信息科技風(fēng)險自查報告

　　在經(jīng)濟飛速發(fā)展的今天，報告的適用范圍越來越廣泛，報告成為了一種新興產(chǎn)業(yè)。那么大家知道標準正式的報告格式嗎？以下是小編整理的信息科技風(fēng)險自查報告，僅供參考，大家一起來看看吧。

信息科技風(fēng)險自查報告1

　　按照上級領(lǐng)導(dǎo)的指示，我行認真貫徹精神，為充分做好重要時期金融網(wǎng)絡(luò)和信息系統(tǒng)安全保障工作，防范我行信息科技風(fēng)險，保障計算機系統(tǒng)運行和操作安全，建立和完善信息科技風(fēng)險管理機制。對我行的信息科技工作進行了一次全面的`自我評估及審查�，F(xiàn)將審查情況報告如下：

　　一、設(shè)備間建設(shè)規(guī)范和管理規(guī)范

　　(1)設(shè)備間安裝了溫濕度儀表，以用來監(jiān)控機房溫度和濕度，并能夠及時開啟控溫控濕設(shè)備來保證機房的溫度和濕度。

　　(2)設(shè)備間每周由網(wǎng)點經(jīng)理或支行行長來對設(shè)備間的環(huán)境狀況進行檢查，并登記成冊，以確保設(shè)備間保持整潔和規(guī)范。

　　(3)設(shè)備間嚴格控制出入人員，并保證營業(yè)網(wǎng)點外來人員有相關(guān)證件登記。

　　(4)支行技術(shù)人員每年一次對設(shè)備間的主要設(shè)備進行巡檢，確保設(shè)備能夠正常使用，并在相關(guān)登記本上記錄。

　　二、應(yīng)急管理和終端安全

　　(1)支行會不定期對一些預(yù)案進行檢查，確保這些預(yù)案是最新的，且告知網(wǎng)點人員張貼在需要的地方。

　　(2)支行每年會抽取一定的網(wǎng)點人員進行培訓(xùn)和演練，并書寫心得和體會，確保網(wǎng)點人員能夠正確的應(yīng)對突發(fā)狀況。

　　(3)支行每月會不定期的抽查相關(guān)電腦的軟件安裝情況，檢查是否存在私自安裝不必要的軟件，以及是否私自開通ADSL等違規(guī)的網(wǎng)絡(luò)。

信息科技風(fēng)險自查報告2

　　自xx年數(shù)據(jù)大集中以來，我行依托省聯(lián)社的科技支撐，各項信息管理系統(tǒng)逐步完善，初步建成了信息科技支撐系統(tǒng)，由省聯(lián)社提供的核心系統(tǒng)對日常業(yè)務(wù)進行集中處理，其中核心數(shù)據(jù)的備份、系統(tǒng)運行管理均由省聯(lián)社統(tǒng)一管理，我行工作重點在于對網(wǎng)絡(luò)設(shè)備、通訊線路及柜面終端設(shè)備的正常運行進行科技支撐，因此我行在信息科技風(fēng)險管理方面的風(fēng)險較少。目前，根據(jù)我行現(xiàn)有業(yè)務(wù)要求和信息科技發(fā)展的規(guī)劃，要求我們對信息管理、人員、技術(shù)等方面提升信息安全管理水平和管理能力，建立管理與技術(shù)相結(jié)合的全方位的風(fēng)險管理體系。具體來說，主要采取以下幾方面的措施開展信息安全工作。

　　一、 將信息科技風(fēng)險管理和信息安全納入我行“十二五”信息科技發(fā)展規(guī)劃。為了提高信息科技風(fēng)險管理能力，提升信息科技對業(yè)務(wù)戰(zhàn)略發(fā)展的可持續(xù)支持能力，我行于年初制定了“十二五”信息科技發(fā)展規(guī)劃，信息科技風(fēng)險管理和信息安全成為科技規(guī)劃的重要組成部分之一�？萍家�(guī)劃中明確了信息科技發(fā)展方向，強調(diào)了科技基礎(chǔ)建設(shè)，提高信息科技風(fēng)險管理水平，有效防范信息科技風(fēng)險。

　　二、 完善信息科技治理，大力開展信息科技風(fēng)險管理制度建設(shè)。從只注重提高硬件配置水平逐步轉(zhuǎn)變?yōu)橥瑫r注重軟件投入和業(yè)務(wù)管理的綜合管理。例如，以前我們在信息安全管理普遍存在一個誤區(qū)，人為部署了高性能的硬件設(shè)備、實現(xiàn)網(wǎng)絡(luò)設(shè)備雙機熱備、內(nèi)外網(wǎng)嚴格的物理隔離、做好了生產(chǎn)運行風(fēng)險控制，就算完成了信息科技風(fēng)險控制的工作，其實不然，因為信息安全不單是技術(shù)問題，更是管理問題，只有持續(xù)完善信息科技治理架構(gòu)，從組織架構(gòu)和制度等管理層面采取防范措施，才能真正實現(xiàn)信息安全管理的目標。

　　三、 我行在信息科技風(fēng)險治理方面的措施主要包括三方面。

　　a) 認真學(xué)習(xí)和領(lǐng)會監(jiān)管機構(gòu)對信息科技風(fēng)險管理的要求，吸收借鑒同業(yè)經(jīng)驗，將監(jiān)管要求和同業(yè)經(jīng)驗轉(zhuǎn)化為行內(nèi)工作規(guī)范，建立系統(tǒng)完善的信息科技風(fēng)險管理組織架構(gòu)和機制，建立以電子銀行部、合規(guī)部、稽核部為主體的信息科技風(fēng)險三道防線;成立以主管領(lǐng)導(dǎo)為組長的信息系統(tǒng)突發(fā)事件應(yīng)急小組、應(yīng)急處置小組和科技支持保障小組，做好突發(fā)事件應(yīng)急處理。

　　b) 建立健全信息科技規(guī)章制度。為了做好制度建設(shè)，我行領(lǐng)導(dǎo)高度重視，以我行流程銀行建設(shè)為契機，完善了相關(guān)制度，理順了相關(guān)制度的制定、修訂、廢止流程和審批制度流程，切實抓好制度建設(shè)。

　　c) 采取有效的'信息科技風(fēng)險管理的制度，防范和化解信 2 息安全風(fēng)險。首先，完善基礎(chǔ)設(shè)施建設(shè)，對中心機房進行改造，更換老舊的硬件設(shè)備，提高硬件設(shè)備防范風(fēng)險的能力;二是改造電源環(huán)境，做好業(yè)務(wù)連續(xù)性建設(shè)，為基層網(wǎng)點更換UPS電源;三是提升運行管理的水平，推進運行流程化和集中化管理，防范操作風(fēng)險，確保信息系統(tǒng)的安全穩(wěn)定運行。四是完善應(yīng)急預(yù)案，積極配合省聯(lián)社開展應(yīng)急演練，切實提高風(fēng)險防控水平。

　　四、 嚴格設(shè)備接入管理，提高設(shè)備管理水平。近日，省聯(lián)社推出了桌面管理系統(tǒng)，該系統(tǒng)提供全面高效的計算機設(shè)備管理解決辦法，可以監(jiān)控行內(nèi)IT環(huán)境的變化，保障計算機設(shè)備正常運行，大幅度降低運行維護成本，并可提供詳盡的統(tǒng)計報表輸出，綜合反映軟硬件信息變動、當(dāng)前配置等，幫助總行管理好全轄計算機設(shè)備。按照省聯(lián)社的部署，該系統(tǒng)計劃于下半年上線，屆時將有力的提高我行信息科技管理的效率和風(fēng)險管控水平。

　　五、 軟件正版化是今年我行信息科技工作的一項重點內(nèi)容。根據(jù)aa省軟件正版化工作聯(lián)席會議下發(fā)的《關(guān)于推進中小金融機構(gòu)使用正版軟件工作的通知》()精神，結(jié)合我行的實際情況，為加快對盜版或未經(jīng)授權(quán)、許可軟件的清理換裝工作，推進我行軟件正版化工作，確保我行軟件正版化工作目標的實現(xiàn)，結(jié)合我行實際情況，制定了《xx銀行軟件正版化工作實施方案》，根據(jù)方案的進度安排，我行已于本月進入更換正版軟件和培訓(xùn)階段。

　　信息科技風(fēng)險防控是長期而艱巨的工作，我行將按照上級有 3 關(guān)部門的要求，加強日常管理，提高業(yè)務(wù)水平，將信息科技風(fēng)險防控作為工作的重中之重，保證各項業(yè)務(wù)的安全穩(wěn)定運行。

信息科技風(fēng)險自查報告3

　　按照年度工作部署，我部認真學(xué)習(xí)貫徹《商業(yè)銀行信息科技風(fēng)險管理指引》（銀監(jiān)發(fā)〔20xx〕19號）精神，為充分做好重要時期金融網(wǎng)絡(luò)和信息系統(tǒng)安全保障工作，防范我行信息科技風(fēng)險，保障計算機系統(tǒng)運行和操作安全，建立和完善信息科技風(fēng)險管理機制�，F(xiàn)將我部對我行的信息科技工作自我評估及審查，報告如下。

　　一、信息科技風(fēng)險管理評估主要關(guān)注以下內(nèi)容

　　1、相關(guān)崗位人員的配備情況，人員配備是否充足，崗位人員是否清晰理解崗位職能和工作流程；

　　2、信息科技風(fēng)險管理制度和流程的建設(shè)情況，是否為信息科技風(fēng)險管理制定了全面規(guī)范的制度、流程文件，當(dāng)前正式發(fā)布了哪些單位和部門級別的管理制度文件；

　　3、已經(jīng)建立的信息科技風(fēng)險管理制度和流程，是否得到了有效貫徹和執(zhí)行，能夠提供哪些已有的管理過程記錄，能夠證明管理制度和流程的落地執(zhí)行；

　　4、為確保管理制度和流程的落地執(zhí)行，提供了哪些輔助技術(shù)工具；

　　5、在近期的監(jiān)管檢查中發(fā)現(xiàn)了哪些缺陷和問題，采取了哪些措施和步驟對有關(guān)問題進行了跟蹤整改。

　　二、組織架構(gòu)、制度建設(shè)及管理情況

　　1、信息科技治理組織架構(gòu)

　�。�1）我行明確董事長是本行計算機信息系統(tǒng)風(fēng)險管理的`第一責(zé)任人。同時設(shè)立信息科技管理委員會，全面負責(zé)領(lǐng)導(dǎo)和協(xié)調(diào)本行科技信息安全，董事長任委員會主任，其他班子成員為副主任，成員為各部室負責(zé)人。

　　xx農(nóng)商銀行合規(guī)（風(fēng)險）管理部為信息科技的風(fēng)險管理部門，主要負責(zé)掌握主要的信息科技風(fēng)險，對計算機業(yè)務(wù)系統(tǒng)建設(shè)和應(yīng)用的安全措施進行檢查和監(jiān)督；對安全隱患和漏洞提出改進和防范意見，確定風(fēng)險級別，確保相關(guān)風(fēng)險能夠被識別、計量、監(jiān)測和控制。

　　合規(guī)（風(fēng)險）管理部主要負責(zé)人為信息系統(tǒng)開發(fā)及推廣小組成員、信息數(shù)據(jù)安全管理小組成員、信息安全等級保護領(lǐng)導(dǎo)小組以及信息系統(tǒng)應(yīng)急處置領(lǐng)導(dǎo)小組成員、應(yīng)急處置保障小組成員（負責(zé)法務(wù)咨詢等）。

　　在支行層面則設(shè)立合規(guī)員，負責(zé)各支行科技信息相關(guān)風(fēng)險監(jiān)控和報告。監(jiān)管部門。

　　2、信息科技風(fēng)險評估

　　20xx年委托專業(yè)的第三方評估機構(gòu)綠盟科技集團股份有限公司對本行信息科技現(xiàn)狀開展一次信息科技全面風(fēng)險評估。

　　三、不足和改進方法

　　1、風(fēng)險合規(guī)部缺少具備相關(guān)技能資質(zhì)的崗位人員

　　本行已經(jīng)在內(nèi)部建立并健全了一系列的計算機系統(tǒng)安全管理制度，但未配置信息科技風(fēng)險專職管理崗位，因此對照指引的精神，從組織上保證信息科技風(fēng)險有具體人員來承擔(dān)責(zé)任，強化執(zhí)行力和合規(guī)性。目前，暫設(shè)置兼職信息科技風(fēng)險管理崗位合規(guī)人員，負責(zé)信息科技風(fēng)險評估工作。

