某銀行信息科技風(fēng)險(xiǎn)識(shí)別與評(píng)估管理辦法

1、某銀行信息科技風(fēng)險(xiǎn)識(shí)別與評(píng)估管理辦法第一章總則第一條為規(guī)范信息科技風(fēng)險(xiǎn)評(píng)估工作，提高某銀行信息科技風(fēng)險(xiǎn)管理水平，促進(jìn)我行業(yè)務(wù)安全、持續(xù)、穩(wěn)健發(fā)展，根據(jù)國(guó)家信息安全法律、法規(guī)及銀行業(yè)信息科技監(jiān)管要求及《某銀行信息科技風(fēng)險(xiǎn)管理策略》況，特制定本辦法。，結(jié)合我行風(fēng)險(xiǎn)管理實(shí)際情第二條本辦法屬于信息科技風(fēng)險(xiǎn)類“管理辦法”，適用于某銀行信息科技工作全過(guò)程的風(fēng)險(xiǎn)評(píng)估。風(fēng)險(xiǎn)評(píng)估對(duì)象包括信息科技組織、管理過(guò)程和信息資產(chǎn)。第三條信息科技風(fēng)險(xiǎn)，是指信息科技在

2、合規(guī)管理、支持業(yè)務(wù)創(chuàng)新和業(yè)務(wù)運(yùn)營(yíng)過(guò)程中，由于管理流程及資源缺失或不足、人為因素和技術(shù)漏洞產(chǎn)生的操作、法律、聲譽(yù)等風(fēng)險(xiǎn)。第四條信息科技風(fēng)險(xiǎn)評(píng)估是指在信息科技風(fēng)險(xiǎn)事件發(fā)生之前或之后（但還沒(méi)有結(jié)束），該事件給信息系統(tǒng)的研發(fā)、生產(chǎn)等各個(gè)方面造成的影響和損失的可能性進(jìn)行量化評(píng)估的工作。第五條本辦法所指的信息科技風(fēng)險(xiǎn)類型及來(lái)源包括但不限于以下內(nèi)容：(一)信息科技總體風(fēng)險(xiǎn)是指信息科技在策略、制度、物理環(huán)境、軟件、硬件、網(wǎng)絡(luò)、數(shù)據(jù)、文檔等方面影響全局或

3、共有的風(fēng)險(xiǎn)。(二)信息系統(tǒng)風(fēng)險(xiǎn)是指信息系統(tǒng)在規(guī)劃、研發(fā)、建設(shè)、運(yùn)行、維護(hù)、監(jiān)控及下線過(guò)程中由于技術(shù)和管理缺陷產(chǎn)生的風(fēng)險(xiǎn)。(三)研發(fā)風(fēng)險(xiǎn)是指信息系統(tǒng)在研發(fā)過(guò)程中組織、編程、測(cè)試和投產(chǎn)等環(huán)節(jié)產(chǎn)生的風(fēng)險(xiǎn)。規(guī)劃、需求、分析、設(shè)計(jì)、(四)運(yùn)行維護(hù)風(fēng)險(xiǎn)是指信息系統(tǒng)在運(yùn)行與維護(hù)過(guò)程中訪問(wèn)管理、操作管理、實(shí)反映信息科技工作現(xiàn)狀。評(píng)估人員由評(píng)估對(duì)象人員擔(dān)任；所涉及的相關(guān)技術(shù)或業(yè)務(wù)骨干（三）評(píng)估分析人員負(fù)責(zé)匯總、整理和分析采集到的信息與證據(jù)材料，編寫風(fēng)險(xiǎn)評(píng)

4、估報(bào)告。評(píng)估分析人員由行內(nèi)經(jīng)驗(yàn)豐富的專業(yè)人員擔(dān)任，業(yè)內(nèi)專業(yè)人員。必要時(shí)可聘請(qǐng)第十條在同一風(fēng)險(xiǎn)評(píng)估任務(wù)中，評(píng)估實(shí)施團(tuán)隊(duì)成員不少于三人，評(píng)估管理人員和評(píng)估分析人員不得兼任評(píng)估人員。第三章風(fēng)險(xiǎn)評(píng)估計(jì)劃第十一條總行和一級(jí)分行每年度應(yīng)開(kāi)展一次整體信息科技風(fēng)險(xiǎn)評(píng)估，兩次以上專項(xiàng)信息科技風(fēng)險(xiǎn)評(píng)估。第十二條信息科技風(fēng)險(xiǎn)評(píng)估要以信息科技風(fēng)險(xiǎn)監(jiān)測(cè)信息、數(shù)據(jù)以及其他有關(guān)信息為基礎(chǔ)，遵循科學(xué)、透明和個(gè)案處理的原則進(jìn)行。第十三條出現(xiàn)以下情況時(shí)，應(yīng)結(jié)合本單位以往風(fēng)