-精选版商业银行数据中心监管指引.pdfVIP

商业银行数据中心监管指引   目录 第一章总则 第二章设立与变更 第三章风险管理 第四章运行环境管理 第五章运营维护管理 第六章灾难恢复管理 第七章外包管理 第八章监督管理 第九章附则 附件： 中国银行业监督管理委员会办公厅关于印发《商业银行数据中心监管指引》的通知 银监办发[2010]114号 各银监局，各政策性银行、国有商业银行、股份制商业银行，邮政储蓄银行，各省级农 村信用联社： 为加强商业银行数据中心风险管理，保障数据中心安全、可靠、稳定运行，加强灾难恢 复管理，提高业务连续性水平，现将《商业银行数据中心监管指引》印发给你们，请遵照执 行。 请各银监局将本通知转发至辖内相关银行业金融机构。 中国银行业监督管理委员会办公厅  二○一○年四月二十日 商业银行数据中心监管指引 第一章总则 第一条为加强商业银行数据中心风险管理，保障数据中心安全、可靠、稳定运行，提 高商业银行业务连续性水平，根据《中华人民共和国银行业监督管理法》及《中华人民共和 国商业银行法》制定本指引。 第二条在中华人民共和国境内设立的国有商业银行、股份制商业银行、邮政储蓄银行、 城市商业银行、省级农村信用联合社、外商独资银行、中外合资银行适用本指引。中国银行 业监督管理委员会（以下简称中国银监会）监管的其他金融机构参照本指引执行。 第三条以下术语适用于本指引： （一）本指引所称数据中心包括生产中心和灾难备份中心（以下简称灾备中心）。 （二）本指引所称生产中心是指商业银行对全行业务、客户和管理等重要信息进行集中 存储、处理和维护，具备专用场所，为业务运营及管理提供信息科技支撑服务的组织。 （三）本指引所称灾备中心是指商业银行为保障其业务连续性，在生产中心故障、停顿 或瘫疾后，能够接替生产中心运行，具备专用场所，进行数据处理和支持重要业务持续运行 的组织。 （四）本指引所称灾备中心同城模式是指灾备中心与生产中心位于同一地理区域，一般 距离数十公里，可防范火灾、建筑物破坏、电力或通信系统中断等事件。灾备中心异地模式 是指灾备中心与生产中心处于不同地理区域，一般距离在数百公里以上，不会同时面临同类 区域性灾难风险，如地震、台风和洪水等。 （五）本指引所称重要信息系统是指支撑重要业务，其信息安全和服务质量关系公民、 法人和组织的权益，或关系社会秩序、公共利益乃至国家安全的信息系统。包括面向客户、 涉及账务处理且时效性要求较高的业务处理类、渠道类和涉及客户风险管理等业务的管理类 信息系统，以及支撑系统运行的机房和网络等基础设施。 第四条《信息安全技术信息系统灾难恢复规范》（GB/T20988－2007）中的条款通过 本指引的引用而成为本指引的条款。 第二章设立与变更 第五条商业银行应于取得金融许可证后两年内，设立生产中心；生产中心设立后两年 内，设立灾备中心。 第六条商业银行数据中心应配置满足业务运营与管理要求的场地、基础设施、网络、 信息系统和人员，并具备支持业务不间断服务的能力。 第七条总资产规模一千亿元人民币以上且跨省设立分支机构的法人商业银行，及省级 农村信用联合社应设立异地模式灾备中心，重要信息系统灾难恢复能力应达到《信息安全技 术信息系统灾难恢复规范》中定义的灾难恢复等级第5级（含）以上；其他法人商业银行 应设立同城模式灾备中心并实现数据异地备份，重要信息系统灾难恢复能力应达到《信息安 全技术信息系统灾难恢复规范》中定义的灾难恢复等级第4级（含）以上。 第八条商业银行应就数据中心设立，数据中心服务范围、服务职能和场所变更，以及 其他对数据中心持续运行具有较大影响的重大变更事项向中国银监会或其派出机构报告。 第九条商业银行应在数据中心规划筹建阶段，以及在数据中心正式运营前至少20个 工作日，向中国银监会或其派出机构报告。 第十条商业银行变更数据中心场所时应至少提前2个月，其他重大变更应至少提前10 个工作日向中国银监会或其派出机构报告。 第三章风险管理 第十一条商业银行信息科技风险管理部门应制定数据中心风险管理策略、风险识别和 评估流程，定期开展风险评估工作，对风险进行分级管理，持续监督风险管理状况，及