科技信息管理办法

雅信联发…2009‟43号雅江县农村信用合作社联合社科技信息系统运行管理办法各部(室)、信用社(分社、客户中心):根据省联社相关文件精神，结合我县联社实际情况，现制定雅江县农村信用合作社联合社科技信息系统运行管理办法。

现印发给你们，请认真贯彻执行。

二〇〇九年九月二十三日雅江县农村信用合作社联合社科技信息系统运行管理办法（暂行）第一章总则第一条、依照《商业银行内部控制指引》和《商业银行信息科技风险管理指引》，特制定本办法。

第二条、本办法所称科技信息系统，是指营业和管理所用的各类计算机系统及网络，包括：主机、服务器、个人计算机、便携式计算机、终端、打印机、网络设备、信息安全设备、存储设备、通信线路、机房场地环境和其他外围设备，以及系统软件、应用软件、工具软件、数据及其载体等。

第三条、本办法所称运行管理工作，是指对科技信息系统的日常运行监控、管理与维护、事件管理、应急管理、变更管理、技术支持、运行风险管理、运行服务管理、运行人员管理等工作。

第二章、工作职责第四条、县联社科技信息部负责全县农村信用社科技信息系统的运行管理工作，负责全县农村信用社运行管理体系的建立和完善。

负责根据国家和行业标准、法规以及雅江县农村信用社科技信息系统实际情况，制定科技信息系统运行战略规划和管理策略。

第五条、县联社科技信息部是雅江县农村信用社科技信息系统运行管理工作的实施和执行机构，主要职责是：（一）牵头组织全县农村信用社科技信息系统运行管理和技术支持保障工作；（二）负责组织系统基础设施建设、扩容、升级、改造等实施工作；（三）承担全县科技信息系统的运行、监控、管理和维护工作；（四）指导、督促各信用社科技信息系统运行管理工作的实施和执行。

第三章岗位与人员管理第六条、运行工作岗位设臵要遵循“职责明确、权限分离、相互制约、工作高效”的原则，明确定义岗位职责和任职资格、能力与限制条件要求。

第七条、根据岗位和工作量确定运行人员总量，根据系统安全策略及岗位需求配臵运行人员，对于关键岗位必须配备备份人员，对于不相容岗位，严禁同一人员兼任。

第八条、县联社运行管理工作的关键岗位至少应包括：信息安全管理岗位、系统管理岗位、网络管理岗位、安全值班岗位。

不相容岗位设立原则为关键岗位之间互不相容。

第四章值班管理第九条、各信用社要根据业务处理要求和技术支持要求编制值班计划，合理安排相关人员参加现场值班或非现场值班，确保能及时发现系统运行异常现象，及时定位故障部位，快速恢复系统运行。

第十条、各信用社应充分保障值班所需各项资源，部署监控系统和检查分析工具，建立可靠的通信系统和服务请求与事件受理系统，按值班工作要求授予值班人员所需的场地进入权限、系统访问权限和技术文档阅读权限，配备值班操作所需足够的备份介质和低值易耗品以及维护用备品、备件。

第十一条、各信用社值班工作人员必须遵守操作规程、值班管理规定和运行事件处理与报告流程，熟练掌握工作职责范围内的技术知识、技能，能及时处理运行中出现的运行事件。

第十二条、各信用社值班人员必须按时到达值班岗位，履行值班职责。

值班期间不得擅离职守，不得从事与工作无关的事情。

值班人员交接班时要严格执行登记手续，交班人员离岗前应向接班人员详细介绍系统运行状况、介质备份情况、异常情况处理及未完成事项。

接班人员未到岗时，交班人员不得离岗。

第十三条、各信用社值班人员必须按照值班职责和操作规程执行各项值班任务：（一）密切监控环境、设备、网络、系统、应用等运行状态及自动化作业执行情况；（二）采用相关工具检查系统资源使用情况和业务处理情况，确保系统运行状态正常、性能良好；（三）严格按照各系统的备份策略和备份计划进行备份操作，及时检查备份结果，并按要求对备份介质进行标记，需异地保存或入库的备份介质应及时办理介质交换或入库手续；（四）做好系统监控、巡检、操作记录，填写值班日志。

