信息科技風險自查報告

　　隨著個人素質的提升，報告的使用成為日常生活的常態(tài)，報告具有雙向溝通性的特點。寫起報告來就毫無頭緒？下面是小編整理的信息科技風險自查報告，歡迎大家借鑒與參考，希望對大家有所幫助。

信息科技風險自查報告1

　　一、網絡運行風險

　　1、來自互聯(lián)網和移動磁介質上病毒的攻擊。隨著我區(qū)農村信用社電子化建設的發(fā)展，計算機技術在農村信用社各項業(yè)務中的廣泛應用，部分員工因病毒防范意識較為薄弱，加上計算機水平又是參差不齊，有的員工很難主動發(fā)現(xiàn)客戶端系統(tǒng)出現(xiàn)的漏洞從而實施補丁升級，U盤濫用且從不進行病毒掃描，這樣就容易造成內部信息泄漏或網絡阻塞，中斷重要業(yè)務的正常運行。

　　二、操作流程風險

　　隨著業(yè)務的更新和科技步伐的加快，員工的計算機操作業(yè)務能力與嚴格執(zhí)行規(guī)范程序不適應,綜合柜員制未能全面落實,不能夠完全掌握農信社的各項業(yè)務操作流程及處置程序,必然會造成操作失誤而導致風險。操作風險大致分為以下幾方面:

　　1、操作行為不規(guī)范,安全防范意識差。目前，我區(qū)農村信用社計算機操作員一般只通過了短期輔導培訓，未能全面掌握計算機理論知識及運用技術，主要表現(xiàn)在：一是一些操作人員對計算機知識的缺乏，

　　經常出現(xiàn)操作性錯誤；二是操作人員基本安全意識不強，缺乏安全防范意識；三是人員調離或崗位變動時不及時注銷操作員，導致操作員不便于管理；四是人離機不退，個別人隨意離開工作崗位，也不簽退，給他人可乘之機，造成了嚴重的信息安全隱患。

　　2、不嚴格執(zhí)行操作流程，造成安全隱患。由于部分員工跟不上當前農村信用社電子化建設步伐，對推出的硬件設備以及電子化產品及功能不熟悉或風險意識不強等原因造成了在操作過程中出現(xiàn)系列風險。一是操作人員不嚴格執(zhí)行硬件設備的操作流程，造成設備損壞，致使重要業(yè)務中斷的風險；二是沒有定期對機器除塵、保養(yǎng)，使微機在較惡劣環(huán)境下帶“病”工作，計算機運行報錯或元器件損壞時有發(fā)生，影響了信用社窗口的服務效率和形象；三是不嚴格按照業(yè)務操作流程操作業(yè)務系統(tǒng)程序，給他人或科技結算中心造成不必要的負擔。

　　為此我們將嚴格按照省市聯(lián)社關于計算機管理的一系列相關要求，對日常計算機信息管理中存在的問題經行重點監(jiān)督和整改：

　　1、嚴格業(yè)務系統(tǒng)、辦公系統(tǒng)與因特網等公眾系統(tǒng)的隔離，無法隔離的要隨時升級殺毒程序，同時嚴格移動磁介質的`使用范圍、殺毒流程。加強員工計算機知識培訓，提高員工的電腦操作技能，制定防

　　毒策略，養(yǎng)成良好的上網習慣，嚴防病毒侵害。

　　2、加強對一線人員的操作流程、各項基本規(guī)定的培訓，加強對信息專管員的培訓，提高其處理計算機及網絡故障、防范計算機及網絡風險的能力；對業(yè)務操作人員要重點抓好計算機知識的普及培訓工作，建立各種形式的崗位培訓和定期輪訓制度，提高職工的政治素質、業(yè)務技能、敬業(yè)精神、計算機業(yè)務操作水平和安全防范綜合能力。一線人員的操作和授權不能流于形式，堅決杜絕各種混崗現(xiàn)象，嚴格遵循管理制度。

　　3、嚴格操作規(guī)范及操作權限管理

　　隨著農村信用社的發(fā)展，信貸系統(tǒng)，財務系統(tǒng)，OA系統(tǒng)的成功上線并投入使用，操作人員必須學習和掌握農村信用社的操作流程和各項規(guī)章制度,加強制度執(zhí)行力的管理。操作員密碼必須定期不定期修改，并嚴格按規(guī)定設置操作員及操作員密碼，還需定期修改密碼，多用字母或符號，嚴禁使用6位相同數(shù)字或電話號碼或生日號碼等，嚴禁口頭或電話告知操作密碼。

　　4、加強內控建設，強化監(jiān)督，完善防范機制。首先，建立柜員崗位制約為主，做到責任到崗、落實到人、相互制約、互相監(jiān)督。其次，

　　全面落實以主任、內勤主任為主的監(jiān)管體系，確保做到實時監(jiān)管，及時發(fā)現(xiàn)問題，及時進行整改，消除風險隱患。再則，加強會計事后監(jiān)督和電視監(jiān)控系統(tǒng)管理，加大查處力度，重點是督促基層社各項計算機制度執(zhí)行與落實，提升基層執(zhí)行力，以此推進和完善防范制度，切實做到防患于未然。

　　5、日常維護方面，由基社信息專管員負責每周一次對機房衛(wèi)生清理和設備故障排查，發(fā)現(xiàn)問題及時上報科技信息部處理；每月在各基社網點信息專管員的配合下，對網絡設備的運行和管理進行維護和檢查至少一次，全轄的ATM和POS機由科技信息部統(tǒng)一管理，落實基社網點專人負責，加大專管人員的培訓，使日常操作、維護工作和安全防范措施得以落實。

信息科技風險自查報告2

　　一、網絡運行風險

　　來自互聯(lián)網和移動磁介質上病毒的攻擊.隨著我區(qū)農村信用社電子化建設的發(fā)展，計算機技術在農村信用社各項業(yè)務中的廣泛應用，部分員工因病毒防范意識較為薄弱，加上計算機水平又是參差不齊，有的員工很難主動發(fā)現(xiàn)客戶端系統(tǒng)出現(xiàn)的漏洞從而實施補丁升級，U盤濫用且從不進行病毒掃描，這樣就容易造成內部信息泄漏或網絡阻塞，中斷重要業(yè)務的正常運行.

　　二、操作流程風險

　　隨著業(yè)務的更新和科技步伐的加快，員工的計算機操作業(yè)務能力與嚴格執(zhí)行規(guī)范程序不適應，綜合柜員制未能全面落實，不能夠完全掌握農信社的各項業(yè)務操作流程及處置程序，必然會造成操作失誤而導致風險.操作風險大致分為以下幾方面：

　　1、操作行為不規(guī)范，安全防范意識差.目前，我區(qū)農村信用社計算機操作員一般只通過了短期輔導培訓，未能全面掌握計算機理論知識及運用技術，主要表現(xiàn)在：

　　一是一些操作人員對計算機知識的缺乏，經常出現(xiàn)操作性錯誤；

　　二是操作人員基本安全意識不強，缺乏安全防范意識；

　　三是人員調離或崗位變動時不及時注銷操作員，導致操作員不便于管理；

　　四是人離機不退，個別人隨意離開工作崗位，也不簽退，給他人可乘之機，造成了嚴重的信息安全隱患.

　　2、不嚴格執(zhí)行操作流程，造成安全隱患.由于部分員工跟不上當前農村信用社電子化建設步伐，對推出的硬件設備以及電子化產品及功能不熟悉或風險意識不強等原因造成了在操作過程中出現(xiàn)系列風險.

　　一是操作人員不嚴格執(zhí)行硬件設備的操作流程，造成設備損壞，致使重要業(yè)務中斷的風險；

　　二是沒有定期對機器除塵、保養(yǎng)，使微機在較惡劣環(huán)境下帶“病”工作，計算機運行報錯或元器件損壞時有發(fā)生，影響了信用社窗口的服務效率和形象；

　　三是不嚴格按照業(yè)務操作流程操作業(yè)務系統(tǒng)程序，給他人或科技結算中心造成不必要的.負擔.

　　為此我們將嚴格按照省市聯(lián)社關于計算機管理的一系列相關要求，對日常計算機信息管理中存在的問題經行重點監(jiān)督和整改：

　　1、嚴格業(yè)務系統(tǒng)、辦公系統(tǒng)與因特網等公眾系統(tǒng)的隔離，無法隔離的要隨時升級殺毒程序，同時嚴格移動磁介質的使用范圍、殺毒流程.加強員工計算機知識培訓，提高員工的電腦操作技能，制定防毒策略，養(yǎng)成良好的上網習慣，嚴防病毒侵害.

　　2、加強對一線人員的操作流程、各項基本規(guī)定的培訓，加強對信息專管員的培訓，提高其處理計算機及網絡故障、防范計算機及網絡風險的能力；對業(yè)務操作人員要重點抓好計算機知識的普及培訓工作，建立各種形式的崗位培訓和定期輪訓制度，提高職工的政治素質、業(yè)務技能、敬業(yè)精神、計算機業(yè)務操作水平和安全防范綜合能力.一線人員的操作和授權不能流于形式，堅決杜絕各種混崗現(xiàn)象，嚴格遵循管理制度.

　　3、嚴格操作規(guī)范及操作權限管理

　　隨著農村信用社的發(fā)展，信貸系統(tǒng)，財務系統(tǒng)，OA系統(tǒng)的成功上線并投入使用，操作人員必須學習和掌握農村信用社的操作流程和各項規(guī)章制度，加強制度執(zhí)行力的管理.操作員密碼必須定期不定期修改，并嚴格按規(guī)定設置操作員及操作員密碼，還需定期修改密碼，多用字母或符號，嚴禁使用6位相同數(shù)字或電話號碼或生日號碼等，嚴禁口頭或電話告知操作密碼.

