省域数据至少应达家B类机房标准省域数据至少应达C类机房标准数据机房应实行严格门禁管理措施未经授权进入
第二十二条 银行业金融机构应重视知识产权保护使用版软件加强软件版本管理优先使用具自主知识产权软、硬件产品；积极研发具自主知识产权信息系统相关金融产品并采取效措施保护本机构信息化
第二十三条 银行业金融机构与信息系统相关电设备选型、购置、登记、保养、维修、报废等应严格执行相关规程选用设备应经技术论证测试性能应符合家关标准信息系统所用服务器等关键设备应具较高靠性、充足容量定容错特性并配置适备品备件
第二十四条 信息系统网络应参照相关标准规范设计、建设；网络设备应兼备技术先进性产品熟性；网络设备线路应冗余备份；严格线路租用合同管理按照业务交易流量要求保证传输带宽；建立完善网管监测管理通信线路及网络设备保障网络安全稳定运行
第二十五条 银行业金融机构应加强网络安全管理产网络与发测试网络、业务网络与办公网络、内部网络与外部网络应实施隔离；加强线网、互联网接入边界控制；使用内容滤、身份认证、防火墙、病毒防范、入侵检测、漏洞扫描、数据加密等技术手段效降低外部攻击、信息泄漏等风险
第二十六条 银行业金融机构应加强信息系统加密机、密钥、密码、加解密程序等安全要素管理使用符合家安全标准密码设备完善安全要素、领取、使用、修改、保管销毁等环节管理制度密钥、密码应定期更改
第二十七条 银行业金融机构应加强数据采集、存贮、传输、使用、备份、恢复、抽检、清理、销毁等环节效管理脱离系统采集加工、传输、存取数据；优化系统数据库安全设置严格按授权使用系统数据库采用适数据加密技术保护敏数据传输存取保证数据完整性、保密性
第二十八条 银行业金融机构应信息系统配置参数实施严格安全与保密管理防止非、变更、泄漏、丢失与破坏根据敏程度用途确定存取权限、式授权使用范围严格审批登记手续

第二十九条 银行业金融机构应制定信息系统应急预案并定期演练、评审修订省域数据至少实现数据备份异保存省域数据至少实现异数据实备份全性数据实现异灾备
第三十条 银行业金融机构应加强技术文档资料重要数据备份管理；技术文档资料重要数据应保留副本并异存放按规定限保存调用应严格授权信息系统技术文档资料包括：系统环境说明文件、源程序及系统研发、运行、维护程形各类技术资料重要数据包括：交易数据、账务数据、客户数据及产报表数据等
第三十条 银行业金融机构信息系统能影响客户服务应适式告知客户
研发风险控制
第三十二条 研发风险指信息系统研发程组织、规划、需求、析、设计、编程、测试投产等环节产风险
第三十三条 银行业金融机构信息系统研发前应立项目工作组重项目应立项目领导组并指定负责项目领导组负责项目组织、协调、检查、监督工作项目工作组由业务员、技术员管理员组具体负责整项目发工作
第三十四条 项目工作组员应具备与项目要求相适应业务经验与专业技术知识组负责需具备组织领导能力,保证信息系统研发质量进度
第三十五条 银行业金融机构业务部门根据本机构业务发展战略充进行市场调查、产品效益析基础制定信息系统研发项目行性报告
第三十六条 银行业金融机构业务部门编写项目需求说明书提风险控制要求信息科技部门根据项目需求编制项目功能说明书
第三十七条 银行业金融机构信息科技部门依据项目功能说明书别编写项目总体技术框架、项目设计说明书设计编码应符合项目功能说明书要求
第三十八条 银行业金融机构应建立独立测试环境保证测试完整性准确性测试至少应包括功能测试、安全性测试、压力测试、验收测试、适应性测试测试直接使用产数据
第三十九条 银行业金融机构信息科技部门应根据测试结修补系统功能缺陷提高系统整体质量
第四十条 银行业金融机构业务员、技术员应根据职责范围别编写操作说明书、技术应急案、业务连续性计划、投产计划、应急退计划并进行演练

