第1篇：信息科技风险自查报告
信息科技自查报告
按照上级领导的指示，我行认真贯彻精神，为充分做好重要时期金融网络和信息系统安全保障工作，防范我行信息科技风险，保障计算机系统运行和操作安全，建立和完善信息科技风险管理机制。对我行的信息科技工作进行了一次全面的自我评估及审查。现将审查情况报告如下：
一、设备间建设规范和管理规范
（1）设备间安装了温湿度仪表，以用来监控机房温度和湿度，并能够及时开启控温控湿设备来保证机房的温度和湿度。
（2）设备间每周由网点经理或支行行长来对设备间的环境状况进行检查，并登记成册，以确保设备间保持整洁和规范。
（3）设备间严格控制出入人员，并保证营业网点外来人员有相关证件登记。
（4）支行技术人员每年一次对设备间的主要设备进行巡检，确保设备能够正常使用，并在相关登记本上记录。
二、应急管理和终端安全
（1）支行会不定期对一些预案进行检查，确保这些预案是最新的，且告知网点人员张贴在需要的地方。
（2）支行每年会抽取一定的网点人员进行培训和演练，并书写心得和体会，确保网点人员能够正确的应对突发状况。
（3）支行每月会不定期的抽查相关电脑的软件安装情况，检查是否存在私自安装不必要的软件，以及是否私自开通ADSL等违规的网络。
第2篇：信息科技风险自查报告
信息科技风险自查报告
**农商行
按照上级领导的指示，我行认真贯彻《关于加强2010年重要时期金融信息安全保障工作的通知》（银发[2010]57号文件）精神，为充分做好重要时期金融网络和信息系统安全保障工作，防范我行信息科技风险，保障计算机系统运行和操作安全，建立和完善信息科技风险管理机制。对我行的信息科技工作进行了一次全面的自我评估及审查。现将审查情况报告如下：
一、组织架构、制度建设及管理情况
1.信息科技治理组织架构
（1）我行在董事会下设科技信息安全管理委员会，行长室下设信息科技管理委员会，信息安全管理委员会下设应急处理领导小组。
科技信息安全管理委员会全面负责领导和协调本行科技信息安全。
科技管理委员会负责统一规划全行的信息化建设，指导和监督科技部门的各项工作，审议全行计算机网络的设计方案、软件项目招标、设备招标和统一采购及日常管理中重大问题的研究和建议。 信息系统应急处理领导小组负责组织制定全辖应急处置的实施细则，统一组织、协调、指导、检查全辖应急处置的管理；负责全辖信息系统突发事件的应急指挥、组织协调和过程控制
（2）我行成立了科技管理部和科技开发部，做到科技运维和科技开发有效分离，加强了信息科技治理。
（3）科技风险审计工作由我行稽核审计部完成，信息科技风险管理由风险管理部门完成。
（4）在支行层面则设立合规员，负责各支行科技信息相关风险监控和报告
2.信息科技管理制度建设
（1）安全管理
对安全管理活动中的各类管理内容建立安全管理制度，制定了由安全策略、管理制度、操作规程等构成的全面的信息安全管理总则《江苏**农村商业银行计算机信息系统安全管理制度》，安全管理制度经信息安全领导小组审定，审定周期为一年一次，并且及时发现缺漏或不足对制度进行修订，并有修订记录
（2）事件管理
制订了安全事件报告和处置管理制度——《信息安全事件管理制度》明确安全事件类型，规定安全事件的现场处理、事件报告和后期恢复的管理职责，并根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响，对安全事件进行等级划分，制定安全事件报告和响应处理程序，确定事件的报告流程，响应和处置方法等，并对发现的安全弱点和可疑事件有《异常情况上报规定》
（3）应急处理
建立较为完善的信息系统应急恢复策略《江苏**农村商业银行计算机信息系统应急处理方案》，对各业务信息系统进行分类，按照重要程度，确定保障级别，制定了各信息系统突发事件专项应急预案。制定数据中心、灾备中心机房关键基础设施专项应急预案。
（4）安全操作规范及管理流程
我行有完整的信息安全管理流程，控制信息安全管理。包括介质管理、网络管理、维护及故障处理制度、软硬件变更流程、备份管理、ATM安全管理、机房管理、监控管理、密钥管理、巡检制度等等科技管理部各项流程。
（5）岗位职责与分工
配备一定数量的系统管理员、网络管理员、安全管理员等。每个岗位设立2个以上操作维护人员。重要系统均配备A/B角 ， A/B角定期轮换。明确岗位职责《科技管理部岗位设置》《科技开发部工作职责》《科技管理部岗位百分考核办法》 （6）密级管理制度
录用人员签署保密协议；制定人员离岗管理流程规范，严格规范人员离岗过程，及时终止离岗员工的所有访问权限；与外包商签订保密协议；有密级的安全管理制度，注明安全管理制度密级，并进行密级管理。
二、信息系统的技术措施情况