　　4、加強內控建設，強化監(jiān)督，完善防范機制.首先，建立柜員崗位制約為主，做到責任到崗、落實到人、相互制約、互相監(jiān)督.其次，全面落實以主任、內勤主任為主的監(jiān)管體系，確保做到實時監(jiān)管，及時發(fā)現(xiàn)問題，及時進行整改，消除風險隱患.再則，加強會計事后監(jiān)督和電視監(jiān)控系統(tǒng)管理，加大查處力度，重點是督促基層社各項計算機制度執(zhí)行與落實，提升基層執(zhí)行力，以此推進和完善防范制度，切實做到防患于未然.

　　5、日常維護方面，由基社信息專管員負責每周一次對機房衛(wèi)生清理和設備故障排查，發(fā)現(xiàn)問題及時上報科技信息部處理；每月在各基社網點信息專管員的配合下，對網絡設備的運行和管理進行維護和檢查至少一次，全轄的ATM和POS機由科技信息部統(tǒng)一管理，落實基社網點專人負責，加大專管人員的培訓，使日常操作、維護工作和安全防范措施得以落實.

信息科技風險自查報告3

　　一、網絡運行風險

　　1、來自互聯(lián)網和移動磁介質上病毒的攻擊.隨著我區(qū)農村信用社電子化建設的發(fā)展，計算機技術在農村信用社各項業(yè)務中的廣泛應用，部分員工因病毒防范意識較為薄弱，加上計算機水平又是參差不齊，有的員工很難主動發(fā)現(xiàn)客戶端系統(tǒng)出現(xiàn)的漏洞從而實施補丁升級，U盤濫用且從不進行病毒掃描，這樣就容易造成內部信息泄漏或網絡阻塞，中斷重要業(yè)務的正常運行.

　　二、操作流程風險

　　隨著業(yè)務的更新和科技步伐的加快，員工的計算機操作業(yè)務能力與嚴格執(zhí)行規(guī)范程序不適應，綜合柜員制未能全面落實，不能夠完全掌握農信社的各項業(yè)務操作流程及處置程序，必然會造成操作失誤而導致風險.操作風險大致分為以下幾方面：

　　1、操作行為不規(guī)范，安全防范意識差.目前，我區(qū)農村信用社計算機操作員一般只通過了短期輔導培訓，未能全面掌握計算機理論知識及運用技術，主要表現(xiàn)在：一是一些操作人員對計算機知識的缺乏，

　　經常出現(xiàn)操作性錯誤；二是操作人員基本安全意識不強，缺乏安全防范意識；三是人員調離或崗位變動時不及時注銷操作員，導致操作員不便于管理；四是人離機不退，個別人隨意離開工作崗位，也不簽退，給他人可乘之機，造成了嚴重的信息安全隱患.

　　2、不嚴格執(zhí)行操作流程，造成安全隱患.由于部分員工跟不上當前農村信用社電子化建設步伐，對推出的硬件設備以及電子化產品及功能不熟悉或風險意識不強等原因造成了在操作過程中出現(xiàn)系列風險.一是操作人員不嚴格執(zhí)行硬件設備的操作流程，造成設備損壞，致使重要業(yè)務中斷的風險；二是沒有定期對機器除塵、保養(yǎng)，使微機在較惡劣環(huán)境下帶“病”工作，計算機運行報錯或元器件損壞時有發(fā)生，影響了信用社窗口的服務效率和形象；三是不嚴格按照業(yè)務操作流程操作業(yè)務系統(tǒng)程序，給他人或科技結算中心造成不必要的負擔.

　　為此我們將嚴格按照省市聯(lián)社關于計算機管理的一系列相關要求，對日常計算機信息管理中存在的問題經行重點監(jiān)督和整改：

　　1、嚴格業(yè)務系統(tǒng)、辦公系統(tǒng)與因特網等公眾系統(tǒng)的'隔離，無法隔離的要隨時升級殺毒程序，同時嚴格移動磁介質的使用范圍、殺毒流程.加強員工計算機知識培訓，提高員工的電腦操作技能，制定防

　　毒策略，養(yǎng)成良好的上網習慣，嚴防病毒侵害.

　　2、加強對一線人員的操作流程、各項基本規(guī)定的培訓，加強對信息專管員的培訓，提高其處理計算機及網絡故障、防范計算機及網絡風險的能力；對業(yè)務操作人員要重點抓好計算機知識的普及培訓工作，建立各種形式的崗位培訓和定期輪訓制度，提高職工的政治素質、業(yè)務技能、敬業(yè)精神、計算機業(yè)務操作水平和安全防范綜合能力.一線人員的操作和授權不能流于形式，堅決杜絕各種混崗現(xiàn)象，嚴格遵循管理制度.

　　3、嚴格操作規(guī)范及操作權限管理

　　隨著農村信用社的發(fā)展，信貸系統(tǒng)，財務系統(tǒng)，OA系統(tǒng)的成功上線并投入使用，操作人員必須學習和掌握農村信用社的操作流程和各項規(guī)章制度，加強制度執(zhí)行力的管理.操作員密碼必須定期不定期修改，并嚴格按規(guī)定設置操作員及操作員密碼，還需定期修改密碼，多用字母或符號，嚴禁使用6位相同數(shù)字或電話號碼或生日號碼等，嚴禁口頭或電話告知操作密碼.

　　4、加強內控建設，強化監(jiān)督，完善防范機制.首先，建立柜員崗位制約為主，做到責任到崗、落實到人、相互制約、互相監(jiān)督.其次，

　　全面落實以主任、內勤主任為主的監(jiān)管體系，確保做到實時監(jiān)管，及時發(fā)現(xiàn)問題，及時進行整改，消除風險隱患.再則，加強會計事后監(jiān)督和電視監(jiān)控系統(tǒng)管理，加大查處力度，重點是督促基層社各項計算機制度執(zhí)行與落實，提升基層執(zhí)行力，以此推進和完善防范制度，切實做到防患于未然.

　　5、日常維護方面，由基社信息專管員負責每周一次對機房衛(wèi)生清理和設備故障排查，發(fā)現(xiàn)問題及時上報科技信息部處理；每月在各基社網點信息專管員的配合下，對網絡設備的運行和管理進行維護和檢查至少一次，全轄的ATM和POS機由科技信息部統(tǒng)一管理，落實基社網點專人負責，加大專管人員的培訓，使日常操作、維護工作和安全防范措施得以落實.

信息科技風險自查報告4

　　按照上級領導的指示，我行認真貫徹《關于加強20xx年重要時期金融信息安全保障工作的通知》（銀發(fā)[20xx]57號文件）精神，為充分做好重要時期金融網絡和信息系統(tǒng)安全保障工作，防范我行信息科技風險，保障計算機系統(tǒng)運行和操作安全，建立和完善信息科技風險管理機制。對我行的信息科技工作進行了一次全面的自我評估及審查�，F(xiàn)將審查情況報告如下：

　　一、組織架構、制度建設及管理情況

　　1。信息科技治理組織架構

　�。�1）我行在董事會下設科技信息安全管理委員會，行長室下設信息科技管理委員會，信息安全管理委員會下設應急處理領導小組。

　　科技信息安全管理委員會全面負責領導和協(xié)調本行科技信息安全。

　　科技管理委員會負責統(tǒng)一規(guī)劃全行的信息化建設，指導和監(jiān)督科技部門的各項工作，審議全行計算機網絡的設計方案、軟件項目招標、設備招標和統(tǒng)一采購及日常管理中重大問題的研究和建議。

　　信息系統(tǒng)應急處理領導小組負責組織制定全轄應急處置的實施細則，統(tǒng)一組織、協(xié)調、指導、檢查全轄應急處置的管理；負責全轄信息系統(tǒng)突發(fā)事件的應急指揮、組織協(xié)調和過程控制

　�。�2）我行成立了科技管理部和科技開發(fā)部，做到科技運維和科技開發(fā)有效分離，加強了信息科技治理。

　　（3）科技風險審計工作由我行稽核審計部完成，信息科技風險管理由風險管理部門完成。

　�。�4）在支行層面則設立合規(guī)員，負責各支行科技信息相關風險監(jiān)控和報告

　　2。信息科技管理制度建設

　�。�1）安全管理

　　對安全管理活動中的各類管理內容建立安全管理制度，制定了由安全策略、管理制度、操作規(guī)程等構成的全面的信息安全管理總則《江蘇**農村商業(yè)銀行計算機信息系統(tǒng)安全管理制度》，安全管理制度經信息安全領導小組審定，審定周期為一年一次，并且及時發(fā)現(xiàn)缺漏或不足對制度進行修訂，并有修訂記錄

　�。�2）事件管理

　　制訂了安全事件報告和處置管理制度——《信息安全事件管理制度》明確安全事件類型，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復的管理職責，并根據(jù)國家相關管理部門對計算機安全事件等級劃分方法和安全事件對本系統(tǒng)產生的影響，對安全事件進行等級劃分，制定安全事件報告和響應處理程序，確定事件的報告流程，響應和處置方法等，并對發(fā)現(xiàn)的安全弱點和可疑事件有《異常情況上報規(guī)定》

　　（3）應急處理

　　建立較為完善的信息系統(tǒng)應急恢復策略《江蘇**農村商業(yè)銀行計算機信息系統(tǒng)應急處理方案》，對各業(yè)務信息系統(tǒng)進行分類，按照重要程度，確定保障級別，制定了各信息系統(tǒng)突發(fā)事件專項應急預案。制定數(shù)據(jù)中心、災備中心機房關鍵基礎設施專項應急預案。