第四十条 发程所涉及各种文档资料应经相关部门、员签字确认并归档保存
第四十二条 项目验收应具由相关负责签字项目验收报告验收合格投产使用
第五章运行维护风险控制
第四十三条 运行维护风险指信息系统运行与维护程操作管理、变更管理、机房管理事件管理等环节产风险
第四十四条 银行业金融机构信息系统运行与维护应实行职责离运行员应实行专职由其员兼任运行员应按操作规程巡检操作维护员应按授权维护规程要求产状态软硬件、数据进行维护除应急外其维护应非工作间进行
第四十五条 银行业金融机构信息系统运行应符合要求：
（）制定详细运行值班操作表包括规定巡检间操作范围、内容、办、命令及负责员等信息；
（二）提供见简便操作菜单或命令信息系统启或停止、运行志查询等；
（三）提供机房环境、设备使用、网络运行、系统运行等监控信息；
（四）记录运行值班程所现象、操作程等信息
第四十六条 银行业金融机构信息系统维护应符合要求：
（）除信息系统设备系统环境维护外软件或数据维护必须通特定应用程序进行添加、删除修改数据应通柜员终端数据库进行直接操作；
（二）具备各种详细志信息包括交易志审计志等便维护审计；
（三）提供维护统计报表打印功能
第四十七条 银行业金融机构信息系统变更应符合要求：
（）制订严密变更处理流程明确变更控制各岗位职责并遵循流程实施控制管理；变更前应明确应急退案授权进行变更操作；
（二）根据变更需求、变更案、变更内容核实清单等相关文档审核变更确性、安全性合性；
（三）应采用软件工具精确判断变更真实位置内容形变更内容核实清单实现真实、效、全面检验；
（四）软件版本变更应保留初始版本所历史版本保留所历史变更内容核实清单
第四十八条 银行业金融机构信息系统投产定期内应组织系统评价并根据评价及系统功能进行调整优化
第四十九条 银行业金融机构应机房环境设施实行巡检明确信息系统及机房环境设施现故障应急处理流程预案实交易服务数据应实行24值班
第五十条 银行业金融机构应实行事件报告制度发信息系统造重经济、声誉损失重影响事件应即报并处理必要启应急处理预案
外包风险控制
第五十条 外包风险指银行业金融机构信息系统规划、研发、建设、运行、维护、监控等委托给业务合作伙伴或外部技术供应商形风险
第五十二条 银行业金融机构进行信息系统外包应根据风险控制实际需要合理确定外包原则范围认真析评估外包存潜风险建立健全关规章制度制定相应风险防范措施
第五十三条 银行业金融机构应建立健全外包承包评估机制充审查、评估承包经营状况、财务实力、诚信历史、安全资质、技术服务能力实际风险控制与责任承担水平并进行必要尽职调查评估工作委托经家相应监管部门认定资质具相关专业经验独立机构完
第五十四条 银行业金融机构应与承包签订书面合同明确双权利、义务并规定承包安全、保密、知识产权面义务责任
第五十五条 银行业金融机构应充认识外包服务信息系统风险控制直接间接影响并其纳入总体安全策略风险控制
第五十六条 银行业金融机构应建立完整信息系统外包风险评估与监测程序审慎管理外包产风险提高本机构外包管理能力
第五十七条 银行业金融机构信息系统外包风险管理应符合风险管理标准策略并应建立针外包风险应急计划
第五十八条 银行业金融机构应与外包承包建立效联络、沟通信息交流机制并制定意外情况能够实现承包顺利变更保证外包服务间断应急预案
第五十九条 银行业金融机构敏信息系统及其涉及家秘密、商业秘密客户隐私数据管理与传递等内容进行外包应遵守家关律规符合银监关规定经董事或其决策机构批准并实施外包前报银监及其派机构律规规定需要报告机构备案

