农发行山东省分行-商业银行分支机构信息科技风险快速巡

商业银行分支机构信息科技风险快速巡查单、基本信息巡查承担机构山东银监局信息科技监管处中国农业发展银行山东省份行被巡查机构巡查目的巡查负责人房世晖^2员王丽颖巡查日期年月日2022422

二、巡查方法现场巡查以访谈、实地查看为主，抽样查阅资料、安全测试为辅，其中抽样规则原则上定义为:文档或者记录类型的资料，如会议记录、演练记录等，抽L样数以近三个月巡查项总数的为抽样基准，也可根据访谈情况做出5%判定；如浮现小数点，以四舍五入取整数；如果计算出的抽样数小于2,则至少取个样例，如抽样数大于则取个样例;25,5设备类、系统类原则上抽样台（套），同时注意样本分

2.5布结构;需关注的问题（根据需要填写）机房供电是否有保障？

8.UPS机房配电系统为双路供电■是□否为机房设备供电专用■是□否UPS供电系统设置防雷击保护装置■是□否配备模式UPS・N+1n2N+l供电范围■主机系统■网络通讯设备■值班照明UPS□应急照明负载小于有效输出功率的■是□否UPS80%满载后备时间大于分钟■是□否UPS30电池定期放电检测■是□否UPS有专业公司进行维护保养■是□否UPS备注（事实依据^巡查方法访谈和实地查看需关注的问题（根据需要填写）:发机电功率能保证对机房供电UPS□是□否发机电定期保养（备注填写本季度保养的时间及内容）:□是□否发机电定期进行切换演练□是□否发机电切换演练有记录:□是□否发机电为机房供电备份专用UPS□是□否未配备发机电使用其他供电保障措施或者方案（备注填写供电保障措施）■是□否机金租也fflM巡查方法访谈和抽样需关注的问题（根据需要填或机房空调管理是否符合要求？

10.机房温度控制在摆布■是□否22c机房湿度在■是口否45%--65%发机电为机房供电备份专用□是□否UPS发机电是否为机房空调供电□是□否类机房精密空调控制模块配置是冗余方式■是口否B N+1定时检查机房温度和湿度■是□否空调设备有专业公司进行维护保养:■是□否备注（事实依据）环境监控系统对温湿度进行实时监测,超出阀值将通过短信提示维护人员无自有发机电，租用发电车巡查方法访谈和实地查看需关注的问题（根据需要填写）:机房其他防护设施是否符合要求？

11.机房内地面、天花板和墙面有无渗漏水□有■无漏水报警装置正常工作■是□否设置防鼠害的有关措施■是□否巡查方法访谈和实地查看需关注的问题（根据需要填写）:第三部份运行管理运维管理是否符合安全要求12非正常工作时间进出工作场所经过批准且有相关记录一■有口无禁止异地远程维护生产系统和生产数据（除总行之外）■是□否是否采集、保管各类日志，并定期审核■是■否备注（事实依据）:未进夷小时运维值班，一非正常工作时间内无4进入机房需求巡查方法访谈和抽样高箍的向题根据需要填写7未建立事件和问题管理机制，未建立问题根源分析及跟踪解

1.决机制.未建立日志管理流程，未对门禁、网络设备、操作系统、2数据库、应用系统等各种日志进行集中保存，也未对日志进行定期分析是否实施变更管理？

2.变更管理有严格的授权办法、操作流程口有■无生产变更在非工作时段或者业务空暇时段进行■是□否生产变更有书面计划■是□否变更经过测试、审批、上线、验收■是□否生产变更双人操作、复核■是□否生产变更有详细操作记录□有■无变更管理是否有回退机制■有□无备注（事实依据）;巡查方法访谈和抽样需关注的向题谦据需羹填彳变更管理机制尚不完善，未建立变更管理制度，未根据对业务影响大小进行变更分级，变更应急回退措施较为简单前置机和重要信息系统的操作系统、日志、应用程序、数据库、生产数据、配置信息定期进行备份■是□否定期对备份的可用性进行检查或者抽查并做记录■是□否备份的传送、存放、使用和销毁符合规定□是■否备注（事实依据）通过方式将大小额系统、验印系统ftp数据库备份至位于泰安的异地备份中心巡查方法访谈和抽样需关注的问题（根据需要填写）:.未建立专门的数据管理办法、备份办法或者策略，也无数据销1毁的相关规定属简单网络传输协议，不能保障数据传输安全

