银行第三方安全办法.docxVIP

银行第三方安全办法

第一章总则

第一条为规范本行第三方服务全生命周期安全管理，防范第三方合作引发的数据泄露、系统中断、合规违约等风险，保障银行业务连续性、信息安全及客户合法权益，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《银行业保险业网络安全管理办法》《商业银行信息科技风险管理指引》等法律法规及监管要求，结合本行实际，制定本办法。

第二条本办法适用于本行及所属分支机构与第三方机构开展的所有合作场景，包括但不限于信息科技外包服务、业务辅助服务、数据合作服务、云服务、供应链金融服务、支付通道合作、智能终端运维、营销获客合作、安全技术服务等涉及本行系统、数据、客户信息访问或操作的第三方合作事项。

第三条第三方安全管理遵循以下原则：

（一）权责对等原则：合作双方权利义务明确，安全责任边界清晰，第三方机构对其提供服务过程中的安全行为承担首要责任，本行承担监督管理责任。

（二）全生命周期管理原则：覆盖第三方准入、服务实施、持续监控、退出全流程，各环节安全管控要求无遗漏。

（三）最小权限原则：第三方机构仅获取完成服务必需的系统访问权限、数据操作权限，权限范围、有效期严格匹配服务需求，禁止超范围授权。

（四）风险可控原则：针对不同等级的第三方服务实施差异化管控，高风险服务准入前必须开展全面安全评估，风险未消除不得开展合作。

（五）合规性原则