1、銀行業(yè)重要信息系統(tǒng)突發(fā)事件應(yīng)急管理規(guī)范(試行)第一章總則第一條為規(guī)范銀行業(yè)重要信息系統(tǒng)的突發(fā)事件應(yīng)急管理，提高應(yīng)對突發(fā)事件的綜合管理水平和應(yīng)急處置能力，有效防范銀行業(yè)信息系統(tǒng)風(fēng)險，根據(jù)中華人民共和國銀行業(yè)監(jiān)督管理法、中華人民共和國突發(fā)事件應(yīng)對法以及相關(guān)法律法規(guī)，制定本規(guī)范。第二條在中華人民共和國境內(nèi)設(shè)立的政策性銀行、國有商業(yè)銀行、股份制商業(yè)銀行、郵政儲蓄銀行、城市商業(yè)銀行、農(nóng)村商業(yè)銀行、農(nóng)村合作銀行、農(nóng)村信用社、城市信用社，外商獨資銀行、中外合資銀行和外國銀行分行適用本規(guī)范。第三條銀行業(yè)重要信息系統(tǒng)突發(fā)事件應(yīng)對工作原則包括：(一)健全機(jī)制。銀行業(yè)金融機(jī)構(gòu)應(yīng)建立統(tǒng)一指揮、協(xié)調(diào)有序的應(yīng)急管理機(jī)制，

2、主動開展應(yīng)急管理工作，定期演練和評價應(yīng)急預(yù)案，持續(xù)改進(jìn)本機(jī)構(gòu)的應(yīng)急預(yù)案和相關(guān)協(xié)調(diào)機(jī)制。(二)明確職責(zé)。銀行業(yè)金融機(jī)構(gòu)應(yīng)明確本機(jī)構(gòu)各部門在應(yīng)急管理工作中的職責(zé)，以保障銀行業(yè)金融機(jī)構(gòu)業(yè)務(wù)連續(xù)性為目標(biāo)，以落實和完善應(yīng)急預(yù)案為基礎(chǔ)，全面加強信息系統(tǒng)應(yīng)急管理工作，并制定有效的問責(zé)制度。(三)預(yù)防為主。銀行業(yè)金融機(jī)構(gòu)應(yīng)建立和完善信息系統(tǒng)突發(fā)事件風(fēng)險防范體系，對可能導(dǎo)致突發(fā)事件的風(fēng)險進(jìn)行有效地識別、分析和控制，并對風(fēng)險指標(biāo)動態(tài)、持續(xù)監(jiān)測，減少重大突發(fā)事件發(fā)生的可能性。(四)處置高效。銀行業(yè)金融機(jī)構(gòu)應(yīng)加強應(yīng)急處置隊伍建設(shè)，提供充分的資源保障，確保突發(fā)事件發(fā)生時反應(yīng)快速、報告及時、措施得力、操作準(zhǔn)確，降低突發(fā)事

3、件可能造成的損失。第四條以下術(shù)語適用于本規(guī)范：(一)本規(guī)范所稱重要信息系統(tǒng)是指銀行業(yè)金融機(jī)構(gòu)支撐關(guān)鍵業(yè)務(wù)，其信息安全和系統(tǒng)服務(wù)安全關(guān)系公民、法人和組織的權(quán)益或社會秩序和公共利益，甚至影響國家安全的信息系統(tǒng)。主要包括面向客戶、涉及賬務(wù)處理且時效性要求較高的業(yè)務(wù)處理類、渠道類和涉及客戶風(fēng)險管理等業(yè)務(wù)的管理類信息系統(tǒng)，支撐上述系統(tǒng)運行的前置機(jī)、客戶端、機(jī)房、網(wǎng)絡(luò)等基礎(chǔ)設(shè)施也應(yīng)作為重要信息系統(tǒng)的一部分。(二)本規(guī)范所稱業(yè)務(wù)服務(wù)時段是指銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)所承載業(yè)務(wù)對客戶提供服務(wù)的時間。(三)本規(guī)范所稱突發(fā)事件是指銀行業(yè)金融機(jī)構(gòu)重要信息系統(tǒng)以及為之提供支持服務(wù)的電力、通訊等系統(tǒng)突然發(fā)生的，影響業(yè)務(wù)

4、持續(xù)開展，需要采取應(yīng)急處置措施應(yīng)對的事件。(四)本規(guī)范所稱信息系統(tǒng)應(yīng)急管理是指貫穿于整個信息系統(tǒng)生命周期中，通過風(fēng)險防范、應(yīng)急響應(yīng)、應(yīng)急保障以確保信息系統(tǒng)能夠滿足業(yè)務(wù)發(fā)展戰(zhàn)略對業(yè)務(wù)連續(xù)性要求的管理。(五)本規(guī)范所稱業(yè)務(wù)影響分析是指分析業(yè)務(wù)功能及其相關(guān)信息系統(tǒng)資源、評估特定信息系統(tǒng)突發(fā)事件對各種業(yè)務(wù)功能的影響的過程。(六)本規(guī)范所稱剩余風(fēng)險是指采取了風(fēng)險控制措施后仍不能被完全消除的信息系統(tǒng)風(fēng)險。第二章組織機(jī)構(gòu)及職責(zé)第五條中國銀行業(yè)監(jiān)督管理委員會(以下簡稱銀監(jiān)會)信息科技監(jiān)管部門是銀行業(yè)信息系統(tǒng)應(yīng)急處理日常管理機(jī)構(gòu)，其應(yīng)急管理職責(zé)是：(一)監(jiān)管、指導(dǎo)銀行業(yè)金融機(jī)構(gòu)信息系統(tǒng)應(yīng)急管理工作；(二)向上級