　�。�4）安全操作規(guī)范及管理流程

　　我行有完整的信息安全管理流程，控制信息安全管理。包括介質管理、網絡管理、維護及故障處理制度、軟硬件變更流程、備份管理、ATM安全管理、機房管理、監(jiān)控管理、密鑰管理、巡檢制度等等科技管理部各項流程。

　�。�5）崗位職責與分工

　　配備一定數(shù)量的系統(tǒng)管理員、網絡管理員、安全管理員等。每個崗位設立2個以上操作維護人員。重要系統(tǒng)均配備A/B角，A/B角定期輪換。明確崗位職責《科技管理部崗位設置》《科技開發(fā)部工作職責》《科技管理部崗位百分考核辦法》

　�。�6）密級管理制度

　　錄用人員簽署保密協(xié)議；制定人員離崗管理流程規(guī)范，嚴格規(guī)范人員離崗過程，及時終止離崗員工的所有訪問權限；與外包商簽訂保密協(xié)議；有密級的安全管理制度，注明安全管理制度密級，并進行密級管理。

　　二、信息系統(tǒng)的技術措施情況

　　1。物理和環(huán)境建設

　　（1）機房的物理訪問控制：機房實現(xiàn)門禁控制，嚴防外部人員進入機房擅自操作。

　�。�2）系統(tǒng)密碼均由專門人員掌管，計算機終端無人看管時鎖定；

　�。�3）機房采用集中監(jiān)控，監(jiān)控清晰全面，機房環(huán)境設施均有專人崗位值班管理，參數(shù)實行24小時不間斷監(jiān)控，崗位人員具備管理監(jiān)控專業(yè)素質。

　�。�4）機房供電系統(tǒng)均采用雙路UPS供電，線路冗余性好，負載能力強，完全能夠滿足機房電力需求。

　　（5）機房空調系統(tǒng)的有效性和冗余性，給排風系統(tǒng)的有效性：機房空調系統(tǒng)安全有效，給排風系統(tǒng)工作正常。

　�。�6）中心機房和災備機房均有配套防盜竊、防雷、防火、防水、防靜電、溫濕度控制、電磁保護等措施，確保機房正常運轉。

　�。�7）機房技術文檔完備、有效：制定了《**農村商業(yè)銀行計算機信息系統(tǒng)安全管理制度》、《科技部信息部中心機房監(jiān)控制度》，《**農村商業(yè)銀行計算機系統(tǒng)運行維護管理制度》為機房維護制定詳細的規(guī)范文檔。 2。 網絡管理

　　我行根據(jù)文件要求，對重要網絡設施（包括網絡傳輸線路、網絡設備、網絡安全設備）進行了詳細的自查，情況如下：1。 網絡安全策略

　�。�1）內網的安全管理情況；

　　內網網絡安全管理：外聯(lián)單位互聯(lián)安全保護措施：通過兩臺PIX525防火墻連接外聯(lián)單位，兩臺防火墻通過FAILOVER形成熱備，在防火墻上配置安全策略，嚴格控制進出生產網的數(shù)據(jù)。

　　在對外路由器上設置過濾規(guī)則，形成防護網。使用過濾規(guī)則設置功能，作過濾防護，形成銀行網絡與外聯(lián)單位之間的第一道防護網。正確地配置和使用防火墻。防火墻功能正確實施的關鍵是其安全策略的配置和管理，為企業(yè)的重要數(shù)據(jù)和內部網絡系統(tǒng)提供了一層可靠的安全保障。

　　使用地址轉換的通信策略，防火墻對內部地址進行轉換，對外映射為一個虛擬地址。

　　（2）外網的安全管理情況；

　　辦公網網絡安全建設：天融信防火墻安全防護建設：在**農商行辦公網INTERNET出口部署兩臺天融信防火墻提供了強大的網絡應用控制功能。用戶可以輕松的針對一些典型網絡應用，如MSN，QQ、Skype、即時通信應用，以及BT、訊雷等p2p應用實行靈活的訪問控制策略，如禁止、限時、乃至流量控制。還提供了定制功能，可以對用戶所關心的網絡應用進行全面控制。

　　能夠在核心網絡中同所有網絡設備一起構建高可用性及高安全性的拓撲結構，自身能夠實現(xiàn)A/A部署和狀態(tài)同步，能夠實現(xiàn)動態(tài)的鏈路切換，同時提供了電源冗余功能，最大限度地滿足了網絡的健壯性及穩(wěn)定性，保證了整個網絡的不間斷工作。

　�。�3）加密技術應用和私鑰的管理情況；

　　ARRY設備遠程網絡通訊安全保護建設：**農商行辦公網已經部署了網絡通訊，INTERNET用戶可以連接到內部辦公網。采用網絡通訊技術，加強信息傳輸過程中的安全防范，可以在公共Internet網絡上提供安全通信。是企業(yè)遠程用戶、業(yè)務合作伙伴和供應商盡快實現(xiàn)通信和共享信息理想的安全性解決方案。根據(jù)業(yè)務系統(tǒng)的特點選擇對業(yè)務數(shù)據(jù)進行傳輸加密；對于網絡設備認證過程中敏感的信息進行加密。

　　制定了《**農村商業(yè)銀行科技部密鑰管理制度》。

　�。�4）防火墻的設置、維護和管理情況；

　　在網銀系統(tǒng)設置兩層物理防火墻，將網絡分為三個邏輯區(qū)域，及非授信區(qū)、�；饏^(qū)及安全區(qū)。非授信區(qū)可理解為Internet，即存在潛在威脅的`區(qū)域；�；饏^(qū)（DMZ）內部署網銀Web服務器、RA服務器以及其它直接向外部提供服務或者進行通訊的服務器，如Mail服務器、防病毒服務器等；安全區(qū)用戶部署網銀應用服務器、數(shù)據(jù)庫服務器、通信服務器等核心部件；

　　（5）、設置入侵檢測系統(tǒng)。

　　入侵檢測用在網絡關鍵節(jié)點設置探頭以偵測網絡數(shù)據(jù)中。

　　2。 網絡服務連續(xù)性、冗余性

　　1。所有重要通信線路均有備份線路且采用不同運營商，確保網絡無斷點。

　　2。網絡設備的冗余性：網絡設備均有備份。核心網絡設備，核心生產系統(tǒng)設備均采用雙機熱備，同城設有災備機房，確保關鍵生產設備運行的可靠性

　　3。訪問線路的帶寬完全能夠滿足各信息系統(tǒng)的帶寬需求，無網絡擁塞現(xiàn)象。

　　4。 網絡設備管理配置均由專人分管負責，確保合理操作，保障網絡通暢、安全；

　　5。日志服務器暫無，有網絡日志，但無集中審計，需加強網絡設備日志的安全審計。 3。信息系統(tǒng)可靠性

　　我行根據(jù)文件要求，對關鍵服務器、存儲器運行的可靠性，生產系統(tǒng)資源冗余度等進行了全面自查，情況如下：1。系統(tǒng)重要設備和組件的冗余備份

　　經自查，關鍵生產設備均采用雙電源，服務器有UPS電源支持，且有RAID保護。系統(tǒng)具備較高的可用性，所有前置系統(tǒng)都有備機，且定期切換演練，系統(tǒng)重要設備和組件均有相應的定時備份。

　　2。制定各系統(tǒng)的應急預案，定期對預案修訂和培訓，目前，我行針對世博會演練了信貸系統(tǒng)切換，中心機房供電演練，影像支付系統(tǒng)演練，網銀系統(tǒng)惡意攻擊模擬演練。

　　3。設備和系統(tǒng)的維護和升級管理

　　設備、系統(tǒng)均有專人維護管理，部分設備、系統(tǒng)聘請專業(yè)公司人員進行升級維護，崗位人員均具備相關素質，并實行AB角色。

　　4。對外包系統(tǒng)要求開發(fā)商要對我行技術人員進行詳細的日常運行、維護培訓，把相關技術移交給我行技術人員，對涉及二次開發(fā)的系統(tǒng)要求開發(fā)商提供完整的二次開發(fā)手冊，培訓我行技術人員掌握二次開發(fā)技術

　　5。系統(tǒng)軟件的用戶授權及鑒別認證措施：系統(tǒng)軟件用戶密碼相關人員各自保管，重要系統(tǒng)管理密碼實行分左右手密碼保管原則，系統(tǒng)軟件用戶訪問實現(xiàn)權限控制，各級人員只能進行權限內操作。

　　6。系統(tǒng)變更管理：

　　制定了變更管理的主要準則和規(guī)章制度，變更管理的審批授權機制和工作流程；對變更管理進行登記、備案和存檔，制定了非計劃性緊急變更的實施方案、備份和恢復。

　　7。對系統(tǒng)日志及操作行為日志進行監(jiān)察審計，確保系統(tǒng)穩(wěn)定運行

　　8。系統(tǒng)容量管理計劃

　　系統(tǒng)處理容量增長趨勢完全滿足增量業(yè)務需求，并有適度冗余。

　　9。補丁更新

　　及時關注系統(tǒng)安全漏洞最新情況，及時對新發(fā)現(xiàn)的安全漏洞打上相關的安全補丁。經檢查當前系統(tǒng)已是最新最完整版本，已安裝了最新補丁