『叁』 简述银行业金融机构内控管理的 三道防线

三道防线是指预防性风险管理、存款保险制度、紧急救援制度。

1、预防性风险管理：

无论是监管部门的规定，还是商业银行的管理实践，均将直接进行业务操作，面向客户提供产品和服务的一线岗位、机构作为内部控制最前沿的第一道“防线”。通过建立营业机构不同岗位各司其职、各负其责、相互制约的工作机制，形成由“自我约束”和“不相容职务分离”控制作业偏差的“第一道防线”。

2、存款保险制度：

由于委托代理中存在信息不对称，“一道防线”的自我约束和岗位制约可能因内部人的串通而流于形式。为此，各商业银行还设置了内控“第二道防线”。各职能部门的“自我约束”与“尽职监督”控制，是商业银行的“第二道防线”。

3、紧急救援制度：

由于商业银行具有经营多元化和组织层级制的特点，各分支机构、部门的多元利益并存，更易出现因本位主义使经营管理活动偏离战略目标和整体目标的问题。因此，需要对职能部门的自我约束和尽职监督进行监督。

(3)银行业金融机构机房安全管理扩展阅读：

银行业金融机构三道防线的必要性：

目前，对商业银行如何设置“三道防线”，已无明确的监管要求。但是，经营管理中各项活动对既定目标的偏离和偏差无时不有、无处不在，不但可能形成风险、造成损失，还可能酿成刑事案件，甚至导致商业银行破产。

加之，经济金融形势风云变幻，商业银行经营管理风险日趋复杂多样，案件防控压力不断加大。设置内部控制防线已经成为商业银行实现企业目标和强化内控管理的客观需要，其目的就是保证经营管理按计划进行并及时纠正各种重要偏差，防控风险，遏制舞弊、杜绝案件。

实践中，各家商业银行基于对三道防线的不同理解，设置了不同的防线。由于合理配置有限的资源是企业管理永恒的主题，内部控制“防线”的设置应当权衡实施成本与预期效益。在商业银行经营管理中，哪些环节偏差频率高、风险危害大就应该在哪里设置防线。