　　2、未完善信息科技風(fēng)險監(jiān)測管理機制《報表.信息科技風(fēng)險監(jiān)測指標》中規(guī)定了信息科技風(fēng)險管理專項檢查指標，信息科技風(fēng)險監(jiān)測數(shù)據(jù)的采集和上報機制，但仍需完善的信息科技風(fēng)險監(jiān)測管理機制。加強開發(fā)過程的風(fēng)險控制，將日常信息風(fēng)險管理從傳統(tǒng)的檢查模式逐步過渡到基于評估、規(guī)劃、執(zhí)行和監(jiān)督全面循環(huán)改進的模式，并納入整個風(fēng)險監(jiān)測管理體系中，定期向信息科技管理委員會報告。

　　3、加強信息科技風(fēng)險管理制度建設(shè)

　　《xx農(nóng)商銀行科技信息外包管理辦法》外包管理制度需全面覆蓋具備集中度特征外包、重要外包、關(guān)聯(lián)外包、非駐場外包等不同類別外包和不同級別外包商管理要求。

信息科技風(fēng)險自查報告4

　　一、網(wǎng)絡(luò)運行風(fēng)險

　　1、來自互聯(lián)網(wǎng)和移動磁介質(zhì)上病毒的攻擊。隨著我區(qū)農(nóng)村信用社電子化建設(shè)的發(fā)展，計算機技術(shù)在農(nóng)村信用社各項業(yè)務(wù)中的廣泛應(yīng)用，部分員工因病毒防范意識較為薄弱，加上計算機水平又是參差不齊，有的員工很難主動發(fā)現(xiàn)客戶端系統(tǒng)出現(xiàn)的漏洞從而實施補丁升級，U盤濫用且從不進行病毒掃描，這樣就容易造成內(nèi)部信息泄漏或網(wǎng)絡(luò)阻塞，中斷重要業(yè)務(wù)的正常運行。

　　二、操作流程風(fēng)險

　　隨著業(yè)務(wù)的更新和科技步伐的加快，員工的計算機操作業(yè)務(wù)能力與嚴格執(zhí)行規(guī)范程序不適應(yīng),綜合柜員制未能全面落實 ,不能夠完全掌握農(nóng)信社的各項業(yè)務(wù)操作流程及處置程序,必然會造成操作失誤而導(dǎo)致風(fēng)險。操作風(fēng)險大致分為以下幾方面:

　　1、操作行為不規(guī)范,安全防范意識差。目前，我區(qū)農(nóng)村信用社計算機操作員一般只通過了短期輔導(dǎo)培訓(xùn)，未能全面掌握計算機理論知識及運用技術(shù)，主要表現(xiàn)在：一是一些操作人員對計算機知識的缺乏，經(jīng)常出現(xiàn)操作性錯誤;二是操作人員基本安全意識不強，缺乏安全防范意識;三是人員調(diào)離或崗位變動時不及時注銷操作員，導(dǎo)致操作員不便于管理;四是人離機不退，個別人隨意離開工作崗位，也不簽退，給他人可乘之機，造成了嚴重的信息安全隱患。

　　2、不嚴格執(zhí)行操作流程，造成安全隱患。由于部分員工跟不上當(dāng)前農(nóng)村信用社電子化建設(shè)步伐，對推出的硬件設(shè)備以及電子化產(chǎn)品及功能不熟悉或風(fēng)險意識不強等原因造成了在操作過程中出現(xiàn)系列風(fēng)險。一是操作人員不嚴格執(zhí)行硬件設(shè)備的操作流程，造成設(shè)備損壞，致使重要業(yè)務(wù)中斷的風(fēng)險;二是沒有定期對機器除塵、保養(yǎng)，使微機在較惡劣環(huán)境下帶“病”工作，計算機運行報錯或元器件損壞時有發(fā)生，影響了信用社窗口的服務(wù)效率和形象;三是不嚴格按照業(yè)務(wù)操作流程操作業(yè)務(wù)系統(tǒng)程序，給他人或科技結(jié)算中心造成不必要的負擔(dān)。

　　為此我們將嚴格按照省市聯(lián)社關(guān)于計算機管理的一系列相關(guān)要求，對日常計算機信息管理中存在的問題經(jīng)行重點監(jiān)督和整改：

　　1、嚴格業(yè)務(wù)系統(tǒng)、辦公系統(tǒng)與因特網(wǎng)等公眾系統(tǒng)的`隔離，無法隔離的要隨時升級殺毒程序，同時嚴格移動磁介質(zhì)的使用范圍、殺毒流程。加強員工計算機知識培訓(xùn)，提高員工的電腦操作技能，制定防

　　毒策略，養(yǎng)成良好的上網(wǎng)習(xí)慣，嚴防病毒侵害。

　　2、加強對一線人員的操作流程、各項基本規(guī)定的培訓(xùn)，加強對信息專管員的培訓(xùn)，提高其處理計算機及網(wǎng)絡(luò)故障、防范計算機及網(wǎng)絡(luò)風(fēng)險的能力;對業(yè)務(wù)操作人員要重點抓好計算機知識的普及培訓(xùn)工作，建立各種形式的崗位培訓(xùn)和定期輪訓(xùn)制度，提高職工的政治素質(zhì)、業(yè)務(wù)技能、敬業(yè)精神、計算機業(yè)務(wù)操作水平和安全防范綜合能力。一線人員的操作和授權(quán)不能流于形式，堅決杜絕各種混崗現(xiàn)象，嚴格遵循管理制度。

　　3、嚴格操作規(guī)范及操作權(quán)限管理

　　隨著農(nóng)村信用社的發(fā)展，信貸系統(tǒng)，財務(wù)系統(tǒng)，OA系統(tǒng)的成功上線并投入使用，操作人員必須學(xué)習(xí)和掌握農(nóng)村信用社的操作流程和各項規(guī)章制度,加強制度執(zhí)行力的管理。操作員密碼必須定期不定期修改，并嚴格按規(guī)定設(shè)置操作員及操作員密碼，還需定期修改密碼，多用字母或符號，嚴禁使用6位相同數(shù)字或電話號碼或生日號碼等，嚴禁口頭或電話告知操作密碼。

　　4、加強內(nèi)控建設(shè)，強化監(jiān)督，完善防范機制。首先，建立柜員崗位制約為主，做到責(zé)任到崗、落實到人、相互制約、互相監(jiān)督。其次，全面落實以主任、內(nèi)勤主任為主的監(jiān)管體系，確保做到實時監(jiān)管，及時發(fā)現(xiàn)問題，及時進行整改，消除風(fēng)險隱患。再則，加強會計事后監(jiān)督和電視監(jiān)控系統(tǒng)管理，加大查處力度，重點是督促基層社各項計算機制度執(zhí)行與落實，提升基層執(zhí)行力，以此推進和完善防范制度，切實做到防患于未然。

　　5、日常維護方面，由基社信息專管員負責(zé)每周一次對機房衛(wèi)生清理和設(shè)備故障排查，發(fā)現(xiàn)問題及時上報科技信息部處理;每月在各基社網(wǎng)點信息專管員的配合下，對網(wǎng)絡(luò)設(shè)備的運行和管理進行維護和檢查至少一次，全轄的ATM和POS機由科技信息部統(tǒng)一管理，落實基社網(wǎng)點專人負責(zé)，加大專管人員的培訓(xùn)，使日常操作、維護工作和安全防范措施得以落實。

信息科技風(fēng)險自查報告5

　　一、網(wǎng)絡(luò)運行風(fēng)險

　　1、來自互聯(lián)網(wǎng)和移動磁介質(zhì)上病毒的攻擊.隨著我區(qū)農(nóng)村信用社電子化建設(shè)的發(fā)展，計算機技術(shù)在農(nóng)村信用社各項業(yè)務(wù)中的廣泛應(yīng)用，部分員工因病毒防范意識較為薄弱，加上計算機水平又是參差不齊，有的員工很難主動發(fā)現(xiàn)客戶端系統(tǒng)出現(xiàn)的漏洞從而實施補丁升級，U盤濫用且從不進行病毒掃描，這樣就容易造成內(nèi)部信息泄漏或網(wǎng)絡(luò)阻塞，中斷重要業(yè)務(wù)的正常運行.

　　二、操作流程風(fēng)險

　　隨著業(yè)務(wù)的更新和科技步伐的加快，員工的計算機操作業(yè)務(wù)能力與嚴格執(zhí)行規(guī)范程序不適應(yīng)，綜合柜員制未能全面落實，不能夠完全掌握農(nóng)信社的各項業(yè)務(wù)操作流程及處置程序，必然會造成操作失誤而導(dǎo)致風(fēng)險.操作風(fēng)險大致分為以下幾方面：

　　1、操作行為不規(guī)范，安全防范意識差.目前，我區(qū)農(nóng)村信用社計算機操作員一般只通過了短期輔導(dǎo)培訓(xùn)，未能全面掌握計算機理論知識及運用技術(shù)，主要表現(xiàn)在：一是一些操作人員對計算機知識的缺乏，

　　經(jīng)常出現(xiàn)操作性錯誤；二是操作人員基本安全意識不強，缺乏安全防范意識；三是人員調(diào)離或崗位變動時不及時注銷操作員，導(dǎo)致操作員不便于管理；四是人離機不退，個別人隨意離開工作崗位，也不簽退，給他人可乘之機，造成了嚴重的信息安全隱患.

　　2、不嚴格執(zhí)行操作流程，造成安全隱患.由于部分員工跟不上當(dāng)前農(nóng)村信用社電子化建設(shè)步伐，對推出的硬件設(shè)備以及電子化產(chǎn)品及功能不熟悉或風(fēng)險意識不強等原因造成了在操作過程中出現(xiàn)系列風(fēng)險.一是操作人員不嚴格執(zhí)行硬件設(shè)備的操作流程，造成設(shè)備損壞，致使重要業(yè)務(wù)中斷的風(fēng)險；二是沒有定期對機器除塵、保養(yǎng)，使微機在較惡劣環(huán)境下帶“病”工作，計算機運行報錯或元器件損壞時有發(fā)生，影響了信用社窗口的服務(wù)效率和形象；三是不嚴格按照業(yè)務(wù)操作流程操作業(yè)務(wù)系統(tǒng)程序，給他人或科技結(jié)算中心造成不必要的負擔(dān).

　　為此我們將嚴格按照省市聯(lián)社關(guān)于計算機管理的一系列相關(guān)要求，對日常計算機信息管理中存在的問題經(jīng)行重點監(jiān)督和整改：

　　1、嚴格業(yè)務(wù)系統(tǒng)、辦公系統(tǒng)與因特網(wǎng)等公眾系統(tǒng)的隔離，無法隔離的要隨時升級殺毒程序，同時嚴格移動磁介質(zhì)的使用范圍、殺毒流程.加強員工計算機知識培訓(xùn)，提高員工的電腦操作技能，制定防

　　毒策略，養(yǎng)成良好的上網(wǎng)習(xí)慣，嚴防病毒侵害.

　　2、加強對一線人員的操作流程、各項基本規(guī)定的培訓(xùn)，加強對信息專管員的培訓(xùn)，提高其處理計算機及網(wǎng)絡(luò)故障、防范計算機及網(wǎng)絡(luò)風(fēng)險的能力；對業(yè)務(wù)操作人員要重點抓好計算機知識的普及培訓(xùn)工作，建立各種形式的崗位培訓(xùn)和定期輪訓(xùn)制度，提高職工的`政治素質(zhì)、業(yè)務(wù)技能、敬業(yè)精神、計算機業(yè)務(wù)操作水平和安全防范綜合能力.一線人員的操作和授權(quán)不能流于形式，堅決杜絕各種混崗現(xiàn)象，嚴格遵循管理制度.

