银行跨银行现金管理产品实施运维安全管理办法(修订稿-不含外包)模版.docx

*银行跨银行现金管理产品实施运维安全管理办法第一章 总 则第一条 为规范全行跨银行现金管理产品实施运维的安全管理，依据有关*银行跨银行现金管理业务管理办法、*银行信息安全和保密管理规定、*银行信息科技外包风险管理指引及有关规定，特制订此办法。第二条 本办法所称的跨银行现金管理产品包括标准版、定制版以及附属的跨银行交换中心等。其中，定制版包括（但不限于)集团财资管理平台（M)、跨境资金管理平台(CBS-TT)、海关资金管理系统BS、住房公积金管理系统CB等产品。第三条 本办法中所规范的实施运维工作，是指客户申请我行跨银行现金管理产品CBS后,在项目管理过程中，所开展的项目实施、故障处理、使用指导、升级维护、系统安全保障、项目个性化开发等工作。第四条 跨银行现金管理产品CBS的实施运维安全管理工作，主要由总行信息技术部、总行交易银行部、分行信息技术部、分行交易银行部(公司银行部）以及运维外包供应商共同参加管理。第五条 本办法中所指BS实施运维团队,主要为总行CS运维中心、分行CBS项目组中负责实施运维的成员、总行建立并派驻异地外包运维人员以及分行依据有关总行规定建立的分行外包运维人员。第六条 本办法适用于全行B运维团队以及外包运维服务活动,各分行应依据有关本办法要求开展CBS运维外包管理工作，并可依据有关本办法所有要求，拟定相应实施细则或工作流程。第七条 CB实施运维工作涉及客户及我行重要商业秘密信息,应严格依照*银行信息安全和保密管理规定做好信息安全和保密工作。第二章 职责分工 第八条 总行信息技术部的职责包括:（一)负责拟定运维安全管理办法，组织全行开展实施运维工作；（二)负责结合全行跨银行现金管理业务发展,筹建覆盖全行的CBS实施运维团队,建立实施运维体系、安全规范管理等。(三)建立总行CS运维中心，负责总行托管环境运维工作,以及管理规范分行非托管环境运维工作；(四)负责第三方运维外包供应商的准入管理、尽职调查、评估、退出管理；（五）负责管理全行CBS实施运维团队,监督分行运维团队及外包运维人员运维工作，并对违规情形进行调查和认定。（六)负责对全行外包运维人员的工作绩效进行季度考核。第九条 总行交易银行部的职责包括:（一)负责参加全行CB实施运维体系建设规划与统筹沟通协调;（二）负责依据有关业务推广需要调度和使用总行建立的CBS实施运维外包资源，及时受理总行有关部门以及分行运维外包资源调度申请；（三)负责对全行实施运维团队的绩效进行评估和建议或意见反馈；(四)负责指导、管理分行对运维违规情形的处理工作；协助分行对外包服务商违规行为进行调查、认定及处理;负责监督分行运维团队及外包服务商违规行为，并参加对违规情形进行调查和认定。第十条 分行信息技术部的职责包括:(一)负责建立以行内职工或员工为主分行CBS实施运维团队，保障业务发展需要;(二)负责依据有关总行规范选择本地运维外包供应商; (三）负责对总行信息技术部派驻分行的运维外包资源以及分行自建的外包资源进行日常管理; （四）负责协助配合分行交易银行部,与总行派驻外包运维人员共同承担跨银行现金管理项目的实施上线、客户培训以及系统运行维护工作;对于非托管项目，负责客户现场生产环境的实施及运维管理；(五）负责对客户个性化需求包括报表需求，按总行开发管理规范提供个性化开发支持;(六）负责按总行运维安全管理要求,对总行派驻外包运维人员的实施运维工作进行安全管控，协助对违规情形进行调查和认定。第十一条 分行交易银行部(公司银行部）的职责包括：（一）使用分行运维团队进行BS项目的实施和运维;(二)负责对总行派驻分行外包运维人员进行业务培训、向总行定时反馈派驻人员的工作情形;(三)负责协助配合分行信息技术部选择合适的外包供应商；(四）负责对分行运维团队进行评估；(五）协助分行信息技术部对总行派驻外包运维人员的客户现场实施运作工作进行安全管控，协助对违规情形进行调查和认定。