5、部門報告銀行業(yè)金融機(jī)構(gòu)信息系統(tǒng)突發(fā)事件；(三)通報、發(fā)布銀行業(yè)信息系統(tǒng)應(yīng)急處理情況；(四)向銀行業(yè)金融機(jī)構(gòu)發(fā)布信息系統(tǒng)突發(fā)事件預(yù)警信息；(五)督導(dǎo)、檢查銀行業(yè)金融機(jī)構(gòu)信息系統(tǒng)應(yīng)急演練；(六)維護(hù)銀行業(yè)應(yīng)急管理組織機(jī)構(gòu)通訊聯(lián)絡(luò)方式。第六條銀監(jiān)會派出機(jī)構(gòu)結(jié)合本地實際情況設(shè)立相應(yīng)的應(yīng)急管理組織機(jī)構(gòu)，明確職責(zé)并監(jiān)督、檢查轄內(nèi)銀行業(yè)金融機(jī)構(gòu)做好應(yīng)急預(yù)案，負(fù)責(zé)轄內(nèi)銀行業(yè)信息系統(tǒng)突發(fā)事件應(yīng)急管理工作。第七條銀行業(yè)金融機(jī)構(gòu)應(yīng)綜合考慮其業(yè)務(wù)和系統(tǒng)規(guī)模，建立應(yīng)急管理組織機(jī)構(gòu)，負(fù)責(zé)本機(jī)構(gòu)信息系統(tǒng)突發(fā)事件應(yīng)急管理工作。(一)董事會和高級管理層應(yīng)對本機(jī)構(gòu)應(yīng)急管理政策及其實施效果負(fù)有最終的責(zé)任。董事會和高級管理層應(yīng)領(lǐng)導(dǎo)、

6、監(jiān)督本機(jī)構(gòu)信息系統(tǒng)應(yīng)急管理體系建設(shè)，制定落實應(yīng)急管理的分級授權(quán)制度和問責(zé)制度，研究確定應(yīng)急處置重大決策和指導(dǎo)意見，為應(yīng)急管理工作配置充分的資源，定期聽取風(fēng)險狀況分析、信息系統(tǒng)重大突發(fā)事件、現(xiàn)有應(yīng)急管理政策重大修改等匯報，負(fù)責(zé)信息系統(tǒng)突發(fā)事件信息披露等。(二)風(fēng)險管理部門應(yīng)制訂應(yīng)急管理政策和基本管理制度并報董事會和高級管理層審定，統(tǒng)一組織、協(xié)調(diào)、指導(dǎo)、檢查本機(jī)構(gòu)信息系統(tǒng)突發(fā)事件應(yīng)急管理；建立應(yīng)急處置的預(yù)授權(quán)制度，定期分析風(fēng)險狀況和總結(jié)信息系統(tǒng)突發(fā)事件應(yīng)急管理成效，履行向董事會和高級管理層的報告職責(zé)，履行向銀監(jiān)會及其派出機(jī)構(gòu)信息系統(tǒng)應(yīng)急管理部門的報告職責(zé)等。(三)信息科技管理部門和業(yè)務(wù)管理部門負(fù)責(zé)

7、本機(jī)構(gòu)信息系統(tǒng)突發(fā)事件應(yīng)急管理工作的具體落實，制定信息系統(tǒng)突發(fā)事件預(yù)防措施、預(yù)警標(biāo)準(zhǔn)和應(yīng)急策略，組織做好信息系統(tǒng)營運監(jiān)測和維護(hù)，實施信息系統(tǒng)突發(fā)事件應(yīng)急處置，評估總結(jié)信息系統(tǒng)突發(fā)事件及應(yīng)急處置過程中暴露的問題并整改，履行向風(fēng)險管理部門的報告職責(zé)，定期組織信息系統(tǒng)應(yīng)急演練，持續(xù)改進(jìn)本機(jī)構(gòu)信息系統(tǒng)應(yīng)急預(yù)案等。各銀行業(yè)金融機(jī)構(gòu)的業(yè)務(wù)管理部門應(yīng)針對信息系統(tǒng)突發(fā)事件建立相應(yīng)的業(yè)務(wù)應(yīng)急預(yù)案和操作流程，并進(jìn)行持續(xù)改進(jìn)和優(yōu)化。第八條銀行業(yè)金融機(jī)構(gòu)應(yīng)組建應(yīng)急團(tuán)隊，在發(fā)生信息系統(tǒng)突發(fā)事件時，能夠做到及時實施專項應(yīng)急處置工作。應(yīng)急團(tuán)隊?wèi)?yīng)包括但不限于應(yīng)急領(lǐng)導(dǎo)小組、應(yīng)急執(zhí)行小組、支持保障小組。(一)應(yīng)急領(lǐng)導(dǎo)小組由董事會