　　3、嚴格操作規(guī)范及操作權(quán)限管理

　　隨著農(nóng)村信用社的發(fā)展，信貸系統(tǒng)，財務(wù)系統(tǒng)，OA系統(tǒng)的成功上線并投入使用，操作人員必須學(xué)習(xí)和掌握農(nóng)村信用社的操作流程和各項規(guī)章制度，加強制度執(zhí)行力的管理.操作員密碼必須定期不定期修改，并嚴格按規(guī)定設(shè)置操作員及操作員密碼，還需定期修改密碼，多用字母或符號，嚴禁使用6位相同數(shù)字或電話號碼或生日號碼等，嚴禁口頭或電話告知操作密碼.

　　4、加強內(nèi)控建設(shè)，強化監(jiān)督，完善防范機制.首先，建立柜員崗位制約為主，做到責(zé)任到崗、落實到人、相互制約、互相監(jiān)督.其次，

　　全面落實以主任、內(nèi)勤主任為主的監(jiān)管體系，確保做到實時監(jiān)管，及時發(fā)現(xiàn)問題，及時進行整改，消除風(fēng)險隱患.再則，加強會計事后監(jiān)督和電視監(jiān)控系統(tǒng)管理，加大查處力度，重點是督促基層社各項計算機制度執(zhí)行與落實，提升基層執(zhí)行力，以此推進和完善防范制度，切實做到防患于未然.

　　5、日常維護方面，由基社信息專管員負責(zé)每周一次對機房衛(wèi)生清理和設(shè)備故障排查，發(fā)現(xiàn)問題及時上報科技信息部處理；每月在各基社網(wǎng)點信息專管員的配合下，對網(wǎng)絡(luò)設(shè)備的運行和管理進行維護和檢查至少一次，全轄的ATM和POS機由科技信息部統(tǒng)一管理，落實基社網(wǎng)點專人負責(zé)，加大專管人員的培訓(xùn)，使日常操作、維護工作和安全防范措施得以落實.

信息科技風(fēng)險自查報告6

　　按照上級領(lǐng)導(dǎo)的指示，我行認真貫徹《關(guān)于加強20xx年重要時期金融信息安全保障工作的通知》（銀發(fā)[20xx]57號文件）精神，為充分做好重要時期金融網(wǎng)絡(luò)和信息系統(tǒng)安全保障工作，防范我行信息科技風(fēng)險，保障計算機系統(tǒng)運行和操作安全，建立和完善信息科技風(fēng)險管理機制。對我行的信息科技工作進行了一次全面的自我評估及審查�，F(xiàn)將審查情況報告如下：

　　一、組織架構(gòu)、制度建設(shè)及管理情況

　　1。信息科技治理組織架構(gòu)

　�。�1）我行在董事會下設(shè)科技信息安全管理委員會，行長室下設(shè)信息科技管理委員會，信息安全管理委員會下設(shè)應(yīng)急處理領(lǐng)導(dǎo)小組。

　　科技信息安全管理委員會全面負責(zé)領(lǐng)導(dǎo)和協(xié)調(diào)本行科技信息安全。

　　科技管理委員會負責(zé)統(tǒng)一規(guī)劃全行的信息化建設(shè)，指導(dǎo)和監(jiān)督科技部門的各項工作，審議全行計算機網(wǎng)絡(luò)的設(shè)計方案、軟件項目招標、設(shè)備招標和統(tǒng)一采購及日常管理中重大問題的研究和建議。

　　信息系統(tǒng)應(yīng)急處理領(lǐng)導(dǎo)小組負責(zé)組織制定全轄應(yīng)急處置的實施細則，統(tǒng)一組織、協(xié)調(diào)、指導(dǎo)、檢查全轄應(yīng)急處置的管理；負責(zé)全轄信息系統(tǒng)突發(fā)事件的應(yīng)急指揮、組織協(xié)調(diào)和過程控制

　　（2）我行成立了科技管理部和科技開發(fā)部，做到科技運維和科技開發(fā)有效分離，加強了信息科技治理。

　�。�3）科技風(fēng)險審計工作由我行稽核審計部完成，信息科技風(fēng)險管理由風(fēng)險管理部門完成。

　�。�4）在支行層面則設(shè)立合規(guī)員，負責(zé)各支行科技信息相關(guān)風(fēng)險監(jiān)控和報告

　　2。信息科技管理制度建設(shè)

　�。�1）安全管理

　　對安全管理活動中的各類管理內(nèi)容建立安全管理制度，制定了由安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理總則《江蘇**農(nóng)村商業(yè)銀行計算機信息系統(tǒng)安全管理制度》，安全管理制度經(jīng)信息安全領(lǐng)導(dǎo)小組審定，審定周期為一年一次，并且及時發(fā)現(xiàn)缺漏或不足對制度進行修訂，并有修訂記錄

　�。�2）事件管理

　　制訂了安全事件報告和處置管理制度——《信息安全事件管理制度》明確安全事件類型，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復(fù)的管理職責(zé)，并根據(jù)國家相關(guān)管理部門對計算機安全事件等級劃分方法和安全事件對本系統(tǒng)產(chǎn)生的影響，對安全事件進行等級劃分，制定安全事件報告和響應(yīng)處理程序，確定事件的報告流程，響應(yīng)和處置方法等，并對發(fā)現(xiàn)的安全弱點和可疑事件有《異常情況上報規(guī)定》

　�。�3）應(yīng)急處理

　　建立較為完善的信息系統(tǒng)應(yīng)急恢復(fù)策略《江蘇**農(nóng)村商業(yè)銀行計算機信息系統(tǒng)應(yīng)急處理方案》，對各業(yè)務(wù)信息系統(tǒng)進行分類，按照重要程度，確定保障級別，制定了各信息系統(tǒng)突發(fā)事件專項應(yīng)急預(yù)案。制定數(shù)據(jù)中心、災(zāi)備中心機房關(guān)鍵基礎(chǔ)設(shè)施專項應(yīng)急預(yù)案。

　�。�4）安全操作規(guī)范及管理流程

　　我行有完整的信息安全管理流程，控制信息安全管理。包括介質(zhì)管理、網(wǎng)絡(luò)管理、維護及故障處理制度、軟硬件變更流程、備份管理、ATM安全管理、機房管理、監(jiān)控管理、密鑰管理、巡檢制度等等科技管理部各項流程。

　　（5）崗位職責(zé)與分工

　　配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等。每個崗位設(shè)立2個以上操作維護人員。重要系統(tǒng)均配備A/B角，A/B角定期輪換。明確崗位職責(zé)《科技管理部崗位設(shè)置》《科技開發(fā)部工作職責(zé)》《科技管理部崗位百分考核辦法》

　　（6）密級管理制度

　　錄用人員簽署保密協(xié)議；制定人員離崗管理流程規(guī)范，嚴格規(guī)范人員離崗過程，及時終止離崗員工的所有訪問權(quán)限；與外包商簽訂保密協(xié)議；有密級的安全管理制度，注明安全管理制度密級，并進行密級管理。

　　二、信息系統(tǒng)的技術(shù)措施情況

　　1。物理和環(huán)境建設(shè)

　�。�1）機房的物理訪問控制：機房實現(xiàn)門禁控制，嚴防外部人員進入機房擅自操作。

　�。�2）系統(tǒng)密碼均由專門人員掌管，計算機終端無人看管時鎖定；

　　（3）機房采用集中監(jiān)控，監(jiān)控清晰全面，機房環(huán)境設(shè)施均有專人崗位值班管理，參數(shù)實行24小時不間斷監(jiān)控，崗位人員具備管理監(jiān)控專業(yè)素質(zhì)。

　�。�4）機房供電系統(tǒng)均采用雙路UPS供電，線路冗余性好，負載能力強，完全能夠滿足機房電力需求。

　�。�5）機房空調(diào)系統(tǒng)的有效性和冗余性，給排風(fēng)系統(tǒng)的有效性：機房空調(diào)系統(tǒng)安全有效，給排風(fēng)系統(tǒng)工作正常。

　　（6）中心機房和災(zāi)備機房均有配套防盜竊、防雷、防火、防水、防靜電、溫濕度控制、電磁保護等措施，確保機房正常運轉(zhuǎn)。

　�。�7）機房技術(shù)文檔完備、有效：制定了《**農(nóng)村商業(yè)銀行計算機信息系統(tǒng)安全管理制度》、《科技部信息部中心機房監(jiān)控制度》，《**農(nóng)村商業(yè)銀行計算機系統(tǒng)運行維護管理制度》為機房維護制定詳細的規(guī)范文檔。 2。 網(wǎng)絡(luò)管理

　　我行根據(jù)文件要求，對重要網(wǎng)絡(luò)設(shè)施（包括網(wǎng)絡(luò)傳輸線路、網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)安全設(shè)備）進行了詳細的自查，情況如下：1。 網(wǎng)絡(luò)安全策略

　　（1）內(nèi)網(wǎng)的安全管理情況；

　　內(nèi)網(wǎng)網(wǎng)絡(luò)安全管理：外聯(lián)單位互聯(lián)安全保護措施：通過兩臺PIX525防火墻連接外聯(lián)單位，兩臺防火墻通過FAILOVER形成熱備，在防火墻上配置安全策略，嚴格控制進出生產(chǎn)網(wǎng)的數(shù)據(jù)。

　　在對外路由器上設(shè)置過濾規(guī)則，形成防護網(wǎng)。使用過濾規(guī)則設(shè)置功能，作過濾防護，形成銀行網(wǎng)絡(luò)與外聯(lián)單位之間的第一道防護網(wǎng)。正確地配置和使用防火墻。防火墻功能正確實施的關(guān)鍵是其安全策略的配置和管理，為企業(yè)的重要數(shù)據(jù)和內(nèi)部網(wǎng)絡(luò)系統(tǒng)提供了一層可靠的安全保障。

　　使用地址轉(zhuǎn)換的通信策略，防火墻對內(nèi)部地址進行轉(zhuǎn)換，對外映射為一個虛擬地址。

　�。�2）外網(wǎng)的安全管理情況；

　　辦公網(wǎng)網(wǎng)絡(luò)安全建設(shè)：天融信防火墻安全防護建設(shè)：在**農(nóng)商行辦公網(wǎng)INTERNET出口部署兩臺天融信防火墻提供了強大的網(wǎng)絡(luò)應(yīng)用控制功能。用戶可以輕松的針對一些典型網(wǎng)絡(luò)應(yīng)用，如MSN，QQ、Skype、即時通信應(yīng)用，以及BT、訊雷等p2p應(yīng)用實行靈活的訪問控制策略，如禁止、限時、乃至流量控制。還提供了定制功能，可以對用戶所關(guān)心的網(wǎng)絡(luò)應(yīng)用進行全面控制。

　　能夠在核心網(wǎng)絡(luò)中同所有網(wǎng)絡(luò)設(shè)備一起構(gòu)建高可用性及高安全性的拓撲結(jié)構(gòu)，自身能夠?qū)崿F(xiàn)A/A部署和狀態(tài)同步，能夠?qū)崿F(xiàn)動態(tài)的鏈路切換，同時提供了電源冗余功能，最大限度地滿足了網(wǎng)絡(luò)的健壯性及穩(wěn)定性，保證了整個網(wǎng)絡(luò)的不間斷工作。

　�。�3）加密技術(shù)應(yīng)用和私鑰的管理情況；

　　ARRY設(shè)備遠程網(wǎng)絡(luò)通訊安全保護建設(shè)：**農(nóng)商行辦公網(wǎng)已經(jīng)部署了網(wǎng)絡(luò)通訊，INTERNET用戶可以連接到內(nèi)部辦公網(wǎng)。采用網(wǎng)絡(luò)通訊技術(shù)，加強信息傳輸過程中的安全防范，可以在公共Internet網(wǎng)絡(luò)上提供安全通信。是企業(yè)遠程用戶、業(yè)務(wù)合作伙伴和供應(yīng)商盡快實現(xiàn)通信和共享信息理想的安全性解決方案。根據(jù)業(yè)務(wù)系統(tǒng)的特點選擇對業(yè)務(wù)數(shù)據(jù)進行傳輸加密；對于網(wǎng)絡(luò)設(shè)備認證過程中敏感的信息進行加密。

