农村合作金融机构计算机信息系统应急管理办法.docx

农村合作金融机构计算机信息系统应急管理办法总 则为规范农村合作金融机构计算机信息系统（以下简称信息系统）的应急管理工作，提高应对突发事件的综合管理水平和应急处置能力，有效防范信息系统风险，根据中华人民共和国突发事件应对法、银行业重要信息系统突发事件应急管理规范（试行）以及相关规章制度，制定本办法。农村合作金融机构计算机信息系统应急管理工作原则包括：（一） 健全机制。建立统一指挥、协调有序的应急管理机制，主动开展应急管理工作，定期演练和评价应急预案，持续改进本机构的应急预案和相关协调机制。（二） 明确职责。明确各级农村合作金融机构在应急管理工作中的职责，以保障各级机构业务连续性为目标，以落实和完善应急预案为基础，全面加强信息系统应急管理工作，并制定有效的问责制度。（三） 预防为主。建立和完善信息系统突发事件风险防范体系，对可能导致突发事件的风险进行有效地识别、分析和控制，并对风险指标动态、持续监测，减少重大突发事件发生的可能性。（四） 处置高效。加强应急处置队伍建设，提供充分的资源保障，确保突发事件发生时反应快速、报告及时、措施得力、操作准确，降低突发事件可能造成的损失。本办法适用于农村信用社联合社及辖内各级农村合作金融机构。术语定义本办法指的信息系统可分为两类：重要信息系统与非重要信息系统。重要信息系统是指支撑全省农村合作金融机构关键业务的信息系统，主要包括面向客户、涉及账务处理且时效性要求较高的业务处理类、渠道类和涉及客户风险管理等业务的管理类信息系统，以及支撑上述系统运行的前置机、客户端、机房、网络等基础设施；非重要信息系统是指除重要信息系统外的其它信息系统。本办法所称业务服务时段是指信息系统所承载业务对客户提供服务的时间。本办法所称突发事件是指信息系统以及为之提供支持服务的电力、通讯等系统突然发生故障，影响业务持续开展，需要采取应急处置措施应对的事件。本办法所称信息系统应急管理是指贯穿于整个信息系统生命周期中，通过风险防范与处置、应急响应、应急保障以确保信息系统能够满足业务发展战略对业务连续性要求的管理。本办法所称信息系统风险是指信息资产遭受损坏并给农村合作金融机构带来负面影响的潜在可能性。本办法所称剩余风险是指采取了风险控制措施后仍不能被完全消除的信息系统风险。组织机构与职责省联社信息系统应急管理领导小组是全省农村合作金融机构信息系统应急管理领导组织，其应急管理职责是：（一） 制订全省应急管理策略和基本管理制度并报理事会和高级管理层审定；（二） 统一组织、协调、指导、检查信息系统应急管理，指导各级机构信息系统应急管理工作，指导、督促、检查各级机构信息系统应急演练；（三） 定期分析风险状况和总结信息系统应急管理成效，履行向理事会和高级管理层报告职责，履行向监管机构的报告职责。省联社科技信息中心和相关业务管理部门负责全系统信息系统应急管理工作的具体落实，具体职责有：（一） 制定全系统信息系统应急预案；（二） 组织做好全系统信息系统运行监测和维护；（三） 实施全系统信息系统应急处置,评估总结信息系统应急处置过程中暴露的问题并整改；（四） 履行向省联社应急管理领导小组的报告职责；（五） 定期组织全系统信息系统应急演练；（六） 持续改进全系统信息系统应急预案；（七） 针对各类重要信息系统建立相应的业务应急预案和操作流程，并进行持续改进和优化。各法人行社负责本辖内信息系统应急管理工作，具体职责有：（八） 制定本行社信息系统应急预案；（九） 组织做好本行社信息系统运行监测和维护；（十） 在省联社的指导下实施本行社信息系统应急处置,评估总结信息系统应急处置过程中暴露的问题并整改；（十一） 履行向省联社应急管理组织的报告职责；（十二） 定期组织本行社信息系统应急演练；（十三） 持续改进本行社信息系统应急预案；（十四） 针对各类重要信息系统建立相应的业务应急预案和操作流程，并进行持续改进和优化。