1.物理和环境建设
（1）机房的物理访问控制：机房实现门禁控制，严防外部人员进入机房擅自操作。
（2）系统密码均由专门人员掌管，计算机终端无人看管时锁定；
（3）机房采用集中监控，监控清晰全面，机房环境设施均有专人岗位值班管理，参数实行24小时不间断监控，岗位人员具备管理监控专业素质。
（4）机房供电系统均采用双路UPS供电，线路冗余性好，负载能力强，完全能够满足机房电力需求。
（5）机房空调系统的有效性和冗余性，给排风系统的有效性：机房空调系统安全有效，给排风系统工作正常。
（6）中心机房和灾备机房均有配套防盗窃、防雷、防火、防水、防静电、温湿度控制、电磁保护等措施，确保机房正常运转。
（7）机房技术文档完备、有效：制定了《**农村商业银行计算机信息系统安全管理制度》、《科技部信息部中心机房监控制度》，《**农村商业银行计算机系统运行维护管理制度》为机房维护制定详细的规范文档。
2.网络管理
我行根据文件要求，对重要网络设施(包括网络传输线路、网络设备、网络安全设备)进行了详细的自查，情况如下: 1.网络安全策略
（1）内网的安全管理情况；
内网网络安全管理： 外联单位互联安全保护措施：通过两台PIX525防火墙连接外联单位，两台防火墙通过FAILOVER形成热备，在防火墙上配置安全策略，严格控制进出生产网的数据。
在对外路由器上设置过滤规则，形成防护网。使用过滤规则设置功能，作过滤防护，形成银行网络与外联单位之间的第一道防护网。正确地配置和使用防火墙。防火墙功能正确实施的关键是其安全策略的配置和管理，为企业的重要数据和内部网络系统提供了一层可靠的安全保障。
使用地址转换的通信策略，防火墙对内部地址进行转换，对外映射为一个虚拟地址。
（2）外网的安全管理情况；
办公网网络安全建设：天融信防火墙安全防护建设：在**农商行办公网INTERNET出口部署两台天融信防火墙提供了强大的网络应用控制功能。用户可以轻松的针对一些典型网络应用，如MSN，QQ、Skype、即时通信应用，以及BT、讯雷等p2p应用实行灵活的访问控制策略，如禁止、限时、乃至流量控制。还提供了定制功能，可以对用户所关心的网络应用进行全面控制。
能够在核心网络中同所有网络设备一起构建高可用性及高安全性的拓扑结构，自身能够实现A/A部署和状态同步，能够实现动态的链路切换，同时提供了电源冗余功能，最大限度地满足了网络的健壮性及稳定性，保证了整个网络的不间断工作。
（3）加密技术应用和私钥的管理情况；
ARRY设备远程VPN安全保护建设：**农商行办公网已经部署了VPN，INTERNET用户可以连接到内部办公网。采用VPN技术，加强信息传输过程中的安全防范，可以在公共Internet网络上提供安全通信。是企业远程用户、业务合作伙伴和供应商尽快实现通信和共享信息理想的安全性解决方案。根据业务系统的特点选择对业务数据进行传输加密；对于网络设备认证过程中敏感的信息进行加密。 制定了《**农村商业银行科技部密钥管理制度》。
（4）防火墙的设置、维护和管理情况；
在网银系统设置两层物理防火墙，将网络分为三个逻辑区域，及非授信区、停火区及安全区。非授信区可理解为Internet，即存在潜在威胁的区域；停火区（DMZ）内部署网银Web服务器、RA服务器以及其它直接向外部提供服务或者进行通讯的服务器，如Mail服务器、防病毒服务器等；安全区用户部署网银应用服务器、数据库服务器、通信服务器等核心部件；
（5）、设置入侵检测系统。
入侵检测用在网络关键节点设置探头以侦测网络数据中。
2.网络服务连续性、冗余性
1.所有重要通信线路均有备份线路且采用不同运营商，确保网络无断点。
2.网络设备的冗余性：网络设备均有备份。核心网络设备，核心生产系统设备均采用双机热备，同城设有灾备机房，确保关键生产设备运行的可靠性
3.访问线路的带宽完全能够满足各信息系统的带宽需求，无网络拥塞现象。
4.网络设备管理配置均由专人分管负责，确保合理操作，保障网络通畅、安全； 5.日志服务器暂无，有网络日志，但无集中审计，需加强网络设备日志的安全审计。
3.信息系统可靠性
我行根据文件要求，对关键服务器、存储器运行的可靠性，生产系统资源冗余度等进行了全面自查，情况如下: 1.系统重要设备和组件的冗余备份
经自查，关键生产设备均采用双电源，服务器有UPS电源支持，且有RAID保护。系统具备较高的可用性，所有前置系统都有备机，且定期切换演练，系统重要设备和组件均有相应的定时备份。
2.制定各系统的应急预案，定期对预案修订和培训，目前，我行针对世博会演练了信贷系统切换，中心机房供电演练，影像支付系统演练，网银系统恶意攻击模拟演练。
3.设备和系统的维护和升级管理
