银行安全补丁管理办法.docxVIP

银行安全补丁管理办法

第一章总则

第一条为规范本行信息系统安全补丁全生命周期管理，防范系统漏洞引发的网络攻击、数据泄露、业务中断等安全风险，保障银行业务连续性、数据完整性与信息保密性，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《银行业保险业网络安全监管暂行办法》《金融网络安全等级保护实施指引》等法律法规及监管要求，结合本行实际运营情况，制定本办法。

第二条本办法适用于本行所有纳入信息资产管理范畴的系统及设备，具体包括：核心业务系统、信贷管理系统、柜面服务系统、电子银行渠道系统（手机银行、网上银行、小程序等）、数据仓库及大数据平台、办公自动化系统、服务器（物理服务器、云服务器、虚拟主机）、网络设备（交换机、路由器、防火墙、WAF、VPN设备）、终端设备（柜面终端、办公终端、自助柜员机、智能终端）、IoT设备（监控设备、门禁设备、支付终端）、数据库、中间件、商用密码产品及各类业务应用软件。

第三条安全补丁管理工作遵循“统一管控、分级负责、风险可控、闭环管理”原则：

（一）统一管控：由总行信息科技部统筹全行补丁管理标准、流程及工具建设，统一开展补丁源获取、漏洞风险评估、补丁适配验证工作，避免分支行、业务部门自行下载非官方补丁引发的恶意代码植入、版本冲突等风险。

（二）分级负责：按照“谁主管谁负责、谁运维谁负责、谁使用谁负责”要求，明确总行信息科技部、各业务条线管