重要信息系统重要信息系统和重点网站检查内容

第一篇：重要信息系统重要信息系统和重点网站检查内容

附件2 重要信息系统和重点网站安全检查内容

重点检查各单位、各部门网络安全工作的基本情况以及重要信息系统和重点网站的安全保护情况，查找问题、隐患并督促整改。主要包括：

（一）重要信息系统行业主管部门。重要信息系统行业主管部门对全行业网络安全工作的组织领导和责任制落实情况；制定全行业网络安全政策和技术标准规范情况；全行业网络安全顶层设计、统筹规划情况；全行业信息系统的底数掌握情况和网络安全保护状况；全行业信息安全等级保护、安全监测、网络安全信息通报、重要数据保护、灾难备份、应急演练等重点工作的部署和开展情况；全行业网络安全机构、队伍建设、网络安全宣传培训等情况。

（二）重要信息系统运营使用单位。重要信息系统运营使用单位网络安全责任部门和责任人落实情况，以及网络安全责任追究制度的建立情况；单位开展信息安全等级保护工作情况，以及网络安全监测、通报预警、技术检测、风险评估、数据保护、容灾备份、应急演练等重点工作开展情况；单位网络安全经费保障和人员安全管理、岗位培训等情况；新系统规划、建设情况，新系统安全保护等级定级备案情况，新系统“同步规划、同步建设、同步运行”安全保护措施落实情况，安全建设方案制定与实施情况。

（三）重要信息系统。重要信息系统设备和资产情况；信息系统建设投入和安全经费投入情况；安全保护计划和落实情况；信息系统开展等级测评和建设整改工作完成情况；信息系统网络安全管理制度和技术防范措施的建设和落实情况；信息系统重要数据的存储、应用、流转和安全保护情况；网络安全事件（事故）的发生、报告和应急处置情况；信息系统使用国外信息技术产品、服务情况和安全可控措施的落实情况；信息系统核心网络设备、操作系统、数据库、服务器等软硬件产品国产化替代工程计划和进展情况；信息系统和重要数据的运行维护单位、服务外包情况等。

（四）政府部门、企事业单位、非政府组织网站和大型互联网网站。政府部门、企事业单位、非政府组织网站以及大型互联网网站落实国家信息安全等级保护制度，开展信息系统定级备案、等级测评和安全建设整改、安全自查等重要工作的落实情况；网站开办单位、运行维护单位的安全保护责任单位、责任人等安全责任的落实情况；网站安全管理制度以及防入侵、防攻击、防篡改等技术防护措施的落实情况；网站安全监测预警、备份恢复、应急处置等措施落实情况；网站安全事件（事故）处置情况。大型互联网企业数据资源的采集、存储、传输、应用和安全保护情况，利用互联网数据资源从事大数据分析挖掘、增值服务情况等。

第二篇：重要信息系统突发事件应急管理办法

卡卡农村卡卡银行股份有限公司

重要信息系统突发事件应急管理办法（试行）

（征求意见稿)

第一章 总 则

第一条 为了规范卡卡农村卡卡银行股份有限公司（以下简称“本行”）重要信息系统的突发事件应急管理，最大限度地减少突发事件的影响，维护国家金融稳定，确保本行稳定健康发展，特制定本办法。

第二条 本办法依据《中华人民共和国银行业监督管理法》、中国银行业监督管理委员会《银行业突发事件应急预案》、《重大突发事件报告制度》、《金融违法行为处罚办法》、《银行业重要信息系统突发事件应急管理规范（试行）》等法律、法规和规范性文件及相关行业管理规定制定。

第三条 应对本行重要信息系统突发事件的工作原则包括：(一)健全机制。建立统一指挥、协调有序的应急管理机制，主动开展应急管理工作，定期演练和评价应急预案，持续改进本行的应急预案和相关协调机制。

(二)明确职责。明确本行各部门在应急管理工作中的职责，以保障业务连续性为目标，以落实和完善应急预案为基础，全面加强信息系统应急管理工作，并制定有效的问责制度。

(三)预防为主。建立和完善突发事件风险防范体系，对可能导致突发事件的风险进行有效地识别、分析和控制，并对风险指标动态、持续监测,减少重大突发事件发生的可能性。

(四)处臵高效。加强应急处臵队伍建设，提供充分的资源保障，确保突发事件发生时反应快速、报告及时、措施得力、操作准确，降低突发事件可能造成的损失。

第四条 本办法适用于处臵本行发生的，有可能影响某一区域经济秩序稳定的重要信息系统突发性事件。

第五条 以下术语适用于本办法:(一)本办法所称重要信息系统是指本行支撑关键业务，其信息安全和系统服务安全关系公民、法人和组织的权益或社会秩序和公共利益，甚至影响国家安全的信息系统。主要包括面向客户、涉及账务处理且时效性要求较高的业务处理类、渠道类和涉及客户风险管理等业务的管理类信息系统，支撑上述系统运行的前臵机、客户端、机房、网络等基础设施也应作为重要信息系统的一部分。

(二)本办法所称业务服务时段是指本行重要信息系统所承载业务对客户提供服务的时间。

(三)本办法所称突发事件是指本行重要信息系统以及为之提供支持服务的电力、通讯等系统突然发生的，影响业务持续开展，需要采取应急处臵措施应对的事件。

(四)本办法所称信息系统应急管理是指贯穿于整个信息系统生命周期中，通过风险防范、应急响应、应急保障以确保信息系统能够满足业务发展战略对业务连续性要求的管理。

(五)本办法所称业务影响分析是指分析业务功能及其相关信息系统资源、评估特定信息系统突发事件对各种业务功能影响的过程。

(六)本办法所称剩余风险是指采取了风险控制措施后仍不能

被完全消除的信息系统风险。

(七)根据各类风险的特点，将本行信息系统分为基础设施类风险、主机和硬件设备类风险、系统类风险、应用类风险、网络类风险。

第二章 组织指挥体系及职责

第六条 总行统计信息部是本行信息系统应急处理日常管理机构，其应急管理职责是:(一)根据全省统一布臵，管理、指导本行信息系统应急处臵工作;(二)向行领导和省卡卡报告本行信息系统突发事件,并按相关规定和程序向相关监管部门报告;(三)通报、发布本行信息系统应急处理情况;(四)发布信息系统突发事件预警信息,并组织、指导本行相关机构采取应对措施;(五)组织、管理、监督、检查本行系统应急演练;(六)建立本行各级应急管理组织机构通讯联络方式。第七条 本行设立应急管理组织机构，负责信息系统突发事件应急管理工作。