　　制定了《**農(nóng)村商業(yè)銀行科技部密鑰管理制度》。

　�。�4）防火墻的設(shè)置、維護和管理情況；

　　在網(wǎng)銀系統(tǒng)設(shè)置兩層物理防火墻，將網(wǎng)絡(luò)分為三個邏輯區(qū)域，及非授信區(qū)、�；饏^(qū)及安全區(qū)。非授信區(qū)可理解為Internet，即存在潛在威脅的區(qū)域；�；饏^(qū)（DMZ）內(nèi)部署網(wǎng)銀Web服務(wù)器、RA服務(wù)器以及其它直接向外部提供服務(wù)或者進行通訊的服務(wù)器，如Mail服務(wù)器、防病毒服務(wù)器等；安全區(qū)用戶部署網(wǎng)銀應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器、通信服務(wù)器等核心部件；

　�。�5）、設(shè)置入侵檢測系統(tǒng)。

　　入侵檢測用在網(wǎng)絡(luò)關(guān)鍵節(jié)點設(shè)置探頭以偵測網(wǎng)絡(luò)數(shù)據(jù)中。

　　2。 網(wǎng)絡(luò)服務(wù)連續(xù)性、冗余性

　　1。所有重要通信線路均有備份線路且采用不同運營商，確保網(wǎng)絡(luò)無斷點。

　　2。網(wǎng)絡(luò)設(shè)備的冗余性：網(wǎng)絡(luò)設(shè)備均有備份。核心網(wǎng)絡(luò)設(shè)備，核心生產(chǎn)系統(tǒng)設(shè)備均采用雙機熱備，同城設(shè)有災(zāi)備機房，確保關(guān)鍵生產(chǎn)設(shè)備運行的可靠性

　　3。訪問線路的帶寬完全能夠滿足各信息系統(tǒng)的帶寬需求，無網(wǎng)絡(luò)擁塞現(xiàn)象。

　　4。 網(wǎng)絡(luò)設(shè)備管理配置均由專人分管負責(zé)，確保合理操作，保障網(wǎng)絡(luò)通暢、安全；

　　5。日志服務(wù)器暫無，有網(wǎng)絡(luò)日志，但無集中審計，需加強網(wǎng)絡(luò)設(shè)備日志的安全審計。 3。信息系統(tǒng)可靠性

　　我行根據(jù)文件要求，對關(guān)鍵服務(wù)器、存儲器運行的可靠性，生產(chǎn)系統(tǒng)資源冗余度等進行了全面自查，情況如下：1。系統(tǒng)重要設(shè)備和組件的冗余備份

　　經(jīng)自查，關(guān)鍵生產(chǎn)設(shè)備均采用雙電源，服務(wù)器有UPS電源支持，且有RAID保護。系統(tǒng)具備較高的可用性，所有前置系統(tǒng)都有備機，且定期切換演練，系統(tǒng)重要設(shè)備和組件均有相應(yīng)的定時備份。

　　2。制定各系統(tǒng)的應(yīng)急預(yù)案，定期對預(yù)案修訂和培訓(xùn)，目前，我行針對世博會演練了信貸系統(tǒng)切換，中心機房供電演練，影像支付系統(tǒng)演練，網(wǎng)銀系統(tǒng)惡意攻擊模擬演練。

　　3。設(shè)備和系統(tǒng)的維護和升級管理

　　設(shè)備、系統(tǒng)均有專人維護管理，部分設(shè)備、系統(tǒng)聘請專業(yè)公司人員進行升級維護，崗位人員均具備相關(guān)素質(zhì)，并實行AB角色。

　　4。對外包系統(tǒng)要求開發(fā)商要對我行技術(shù)人員進行詳細的日常運行、維護培訓(xùn)，把相關(guān)技術(shù)移交給我行技術(shù)人員，對涉及二次開發(fā)的系統(tǒng)要求開發(fā)商提供完整的二次開發(fā)手冊，培訓(xùn)我行技術(shù)人員掌握二次開發(fā)技術(shù)

　　5。系統(tǒng)軟件的用戶授權(quán)及鑒別認證措施：系統(tǒng)軟件用戶密碼相關(guān)人員各自保管，重要系統(tǒng)管理密碼實行分左右手密碼保管原則，系統(tǒng)軟件用戶訪問實現(xiàn)權(quán)限控制，各級人員只能進行權(quán)限內(nèi)操作。

　　6。系統(tǒng)變更管理：

　　制定了變更管理的主要準則和規(guī)章制度，變更管理的審批授權(quán)機制和工作流程；對變更管理進行登記、備案和存檔，制定了非計劃性緊急變更的實施方案、備份和恢復(fù)。

　　7。對系統(tǒng)日志及操作行為日志進行監(jiān)察審計，確保系統(tǒng)穩(wěn)定運行

　　8。系統(tǒng)容量管理計劃

　　系統(tǒng)處理容量增長趨勢完全滿足增量業(yè)務(wù)需求，并有適度冗余。

　　9。補丁更新

　　及時關(guān)注系統(tǒng)安全漏洞最新情況，及時對新發(fā)現(xiàn)的安全漏洞打上相關(guān)的安全補丁。經(jīng)檢查當(dāng)前系統(tǒng)已是最新最完整版本，已安裝了最新補丁

　　10。病毒、惡意代碼的安全防護

　　系統(tǒng)均安裝病毒查殺軟件，對病毒、惡意代碼進行安全防護。同時嚴格控制操作人員在機器上運行可能攜帶惡意代碼、病毒的腳本的.外來第三方軟件

　　11。系統(tǒng)安全配置檢查

　　定期巡檢，對系統(tǒng)的安全配置實行不定期檢測，對可能存在的隱患進行排除。

　　4。應(yīng)用安全

　　1。業(yè)務(wù)應(yīng)用系統(tǒng)的用戶授權(quán)及鑒別認證措施

　　業(yè)務(wù)應(yīng)用系統(tǒng)用戶密碼相關(guān)業(yè)務(wù)人員各自保管，通過操作號和密碼進行身份鑒別認證。人員離開時應(yīng)設(shè)置屏幕密碼保護或退出到登陸狀態(tài)。

　　2。業(yè)務(wù)應(yīng)用系統(tǒng)的用戶訪問控制

　　系統(tǒng)軟件用戶訪問實現(xiàn)權(quán)限控制，各級人員只能進行權(quán)限內(nèi)操作

　　4。數(shù)據(jù)安全、備份可用性

　　1。數(shù)據(jù)備份策略及備份數(shù)據(jù)的可用性

　�。�1）對各應(yīng)用系統(tǒng)指定相應(yīng)備份策略，指定不同級別的具體備份操作，每次備份完畢應(yīng)檢查備份數(shù)據(jù)的有效性，并異地妥善保管好磁介質(zhì)，重要數(shù)據(jù)永久保存

　�。�2）應(yīng)定期執(zhí)行恢復(fù)程序，檢查和測試備份介質(zhì)的有效性，確�？梢栽诨謴�(fù)程序規(guī)定的時間內(nèi)完成備份的恢復(fù)。

　�。�3）不定期對數(shù)據(jù)進行抽檢，與業(yè)務(wù)所在日期數(shù)據(jù)進行比對核實。并有應(yīng)急恢復(fù)預(yù)案，及同城異地災(zāi)備系統(tǒng)確保數(shù)據(jù)恢復(fù)性。

　　2。數(shù)據(jù)安全性

　�。�1）敏感數(shù)據(jù)的傳輸和存儲加密：敏感數(shù)據(jù)傳輸實行加密管理，存儲的一些敏感數(shù)據(jù)實行加密亂碼顯示。

　�。�2）重要業(yè)務(wù)數(shù)據(jù)的通信完整性檢測重要業(yè)務(wù)數(shù)據(jù)通信檢測完整、正常。

　�。�3）重要業(yè)務(wù)數(shù)據(jù)的備份策略及恢復(fù)測試機制重要業(yè)務(wù)數(shù)據(jù)定時備份，專人存儲保管，有完整的應(yīng)急恢復(fù)預(yù)案。

　�。�4）建立了同城異地災(zāi)備中心，并制定了《江蘇**農(nóng)村商業(yè)銀行異地容災(zāi)項目災(zāi)難恢復(fù)計劃書》，內(nèi)容包括危險級別的定義劃分、決策流程、災(zāi)難恢復(fù)團隊、日常備份和恢復(fù)流程、災(zāi)難響應(yīng)和行動流程、災(zāi)難切換流程、災(zāi)備系統(tǒng)回切流程、災(zāi)難恢復(fù)計劃的測試、維護等。還包含了涉及系統(tǒng)設(shè)備的具體清單、操作步驟等，預(yù)計RTO為6小時以內(nèi)，RPO較低。

　　5。運行維護監(jiān)控系統(tǒng)

　　我行根據(jù)文件要求，對信息系統(tǒng)的監(jiān)測預(yù)警進行了全面自查，情況如下：

　　1。監(jiān)測預(yù)警制度、流程及自動化監(jiān)控平臺

　　已建立完善監(jiān)測預(yù)警制度、流程，機房環(huán)境、參數(shù)，系統(tǒng)的運行狀況，CPU使用情況、文件系統(tǒng)使用情況等均實現(xiàn)自動化監(jiān)控。

　　2。監(jiān)測預(yù)警組織結(jié)構(gòu)及人員設(shè)置

　　每天有人員24小時值班，檢查系統(tǒng)及網(wǎng)絡(luò)運行狀況，及時發(fā)現(xiàn)問題，監(jiān)測預(yù)警專人負責(zé)，按照警報級別逐級上報，確保故障的及時排除。

　　3。監(jiān)測預(yù)警日志

　　設(shè)立監(jiān)控日志，每日由監(jiān)測預(yù)警人員負責(zé)記錄。 4。監(jiān)測預(yù)警文檔的完備性

　　有監(jiān)測預(yù)警文檔說明，但不夠完善。

　　5。與電力供應(yīng)部門、網(wǎng)絡(luò)供應(yīng)商、公安部門等外部機構(gòu)均有相應(yīng)的應(yīng)急聯(lián)動機制，我行正在實施保衛(wèi)部網(wǎng)點聲光聯(lián)動報警，做到入侵報警設(shè)施與照明、視頻安防監(jiān)控及聲音復(fù)核等設(shè)備聯(lián)動

　　三、不足和改進方法

　　1。需將管理與技術(shù)相結(jié)合，進一步加強信息安全管理手段

　　從IT風(fēng)險管理手段來看，部分系統(tǒng)的風(fēng)險控制不夠先進，缺乏專業(yè)的風(fēng)險技術(shù)支持，事前預(yù)防作用有限，事中控制不夠。缺乏對科技風(fēng)險的集中審計。本行將引進AAA統(tǒng)一認證管理系統(tǒng)，加強系統(tǒng)用戶的授權(quán)，權(quán)限控制和賬號管理。架設(shè)日志服務(wù)器，對系統(tǒng)日志進行集中收集和審計。

　　通過平臺對所有用戶進行統(tǒng)一的授權(quán)。采用基于角色的授權(quán)機制，按照內(nèi)部的組織結(jié)構(gòu)劃分角色，并為用戶綁定角色。對于不同的角色分配不同應(yīng)用系統(tǒng)的訪問權(quán)限。平臺依靠記錄追蹤用戶和管理人員的訪問過程，建立一套全面的、有效的回溯和追查機制�？梢詫崟r監(jiān)測用戶對各應(yīng)用系統(tǒng)的訪問狀態(tài)，及時發(fā)現(xiàn)非法訪問事件，對出現(xiàn)的問題進行事后追溯和責(zé)任追究提供實證。通過對系統(tǒng)運行狀態(tài)實時監(jiān)控審計，增強系統(tǒng)的可維護性。

　　2。進一步完善計算機系統(tǒng)安全管理制度

　　本行已經(jīng)在內(nèi)部建立并健全了一系列的計算機系統(tǒng)安全管理制度，并由稽核部門對銀行計算機系統(tǒng)進行專項稽核，但未配備專門的稽核人員，在廣度和深度上不夠，因此對照新指引的精神，從組織上保證信息風(fēng)險有具體人員來承擔(dān)責(zé)任，強化執(zhí)行力和合規(guī)性。將日常信息風(fēng)險管理從傳統(tǒng)的檢查模式逐步過渡到基于評估、規(guī)劃、執(zhí)行和監(jiān)督全面循環(huán)改進的模式。制訂詳細的IT風(fēng)險管理架構(gòu)，確立IT服務(wù)管理與IT風(fēng)險管理的關(guān)系，明確IT風(fēng)險管理的范圍、職責(zé)，制訂符合銀行實際情況的管理流程，出臺可操作性強的安全技術(shù)規(guī)范，加強開發(fā)過程的風(fēng)險控制。從而有效地防范科技風(fēng)險。