第十四条、值班人员对无法处理的事件，要立即通知相关人员到场，重大事件须及时上报。

第十五条、各信用社非现场值班人员值班期间，须随时保证通信联络畅通，如遇突发情况需要提供支持，应及时响应。

第十六条、各信用社要安排人员每天定时对设备间进行巡查，在巡查时要认真检查设备间内设备状态、环境温度、供电及电源负载情况，发现异常及时处臵。

第五章事件管理第十七条、科技信息部要严格事件管理，规范突发事件和用户服务请求的响应、处理流程，并及时跟踪、反馈事件和服务请求的处理进程。

第十八条、事件处理完毕后，科技信息部应详细记录解决方案，及时更新知识库，以便再次发生相同的事件时能够及时采取已知的解决方案进行处理。

第十九条、科技信息部应定期进行事件管理工作的检查和考核，统计事件总数、问题解决成功率、平均解决时间等指标，逐步提高服务水平。

第二十条、科技信息部负责组织、协调、调度相关人员参加重大运行事件的应急响应和应急恢复工作，并负责在规定的时限内逐级向有关联社领导和有关监管部门通知、报告重大事件发生、进展和恢复情况。

第二十一条、确立无条件响应紧急事件的原则。

相关人员一旦收到紧急事件请求或命令，都应立即投入紧急事件响应和恢复工作。

在签订运行服务合同时，应当对IT供应商及其技术支持人员提出类似的服务要求。

第二十二条、重大运行事件处理完毕后，由科技信息部人员组织完成重大运行事件处理和分析报告，对重大运行事件发生的过程、现象、对业务的影响及影响范围、受影响的相关系统情况、处理和恢复过程、原因分析和采取的措施等进行客观、真实的报告。

第六章数据管理第二十三条科技信息部建立数据管理制度，对数据的生成、传递、传输、导出、备份、归档、保存、迁移、转储、恢复、销毁等环节进行管理和控制，确保数据安全，以满足系统恢复、业务处理和业务监管的要求。

第二十四条、科技信息部应根据系统安全等级，确定数据的保护等级、访问权限、操作权限和加密措施。

第二十五条、数据介质的运输、保存、保管场地应符合有关物理环境的技术要求。

第二十六条、科技信息部应按照业务持续性和系统可用性的要求，建立数据备份和恢复策略，确定系统数据和业务数据的备份内容、备份方式、备份时间及备份介质保存周期、保存场所等，并制定相应的恢复程序。