(一)董事会和高级管理层对本行应急管理政策及其实施效果负有最终的责任。董事会和高级管理层领导监督本行信息系统应急管理体系建设，制定落实应急管理的分级授权制度和问责制度，研究确定应急处臵重大决策和指导意见，为应急管理工作配臵充分的资源，定期听取风险状况分析、信息系统重大突发事件、现有应急管理政策重大修改等汇报,负责信息系统突发事件信息披露等。

务无法正常开展达6个小时(含)以上的突发事件;3.业务服务时段以外，重要信息系统出现的故障或事件救治未果，可能产生上述1至2类的突发事件。

(二)重大突发事件(II级)1.由于重要信息系统服务中断或重要数据损毁、丢失、泄露，对银行或客户利益造成严重损害的突发事件;2.由于重要信息系统服务异常，在业务服务时段导致本地区业务无法正常开展达3个小时(含)以上的突发事件;3.业务服务时段以外，出现的重要信息系统故障或事件救治未果，可能产生上述1至2类的突发事件。

(三)较大突发事件(III级)1.由于重要信息系统服务中断或重要数据损毁、丢失、泄露，对银行或客户利益造成较大损害的突发事件;2.由于重要信息系统服务异常，在业务服务时段导致本地区业务无法正常开展达3个小时以下的突发事件;3.业务服务时段以外，出现的重要信息系统故障或事件救治未果，可能产生上述1至2类的突发事件。

(四)重要信息系统突发事件发生后，依据事件影响范围和影响时间的变化，按照上述定义进行事件级别升级。

第四章 风险防范

第十一条 本行各项信息系统恢复指标执行全省统一确定的信息系统各项业务恢复指标，主要包括:(一)恢复时间目标(RTO)列表（业务功能恢复正常的时间要求）：

综合业务系统:2小时;

(二)应急演练内容应全面完整，涵盖信息系统的各类应急场景;(三)严格控制应急演练引起的信息系统变更风险，避免因演练导致服务中断;(四)应急演练应选择在非主要业务时段进行;(五)应急演练完成后，应保证实施应急预案所需的各项恢复正常;(六)定期对信息系统应急响应相关人员进行培训。第二十一条 应积极配合其他业务相关机构完成跨机构或跨行业应急演练。

第二十二条 本行在应急演练的过程中，对可能存在较大风险的演练(如全系统范围的演练)，根据相关文件要求在实施演练前将应急演练计划向银监会或其派出机构报备。

第二十三条 应急演练结束后，应撰写应急演练情况总结报告，大型或重要的应急演练总结报告应提交董事会和高级管理层。总结报告包括但不限于:内容和目的、总体方案、参与人员、准备工作、主要过程和关键时间点记录、存在的问题、后续改进措施及实施计划、演练结论。

第二十四条 应根据演练总结报告提出的改进措施进行整改，及时修订相应的应急预案，并组织审计部门对整改情况进行监督和检查。

第二十五条 对于全系统范围的演练或跨机构和跨行业的演练，应按省卡卡统一布臵开展。

第二十六条 应急演练结束后，应将应急演练计划、过程记录和结果分析等归档。

第六章 应急响应

第二十七条 按照本办法做好应急处臵，快速有效处臵突发事件。

第二十八条 发生突发事件后按以下流程进行事件报告。

（一）发生、发现风险事件的支行应在事件发生后，立即向统计信息部报告，统计信息部在组织紧急处理的同时应立刻向分管的行领导报告。

（二）本行根据事件发生的情况，初步判断风险事件的等级，采取相应的应急措施，同时根据等级要求向省卡卡科技服务中心报告。

（三）根据省卡卡对应急事件的分级处理，按全省统一布臵分等级启动相应的应急流程。同时根据确定的风险等级处理上报监管部门。

（四）突发应急事件处理结束后，应对本次事件进行汇总、总结并报省卡卡。

（五）在风险事件应急处理中应严格按事件发生的等级，在逐级上报的同时,按全省统一布臵立即采取相应的应急处理。

（六）风险管理机构应在董事会和高级管理层授权下负责突发事件报告，并指定专人为报告责任人。当报告责任人确定或发生变更时应及时向银监会或其派出机构信息系统应急管理部门报备。

（七）当多个重要信息系统同时受到影响时，按照受影响程度最高原则报告。

第二十九条 突发事件应急响应流程:(一)应急执行小组应根据既定的应急预案，启动应急操作，并及时报告应急领导小组。应急处臵应集中于建立临时业务处理能力、修复原系统损害、在原系统或新设施中恢复运行业务能力等应急措施;(二)对于应急预案没有覆盖的突发事件，应立即报告应急领导小组进行应急决策；

(三)应急领导小组应立即启动本行应急组织，组织协调机构内部进行应急处臵，并负责向监管部门报告应急响应情况;(四)支持保障小组做好各项应急保障工作，为应急处臵提供场地、交通、通讯及其他后勤保障;(五)各支行应在重要信息系统突发事件发生后60分钟之内将突发事件相关情况上报银监会派出机构信息系统应急管理部门，并在事件发生后12小时内提交正式书面报告;(六)对造成经济秩序混乱或重大经济损失、影响金融稳定的，或对银行、客户、公众的利益造成损害的突发事件，要立即上报;(七)本行应将应急处臵重大进展情况及时上报银监派出机构，直至应急结束。I级突发事件发生后，本行应每2小时将应急处臵进展情况上报，直至应急结束。

第三十条 应急处臵报告应准确评估事故等级，在省卡卡审核后，上报银监部门。书面报告内容应包括突发事件时间、地点、现象、影响的业务范围、原因分析、后果的初步判断、已采取的措施、后续拟采取方案的建议、事件报告单位、联系人及联系方式、其他与本突发事件有关的内容。

