银行供应商安全办法.docxVIP

银行供应商安全办法

第一章总则

第一条为规范本行供应商全生命周期安全管理，防范供应商引入、服务、退出各环节的网络安全、数据安全、业务连续性风险，保障本行信息系统、客户信息及核心业务稳定运行，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《银行业保险业网络安全管理办法》等法律法规及监管要求，结合本行实际，制定本办法。

第二条本办法适用于所有向本行提供产品或服务的供应商，包括但不限于软硬件开发及运维服务商、系统集成商、云服务提供商、数据服务商、业务外包服务商、安全服务提供商、基础设施服务商等。

第三条供应商安全管理遵循“权责清晰、全程管控、最小授权、风险可控、动态评估”的原则，将安全要求嵌入供应商准入、服务实施、日常运维、考核评价、退出全流程，实现安全风险可防、可控、可追溯。

第四条本行网络安全主管部门为供应商安全管理的牵头责任部门，负责制定安全管理规则、组织安全评估、监督安全要求落地；采购管理部门负责将安全要求纳入采购全流程；业务需求部门负责提出具体业务场景下的安全需求；合规、审计部门负责对供应商安全管理流程及执行情况进行合规审查与审计监督。

第二章准入阶段安全管理

第五条采购需求发起前，业务需求部门应当会同网络安全主管部门明确拟采购产品或服务的安全需求，形成《供应商安全需求说明书》，明确安全等级、安全管控要求、责任边界、合