全省各级农村合作金融机构应组建应急团队，在发生信息系统突发事件时，能够做到及时实施应急处置工作。应急团队应包括但不限于应急领导小组、应急执行小组、支持保障小组。（一） 各级机构主要负责人担任应急领导小组组长，各相关职能部门为应急领导小组成员，其职责是：1.负责信息系统突发事件的应急指挥、组织协调和过程控制；2.明确新闻发布人，授权其在应急过程中统一对外信息发布口径；3.宣布重大应急响应状态的降级或解除；4.向上级管理层报告应急处置进展情况和总结报告。（二） 应急执行小组由信息科技部门和相关业务部门主要负责人组成，对应急领导小组负责，其职责是：1.具体实施信息系统应急处置工作；2.对信息系统突发事件业务影响情况进行分析和评估；3.收集分析信息系统应急处置过程中的数据信息和日志。4.向应急领导小组报告应急处置进展情况和事态发展情况。（三） 支持保障小组由办公室、人力资源、计划财务、合规与风险、安全保卫等部门负责人组成，对应急领导小组负责，其职责是：1.提供应急所需人力和物力等资源保障；2.做好对受影响客户的解释和安抚工作；3.做好秩序维护、安全保障、法律咨询和支援等工作；4.建立与电力、通讯、公安和消防等相关外部机构的应急协调机制和应急联动机制；5.其他为降低事件负面影响或损失提供的应急支持保障等。突发事件分级农村合作金融机构突发事件依照其影响范围及持续时间等因素分级。当突发事件同时满足多个级别的定级条件时，按最高级别确定突发事件等级。突发事件的定义分级如下：（一） 特别重大突发事件（级）1.由于重要信息系统服务中断或重要数据损毁、丢失、泄露，造成经济秩序混乱或重大经济损失、影响金融稳定的，或对公众利益造成特别严重损害的突发事件；2.由于重要信息系统服务异常，在业务服务时段导致全系统业务无法正常开展达6个小时（含）以上的突发事件；3.业务服务时段以外，重要信息系统出现的故障或事件救治未果，可能产生上述1至2类的突发事件。（二） 重大突发事件（级）1.由于重要信息系统服务中断或重要数据损毁、丢失、泄露，对农村合作金融机构或客户利益造成严重损害的突发事件；2.由于重要信息系统服务异常，在业务服务时段导致全系统业务无法正常开展达3个小时（含）以上的突发事件；3.业务服务时段以外，出现的重要信息系统故障或事件救治未果，可能产生上述1至2类的突发事件。（三） 较大突发事件（级）1.由于重要信息系统服务中断或重要数据损毁、丢失、泄露，对农村合作金融机构或客户利益造成较大损害的突发事件；2.由于重要信息系统服务异常，导致全系统业务无法正常开展达半个小时（含）以上的突发事件；3.业务服务时段以外，出现的重要信息系统故障或事件救治未果，可能产生上述1至2类的突发事件。（四） 一般事件（级）1.由于重要信息系统服务异常，在业务时段导致一个或多个营业网点业务无法正常开展达半个小时（含）以上的突发事件。2.由于非重要信息系统异常，不能提供正常服务而引起的事件。重要信息系统突发事件发生后，各级机构应依据事件影响范围和影响时间的变化，按照上述定义进行事件级别升级。风险防范省联社的信息系统风险防范措施：（一） 根据信息系统恢复指标和系统间的依赖关系，确定各信息系统应急响应恢复优先顺序，并系统化地识别信息技术资源风险，包括基础设施类风险、主机和硬件设备类风险、系统类风险、应用类风险、网络类风险等，以确保风险识别的全面性。（二） 对关键信息技术资源建立监测指标体系以及相关的日常监测与预警机制，对监测指标的异常波动及时预警，并定期测试与修订监测指标体系以确保其有效性。（三） 系统上线、系统升级、网络改造、设备更新等关键信息技术资源发生重大变更及业务种类和交易量发生重大变化时，应重新识别、分析、控制风险，并更新剩余风险评估和风险事件监测与预警。（四） 与电力、通信等重要基础设施服务商，主机、网络、存储等重要设备服务商，系统集成服务商以及其他外包服务商签订服务水平协议，并对服务商的技术与产品政策、服务水平、服务能力发生变化可能产生的影响及时进行风险评估和预警。