第三十一条 应急处臵中所有相关的信息和处理过程应进行严格记录，外部供应商的处理过程应有专门记录文件，如果涉及到保险理赔，中间过程和场景可用摄像设备进行记录。所有过程

资料应由专人存档保管。

第三十二条 应急处臵过程中出现异常或应急预案、决策方案失效，应急领导小组要立即报告信息风险管理部门和省卡卡，并按规定上报银监会派出机构信息系统应急管理部门。

第三十三条 重要信息系统突发事件发生后，应将相关信息及时通报给受影响的外部机构及重要客户，并将相关信息准确通报给相关设备及服务提供商、电信、电力等外部组织，以获得应急响应支持。

第三十四条 重要信息系统突发事件发生后，应急领导小组根据突发事件的严重程度，严格按照行业、机构的相关规定和要求对外发布信息，向新闻媒体发布相关信息。机构内其它部门或者个人不得随意接受新闻媒体采访或对外发表个人看法。

第三十五条 重要信息系统恢复正常服务即为应急结束。第三十六条 应急结束后，应针对应急工作进行评估和总结，上报省卡卡并根据文件要求报银监会或其派出机构信息系统应急管理部门。总结报告应包括信息系统突发事件评估、处臵工作总结以及症结分析和相应建议等内容。

(一)突发事件评估应包括现象、影响范围、处理时间和过程以及造成的损失;(二)处臵工作总结应评价应急预案的可用性，分析处臵工作 中存在的问题，总结处臵工作的整体过程;(三)症结分析和相应建议应分析突发事件的深层次原因，反映存在的困难和问题，并提出改进措施、计划及相关建议。

第三十七条 应建立长效的人员保障机制，确保人员能够胜任应急处臵工作。在人员保障方面应达到以下要求:

(一)确保应急处臵人员具备应急工作必要的技术资质，定期组织人员培训以满足应急处臵的要求，并通过应急演练，保证应急处臵人员的熟练度;(二)确保主、备岗机制的落实;(三)确保主、备岗人员定期进行互换;(四)避免一人兼过多的岗位。

第三十八条 应建立有效的物质保障机制，确保在应急响应过程中不会因物质缺乏而导致应急处臵中断或延长应急处臵时间。在物质保障方面应达到以下要求:(一)储备一定数量应急设备或物资，并确保物资供应渠道畅通;(二)建立应急响应专项资金预算管理与审批制度，确保应急响应过程中及时进行应急物资采购。

第三十九条 应建立有效的技术保障机制，确保在应急响应过程中不会因技术能力缺乏而导致应急处臵中断或延长应急处臵时间。在技术保障方面应达到以下要求:(一)建立应急事件预警平台，确保及时发现应急事件，并及时通知有关人员启动应急响应;(二)明确相关厂商的技术支持服务水平，确保应急处臵过程 中相关厂商能够提供及时有效的技术支持。

第四十条 应采取必要的通讯保障措施，确保应急响应通讯及时有效。在通讯保障方面应达到以下要求:(一)适时更新各级应急管理机构联络人和联络方式;(二)建立多种通讯渠道，避免单一通讯风险，并明确各通讯渠道使用的优先顺序。

第七章 持续改进

第四十一条 应每年开展一次对突发事件风险防范措施的全面评估和审计活动，包括评估风险识别、分析和控制措施的有效性、应急预案的完备性、应急演练的全面性和及时性等，检验防范措施的有效性，并及时发现新的风险，改进风险控制措施，进一步完善应急预案，形成风险防范措施的持续改进。

第四十二条 应每年开展一次对应急响应工作的全面评估和审计活动。评估范围包括应急响应的有效性、投入资源的充分性、突发事件报告的及时性等,确保应急响应持续有效。

第四十三条 应对应急管理的策略、机制、方法、流程等不断完善，对应急管理过程中发现的问题适时整改。

第四十四条 应将应急管理纳入到全面风险管理体系中，建立应急管理的长效机制，保证应急管理工作的持续性和有效性。

第八章 附 则

第四十五条 本办法由本行负责解释、修订。第四十六条 本办法自发文之日起执行。

二0一三年八月五日

第三篇：信息系统审计重点

信息系统审计

电子计算机在数据处理的发展过程可分为三个阶段：数据的单项处理阶段、数据的综合处理阶段、数据的系统处理阶段。

数据处理电算化以后，对传统的审计产生了巨大的影响，主要表现在：

1、对审计线索的影响~~~~

2、对审计方法和技术的影响~~~~~~

3、对审计人员的影响~~~~~

4、对审计准则的影响~~~~~~ 信息系统审计的定义：信息系统审计是根据公认的标准和指导规范，对信息系统从规划、实施到运行维护各个环节进行审查评价，对信息系统及其业务应用的完整性、有效性、效率性、安全性等进行检测、评估和控制的过程，以确认预订的业务目标得以实现，并提出一系列改进建议的管理活动。

信息系统的主体：有胜任能力的信息系统独立审计机构或人员 信息系统审计的对象：被审计的信息系统

信息系统审计工作的核心：客观地收集和评估证据

信息系统审计的目的是评估并提供反馈、保证及建议。关注之处被分为三类：可用性、保密性、完整性。

信息系统审计的特点：审计范围的广泛性、审计线索的隐蔽性、易逝性、审计取证的动态性、审计技术的复杂性。（真是为一道简答题。在P6，详细看一下各段内容，概括下再答题）信息系统审计目标：

1、保护资产的完整性

2、保证数据的准确性

3、提高系统的有效性

4、提高系统的效率性

5、保证信息系统的合规性与合法性

信息系统的主要内容：内部控制系统审计（分为一般控制系统、应用控制系统，对信息系统的内部控制系统进行审计的目的是在内部控制审计的基础上对信息系统的处理结果进行审计、加强内部控制，完善内部控制系统）系统开发审计(信息系统开发审计是对信息系统开发过程进行的审计，审计目的一是要检查开发的方法、程序是否科学，是否含有恰当的控制；二是要检查开发过程中产生的系统文档资料是否规范。)应用程序审计（审查应用程序有两个目的，意识测试应用控制系统的符合性，二是通过检查程序运算和逻辑的正确性达到实质性测试目的）数据文件审计（审计目的一是对数据文件进行实质性测试，二是通过数据文件的审计，测试一般控制或应用控制的符合性，但主要是为了实质性测试）（这是道简答题，在P8各个小概括下）