　　10。病毒、惡意代碼的安全防護

　　系統(tǒng)均安裝病毒查殺軟件，對病毒、惡意代碼進行安全防護。同時嚴格控制操作人員在機器上運行可能攜帶惡意代碼、病毒的腳本的外來第三方軟件

　　11。系統(tǒng)安全配置檢查

　　定期巡檢，對系統(tǒng)的安全配置實行不定期檢測，對可能存在的隱患進行排除。

　　4。應用安全

　　1。業(yè)務應用系統(tǒng)的用戶授權及鑒別認證措施

　　業(yè)務應用系統(tǒng)用戶密碼相關業(yè)務人員各自保管，通過操作號和密碼進行身份鑒別認證。人員離開時應設置屏幕密碼保護或退出到登陸狀態(tài)。

　　2。業(yè)務應用系統(tǒng)的用戶訪問控制

　　系統(tǒng)軟件用戶訪問實現(xiàn)權限控制，各級人員只能進行權限內操作

　　4。數(shù)據(jù)安全、備份可用性

　　1。數(shù)據(jù)備份策略及備份數(shù)據(jù)的可用性

　�。�1）對各應用系統(tǒng)指定相應備份策略，指定不同級別的具體備份操作，每次備份完畢應檢查備份數(shù)據(jù)的有效性，并異地妥善保管好磁介質，重要數(shù)據(jù)永久保存

　�。�2）應定期執(zhí)行恢復程序，檢查和測試備份介質的有效性，確�？梢栽诨謴统绦蛞�(guī)定的時間內完成備份的恢復。

　�。�3）不定期對數(shù)據(jù)進行抽檢，與業(yè)務所在日期數(shù)據(jù)進行比對核實。并有應急恢復預案，及同城異地災備系統(tǒng)確保數(shù)據(jù)恢復性。

　　2。數(shù)據(jù)安全性

　　（1）敏感數(shù)據(jù)的傳輸和存儲加密：敏感數(shù)據(jù)傳輸實行加密管理，存儲的一些敏感數(shù)據(jù)實行加密亂碼顯示。

　�。�2）重要業(yè)務數(shù)據(jù)的通信完整性檢測重要業(yè)務數(shù)據(jù)通信檢測完整、正常。

　�。�3）重要業(yè)務數(shù)據(jù)的備份策略及恢復測試機制重要業(yè)務數(shù)據(jù)定時備份，專人存儲保管，有完整的應急恢復預案。

　�。�4）建立了同城異地災備中心，并制定了《江蘇**農村商業(yè)銀行異地容災項目災難恢復計劃書》，內容包括危險級別的定義劃分、決策流程、災難恢復團隊、日常備份和恢復流程、災難響應和行動流程、災難切換流程、災備系統(tǒng)回切流程、災難恢復計劃的測試、維護等。還包含了涉及系統(tǒng)設備的具體清單、操作步驟等，預計RTO為6小時以內，RPO較低。

　　5。運行維護監(jiān)控系統(tǒng)

　　我行根據(jù)文件要求，對信息系統(tǒng)的監(jiān)測預警進行了全面自查，情況如下：

　　1。監(jiān)測預警制度、流程及自動化監(jiān)控平臺

　　已建立完善監(jiān)測預警制度、流程，機房環(huán)境、參數(shù)，系統(tǒng)的運行狀況，CPU使用情況、文件系統(tǒng)使用情況等均實現(xiàn)自動化監(jiān)控。

　　2。監(jiān)測預警組織結構及人員設置

　　每天有人員24小時值班，檢查系統(tǒng)及網絡運行狀況，及時發(fā)現(xiàn)問題，監(jiān)測預警專人負責，按照警報級別逐級上報，確保故障的及時排除。

　　3。監(jiān)測預警日志

　　設立監(jiān)控日志，每日由監(jiān)測預警人員負責記錄。 4。監(jiān)測預警文檔的完備性

　　有監(jiān)測預警文檔說明，但不夠完善。

　　5。與電力供應部門、網絡供應商、公安部門等外部機構均有相應的應急聯(lián)動機制，我行正在實施保衛(wèi)部網點聲光聯(lián)動報警，做到入侵報警設施與照明、視頻安防監(jiān)控及聲音復核等設備聯(lián)動

　　三、不足和改進方法

　　1。需將管理與技術相結合，進一步加強信息安全管理手段

　　從IT風險管理手段來看，部分系統(tǒng)的風險控制不夠先進，缺乏專業(yè)的風險技術支持，事前預防作用有限，事中控制不夠。缺乏對科技風險的集中審計。本行將引進AAA統(tǒng)一認證管理系統(tǒng)，加強系統(tǒng)用戶的授權，權限控制和賬號管理。架設日志服務器，對系統(tǒng)日志進行集中收集和審計。

　　通過平臺對所有用戶進行統(tǒng)一的授權。采用基于角色的授權機制，按照內部的組織結構劃分角色，并為用戶綁定角色。對于不同的角色分配不同應用系統(tǒng)的訪問權限。平臺依靠記錄追蹤用戶和管理人員的訪問過程，建立一套全面的、有效的回溯和追查機制�？梢詫崟r監(jiān)測用戶對各應用系統(tǒng)的訪問狀態(tài)，及時發(fā)現(xiàn)非法訪問事件，對出現(xiàn)的問題進行事后追溯和責任追究提供實證。通過對系統(tǒng)運行狀態(tài)實時監(jiān)控審計，增強系統(tǒng)的可維護性。

　　2。進一步完善計算機系統(tǒng)安全管理制度

　　本行已經在內部建立并健全了一系列的計算機系統(tǒng)安全管理制度，并由稽核部門對銀行計算機系統(tǒng)進行專項稽核，但未配備專門的稽核人員，在廣度和深度上不夠，因此對照新指引的精神，從組織上保證信息風險有具體人員來承擔責任，強化執(zhí)行力和合規(guī)性。將日常信息風險管理從傳統(tǒng)的檢查模式逐步過渡到基于評估、規(guī)劃、執(zhí)行和監(jiān)督全面循環(huán)改進的模式。制訂詳細的IT風險管理架構，確立IT服務管理與IT風險管理的關系，明確IT風險管理的范圍、職責，制訂符合銀行實際情況的管理流程，出臺可操作性強的安全技術規(guī)范，加強開發(fā)過程的風險控制。從而有效地防范科技風險。

信息科技風險自查報告5

　　按照上級領導的指示，我行認真貫徹《關于加強20xx年重要時期金融信息安全保障工作的通知》（銀發(fā)[20xx]57號文件）精神，為充分做好重要時期金融網絡和信息系統(tǒng)安全保障工作，防范我行信息科技風險，保障計算機系統(tǒng)運行和操作安全，建立和完善信息科技風險管理機制.對我行的信息科技工作進行了一次全面的自我評估及審查.現(xiàn)將審查情況報告如下：

　　一、組織架構、制度建設及管理情況

　　1.信息科技治理組織架構

　　（1）我行在董事會下設科技信息安全管理委員會，行長室下設信息科技管理委員會，信息安全管理委員會下設應急處理領導小組.

　　科技信息安全管理委員會全面負責領導和協(xié)調本行科技信息安全.

　　科技管理委員會負責統(tǒng)一規(guī)劃全行的信息化建設，指導和監(jiān)督科技部門的各項工作，審議全行計算機網絡的設計方案、軟件項目招標、設備招標和統(tǒng)一采購及日常管理中重大問題的研究和建議.

　　信息系統(tǒng)應急處理領導小組負責組織制定全轄應急處置的實施細則，統(tǒng)一組織、協(xié)調、指導、檢查全轄應急處置的管理；負責全轄信息系統(tǒng)突發(fā)事件的應急指揮、組織協(xié)調和過程控制

　�。�2）我行成立了科技管理部和科技開發(fā)部，做到科技運維和科技開發(fā)有效分離，加強了信息科技治理.

　�。�3）科技風險審計工作由我行稽核審計部完成，信息科技風險管理由風險管理部門完成.

　　（4）在支行層面則設立合規(guī)員，負責各支行科技信息相關風險監(jiān)控和報告

　　2.信息科技管理制度建設

　�。�1）安全管理

　　對安全管理活動中的各類管理內容建立安全管理制度，制定了由安全策略、管理制度、操作規(guī)程等構成的全面的信息安全管理總則《江蘇農村商業(yè)銀行計算機信息系統(tǒng)安全管理制度》，安全管理制度經信息安全領導小組審定，審定周期為一年一次，并且及時發(fā)現(xiàn)缺漏或不足對制度進行修訂，并有修訂記錄

　　（2）事件管理

　　制訂了安全事件報告和處置管理制度——《信息安全事件管理制度》明確安全事件類型，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復的管理職責，并根據(jù)國家相關管理部門對計算機安全事件等級劃分方法和安全事件對本系統(tǒng)產生的影響，對安全事件進行等級劃分，制定安全事件報告和響應處理程序，確定事件的報告流程，響應和處置方法等，并對發(fā)現(xiàn)的安全弱點和可疑事件有《異常情況上報規(guī)定》

　�。�3）應急處理

　　建立較為完善的信息系統(tǒng)應急恢復策略《江蘇農村商業(yè)銀行計算機信息系統(tǒng)應急處理方案》，對各業(yè)務信息系統(tǒng)進行分類，按照重要程度，確定保障級別，制定了各信息系統(tǒng)突發(fā)事件專項應急預案.制定數(shù)據(jù)中心、災備中心機房關鍵基礎設施專項應急預案.

　�。�4）安全操作規(guī)范及管理流程

　　我行有完整的信息安全管理流程，控制信息安全管理.包括介質管理、網絡管理、維護及故障處理制度、軟硬件變更流程、備份管理、ATM安全管理、機房管理、監(jiān)控管理、密鑰管理、巡檢制度等等科技管理部各項流程.

　�。�5）崗位職責與分工

　　配備一定數(shù)量的系統(tǒng)管理員、網絡管理員、安全管理員等.每個崗位設立2個以上操作維護人員.重要系統(tǒng)均配備A/B角，A/B角定期輪換.明確崗位職責《科技管理部崗位設置》《科技開發(fā)部工作職責》《科技管理部崗位百分考核辦法》

　�。�6）密級管理制度

　　錄用人員簽署保密協(xié)議；制定人員離崗管理流程規(guī)范，嚴格規(guī)范人員離崗過程，及時終止離崗員工的所有訪問權限；與外包商簽訂保密協(xié)議；有密級的安全管理制度，注明安全管理制度密級，并進行密級管理.