2.ftp是否实施网络管理？

4.制定网络运行管理的相关规定、操作流程■是□否规范记录或者监控网络配置修改等维护修改操作■是■否各部门计算机经相关部门批准后方可接入国际互联网■是□否本机构与总行、网点、灾备中心通讯路线有备份■有口无本机构与重要外联单位（如银联等）通讯路线有备份■有口无定期检查备份通讯路线■是□否网络故障有记录及原因分析■有□无备注（事实依据）外联单位仅有人民银行与银监局巡查方法访谈和抽样需关注的问题（根据需要填写）:办公网部份计算机采用动态无地址管理措施

1.IP,IP.生产网计算机采用静态但未登记使用人员2IP,IP.未建立客户端计算机准入、认证机制

3.网络故障记录及原因分析不完善4是否实施安全产品管理

5.安全专用产品属于总行统一选型一■是□否一安全专用产品及时进行升级和维护并登记备案■是□否使用总行统一的网络防病毒产品■是□否所有终端及服务器均安装病毒防护软件■有口无定期进行windows防病毒软件升级■是□否建立病毒发现响应策略和处理流程□是■否部署安装控制台正常■是□否IDS,对日志记录进行分析■是□否IDS本机构与外联单位网络边界部署防火墙□是■否备注（事实依据）外联单位仅有人民银行与银监局；生产网、办公网均浮现中毒计算机省行的网络结构由总行统一制定，部署了外部防火墙，具有边界防火墙的功能巡查方法访谈和抽样需关注的问题（根据需要填写）:对事件分析不完善IDS是否实施设备管理

6.存储机密、秘密资源设备维修、更换或者报废时■删除数据■拆除涉密部件废弃、销毁含机密资源或者秘密资源的介质有审批手续和登记记录口有■无不使用互联网计算机处理涉密材料和储存秘密级以上文件■是□否离开办公坐位时，工作桌面上所有内部资料、存有机密或者敏感信息的磁盘或者其他可挪移介质等妥善锁入文件柜中或者存放在指定的保险箱中，并锁定计算机□是■否挪移存储设备使用符合规定■是■否备注（事实依据）巡查方法访谈和抽样需关注的问题（根据需要填写）未采用技术手段控制挪移介质在网间交叉使用数据安全的部署情况如何？

7.系统管理员密码保管与回收流程多人彻底掌握普通用户离职后■账户删除□账户禁用数据访问人员授权□按需进行区分和最小必要授权□不区分，授予相同权限■无授权机制重要数据的存储介质过期后是否销毁■是□否销毁机构名称办公室、信息科技处人员变动时办公用计算机磁盘信息是否清理或者删除:■是□否备注（事实依据）:巡查方法访谈和实地查看需关注的问题（根据需要填写）是否采取措施避免信息泄露？

8.不存在敏感信息泄漏的现象（如密码，等）:IP■是□否生产系统设置带密码的屏幕保护□是■否系统无人使用时，处于锁定状态:□是■否对公共开放区域的信息设备采取有效的保护控制措施（如网点营业厅等公开区域的设备是否采用专人监控，屏幕密码保护等措施）□是□否网点自助区不存在网线、端口外露的现象注（事实依据）:没有公共开放区域及网点自助区的信息□是□否设备生产系统中服务器端设置带密码的屏幕保护，系统无人使用时，处于锁定状态生产系统中柜员客户端未设置带密码的屏幕保护巡查方法访谈和实地查看需关注的后题龈据需要填嗡厂综合业务系统无超时退出机制第四部份业务连续性是否建立多部门一体的应急处理指挥体系？建立了突发事件管理小

1.组以负责管理突发事件■是□否突发事件管理小组成员包括机构业务、科技和保障部门人员■是□否建立突发事件管理指挥中心，为突发事件管理小组提供必要的工作场地和设施■是□否建立突发事件恢复工作小组，并在所有的重要环节指定了替补人员■是口否备注（事实依据h巡查方法访谈需关注的问题（根据需要填写）;未建立业务连续性日常管理组织架构，未设立业务连续性管理委员会，未明确业务连续性管理主管部门、执行部门、保障部门；未开展业务影响分析」未明确重要业务恢复时间目标）、］业务恢复点（RTO目标（）未建立全行性、覆盖所有重要业务的业务连续性计划RPO;是否制定应急预案并定期演练