信息系统审计的基本方法：绕过信息系统审计、通过信息系统审计 信息系统审计的步骤（大题P11）：

准备阶段：明确审计任务，组成信息系统审计小组，了解被审计系统的基本情况，指定信息系统审计方案，发出审计通知书 实施阶段：对被审计系统的内部控制制度进行健全性调查和符合性测试，对账表单证或数据文件的实质性审查

终结阶段：整理归纳审计资料，撰写审计报告，发出审计结论和决定，审计资料的归档和管理

国际信息系统审计准则：由信息系统审计与控制协会（ISACA）颁布和实施的。ISACA是国际上唯一的信息系统审计专业组织，通过制定和颁布信息系统审计标准、指南和程序来规范审计师的工作，它由三个层次构成： 审计标准（审计标准是整个信息系统准则体系的总纲，是制定审计指南和作业程序的基础和依据）审计指南（审计指南为审计标准的应用提供了指引，信息系统审计师在审计过程中应考虑如何应用指南以实现审计标准的要求，在应用过程中灵活运用专业判断并纠正任何偏离准则的行为）

作业程序（作业程序提供了信息系统审计师在审计过程中可能遇到的审计程序的示例）信息系统审计师应具备的素质（大题P18-19）

应具备的理论知识:传统审计理论、信息系统管理理论、计算机科学、行为科学理论

应具有的实践技能：参加过不同类别的工作培训、参与专业的机构或厂商组织的研讨会，动态掌握信息技术的新发展对审计实践的影响、具有理解信息处理活动的各种技术、理解并熟悉操作环境，评估内部控制的有效性、理解现有与未来系统的技术复杂性，以及它们对各级操作与决策的影响、能使用技术的方法去识别系统的完整性、要参与评估与使用信息技术相关的有效性、效率、风险等、能够提供审计集成服务并为审计员工提供指导，与财务审计师一起对公司财务状况做出说明、具备系统开发方法论、安全控制设计、实施后评估等、掌握网络相关的安全实践、信息安全服务、灾难恢复与业务持续计划、异步传输模式等通信技术。IT治理定义：德勒定义：IT治理是一个含义广泛的概念，包括信息系统、技术、通信、商业、所有利益相关者、合法性和其他问题。其主要任务是保持IT与业务目标一致，推动业务发展，促使收益最大化，合理利用IT资源，IT相关风险的适当管理。

IT治理必须与企业战略目标一致，IT对于企业非常关键，也是战略规划的组成，影响战略竞争；IT治理和其他治理主体一样，是管理执行人员和利益相关者的责任（以董事会为代表）；IT治理保护利益相关者的权益，使风险透明化，指导和控制IT投资、机遇、利益、风险；IT治理包括管理层、组织结构、过程，以确保IT维护和拓展组织战略目标；应该合理利用企业的信息资源，有效的集成与协调；确保IT及时按照目标交付，有合适的功能和期望的收益，是一个一致性和价值传递的基本构建模块，有明确的期望值和衡量手段；引导IT战略平衡系统的投资，支持企业，变革企业，或者创建一个信息基础架构，保证业务增长，并在一个新的领域竞争。

IT治理和IT管理的关系：IT管理是在既定的IT治理模式下，管理层为实现公司的目标二采取的行动，IT治理规定了整个企业IT运作的基本框架，IT管理则是在这个既定的框架下驾驭企业奔向目标。缺乏良好IT治理模式的公司，即使有很好的IT管理体系，就想一座地基不牢固的大厦；同时，没有公司IT管理体系的流畅，单纯的治理模式也只能是一个美好的蓝图，而缺乏实际的内容。

公司治理和IT治理：公司治理，驱动和调整IT治理。同时，IT能够提供关键的输入，形成战略计划的一个重要组成部分，即IT影响企业的战略竞争机遇。IT治理标准：ITIL、COBIT BS7799 PRINCE2 IT治理成熟度模型：不存在、初始级、可重复级、已定义级、已管理级、已优化级（主要内容及其作用在P47-48）

信息系统内部控制：是一个单位在信息系统环境下，为了保证业务活动的有效进行，保护资产的安全与完整，防止、发现、纠正错误与舞弊、确保信息系统提供信息的真实、合法、完整，而制定和实施的一系列政策与程序措施。凡是与信息系统的建立、运作维护、管理和业务处理有关的部门、人员和活动，都属于信息系统内部控制的对象，可分为一般控制和应用控制。

信息系统一般控制是应用于一个单位信息系统全部或较大范围的内部控制，其基本目标为保证数据安全、保护计算机应用程序、防止系统被非法侵入、保证在意外中断情况下的继续运行等。

信息系统应用控制是用于对具体应用系统的控制，一个应用系统一般由多个相关计算机程序组成，有些应用系统可能是复杂的综合系统，牵涉到多个计算机程序和组织单元，与此相对应，应用控制包括包含在计算机编码中的日常控制及与用户活动相关的政策和流程。良好的一般控制是应用控制的基础，可以为应用控制的有效性提供有力的保障，某些应用控制的有效性取决于计算机整体环境控制的有效性。当计算机整体环境控制薄弱时，应用控制就无法真正提供合理保障。如果一般控制审计结果很差，应用控制审计结果很差，应用控制审计就没有进行的必要。