信息科技風(fēng)險自查報告7

　　關(guān)于我行按照市行相關(guān)的文件要求，組織科技人員對我銀行中心機房和網(wǎng)點的設(shè)備及線路進行了自查，現(xiàn)將自查情況匯報如下：

　　一、加強領(lǐng)導(dǎo)，明確各自職責(zé)

　　科技部為確實落實此次活動，成立了由陳經(jīng)理為組長、科技部全員負責(zé)全行網(wǎng)絡(luò)科技風(fēng)險防范工作，并負責(zé)以后網(wǎng)絡(luò)科技風(fēng)險防范的統(tǒng)籌布署指導(dǎo)及網(wǎng)點信息科技工作的應(yīng)急事項;對網(wǎng)點的易出現(xiàn)的故障點進行檢查，切實做好風(fēng)險防范工作，確保我行綜合業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)安全、持續(xù)、穩(wěn)定運行。

　　二、組織開展自查，保障綜合業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)安全運行

　　一是對我行機房的設(shè)備、線路、電力保障系統(tǒng)、消防系統(tǒng)、防雷措施進行檢查，檢查中發(fā)現(xiàn)UPS電源逆變時存在故障，經(jīng)與廠家維修人員聯(lián)系更換了出現(xiàn)故障的.老化蓄電池一塊，及時的消除了隱患;并于網(wǎng)通公司聯(lián)系，取得技術(shù)支持，密切關(guān)注網(wǎng)點的運行狀態(tài)，出現(xiàn)問題及時溝通，爭取在最短的時間內(nèi)解決。二是明確“誰主管誰負責(zé)”的原則，要求檢察員對機房機柜設(shè)備、通訊線路、電力系統(tǒng)進行了自查，在檢查中存在機柜上方擺放雜物，設(shè)備塵土過多等問題，及時進行了整改和清理，以免影響設(shè)備的正常運行;并提出保障供電，出現(xiàn)問題及時啟動發(fā)電機的應(yīng)急設(shè)備，保證網(wǎng)點正常營業(yè)。

　　三、對備品、備件進行了檢查，重新核實了備品、備件的數(shù)量，并對其進行加電測試，保證設(shè)備處于良好運行狀態(tài)，出現(xiàn)故障時能夠應(yīng)急使用。

　　四、嚴格執(zhí)行值班制度，科技部安排了節(jié)日期間值班表，密切關(guān)注營業(yè)期間設(shè)備的運行狀況，存在問題第一時間到達現(xiàn)場進行故障排查并及時解決;明確了網(wǎng)點的簽到及簽退時間，有特殊情況不能及時簽退的必須與科技部聯(lián)系說明情況。

　　五、對接入綜合業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)的PC機進行了檢查，對存在的內(nèi)、外網(wǎng)混用現(xiàn)象及時進行了整改，對殺毒軟件未安裝升級的及時進行了升級，有效的防范了網(wǎng)絡(luò)病毒的攻擊。

信息科技風(fēng)險自查報告8

　　信息科技風(fēng)險是隨著信息科技技術(shù)廣泛應(yīng)用而新生的詞匯，最早出現(xiàn)在上世紀九十年代，目前業(yè)界對此缺乏統(tǒng)一的定義。中國銀監(jiān)會定義的信息科技風(fēng)險是指信息科技在商業(yè)銀行運用過程中，由于自然因素、人為因素、技術(shù)漏洞和管理缺陷產(chǎn)生的操作、法律和聲譽等風(fēng)險。

　　20xx年巴塞爾新資本協(xié)議草案明確了銀行業(yè)資本監(jiān)管的發(fā)展趨勢，即將資本要求與銀行風(fēng)險管理緊密相連。新資本協(xié)議以監(jiān)管當(dāng)局對資本計量的要求為基礎(chǔ)，通過約束銀行資本，達到控制行業(yè)規(guī)模和風(fēng)險的目的。在新資本協(xié)議關(guān)注的三大風(fēng)險中，信息科技風(fēng)險被默認為操作風(fēng)險的一部分，未對信息科技風(fēng)險的管理提出具體要求。

　　信息科技穩(wěn)定運行是銀行業(yè)務(wù)正常經(jīng)營的基本條件，銀行數(shù)據(jù)集中造成了風(fēng)險的高度集中，科技風(fēng)險成為唯一能使銀行瞬間癱瘓的風(fēng)險。信息科技風(fēng)險具有區(qū)別于其他操作風(fēng)險的特殊性：一是風(fēng)險因素復(fù)雜，大量使用外包和新技術(shù)使得風(fēng)險控制的復(fù)雜度大幅提高;二是由于管理因素、技術(shù)因素多重作用，導(dǎo)致偶發(fā)性和不確定性突出;三是信息科技一般不直接造成經(jīng)濟損失，其造成的間接損失難以計量;四是單個信息系統(tǒng)可影響多個業(yè)務(wù)，影響范圍廣且具有不確定性。

　　科技風(fēng)險與操作風(fēng)險當(dāng)前處在不同的發(fā)展階段，其管理理論、管理方法等方面有著一定的差異性。在管理體系方面，信息科技風(fēng)險管理的理論已進入風(fēng)險導(dǎo)向的科技風(fēng)險管理階段，但以風(fēng)險為導(dǎo)向的識別、監(jiān)測、計量方面尚不成體系;在管理方法方面，信息科技風(fēng)險的特殊性在于產(chǎn)品和技術(shù)層面的風(fēng)險也是其重要風(fēng)險因素;在損失特點方面，信息科技風(fēng)險通常不產(chǎn)生直接的風(fēng)險損失，這決定了通常情況下科技風(fēng)險損失往往難以使用貨幣金額方式進行表示;在風(fēng)險計量方面，目前尚缺乏有效計量信息科技風(fēng)險資本的方法。

　　當(dāng)前銀行業(yè)大多將信息科技風(fēng)險作為操作風(fēng)險的一部分，納入銀行全面風(fēng)險管理體系。但是，隨著行業(yè)發(fā)展和技術(shù)進步，在操作風(fēng)險模式下管理信息科技風(fēng)險也存在一定的困難：一是目前的操作風(fēng)險管理方法中對科技風(fēng)險的管理方法涉及較少，難以兼顧到信息科技風(fēng)險的專業(yè)技術(shù)特性，難以實現(xiàn)對信息科技風(fēng)險的有效管理 ;二是風(fēng)險監(jiān)管資本計量未能充分考慮信息科技風(fēng)險因素，信息科技風(fēng)險造成的損失及其相應(yīng)的監(jiān)管資本計量存在困難�；�于科技風(fēng)險特點及其作為操作風(fēng)險一部分進行管理遇到的問題，將信息科技風(fēng)險從操作風(fēng)險中拆分并獨立管理，能更有效的管理信息科技風(fēng)險。

　　信息科技風(fēng)險應(yīng)被視為一種獨立的、重要的風(fēng)險類型被單獨管理，與操作風(fēng)險的管理分開;應(yīng)根據(jù)信息科技損失的特點設(shè)計與操作風(fēng)險標準法和高級法匹配的計量模型，體現(xiàn)信息科技風(fēng)險對銀行資本的影響和敏感性。

　　銀行業(yè)信息科技風(fēng)險核心監(jiān)管指標

　　在實施“風(fēng)險為本”的監(jiān)管框架中，需要探索建立一套可量化、相對簡單、可動態(tài)監(jiān)測的核心監(jiān)管指標體系，來動態(tài)監(jiān)測信息科技風(fēng)險狀況，直觀評估銀行信息科技風(fēng)險的管理水平。

　　核心監(jiān)管指標作為監(jiān)管機構(gòu)識別和預(yù)警銀行風(fēng)險的重要手段和方法，對健全內(nèi)部風(fēng)險制衡機制，完善風(fēng)險管理政策和流程，優(yōu)化風(fēng)險計量工具，進行有效的風(fēng)險控制起到了積極的促進作用。信息科技風(fēng)險核心監(jiān)管指標可以分為兩類，一類是結(jié)果性指標，另一類是過程性指標。結(jié)果性指標是以目標為導(dǎo)向，對已經(jīng)發(fā)生的`科技風(fēng)險事件和信息安全事件進行統(tǒng)計后建立的量化指標，其反映的是風(fēng)險狀況和發(fā)展趨勢。過程性指標主要反映銀行風(fēng)險控制和管理能力。這樣兩類指標相互補充，起到全面評估機構(gòu)風(fēng)險水平的目的。

　　信息科技風(fēng)險監(jiān)管具體目標包括業(yè)務(wù)連續(xù)性、信息安全、公眾滿意度以及合法合規(guī)。從信息科技風(fēng)險監(jiān)管目標出發(fā)，可逐層分解出系統(tǒng)可利用率、業(yè)務(wù)量等指標，它們相對簡單、直觀、容易測算和計量，可以成為結(jié)果性指標。另外一類是過程性指標，這類指標基于當(dāng)前銀行業(yè)信息科技管理最佳實踐，對信息科技的每個領(lǐng)域都能夠起關(guān)鍵控制作用。監(jiān)管指標一方面可以用來監(jiān)測銀行業(yè)整體風(fēng)險狀況，評估銀行業(yè)風(fēng)險水平，同時也可以與監(jiān)管手段相結(jié)合，提高信息科技風(fēng)險監(jiān)管水平。

　　銀行業(yè)信息科技風(fēng)險資本計量

　　信息科技風(fēng)險是巴塞爾新資本協(xié)議全面風(fēng)險計量框架中的組成部分，科技風(fēng)險資本計量是科技風(fēng)險管理的重要手段。

　　計量信息科技風(fēng)險可以借鑒當(dāng)前相對成熟的操作風(fēng)險的計量方法。但是，直接用操作風(fēng)險計量方法計量信息科技風(fēng)險存在挑戰(zhàn)，主要表現(xiàn)如下：一是信息科技風(fēng)險與總收入、業(yè)務(wù)交易量、客戶數(shù)或業(yè)務(wù)交易金額等指標的關(guān)聯(lián)并不密切;二是大部分信息科技風(fēng)險的損失不是顯性的，除少數(shù)信息科技風(fēng)險事件(如引發(fā)客戶索賠、延誤罰息)有“直接損失”外，大部分信息科技風(fēng)險事件的影響體現(xiàn)為業(yè)務(wù)中斷、聲譽受損等“間接損失”;三是信息科技風(fēng)險損失數(shù)據(jù)相對較少，極端嚴重事件的數(shù)據(jù)更少，計量 “尾部風(fēng)險”面臨挑戰(zhàn)。

　　基于高級法的計量思路是在操作風(fēng)險的統(tǒng)一計量框架下對信息科技風(fēng)險這一類型單獨計量，可將信息風(fēng)險損失定義為金額損失和時間損失兩個維度，建立時間與金額的轉(zhuǎn)換關(guān)系，擬合頻率分布和嚴重度分布，之后整合為總損失分布，根據(jù)置信度確定未來一定時期內(nèi)的非預(yù)期損失，最后用內(nèi)部衡量法進行調(diào)整得出計量結(jié)果。將科技風(fēng)險持續(xù)時間轉(zhuǎn)換為間接損失金額有兩種方法，分別為解析法和映射法。解析法是考量信息系統(tǒng)對銀行利潤貢獻度，即某個信息系統(tǒng)單位時間對銀行產(chǎn)生的利潤，根據(jù)系統(tǒng)中斷時間、影響范圍、系統(tǒng)重要性進行計算，得出信息科技風(fēng)險事件的間接損失。映射法是根據(jù)影響范圍和系統(tǒng)重要程度將影響時間加權(quán)計算轉(zhuǎn)化為“標準”的影響時間，然后建立標準影響時間與損失金額之間的映射關(guān)系，從而確定損失。