2.制定相关技术应急预案和操作流程■是□否应急预案符合《重要信息系统突发事件应急管理规范》要求:■是□否对负责业务恢复人员及备用人员的划分次序、范围，并将通讯方式，包括下班后的联络信息，配备至相关人员手中■是□否制定业务恢复优先级列表:■是□否与总行相关联系人建立了正式的沟通联络机制:■是□否与其他重要外部机构建立了正式的联络沟通机制（如监管部门、投资者、客户、交易对手、商业合作火伴、服务提供商等）■是□否应急预案定期进行演练（备注标明最近一次演练的时间）■是□否备注（事实依据）最近一次演练时间为年月中旬20226巡查方法访谈和调阅资料需关注的问题（根据需要填写）《中国农业发展银行山东省份行中心机房突发事件应急处

1.理预案》的应急场景包括网络系统故障、市电供电系统故障、UPS供电系统故障、机房火灾、非法入侵、门禁系统故障、各业务系.如需对网点进行巡查，网点的巡查数量控制在家之内,33随机抽取第一部份组织架构1信息科技风险“三道防线”是否完整.风险控制部负责整体信息科技风险■是□否科技部负责信息科技工作日常防范■是□否审计部承担信息科技审计职能■是□否备注（事实依据）:巡查方法访谈需关注的问题（根据需要填写大风险管理部制定了信息科技风险管理职责，但未制定相应的信息科技风险管理策略、制度、操作流程，也未配备具有相应资质的人员

2.高管层在信息科技工作中履职是否前位有主管科技工作的行级领导■有一品一高管层对监管部门的监管制度较为了解■是□否进行信息科技重大投入决策■是□否审阅信息科技年度工作报告和工作计划■是□否审阅信息科技风险评估报告并组织制定风险控制策略□是■否统服务器故障、机房空调系统故障、支付系统前置机故障，但未包括治安、病毒爆发、网络攻击、人为破坏的场景.未建立突发事件向新闻媒体发布的机制；未建立向银监会派出2机构报告信息科技突发事件的机制，包括报告责任人、报告时限、报告途径、报告内容等年信息科技应急演练方案不够细致，应急演练情况总结报

3.2022告涵盖的内容不全对重要业务进行业务应急恢复时需要的重要信息进行了明确定一义，重要信息包括存储在电子或者非电子介质上的信息（各业务应用数据库和渠道日志等）■是□否对认定的重要信息档案实行有效备份和异地保管■是□否严格控制重要信息档案的调取，保证其对业务抢修时的可靠性■是□否制定了相关文件，规定重要信息档案在遗失、受损和破坏的情况下如何进行恢复和再生，以及按何种次序进行恢复和再生■是□否备注（事实依据工巡查方法访谈每年至少对重要系统的应急预案进行一次测试，是否留有相关记录（包括测试方案、测试环境、测试流程和测试结果）■是□否检查应急预案中主要联络方式是否及时得到更新■是□否应急预案文档备份实行异地保管■是□否每次测试后编制问题报告，揭示应急预案存在的弱点和漏洞，并更新应急预案□是■否备注（事实依据巡查方法访谈需关注的问题（根据需要填写）;未建立应急预案演练后更新机制及应急预案定期评估和改进的机制是否对重大突发事件进行管理

5.建立了重要安全事件上报制度和流程■是□否对重大突发事件进行记录■是□否巡查方法访谈和抽样需关注的问题（根据需要填写）:1是否建立外包管理机制？.建立外包管理制度□是□否明确界定允许外包的内容、范围和活动□是□否重要信息科技外包协议经过信息科技风险管理部门、法律部门的审批□是□否与外包服务商签订书面合同，明确其在安全、保密、知识产权等方面的义务□是□否备注（事实依据）没有信息科技外包工作巡查方法访谈和抽样需关注的问题（根据需要填写）:

