銀行業重要信息系統投產評估

隨著銀行業信息化建設的快速發展和“互聯網+”戰略的深入推進，各銀行業金融機構數據中心機房遷移擴建、重要信息系統升級改造等投產變更類事項數量日益增長，其復雜度高、業務影響大，已逐漸成為信息科技風險高發領域。 各銀行業金融機構及時、準確、規范地對數據中心、重要信息系統投產變更類事項進行報告，是監管合規的基本要求，也是預防和控制信息科技交付風險和后續運行風險的前提與關鍵。

1、安全評估

在重要信息系統投產前，按照監管制定的相關規范要求，對重要信息系統相關的信息安全策略、信息安全管理措施和保護控制措施等方面進行安全測評，驗證安全策略、措施制定流程及其規范性、合理性，安全策略、措施的全面性、充分性、有效性。

2、風險評估

對重要信息系統進行風險評估，充分識別、分析、評估重要信息系統投產上線前的系統交付風險、投產上線后的運行安全風險、投產上線后的業務連續性風險、外包風險和合規風險，進而充分識別重要信息系統投產風險，在滿足自身信息科技風險管理需求的基礎上，實現監管合規。

3、應急預案及演練（可選）

對重要信息系統建立投產變更應急預案，包括應急處置組織結構，應急場景，應急處置流程、步驟，應急聯系方式與報告路線等，協助客戶完成應急演練，并提交演練總結報告。

4、協助報備

對發現的問題提出整改建議，并協助相關人員修復問題。積極配合完成相關上報材料的編寫，提交相關交付物,協助銀行在重要信息系統投產前至少20個工作日向相關銀保監局和中國人民銀行進行報備，直至重要信息系統正式上線。

政策法規： ? 《銀行業金融機構重要信息系統投產及變更管理辦法》（銀監辦發〔2009〕437號） ? 《商業銀行信息科技風險管理指引》(銀監發〔2009〕19 號) ? 《中國銀監會辦公廳關于加強銀行業金融機構信息科技非駐場集中式外包風險管理的通知》（銀監辦發〔2014〕187號） ? 《銀行業金融機構信息科技外包風險監管指引》(銀監發〔2013〕5號 ) ? 《商業銀行數據中心監管指引》（銀監辦發〔2010〕114號） ? 《電子銀行業務管理辦法》(銀監發〔2006〕5 號) ? 《電子銀行安全評估指引》(銀監發〔2006〕9 號) ? 《商業銀行業務連續性監管指引》（銀監辦發〔2011〕104號） ? 《銀行業信息系統災難恢復管理規范》（銀發〔2008〕48號） ? 《銀行業重要信息系統突發事件應急管理規范(試行)》(銀監辦發〔2008〕53號) 技術標準： ? JR/T 0068-2020 網上銀行系統信息安全通用規范 ? GB/T 20983-2007信息安全技術網上銀行系統信息安全保障評估準則