设备、系统均有专人维护管理，部分设备、系统聘请专业公司人员进行升级维护，岗位人员均具备相关素质，并实行AB角色。
4.对外包系统要求开发商要对我行技术人员进行详细的日常运行、维护培训，把相关技术移交给我行技术人员，对涉及二次开发的系统要求开发商提供完整的二次开发手册，培训我行技术人员掌握二次开发技术 5.系统软件的用户授权及鉴别认证措施：
系统软件用户密码相关人员各自保管，重要系统管理密码实行分左右手密码保管原则，系统软件用户访问实现权限控制，各级人员只能进行权限内操作。
6.系统变更管理: 制定了变更管理的主要准则和规章制度，变更管理的审批授权机制和工作流程；对变更管理进行登记、备案和存档，制定了非计划性紧急变更的实施方案、备份和恢复。
7.对系统日志及操作行为日志进行监察审计，确保系统稳定运行
8.系统容量管理计划
系统处理容量增长趋势完全满足增量业务需求，并有适度冗余。
9.补丁更新
及时关注系统安全漏洞最新情况，及时对新发现的安全漏洞打上相关的安全补丁。经检查当前系统已是最新最完整版本，已安装了最新补丁
10.病毒、恶意代码的安全防护
系统均安装病毒查杀软件，对病毒、恶意代码进行安全防护。同时严格控制操作人员在机器上运行可能携带恶意代码、病毒的脚本的外来第三方软件
11.系统安全配置检查 定期巡检，对系统的安全配置实行不定期检测，对可能存在的隐患进行排除。
4.应用安全
1.业务应用系统的用户授权及鉴别认证措施
业务应用系统用户密码相关业务人员各自保管，通过操作号和密码进行身份鉴别认证。人员离开时应设置屏幕密码保护或退出到登陆状态。
2.业务应用系统的用户访问控制
系统软件用户访问实现权限控制，各级人员只能进行权限内操作
4.数据安全、备份可用性
1.数据备份策略及备份数据的可用性
（1）对各应用系统指定相应备份策略，指定不同级别的具体备份操作，每次备份完毕应检查备份数据的有效性，并异地妥善保管好磁介质，重要数据永久保存
（2）应定期执行恢复程序，检查和测试备份介质的有效性，确保可以在恢复程序规定的时间内完成备份的恢复。
（3）不定期对数据进行抽检，与业务所在日期数据进行比对核实。并有应急恢复预案，及同城异地灾备系统确保数据恢复性。
2.数据安全性 （1）敏感数据的传输和存储加密：
敏感数据传输实行加密管理，存储的一些敏感数据实行加密乱码显示。
（2）重要业务数据的通信完整性检测
重要业务数据通信检测完整、正常。
（3）重要业务数据的备份策略及恢复测试机制
重要业务数据定时备份，专人存储保管，有完整的应急恢复预案。
（4）建立了同城异地灾备中心，并制定了《江苏**农村商业银行异地容灾项目灾难恢复计划书》，内容包括危险级别的定义划分、决策流程、灾难恢复团队、日常备份和恢复流程、灾难响应和行动流程、灾难切换流程、灾备系统回切流程、灾难恢复计划的测试、维护等。还包含了涉及系统设备的具体清单、操作步骤等，预计RTO为6小时以内，RPO较低。
5.运行维护监控系统
我行根据文件要求，对信息系统的监测预警进行了全面自查，情况如下: 1.监测预警制度、流程及自动化监控平台
已建立完善监测预警制度、流程，机房环境、参数，系统的运行状况，CPU使用情况、文件系统使用情况等均实现自动化监控。
2.监测预警组织结构及人员设置
每天有人员24小时值班，检查系统及网络运行状况，及时发现问题，监测预警专人负责，按照警报级别逐级上报，确保故障的及时排除。
3.监测预警日志
设立监控日志，每日由监测预警人员负责记录。
4.监测预警文档的完备性
有监测预警文档说明，但不够完善。
5.与电力供应部门、网络供应商、公安部门等外部机构均有相应的应急联动机制，我行正在实施保卫部网点声光联动报警，做到入侵报警设施与照明、视频安防监控及声音复核等设备联动
三、不足和改进方法
1.需将管理与技术相结合，进一步加强信息安全管理手段
从IT风险管理手段来看，部分系统的风险控制不够先进，缺乏专业的风险技术支持，事前预防作用有限，事中控制不够。缺乏对科技风险的集中审计。本行将引进AAA统一认证管理系统，加强系统用户的授权，权限控制和账号管理。架设日志服务器，对系统日志进行集中收集和审计。 通过平台对所有用户进行统一的授权。采用基于角色的授权机制，按照内部的组织结构划分角色，并为用户绑定角色。对于不同的角色分配不同应用系统的访问权限。平台依靠记录追踪用户和管理人员的访问过程，建立一套全面的、有效的回溯和追查机制。可以实时监测用户对各应用系统的访问状态，及时发现非法访问事件，对出现的问题进行事后追溯和责任追究提供实证。通过对系统运行状态实时监控审计，增强系统的可维护性。
2.进一步完善计算机系统安全管理制度