2.是否进行外包人员管理外包人员进场前学习关于外包人员管理的窥章制度，并签署《保密承诺书》□是□否完整统计外包人员信息□是□否定期对外包人员的履职情况进行检查□是□否对违反保密义务、工作规范或者有其他重大违规行为的外包人员坚决辞退□是□否外包人员设备（如自带的计算机、便携机、挪移通信设备、集线器等）经批准方可接入银行网络□是□否备注（事实依据）没有信息科技外包工作巡查方法访谈和抽样需关注的问题（根据需要填写）自助设备的维护是否经过授权并严格管理

3.严格控制将自助设备交第三方（外公司）来进行维护口是口否第三方维护合约、维护的内容、采取的安全措施是否详细到位:口是口否第三方进行维护时由本行人员陪同:□是□否是否限制对重要数据进行访问:□是口否备注（事实依据）没有信息科技外包工作巡查方法访谈需关注的问题（根据需要填写）:第三方外包服务的安全设备是否经过授权并严格管理

4.在将安全设备（如、加密机等）维护外包给第三方前进行风险评IDS估，或者采取严格的安全措施:□是□否在将安全设备维护外包前，得到相关业务部门的允许:□是□否备注（事实依据）没有信息科技外包工作巡查方法访谈需关注的后题（根据需要填写广第六部份内外部审计.总行或者省行是否对本级开展独立的信息科技内部审计？1保证每三年接受一次总行的全面审计■是■否信息科技内部审计能有效揭示风险，达到预期审计目的■是■否内部审计报告提交主要行领导■是□否认真对待内审结果，及时对发现的问题进行整改■是□否备注（事实依据）年信息科技内部审计未发现问题；2022年信息科技内部审计发现个问题20221巡查方法访谈和抽样内部审计处设置了审计岗位，但信息科技审计能力需进一步IT提高是否按照上级行统一部署开展外部审计工作

2.与外审机构签订保密协议，并催促其严格遵守法律法规一□是□否采取措施防止外审机构对本行提供的文件进行修改、复制或者带离现场□是□否外部审计能有效揭示风险，达到预期审计目的□是□否能认真对待外审结果，及时对发现的问题进行整改□是口否备注（事实依据）未开展外部审计工作巡查方法访谈和抽样需关注的问题（根据需要填写）:第七部份配合监管情况银监部门监管措施是否落实？

1.监管制度和风险提示公文流转到位:■是■否监管要求落实到位■是■否基本情况表填报真实■是□否按要求上报监管部门要求的材料■是□否备注（事实依据）:巡查方法抽样需关注的问题（根据需要填写）上述情况请予确认，如有异议请书面反馈并签字盖章后，于年月**日前送达本巡查组逾期未送达视同认可巡查组意见20225快速巡查组组长签字快速巡查组成员签字年月曰被巡查机构反馈意见单位主要负责人签字:（公章）年月曰审阅信息科技审计报告并催促整改■是□否备注（事实依据）:巡查方法访谈和抽样需关浮的问题（根据需要填号）1高管层未组织制定风险控制策略整的宿道安全管理组织架构「不正储开展工松设立信息安全岗位负责机构信息安全的日常管理工作■是□否定期开展信息安全管理开展工作并有相应的文档资料■是□否制定信息安全责任制度■有口无员工信息安全职责明确■是□否赘瓦谆斯据h巡查方法访谈和抽样需关注的问题（根据需要填写）:科技岗位设置是否符合规定

4.信息技术部科室W位设置按照总行要求进行■是□否项目维护人员有角设置A/B■是□否关键业务操作（如重要密码输入、重要参数修改等）采用双人进行□是■否信息科技运行与系统开辟和维护分离■是□否备注（事实依据）信息科技处不承担涉及生产系统的开辟巡查方法访谈需关注的问题（根据需要填写）:.信息科技处明确了岗位和职责，但由于人员较少，兼岗现1象比较突出；重要岗位未制定详细完整的工作手册并适时更新.各运维人员共用所维护系统的同一用户、密码，且全部使用超2级用户，不能满足最小权限原则是否进行人员安全管理？