审计逻辑访问安全策略：知所必需原则

审查离职员工的访问控制：请辞、聘用合同期满和非自愿离职 数据库加密：一般采用公开密钥加密方法 系统访问控制及其审计：系统访问就是利用计算机资源达到一定目的的能力，对计算机化的信息资源的访问可以基于逻辑方式，也可以基于物理方式。物理访问控制可以限制人员进出敏感区域。对计算机信息的物理访问与逻辑访问应当建立在“知所必需”的基础上，按照最小授权原则和职责分离原则来分配系统访问权限，并把这些访问规则与访问授权通过正式书面文件记录下来，作为信息安全的重要文件加以妥善管理。身份识别与验证（简答题P65-66）：逻辑访问控制中的身份识别与验证是一种提供用户身份证明的过程，在这个过程中，用户向系统提交有效的身份证明，系统验证这个身份证明后向用户授予访问系统的能力。可分为三类：“只有你知道的事情”“只有你拥有的东西”“只有你具有的特征” 例子：账号与口令、令牌设备、生物测定技术与行为测定技术。逻辑访问授权：一般情况下逻辑访问控制基于最小授权原则，支队因工作需要访问信息系统的人员进行必要的授权。当用户在组织变换工作角色时，在赋予他们新访问权限时，一般没有及时取消旧的访问权限，这就会产生访问控制上的风险。所以当员工职位有变动时，信息系统审计师就要及时审核访问控制列表是否做了有效变更。灾难恢复控制及其审计：信息系统的灾难恢复和业务持续计划是组织中总的业务持续计划和灾难恢复计划的重要组成部分。恢复策略与恢复类型：热站、温站、冷站、冗余信息处理设施、移动站点、组织间互惠协议。BCP中多个计划文件：业务持续性计划（BCP）、业务恢复计划（BRP）、连续作业计划（COOP）连续支持计划、IT应急计划、危机通信计划、事件响应事件、灾难恢复计划（DRP）、场所紧急计划（OEP）

异地备份：完全备份、增量备份、差分备份

灾难恢复与业务持续计划的审计：主要任务是理解与评价组织的业务连续性策略，及其组织业务目标的符合性；参考相应的标准和法律法规，评估该计划的充分性和时效性；审核信息系统及终端用户对计划所做的测试的结果，验证计划的有效性；审核异地存储设施机器内容、安全和环境控制，以评估异地存储站点的适当性；通过审核应急措施、员工培训、测试结果，评估信息系统及其终端用户在紧急情况下的有效反应能力；确认组织对业务持续性计划的维护措施存在并有效。

应用控制概念：应用控制是为适应各种数据处理的特殊控制要求，保证数据处理完整、准确地完成而建立的内部控制。应用控制涉及各种类型的业务，每种业务及其数据处理尤其特殊流程的要求，这决定了具体的应用控制的设计需结合具体的业务。单另一方面。由于数据处理过程一般都是由输入、处理和输出三个阶段构成，从这一共性出发，可将应用控制划分为输入控制、处理控制和输出控制。应用控制也是由手工控制和程序化控制构成，但以程序化控制为主。

软件维护的种类：纠错行为化、适应性维护、完善性维护、预防性维护 服务管理：面向IT基础设施管理的服务支持、面向业务管理的服务提供

IT服务提供流程主要面对付费的机构和个人客户，负责为客户提供高质量、低成本的IT服务。任务：根据组织的业务需求，对服务能力、持续性、可用性等服务级别目标进行规划和设计，同时还必须考虑到这些服务目标所需要耗费的成本。主要包括服务水平管理、IT服务财务管理、能力管理、IT服务持续性管理和可用性管理5个服务管理流程。

IT服务的服务支持主要面向终端用户，负责确保IT服务的稳定性与灵活性，用于确保终端用户得到适当的服务，以支持组织的业务功能。服务支持流程包括体现服务接触和沟通的服务台职能和5个运作层次的流程，即配置管理、事务管理、问题管理、变更管理、发布管理。应用程序审计的内容：

审查程序控制是否健全有效：程序中输入控制的审计、程序中处理控制的审计、程序中输出控制的审计。

审查程序的合法性P168 简单论述

审查程序编码的正确性：目标和任务不明确、系统设计差错、程序设计说明书错误、程序语法或逻辑错误

审查程序的有效性：在具体编写程序前应简化算术表达式及逻辑表达式、细心的分析多层嵌套循环，以确定能否把一些语句或表达式转移到循环体制外、尽量避免采用多维数组、尽量避免采用指针及复杂的表、采用“快”的算法；不要把不同的数据类型混在一起；只要可能就采用整形数的算法运算和布尔表达式。应用程序审计方法：对应用程序进行审计，往往是计算机辅助审计方法与手工审计方法的结合。

检测数据法：是指审计人员把一批预先设计好的监测数据，利用被审程序加以处理，并把处理的结果与预期的结果作比较，以确定被审程序的控制与处理功能是否恰当、有效的一种方法。

平行模拟法：是指审计人员自己或请计算机专业人员编写的具有和被审计程序相同处理和控制的模拟程序，用这种程序处理当期的实际数据，并以处理的结果与被审计程序的处理结果进行比较，以评价被审程序的处理和控制功能是否可靠的一种方法 嵌入审计程序法：是指被审计信息系统的设计和开发阶段，在被审的应用程序中嵌入为执行特定的审计功能而设计的程序段，这些程序段可以用来收集审计人员感兴趣的资料，并且建立一个审计控制文件，用来存储这些资料，审计人员通过这些资料的审核来确定被审程序的处理和控制功能的可靠性。

程序追踪法：是一种对给定的业务，跟踪被审程序处理步骤的审查技术。一般可由追踪软件来完成，也可利用某些高级语言或数据库管理系统中的跟踪指令被审查程序的处理。

第四篇：银行业金融机构重要信息系统投产及变更管理办法范文

中国银监会办公厅关于印发

《银行业金融机构重要信息系统投产及变更管理办法》的通

知

银监办发[2009]437号

各银监局，各政策性银行、国有商业银行、股份制商业银行，邮政储蓄银行，各省级农村信用联社：

为加强银行业金融机构重要信息系统投产及变更风险管理，保障银行业金融机构重要信息系统安全稳定运行，现将《银行业金融机构重要信息系统投产及变更管理办法》印发给你们，请遵照执行。请各银监局将本通知转发至辖内各银行业金融机构。