本行已经在内部建立并健全了一系列的计算机系统安全管理制度， 并由稽核部门对银行计算机系统进行专项稽核，但未配备专门的稽核人员，在广度和深度上不够，因此对照新指引的精神，从组织上保证信息风险有具体人员来承担责任，强化执行力和合规性。将日常信息风险管理从传统的检查模式逐步过渡到基于评估、规划、执行和监督全面循环改进的模式。制订详细的IT风险管理架构，确立IT服务管理与IT风险管理的关系，明确IT风险管理的范围、职责，制订符合银行实际情况的管理流程，出台可操作性强的安全技术规范，加强开发过程的风险控制。从而有效地防范科技风险。
第3篇：信息科技风险自查报告
信息科技风险自查报告
信息科技风险自查报告
**农商行
按照上级领导的指示，我行认真贯彻《关于加强2010年重要时期金融信息安全保障工作的通知》精神，为充分做好重要时期金融网络和信息系统安全保障工作，防范我行信息科技风险，保障计算机系统运行和操作安全，建立和完善信息科技风险管理机制。对我行的信息科技工作进行了一次全面的自我评估及审查。现将审查情况报告如下：
一、组织架构、制度建设及管理情况
1.信息科技治理组织架构
我行在董事会下设科技信息安全管理委员会，行长室下设信息科技管理委员会，信息安全管理委员会下设应急处理领导小组。
科技信息安全管理委员会全面负责领导和协调本行科技信息安全。
科技管理委员会负责统一规划全行的信息化建设，指导和监督科技部门的各项-，管理类，工作总结类，工作计划类文档，下载--
工作，审议全行计算机网络的设计方案、软件项目招标、设备招标和统一采购及日常管理中重大问题的研究和建议。
信息系统应急处理领导小组负责组织制定全辖应急处置的实施细则，统一组织、协调、指导、检查全辖应急处置的管理；负责全辖信息系统突发事件的应急指挥、组织协调和过程控制
我行成立了科技管理部和科技开发部，做到科技运维和科技开发有效分离，加强了信息科技治理。
科技风险审计工作我行稽核审计部完成，信息科技风险管理风险管理部门完成。
在支行层面则设立合规员，负责各支行科技信息相关风险监控和报告 2.信息科技管理制度建设
安全管理
对安全管理活动中的各类管理内容建立安全管理制度，制定了安全策略、管理制度、操作规程等构成的全面的信息安全管理总则《江苏**农村商业银行计算机信息系统安全管理制度》，安全管理制度经信息安全领导小组审定，审定周期为一年一次，并且及时-，管理类，工作总结类，工作计划类文档，下载--
发现缺漏或不足对制度进行修订，并有修订记录
事件管理
制订了安全事件报告和处置管理制度——《信息安全事件管理制度》明确安全事件类型，规定安全事件的现场处理、
事件报告和后期恢复的管理职责，并根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响，对安全事件进行等级划分，制定安全事件报告和响应处理程序，确定事件的报告流程，响应和处置方法等，并对发现的安全弱点和可疑事件有《异常情况上报规定》
应急处理
建立较为完善的信息系统应急恢复策略《江苏**农村商业银行计算机信息系统应急处理方案》，对各业务信息系统进行分类，按照重要程度，确定保障级别，制定了各信息系统突发事件专项应急预案。制定数据中心、灾备中心机房关键基础设施专项应急预案。
安全操作规范及管理流程
我行有完整的信息安全管理流程，控制信息安全管理。-，管理类，工作总结类，工作计划类文档，下载--
包括介质管理、网络管理、维护及故障处理制度、软硬件变更流程、备份管理、ATM安全管理、机房管理、监控管理、密钥管理、巡检制度等等科技管理部各项流程。
岗位职责与分工
配备一定数量的系统管理员、网络管理员、安全管理员等。每个岗位设立2个以上操作维护人员。重要系统均配备A/B角 ， A/B角定期轮换。明确岗位职责《科技管理部岗位设置》《科技开发部工作职责》《科技管理部岗位百分考核办法》
密级管理制度
录用人员签署保密协议；制定人员离岗管理流程规范，严格规范人员离岗过程，及时终止离岗员工的所有访问权限；与外包商签订保密协议；有密级的安全管理制度，注明安全管理制度密级，并进行密级管理。
二、信息系统的技术措施情况
1.物理和环境建设
机房的物理访问控制：机房实现门禁控制，严防外部人员进入机房擅自操作。
系统密码均专门人员掌管，计算机终端无人看管-，管理类，工作总结类，工作计划类文档，下载--
时锁定；
机房采用集中监控，监控清晰全面，机房环境设施均有专人岗位值班管理，参数实行24小时不间断监控，岗位人员具备管理监控专业素质。
机房供电系统均采用双路UPS供电，线路冗余性好，负载能力强，完全能够满足机房电力需求。
机房空调系统的有效性和冗余性，给排风系统的有效性：机房空调系统安全有效，给排风系统工作正常。