8、和高管層授權(quán)并由高管人員任應(yīng)急領(lǐng)導(dǎo)小組組長，各相關(guān)職能部門(包括但不限于風(fēng)險管理部門、業(yè)務(wù)管理部門、信息科技管理部門和支持保障部門等)和一級分支機(jī)構(gòu)的負(fù)責(zé)人為應(yīng)急領(lǐng)導(dǎo)小組成員，其職責(zé)是：1.負(fù)責(zé)信息系統(tǒng)突發(fā)事件的應(yīng)急指揮、組織協(xié)調(diào)和過程控制；2.明確新聞發(fā)布人，授權(quán)其在應(yīng)急過程中統(tǒng)一對外信息發(fā)布口徑；3.宣布重大應(yīng)急響應(yīng)狀態(tài)的降級或解除；4.向董事會和高級管理層報告應(yīng)急處置進(jìn)展情況和總結(jié)報告。(二)應(yīng)急執(zhí)行小組由業(yè)務(wù)管理部門、信息科技管理部門、運營部門等派員組成，對應(yīng)急領(lǐng)導(dǎo)小組負(fù)責(zé)，其職責(zé)是：1.實施信息系統(tǒng)突發(fā)事件的具體應(yīng)急處置工作；2.對信息系統(tǒng)突發(fā)事件業(yè)務(wù)影響情況進(jìn)行分析和評估；3.收集

9、分析信息系統(tǒng)突發(fā)事件應(yīng)急處置過程中的數(shù)據(jù)信息和日志；4.向應(yīng)急領(lǐng)導(dǎo)小組報告應(yīng)急處置進(jìn)展情況和事態(tài)發(fā)展情況。(三)支持保障小組由人力資源部門、計劃財務(wù)部門、法律事務(wù)部門、公共關(guān)系部門、安全保衛(wèi)部門、后勤保障部門等派員組成，對應(yīng)急領(lǐng)導(dǎo)小組負(fù)責(zé)，其職責(zé)是：1.提供應(yīng)急所需人力和物力等資源保障；2.做好對受影響客戶的解釋和安撫工作；3.做好秩序維護(hù)、安全保障、法律咨詢和支援等工作；4.建立與電力、通訊、公安和消防等相關(guān)外部機(jī)構(gòu)的應(yīng)急協(xié)調(diào)機(jī)制和應(yīng)急聯(lián)動機(jī)制；5.其他為降低事件負(fù)面影響或損失提供的應(yīng)急支持保障等。第三章突發(fā)事件分級第九條突發(fā)事件依照其影響范圍及持續(xù)時間等因素分級。當(dāng)突發(fā)事件同時滿足多個級別

10、的定級條件時，按最高級別確定突發(fā)事件等級。(一)特別重大突發(fā)事件(I級)1.銀行業(yè)金融機(jī)構(gòu)由于重要信息系統(tǒng)服務(wù)中斷或重要數(shù)據(jù)損毀、丟失、泄露，造成經(jīng)濟(jì)秩序混亂或重大經(jīng)濟(jì)損失、影響金融穩(wěn)定的，或?qū)娎嬖斐商貏e嚴(yán)重?fù)p害的突發(fā)事件；2.由于重要信息系統(tǒng)服務(wù)異常，在業(yè)務(wù)服務(wù)時段導(dǎo)致銀行業(yè)金融機(jī)構(gòu)兩個(含)以上省(自治區(qū)、直轄市)業(yè)務(wù)無法正常開展達(dá) (含)以上，或一個省(自治區(qū)、直轄市)業(yè)務(wù)無法正常開展達(dá)6個小時(含)以上的突發(fā)事件；3.業(yè)務(wù)服務(wù)時段以外，重要信息系統(tǒng)出現(xiàn)的故障或事件救治未果，可能產(chǎn)生上述1至2類的突發(fā)事件。(二)重大突發(fā)事件(級)1.銀行業(yè)金融機(jī)構(gòu)由于重要信息系統(tǒng)服務(wù)中斷或重要數(shù)據(jù)