第十二条 为确保运维安全,分行运维团队核心骨干成员需由行员编制成员承担，具备专业的技术能力和业务能力对外包团队进行管理和使用;分行自建的外包团队成员不得低于总行派驻分行的外包运维人员数量，否则需要取得总行交易银行部认可。总行交易银行部有权依据有关全行业务需要，紧急抽调派驻分行的外包运维资源进行全行范围协同。第十三条 对于定制版、非托管等CBS项目分行需配备3人以上的开发运维人员，负责个性化需求开发、内部系统接口开发等工作。不得安排第三方外包运维人员或非招行人员负责、参加开发工作。第十四条 分行运维团队的开发人员需要具备报表及客户端代码、直联接口、ER接口开发能力;运维人员需要具备服务器安装部署能力、熟练掌握直联实施部署能力。 第三章 实施运维工作流程第十五条 系统实施（一)对于新开通CBS项目，工作流程包括项目前期的筹备、客户使用培训、程序安装、基础数据初始化、客户个性化参数设置,各银行银企直联的协助开通、直联前置机部署、直联的安装调试,以及系统上线试运行的现场支持等工作。详尽工作内容参照附件CBS实施运维手册执行。（二)对于非托管项目，在上述工作流程之前,还包括客户生产环境有关软硬件、网络筹备的协助支持和安装部署,以及系统后台服务程序的部署等工作。第十六条 使用支持对客户的系统使用提供支持,包括操作讲解、使用咨询、问题解答、程序更新、协助进行数据维护等工作，对客户提出的系统改进需求予以处理和答复。第十七条 故障处理对客户在系统使用过程中出现的故障进行处理,对故障进行现场解决，或协助总行CBS运维中心进行故障定位、跟踪和反馈,对于银企直联问题涉及到对方银行的,还需要与对方银行沟通协调沟通。对于非托管项目，还需要对生产环境软硬件的故障进行处理。第十八条 更新发布在系统有新版本发布时,需要协助客户履行程序更新,并进行有关更新功能的介绍；如涉及到该客户的升级需求，在上线之前的UA阶段,需要对有关功能进行UA测试。对于非托管项目,需要严格按总行的说明和指导进行客户生产环境的更新发布,并在发布履行后进行有关验证。第十九条 沟通机制分行运维团队要与总行CS运维中心建立良好的沟通机制,重要的实施或运维行动要提前通知，在实施运维工作中保持密切联系，并做好客户的沟通协调工作，以便对客户提供及时高效率的运维服务。第二十条 培训指导对新上线项目、新版本新功能发布以及客户提出在协议范围内的培训要求，进行及时培训支持。第二十一条 需求管理项目推进过程中收集到的客户反馈的系统优化需求,首先依据有关客户需求分析判断,属于培训指导能够解决的需求，直接负责处理。属于需要进行开发实现的提交总行进行需求评估，属于通用类功能总行统一规划版本进行开发,属于个性化功能由分行运维团队负责开发。第二十二条 个性化需求开发经总行评估需要分行运维开发人员进行个性化开发的需求，由分行参照总行开发流程,自行进行开发的流程管理和监控,需要合并代码的ST测试和UA测试由总行统一安排,其他类型需要分行严格执行测试流程和步骤，保障分行开发代码的质量和稳定性。第四章 实施运维保障措施第二十三条 岗前培训（一）新建运维团队或新人上岗前,必须进行系统的实施运维培训,认真学习BS实施运维手册及其有关文档。（二）模拟操作,各分行实施运维人员需要在总行提供的演示环境中操作,熟练掌握实施流程和步骤。尤其是银企直联实施,每次实施前必须进行上机模拟操作。(三)分行可申请总行B运维中心进行远程培训,或者赴总行CBS运维中心进行现场培训指导。(四）对于非托管项目,要求分行技术人员必须赴总行进行服务器部署的现场培训，并在分行搭建模拟环境进行演练操作。第二十四条 过程监控管理(一)项目实施过程。分行必须严格按总行CBS运维中心CBS实施运维手册中流程执行，严格各环节的操作规范。（二)重大运维事件监控。