　　未來，隨著信息技術(shù)的飛速發(fā)展，銀行業(yè)對信息科技的依賴越來越大，云計算、物聯(lián)網(wǎng)等新技術(shù)既加快了銀行創(chuàng)新發(fā)展，對信息科技風(fēng)險管理提出了更高的要求;快速變化的外部環(huán)境，開放的互聯(lián)網(wǎng)環(huán)境，技術(shù)類企業(yè)、第三方平臺等非金融機構(gòu)與銀行業(yè)的業(yè)務(wù)服務(wù)不斷融合等，所有這些都使得信息科技風(fēng)險管理與監(jiān)管面臨著更加現(xiàn)實的挑戰(zhàn)，需要我們不斷地思考和研究，提高信息科技風(fēng)險管理能力。

信息科技風(fēng)險自查報告9

　　按照上級領(lǐng)導(dǎo)的指示，我行認真貫徹《關(guān)于加強20xx年重要時期金融信息安全保障工作的通知》（銀發(fā)[20xx]57號文件）精神，為充分做好重要時期金融網(wǎng)絡(luò)和信息系統(tǒng)安全保障工作，防范我行信息科技風(fēng)險，保障計算機系統(tǒng)運行和操作安全，建立和完善信息科技風(fēng)險管理機制。對我行的信息科技工作進行了一次全面的自我評估及審查�，F(xiàn)將審查情況報告如下：

　　一、組織架構(gòu)、制度建設(shè)及管理情況

　　1.信息科技治理組織架構(gòu)

　�。�1）我行在董事會下設(shè)科技信息安全管理委員會，行長室下設(shè)信息科技管理委員會，信息安全管理委員會下設(shè)應(yīng)急處理領(lǐng)導(dǎo)小組。

　　科技信息安全管理委員會全面負責(zé)領(lǐng)導(dǎo)和協(xié)調(diào)本行科技信息安全。

　　科技管理委員會負責(zé)統(tǒng)一規(guī)劃全行的信息化建設(shè)，指導(dǎo)和監(jiān)督科技部門的各項工作，審議全行計算機網(wǎng)絡(luò)的設(shè)計方案、軟件項目招標、設(shè)備招標和統(tǒng)一采購及日常管理中重大問題的研究和建議。

　　信息系統(tǒng)應(yīng)急處理領(lǐng)導(dǎo)小組負責(zé)組織制定全轄應(yīng)急處置的實施細則，統(tǒng)一組織、協(xié)調(diào)、指導(dǎo)、檢查全轄應(yīng)急處置的管理；負責(zé)全轄信息系統(tǒng)突發(fā)事件的應(yīng)急指揮、組織協(xié)調(diào)和過程控制

　�。�2）我行成立了科技管理部和科技開發(fā)部，做到科技運維和科技開發(fā)有效分離，加強了信息科技治理。

　�。�3）科技風(fēng)險審計工作由我行稽核審計部完成，信息科技風(fēng)險管理由風(fēng)險管理部門完成。

　�。�4）在支行層面則設(shè)立合規(guī)員，負責(zé)各支行科技信息相關(guān)風(fēng)險監(jiān)控和報告

　　2.信息科技管理制度建設(shè)

　�。�1）安全管理

　　對安全管理活動中的各類管理內(nèi)容建立安全管理制度，制定了由安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理總則《江蘇**農(nóng)村商業(yè)銀行計算機信息系統(tǒng)安全管理制度》，安全管理制度經(jīng)信息安全領(lǐng)導(dǎo)小組審定，審定周期為一年一次，并且及時發(fā)現(xiàn)缺漏或不足對制度進行修訂，并有修訂記錄

　�。�2）事件管理

　　制訂了安全事件報告和處置管理制度——《信息安全事件管理制度》明確安全事件類型，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復(fù)的管理職責(zé)，并根據(jù)國家相關(guān)管理部門對計算機安全事件等級劃分方法和安全事件對本系統(tǒng)產(chǎn)生的影響，對安全事件進行等級劃分，制定安全事件報告和響應(yīng)處理程序，確定事件的報告流程，響應(yīng)和處置方法等，并對發(fā)現(xiàn)的安全弱點和可疑事件有《異常情況上報規(guī)定》

　�。�3）應(yīng)急處理

　　建立較為完善的信息系統(tǒng)應(yīng)急恢復(fù)策略《江蘇**農(nóng)村商業(yè)銀行計算機信息系統(tǒng)應(yīng)急處理方案》，對各業(yè)務(wù)信息系統(tǒng)進行分類，按照重要程度，確定保障級別，制定了各信息系統(tǒng)突發(fā)事件專項應(yīng)急預(yù)案。制定數(shù)據(jù)中心、災(zāi)備中心機房關(guān)鍵基礎(chǔ)設(shè)施專項應(yīng)急預(yù)案。

　�。�4）安全操作規(guī)范及管理流程

　　我行有完整的信息安全管理流程，控制信息安全管理。包括介質(zhì)管理、網(wǎng)絡(luò)管理、維護及故障處理制度、軟硬件變更流程、備份管理、ATM安全管理、機房管理、監(jiān)控管理、密鑰管理、巡檢制度等等科技管理部各項流程。

　�。�5）崗位職責(zé)與分工

　　配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等。每個崗位設(shè)立2個以上操作維護人員。重要系統(tǒng)均配備A/B角，A/B角定期輪換。明確崗位職責(zé)《科技管理部崗位設(shè)置》《科技開發(fā)部工作職責(zé)》《科技管理部崗位百分考核辦法》

　�。�6）密級管理制度

　　錄用人員簽署保密協(xié)議；制定人員離崗管理流程規(guī)范，嚴格規(guī)范人員離崗過程，及時終止離崗員工的所有訪問權(quán)限；與外包商簽訂保密協(xié)議；有密級的安全管理制度，注明安全管理制度密級，并進行密級管理。

　　二、信息系統(tǒng)的技術(shù)措施情況

　　1.物理和環(huán)境建設(shè)

　�。�1）機房的物理訪問控制：機房實現(xiàn)門禁控制，嚴防外部人員進入機房擅自操作。

　�。�2）系統(tǒng)密碼均由專門人員掌管，計算機終端無人看管時鎖定；

　�。�3）機房采用集中監(jiān)控，監(jiān)控清晰全面，機房環(huán)境設(shè)施均有專人崗位值班管理，參數(shù)實行24小時不間斷監(jiān)控，崗位人員具備管理監(jiān)控專業(yè)素質(zhì)。

　�。�4）機房供電系統(tǒng)均采用雙路UPS供電，線路冗余性好，負載能力強，完全能夠滿足機房電力需求。

　�。�5）機房空調(diào)系統(tǒng)的有效性和冗余性，給排風(fēng)系統(tǒng)的有效性：機房空調(diào)系統(tǒng)安全有效，給排風(fēng)系統(tǒng)工作正常。

　�。�6）中心機房和災(zāi)備機房均有配套防盜竊、防雷、防火、防水、防靜電、溫濕度控制、電磁保護等措施，確保機房正常運轉(zhuǎn)。

　�。�7）機房技術(shù)文檔完備、有效：制定了《**農(nóng)村商業(yè)銀行計算機信息系統(tǒng)安全管理制度》、《科技部信息部中心機房監(jiān)控制度》，《**農(nóng)村商業(yè)銀行計算機系統(tǒng)運行維護管理制度》為機房維護制定詳細的規(guī)范文檔。 2. 網(wǎng)絡(luò)管理

　　我行根據(jù)文件要求，對重要網(wǎng)絡(luò)設(shè)施(包括網(wǎng)絡(luò)傳輸線路、網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)安全設(shè)備)進行了詳細的自查，情況如下: 1. 網(wǎng)絡(luò)安全策略

　　（1）內(nèi)網(wǎng)的安全管理情況；

　　內(nèi)網(wǎng)網(wǎng)絡(luò)安全管理：外聯(lián)單位互聯(lián)安全保護措施：通過兩臺PIX525防火墻連接外聯(lián)單位，兩臺防火墻通過FAILOVER形成熱備，在防火墻上配置安全策略，嚴格控制進出生產(chǎn)網(wǎng)的數(shù)據(jù)。

　　在對外路由器上設(shè)置過濾規(guī)則，形成防護網(wǎng)。使用過濾規(guī)則設(shè)置功能，作過濾防護，形成銀行網(wǎng)絡(luò)與外聯(lián)單位之間的第一道防護網(wǎng)。正確地配置和使用防火墻。防火墻功能正確實施的關(guān)鍵是其安全策略的配置和管理，為企業(yè)的重要數(shù)據(jù)和內(nèi)部網(wǎng)絡(luò)系統(tǒng)提供了一層可靠的安全保障。

　　使用地址轉(zhuǎn)換的通信策略，防火墻對內(nèi)部地址進行轉(zhuǎn)換，對外映射為一個虛擬地址。

　�。�2）外網(wǎng)的安全管理情況；

　　辦公網(wǎng)網(wǎng)絡(luò)安全建設(shè)：天融信防火墻安全防護建設(shè)：在**農(nóng)商行辦公網(wǎng)INTERNET出口部署兩臺天融信防火墻提供了強大的網(wǎng)絡(luò)應(yīng)用控制功能。用戶可以輕松的針對一些典型網(wǎng)絡(luò)應(yīng)用，如MSN，QQ、Skype、即時通信應(yīng)用，以及BT、訊雷等p2p應(yīng)用實行靈活的訪問控制策略，如禁止、限時、乃至流量控制。還提供了定制功能，可以對用戶所關(guān)心的網(wǎng)絡(luò)應(yīng)用進行全面控制。

　　能夠在核心網(wǎng)絡(luò)中同所有網(wǎng)絡(luò)設(shè)備一起構(gòu)建高可用性及高安全性的拓撲結(jié)構(gòu)，自身能夠?qū)崿F(xiàn)A/A部署和狀態(tài)同步，能夠?qū)崿F(xiàn)動態(tài)的鏈路切換，同時提供了電源冗余功能，最大限度地滿足了網(wǎng)絡(luò)的健壯性及穩(wěn)定性，保證了整個網(wǎng)絡(luò)的不間斷工作。

　　（3）加密技術(shù)應(yīng)用和私鑰的管理情況；

　　ARRY設(shè)備遠程網(wǎng)絡(luò)通訊安全保護建設(shè)：**農(nóng)商行辦公網(wǎng)已經(jīng)部署了網(wǎng)絡(luò)通訊，INTERNET用戶可以連接到內(nèi)部辦公網(wǎng)。采用網(wǎng)絡(luò)通訊技術(shù)，加強信息傳輸過程中的安全防范，可以在公共Internet網(wǎng)絡(luò)上提供安全通信。是企業(yè)遠程用戶、業(yè)務(wù)合作伙伴和供應(yīng)商盡快實現(xiàn)通信和共享信息理想的安全性解決方案。根據(jù)業(yè)務(wù)系統(tǒng)的特點選擇對業(yè)務(wù)數(shù)據(jù)進行傳輸加密；對于網(wǎng)絡(luò)設(shè)備認證過程中敏感的信息進行加密。

　　制定了《**農(nóng)村商業(yè)銀行科技部密鑰管理制度》。

　　（4）防火墻的設(shè)置、維護和管理情況；

　　在網(wǎng)銀系統(tǒng)設(shè)置兩層物理防火墻，將網(wǎng)絡(luò)分為三個邏輯區(qū)域，及非授信區(qū)、�；饏^(qū)及安全區(qū)。非授信區(qū)可理解為Internet，即存在潛在威脅的區(qū)域；�；饏^(qū)（DMZ）內(nèi)部署網(wǎng)銀Web服務(wù)器、RA服務(wù)器以及其它直接向外部提供服務(wù)或者進行通訊的服務(wù)器，如Mail服務(wù)器、防病毒服務(wù)器等；安全區(qū)用戶部署網(wǎng)銀應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器、通信服務(wù)器等核心部件；

　�。�5）、設(shè)置入侵檢測系統(tǒng)。

　　入侵檢測用在網(wǎng)絡(luò)關(guān)鍵節(jié)點設(shè)置探頭以偵測網(wǎng)絡(luò)數(shù)據(jù)中。

　　2. 網(wǎng)絡(luò)服務(wù)連續(xù)性、冗余性

　　1.所有重要通信線路均有備份線路且采用不同運營商，確保網(wǎng)絡(luò)無斷點。

　　2.網(wǎng)絡(luò)設(shè)備的冗余性：網(wǎng)絡(luò)設(shè)備均有備份。核心網(wǎng)絡(luò)設(shè)備，核心生產(chǎn)系統(tǒng)設(shè)備均采用雙機熱備，同城設(shè)有災(zāi)備機房，確保關(guān)鍵生產(chǎn)設(shè)備運行的可靠性