中心机房和灾备机房均有配套防盗窃、防雷、防火、防水、防静电、温湿度控制、电磁保护等措施，确保机
房正常运转。
机房技术文档完备、有效：制定了《**农村商业银行计算机信息系统安全管理制度》、《科技部信息部中心机房监控制度》，《**农村商业银行计算机系统运行维护管理制度》为机房维护制定详细的规范文档。 2.网络管理
我行根据文件要求，对重要网络设施(包括网络传输线路、网络设备、网络安全设备)进行了详细的自查，情况如下:
1.网络安全策略
-，管理类，工作总结类，工作计划类文档，下载--
内网的安全管理情况；
内网网络安全管理： 外联单位互联安全保护措施：通过两台PIX525防火墙连接外联单位，两台防火墙通过FAILOVER形成热备，在防火墙上配置安全策略，严格控制进出生产网的数据。
在对外路器上设置过滤规则，形成防护网。使用过滤规则设置功能，作过滤防护，形成银行网络与外联单位之间的第一道防护网。正确地配置和使用防火墙。防火墙功能正确实施的关键是其安全策略的配置和管理，为企业的重要数据和内部网络系统提供了一层可靠的安全保障。
使用地址转换的通信策略，防火墙对内部地址进行转
换，对外映射为一个虚拟地址。
外网的安全管理情况；
办公网网络安全建设：天融信防火墙安全防护建设：在**农商行办公网INTERNET出口部署两台天融信防火墙提供了强大的网络应用控制功能。用户-，管理类，工作总结类，工作计划类文档，下载--
可以轻松的针对一些典型网络应用，如MSN，QQ、Skype、即时通信应用，以及BT、讯雷等p2p应用实行灵活的访问控制策略，如禁止、限时、乃至流量控制。还提供了定制功能，可以对用户所关心的网络应用进行全面控制。
能够在核心网络中同所有网络设备一起构建高可用性及高安全性的拓扑结构，自身能够实现A/A部署和状态同步，能够实现动态的链路切换，同时提供了电源冗余功能，最大限度地满足了网络的健壮性及稳定性，保证了整个网络的不间断工作。
加密技术应用和私钥的管理情况；
ARRY设备远程VPN安全保护建设：**农商行办公网已经部署了VPN，INTERNET用户可以连接到内部办公网。采用VPN技术，加强信息传输过程中的安全防范，可以在公共Internet网络上提供安全通信。是企业远程用户、业务合作伙伴和供应商尽快实现通信和共享信息理想的安全性解决方案。根据业务系统的特点选择对业务数-，管理类，工作总结类，工作计划类文档，下载--
据进行传输加密；对于网络设备认证过程中敏感的信息进行加密。
制定了《**农村商业银行科技部密钥管理制度》。 防火墙的设置、维护和管理情况；
在网银系统设置两层物理防火墙，将网络分为三个逻辑区域，及非授信区、停火区及安全区。非授信区可理解为Internet，即存在潜在威胁的区域；停火区内部署网银Web服务器、RA服务器以及其它直接向外部提供服务或者进行通讯的服务器，如Mail服务器、防病毒服务器等；安全区用户部署网银应用服务器、数据库服务器、通信服务器等核心部件；
、设置入侵检测系统。
入侵检测用在网络关键节点设置探头以侦测网络数据中。
2.网络服务连续性、冗余性
1.所有重要通信线路均有备份线路且采用不同运营商，确保网络无断点。
2.网络设备的冗余性：网络设备均有备份。核心网络设备，核心生产系统设备均采用双机热备，同城设有灾备机房，确保关键生产设备运行-，管理类，工作总结类，工作计划类文档，下载--
的可靠性
3.访问线路的带宽完全能够满足各信息系统的带宽需求，无网络拥塞现象。
4.网络设备管理配置均专人分管负责，确保合理操作，保障网络通畅、安全；
5.日志服务器暂无，有网络日志，但无集中审计，需加强网络设备日志的安全审计。 3.信息系统可靠性
我行根据文件要求，对关键服务器、存储器运行的可靠性，生产系统资源冗余度等进行了全面自查，情况如下:
1.系统重要设备和组件的冗余备份
经自查，关键生产设备均采用双电源，服务器有UPS电源支持，且有RAID保护。系统具备较高的可用性，所有前置系统都有备机，且定期切换演练，系统重要设备和组件均有相应的定时备份。
2.制定各系统的应急预案，定期对预案修订和培训，目前，我行针对世博会演练了信贷系统切换，中心机房供电演练，影像支付系统演练，网银系统恶意攻击模拟演练。
3.设备和系统的维护和升级管理
设备、系统均-，管理类，工作总结类，工作计划类文档，下载--
有专人维护管理，部分设备、系统聘请专业公司人员进行升级维护，岗位人员均具备相关素质，并实行AB角色。
4.对外包系统要求开发商要对我行技术人员进行详细的日常运行、维护培训，把相关技术移交给我行技术人员，对涉及二次开发的系统要求开发商提供完整的二次开发手册，培训我行技术人员掌握二次开发技术