5.招聘新员工时，要求技术人员具备良好的职业道德握履行信息系统相关岗位职责所需的专业知识和技能■是□否技术人员未经岗前培训或者培训不合格者不得上岗:■是□否经考核不合格的技术人员，及时进行调整■是□否与重要岗位人员签订保密协议■是□否当技术人员调离重要岗位时按保密协议对其设置脱密期，并进行审查■是□否备注（事实依据）:巡查方法访谈和抽样需关注的问题;根据需要填写广制度落实情况如何？

6.以适当的方式将监管部门和上级行的信息科技工作要求传达给所有员工□是■否根据监管部门和上级行的制度要求制订适合实际的操作流程和实施细则□是■否总行或者分行对制度的落实情况定期进行检查，有详细的检查报告■是□否定期对技术人员进行信息安全教育培训，如防病毒、网络攻击等■是□否员工熟悉和了解各自岗位的信息安全要求■是□否巡查方法访谈和抽样需关注的问题（根据需要填写）:未根据《商业银行业务连续性监管指引》、《商业银行信息科技外包风险监管指引》、《银行业金融机构重要信息系统投产及变更管理办法》要求制订适合实际的操作流程和实施细则是否确保软件产品在授权准许下使用

7.■是□否犷商事实似据巡查方法抽样需关注的问题（根据需要填写）:第二部份机房新（改）建机房建设是否符合规定？

1.可行性报告□有□无向监管部门报告□是□否获得总行的批复□是□否通过有资质的质检部门和消防部门等有关部门的检查验收□是□否按照功能区域实现不同等级的物理分区□是□否备注（事实依据）机房近几年内未进行大规模机房新（改）建工作巡查方法实地查看和查阅资料需关注的问题（根据需要填写）.机房空间较小，功能区域划分不规范；机房存放了带易燃包装1盒的库存设备及物品.机房布局不合理，进入机房存放空调、等设备的区域,2UPS需穿过存放服务器和网络设备的核心区域电视监控录相的保存时间达到3个月:■是□否机房监控是否有效

2.监控覆盖哪些重要场所■主机房■网络机房■电源室□运行、监控值班室■中心机房走道■外门口部份业务部门的重要机房（银行卡打卡室、室）SWIFT摄像头电源由专线供电■是□否UPS重要场所监控是否无死角□是■否巡查方法实地查看和抽样需关注的问题（根据需要填写）:机房内共有路视频监控，存在盲区；检查时点，其中一路视频3监控失效机柜上方和地板下方用线槽整齐■是□否机柜内线整理整齐■是□否机房各类布线贴有标签■是□否标签内容规范□是■否标签位置合理■是□否备注（事实依据）巡查方法实地查看需关注的问题（根据需要填写）:设备标签内容较为简单中心机房是否落实值班要求？

4.机房安保小时值班■是□否科技部门已安排24小时在行值班□是■否值班人员记录所有可疑故障7*24和实际发生的事故，并同时记录处理过程、处理人、处理时间、出入机房已实行审批登记:■是□否机房运行影响业务时间■是□否值班人员与开辟、维护人员分离■是□否值班人员定期进行巡检■是□否备注（事实依据）值班人员对机房的巡检频率是每天两次巡查方法访谈和抽样需关注的问题（根据需要填写广机房值班及巡检信息录入“信息技术综合管理系统”（）IIMS,但该系统用户权限管理不严格，个人用户可修改已登记信息，且可以查看、修改其他用户的登记信息机房是否实行门禁管理

5.制、读卡等门禁管理工作统一管理■是□否生产机房采用门禁系统■是□否进入生产机房实行书面授权■是□否外来人员进入机房采取的控制措施■严格授权■专人陪同□固定区域□规定时间口禁止摄影、录相、录音或者其他记录设备备注（事实依据）:巡查方法访谈需关注的问题（根据需要填写）:6机房是否实行消防安全管包.扁防报警系统是否年检并有证书■是□否一配备灭火器并按规定定期检查灭火器材■是□否定期进行消防演练和培训并保存相关记录■是口否使注（事实依据）:使用七氟丙烷的消防灭火器材用何种类型的消防灭火器材（在备注栏填写具体型号）备巡查方法访谈和实地查看需关注的问题（根据需要填写）:机房内有应急照明:■是□否

7.机房照明是否有保障应急照明接入■是□否UPS机房内视频监控的区域有值班照明■是□否视频监控区域值班照明接入■是□否UPS备注（事实依据）:巡查方法实地查看。