对于重大项目的实施、重点功能的客户试用、非托管的更新升级、客户的特殊要求等较重大事件,需要总行CB运维中心进行支持的,分行运维团队必须要提前一周知会总行CS运维中心有关人员。对于客户数据维护类、数据导出类运维操作，必须严格按总行运行中心的管理流程进行申请,并依据有关总行BS运维中心的处理时间做好客户沟通协调工作。第二十五条 结果反馈对于需要分行操作的新银企直联或者直联新功能的测试、系统重大升级客户试点使用等运维工作，尤其是非托管项目的版本升级等工作,必须按总行BS运维中心要求进行有关结果的反馈,由总行CBS运维中心进行运维结果的检查,并依据有关建议或意见进行相应的调整操作。第二十六条 故障处理对于客户系统使用过程中出现的故障,分行必须第一时间联系总行CS运维中心,重大故障必须赴客户现场,提供或指导客户提供有关的截图、日志等资料文件资料,协助总行CB运维中心进行故障定位。对于有及时解决措施的,分行需协助总行CS运维中心进行有关措施的现场执行,并跟踪反馈故障处理结果。对于必须升级系统解决的,分行需按总行CS运维中心提供的临时解决办法指导客户操作，并此期间做好客户沟通和沟通协调工作。有关责任认定及处罚依照*银行案件及重大安全事故处置办法执行。第二十七条 升级管理(一）CB版本升级后,对于包含有所属客户升级需求的，分行应及时通知客户进行程序升级，并跟踪反馈其使用情形；（二）对于CBS增加的新功能，分行应依据有关总行推广的策略进行客户推广,在给客户使用前,必须进行该新功能的学习并指导客户操作,同时提前通知总行BS运维中心进行有关开通工作。（三）对于新功能需要进行客户试点，分行应按总行试点要求协助配合进行客户试点工作；（四)对于直联、EP有重大升级或者架构替换的,分行必须按总行CBS运维中心的要求及安排,赴客户现场进行升级替换,并提前通知总行CBS运维中心进行远程指导和协助。(五）非托管项目的升级由分行自行把握，每年不少于2次。升级前分行必须进行模拟发布，确认无误后方可进行非托管客户的更新发布,并且应提前知会总行CBS运维中心进行远程协助指导。发布履行后应将有关升级日志提交总行进行结果检查,并在客户开始使用后的前几天进行现场支持，出现问题及时处理，以保证系统的稳定运行。(六)TMS项目的升级维护开发由分行承担，上线发布必须严格按总行项目管理的流程进行操作,托管的项目由总行CBS运维中心进行发布操作，分行开发人员协助并进行验证。第二十八条 运行监测（一）对于托管项目,总行CS运维中心会定时进行监测,检查风险隐患。对于直联前置不稳定、直联故障指令较多、支付失败较多等问题较多的客户，分行应协助配合总行CBS运维中心进行问题定位，并按总行的要求或建议措施指导客户进行整改。（二)对于非托管项目,分行应按总行CS运维中心要求定时进行监测检查,反馈检查结果，并依据有关总行的检查建议或意见进行改进。（三)总行、分行信息技术部应该对系统出口、入口的网络、端口、软件接口状态以及系统交易量、交易日志等数据进行实时监控,及早发现问题隐患,降低事件发生概率,监控系统风险并拟定应急措施。 第五章 实施运维信息安全保障要求第二十九条 信息安全保密管理(一）在跨银行现金管理平台CB产品涉及客户重要的资金数据，属于重要商业秘密。保密等级为“商业秘密一级”，对于行员泄密事件均依照*银行信息安全保密管理规定处置,对于外包运维人员泄密事件,依据有关责任认定追究各环节人员及公司的法律责任。（二)CB实施运维团队成员及有关人员，均需要签署保密协议和竞业限制协议，加强实施运维要害岗位工作人员的信息安全管理。（三)因为项目实施、故障处理、客户维护等原因，需要接触或处置客户数据的，必须双人以上在场处理。并征得客户同意，要求客户知情、在场、限时的情形下进行操作处理。尽量留存法律认可的客户授权证据,包括(但不限于）书面授权资料文件、正式邮件、授权许可的录像、录音资料文件等。（四)短暂持有涉密数据期间,严禁擅自复制、篡改，严禁向任何第三方提供。