　　二、信息系統(tǒng)的技術措施情況

　　1.物理和環(huán)境建設

　�。�1）機房的物理訪問控制：機房實現(xiàn)門禁控制，嚴防外部人員進入機房擅自操作.

　　（2）系統(tǒng)密碼均由專門人員掌管，計算機終端無人看管時鎖定；

　�。�3）機房采用集中監(jiān)控，監(jiān)控清晰全面，機房環(huán)境設施均有專人崗位值班管理，參數(shù)實行24小時不間斷監(jiān)控，崗位人員具備管理監(jiān)控專業(yè)素質.

　�。�4）機房供電系統(tǒng)均采用雙路UPS供電，線路冗余性好，負載能力強，完全能夠滿足機房電力需求.

　　（5）機房空調系統(tǒng)的有效性和冗余性，給排風系統(tǒng)的有效性：機房空調系統(tǒng)安全有效，給排風系統(tǒng)工作正常.

　�。�6）中心機房和災備機房均有配套防盜竊、防雷、防火、防水、防靜電、溫濕度控制、電磁保護等措施，確保機房正常運轉.

　�。�7）機房技術文檔完備、有效：制定了《農村商業(yè)銀行計算機信息系統(tǒng)安全管理制度》、《科技部信息部中心機房監(jiān)控制度》，《農村商業(yè)銀行計算機系統(tǒng)運行維護管理制度》為機房維護制定詳細的規(guī)范文檔.

　　我行根據(jù)文件要求，對重要網絡設施（包括網絡傳輸線路、網絡設備、網絡安全設備）進行了詳細的自查，情況如下：1.網絡安全策略

　�。�1）內網的安全管理情況；

　　內網網絡安全管理：外聯(lián)單位互聯(lián)安全保護措施：通過兩臺PIX525防火墻連接外聯(lián)單位，兩臺防火墻通過FAILOVER形成熱備，在防火墻上配置安全策略，嚴格控制進出生產網的數(shù)據(jù).

　　在對外路由器上設置過濾規(guī)則，形成防護網.使用過濾規(guī)則設置功能，作過濾防護，形成銀行網絡與外聯(lián)單位之間的第一道防護網.正確地配置和使用防火墻.防火墻功能正確實施的關鍵是其安全策略的配置和管理，為企業(yè)的重要數(shù)據(jù)和內部網絡系統(tǒng)提供了一層可靠的安全保障.

　　使用地址轉換的通信策略，防火墻對內部地址進行轉換，對外映射為一個虛擬地址.

　�。�2）外網的安全管理情況；

　　辦公網網絡安全建設：天融信防火墻安全防護建設：在農商行辦公網INTERNET出口部署兩臺天融信防火墻提供了強大的網絡應用控制功能.用戶可以輕松的針對一些典型網絡應用，如MSN，QQ、Skype、即時通信應用，以及BT、訊雷等p2p應用實行靈活的訪問控制策略，如禁止、限時、乃至流量控制.還提供了定制功能，可以對用戶所關心的網絡應用進行全面控制.

　　能夠在核心網絡中同所有網絡設備一起構建高可用性及高安全性的拓撲結構，自身能夠實現(xiàn)A/A部署和狀態(tài)同步，能夠實現(xiàn)動態(tài)的鏈路切換，同時提供了電源冗余功能，最大限度地滿足了網絡的健壯性及穩(wěn)定性，保證了整個網絡的不間斷工作.

　�。�3）加密技術應用和私鑰的管理情況；

　　ARRY設備遠程網絡通訊安全保護建設：農商行辦公網已經部署了網絡通訊，INTERNET用戶可以連接到內部辦公網.采用網絡通訊技術，加強信息傳輸過程中的安全防范，可以在公共Internet網絡上提供安全通信.是企業(yè)遠程用戶、業(yè)務合作伙伴和供應商盡快實現(xiàn)通信和共享信息理想的安全性解決方案.根據(jù)業(yè)務系統(tǒng)的特點選擇對業(yè)務數(shù)據(jù)進行傳輸加密；對于網絡設備認證過程中敏感的信息進行加密.

　　制定了《農村商業(yè)銀行科技部密鑰管理制度》.

　�。�4）防火墻的設置、維護和管理情況；

　　在網銀系統(tǒng)設置兩層物理防火墻，將網絡分為三個邏輯區(qū)域，及非授信區(qū)、停火區(qū)及安全區(qū).非授信區(qū)可理解為Internet，即存在潛在威脅的區(qū)域；�；饏^(qū)（DMZ）內部署網銀Web服務器、RA服務器以及其它直接向外部提供服務或者進行通訊的服務器，如Mail服務器、防病毒服務器等；安全區(qū)用戶部署網銀應用服務器、數(shù)據(jù)庫服務器、通信服務器等核心部件；

　�。�5）、設置入侵檢測系統(tǒng).

　　入侵檢測用在網絡關鍵節(jié)點設置探頭以偵測網絡數(shù)據(jù)中.

　　2. 網絡服務連續(xù)性、冗余性

　　1.所有重要通信線路均有備份線路且采用不同運營商，確保網絡無斷點.

　　2.網絡設備的冗余性：網絡設備均有備份.核心網絡設備，核心生產系統(tǒng)設備均采用雙機熱備，同城設有災備機房，確保關鍵生產設備運行的可靠性

　　3.訪問線路的帶寬完全能夠滿足各信息系統(tǒng)的帶寬需求，無網絡擁塞現(xiàn)象.

　　4. 網絡設備管理配置均由專人分管負責，確保合理操作，保障網絡通暢、安全；

　　5.日志服務器暫無，有網絡日志，但無集中審計，需加強網絡設備日志的安全審計. 3.信息系統(tǒng)可靠性

　　我行根據(jù)文件要求，對關鍵服務器、存儲器運行的可靠性，生產系統(tǒng)資源冗余度等進行了全面自查，情況如下：1.系統(tǒng)重要設備和組件的冗余備份

　　經自查，關鍵生產設備均采用雙電源，服務器有UPS電源支持，且有RAID保護.系統(tǒng)具備較高的.可用性，所有前置系統(tǒng)都有備機，且定期切換演練，系統(tǒng)重要設備和組件均有相應的定時備份.

　　2.制定各系統(tǒng)的應急預案，定期對預案修訂和培訓，目前，我行針對世博會演練了信貸系統(tǒng)切換，中心機房供電演練，影像支付系統(tǒng)演練，網銀系統(tǒng)惡意攻擊模擬演練.

　　3.設備和系統(tǒng)的維護和升級管理

　　設備、系統(tǒng)均有專人維護管理，部分設備、系統(tǒng)聘請專業(yè)公司人員進行升級維護，崗位人員均具備相關素質，并實行AB角色.

　　4.對外包系統(tǒng)要求開發(fā)商要對我行技術人員進行詳細的日常運行、維護培訓，把相關技術移交給我行技術人員，對涉及二次開發(fā)的系統(tǒng)要求開發(fā)商提供完整的二次開發(fā)手冊，培訓我行技術人員掌握二次開發(fā)技術

　　5.系統(tǒng)軟件的用戶授權及鑒別認證措施：系統(tǒng)軟件用戶密碼相關人員各自保管，重要系統(tǒng)管理密碼實行分左右手密碼保管原則，系統(tǒng)軟件用戶訪問實現(xiàn)權限控制，各級人員只能進行權限內操作.

　　6.系統(tǒng)變更管理：

　　制定了變更管理的主要準則和規(guī)章制度，變更管理的審批授權機制和工作流程；對變更管理進行登記、備案和存檔，制定了非計劃性緊急變更的實施方案、備份和恢復.

　　7.對系統(tǒng)日志及操作行為日志進行監(jiān)察審計，確保系統(tǒng)穩(wěn)定運行

　　8.系統(tǒng)容量管理計劃

　　系統(tǒng)處理容量增長趨勢完全滿足增量業(yè)務需求，并有適度冗余.

　　9.補丁更新

　　及時關注系統(tǒng)安全漏洞最新情況，及時對新發(fā)現(xiàn)的安全漏洞打上相關的安全補丁.經檢查當前系統(tǒng)已是最新最完整版本，已安裝了最新補丁

　　10.病毒、惡意代碼的安全防護

　　系統(tǒng)均安裝病毒查殺軟件，對病毒、惡意代碼進行安全防護.同時嚴格控制操作人員在機器上運行可能攜帶惡意代碼、病毒的腳本的外來第三方軟件

　　11.系統(tǒng)安全配置檢查

　　定期巡檢，對系統(tǒng)的安全配置實行不定期檢測，對可能存在的隱患進行排除.

　　4.應用安全

　　1.業(yè)務應用系統(tǒng)的用戶授權及鑒別認證措施

　　業(yè)務應用系統(tǒng)用戶密碼相關業(yè)務人員各自保管，通過操作號和密碼進行身份鑒別認證.人員離開時應設置屏幕密碼保護或退出到登陸狀態(tài).

　　2.業(yè)務應用系統(tǒng)的用戶訪問控制

　　系統(tǒng)軟件用戶訪問實現(xiàn)權限控制，各級人員只能進行權限內操作

　　4.數(shù)據(jù)安全、備份可用性

　　1.數(shù)據(jù)備份策略及備份數(shù)據(jù)的可用性

　�。�1）對各應用系統(tǒng)指定相應備份策略，指定不同級別的具體備份操作，每次備份完畢應檢查備份數(shù)據(jù)的有效性，并異地妥善保管好磁介質，重要數(shù)據(jù)永久保存

　�。�2）應定期執(zhí)行恢復程序，檢查和測試備份介質的有效性，確�？梢栽诨謴统绦蛞�(guī)定的時間內完成備份的恢復.