11、損毀、丟失、泄露，對銀行或客戶利益造成嚴(yán)重?fù)p害的突發(fā)事件；2.由于重要信息系統(tǒng)服務(wù)異常，在業(yè)務(wù)服務(wù)時段導(dǎo)致銀行業(yè)金融機(jī)構(gòu)兩個(含)以上省(自治區(qū)、直轄市)業(yè)務(wù)無法正常開展達(dá)半個小時(含)以上，或一個省(自治區(qū)、直轄市)業(yè)務(wù)無法正常開展達(dá)3個小時(含)以上的突發(fā)事件；3.業(yè)務(wù)服務(wù)時段以外，出現(xiàn)的重要信息系統(tǒng)故障或事件救治未果，可能產(chǎn)生上述1至2類的突發(fā)事件。(三)較大突發(fā)事件(級)1.銀行業(yè)金融機(jī)構(gòu)由于重要信息系統(tǒng)服務(wù)中斷或重要數(shù)據(jù)損毀、丟失、泄露，對銀行或客戶利益造成較大損害的突發(fā)事件；2.由于重要信息系統(tǒng)服務(wù)異常，在業(yè)務(wù)服務(wù)時段導(dǎo)致一個省(自治區(qū)、直轄市)業(yè)務(wù)無法正常開展達(dá)半個小時(含)以上

12、的突發(fā)事件；3.業(yè)務(wù)服務(wù)時段以外，出現(xiàn)的重要信息系統(tǒng)故障或事件救治未果，可能產(chǎn)生上述1至2類的突發(fā)事件。第十條重要信息系統(tǒng)突發(fā)事件發(fā)生后，銀行業(yè)金融機(jī)構(gòu)應(yīng)依據(jù)事件影響范圍和影響時間的變化，按照上述定義進(jìn)行事件級別升級。第四章風(fēng)險防范第十一條銀行業(yè)金融機(jī)構(gòu)應(yīng)根據(jù)業(yè)務(wù)影響分析確定各項業(yè)務(wù)的信息系統(tǒng)恢復(fù)指標(biāo)，主要包括：(一)恢復(fù)時間目標(biāo)(RTO)：業(yè)務(wù)功能恢復(fù)正常的時間要求；(二)恢復(fù)點目標(biāo)(RPO)：業(yè)務(wù)功能恢復(fù)時能夠容忍的數(shù)據(jù)丟失量。第十二條銀行業(yè)金融機(jī)構(gòu)應(yīng)根據(jù)信息系統(tǒng)恢復(fù)指標(biāo)和系統(tǒng)間的依賴關(guān)系，確定各信息系統(tǒng)應(yīng)急響應(yīng)恢復(fù)優(yōu)先順序，并系統(tǒng)化地識別信息技術(shù)資源風(fēng)險，包括基礎(chǔ)設(shè)施類風(fēng)險、主機(jī)和硬件設(shè)

13、備類風(fēng)險、系統(tǒng)類風(fēng)險、應(yīng)用類風(fēng)險、網(wǎng)絡(luò)類風(fēng)險等，以確保風(fēng)險識別的全面性。第十三條銀行業(yè)金融機(jī)構(gòu)應(yīng)制定全面的風(fēng)險防范措施，并通過場景模擬、壓力測試等手段驗證風(fēng)險防范措施的有效性。在突發(fā)事件應(yīng)急處置后，應(yīng)評估已有風(fēng)險防范措施的有效性并加以改進(jìn)。第十四條銀行業(yè)金融機(jī)構(gòu)應(yīng)依據(jù)風(fēng)險防范措施對關(guān)鍵信息技術(shù)資源進(jìn)行剩余風(fēng)險評估，明確剩余風(fēng)險的監(jiān)測方法與預(yù)警條件，并將其納入信息系統(tǒng)風(fēng)險事件監(jiān)測與預(yù)警體系中。第十五條銀行業(yè)金融機(jī)構(gòu)應(yīng)對關(guān)鍵信息技術(shù)資源建立監(jiān)測指標(biāo)體系以及相關(guān)的日常監(jiān)測與預(yù)警機(jī)制，對監(jiān)測指標(biāo)的異常波動及時預(yù)警，并定期測試與修訂監(jiān)測指標(biāo)體系以確保其有效性。第十六條銀行業(yè)金融機(jī)構(gòu)應(yīng)建立關(guān)鍵時點監(jiān)測與預(yù)

14、警機(jī)制，在重大業(yè)務(wù)活動、重大社會活動、信息系統(tǒng)重大變更等關(guān)鍵時點加強風(fēng)險監(jiān)控和預(yù)警，并及時向業(yè)務(wù)職能部門進(jìn)行風(fēng)險提示，多部門協(xié)同做好應(yīng)急準(zhǔn)備。第十七條銀行業(yè)金融機(jī)構(gòu)在系統(tǒng)上線、系統(tǒng)升級、網(wǎng)絡(luò)改造、設(shè)備更新等關(guān)鍵信息技術(shù)資源發(fā)生重大變更及業(yè)務(wù)種類和交易量發(fā)生重大變化時，應(yīng)重新識別、分析、控制風(fēng)險，并更新剩余風(fēng)險評估和風(fēng)險事件監(jiān)測與預(yù)警。第十八條銀行業(yè)金融機(jī)構(gòu)應(yīng)與電力、通信等重要基礎(chǔ)設(shè)施服務(wù)商，主機(jī)、網(wǎng)絡(luò)、存儲等重要設(shè)備服務(wù)商，系統(tǒng)集成服務(wù)商以及其他外包服務(wù)商簽定服務(wù)水平協(xié)議，并對服務(wù)商的技術(shù)與產(chǎn)品政策、服務(wù)水平、服務(wù)能力發(fā)生變化可能產(chǎn)生的影響及時進(jìn)行風(fēng)險評估和預(yù)警。第五章應(yīng)急預(yù)案與演練第十九條銀