如直联日志、统计报表、交易数据等,必须在运维终止时，当场删除或销毁数据,不得留存副本。（五)客户提供的临时性操作用户及密码,包括(但不限于)系统登录、直联前置登录、数据库登录、进行R配置登录的用户和密码，临时用户的权限应依据有关“必须知道”和“最小授权”的原则进行分配。必须在运维操作终止时主动要求客户更换、冻结用户或进行密码变更。不得在客户不在场的情形下使用任何客户提供的有关用户密码进行登录处理,客户知情且授权情形下除外。(六)对于BS正常的业务数据的内部统计分析，需考虑客户信息安全。在数据加工时要进行敏感信息屏蔽、筛选、剔除等操作,确保统计分析结果不暴露客户隐私和商业秘密。在统计分析结果使用时,要进行范围监控、授权管理、只读、不得下载利用等操作，确保分析结果的受限查阅。对分行申请提供的业务数据统计结果,只提供最终汇总数据及百分比数据，不得提供可直接推算和拆分出客户敏感数据的结果。最终数据的说明和提供权为总行交易银行部所有。第三十条 Lnse的管理客户生产环境的licnee资料文件，为CS客户端程序重要的身份认证、办公地址识别、运行安全监控资料文件。错误的安装和使用将致使，无法正常登录。分行运维人员不得复制、占有或挪作他用。尤其在项目开通时licnese资料文件的下发和系统管理员初始密码的下发必须不同渠道独立发送，不得由我行同一人员送达。 第三十一条 银企直联安全管理银企直联实施和运维包括，直联前置程序的安装、参数的配置、直联指令的调试以及日志分析等工作。（一)在有关的实施运维工作中,应要求客户方人员进行陪同操作或在对方机房监控区域操作，避免事故追责认定为我方人员单方面行为。对于接触到的前置机用户和密码、直联前置程序用户和密码、进行直联参数配置的CBS用户和密码、各银行UK的密码必须严格保密及处置,未能擅自留存记录。有条件进行更改密码的，有关工作履行后应提醒客户进行密码的更改。（二）在直联正式环境中进行调试时，应该指导用户进行对应业务指令的发送,尤其是涉及到支付指令的操作,不得由我行运维人员自己操作。正式使用系统时,如有支付业务，务必建议客户先选择金额较小的业务进行支付以防止意外。(三）在进行直联的故障分析时,如必须要对交易日志进行分析或提供总行CBS运维中心时，应该依照日志查询的有关流程进行审批，确保该日志资料文件不会外传。运维终止后，必须销毁流转的日志资料文件。不得擅自拷贝前置机的日志资料文件或保留副本。（四)直联实施履行后，必须按总行BS运维中心提供的直联安全管理文档，对客户进行直联安全管理的培训。第三十二条 ERP对接安全管理RP对接的实施运维包括,中间数据库以及有关表的建立、相应数据对接的开通及参数配置、与客户软件方的调试以及将来出现问题的处理。在实施运维工作中,需要对中间数据库表进行查询或更改操作时，必须要求客户方人员在场，对于查询出来的数据不得外传,维护履行后必须销毁，对于更改操作，必须进行记录并报备。第三十三条 非托管项目的安全管理非托管项目由于生产部署在客户方，并且由分行运维人员进行日常运维,因此需要对生产环境进行严格的管理。(一)对于服务器的部署以及版本升级的上线发布，必须严格按总行CBS运维中心的要求和指导进行操作，同时在操作履行后必须提供有关日志给总行CS运维中心进行检查；(二）对于故障运维，如涉及到要对生产环境的软硬件或者数据进行维护时,必须请示总行CBS运维中心,由总行运维中心进行分析决策，并依照分行信息科技部拟定的变更管理流程指导分行进行操作,每次维护必须进记录，并把维护内容以及结果反馈给总行CS运维中心。(三）运维团队在客户现场进行运维操作时，应严格遵守客户现场的管理要求,由客户方人员陪同,并提供有关维护内容。第六章 附则第三十四条 本办法由总行信息技术部负责说明。第三十五条 本法办自*年*月1日起施行。附件：外包项目申请表跨银行现金管理项目实施运维工作任务单跨银行现金管理CBS项目实施手册