　�。�3）不定期對數(shù)據(jù)進行抽檢，與業(yè)務所在日期數(shù)據(jù)進行比對核實.并有應急恢復預案，及同城異地災備系統(tǒng)確保數(shù)據(jù)恢復性.

　　2.數(shù)據(jù)安全性

　�。�1）敏感數(shù)據(jù)的傳輸和存儲加密：敏感數(shù)據(jù)傳輸實行加密管理，存儲的一些敏感數(shù)據(jù)實行加密亂碼顯示.

　�。�2）重要業(yè)務數(shù)據(jù)的通信完整性檢測重要業(yè)務數(shù)據(jù)通信檢測完整、正常.

　�。�3）重要業(yè)務數(shù)據(jù)的備份策略及恢復測試機制重要業(yè)務數(shù)據(jù)定時備份，專人存儲保管，有完整的應急恢復預案.

　　（4）建立了同城異地災備中心，并制定了《江蘇農村商業(yè)銀行異地容災項目災難恢復計劃書》，內容包括危險級別的定義劃分、決策流程、災難恢復團隊、日常備份和恢復流程、災難響應和行動流程、災難切換流程、災備系統(tǒng)回切流程、災難恢復計劃的測試、維護等.還包含了涉及系統(tǒng)設備的具體清單、操作步驟等，預計RTO為6小時以內，RPO較低.

　　5.運行維護監(jiān)控系統(tǒng)

　　我行根據(jù)文件要求，對信息系統(tǒng)的監(jiān)測預警進行了全面自查，情況如下：

　　1.監(jiān)測預警制度、流程及自動化監(jiān)控平臺

　　已建立完善監(jiān)測預警制度、流程，機房環(huán)境、參數(shù)，系統(tǒng)的運行狀況，CPU使用情況、文件系統(tǒng)使用情況等均實現(xiàn)自動化監(jiān)控.

　　2.監(jiān)測預警組織結構及人員設置

　　每天有人員24小時值班，檢查系統(tǒng)及網絡運行狀況，及時發(fā)現(xiàn)問題，監(jiān)測預警專人負責，按照警報級別逐級上報，確保故障的及時排除.

　　3.監(jiān)測預警日志

　　設立監(jiān)控日志，每日由監(jiān)測預警人員負責記錄. 4.監(jiān)測預警文檔的完備性

　　有監(jiān)測預警文檔說明，但不夠完善.

　　5.與電力供應部門、網絡供應商、公安部門等外部機構均有相應的應急聯(lián)動機制，我行正在實施保衛(wèi)部網點聲光聯(lián)動報警，做到入侵報警設施與照明、視頻安防監(jiān)控及聲音復核等設備聯(lián)動

　　三、不足和改進方法

　　1.需將管理與技術相結合，進一步加強信息安全管理手段

　　從IT風險管理手段來看，部分系統(tǒng)的風險控制不夠先進，缺乏專業(yè)的風險技術支持，事前預防作用有限，事中控制不夠.缺乏對科技風險的集中審計.本行將引進AAA統(tǒng)一認證管理系統(tǒng)，加強系統(tǒng)用戶的授權，權限控制和賬號管理.架設日志服務器，對系統(tǒng)日志進行集中收集和審計.

　　通過平臺對所有用戶進行統(tǒng)一的授權.采用基于角色的授權機制，按照內部的組織結構劃分角色，并為用戶綁定角色.對于不同的角色分配不同應用系統(tǒng)的訪問權限.平臺依靠記錄追蹤用戶和管理人員的訪問過程，建立一套全面的、有效的回溯和追查機制.可以實時監(jiān)測用戶對各應用系統(tǒng)的訪問狀態(tài)，及時發(fā)現(xiàn)非法訪問事件，對出現(xiàn)的問題進行事后追溯和責任追究提供實證.通過對系統(tǒng)運行狀態(tài)實時監(jiān)控審計，增強系統(tǒng)的可維護性.

　　2.進一步完善計算機系統(tǒng)安全管理制度

　　本行已經在內部建立并健全了一系列的計算機系統(tǒng)安全管理制度，并由稽核部門對銀行計算機系統(tǒng)進行專項稽核，但未配備專門的稽核人員，在廣度和深度上不夠，因此對照新指引的精神，從組織上保證信息風險有具體人員來承擔責任，強化執(zhí)行力和合規(guī)性.將日常信息風險管理從傳統(tǒng)的檢查模式逐步過渡到基于評估、規(guī)劃、執(zhí)行和監(jiān)督全面循環(huán)改進的模式.制訂詳細的IT風險管理架構，確立IT服務管理與IT風險管理的關系，明確IT風險管理的范圍、職責，制訂符合銀行實際情況的管理流程，出臺可操作性強的安全技術規(guī)范，加強開發(fā)過程的風險控制.從而有效地防范科技風險.

信息科技風險自查報告6

　　按照上級領導的指示，我行認真貫徹《關于加強20xx年重要時期金融信息安全保障工作的通知》（銀發(fā)[20xx]57號文件）精神，為充分做好重要時期金融網絡和信息系統(tǒng)安全保障工作，防范我行信息科技風險，保障計算機系統(tǒng)運行和操作安全，建立和完善信息科技風險管理機制.對我行的信息科技工作進行了一次全面的自我評估及審查.現(xiàn)將審查情況報告如下：

　　一、組織架構、制度建設及管理情況

　　1.信息科技治理組織架構

　�。�1）我行在董事會下設科技信息安全管理委員會，行長室下設信息科技管理委員會，信息安全管理委員會下設應急處理領導小組.

　　科技信息安全管理委員會全面負責領導和協(xié)調本行科技信息安全.

　　科技管理委員會負責統(tǒng)一規(guī)劃全行的信息化建設，指導和監(jiān)督科技部門的各項工作，審議全行計算機網絡的設計方案、軟件項目招標、設備招標和統(tǒng)一采購及日常管理中重大問題的研究和建議.

　　信息系統(tǒng)應急處理領導小組負責組織制定全轄應急處置的實施細則，統(tǒng)一組織、協(xié)調、指導、檢查全轄應急處置的管理；負責全轄信息系統(tǒng)突發(fā)事件的應急指揮、組織協(xié)調和過程控制

　�。�2）我行成立了科技管理部和科技開發(fā)部，做到科技運維和科技開發(fā)有效分離，加強了信息科技治理.

　�。�3）科技風險審計工作由我行稽核審計部完成，信息科技風險管理由風險管理部門完成.

　�。�4）在支行層面則設立合規(guī)員，負責各支行科技信息相關風險監(jiān)控和報告

　　2.信息科技管理制度建設

　�。�1）安全管理

　　對安全管理活動中的各類管理內容建立安全管理制度，制定了由安全策略、管理制度、操作規(guī)程等構成的全面的信息安全管理總則《江蘇農村商業(yè)銀行計算機信息系統(tǒng)安全管理制度》，安全管理制度經信息安全領導小組審定，審定周期為一年一次，并且及時發(fā)現(xiàn)缺漏或不足對制度進行修訂，并有修訂記錄

　　（2）事件管理

　　制訂了安全事件報告和處置管理制度——《信息安全事件管理制度》明確安全事件類型，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復的管理職責，并根據(jù)國家相關管理部門對計算機安全事件等級劃分方法和安全事件對本系統(tǒng)產生的影響，對安全事件進行等級劃分，制定安全事件報告和響應處理程序，確定事件的報告流程，響應和處置方法等，并對發(fā)現(xiàn)的安全弱點和可疑事件有《異常情況上報規(guī)定》

　�。�3）應急處理

　　建立較為完善的信息系統(tǒng)應急恢復策略《江蘇農村商業(yè)銀行計算機信息系統(tǒng)應急處理方案》，對各業(yè)務信息系統(tǒng)進行分類，按照重要程度，確定保障級別，制定了各信息系統(tǒng)突發(fā)事件專項應急預案.制定數(shù)據(jù)中心、災備中心機房關鍵基礎設施專項應急預案.

　�。�4）安全操作規(guī)范及管理流程

　　我行有完整的信息安全管理流程，控制信息安全管理.包括介質管理、網絡管理、維護及故障處理制度、軟硬件變更流程、備份管理、ATM安全管理、機房管理、監(jiān)控管理、密鑰管理、巡檢制度等等科技管理部各項流程.

　�。�5）崗位職責與分工

　　配備一定數(shù)量的系統(tǒng)管理員、網絡管理員、安全管理員等.每個崗位設立2個以上操作維護人員.重要系統(tǒng)均配備A/B角，A/B角定期輪換.明確崗位職責《科技管理部崗位設置》《科技開發(fā)部工作職責》《科技管理部崗位百分考核辦法》

　�。�6）密級管理制度

　　錄用人員簽署保密協(xié)議；制定人員離崗管理流程規(guī)范，嚴格規(guī)范人員離崗過程，及時終止離崗員工的所有訪問權限；與外包商簽訂保密協(xié)議；有密級的安全管理制度，注明安全管理制度密級，并進行密級管理.

　　二、信息系統(tǒng)的技術措施情況

　　1.物理和環(huán)境建設

　　（1）機房的物理訪問控制：機房實現(xiàn)門禁控制，嚴防外部人員進入機房擅自操作.

　�。�2）系統(tǒng)密碼均由專門人員掌管，計算機終端無人看管時鎖定；

　　（3）機房采用集中監(jiān)控，監(jiān)控清晰全面，機房環(huán)境設施均有專人崗位值班管理，參數(shù)實行24小時不間斷監(jiān)控，崗位人員具備管理監(jiān)控專業(yè)素質.