15、行業(yè)金融機(jī)構(gòu)應(yīng)根據(jù)恢復(fù)時間目標(biāo)(RTO)和恢復(fù)點目標(biāo)(RPO)，結(jié)合風(fēng)險控制策略，從基礎(chǔ)設(shè)施、網(wǎng)絡(luò)、信息系統(tǒng)等不同方面，分類制定本機(jī)構(gòu)應(yīng)急預(yù)案。第二十條銀行業(yè)金融機(jī)構(gòu)編制的信息系統(tǒng)應(yīng)急預(yù)案應(yīng)包括以下內(nèi)容：(一)明確有關(guān)各方的分工和責(zé)任；(二)說明重要信息系統(tǒng)的業(yè)務(wù)影響范圍、恢復(fù)時間目標(biāo)、恢復(fù)點目標(biāo)、以及信息系統(tǒng)包括的系統(tǒng)資源，明確資源的物理位置、設(shè)備型號、軟件資源、網(wǎng)絡(luò)配置等關(guān)鍵信息；(三)明確各類故障的診斷方法和流程；應(yīng)急場景應(yīng)至少覆蓋電力故障、通信線路故障、火情水災(zāi)、治安、病毒爆發(fā)、網(wǎng)絡(luò)攻擊、人為破壞、不可抗力、計算機(jī)硬件故障、操作系統(tǒng)故障、系統(tǒng)漏洞、應(yīng)用系統(tǒng)故障以及其他各類與信息系統(tǒng)相關(guān)

16、的故障；(四)制定系統(tǒng)恢復(fù)流程和應(yīng)急處置操作手冊，盡可能將操作代碼化、自動化，降低應(yīng)急處置過程中產(chǎn)生的操作風(fēng)險；(五)明確應(yīng)急恢復(fù)過程中的關(guān)鍵狀態(tài)，并明確不同狀態(tài)的溝通和報告內(nèi)容及等級；(六)明確應(yīng)急相關(guān)人員的協(xié)調(diào)內(nèi)容和溝通方式；(七)明確系統(tǒng)重建步驟，確保信息系統(tǒng)恢復(fù)正常業(yè)務(wù)處理能力。第二十一條銀行業(yè)金融機(jī)構(gòu)應(yīng)將支撐信息系統(tǒng)運行的重要外包服務(wù)的應(yīng)急管理納入其中，建立重要外包服務(wù)的專項應(yīng)急預(yù)案，對于重要基礎(chǔ)設(shè)施、重要設(shè)備、網(wǎng)絡(luò)、系統(tǒng)集成以及其他外包服務(wù)商的技術(shù)與產(chǎn)品政策、服務(wù)水平、服務(wù)能力制定風(fēng)險應(yīng)對措施，外包服務(wù)的應(yīng)急預(yù)案應(yīng)能夠保障銀行業(yè)信息系統(tǒng)恢復(fù)時間目標(biāo) (RTO)和恢復(fù)點目標(biāo)(RPO)

17、的要求。第二十二條銀行業(yè)金融機(jī)構(gòu)應(yīng)定期對應(yīng)急預(yù)案進(jìn)行測試和演練，確保其有效性。第二十三條當(dāng)信息系統(tǒng)發(fā)生系統(tǒng)上線、系統(tǒng)升級、網(wǎng)絡(luò)改造、設(shè)備更新、配置參數(shù)調(diào)整等變更時應(yīng)及時更新應(yīng)急預(yù)案，并適時實施演練。第二十四條銀行業(yè)金融機(jī)構(gòu)應(yīng)制定年度信息系統(tǒng)應(yīng)急演練計劃，明確演練的時間、內(nèi)容、依據(jù)、目的、負(fù)責(zé)人和相關(guān)配合機(jī)構(gòu)等要素。演練計劃應(yīng)涵蓋對應(yīng)急預(yù)案各環(huán)節(jié)的檢驗，驗證應(yīng)急預(yù)案的有效性、應(yīng)急資源的完備性及應(yīng)急人員的適應(yīng)性。應(yīng)急演練應(yīng)做到全面演練和專項演練相結(jié)合，一般情況下，銀行業(yè)金融機(jī)構(gòu)每年至少應(yīng)組織一次全系統(tǒng)范圍內(nèi)的應(yīng)急演練。第二十五條銀行業(yè)金融機(jī)構(gòu)應(yīng)嚴(yán)格按照應(yīng)急演練計劃實施應(yīng)急演練，并注意如下事項：(一