5.系统软件的用户授权及鉴别认证措施：
系统软件用户密码相关人员各自保管，重要系统管理密码实行分左右手密码保管原则，系统软件用户访问实现权限控制，各级人员只能进行权限内操作。
6.系统变更管理:
制定了变更管理的主要准则和规章制度，变更管理的审批授权机制和工作流程；对变更管理进行登记、备案和存档，制定了非计划性紧急变更的实施方案、备份和恢复。
7.对系统日志及操作行为日志进行监察审计，确保系统稳定运行
8.系统容量管理计划
系统处理容量增长趋势完-，管理类，工作总结类，工作计划类文档，下载--
全满足增量业务需求，并有适度冗余。
9.补丁更新
及时关注系统安全漏洞最新情况，及时对新发现的安全漏洞打上相关的安全补丁。经检查当前系统已是最新最完整版本，已安装了最新补丁
10.病毒、恶意代码的安全防护
系统均安装病毒查杀软件，对病毒、恶意代码进行安全防护。同时严格控制操作人员在机器上运行可能携带恶意代码、病毒的脚本的外来第三方软件
11.系统安全配置检查
定期巡检，对系统的安全配置实行不定期检测，对可能存在的隐患进行排除。
4.应用安全
1.业务应用系统的用户授权及鉴别认证措施
业务应用系统用户密码相关业务人员各自保管，通过操作号和密码进行身份鉴别认证。人员离开时应设置屏幕密码保护或退出到登陆状态。
2.业务应用系统的用户访问控制
系统软件用户访问实现权限控制，各级人员只能进行权限内操作
4.数据安全、备份可用性
1.数据备
-，管理类，工作总结类，工作计划类文档，下载--
份策略及备份数据的可用性
对各应用系统指定相应备份策略，指定不同级别的具体备份操作，每次备份完毕应检查备份数据的有效性，并异地妥善保管好磁介质，重要数据永久保存
应定期执行恢复程序，检查和测试备份介质的有效性，确保可以在恢复程序规定的时间内完成备份的恢复。
不定期对数据进行抽检，与业务所在日期数据进行比对核实。并有应急恢复预案，及同城异地灾备系统确保数据恢复性。
2.数据安全性
敏感数据的传输和存储加密：
敏感数据传输实行加密管理，存储的一些敏感数据实行加密乱码显示。
重要业务数据的通信完整性检测 重要业务数据通信检测完整、正常。
重要业务数据的备份策略及恢复测试机制 重要业务数据定时备份，专人存储保管，有完整的应急恢复预案。
建立了同城异地灾备中心，并制定了《江苏-，管理类，工作总结类，工作计划类文档，下载--
**农村商业银行异地容灾项目灾难恢复计划书》，内容包括危险级别的定义划分、决策流程、灾难恢复团队、日常备份和恢复流程、灾难响应和行动流程、灾难切换流程、灾备系统回切流程、灾难恢复计划的测试、维护等。还包含了涉及系统设备的具体清单、操作步骤等，预计RTO为6小时以内，RPO较低。
5.运行维护监控系统
我行根据文件要求，对信息系统的监测预警进行了全面自查，情况如下:
1.监测预警制度、流程及自动化监控平台
已建立完善监测预警制度、流程，机房环境、参数，系统的运行状况，CPU使用情况、文件系统使用情况等均实现
自动化监控。
2.监测预警组织结构及人员设置
每天有人员24小时值班，检查系统及网络运行状况，及时发现问题，监测预警专人负责，按照警报级别逐级上报，确保故障的及时排除。
3.监测预警日志
设立监控日志，每日监测预警人员负责记录。 4.监测预警文档-，管理类，工作总结类，工作计划类文档，下载--
的完备性
有监测预警文档说明，但不够完善。
5.与电力供应部门、网络供应商、公安部门等外部机构均有相应的应急联动机制，我行正在实施保卫部网点声光联动报警，做到入侵报警设施与照明、视频安防监控及声音复核等设备联动
三、不足和改进方法
1.需将管理与技术相结合，进一步加强信息安全管理手段
从IT风险管理手段来看，部分系统的风险控制不够先进，缺乏专业的风险技术支持，事前预防作用有限，事中控制不够。缺乏对科技风险的集中审计。本行将引进AAA统一认证管理系统，加强系统用户的授权，权限控制和账号管理。架设日志服务器，对系统日志进行集中收集和审计。
通过平台对所有用户进行统一的授权。采用基于角色的授权机制，按照内部的组织结构划分角色，并为用户绑定角色。对于不同的角色分配不同应用系统的访问权限。平台依靠记录追踪用户和管理人员的访问过程，建立一套全面的、有-，管理类，工作总结类，工作计划类文档，下载--
效的回溯和追查机制。可以实时监测用户对各应用系统的访问状态，及时发现非法访问事件，对出现的问题进行事后追溯和责任追究提供实证。通过对系统运行状态实时监控审计，增强系统的可维护性。
2.进一步完善计算机系统安全管理制度