各法人行社的信息系统风险防范措施：（一） 负责制定本行社的风险防范措施，并通过场景模拟、压力测试等手段验证风险防范措施的有效性。在突发事件应急处置后，应评估已有风险防范措施的有效性并加以改进。（二） 依据风险防范措施对关键信息技术资源进行剩余风险评估，明确剩余风险的监测方法与预警条件，并将其纳入信息系统风险事件监测与预警体系中。（三） 建立关键时点监测与预警机制，在重大业务活动、重大社会活动、信息系统重大变更等关键时点加强风险监控和预警，并及时向有关职能部门进行风险提示，多部门协同做好应急准备。（四） 与电力、通信等重要基础设施服务商，签订服务水平协议，并对服务商的技术、服务水平、服务能力发生变化可能产生的影响及时进行风险评估和预警。应急预案与演练全省各级农村合作金融机构应根据恢复时间目标（RTO即业务功能恢复正常的时间要求）和恢复点目标（RPO即业务功能恢复时能够容忍的数据丢失量），结合风险控制策略，从信息系统不同方面，分类制定本机构应急预案。各级机构编制的信息系统应急预案应包括以下内容：（一） 明确有关各方的分工和责任；（二） 说明重要信息系统的业务影响范围、恢复时间目标、恢复点目标、以及信息系统包括的系统资源，明确资源的物理位置、设备型号、软件资源、网络配置等关键信息；（三） 明确各类故障的诊断方法和流程；应急场景应至少覆盖电力故障、火情水灾、治安、病毒爆发、网络攻击、人为破坏、不可抗力、计算机硬件故障、操作系统故障、系统漏洞、应用系统故障以及其他各类与信息系统相关的故障；（四） 制定系统恢复流程和应急处置操作手册，尽可能将操作代码化、自动化，降低应急处置过程中产生的操作风险；（五） 明确应急恢复过程中的关键状态，并明确不同状态的沟通和报告内容及等级；（六） 明确应急相关人员的协调内容和沟通方式；（七） 明确系统重建步骤，确保信息系统恢复正常业务处理能力。省联社和各法人行社应将支撑信息系统运行的重要外包服务的应急管理纳入其中，建立重要外包服务的专项应急预案，对于重要基础设施、重要设备、网络、系统集成以及其他外包服务商的技术与产品政策、服务水平、服务能力制定风险应对措施，外包服务的应急预案应能够保障我省农村合作金融机构信息系统恢复时间目标（RTO）和恢复点目标（RPO）的要求。各级机构应定期对应急预案进行测试和演练，确保其有效性。当信息系统发生系统上线、系统升级、网络改造、设备更新、配置参数调整等变更时应及时更新应急预案，并适时实施演练。省联社负责制定全系统年度信息系统应急演练计划，明确演练的时间、内容、依据、目的、负责人和相关配合机构等要素。演练计划应涵盖对应急预案各环节的检验，验证应急预案的有效性、应急资源的完备性及应急人员的适应性。应急演练应做到全面演练和专项演练相结合，一般情况下，每年至少应组织一次全系统范围内的应急演练。各级农村合作金融机构机构应严格按照应急演练计划实施应急演练，并注意如下事项：（一）以应急预案为基础，制定应急演练总体方案，并进行风险再评估，制定相应的保障措施；（二）应急演练内容应全面完整，涵盖信息系统的各类应急场景；（三） 严格控制应急演练引起的信息系统变更风险，避免因演练导致服务中断；（四） 应急演练应选择在非主要业务时段进行；（五） 应急演练完成后，应保证实施应急预案所需的各项资源恢复正常；（六） 定期对信息系统应急响应相关人员进行培训。各级机构在应急演练的过程中，对可能存在较大风险的演练，按属地监管要求，在实施演练前将应急演练计划向监管机构报备。应急演练结束后，各级机构应撰写应急演练情况总结报告，大型或重要的应急演练总结报告应提交应急领导小组。各级机构应根据演练总结报告提出的改进措施进行整改，及时修订相应的应急预案。对于全系统范围的年度演练或跨机构和跨行业的演练，根据监管部门要求将演练总结报告上报属地监管机构。各级机构在应急演练过程中，应根据相关要求，将应急演练计划、过程记录和结果分析等归档。