18、)以應(yīng)急預(yù)案為基礎(chǔ)，制定應(yīng)急演練總體方案，并進(jìn)行風(fēng)險再評估，制定相應(yīng)的保障措施；(二)應(yīng)急演練內(nèi)容應(yīng)全面完整，涵蓋信息系統(tǒng)的各類應(yīng)急場景；(三)嚴(yán)格控制應(yīng)急演練引起的信息系統(tǒng)變更風(fēng)險，避免因演練導(dǎo)致服務(wù)中斷；(四)應(yīng)急演練應(yīng)選擇在非主要業(yè)務(wù)時段進(jìn)行；(五)應(yīng)急演練完成后，應(yīng)保證實施應(yīng)急預(yù)案所需的各項資源恢復(fù)正常；(六)定期對信息系統(tǒng)應(yīng)急響應(yīng)相關(guān)人員進(jìn)行培訓(xùn)。第二十六條銀行業(yè)金融機(jī)構(gòu)應(yīng)積極配合其他業(yè)務(wù)相關(guān)機(jī)構(gòu)完成跨機(jī)構(gòu)或跨行業(yè)應(yīng)急演練。第二十七條銀行業(yè)金融機(jī)構(gòu)在應(yīng)急演練的過程中，對可能存在較大風(fēng)險的演練(如全系統(tǒng)范圍的演練)，應(yīng)按屬地監(jiān)管原則，在實施演練前將應(yīng)急演練計劃向銀監(jiān)會或其派出機(jī)構(gòu)報備。

19、第二十八條應(yīng)急演練結(jié)束后，銀行業(yè)金融機(jī)構(gòu)應(yīng)撰寫應(yīng)急演練情況總結(jié)報告，大型或重要的應(yīng)急演練總結(jié)報告應(yīng)提交董事會和高管層?？偨Y(jié)報告包括但不限于：內(nèi)容和目的、總體方案、參與人員、準(zhǔn)備工作、主要過程和關(guān)鍵時間點記錄、存在的問題、后續(xù)改進(jìn)措施及實施計劃、演練結(jié)論。第二十九條銀行業(yè)金融機(jī)構(gòu)應(yīng)根據(jù)演練總結(jié)報告提出的改進(jìn)措施進(jìn)行整改，及時修訂相應(yīng)的應(yīng)急預(yù)案，并組織審計部門對整改情況進(jìn)行監(jiān)督和檢查。第三十條對于全系統(tǒng)范圍的年度演練或跨機(jī)構(gòu)和跨行業(yè)的演練，銀行業(yè)金融機(jī)構(gòu)應(yīng)將演練總結(jié)報告上報銀監(jiān)會或其派出機(jī)構(gòu)。第三十一條銀行業(yè)金融機(jī)構(gòu)在應(yīng)急演練的過程中，應(yīng)根據(jù)審計、監(jiān)管部門要求，將應(yīng)急演練計劃、過程記錄和結(jié)果分析等

20、歸檔。第六章應(yīng)急響應(yīng)第三十二條銀行業(yè)金融機(jī)構(gòu)應(yīng)按照本機(jī)構(gòu)既定的應(yīng)急預(yù)案，做好應(yīng)急處置，快速有效處置突發(fā)事件。第三十三條銀行業(yè)金融機(jī)構(gòu)風(fēng)險管理部門應(yīng)在董事會和高管層授權(quán)下負(fù)責(zé)突發(fā)事件報告，并指定專人為報告責(zé)任人。當(dāng)報告責(zé)任人確定或發(fā)生變更時應(yīng)及時向銀監(jiān)會或其派出機(jī)構(gòu)信息系統(tǒng)應(yīng)急管理部門報備。當(dāng)多個重要信息系統(tǒng)同時受到影響時，按照受影響程度最高原則報告。第三十四條全國性銀行業(yè)金融機(jī)構(gòu)總部向銀監(jiān)會信息系統(tǒng)應(yīng)急管理部門報告；全國性銀行業(yè)金融機(jī)構(gòu)的一級分支機(jī)構(gòu)、地方性銀行業(yè)金融機(jī)構(gòu)向當(dāng)?shù)劂y監(jiān)會派出機(jī)構(gòu)信息系統(tǒng)應(yīng)急管理部門報告。第三十五條突發(fā)事件應(yīng)急響應(yīng)流程：(一)應(yīng)急執(zhí)行小組應(yīng)根據(jù)既定的應(yīng)急預(yù)案，啟動應(yīng)

21、急操作，并及時報告應(yīng)急領(lǐng)導(dǎo)小組。應(yīng)急處置應(yīng)集中于建立臨時業(yè)務(wù)處理能力、修復(fù)原系統(tǒng)損害、在原系統(tǒng)或新設(shè)施中恢復(fù)運行業(yè)務(wù)能力等應(yīng)急措施；(二)對于應(yīng)急預(yù)案沒有覆蓋的突發(fā)事件，應(yīng)立即報告應(yīng)急領(lǐng)導(dǎo)小組進(jìn)行應(yīng)急決策；(三)應(yīng)急領(lǐng)導(dǎo)小組應(yīng)立即啟動本機(jī)構(gòu)應(yīng)急組織，組織協(xié)調(diào)機(jī)構(gòu)內(nèi)部進(jìn)行應(yīng)急處置，并負(fù)責(zé)向監(jiān)管部門報告應(yīng)急響應(yīng)情況；(四)支持保障小組做好各項應(yīng)急保障工作，為應(yīng)急處置提供場地、交通、通訊及其他后勤保障；(五)銀行業(yè)金融機(jī)構(gòu)應(yīng)在重要信息系統(tǒng)突發(fā)事件發(fā)生后60分鐘之內(nèi)將突發(fā)事件相關(guān)情況上報銀監(jiān)會或其派出機(jī)構(gòu)信息系統(tǒng)應(yīng)急管理部門，并在事件發(fā)生后12小時內(nèi)提交正式書面報告；(六)對造成經(jīng)濟(jì)秩序混亂或重大經(jīng)濟(jì)