本行已经在内部建立并健全了一系列的计算机系统安全管理制度， 并稽核部门对银行计算机系统进行专项稽核，但未配备专门的稽核人员，在广度和深度上不够，因此对照新指引的精神，从组织上保证信息风险有具体人员来承担责任，强化执行力和合规性。将日常信息风险管理从传统的检查模式逐步过渡到基于评估、规划、执行和监督全面循环改进的模式。制订详细的IT风险管理架构，确立IT服务管理与IT风险管理的关系，明确IT风险管理的范围、职责，制订符合银行实际情况的管理流程，出台可操作性强的安全技术规范，加强开发过程的风险控制。从而有效地防范科技风险。
-，管理类，工作总结类，工作计划类文档，下载--
-，管理类，工作总结类，工作计划类文档，下载--
第4篇：信息科技风险自查报告
信 息科技风险自查报告
信息科技风险自查报告
**农商行
按照上级领导的指示，我行认真贯彻《关于加强2010年重要时期金融信息安全保障工作的通知》精神，为充分做好重要时期金融网络和信息系统安全保障工作，防范我行信息科技风险，保障计算机系统运行和操作安全，建立和完善信息科技风险管理机制。对我行的信息科技工作进行了一次全面的自我评估及审查。现将审查情况报告如下：
一、组织架构、制度建设及管理情况
1.信息科技治理组织架构
我行在董事会下设科技信息安全管理委员会，行长室下设信息科技管理委员会，信息安全管理委员会下设应急处理领导小组。
科技信息安全 -，管理类，工作总结类，工作计划类文档，下载--
管理委员会全面负责领导和协调本行科技信息安全。
科技管理委员会负责统一规划全行的信息化建设，指导和监督科技部门的各项工作，审议全行计算机网络的设计方案、软件项目招标、设备招标和统一采购及日常管理中重大问题的研究和建议。
信息系统应急处理领导小组负责组织制定全辖应急处置的实施细则，统一组织、协调、指导、检查全辖应急处置的管理；负责全辖信息系统突发事件的应急指挥、组织协调和过程控制
我行成立了科技管理部和科技开发部，做到科技运维和科技开发有效分离，加强了信息科技治理。
科技风险审计工作我行稽核审计部完成，信息科技风险管理风险管理部门完成。
在支行层面则设立合规员，负责各支行科技信息相关风险监控和报告 2.信息科技管理 -，管理类，工作总结类，工作计划类文档，下载--
制度建设
安全管理
对安全管理活动中的各类管理内容建立安全管理制度，制定了安全策略、管理制度、操作规程等构成的全面的信息安全管理总则《江苏**农村商业银行计算机信息系统安全管理制度》，安全管理制度经信息安全领导小组审定，审定周期为一年一次，并且及时发现缺漏或不足对制度进行修订，并有修订记录
事件管理
制订了安全事件报告和处置管理制度——《信息安全事件管理制度》明确安全事件类型，规定安全事件的现场处理、
事件报告和后期恢复的管理职责，并根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响，对安全事件进行等级划分，制定安全事件报告和响应处理程序，确定事件的报告流程，响应和处置方法等，并对发现的安全 -，管理类，工作总结类，工作计划类文档，下载--
弱点和可疑事件有《异常情况上报规定》
应急处理
建立较为完善的信息系统应急恢复策略《江苏**农村商业银行计算机信息系统应急处理方案》，对各业务信息系统进行分类，按照重要程度，确定保障级别，制定了各信息系统突发事件专项应急预案。制定数据中心、灾备中心机房关键基础设施专项应急预案。
安全操作规范及管理流程
我行有完整的信息安全管理流程，控制信息安全管理。包括介质管理、网络管理、维护及故障处理制度、软硬件变更流程、备份管理、ATM安全管理、机房管理、监控管理、密钥管理、巡检制度等等科技管理部各项流程。
岗位职责与分工
配备一定数量的系统管理员、网络管理员、安全管理员等。每个岗位设立2个以上操作维护人员。重要系统均配备A/B角 ，
-，管理类，工作总结类，工作计划类文档，下载--
A/B角定期轮换。明确岗位职责《科技管理部岗位设置》《科技开发部工作职责》《科技管理部岗位百分考核办法》
密级管理制度
录用人员签署保密协议；制定人员离岗管理流程规范，严格规范人员离岗过程，及时终止离岗员工的所有访问权限；与外包商签订保密协议；有密级的安全管理制度，注明安全管理制度密级，并进行密级管理。
二、信息系统的技术措施情况
1.物理和环境建设
机房的物理访问控制：机房实现门禁控制，严防外部人员进入机房擅自操作。
系统密码均专门人员掌管，计算机终端无人看管时锁定；
机房采用集中监控，监控清晰全面，机房环境设施均有专人岗位值班管理，参数实行24小时不间断监控，岗位人员具备管理监控专业素质。
机房供电系统均采用双 -，管理类，工作总结类，工作计划类文档，下载--
路UPS供电，线路冗余性好，负载能力强，完全能够满足机房电力需求。