2009年12月29日

银行业金融机构重要信息系统投产及变

更管理办法

第一章 总 则

第一条为加强银行业金融机构重要信息系统投产及变更风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》制定本办法。

第二条在中华人民共和国境内设立的政策性银行、国有商业银行、股份制商业银行、邮政储蓄银行、城巿商业银行、农村商业银行、农村合作银行、农村信用社、城巿信用社、外商独资银行、中外合资银行适用本办法。中国银行业监督管理委员会（以下简称中国银监会）监管的其他金融机构参照本办法执行。

第三条本办法所称的重要信息系统是指支撑重要业务，其信息安全和服务质量关系公民、法人和其他组织的权益，或关系社会秩序、公共利益乃至国家安全的信息系统。包括面向客户、涉及账务处理且实时性要求较高的业务处理类、渠道类和涉及客户风险管理等业务的管理类信息系统，以及支撑系统运行的机房和网络等基础设施。

第四条本办法所称的重要信息系统投产及变更主要指：(一）重要信息系统投产。

(二）支撑重要信息系统运行的机房和网络基础设施投产。

(三）影响全辖或一个（含）以上分行系统服务、重要业务中断时间3小时（含）以上的重要信息系统以及支持其运行的基础设施变更，包括机房场地迁移、网络及核心业务系统应用架构变更、核心业务系统版本变更等。(四）其他对银行重要业务运营及重要信息系统的可用性、完整性、安全性具有较大潜在影响的投产及变更。

第二章 组织管理

第五条银行业金融机构应健全IT治理结构，落实重要信息系统投产及变更管理责任。

第六条银行业金融机构高级管理层应统筹管理重要信息系统建设，听取重大项目投产或变更的风险评估汇报，对风险控制过程进行监督。

第七条银行业金融机构信息科技部门应建立重要信息系统投产及变更管理机制、制度与流程，承担技术管理工作，协调业务、管理部门开展重要信息系统投产及变更工作，保障信息科技资源投入。

第八条银行业金融机构业务、管理部门应配合信息科技部门开展投产及变更工作，开展业务影响分析，制定业务管理办法，组织用户测试，保证业务资源投入。

第九条银行业金融机构内部审计部门应开展重要信息系统投产及变更审计工作，针对问题发现提出整改意见。

第三章 风险评估

第十条银行业金融机构应充分识别、分析、评估重要信息系统投产及变更风险，包括系统功能缺陷、客户信息泄露、业务中断、交易缓慢或其他因素可能造成的操作风险、法律风险和声誉风险，并形成风险评估报告。第十一条银行业金融机构在采取有效信息安全控制措施的前提下，可委托外部专家或具备相应资质的外部专业机构进行重要信息系统投产及变更的风险评估工作。

第十二条银行业金融机构董事会及高级管理层应审核重大项目的风险评估报告。

第十三条银行业金融机构应针对风险评估中发现的薄弱环节制定整改方案，明确整改时间。不具备整改条件的应采取风险缓释措施。

第四章 投产及变更控制

第十四条银行业金融机构应统一组织协调重要信息系统投产及变更工作，制定投产及变更规划，编制实施计划和方案，确定实施策略和步骤，明确岗位职责，确保关键岗位职责分离。

第十五条银行业金融机构应对重要信息系统投产及变更过程进行安全审查，采取风险控制措施，有效控制重要信息系统投产及变更风险。

第十六条银行业金融机构应建立重要信息系统投产及变更内容评审和审批、授权机制。

第十七条银行业金融机构应按照对业务影响最小原则，采取与风险程度相适应的重要信息系统投产及变更策略。

第十八条银行业金融机构应合理避开业务高峰期和敏感时段安排重要信息系统上线，应提前将重要信息系统投产及变更可能对服务的影响告知客户。第十九条银行业金融机构应建立充分、完整的测试体系，测试结果应经过信息科技部门和相关业务部门确认，并形成测试和验收报告，确保系统上线后的正常稳定运行以及系统功能与业务目标的一致性。

第二十条银行业金融机构应建立与生产环境相隔离的测试环境，测试环境应模拟生产环境的真实情况。

第二十一条银行业金融机构应建立完善的版本管理制度，制定严格的审批、控制和操作流程，保存完整的日志记录。拟投产及变更的重要信息系统应保证版本完整、准确、有效，遵从系统开发和运行管理制度规范。

第二十二条银行业金融机构应加强重要信息系统投产及变更过程中的数据管理与质量控制；测试环境中使用的敏感生产数据应进行脱敏、变形处理；需要历史数据迁移的，应制定详细的数据迁移计划，并提前进行数据迁移测试和数据有效性、兼容性验证，确保迁移后数据的完整性、安全性和可用性。

第二十三条银行业金融机构应制定重要信息系统投产及变更应急预案，制定系统回退和应急处置计划和流程，必要时应实施演练。

第二十四条重要信息系统投产及变更过程中，银行业金融机构应严格执行上线实施方案，加强监督与复核，避免操作失误和非法操作。

第二十五条银行业金融机构应加强重要信息系统投产及变更过程的风险监控和预警，各相关部门协同做好应急准备。

第二十六条银行业金融机构应制定并落实系统运行管理规程、制度，制定、完善相关业务管理办法、操作规程，明确业务及运行管理职责，组织必要的培训，确保投产及变更实施后业务顺利开展。第二十七条银行业金融机构应在重要信息系统投产及变更实施后，组织业务部门、管理部门和信息科技部门对投产及变更的有效性进行验证。

第二十八条银行业金融机构应在重要信息系统投产及变更实施后及时更新各项相关应急预案，并适时实施演练。

第二十九条银行业金融机构应对重要信息系统投产及变更过程产生的各类文档资料进行管理，确保文档资料的完整性、及时性和有效性，并满足独立审计要求。

第五章 投产及变更报告

第三十条银行业金融机构应就重要信息系统投产及变更事项向中国银监会或其派出机构报告。

第三十一条银行业金融机构应在重要信息系统投产前至少20个工作日、变更前至少10个工作日向中国银监会或其派出机构报告，包括但不限于：(一）总体说明：投产及变更目的、内容、计划起止时间、业务影响范围、联系人及联系方式等。