商业银行的管理和控制围绕着业务经营展开，因此，笔者认为，只有从商业银行业务流程角度出发设置“三道防线”才能够最有效地防控经营管理中存在的偏差和风险。

『肆』 试述银监会如何实现对银行业金融机构的有效监管

首先是，进一步推进银行业改革发展。坚持用改革发展的眼光审视银行业监管工作，认真研究解决影响银行业改革发展的各种问题，加强对改革时期各类银行业金融机构的分类监管，进一步发挥监管对银行业改革发展的引领和促进作用。加强监管指导和考核评价，深化大型银行的体制机制改革，加速推进我国商业银行战略转型的进程，重点督促大型银行完善公司治理和强化内控建设，优化业务和管理流程，提高内部运作效率和内部控制的有效性，缩小与国际先进银行的差距。推进有条件的商业银行实行战略事业部制，实现由“部门银行”向以客户为中心的“流程银行”的转变，进一步完善风险管理技术和手段，增强风险定价和风险管理能力。加快信息科技建设，构筑全面涵盖各项业务领域的信息系统，加大信息科技风险管控，为业务发展创造良好平台。深入研究农村金融体制改革问题，进一步推进政策性银行、邮政储蓄机构和农村信用社的改革，发挥各类银行业金融机构在构建和谐社会中应有的作用。 其次是进一步推进银行业对外开放。为适应全面对外开放的新形势，刚刚通过的《外资银行管理条例》充分体现了全面兑现承诺、依法对外开放、鼓励公平竞争、加强审慎监管、维护金融体系稳健的原则，我们将据此按照承诺向外资银行开放对中国居民个人的人民币业务，并在承诺基础上对外资银行实行国民待遇。 第三是进一步推进银行业监管法规建设。监管法规建设是推进有效银行业监管的基础，也是依法治国、依法行政的要求，在我国银行业及经济社会改革转型时期，健康信用环境尚需努力创造的情况下，加强法规建设尤其紧迫。前一阶段，银监会对现有的500多项银行业监管法规文件进行了分类整理，采取上下联动的办法全面开展法规清理，以此保证中国银行业监管规则与国际惯例接轨。下一步，银监会将着眼于监管法规制度建设的系统性、前瞻性和有效性，重点在银行业面临的信用风险、市场风险、操作风险、信息科技风险等方面，制定科学的立法规划，加大监管法规更新、完善力度，同时及时总结巴塞尔新资本协议、国际会计准则32号与39号以及美国萨班斯法案出台后对银行业发展和监管的影响以及经验教训，吸收、借鉴国际银行业监管行之有效的做法，全面建立既符合国情又适应国际监管趋势、既覆盖全面又便于操作的银行业审慎监管法规体系。 第四，进一步推进银行业监管能力建设。结合国际银行业监管的新进展和新经验，深入开展中国银行业发展与监管重大课题的研究，加强监管、改革措施与外部环境的联动配合。根据银行业金融机构风险评级及预警结果实施分类监管，有效利用监管资源，实施科学监管，认真实施《提高银行监管有效性中长期规划》，全面运用监管信息系统，不断完善风险监管方法、流程和手段，提高非现场监管专业化水平和现场检查的精确性、针对性和有效性。继续深化资本监管，研究制定实施新资本协议的监管政策、指引和措施，引导银行业金融机构实施内部评级工程，构建符合新资本协议要求的风险管理体系。 最后，进一步推进银行业创新步伐。在风险可控的前提下，加快银行业创新发展是提高我国银行业整体竞争能力的必然路径。银监会鼓励和支持银行业金融机构结合自身风险偏好和风险管控能力，加快金融创新步伐。通过健全以银行业金融机构为主体、以市场需求为导向、引进与自主相结合的金融创新机制，引导银行业改善对“三农”、高新技术、小企业的信贷服务，促进金融创新与风险管理、银行自身效益与社会效益的协调发展。银监会还将在有效监管和建立防火墙制度的前提下，允许商业银行以控股公司模式跨行业经营试点，鼓励商业银行开展消费类综合金融服务，稳步推进业务交叉、联合和股权投资，积极推进信贷资产证券化，逐步开发规避信用和市场风险的金融衍生产品，全面推进我国充满活力并富有国际竞争力的银行业体系建设。

『伍』 银行业金融机构信息系统风险管理指引的第五章　运行维护风险控制

第四十三条 运行维护风险是指信息系统在运行与维护过程中操作管理、变更管理、机房管理和事件管理等环节产生的风险。
第四十四条 银行业金融机构信息系统运行与维护应实行职责分离，运行人员应实行专职，不得由其他人员兼任。运行人员应按操作规程巡检和操作。维护人员应按授权和维护规程要求对生产状态的软硬件、数据进行维护，除应急外，其他维护应在非工作时间进行。
第四十五条 银行业金融机构信息系统的运行应符合以下要求：
（一）制定详细的运行值班操作表，包括规定巡检时间，操作范围、内容、办法、命令以及负责人员等信息；
（二）提供常见和简便的操作菜单或命令，如信息系统的启动或停止、运行日志的查询等；
（三）提供机房环境、设备使用、网络运行、系统运行等监控信息；
（四）记录运行值班过程中所有现象、操作过程等信息。
第四十六条 银行业金融机构信息系统的维护应符合以下要求：
（一）除对信息系统设备和系统环境的维护外，对软件或数据的维护必须通过特定的应用程序进行，添加、删除和修改数据应通过柜员终端，不得对数据库进行直接操作；
（二）具备各种详细的日志信息，包括交易日志和审计日志等，以便维护和审计；
（三）提供维护的统计和报表打印功能。
第四十七条 银行业金融机构信息系统的变更应符合以下要求：
（一）制订严密的变更处理流程，明确变更控制中各岗位的职责，并遵循流程实施控制和管理；变更前应明确应急和回退方案，无授权不得进行变更操作；
（二）根据变更需求、变更方案、变更内容核实清单等相关文档审核变更的正确性、安全性和合法性；
（三）应采用软件工具精确判断变更的真实位置和内容，形成变更内容核实清单，实现真实、有效、全面的检验；
（四）软件版本变更后应保留初始版本和所有历史版本，保留所有历史的变更内容核实清单。
第四十八条 银行业金融机构在信息系统投产后一定时期内，应组织对系统的后评价，并根据评价及时对系统功能进行调整和优化。
第四十九条 银行业金融机构应对机房环境设施实行日常巡检，明确信息系统及机房环境设施出现故障时的应急处理流程和预案，有实时交易服务的数据中心应实行24小时值班。
第五十条 银行业金融机构应实行事件报告制度，发生信息系统造成重大经济、声誉损失和重大影响事件，应即时上报并处理，必要时启动应急处理预案。