　　（4）機房供電系統(tǒng)均采用雙路UPS供電，線路冗余性好，負載能力強，完全能夠滿足機房電力需求.

　�。�5）機房空調系統(tǒng)的有效性和冗余性，給排風系統(tǒng)的有效性：機房空調系統(tǒng)安全有效，給排風系統(tǒng)工作正常.

　�。�6）中心機房和災備機房均有配套防盜竊、防雷、防火、防水、防靜電、溫濕度控制、電磁保護等措施，確保機房正常運轉.

　　（7）機房技術文檔完備、有效：制定了《農村商業(yè)銀行計算機信息系統(tǒng)安全管理制度》、《科技部信息部中心機房監(jiān)控制度》，《農村商業(yè)銀行計算機系統(tǒng)運行維護管理制度》為機房維護制定詳細的規(guī)范文檔. 2. 網絡管理

　　我行根據(jù)文件要求，對重要網絡設施(包括網絡傳輸線路、網絡設備、網絡安全設備)進行了詳細的自查，情況如下: 1. 網絡安全策略

　�。�1）內網的安全管理情況；

　　內網網絡安全管理：外聯(lián)單位互聯(lián)安全保護措施：通過兩臺PIX525防火墻連接外聯(lián)單位，兩臺防火墻通過FAILOVER形成熱備，在防火墻上配置安全策略，嚴格控制進出生產網的數(shù)據(jù).

　　在對外路由器上設置過濾規(guī)則，形成防護網.使用過濾規(guī)則設置功能，作過濾防護，形成銀行網絡與外聯(lián)單位之間的第一道防護網.正確地配置和使用防火墻.防火墻功能正確實施的關鍵是其安全策略的配置和管理，為企業(yè)的重要數(shù)據(jù)和內部網絡系統(tǒng)提供了一層可靠的安全保障.

　　使用地址轉換的通信策略，防火墻對內部地址進行轉換，對外映射為一個虛擬地址.

　�。�2）外網的安全管理情況；

　　辦公網網絡安全建設：天融信防火墻安全防護建設：在農商行辦公網INTERNET出口部署兩臺天融信防火墻提供了強大的網絡應用控制功能.用戶可以輕松的針對一些典型網絡應用，如MSN，QQ、Skype、即時通信應用，以及BT、訊雷等p2p應用實行靈活的訪問控制策略，如禁止、限時、乃至流量控制.還提供了定制功能，可以對用戶所關心的網絡應用進行全面控制.

　　能夠在核心網絡中同所有網絡設備一起構建高可用性及高安全性的拓撲結構，自身能夠實現(xiàn)A/A部署和狀態(tài)同步，能夠實現(xiàn)動態(tài)的鏈路切換，同時提供了電源冗余功能，最大限度地滿足了網絡的健壯性及穩(wěn)定性，保證了整個網絡的不間斷工作.

　�。�3）加密技術應用和私鑰的管理情況；

　　ARRY設備遠程網絡通訊安全保護建設：農商行辦公網已經部署了網絡通訊，INTERNET用戶可以連接到內部辦公網.采用網絡通訊技術，加強信息傳輸過程中的安全防范，可以在公共Internet網絡上提供安全通信.是企業(yè)遠程用戶、業(yè)務合作伙伴和供應商盡快實現(xiàn)通信和共享信息理想的安全性解決方案.根據(jù)業(yè)務系統(tǒng)的特點選擇對業(yè)務數(shù)據(jù)進行傳輸加密；對于網絡設備認證過程中敏感的信息進行加密.

　　制定了《農村商業(yè)銀行科技部密鑰管理制度》.

　　（4）防火墻的設置、維護和管理情況；

　　在網銀系統(tǒng)設置兩層物理防火墻，將網絡分為三個邏輯區(qū)域，及非授信區(qū)、�；饏^(qū)及安全區(qū).非授信區(qū)可理解為Internet，即存在潛在威脅的區(qū)域；�；饏^(qū)（DMZ）內部署網銀Web服務器、RA服務器以及其它直接向外部提供服務或者進行通訊的服務器，如Mail服務器、防病毒服務器等；安全區(qū)用戶部署網銀應用服務器、數(shù)據(jù)庫服務器、通信服務器等核心部件；

　�。�5）、設置入侵檢測系統(tǒng).

　　入侵檢測用在網絡關鍵節(jié)點設置探頭以偵測網絡數(shù)據(jù)中.

　　2. 網絡服務連續(xù)性、冗余性

　　1.所有重要通信線路均有備份線路且采用不同運營商，確保網絡無斷點.

　　2.網絡設備的冗余性：網絡設備均有備份.核心網絡設備，核心生產系統(tǒng)設備均采用雙機熱備，同城設有災備機房，確保關鍵生產設備運行的可靠性

　　3.訪問線路的帶寬完全能夠滿足各信息系統(tǒng)的帶寬需求，無網絡擁塞現(xiàn)象.

　　4. 網絡設備管理配置均由專人分管負責，確保合理操作，保障網絡通暢、安全；

　　5.日志服務器暫無，有網絡日志，但無集中審計，需加強網絡設備日志的安全審計. 3.信息系統(tǒng)可靠性

　　我行根據(jù)文件要求，對關鍵服務器、存儲器運行的可靠性，生產系統(tǒng)資源冗余度等進行了全面自查，情況如下: 1.系統(tǒng)重要設備和組件的冗余備份

　　經自查，關鍵生產設備均采用雙電源，服務器有UPS電源支持，且有RAID保護.系統(tǒng)具備較高的可用性，所有前置系統(tǒng)都有備機，且定期切換演練，系統(tǒng)重要設備和組件均有相應的定時備份.

　　2.制定各系統(tǒng)的應急預案，定期對預案修訂和培訓，目前，我行針對世博會演練了信貸系統(tǒng)切換，中心機房供電演練，影像支付系統(tǒng)演練，網銀系統(tǒng)惡意攻擊模擬演練.

　　3.設備和系統(tǒng)的維護和升級管理

　　設備、系統(tǒng)均有專人維護管理，部分設備、系統(tǒng)聘請專業(yè)公司人員進行升級維護，崗位人員均具備相關素質，并實行AB角色.

　　4.對外包系統(tǒng)要求開發(fā)商要對我行技術人員進行詳細的日常運行、維護培訓，把相關技術移交給我行技術人員，對涉及二次開發(fā)的系統(tǒng)要求開發(fā)商提供完整的二次開發(fā)手冊，培訓我行技術人員掌握二次開發(fā)技術

　　5.系統(tǒng)軟件的用戶授權及鑒別認證措施：系統(tǒng)軟件用戶密碼相關人員各自保管，重要系統(tǒng)管理密碼實行分左右手密碼保管原則，系統(tǒng)軟件用戶訪問實現(xiàn)權限控制，各級人員只能進行權限內操作.

　　6.系統(tǒng)變更管理:

　　制定了變更管理的主要準則和規(guī)章制度，變更管理的審批授權機制和工作流程；對變更管理進行登記、備案和存檔，制定了非計劃性緊急變更的實施方案、備份和恢復.

　　7.對系統(tǒng)日志及操作行為日志進行監(jiān)察審計，確保系統(tǒng)穩(wěn)定運行

　　8.系統(tǒng)容量管理計劃

　　系統(tǒng)處理容量增長趨勢完全滿足增量業(yè)務需求，并有適度冗余.

　　9.補丁更新

　　及時關注系統(tǒng)安全漏洞最新情況，及時對新發(fā)現(xiàn)的安全漏洞打上相關的安全補丁.經檢查當前系統(tǒng)已是最新最完整版本，已安裝了最新補丁

　　10.病毒、惡意代碼的安全防護

　　系統(tǒng)均安裝病毒查殺軟件，對病毒、惡意代碼進行安全防護.同時嚴格控制操作人員在機器上運行可能攜帶惡意代碼、病毒的腳本的外來第三方軟件

　　11.系統(tǒng)安全配置檢查

　　定期巡檢，對系統(tǒng)的安全配置實行不定期檢測，對可能存在的隱患進行排除.

　　4.應用安全

　　1.業(yè)務應用系統(tǒng)的用戶授權及鑒別認證措施

　　業(yè)務應用系統(tǒng)用戶密碼相關業(yè)務人員各自保管，通過操作號和密碼進行身份鑒別認證.人員離開時應設置屏幕密碼保護或退出到登陸狀態(tài).

　　2.業(yè)務應用系統(tǒng)的用戶訪問控制

　　系統(tǒng)軟件用戶訪問實現(xiàn)權限控制，各級人員只能進行權限內操作

　　4.數(shù)據(jù)安全、備份可用性

　　1.數(shù)據(jù)備份策略及備份數(shù)據(jù)的可用性

　　（1）對各應用系統(tǒng)指定相應備份策略，指定不同級別的具體備份操作，每次備份完畢應檢查備份數(shù)據(jù)的有效性，并異地妥善保管好磁介質，重要數(shù)據(jù)永久保存

　�。�2）應定期執(zhí)行恢復程序，檢查和測試備份介質的有效性，確保可以在恢復程序規(guī)定的時間內完成備份的恢復.

　�。�3）不定期對數(shù)據(jù)進行抽檢，與業(yè)務所在日期數(shù)據(jù)進行比對核實.并有應急恢復預案，及同城異地災備系統(tǒng)確保數(shù)據(jù)恢復性.

　　2.數(shù)據(jù)安全性

　　（1）敏感數(shù)據(jù)的傳輸和存儲加密：敏感數(shù)據(jù)傳輸實行加密管理，存儲的一些敏感數(shù)據(jù)實行加密亂碼顯示.

　�。�2）重要業(yè)務數(shù)據(jù)的通信完整性檢測重要業(yè)務數(shù)據(jù)通信檢測完整、正常.