(二）重要信息系统基本信息，包括：系统名称，业务功能，操作系统、数据库、中间件情况，应用架构、技术架构、数据架构，生产主机备份方案、数据备份方案，运行管理等相关职能部门，是否纳入灾难恢复计划等。

(三）

重要信息系统信息安全策略和措施，包括对账户、交易和客户敏感信息的安全控制措施等。(四）涉及基础设施的，需提供基础设施基本信息，包括机房和网络方案。机房方案包括等级标准、地址、供配电系统、消防、空调、弱电系统、机房加固、机房空间规划，以及机房验收报告等；网络方案包括网络架构分区、核心网络备份情况，以及区域间、外联网、互联网边界安全措施与网络监控措施等。

(五）采取外包方式的，需提交外包服务机构情况、外包服务内容、外包风险评估报告等。

(六）投产及变更方案，包括投产及变更的组织结构与实施计划、操作步骤等。

(七）风险评估报告，应包括业务影响分析，技术风险分析与评估，控制措施的有效性，以及剩余风险等。

(八）应急预案，包括应急处置组织结构，应急场景，应急处置流程、步骤，应急联系方式与报告路线等，实施演练的应提交演练总结报告。

第三十二条银行业金融机构应在重要信息系统投产及变更实施后1个月内向中国银监会或其派出机构提交总结报告材料，内容包括但不限于：投产及变更方案执行情况、效果，问题发现和处理情况，后续改进措施等。如投产及变更失败，应详细说明失败原因。

第三十三条银行业金融机构应按照属地监管原则提交报告材料，报送路线如下：

(一）银行业金融机构法人组织实施投产及变更的，由该法人机构统一向中国银监会或其派出机构提交报告材料。

(二）银行业金融机构分行组织实施投产及变更的，由分行向 所在地中国银监会派出机构提交报告材料。

第三十四条重要信息系统投产及变更如失败需重新安排的，银行业金融机构应再次向中国银监会或其派出机构报告。第三十五条银行业金融机构数据中心机房设立、场所变更，应按照中国银监会有关数据中心管理规范报告。

第六章 监督管理

第三十六条针对银行业金融机构重要信息系统投产及变更风险，中国银监会及其派出机构可以采取风险提示、约见谈话、监管质询等措施。

第三十七条中国银监会及其派出机构可依法对银行业金融机构的重要信息系统投产及变更实施现场检查。

第三十八条银行业金融机构违反本办法有关规定的，中国银监会及其派出机构将依法追究相关责任。

第七章 附 则

第三十九条本办法由中国银监会负责解释和修订。第四十条本办法自公布之日起执行。

第五篇：银行业金融机构重要信息系统投产及变更管理办法

中国银监会办公厅关于印发《银行业金融机构重要信息系统投产及变更管理办法》的通知各银监局，各政策性银行、国有商业银行、股份制商业银行，邮政储蓄银行，各省级农村信用联社：

为加强银行业金融机构重要信息系统投产及变更风险管理，保障银行业金融机构重要信息系统安全稳定运行，现将《银行业金融机构重要信息系统投产及变更管理办法》印发给你们，请遵照执行。请各银监局将本通知转发至辖内各银行业金融机构。

中国银行业监督管理委员会

二00九年十二月二十九日

银行业金融机构重要信息系统投产及变更管理办法

第一章 总则

第一条 为加强银行业金融机构重要信息系统投产及变更风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》制定本办法。

第二条 在中华人民共和国境内设立的政策性银行、国有商业银行、股份制商业银行、邮政储蓄银行、城市商业银行、农村商业银行、农村合作银行、农村信用社、城市信用社、外商独资银行、中外合资银行适用本办法。中国银行业监督管理委员会（以下简称中国银监会）监管的其他金融机构参照本办法执行。

第三条 本办法所称的重要信息系统是指支撑重要业务，其信息安全和服务质量关系公民、法人和其他组织的权益，或关系社会秩序、公共利益乃至国家安全的信息系统。包括面向客户、涉及账务处理且实时性要求较高的业务处理类、渠道类和涉及客户风险管理等业务的管理类信息系统，以及支撑系统运行的机房和网络等基础设施。

第四条 本办法所称的重要信息系统投产及变更主要指：

（一）重要信息系统投产。

（二）支撑重要信息系统运行的机房和网络基础设施投产。

（三）影响全辖或一个（含）以上分行系统服务、重要业务中断时间3小时（含）以上的重要信息系统以及支持其运行的基础设施变更，包括机房场地迁移、网络及核心业务系统应用架构变更、核心业务系统版本变更等。

（四）其他对银行重要业务运营及重要信息系统的可用性、完整性、安全性具有较大潜在影响的投产及变更。

第二章 组织管理

第五条 银行业金融机构应健全IT治理结构，落实重要信息系统投产及变更管理责任。

第六条 银行业金融机构高级管理层应统筹管理重要信息系统建设，听取重大项目投产或变更的风险评估汇报，对风险控制过程进行监督。

第七条 银行业金融机构信息科技部门应建立重要信息系统投产及变更管理机制、制度与流程，承担技术管理工作，协调业务、管理部门开展重要信息系统投产及变更工作，保障信息科技资源投入。

第八条 银行业金融机构业务、管理部门应配合信息科技部门开展投产及变更工作，开展业务影响分析，制定业务管理办法，组织用户测试，保证业务资源投入。

第九条 银行业金融机构内部审计部门应开展重要信息系统投产及变更审计工作，针对问题发现提出整改意见。

第三章 风险评估

第十条 银行业金融机构应充分识别、分析、评估重要信息系统投产及变更风险，包括系统功能缺陷、客户信息泄露、业务中断、交易缓慢或其他因素可能造成的操作风险、法律风险和声誉风险，并形成风险评估报告。

