银行公有云安全办法.docxVIP

银行公有云安全办法

第一章总则

第一条为规范本行公有云使用全生命周期安全管理，防范云服务引入的数据泄露、业务中断、合规违规等风险，保障金融业务连续性、数据安全性与服务合规性，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络安全等级保护条例》《银行业保险业信息科技风险管理指引》《金融云安全规范》等法律法规及监管要求，结合本行实际制定本办法。

第二条本办法适用于本行及下属分支机构所有公有云资源的规划、采购、接入、使用、运维、下线全流程管理，覆盖基础设施即服务（IaaS）、平台即服务（PaaS）、软件即服务（SaaS）三类公有云服务模式，涉及的使用部门、科技部门、风险管理部门、合规审计部门及外部云服务供应商均需遵守本办法要求。

第三条公有云安全管理遵循“权责清晰、最小权限、全程管控、合规优先、动态防护”原则：

权责清晰：明确“谁使用谁负责、谁运维谁负责、谁主管谁负责”的责任体系，各主体责任边界无交叉、无盲区；

最小权限：公有云资源、数据、操作权限均按业务必需的最小范围配置，严格执行权限分离与定期复核机制；

全程管控：覆盖公有云服务引入到下线全生命周期各节点的安全校验，无管控空白环节；

合规优先：所有公有云使用场景需先满足金融行业监管要求，合规评估不通过的服务不得上线；

动态防护：基于云环境动态变化特性，建立持续监测、定期评估、快速