『陆』 金融机构风险为本管理原则包括以下哪些内容

第六条 银行业金融机构应建立效信息系统风险管理架构完善内部组织结构工作机制防范控制信息系统风险
第七条 银行业金融机构应认真履行列信息系统管理职责：
（）贯彻执行家关信息系统管理律、规技术标准落实银监相关监管要求；
（二）建立效信息安全保障体系内部控制规程明确信息系统风险管理岗位责任制度并监督落实；
（三）负责组织本机构信息系统风险进行检查、评估、析及向本机构专门委员银监及其派机构报送相关管理信息；
（四）及向银监及其派机构报告本机构发重信息系统事故或突发事件并按关预案快速响应；
（五）每经董事或其决策机构审查向银监及其派机构报送信息系统风险管理度报告；
（六）做本机构信息系统审计工作；
（七）配合银监及其派机构做信息系统风险监督检查工作并按照监管意见进行整改；
（八）组织本机构信息系统业员进行信息系统关业务、技术安全培训；
（九）展与信息系统风险管理相关其工作
第八条 银行业金融机构董事或其决策机构负责信息系统战略规划、重项目风险监督管理；信息科技管理委员、风险管理委员或其负责风险监督专业委员应制定信息系统总体策略统筹信息系统项目建设定期评估、报告本机构信息系统风险状况决策层提供建议采取相应风险控制措施
第九条 银行业金融机构定代表或主要负责本机构信息系统风险管理责任
第十条 银行业金融机构应设立信息科技部门统负责本机构信息系统规划、研发、建设、运行、维护监控提供科技服务运行技术支持；建立或明确专门信息系统风险管理部门建立、健全信息系统风险管理规章、制度并协助业务部门及信息科技部门严格执行提供相关监管信息；设立审计部门或专门审计岗位建立健全信息系统风险审计制度配备适量合格员进行信息系统风险审计
第十条 银行业金融机构事与信息系统相关工作员应符合要求：
（）具备良职业道德掌握履行信息系统相关岗位职责所需专业知识技能；
（二）未经岗前培训或培训合格者岗；经考核适宜工作员应及进行调整
第十二条 银行业金融机构应加强信息系统风险管理专业队伍建设建立才激励机制适应信息技术发展
第十三条 银行业金融机构应依据关律规及规范披露信息系统风险状况
总体风险控制
第十四条 总体风险指信息系统策略、制度、机房、软件、硬件、网络、数据、文档等面影响全局或共风险
第十五条 银行业金融机构应根据信息系统总体规划制定明确、持续风险管理策略按照信息系统敏程度各集要素进行析评估并实施效控制
第十六条 银行业金融机构应采取措施防范自灾害、运行环境变化等产安全威胁防止各类突发事故恶意攻击
第十七条 银行业金融机构应建立健全信息系统相关规章制度、技术规范、操作规程等；明确与信息系统相关员职责权限建立制约机制实行授权
第十八条 境外设立我银行业金融机构或境内设立境外银行业金融机构应防范由于境内外信息系统监管制度差异等造跨境风险
第十九条 银行业金融机构应严格执行家信息安全相关标准参照关际准则积极推进信息安全标准化实行信息安全等级保护
第二十条 银行业金融机构应加强信息系统评估测试及进行修补更新保证信息系统安全性、完整性
第二十条 银行业金融机构信息系统数据机房应符合家关计算机场、环境、供配电等技术标准全性数据至少应达家A类机房标准省域数据至少应达家B类机房标准省域数据至少应达C类机房标准数据机房应实行严格门禁管理措施未经授权进入
第二十二条 银行业金融机构应重视知识产权保护使用版软件加强软件版本管理优先使用具自主知识产权软、硬件产品；积极研发具自主知识产权信息系统相关金融产品并采取效措施保护本机构信息化
第二十三条 银行业金融机构与信息系统相关电设备选型、购置、登记、保养、维修、报废等应严格执行相关规程选用设备应经技术论证测试性能应符合家关标准信息系统所用服务器等关键设备应具较高靠性、充足容量定容错特性并配置适备品备件
第二十四条 信息系统网络应参照相关标准规范设计、建设；网络设备应兼备技术先进性产品熟性；网络设备线路应冗余备份；严格线路租用合同管理按照业务交易流量要求保证传输带宽；建立完善网管监测管理通信线路及网络设备保障网络安全稳定运行
第二十五条 银行业金融机构应加强网络安全管理产网络与发测试网络、业务网络与办公网络、内部网络与外部网络应实施隔离；加强线网、互联网接入边界控制；使用内容滤、身份认证、防火墙、病毒防范、入侵检测、漏洞扫描、数据加密等技术手段效降低外部攻击、信息泄漏等风险
第二十六条 银行业金融机构应加强信息系统加密机、密钥、密码、加解密程序等安全要素管理使用符合家安全标准密码设备完善安全要素、领取、使用、修改、保管销毁等环节管理制度密钥、密码应定期更改
第二十七条 银行业金融机构应加强数据采集、存贮、传输、使用、备份、恢复、抽检、清理、销毁等环节效管理脱离系统采集加工、传输、存取数据；优化系统数据库安全设置严格按授权使用系统数据库采用适数据加密技术保护敏数据传输存取保证数据完整性、保密性
第二十八条 银行业金融机构应信息系统配置参数实施严格安全与保密管理防止非、变更、泄漏、丢失与破坏根据敏程度用途确定存取权限、式授权使用范围严格审批登记手续

