银行数据安全管理制度.pdf

WORD格式--可编辑--专业资料

对于客户来说，银行给客户提供服务的同时，必须要为客户提供可靠的环境以及信息的准确性和安全性。以下

是小编为你整理的银行数据安全管理制度，希望能帮到你。

第一章总则

第一条为加强商业银行数据中心风险管理，保障数据中心安全、可靠、稳定运行，提高商业银行业务连续性

水平，根据《中华人民共和国银行业监督管理法》及《中华人民共和国商业银行法》制定本指引。

第二条在中华人民共和国境内设立的国有商业银行、股份制商业银行、邮政储蓄银行、城市商业银行、省级

农村信用联合社、外商独资银行、中外合资银行适用本指引。中国银行业监督管理委员会(以下简称中国银监

会)监管的其他金融机构参照本指引执行。

第三条以下术语适用于本指引：

(一)本指引所称数据中心包括生产中心和灾难备份中心(以下简称灾备中心)。

(二)本指引所称生产中心是指商业银行对全行业务、客户和管理等重要信息进行集中存储、处理和维护，具备

专用场所，为业务运营及管理提供信息科技支撑服务的组织。

(三)本指引所称灾备中心是指商业银行为保障其业务连续性，在生产中心故障、停顿或瘫疾后，能够接替生产

中心运行，具备专用场所，进行数据处理和支持重要业务持续运行的组织。

(四)本指引所称灾备中心同城模式是指灾备中心与生产中心位于同一地理区域，一般距离数十公里，可防范火

灾、建筑物破坏、电力或通信系统中断等事件。灾备中心异地模式是指灾备中心与生产中心处于不同地理区域，

一般距离在数百公里以上，不会同时面临同类区域性灾难风险，如地震、台风和洪水等。

(五)本指引所称重要信息系统是指支撑重要业务，其信息安全和服务质量关系公民、法人和组织的权益，或关

系社会秩序、公共利益乃至国-家-安-全的信息系统。包括面向客户、涉及账务处理且时效性要求较高的业务

处理类、渠道类和涉及客户风险管理等业务的管理类信息系统，以及支撑系统运行的机房和网络等基础设施。

第四条《信息安全技术信息系统灾难恢复规范》(GB/T20988-2015)中的条款通过本指引的引用而成为本指引

的条款。

第二章设立与变更

第五条商业银行应于取得金融许可证后两年内，设立生产中心;生产中心设立后两年内，设立灾备中心。

第六条商业银行数据中心应配置满足业务运营与管理要求的场地、基础设施、网络、信息系统和人员，并具

备支持业务不间断服务的能力。

第七条总资产规模一千亿元人民币以上且跨省设立分支机构的法人商业银行，及省级农村信用联合社应设立

异地模式灾备中心，重要信息系统灾难恢复能力应达到《信息安全技术信息系统灾难恢复规范》中定义的灾难

恢复等级第5级(含)以上;其他法人商业银行应设立同城模式灾备中心并实现数据异地备份，重要信息系统灾

难恢复能力应达到《信息安全技术信息系统灾难恢复规范》中定义的灾难恢复等级第4级(含)以上。

第八条商业银行应就数据中心设立，数据中心服务范围、服务职能和场所变更，以及其他对数据中心持续运

行具有较大影响的重大变更事项向中国银监会或其派出机构报告。

第九条商业银行应在数据中心规划筹建阶段，以及在数据中心正式运营前至少20个工作日，向中国银监会或

其派出机构报告。

第十条商业银行变更数据中心场所时应至少提前2个月，其他重大变更应至少提前10个工作日向中国银监会

或其派出机构报告。

第三章风险管理

第十一条商业银行信息科技风险管理部门应制定数据中心风险管理策略、风险识别和评估流程，定期开展风

险评估工作，对风险进行分级管理，持续监督风险管理状况，及时预警，将风险控制在可接受水平。

第十二条商业银行信息科技部门应指导、监督和协调数据中心明确信息系统运营维护管理策略，建立运营维

护管理制度、标准和流程，落实信息科技风险管理措施。

第十三条商业银行数据中心应建立健全各项管理与内控制度，从技术和管理等方面实施风险控制措施。

第十四条商业银行数据中心应设立专门管理岗位，监督、检查数据中心各项规范、制度、标准和流程的执行

情况以及风险管理状况。

第十五条商业银行应根据业务影响分析所识别出风险的可能性和损失程度，决定是否购买商业保险以应对不

--完整版学习资料分享

WORD格式--可编辑--专业资料

同类型的灾难，并定期检查其保险策略及范围。投保资产清单应保存于安全场所，以便索赔时使用。

第十六条商业银行内部审计部门应至少每三年进行一次数据中心内部审计。

第十七条商业