　　3.訪問線路的帶寬完全能夠滿足各信息系統(tǒng)的帶寬需求，無網(wǎng)絡(luò)擁塞現(xiàn)象。

　　4. 網(wǎng)絡(luò)設(shè)備管理配置均由專人分管負責(zé)，確保合理操作，保障網(wǎng)絡(luò)通暢、安全；

　　5.日志服務(wù)器暫無，有網(wǎng)絡(luò)日志，但無集中審計，需加強網(wǎng)絡(luò)設(shè)備日志的安全審計。 3.信息系統(tǒng)可靠性

　　我行根據(jù)文件要求，對關(guān)鍵服務(wù)器、存儲器運行的可靠性，生產(chǎn)系統(tǒng)資源冗余度等進行了全面自查，情況如下: 1.系統(tǒng)重要設(shè)備和組件的冗余備份

　　經(jīng)自查，關(guān)鍵生產(chǎn)設(shè)備均采用雙電源，服務(wù)器有UPS電源支持，且有RAID保護。系統(tǒng)具備較高的可用性，所有前置系統(tǒng)都有備機，且定期切換演練，系統(tǒng)重要設(shè)備和組件均有相應(yīng)的定時備份。

　　2.制定各系統(tǒng)的應(yīng)急預(yù)案，定期對預(yù)案修訂和培訓(xùn)，目前，我行針對世博會演練了信貸系統(tǒng)切換，中心機房供電演練，影像支付系統(tǒng)演練，網(wǎng)銀系統(tǒng)惡意攻擊模擬演練。

　　3.設(shè)備和系統(tǒng)的維護和升級管理

　　設(shè)備、系統(tǒng)均有專人維護管理，部分設(shè)備、系統(tǒng)聘請專業(yè)公司人員進行升級維護，崗位人員均具備相關(guān)素質(zhì)，并實行AB角色。

　　4.對外包系統(tǒng)要求開發(fā)商要對我行技術(shù)人員進行詳細的日常運行、維護培訓(xùn)，把相關(guān)技術(shù)移交給我行技術(shù)人員，對涉及二次開發(fā)的系統(tǒng)要求開發(fā)商提供完整的二次開發(fā)手冊，培訓(xùn)我行技術(shù)人員掌握二次開發(fā)技術(shù)

　　5.系統(tǒng)軟件的用戶授權(quán)及鑒別認證措施：系統(tǒng)軟件用戶密碼相關(guān)人員各自保管，重要系統(tǒng)管理密碼實行分左右手密碼保管原則，系統(tǒng)軟件用戶訪問實現(xiàn)權(quán)限控制，各級人員只能進行權(quán)限內(nèi)操作。

　　6.系統(tǒng)變更管理:

　　制定了變更管理的主要準則和規(guī)章制度，變更管理的審批授權(quán)機制和工作流程；對變更管理進行登記、備案和存檔，制定了非計劃性緊急變更的實施方案、備份和恢復(fù)。

　　7.對系統(tǒng)日志及操作行為日志進行監(jiān)察審計，確保系統(tǒng)穩(wěn)定運行

　　8.系統(tǒng)容量管理計劃

　　系統(tǒng)處理容量增長趨勢完全滿足增量業(yè)務(wù)需求，并有適度冗余。

　　9.補丁更新

　　及時關(guān)注系統(tǒng)安全漏洞最新情況，及時對新發(fā)現(xiàn)的安全漏洞打上相關(guān)的安全補丁。經(jīng)檢查當(dāng)前系統(tǒng)已是最新最完整版本，已安裝了最新補丁

　　10.病毒、惡意代碼的安全防護

　　系統(tǒng)均安裝病毒查殺軟件，對病毒、惡意代碼進行安全防護。同時嚴格控制操作人員在機器上運行可能攜帶惡意代碼、病毒的腳本的外來第三方軟件

　　11.系統(tǒng)安全配置檢查

　　定期巡檢，對系統(tǒng)的安全配置實行不定期檢測，對可能存在的.隱患進行排除。

　　4.應(yīng)用安全

　　1.業(yè)務(wù)應(yīng)用系統(tǒng)的用戶授權(quán)及鑒別認證措施

　　業(yè)務(wù)應(yīng)用系統(tǒng)用戶密碼相關(guān)業(yè)務(wù)人員各自保管，通過操作號和密碼進行身份鑒別認證。人員離開時應(yīng)設(shè)置屏幕密碼保護或退出到登陸狀態(tài)。

　　2.業(yè)務(wù)應(yīng)用系統(tǒng)的用戶訪問控制

　　系統(tǒng)軟件用戶訪問實現(xiàn)權(quán)限控制，各級人員只能進行權(quán)限內(nèi)操作

　　4.數(shù)據(jù)安全、備份可用性

　　1.數(shù)據(jù)備份策略及備份數(shù)據(jù)的可用性

　�。�1）對各應(yīng)用系統(tǒng)指定相應(yīng)備份策略，指定不同級別的具體備份操作，每次備份完畢應(yīng)檢查備份數(shù)據(jù)的有效性，并異地妥善保管好磁介質(zhì)，重要數(shù)據(jù)永久保存

　�。�2）應(yīng)定期執(zhí)行恢復(fù)程序，檢查和測試備份介質(zhì)的有效性，確保可以在恢復(fù)程序規(guī)定的時間內(nèi)完成備份的恢復(fù)。

　�。�3）不定期對數(shù)據(jù)進行抽檢，與業(yè)務(wù)所在日期數(shù)據(jù)進行比對核實。并有應(yīng)急恢復(fù)預(yù)案，及同城異地災(zāi)備系統(tǒng)確保數(shù)據(jù)恢復(fù)性。

　　2.數(shù)據(jù)安全性

　�。�1）敏感數(shù)據(jù)的傳輸和存儲加密：敏感數(shù)據(jù)傳輸實行加密管理，存儲的一些敏感數(shù)據(jù)實行加密亂碼顯示。

　�。�2）重要業(yè)務(wù)數(shù)據(jù)的通信完整性檢測重要業(yè)務(wù)數(shù)據(jù)通信檢測完整、正常。

　�。�3）重要業(yè)務(wù)數(shù)據(jù)的備份策略及恢復(fù)測試機制重要業(yè)務(wù)數(shù)據(jù)定時備份，專人存儲保管，有完整的應(yīng)急恢復(fù)預(yù)案。

　�。�4）建立了同城異地災(zāi)備中心，并制定了《江蘇**農(nóng)村商業(yè)銀行異地容災(zāi)項目災(zāi)難恢復(fù)計劃書》，內(nèi)容包括危險級別的定義劃分、決策流程、災(zāi)難恢復(fù)團隊、日常備份和恢復(fù)流程、災(zāi)難響應(yīng)和行動流程、災(zāi)難切換流程、災(zāi)備系統(tǒng)回切流程、災(zāi)難恢復(fù)計劃的測試、維護等。還包含了涉及系統(tǒng)設(shè)備的具體清單、操作步驟等，預(yù)計RTO為6小時以內(nèi)，RPO較低。

　　5.運行維護監(jiān)控系統(tǒng)

　　我行根據(jù)文件要求，對信息系統(tǒng)的監(jiān)測預(yù)警進行了全面自查，情況如下:

　　1.監(jiān)測預(yù)警制度、流程及自動化監(jiān)控平臺

　　已建立完善監(jiān)測預(yù)警制度、流程，機房環(huán)境、參數(shù)，系統(tǒng)的運行狀況，CPU使用情況、文件系統(tǒng)使用情況等均實現(xiàn)自動化監(jiān)控。

　　2.監(jiān)測預(yù)警組織結(jié)構(gòu)及人員設(shè)置

　　每天有人員24小時值班，檢查系統(tǒng)及網(wǎng)絡(luò)運行狀況，及時發(fā)現(xiàn)問題，監(jiān)測預(yù)警專人負責(zé)，按照警報級別逐級上報，確保故障的及時排除。

　　3.監(jiān)測預(yù)警日志

　　設(shè)立監(jiān)控日志，每日由監(jiān)測預(yù)警人員負責(zé)記錄。 4.監(jiān)測預(yù)警文檔的完備性

　　有監(jiān)測預(yù)警文檔說明，但不夠完善。

　　5.與電力供應(yīng)部門、網(wǎng)絡(luò)供應(yīng)商、公安部門等外部機構(gòu)均有相應(yīng)的應(yīng)急聯(lián)動機制，我行正在實施保衛(wèi)部網(wǎng)點聲光聯(lián)動報警，做到入侵報警設(shè)施與照明、視頻安防監(jiān)控及聲音復(fù)核等設(shè)備聯(lián)動

　　三、不足和改進方法

　　1.需將管理與技術(shù)相結(jié)合，進一步加強信息安全管理手段

　　從IT風(fēng)險管理手段來看，部分系統(tǒng)的風(fēng)險控制不夠先進，缺乏專業(yè)的風(fēng)險技術(shù)支持，事前預(yù)防作用有限，事中控制不夠。缺乏對科技風(fēng)險的集中審計。本行將引進AAA統(tǒng)一認證管理系統(tǒng)，加強系統(tǒng)用戶的授權(quán)，權(quán)限控制和賬號管理。架設(shè)日志服務(wù)器，對系統(tǒng)日志進行集中收集和審計。

　　通過平臺對所有用戶進行統(tǒng)一的授權(quán)。采用基于角色的授權(quán)機制，按照內(nèi)部的組織結(jié)構(gòu)劃分角色，并為用戶綁定角色。對于不同的角色分配不同應(yīng)用系統(tǒng)的訪問權(quán)限。平臺依靠記錄追蹤用戶和管理人員的訪問過程，建立一套全面的、有效的回溯和追查機制�？梢詫崟r監(jiān)測用戶對各應(yīng)用系統(tǒng)的訪問狀態(tài)，及時發(fā)現(xiàn)非法訪問事件，對出現(xiàn)的問題進行事后追溯和責(zé)任追究提供實證。通過對系統(tǒng)運行狀態(tài)實時監(jiān)控審計，增強系統(tǒng)的可維護性。

　　2.進一步完善計算機系統(tǒng)安全管理制度

　　本行已經(jīng)在內(nèi)部建立并健全了一系列的計算機系統(tǒng)安全管理制度，并由稽核部門對銀行計算機系統(tǒng)進行專項稽核，但未配備專門的稽核人員，在廣度和深度上不夠，因此對照新指引的精神，從組織上保證信息風(fēng)險有具體人員來承擔(dān)責(zé)任，強化執(zhí)行力和合規(guī)性。將日常信息風(fēng)險管理從傳統(tǒng)的檢查模式逐步過渡到基于評估、規(guī)劃、執(zhí)行和監(jiān)督全面循環(huán)改進的模式。制訂詳細的IT風(fēng)險管理架構(gòu)，確立IT服務(wù)管理與IT風(fēng)險管理的關(guān)系，明確IT風(fēng)險管理的范圍、職責(zé)，制訂符合銀行實際情況的管理流程，出臺可操作性強的安全技術(shù)規(guī)范，加強開發(fā)過程的風(fēng)險控制。從而有效地防范科技風(fēng)險。

信息科技風(fēng)險自查報告10

　　一、網(wǎng)絡(luò)運行風(fēng)險

　　來自互聯(lián)網(wǎng)和移動磁介質(zhì)上病毒的攻擊。隨著我區(qū)農(nóng)村信用社電子化建設(shè)的發(fā)展，計算機技術(shù)在農(nóng)村信用社各項業(yè)務(wù)中的廣泛應(yīng)用，部分員工因病毒防范意識較為薄弱，加上計算機水平又是參差不齊，有的員工很難主動發(fā)現(xiàn)客戶端系統(tǒng)出現(xiàn)的漏洞從而實施補丁升級，U盤濫用且從不進行病毒掃描，這樣就容易造成內(nèi)部信息泄漏或網(wǎng)絡(luò)阻塞，中斷重要業(yè)務(wù)的正常運行。

