银监会：电子银行安全评估指引

发布时间：2006年07月27日点击数： 作者：银监会 来源：银监会

【字体：小 大】 【收藏】 【打印文章】 【查看评论( 0 )】

摘要:

第三章  安全评估的实施

 

第二十三条 评估机构在开始电子银行安全评估之前，应就评估的范围、重点、时间与要求等问题，与被评估机构进行充分的沟通，制定评估计划，由双方签字认可。

第二十四条 依据评估计划，评估机构进场对委托机构的电子银行安全进行评估。电子银行安全评估应真实、全面地评价电子银行系统的安全性。

第二十五条 电子银行安全评估至少应包括以下内容：

（一）安全策略；

（二）内控制度建设；

（三）风险管理状况；

（四）系统安全性；

（五）电子银行业务运行连续性计划；

（六）电子银行业务运行应急计划；

（七）电子银行风险预警体系；

（八）其他重要安全环节和机制。

第二十六条 电子银行安全策略的评估，至少应包括以下内容：

（一）安全策略制定的流程与合理性；

（二）系统设计与开发的安全策略；

（三）系统测试与验收的安全策略；

（四）系统运行与维护的安全策略；

（五）系统备份与应急相关策略。

评估机构对金融机构安全策略的评估，不仅要评估安全战略、规章制度和程序是否存在，还要评估这些制度是否能得到贯彻执行，是否能做到及时更新，是否能全面覆盖电子银行业务系统。

第二十七条 电子银行内控制度的评估，应至少包括以下内容：

（一）高级管理层对电子银行安全的认知能力与水平；

（二）安全监控机制的建设与运行；

（三）内部审计制度的建设与运行。

第二十八条 电子银行风险管理状况的评估，应至少包括以下内容：

（一）电子银行管理机构设置的合理性与其他部门的协调性；

（二）电子银行管理部门主要负责人对电子银行的熟知程度；

（三）管理人员配备与培训情况；

（四）电子银行风险管理的规章制度与操作规定、程序等；

（五）电子银行业务风险管理状况；

（六）业务外包管理制度建设与管理状况。

第二十九条 电子银行系统安全性的评估，应至少包括以下内容：

（一）物理安全；

（二）数据通讯安全；

（三）应用系统安全；

（四）密钥管理；

（五）客户信息认证与保密；

（六）入侵监测机制和报告反应机制。

评估机构应突出对数据通讯安全和应用系统安全的评估，客观评价金融机构是否采用了合适的加密技术、合理设计和配置了服务器和防火墙，银行内部运作系统和数据库是否安全等，以及金融机构是否制定了控制和管理修改电子银行系统的制度和控制程序，并能保证各种修改得到及时测试和审核。

第三十条 电子银行业务运行连续性计划，应至少包括以下内容：

（一）电子银行保障业务连续运营的设备和系统能力；

（二）保证业务连续运营的制度安排和执行情况；

第三十一条 电子银行业务运行应急计划，应至少包括以下内容：

（一）电子银行应急制度建设和执行情况；

（二）电子银行应急系统建设；

（三）定期、持续性的检测和演练情况；

（四）应对意外事故或非法攻击的能力。

第三十二条 评估机构进行安全评估的方式，包括审核有关资料、与相关人员谈话等，但在电子银行安全性评估时，必须采取至少一种方法对系统进行测试。

第三十三条 评估机构在进行安全评估时，应根据委托机构的实际情况，确定不同评估内容对电子银行总体风险影响程度的权重，对每项评估内容进行评分，综合计算出所评估机构电子银行的风险等级。