22、損失、影響金融穩(wěn)定的，或?qū)︺y行、客戶、公眾的利益造成損害的突發(fā)事件，銀行業(yè)金融機(jī)構(gòu)要立即上報；(七)銀行業(yè)金融機(jī)構(gòu)應(yīng)將應(yīng)急處置重大進(jìn)展情況及時上報銀監(jiān)會或其派出機(jī)構(gòu)，直至應(yīng)急結(jié)束。I級突發(fā)事件發(fā)生后，銀行業(yè)金融機(jī)構(gòu)應(yīng)每2小時將應(yīng)急處置進(jìn)展情況上報，直至應(yīng)急結(jié)束。第三十六條上報銀監(jiān)會或其派出機(jī)構(gòu)的書面報告內(nèi)容應(yīng)包括突發(fā)事件時間、地點、現(xiàn)象、影響的業(yè)務(wù)范圍、原因分析、后果的初步判斷、已采取的措施、后續(xù)擬采取方案的建議、事件報告單位、聯(lián)系人及聯(lián)系方式、其他與本突發(fā)事件有關(guān)的內(nèi)容，并在報告中重點明確需要銀監(jiān)會協(xié)調(diào)的事項。第三十七條銀監(jiān)會及其派出機(jī)構(gòu)信息系統(tǒng)應(yīng)急管理部門根據(jù)銀行業(yè)金融機(jī)構(gòu)應(yīng)急協(xié)調(diào)需求，組

23、織協(xié)調(diào)國家信息化管理、信息安全管理、治安管理、電力管理等跨部門資源，統(tǒng)籌安排處置工作。第三十八條應(yīng)急處置中所有相關(guān)的信息和處理過程應(yīng)進(jìn)行嚴(yán)格記錄，外部供應(yīng)商的處理過程應(yīng)有專門記錄文件，如果涉及到保險理賠，中間過程和場景可用攝像設(shè)備進(jìn)行記錄。所有過程資料應(yīng)由專人存檔保管。第三十九條應(yīng)急處置過程中出現(xiàn)異?；驊?yīng)急預(yù)案、決策方案失效，銀行業(yè)金融機(jī)構(gòu)應(yīng)急領(lǐng)導(dǎo)小組要立即上報銀監(jiān)會或其派出機(jī)構(gòu)信息系統(tǒng)應(yīng)急管理部門。第四十條重要信息系統(tǒng)突發(fā)事件發(fā)生后，銀行業(yè)金融機(jī)構(gòu)應(yīng)將相關(guān)信息及時通報給受影響的外部機(jī)構(gòu)及重要客戶，并將相關(guān)信息準(zhǔn)確通報給相關(guān)設(shè)備及服務(wù)提供商、電信、電力等外部組織，以獲得應(yīng)急響應(yīng)支持。第四十一條

24、重要信息系統(tǒng)突發(fā)事件發(fā)生后，根據(jù)突發(fā)事件的嚴(yán)重程度，銀行業(yè)金融機(jī)構(gòu)應(yīng)急領(lǐng)導(dǎo)小組應(yīng)及時向新聞媒體發(fā)布相關(guān)信息，嚴(yán)格按照行業(yè)、機(jī)構(gòu)的相關(guān)規(guī)定和要求對外發(fā)布信息，機(jī)構(gòu)內(nèi)其它部門或者個人不得隨意接受新聞媒體采訪或?qū)ν獍l(fā)表個人看法。第四十二條重要信息系統(tǒng)恢復(fù)正常服務(wù)即為應(yīng)急結(jié)束。第四十三條銀行業(yè)金融機(jī)構(gòu)在應(yīng)急結(jié)束后，應(yīng)針對應(yīng)急工作進(jìn)行評估和總結(jié)，并報銀監(jiān)會或其派出機(jī)構(gòu)信息系統(tǒng)應(yīng)急管理部門。總結(jié)報告應(yīng)包括信息系統(tǒng)突發(fā)事件評估、處置工作總結(jié)以及癥結(jié)分析和相應(yīng)建議等內(nèi)容。(一)突發(fā)事件評估應(yīng)包括現(xiàn)象、影響范圍、處理時間和過程以及造成的損失；(二)處置工作總結(jié)應(yīng)評價應(yīng)急預(yù)案的可用性，分析處置工作中存在的問題，總

