第八章 計算機信息系統的內部控制
第一百一十七條 商業銀行計算機信息系統內部控制的重點是:嚴格劃分計算機信息系統開發部門、管理部門與應用部門的職責,建立和健全計算機信息系統風險防范的制度,確保計算機信息系統設備、數據、系統運行和系統環境的安全?!?/p>
第一百一十八條 商業銀行應當明確計算機信息系統開發人員、管理人員與操作人員的崗位職責,做到崗位之間的相互制約,各崗位之間不得相互兼任。
各級機構應當配備計算機安全管理人員,明確計算機安全管理人員的職責?!?/p>
第一百一十九條 商業銀行應當對計算機信息系統的項目立項、開發、驗收、運行和維護整個過程實施有效管理,開發環境應當與生產環境嚴格分離。
技術部門與業務部門之間應當進行溝通協調,確保系統的整體安全?!?/p>
第一百二十條 商業銀行購買計算機軟、硬件設備,應當對供應商的資格條件進行嚴格審查,在使用前進行試用性安全測試,明確產品供應商對產品在使用期間應當承擔的責任,確保產品的正常使用和有效維護?!?/p>
第一百二十一條 商業銀行計算機機房建設應當符合國家的有關標準,出入計算機機房應當有嚴格的審批程序和出入記錄,確保計算機硬件、各種存儲介質的物理安全。
計算機機房和營業網點應當有完備的計算機監控系統,確保計算機終端的正常使用?!?/p>
第一百二十二條 商業銀行應當建立和健全網絡管理系統,有效地管理網絡的安全、故障、性能、配置等,并對接入國際互聯網實施有效的安全管理?!?/p>
第一百二十三條 商業銀行應當對計算機信息系統實施有效的用戶管理和密碼(口令)管理,對用戶的創建、變更、刪除、用戶口令的長度、時效等均應當有嚴格的控制?!?/p>
員工之間嚴禁轉讓計算機信息系統的用戶名或權限卡,員工離崗后應當及時更換密碼和密碼信息?!?/p>
第一百二十四條 商業銀行應當對計算機信息系統的接入建立適當的授權程序,并對接入后的操作進行安全控制。
輸入計算機信息系統的數據應當核對無誤,數據的修改應當經過批準并建立日志?!?/p>
第一百二十五條 商業銀行應當及時更新系統安全設置、病毒代碼庫、攻擊特征碼、軟件補丁程序等,通過認證、加密、內容過濾、入侵監測等技術手段,不斷完善安全控制措施,確保計算機信息系統的安全?!?/p>
第一百二十六條 商業銀行的網絡設備、操作系統、數據庫系統、應用程序等均應當設置必要的日志?!?/p>
日志應當能夠滿足各類內部和外部審計的需要?!?/p>
第一百二十七條 商業銀行應當嚴格管理各類數據信息,數據的操作、數據備份介質的存放、轉移和銷毀等均應當有嚴格的管理制度?!?/p>
第一百二十八條 商業銀行運用計算機處理業務,應當具有可復核性和可追溯性,并為有關的審計或檢查留有接口。
第一百二十九條 商業銀行的電子銀行服務應當具備客戶身份識別、安全認證等功能,防止發生泄密事件,確保交易安全?!?/p>
第一百三十條 商業銀行應當盡可能利用計算機信息系統的系統設定,防范各種操作風險和違法犯罪行為?!?/p>
第一百三十一條 商業銀行應當建立計算機安全應急系統,制定詳細的應急方案,并定期進行修訂和演練?!?/p>
數據備份應當做到異地存放,應當建立異地計算機災難備份中心。
|