第二十九条 银行业金融机构应制定信息系统应急预案并定期演练、评审修订省域数据至少实现数据备份异保存省域数据至少实现异数据实备份全性数据实现异灾备
第三十条 银行业金融机构应加强技术文档资料重要数据备份管理；技术文档资料重要数据应保留副本并异存放按规定限保存调用应严格授权信息系统技术文档资料包括：系统环境说明文件、源程序及系统研发、运行、维护程形各类技术资料重要数据包括：交易数据、账务数据、客户数据及产报表数据等
第三十条 银行业金融机构信息系统能影响客户服务应适式告知客户
研发风险控制
第三十二条 研发风险指信息系统研发程组织、规划、需求、析、设计、编程、测试投产等环节产风险
第三十三条 银行业金融机构信息系统研发前应立项目工作组重项目应立项目领导组并指定负责项目领导组负责项目组织、协调、检查、监督工作项目工作组由业务员、技术员管理员组具体负责整项目发工作
第三十四条 项目工作组员应具备与项目要求相适应业务经验与专业技术知识组负责需具备组织领导能力,保证信息系统研发质量进度
第三十五条 银行业金融机构业务部门根据本机构业务发展战略充进行市场调查、产品效益析基础制定信息系统研发项目行性报告
第三十六条 银行业金融机构业务部门编写项目需求说明书提风险控制要求信息科技部门根据项目需求编制项目功能说明书
第三十七条 银行业金融机构信息科技部门依据项目功能说明书别编写项目总体技术框架、项目设计说明书设计编码应符合项目功能说明书要求
第三十八条 银行业金融机构应建立独立测试环境保证测试完整性准确性测试至少应包括功能测试、安全性测试、压力测试、验收测试、适应性测试测试直接使用产数据
第三十九条 银行业金融机构信息科技部门应根据测试结修补系统功能缺陷提高系统整体质量
第四十条 银行业金融机构业务员、技术员应根据职责范围别编写操作说明书、技术应急案、业务连续性计划、投产计划、应急退计划并进行演练