第三十四条 评估完成后，评估机构应及时撰写评估报告，并于评估完成后一个月内向委托机构提交由其法定代表人签字认可的评估报告。

第三十五条 评估报告应至少包括以下内容：

（一）评估的时间、范围及其他协议中重要的约定；

（二）评估的总体框架、程序、主要方法及主要评估人员介绍；

（三）不同评估内容风险权重的确定标准，风险等级的计算方法，以及风险等级的定义；

（四）评估内容与评估活动描述；

（五）评估结论；

（六）其他需要说明的问题；

（七）主要术语定义和所采用的国际或国内标准介绍（可作为附件）；

（八）评估工作流程记录表（可作为附件）；

（九）参加评估人员名单（可作为附件）。

在评估结论中，评估机构应采用量化的办法，表明被评估机构电子银行的风险等级，并说明被评估机构电子银行安全管理中存在的主要问题与隐患，并说明整改建议。

第三十六条 评估报告完成并提交委托机构后，如需修改，应将修改的原因、依据和修改意见作为附件附在原报告之后，不得直接修改原报告。

 

第四章 安全评估活动的管理

 

第三十七条 金融机构在申请开办电子银行业务时，应当按照有关规定对完成测试的电子银行进行安全评估。

第三十八条 金融机构获准开办电子银行业务后，应当至少每年对电子银行进行一次安全评估。

有下列情形之一的，应立即组织安全评估：

（一）由于安全漏洞导致系统被攻击瘫痪，修复完善的；

（二）电子银行系统进行重大的更新和升级的；

（三）电子银行的基础设施出现重大改变的；

（四）基于电子银行安全管理需要应即时评估的。

第三十九条 评估机构的选择应由金融机构的高级管理层最终确定。 评估机构确定后，金融机构必须与评估机构签定评估协议，明确界定评估的任务、双方的权利和义务。

评估协议应由金融机构的高级管理层签署。

第四十条 金融机构原则上只能确定一个评估机构进行评估，若有多个评估机构参与评估，金融机构必须确定一个主要的评估机构协调总体评估工作，负责总体评估报告的制作。

金融机构将电子银行的不同系统委托给不同的评估机构进行安全评估，应当明确每个评估机构的安全评估范围，保证不同的评估范围之间没有遗漏。

第四十一条 金融机构应在签署评估协议后2周内，将评估机构简介、拟采用的评估方案和评估步骤等，报送中国银监会。

第四十二条 中国银监会根据监管工作的需要，可派员参加金融机构电子银行安全评估工作，但不作为正式评估人员，不提供评估意见。

第四十三条 评估机构应本着客观、公正、真实和自主的原则，开展评估活动，并严格保守在评估过程中获悉的商业机密。

第四十四条 在评估过程中，委托机构和评估机构之间应建立信息保密工作机制。

（一）评估过程中，调阅相关资料、复制相关文件或数据等，都应建立登记、签字制度；

（二）调阅的文件资料应在指定的场所阅读，不能复印，不得带出指定场所；

（三）复制的文件或数据不应带出工作场地，如确需带出的，必须详细登记带出数据的原因、时间、责任人等；

（四）评估过程中废弃的文件、材料和不再使用的数据，应立即予以销毁或删除；

（五）评估工作结束后，双方应就有关机密数据、资料等的交接情况签署说明。

第四十五条 金融机构在收到评估机构的评估报告一个月内，应将评估报告抄报中国银监会。

金融机构报送评估报告时，可对评估报告中的有关问题作必要的说明。

第四十六条 未经监管部门批准，电子银行安全评估报告不得作为广告宣传资料使用，也不得提供给除监管部门以外的第三方机构。

第四十七条 对未按有关要求进行的安全评估，或者评估程序、方法和评估报告存在重要缺陷的安全评估，中国银监会可以要求金融机构进行重新评估。

第四十八条 中国银监会根据监管工作的需要，可以自己组织或委托评估机构对电子银行系统进行安全评估，金融机构对于中国银监会组织的安全评估应予以配合。

第四十九条 中国银监会根据监管工作的需要，可直接向评估机构了解其评估的方法、范围和程序等。

第五十条 对于评估报告中所反映出的问题，金融机构应采取有效的措施加以纠正。

 

第五章 附则

 

第五十一条 本指引由中国银监会负责解释。

第五十二条 本指引自发布之日起施行。