重要数据的备份必须制作多份，并将其中一份保存在异地。

第二十七条、科技信息部应建立数据清理策略，定期清理联机数据，保持系统性能良好。

根据业务要求和监管要求，建立归档策略，定期对业务数据进行归档和保存，采用的归档数据格式应不依赖于归档时的系统环境。

第二十八条、科技信息部应加强生产系统之间数据交换的管理，对数据的导出、迁移、转换、传输、加载等操作进行监控与记录。

操作需要采取手工方式的，应制定详细的操作步骤，记录操作过程，需由多人操作的应办理交接手续。

操作采取自动方式的，应对自动执行的过程、状态及结果进行监控和自动记录。

第二十九条、有关交易、账务、客户等高度敏感信息须采取加密传输和保存，敏感信息的修改须采取技术措施控制，并进行严格的管理控制。

第三十条、数据需要从生产环境导出使用时，须按相关规定进行审批与安全预处理，防止敏感信息泄密。

第三十一条、科技信息部应定期检查、验证备份数据的有效性，包括备份系统数据与生产系统数据的同步性和一致性。

第七章系统与网络安全管理第三十二条、科技信息部应遵照监管部门有关安全等级规范，制定系统与网络安全管理策略。

第三十三条、科技信息部应严格网络和系统用户口令管理，制定明确的网络和系统用户口令管理策略和口令的申请、审批、发放、回收、修改管理流程。

要定期对网络和科技信息系统用户口令管理的情况进行检查。

积极采用先进的技术和产品，增强身份认证，加强口令管理，保护系统安全。

第三十四条、科技信息部应制定严格的管理程序控制应用系统密钥的产生、传输、启用、保管和销毁。

密钥应由机要人员等第三方人员保管，密钥操作过程应保证符合相互隔离、相互约束等控制原则。

针对密钥丢失、损坏、失效等情形须建立应急预案，一旦发生密钥事故，应立即报告县联社相关部门和主管领导。

第三十五条、科技信息部应逐步建立访问控制系统、入侵检测系统、漏洞扫描系统和安全监控跟踪系统等安全防护系统，确保网络和科技信息系统的安全运行。

第三十六条、重要网络和系统应开启系统日志、应用日志和运行维护日志，并定期对日志进行监控、稽核和跟踪分析。

第三十七条、生产网络必须严格与测试网络、开发网络进行隔离，对生产网络的访问实施严格的权限控制。

第三十八条、未经科技信息部批准，任何人不得在生产系统上安装编译软件和其他与生产运行无关的程序，不得在生产系统上保留任何形式的源代码。

如果因系统运行需要必须在生产系统上安装编译软件或保留源代码的，要履行审批手续并进行备案，同时严格控制其访问和执行。

第三十九条、系统软硬件及应用软件的安装，系统参数和数据库数据等重要信息的修改或恢复，以及其他系统维护重大操作的实施必须由运行相关岗位人员负责，必要时可由运行相关岗位人员监督执行。

第四十条、科技信息部应严格管理和控制由IT供应商提供的系统程序及其安装程序，防止在系统中保留后门、陷阱等安全隐患。

未经批准，任何人不得在生产系统上测试、试用新的硬件和软件。

第四十一条、科技信息部要定期对执行代码和环境参数进行检查、比对，防止执行错误的代码。

第四十二条、科技信息部应严格后台操作流程，有效控制操作风险。

对于批处理作业等后台操作、涉及客户账务和资金风险的技术操作不得采取远程登录方式访问系统，同时应遵循谨慎操作、双人复核的原则，确认无误后方可执行操作命令，必须对处理结果进行检查、审核，并做好操作记录。

第四十三条、科技信息部应加强互联网、外联网接入的管理，实时监控网络入侵、渗透、攻击等可疑行为；明确专人定期检查、审计监控日志信息。

第四十四条、科技信息部应加强对IT供应商人员参与网络和系统维护的监控，IT供应商人员应在运行人员的监督下进行操作，同时采取相关技术手段对操作进行记录和审计。

第四十五条、科技信息部应加强系统和网络基础设施的运行维护和建设实施管理：（一）、按照有关技术规范进行系统和网络的建设实施，IP 地址和安全策略应符合统一规划。

系统硬件、软件和网络设备的安装、配臵、调试应制定详细的操作步骤，其中关键设备的安装应有厂商技术人员现场支持；（二）、严格按照实施工艺的要求施工，通信线缆、光缆应捆扎整齐、固定牢靠、标记清晰；（三）、严格进行功能和性能测试，确保达到设计要求并符合应用系统的需要，实施完成后应及时对施工技术文档和配臵文件进行整理、归档。

第四十六条、主机设备、网络通信设备以及外围设备在投入正式使用前，应依据供货厂商提供的项目和相关指标，由相关技术人员进行设备验收测试，出具验收测试报告，经批准后使用。

第四十七条、科技信息部应制定设备的维护计划，对维护的项目、步骤、周期、责任人等做出明确规定，并严格按照设备维护计划定期进行设备的保养和维护，做好设备维护记录。