　　二、操作流程風(fēng)險

　　隨著業(yè)務(wù)的更新和科技步伐的加快，員工的計算機操作業(yè)務(wù)能力與嚴格執(zhí)行規(guī)范程序不適應(yīng),綜合柜員制未能全面落實,不能夠完全掌握農(nóng)信社的各項業(yè)務(wù)操作流程及處置程序,必然會造成操作失誤而導(dǎo)致風(fēng)險。操作風(fēng)險大致分為以下幾方面:

　　1、操作行為不規(guī)范,安全防范意識差。目前，我區(qū)農(nóng)村信用社計算機操作員一般只通過了短期輔導(dǎo)培訓(xùn)，未能全面掌握計算機理論知識及運用技術(shù)，主要表現(xiàn)在：

　　一是一些操作人員對計算機知識的缺乏，經(jīng)常出現(xiàn)操作性錯誤；

　　二是操作人員基本安全意識不強，缺乏安全防范意識；

　　三是人員調(diào)離或崗位變動時不及時注銷操作員，導(dǎo)致操作員不便于管理；

　　四是人離機不退，個別人隨意離開工作崗位，也不簽退，給他人可乘之機，造成了嚴重的信息安全隱患。

　　2、不嚴格執(zhí)行操作流程，造成安全隱患。由于部分員工跟不上當(dāng)前農(nóng)村信用社電子化建設(shè)步伐，對推出的硬件設(shè)備以及電子化產(chǎn)品及功能不熟悉或風(fēng)險意識不強等原因造成了在操作過程中出現(xiàn)系列風(fēng)險。

　　一是操作人員不嚴格執(zhí)行硬件設(shè)備的操作流程，造成設(shè)備損壞，致使重要業(yè)務(wù)中斷的.風(fēng)險；

　　二是沒有定期對機器除塵、保養(yǎng)，使微機在較惡劣環(huán)境下帶“病”工作，計算機運行報錯或元器件損壞時有發(fā)生，影響了信用社窗口的服務(wù)效率和形象；

　　三是不嚴格按照業(yè)務(wù)操作流程操作業(yè)務(wù)系統(tǒng)程序，給他人或科技結(jié)算中心造成不必要的負擔(dān)。

　　為此我們將嚴格按照省市聯(lián)社關(guān)于計算機管理的一系列相關(guān)要求，對日常計算機信息管理中存在的問題經(jīng)行重點監(jiān)督和整改：

　　1、嚴格業(yè)務(wù)系統(tǒng)、辦公系統(tǒng)與因特網(wǎng)等公眾系統(tǒng)的隔離，無法隔離的要隨時升級殺毒程序，同時嚴格移動磁介質(zhì)的使用范圍、殺毒流程。加強員工計算機知識培訓(xùn)，提高員工的電腦操作技能，制定防毒策略，養(yǎng)成良好的上網(wǎng)習(xí)慣，嚴防病毒侵害。

　　2、加強對一線人員的操作流程、各項基本規(guī)定的培訓(xùn)，加強對信息專管員的培訓(xùn)，提高其處理計算機及網(wǎng)絡(luò)故障、防范計算機及網(wǎng)絡(luò)風(fēng)險的能力；對業(yè)務(wù)操作人員要重點抓好計算機知識的普及培訓(xùn)工作，建立各種形式的崗位培訓(xùn)和定期輪訓(xùn)制度，提高職工的政治素質(zhì)、業(yè)務(wù)技能、敬業(yè)精神、計算機業(yè)務(wù)操作水平和安全防范綜合能力。一線人員的操作和授權(quán)不能流于形式，堅決杜絕各種混崗現(xiàn)象，嚴格遵循管理制度。

　　3、嚴格操作規(guī)范及操作權(quán)限管理

　　隨著農(nóng)村信用社的發(fā)展，信貸系統(tǒng)，財務(wù)系統(tǒng)，OA系統(tǒng)的成功上線并投入使用，操作人員必須學(xué)習(xí)和掌握農(nóng)村信用社的操作流程和各項規(guī)章制度,加強制度執(zhí)行力的管理。操作員密碼必須定期不定期修改，并嚴格按規(guī)定設(shè)置操作員及操作員密碼，還需定期修改密碼，多用字母或符號，嚴禁使用6位相同數(shù)字或電話號碼或生日號碼等，嚴禁口頭或電話告知操作密碼。

　　4、加強內(nèi)控建設(shè)，強化監(jiān)督，完善防范機制。首先，建立柜員崗位制約為主，做到責(zé)任到崗、落實到人、相互制約、互相監(jiān)督。其次，全面落實以主任、內(nèi)勤主任為主的監(jiān)管體系，確保做到實時監(jiān)管，及時發(fā)現(xiàn)問題，及時進行整改，消除風(fēng)險隱患。再則，加強會計事后監(jiān)督和電視監(jiān)控系統(tǒng)管理，加大查處力度，重點是督促基層社各項計算機制度執(zhí)行與落實，提升基層執(zhí)行力，以此推進和完善防范制度，切實做到防患于未然。

　　5、日常維護方面，由基社信息專管員負責(zé)每周一次對機房衛(wèi)生清理和設(shè)備故障排查，發(fā)現(xiàn)問題及時上報科技信息部處理；每月在各基社網(wǎng)點信息專管員的配合下，對網(wǎng)絡(luò)設(shè)備的運行和管理進行維護和檢查至少一次，全轄的ATM和POS機由科技信息部統(tǒng)一管理，落實基社網(wǎng)點專人負責(zé)，加大專管人員的培訓(xùn)，使日常操作、維護工作和安全防范措施得以落實。

信息科技風(fēng)險自查報告11

　　一、網(wǎng)絡(luò)運行風(fēng)險

　　來自互聯(lián)網(wǎng)和移動磁介質(zhì)上病毒的攻擊.隨著我區(qū)農(nóng)村信用社電子化建設(shè)的發(fā)展，計算機技術(shù)在農(nóng)村信用社各項業(yè)務(wù)中的廣泛應(yīng)用，部分員工因病毒防范意識較為薄弱，加上計算機水平又是參差不齊，有的員工很難主動發(fā)現(xiàn)客戶端系統(tǒng)出現(xiàn)的漏洞從而實施補丁升級，U盤濫用且從不進行病毒掃描，這樣就容易造成內(nèi)部信息泄漏或網(wǎng)絡(luò)阻塞，中斷重要業(yè)務(wù)的正常運行.

　　二、操作流程風(fēng)險

　　隨著業(yè)務(wù)的更新和科技步伐的加快，員工的計算機操作業(yè)務(wù)能力與嚴格執(zhí)行規(guī)范程序不適應(yīng)，綜合柜員制未能全面落實，不能夠完全掌握農(nóng)信社的各項業(yè)務(wù)操作流程及處置程序，必然會造成操作失誤而導(dǎo)致風(fēng)險.操作風(fēng)險大致分為以下幾方面：

　　1、操作行為不規(guī)范，安全防范意識差.目前，我區(qū)農(nóng)村信用社計算機操作員一般只通過了短期輔導(dǎo)培訓(xùn)，未能全面掌握計算機理論知識及運用技術(shù)，主要表現(xiàn)在：

　　一是一些操作人員對計算機知識的缺乏，經(jīng)常出現(xiàn)操作性錯誤；

　　二是操作人員基本安全意識不強，缺乏安全防范意識；

　　三是人員調(diào)離或崗位變動時不及時注銷操作員，導(dǎo)致操作員不便于管理；

　　四是人離機不退，個別人隨意離開工作崗位，也不簽退，給他人可乘之機，造成了嚴重的信息安全隱患.

　　2、不嚴格執(zhí)行操作流程，造成安全隱患.由于部分員工跟不上當(dāng)前農(nóng)村信用社電子化建設(shè)步伐，對推出的硬件設(shè)備以及電子化產(chǎn)品及功能不熟悉或風(fēng)險意識不強等原因造成了在操作過程中出現(xiàn)系列風(fēng)險.

　　一是操作人員不嚴格執(zhí)行硬件設(shè)備的操作流程，造成設(shè)備損壞，致使重要業(yè)務(wù)中斷的風(fēng)險；

　　二是沒有定期對機器除塵、保養(yǎng)，使微機在較惡劣環(huán)境下帶“病”工作，計算機運行報錯或元器件損壞時有發(fā)生，影響了信用社窗口的服務(wù)效率和形象；

　　三是不嚴格按照業(yè)務(wù)操作流程操作業(yè)務(wù)系統(tǒng)程序，給他人或科技結(jié)算中心造成不必要的負擔(dān).

　　為此我們將嚴格按照省市聯(lián)社關(guān)于計算機管理的一系列相關(guān)要求，對日常計算機信息管理中存在的問題經(jīng)行重點監(jiān)督和整改：

　　1、嚴格業(yè)務(wù)系統(tǒng)、辦公系統(tǒng)與因特網(wǎng)等公眾系統(tǒng)的隔離，無法隔離的要隨時升級殺毒程序，同時嚴格移動磁介質(zhì)的使用范圍、殺毒流程.加強員工計算機知識培訓(xùn)，提高員工的電腦操作技能，制定防毒策略，養(yǎng)成良好的上網(wǎng)習(xí)慣，嚴防病毒侵害.

　　2、加強對一線人員的操作流程、各項基本規(guī)定的培訓(xùn)，加強對信息專管員的培訓(xùn)，提高其處理計算機及網(wǎng)絡(luò)故障、防范計算機及網(wǎng)絡(luò)風(fēng)險的能力；對業(yè)務(wù)操作人員要重點抓好計算機知識的普及培訓(xùn)工作，建立各種形式的崗位培訓(xùn)和定期輪訓(xùn)制度，提高職工的政治素質(zhì)、業(yè)務(wù)技能、敬業(yè)精神、計算機業(yè)務(wù)操作水平和安全防范綜合能力.一線人員的.操作和授權(quán)不能流于形式，堅決杜絕各種混崗現(xiàn)象，嚴格遵循管理制度.

　　3、嚴格操作規(guī)范及操作權(quán)限管理

　　隨著農(nóng)村信用社的發(fā)展，信貸系統(tǒng)，財務(wù)系統(tǒng)，OA系統(tǒng)的成功上線并投入使用，操作人員必須學(xué)習(xí)和掌握農(nóng)村信用社的操作流程和各項規(guī)章制度，加強制度執(zhí)行力的管理.操作員密碼必須定期不定期修改，并嚴格按規(guī)定設(shè)置操作員及操作員密碼，還需定期修改密碼，多用字母或符號，嚴禁使用6位相同數(shù)字或電話號碼或生日號碼等，嚴禁口頭或電話告知操作密碼.

　　4、加強內(nèi)控建設(shè)，強化監(jiān)督，完善防范機制.首先，建立柜員崗位制約為主，做到責(zé)任到崗、落實到人、相互制約、互相監(jiān)督.其次，全面落實以主任、內(nèi)勤主任為主的監(jiān)管體系，確保做到實時監(jiān)管，及時發(fā)現(xiàn)問題，及時進行整改，消除風(fēng)險隱患.再則，加強會計事后監(jiān)督和電視監(jiān)控系統(tǒng)管理，加大查處力度，重點是督促基層社各項計算機制度執(zhí)行與落實，提升基層執(zhí)行力，以此推進和完善防范制度，切實做到防患于未然.

　　5、日常維護方面，由基社信息專管員負責(zé)每周一次對機房衛(wèi)生清理和設(shè)備故障排查，發(fā)現(xiàn)問題及時上報科技信息部處理；每月在各基社網(wǎng)點信息專管員的配合下，對網(wǎng)絡(luò)設(shè)備的運行和管理進行維護和檢查至少一次，全轄的ATM和POS機由科技信息部統(tǒng)一管理，落實基社網(wǎng)點專人負責(zé)，加大專管人員的培訓(xùn)，使日常操作、維護工作和安全防范措施得以落實.

【信息科技風(fēng)險自查報告】相關(guān)文章：

信息科技風(fēng)險自查報告02-14

銀行信息科技風(fēng)險自查報告10-20

信息科技安全自查報告范文（精選10篇）05-22

風(fēng)險自查報告01-19

企業(yè)風(fēng)險自查報告04-15

檔案風(fēng)險自查報告01-07

風(fēng)險排查的自查報告01-07

風(fēng)險管理自查報告03-16

風(fēng)險點自查報告04-11