第四十条 发程所涉及各种文档资料应经相关部门、员签字确认并归档保存
第四十二条 项目验收应具由相关负责签字项目验收报告验收合格投产使用
第五章运行维护风险控制
第四十三条 运行维护风险指信息系统运行与维护程操作管理、变更管理、机房管理事件管理等环节产风险
第四十四条 银行业金融机构信息系统运行与维护应实行职责离运行员应实行专职由其员兼任运行员应按操作规程巡检操作维护员应按授权维护规程要求产状态软硬件、数据进行维护除应急外其维护应非工作间进行
第四十五条 银行业金融机构信息系统运行应符合要求：
（）制定详细运行值班操作表包括规定巡检间操作范围、内容、办、命令及负责员等信息；
（二）提供见简便操作菜单或命令信息系统启或停止、运行志查询等；
（三）提供机房环境、设备使用、网络运行、系统运行等监控信息；
（四）记录运行值班程所现象、操作程等信息
第四十六条 银行业金融机构信息系统维护应符合要求：
（）除信息系统设备系统环境维护外软件或数据维护必须通特定应用程序进行添加、删除修改数据应通柜员终端数据库进行直接操作；
（二）具备各种详细志信息包括交易志审计志等便维护审计；
（三）提供维护统计报表打印功能
第四十七条 银行业金融机构信息系统变更应符合要求：
（）制订严密变更处理流程明确变更控制各岗位职责并遵循流程实施控制管理；变更前应明确应急退案授权进行变更操作；
（二）根据变更需求、变更案、变更内容核实清单等相关文档审核变更确性、安全性合性；
（三）应采用软件工具精确判断变更真实位置内容形变更内容核实清单实现真实、效、全面检验；
（四）软件版本变更应保留初始版本所历史版本保留所历史变更内容核实清单
第四十八条 银行业金融机构信息系统投产定期内应组织系统评价并根据评价及系统功能进行调整优化
第四十九条 银行业金融机构应机房环境设施实行巡检明确信息系统及机房环境设施现故障应急处理流程预案实交易服务数据应实行24值班
第五十条 银行业金融机构应实行事件报告制度发信息系统造重经济、声誉损失重影响事件应即报并处理必要启应急处理预案
外包风险控制
第五十条 外包风险指银行业金融机构信息系统规划、研发、建设、运行、维护、监控等委托给业务合作伙伴或外部技术供应商形风险
第五十二条 银行业金融机构进行信息系统外包应根据风险控制实际需要合理确定外包原则范围认真析评估外包存潜风险建立健全关规章制度制定相应风险防范措施
第五十三条 银行业金融机构应建立健全外包承包评估机制充审查、评估承包经营状况、财务实力、诚信历史、安全资质、技术服务能力实际风险控制与责任承担水平并进行必要尽职调查评估工作委托经家相应监管部门认定资质具相关专业经验独立机构完
第五十四条 银行业金融机构应与承包签订书面合同明确双权利、义务并规定承包安全、保密、知识产权面义务责任
第五十五条 银行业金融机构应充认识外包服务信息系统风险控制直接间接影响并其纳入总体安全策略风险控制
第五十六条 银行业金融机构应建立完整信息系统外包风险评估与监测程序审慎管理外包产风险提高本机构外包管理能力
第五十七条 银行业金融机构信息系统外包风险管理应符合风险管理标准策略并应建立针外包风险应急计划
第五十八条 银行业金融机构应与外包承包建立效联络、沟通信息交流机制并制定意外情况能够实现承包顺利变更保证外包服务间断应急预案
第五十九条 银行业金融机构敏信息系统及其涉及家秘密、商业秘密客户隐私数据管理与传递等内容进行外包应遵守家关律规符合银监关规定经董事或其决策机构批准并实施外包前报银监及其派机构律规规定需要报告机构备案

『柒』 金融机构营业场所安全防范设施包括哪些

金融机构营业场所安全防范设施包括视频监控系统、防盗报警系统、门禁系统、金属防护门、金属防护栏、火灾自动报警、应急照明系统等，具体应按照公安部GA38-2004进行配置。