突发事件报告各法人行社应急领导小组应指定专人负责突发事件报告，当报告责任人发生变更时应及时向省联社科技信息中心报备。当多个重要信息系统同时受到影响时，按照受影响程度最高原则报告。各法人行社应在重要信息系统突发事件发生后及时将相关情况报省联社科技信息中心，并根据监管部门要求向属地监管机构信息系统应急管理部门报告。对造成经济秩序混乱或重大经济损失、影响金融稳定的，或对银行、客户、公众的利益造成损害的突发事件，各法人行（社）要立即上报。各法人行社应将应急处置重大进展情况及时上报省联社，每2小时将应急处置进展情况进行上报，直至应急结束。应急响应应急执行小组应根据既定的应急条件，启动应急预案，并及时报告应急领导小组。应急处置应集中于建立临时业务处理能力、修复原系统损害、在原系统或新设施中恢复运行业务能力等应急措施。对于应急预案没有覆盖的突发事件，应立即报告应急领导小组进行应急决策。应急领导小组应立即启动本机构应急组织，组织协调机构内部进行应急处置，并负责向上级机构和监管部门报告应急响应情况。支持保障小组做好各项应急保障工作，为应急处置提供场地、交通、通讯及其他后勤保障。应急处置中所有相关的信息和处理过程应进行严格记录，外部供应商的处理过程应有专门记录文件，如果涉及到保险理赔，中间过程和场景可用摄像设备进行记录。所有过程资料应由专人存档保管。应急处置过程中出现异常或应急预案、决策方案失效，各法人行社应急领导小组要将有关情况立即上报省联社。重要信息系统突发事件发生后，各级机构应将相关信息及时通报给受影响的外部机构及重要客户，并将相关信息准确通报给相关设备及服务提供商、电信、电力等外部组织，以获得应急响应支持。重要信息系统突发事件发生后，根据突发事件的严重程度，应急领导小组在向上级机构汇报后，统一负责向新闻媒体发布相关信息，严格按照行业、机构的相关规定和要求对外发布信息，其它部门或者个人不得随意接受新闻媒体采访或对外发表个人看法。信息系统恢复正常服务即为应急结束。各级机构在应急结束后，应针对应急工作进行评估和总结，根据相关监管部门要求向属地监管机构信息系统应急管理部门报告。应急保障各级机构应建立长效的人员保障机制，确保人员能够胜任应急处置工作。在人员保障方面应达到以下要求：（一） 确保应急处置人员具备应急工作必要的技能，定期组织人员培训以满足应急处置的要求，并通过应急演练，保证应急处置人员的熟练度；（二） 确保主、备岗机制的落实；（三） 避免一人兼过多的岗位。各级机构应建立有效的物质保障机制，确保在应急响应过程中不会因物质缺乏而导致应急处置中断或延长应急处置时间。各级机构应建立有效的技术保障机制，确保在应急响应过程中不会因技术能力缺乏而导致应急处置中断或延长应急处置时间。在技术保障方面应达到以下要求：（一） 加强系统监控和预警，及时发现应急事件，并及时通知有关人员启动应急预案；（二） 明确相关厂商的技术支持服务水平，确保应急处置过程中相关厂商能够提供及时有效的技术支持。各级机构应采取必要的通讯保障措施，确保应急响应通讯及时有效。在通讯保障方面应达到以下要求：（一） 适时更新各级应急管理机构联络人和联络方式；（二） 建立多种通讯渠道，避免单一通讯风险，并明确各通讯渠道使用的优先顺序。持续改进省联社应每年开展一次全系统的突发事件风险防范措施和应急响应工作的全面评估和审计活动，包括评估风险识别、分析和控制措施的有效性、应急预案的完备性、应急演练的全面性和及时性等，检验防范措施的有效性，并及时发现新的风险，改进风险控制措施，进一步完善应急预案，形成风险防范措施的持续改进。各级机构应对应急管理的策略、机制、方法、流程等不断完善，对应急管理过程中发现的问题适时整改。各级机构应将应急管理纳入到全面风险管理体系中，建立应急管理的长效机制，保证应急管理工作的持续性和有效性。附则本办法由农村信用社联合社负责制定、解释和修改。本办法自发布之日起执行。附件：1.农村合作金融机构信息系统突发事件报告表（略）2.农村合作金融机构信息系统突发事件处理结果报告表（略）