25、結(jié)處置工作的整體過程；(三)癥結(jié)分析和相應(yīng)建議應(yīng)分析突發(fā)事件的深層次原因，反映存在的困難和問題，并提出改進(jìn)措施、計劃及相關(guān)建議。第七章應(yīng)急保障第四十四條銀行業(yè)金融機(jī)構(gòu)應(yīng)建立長效的人員保障機(jī)制，確保人員能夠勝任應(yīng)急處置工作。在人員保障方面應(yīng)達(dá)到以下要求：(一)確保應(yīng)急處置人員具備應(yīng)急工作必要的技術(shù)資質(zhì)，定期組織人員培訓(xùn)以滿足應(yīng)急處置的要求，并通過應(yīng)急演練，保證應(yīng)急處置人員的熟練度；(二)確保主、備崗機(jī)制的落實；(三)確保主、備崗人員定期進(jìn)行互換；(四)避免一人兼過多的崗位。第四十五條銀行業(yè)金融機(jī)構(gòu)應(yīng)建立有效的物質(zhì)保障機(jī)制，確保在應(yīng)急響應(yīng)過程中不會因物質(zhì)缺乏而導(dǎo)致應(yīng)急處置中斷或延長應(yīng)急處置時間。在

26、物質(zhì)保障方面應(yīng)達(dá)到以下要求：(一)儲備一定數(shù)量應(yīng)急設(shè)備或物資，并確保物資供應(yīng)渠道暢通；(二)建立應(yīng)急響應(yīng)專項資金預(yù)算管理與審批制度，確保應(yīng)急響應(yīng)過程中及時進(jìn)行應(yīng)急物資采購。第四十六條銀行業(yè)金融機(jī)構(gòu)應(yīng)建立有效的技術(shù)保障機(jī)制，確保在應(yīng)急響應(yīng)過程中不會因技術(shù)能力缺乏而導(dǎo)致應(yīng)急處置中斷或延長應(yīng)急處置時間。在技術(shù)保障方面應(yīng)達(dá)到以下要求：(一)建立應(yīng)急事件預(yù)警平臺，確保及時發(fā)現(xiàn)應(yīng)急事件，并及時通知有關(guān)人員啟動應(yīng)急響應(yīng)；(二)明確相關(guān)廠商的技術(shù)支持服務(wù)水平，確保應(yīng)急處置過程中相關(guān)廠商能夠提供及時有效的技術(shù)支持。第四十七條銀行業(yè)金融機(jī)構(gòu)應(yīng)采取必要的通訊保障措施，確保應(yīng)急響應(yīng)通訊及時有效。在通訊保障方面應(yīng)達(dá)到以

27、下要求：(一)適時更新各級應(yīng)急管理機(jī)構(gòu)聯(lián)絡(luò)人和聯(lián)絡(luò)方式；(二)建立多種通訊渠道，避免單一通訊風(fēng)險，并明確各通訊渠道使用的優(yōu)先順序。第八章持續(xù)改進(jìn)第四十八條銀行業(yè)金融機(jī)構(gòu)應(yīng)每年開展一次對突發(fā)事件風(fēng)險防范措施的全面評估和審計活動，包括評估風(fēng)險識別、分析和控制措施的有效性、應(yīng)急預(yù)案的完備性、應(yīng)急演練的全面性和及時性等，檢驗防范措施的有效性，并及時發(fā)現(xiàn)新的風(fēng)險，改進(jìn)風(fēng)險控制措施，進(jìn)一步完善應(yīng)急預(yù)案，形成風(fēng)險防范措施的持續(xù)改進(jìn)。第四十九條銀行業(yè)金融機(jī)構(gòu)應(yīng)每年開展一次對應(yīng)急響應(yīng)工作的全面評估和審計活動。評估范圍包括應(yīng)急響應(yīng)的有效性、投入資源的充分性、突發(fā)事件報告的及時性等，確保應(yīng)急響應(yīng)持續(xù)有效。第五十條銀行業(yè)金融機(jī)構(gòu)應(yīng)對應(yīng)急管理的策略、機(jī)制、方法、流程等不斷完善，對應(yīng)急管理過程中發(fā)現(xiàn)的問題適時整改。第五十一條銀行業(yè)金融機(jī)構(gòu)應(yīng)將應(yīng)急管理納入到全面風(fēng)險管理體系中，建立應(yīng)急管理的長效機(jī)制，保證應(yīng)急管理工作的持續(xù)性和有效性。第九章附則第五十二條本規(guī)范由銀監(jiān)會負(fù)責(zé)解釋和修訂。銀行業(yè)金融機(jī)構(gòu)可依據(jù)本規(guī)范制定具體的信息系統(tǒng)應(yīng)急管理實施細(xì)則。第五十三條在中國境內(nèi)設(shè)立的金融資產(chǎn)管理公司、信托投資公司、企業(yè)集團(tuán)財務(wù)公司、金融租賃公司、汽車金融公司及銀監(jiān)會批準(zhǔn)設(shè)立的其他金融機(jī)構(gòu)，參照本規(guī)范執(zhí)行。第五十四條本規(guī)范自公布之日起執(zhí)行。