　�。�3）重要業(yè)務數(shù)據(jù)的備份策略及恢復測試機制重要業(yè)務數(shù)據(jù)定時備份，專人存儲保管，有完整的應急恢復預案.

　　（4）建立了同城異地災備中心，并制定了《江蘇農村商業(yè)銀行異地容災項目災難恢復計劃書》，內容包括危險級別的定義劃分、決策流程、災難恢復團隊、日常備份和恢復流程、災難響應和行動流程、災難切換流程、災備系統(tǒng)回切流程、災難恢復計劃的測試、維護等.還包含了涉及系統(tǒng)設備的具體清單、操作步驟等，預計RTO為6小時以內，RPO較低.

　　5.運行維護監(jiān)控系統(tǒng)

　　我行根據(jù)文件要求，對信息系統(tǒng)的監(jiān)測預警進行了全面自查，情況如下:

　　1.監(jiān)測預警制度、流程及自動化監(jiān)控平臺

　　已建立完善監(jiān)測預警制度、流程，機房環(huán)境、參數(shù)，系統(tǒng)的運行狀況，CPU使用情況、文件系統(tǒng)使用情況等均實現(xiàn)自動化監(jiān)控.

　　2.監(jiān)測預警組織結構及人員設置

　　每天有人員24小時值班，檢查系統(tǒng)及網絡運行狀況，及時發(fā)現(xiàn)問題，監(jiān)測預警專人負責，按照警報級別逐級上報，確保故障的及時排除.

　　3.監(jiān)測預警日志

　　設立監(jiān)控日志，每日由監(jiān)測預警人員負責記錄. 4.監(jiān)測預警文檔的`完備性

　　有監(jiān)測預警文檔說明，但不夠完善.

　　5.與電力供應部門、網絡供應商、公安部門等外部機構均有相應的應急聯(lián)動機制，我行正在實施保衛(wèi)部網點聲光聯(lián)動報警，做到入侵報警設施與照明、視頻安防監(jiān)控及聲音復核等設備聯(lián)動

　　三、不足和改進方法

　　1.需將管理與技術相結合，進一步加強信息安全管理手段

　　從IT風險管理手段來看，部分系統(tǒng)的風險控制不夠先進，缺乏專業(yè)的風險技術支持，事前預防作用有限，事中控制不夠.缺乏對科技風險的集中審計.本行將引進AAA統(tǒng)一認證管理系統(tǒng)，加強系統(tǒng)用戶的授權，權限控制和賬號管理.架設日志服務器，對系統(tǒng)日志進行集中收集和審計.

　　通過平臺對所有用戶進行統(tǒng)一的授權.采用基于角色的授權機制，按照內部的組織結構劃分角色，并為用戶綁定角色.對于不同的角色分配不同應用系統(tǒng)的訪問權限.平臺依靠記錄追蹤用戶和管理人員的訪問過程，建立一套全面的、有效的回溯和追查機制.可以實時監(jiān)測用戶對各應用系統(tǒng)的訪問狀態(tài)，及時發(fā)現(xiàn)非法訪問事件，對出現(xiàn)的問題進行事后追溯和責任追究提供實證.通過對系統(tǒng)運行狀態(tài)實時監(jiān)控審計，增強系統(tǒng)的可維護性.

　　2.進一步完善計算機系統(tǒng)安全管理制度

　　本行已經在內部建立并健全了一系列的計算機系統(tǒng)安全管理制度，并由稽核部門對銀行計算機系統(tǒng)進行專項稽核，但未配備專門的稽核人員，在廣度和深度上不夠，因此對照新指引的精神，從組織上保證信息風險有具體人員來承擔責任，強化執(zhí)行力和合規(guī)性.將日常信息風險管理從傳統(tǒng)的檢查模式逐步過渡到基于評估、規(guī)劃、執(zhí)行和監(jiān)督全面循環(huán)改進的模式.制訂詳細的IT風險管理架構，確立IT服務管理與IT風險管理的關系，明確IT風險管理的范圍、職責，制訂符合銀行實際情況的管理流程，出臺可操作性強的安全技術規(guī)范，加強開發(fā)過程的風險控制.從而有效地防范科技風險.

信息科技風險自查報告7

　　一、網絡運行風險

　　來自互聯(lián)網和移動磁介質上病毒的攻擊。隨著我區(qū)農村信用社電子化建設的發(fā)展，計算機技術在農村信用社各項業(yè)務中的廣泛應用，部分員工因病毒防范意識較為薄弱，加上計算機水平又是參差不齊，有的員工很難主動發(fā)現(xiàn)客戶端系統(tǒng)出現(xiàn)的漏洞從而實施補丁升級，U盤濫用且從不進行病毒掃描，這樣就容易造成內部信息泄漏或網絡阻塞，中斷重要業(yè)務的正常運行。

　　二、操作流程風險

　　隨著業(yè)務的更新和科技步伐的加快，員工的計算機操作業(yè)務能力與嚴格執(zhí)行規(guī)范程序不適應,綜合柜員制未能全面落實,不能夠完全掌握農信社的各項業(yè)務操作流程及處置程序,必然會造成操作失誤而導致風險。操作風險大致分為以下幾方面:

　　1、操作行為不規(guī)范,安全防范意識差。目前，我區(qū)農村信用社計算機操作員一般只通過了短期輔導培訓，未能全面掌握計算機理論知識及運用技術，主要表現(xiàn)在：

　　一是一些操作人員對計算機知識的缺乏，經常出現(xiàn)操作性錯誤；

　　二是操作人員基本安全意識不強，缺乏安全防范意識；

　　三是人員調離或崗位變動時不及時注銷操作員，導致操作員不便于管理；

　　四是人離機不退，個別人隨意離開工作崗位，也不簽退，給他人可乘之機，造成了嚴重的信息安全隱患。

　　2、不嚴格執(zhí)行操作流程，造成安全隱患。由于部分員工跟不上當前農村信用社電子化建設步伐，對推出的硬件設備以及電子化產品及功能不熟悉或風險意識不強等原因造成了在操作過程中出現(xiàn)系列風險。

　　一是操作人員不嚴格執(zhí)行硬件設備的操作流程，造成設備損壞，致使重要業(yè)務中斷的.風險；

　　二是沒有定期對機器除塵、保養(yǎng)，使微機在較惡劣環(huán)境下帶“病”工作，計算機運行報錯或元器件損壞時有發(fā)生，影響了信用社窗口的服務效率和形象；

　　三是不嚴格按照業(yè)務操作流程操作業(yè)務系統(tǒng)程序，給他人或科技結算中心造成不必要的負擔。

　　為此我們將嚴格按照省市聯(lián)社關于計算機管理的一系列相關要求，對日常計算機信息管理中存在的問題經行重點監(jiān)督和整改：

　　1、嚴格業(yè)務系統(tǒng)、辦公系統(tǒng)與因特網等公眾系統(tǒng)的隔離，無法隔離的要隨時升級殺毒程序，同時嚴格移動磁介質的使用范圍、殺毒流程。加強員工計算機知識培訓，提高員工的電腦操作技能，制定防毒策略，養(yǎng)成良好的上網習慣，嚴防病毒侵害。

　　2、加強對一線人員的操作流程、各項基本規(guī)定的培訓，加強對信息專管員的培訓，提高其處理計算機及網絡故障、防范計算機及網絡風險的能力；對業(yè)務操作人員要重點抓好計算機知識的普及培訓工作，建立各種形式的崗位培訓和定期輪訓制度，提高職工的政治素質、業(yè)務技能、敬業(yè)精神、計算機業(yè)務操作水平和安全防范綜合能力。一線人員的操作和授權不能流于形式，堅決杜絕各種混崗現(xiàn)象，嚴格遵循管理制度。

　　3、嚴格操作規(guī)范及操作權限管理

　　隨著農村信用社的發(fā)展，信貸系統(tǒng)，財務系統(tǒng)，OA系統(tǒng)的成功上線并投入使用，操作人員必須學習和掌握農村信用社的操作流程和各項規(guī)章制度,加強制度執(zhí)行力的管理。操作員密碼必須定期不定期修改，并嚴格按規(guī)定設置操作員及操作員密碼，還需定期修改密碼，多用字母或符號，嚴禁使用6位相同數(shù)字或電話號碼或生日號碼等，嚴禁口頭或電話告知操作密碼。

　　4、加強內控建設，強化監(jiān)督，完善防范機制。首先，建立柜員崗位制約為主，做到責任到崗、落實到人、相互制約、互相監(jiān)督。其次，全面落實以主任、內勤主任為主的監(jiān)管體系，確保做到實時監(jiān)管，及時發(fā)現(xiàn)問題，及時進行整改，消除風險隱患。再則，加強會計事后監(jiān)督和電視監(jiān)控系統(tǒng)管理，加大查處力度，重點是督促基層社各項計算機制度執(zhí)行與落實，提升基層執(zhí)行力，以此推進和完善防范制度，切實做到防患于未然。

　　5、日常維護方面，由基社信息專管員負責每周一次對機房衛(wèi)生清理和設備故障排查，發(fā)現(xiàn)問題及時上報科技信息部處理；每月在各基社網點信息專管員的配合下，對網絡設備的運行和管理進行維護和檢查至少一次，全轄的ATM和POS機由科技信息部統(tǒng)一管理，落實基社網點專人負責，加大專管人員的培訓，使日常操作、維護工作和安全防范措施得以落實。

【信息科技風險自查報告】相關文章：

信息科技自查報告03-25

銀行信息保護風險自查報告11-23

風險自查報告01-19

信息安全風險排查報告03-25

網絡信息安全風險評估報告02-24

科技創(chuàng)業(yè)公司面對的風險有哪些07-31

聲譽風險自查報告04-21

保險風險的自查報告05-15

風險排查自查報告07-23