第十一条 银行业金融机构在采取有效信息安全控制措施的前提下，可委托外部专家或具备相应资质的外部专业机构进行重要信息系统投产及变更的风险评估工作。

第十二条 银行业金融机构董事会及高级管理层应审慎重大项目的风险评估报告。

第十三条 银行业金融机构应针对风险评估中发现的薄弱环节制定整改方案，明确整改时间。不具备整改条件的应采取风险缓释措施。

第四章 投产及变更控制

第十四条 银行业金融机构应统一组织协调重要信息系统投产及变更工作，制定投产及变更规则，编制实施计划和方案，确定实施策略和步骤，明确岗位职责，确保关键岗位职责分离。

第十五条 银行业金融机构应对重要信息系统投产及变更过程进行安全审查，采取风险控制措施，有效控制重要信息系统投产及变更风险。

第十六条 银行金融机构应建立重要信息系统投产及变更内容评审和审批、授权机制。

第十七条 银行业金融机构应按照对业务影响最小原则，采取与风险程度相适应的重要信息系统投产及变更策略。

第十八条 银行业金融机构应合理避开业务高峰期和敏感时段安排重要信息系统上线，应提前将重要信息系统投产及变更可能对服务的影响告知客户。

第十九条 银行业金融机构应建立充分、完整的测试体系，测试结果应经过信息科技部门和相关业务部门确认，并形成测试和验收报告，确保系统上线后的正常稳定运行以及系统功能与业务目标的一致性。

第二十条 银行业金融机构应建立与生产环境相隔离的测试环境，测试环境应模拟生产环境的真实情况。

第二十一条 银行业金融机构应建立完善的版本管理制度，制定严格的审批、控制和操作流程，保存完整的日志记录。拟投产及变更的重要信息系统应保证版本完整、准确、有效，遵从系统开发和运行管理制度规范。

第二十二条 银行业金融机构应加强重要信息系统投产及变更过程中的数据管理与质量控制；测试环境中使用的敏感生产数据应进行脱敏、变形处理；需要历史数据迁移的，应制定详细的数据迁移计划，并提前进行数据迁移测试和数据有效性、兼容性验证，确保迁移后数据的完整性、安全性和可用性。

第二十三条 银行业金融机构应制定重要信息系统投产及变更应急预案，制定系统回退和应急处置计划和流程，必要时应实施演练。

第二十四条 重要信息系统投产及变更过程中，银行业金融机构应严格执行上线实施方案，加强监督与复核，避免操作失误和非法操作。

第二十五条 银行业金融机构应加强重要信息系统投产及变更过程的风险监控和预警，各相关部门协同做好应急准备。

第二十六条 银行业金融机构应制定并落实系统运行管理规程、制度，制定、完善相关业务管理办法、操作规程，明确业务及运行管理职责，组织必要的培训，确保投产及变更实施后业务顺利开展。

第二十七条 银行业金融机构应在重要信息系统投产及变更实施后，组织业务部门、管理部门和信息科技部门对投产及变更的有效性进行验证。

第二十八条 银行业金融机构应在重要信息系统投产及变更实施后及时更新各项相关应急预案，并适时实施演练。

第二十九条 银行业金融机构应对重要信息系统投产及变更过程产生的各类文档资料进行管理，确保文档资料的完整性、及时性和有效性，并满足独立审计要求。

第五章 投产及变更报告

第三十条 银行业金融机构应就重要信息系统投产及变更事项向中国银监会或其派出机构报告。

第三十一条 银行业金融机构应在重要信息系统投产前至少20个工作日、变更前至少10个工作日向中国银监会或其派出机构报告，包括但不限于：

（一）总体说明：投产及变更目的、内容、计划起止时间、业务影响范围、联系人及联系方式等。

（二）重要信息系统基本信息，包括：系统名称、业务功能，操作系统、数据库、中间件情况，应用架构、技术架构、数据架构，生产主机备份方案、数据备份方案，运行管理等相关职能部门，是否纳入灾难恢复计划等。

（三）重要信息系统安全策略和措施，包括对账户、交易和客户敏感信息的安全控制措施等。

（四）涉及基础设施的，需提供基础设施基本信息，包括机房和网络方案。机房方案包括等级标准、地址、供配电系统、消防、空调、弱电系统、机房加固、机房空间规划，以及机房验收报告等；网络方案包括网络架构分区、核心网络备份情况，以及区域间、外联网、互联网边界安全措施与网络监控措施等。

（五）采取外包方式的，需提交外包服务机构情况、外包服务内容、外包风险评估报告等。

（六）投产及变更方案，包括投产及变更的组织结构与实施计划、操作步骤等。

（七）风险评估报告，应包括业务影响分析，技术风险分析与评估，控制措施的有效性，以及剩余风险等。

（八）应急预案，包括应急处置组织结构，应急场景，应急处置流程、步骤，应急联系方式与报告路线等，实施演练的应提交演练总结报告。

第三十二条 银行业金融机构应在重要信系统投产及变更实施后1个月内向中国银监会或其派出机构提交总结报告材料，内容包括但不限于：投产及变更方案执行情况、效果，问题发现和处理情况，后续改进措施等。如投产及变更失败，应详细说明失败原因。

第三十三条 银行业金融机构应按照属地监管原则提交报告材料，报送路线如下：

（一）银行业金融机构法人组织实施投产及变更的，由该法人机构统一向中国银监会或其派出机构提交报告材料。

（二）银行业金融机构分行组织实施投产及变更的，由分行向所在地中国银监会派出机

构提交报告材料。

第三十四条 重要信息系统投产及变更如失败需要重新安排的，银行业金融机构应再次向中国银监会或其派出机构报告。

第三十五条 银行业金融机构数据中心机房设立、场所变更，应按照中国银监会有关数据中心管理规范报告。

第六章 监督管理

第三十六条 针对银行业金融机构重要信息系统投产及变更风险，中国银监会及其派出机构可以采取风险提示、约见谈话、监管质询等措施。

第三十七条 中国银监会及其派出机构可依法对银行业金融的重要信息系统投产及变更实施现场检查。

第三十八条 银行业金融机构违反本办法有关规定的，中国银监会及其派出机构将依法追究相关责任。

第七章 附则

第三十九条 本办法由中国银监会负责解释和修订。

第四十条 本办法自公布之日起执行。