ISO27001与银行信息科技风险管理指引对比映射

来源：    发布日期：   点击量：

《商业银行信息科技风险管理指引》共十一章七十六条，涵盖了信息科技风险管理的各个领域，同时针对银行现有的组织架构，对各部门也明确提出了风险管理的要求，以下将就主要条款做一个深入的解析。

第一章总则，明确了指引的目标和适用范围，指出信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

第二章信息科技治理，明确提出了信息科技治理的概念，明确了信息科技风险管理的责任人，董事会的相关职责，并明确要求商业银行应设立或指派一个特定部门负责信息科技风险管理工作，并直接向首席信息官或首席风险官（风险管理委员会）报告工作。此章最重要的是明确了商业银行风险管理部门、信息科技部门以及内部审计部门在信息科技风险管理中承担不同的角色和职责，互相协作共同完善信息科技风险管理的架构。

第三章信息科技风险管理，明确要求商业银行应制定符合银行总体业务规划的信息科技战略、信息科技运行计划和信息科技风险评估计划，制定全面的信息科技风险管理策略，建立持续的信息科技风险计量和监测机制。本章是从信息科技风险管理部门的角度，提出商业银行信息科技风险管理的事前控制（第一道防线）。

第四章信息安全，明确要求信息科技部门负责落实信息安全管理职能，负责建立和实施信息分类和保护体系，通过建立有效管理用户认证和访问控制的流程保障业务安全，通过设立物理安全保护区域保障物理安全，通过将网络划分为不同的逻辑安全域保障网络安全，通过操作系统和系统软件的安全控制保障系统安全，同时加强信息系统、终端设备、传输控制、信息保护等方面的安全，并对员工进行持续培训，通过建立信息安全体系，全面控制信息安全方面风险，此章是参考了国内外信息安全最佳实践（ISO27000与等级保护），针对信息科技部门，提出信息科技风险管理的事中控制（第二道防线）的重要组成部分。

第五章系统开发、测试与维护，明确要求对信息系统进行需求分析、规划、采购、开发、测试、部署、维护、升级和报废，制定制度和流程，采取适当的项目管理方法，控制信息科技项目相关的风险。采取适当的系统开发方法，控制信息系统的生命周期。应制定相关控制信息系统变更的制度和流程，确保系统的可靠性、完整性和可维护性，应制定并落实相关制度、标准和流程，确保信息系统开发、测试、维护过程中数据的完整性、保密性和可用性等具体要求。此章是针对软件开发与项目实施部门，提出信息科技风险管理的事中控制（第二道防线）的重要组成部分。

第六章信息科技运行，明确了商业银行数据中心物理环境要求、人员岗位职责要求，并要求商业银行制定详尽的信息科技运行操作说明，建立事故管理及处置机制及时响应信息系统运行事故，建立服务水平管理相关的制度和流程，建立连续监控信息系统性能的相关程序，制定容量规划应及时进行维护和适当的系统升级，制定有效的变更管理流程以确保生产环境的完整性和可靠性等。此章主要参考了ITIL最佳实践，针对数据中心与运行部门，提出信息科技风险管理的事中控制（第二道防线）的重要组成部分。

第七章业务连续性管理，明确要求商业银行根据自身业务的性质、规模和复杂程度制定适当的业务连续性规划，以确保在出现无法预见的中断时，系统仍能持续运行并提供服务；定期对规划进行更新和演练，以保证其有效性。此章主要参考了BCP最佳实践，针对业务运营部门，提出信息科技风险管理的事中控制（第二道防线）的重要组成部分。

第八章外包管理，明确商业银行不得将其信息科技管理责任外包，应合理谨慎监督外包职能的履行，针对外包方选择、外包谈判、外包协议，外包执行中的信息安全等方面提出了明确要求，此章是针对商业银行各部门的外包合作，提出信息科技风险管理的事中控制（第二道防线）的重要组成部分。

第九章内部审计，明确商业银行内部审计部门应根据业务的性质、规模和复杂程度，对相关系统及其控制的适当性和有效性进行监测。至少应每三年进行一次全面审计。在进行大规模系统开发时，要求信息科技风险管理部门和内部审计部门参与，进行专项审计等。此章主要针对内部审计部门职责，提出信息科技风险管理的事后控制（第三道防线）的重要组成部分。
第十章外部审计，明确商业银行在符合法律、法规和监管要求的情况下，委托具备相应资质的外部审计机构进行信息科技外部审计。此章主要从外部审计角度，提出信息科技风险管理的事后控制（第三道防线）的重要组成部分。

通过指引解析，我们可以看出，指引的编写借鉴了Cobit、ISO27000、ITIL、CMM、BCP等国内外的最佳实践，为商业银行的信息科技风险管理指明了方向。同时，本指引从商业银行信息科技相关的每一个主要部门的角度出发，分别提出具体的监管要求，从而使得本指引具备非常强的可操作性。

相关知识：