机房空调系统的有效性和冗余性，给排风系统的有效性：机房空调系统安全有效，给排风系统工作正常。
中心机房和灾备机房均有配套防盗窃、防雷、防火、防水、防静电、温湿度控制、电磁保护等措施，确保机
房正常运转。
机房技术文档完备、有效：制定了《**农村商业银行计算机信息系统安全管理制度》、《科技部信息部中心机房监控制度》，《**农村商业银行计算机系统运行维护管理制度》为机房维护制定详细的规范文档。 2.网络管理
我行根据文件要求，对重要网络设施(包括网络传输线路、网络设备、网络安全设备)进行了详细的自查，情况如下:
1.网络安全策略
内网的安全管理情况；
内网网络 -，管理类，工作总结类，工作计划类文档，下载--
安全管理： 外联单位互联安全保护措施：通过两台PIX525防火墙连接外联单位，两台防火墙通过FAILOVER形成热备，在防火墙上配置安全策略，严格控制进出生产网的数据。
在对外路器上设置过滤规则，形成防护网。使用过滤规则设置功能，作过滤防护，形成银行网络与外联单位之间的第一道防护网。正确地配置和使用防火墙。防火墙功能正确实施的关键是其安全策略的配置和管理，为企业的重要数据和内部网络系统提供了一层可靠的安全保障。
使用地址转换的通信策略，防火墙对内部地址进行转
换，对外映射为一个虚拟地址。
外网的安全管理情况；
办公网网络安全建设：天融信防火墙安全防护建设：在**农商行办 -，管理类，工作总结类，工作计划类文档，下载--
公网INTERNET出口部署两台天融信防火墙提供了强大的网络应用控制功能。用户可以轻松的针对一些典型网络应用，如MSN，QQ、Skype、即时通信应用，以及BT、讯雷等p2p应用实行灵活的访问控制策略，如禁止、限时、乃至流量控制。还提供了定制功能，可以对用户所关心的网络应用进行全面控制。
能够在核心网络中同所有网络设备一起构建高可用性及高安全性的拓扑结构，自身能够实现A/A部署和状态同步，能够实现动态的链路切换，同时提供了电源冗余功能，最大限度地满足了网络的健壮性及稳定性，保证了整个网络的不间断工作。
加密技术应用和私钥的管理情况；
ARRY设备远程VPN安全保护建设：**农商行办公网已经部署了VPN，INTERNET用户可以连接到内部办公网。采用 -，管理类，工作总结类，工作计划类文档，下载--
VPN技术，加强信息传输过程中的安全防范，可以在公共Internet网络上提供安全通信。是企业远程用户、业务合作伙伴和供应商尽快实现通信和共享信息理想的安全性解决方案。根据业务系统的特点选择对业务数据进行传输加密；对于网络设备认证过程中敏感的信息进行加密。
制定了《**农村商业银行科技部密钥管理制度》。 防火墙的设置、维护和管理情况；
在网银系统设置两层物理防火墙，将网络分为三个逻辑区域，及非授信区、停火区及安全区。非授信区可理解为Internet，即存在潜在威胁的区域；停火区内部署网银Web服务器、RA服务器以及其它直接向外部提供服务或者进行通讯的服务器，如Mail服务器、防病毒服务器等；安全区用户部署网银应用服务器、数据库服务器、通信服务器等核心 -，管理类，工作总结类，工作计划类文档，下载--
部件；
、设置入侵检测系统。
入侵检测用在网络关键节点设置探头以侦测网络数据中。
2.网络服务连续性、冗余性
1.所有重要通信线路均有备份线路且采用不同运营商，确保网络无断点。
2.网络设备的冗余性：网络设备均有备份。核心网络设备，核心生产系统设备均采用双机热备，同城设有灾备机房，确保关键生产设备运行的可靠性
3.访问线路的带宽完全能够满足各信息系统的带宽需求，无网络拥塞现象。
4.网络设备管理配置均专人分管负责，确保合理操作，保障网络通畅、安全；
5.日志服务器暂无，有网络日志，但无集中审计，需加强网络设备日志的安全审计。 3.信息系统可靠性
我行根据文件要求，对关键服务器、存储器运行的可靠性，生产系统资源冗 -，管理类，工作总结类，工作计划类文档，下载--
余度等进行了全面自查，情况如下:
1.系统重要设备和组件的冗余备份
经自查，关键生产设备均采用双电源，服务器有UPS电源支持，且有RAID保护。系统具备较高的可用性，所有前置系统都有备机，且定期切换演练，系统重要设备和组件均有相应的定时备份。
2.制定各系统的应急预案，定期对预案修订和培训，目前，我行针对世博会演练了信贷系统切换，中心机房供电演练，影像支付系统演练，网银系统恶意攻击模拟演练。
3.设备和系统的维护和升级管理
设备、系统均有专人维护管理，部分设备、系统聘请专业公司人员进行升级维护，岗位人员均具备相关素质，并实行AB角色。
4.对外包系统要求开发商要对我行技术人员进行详细的日常运行、维护培训，把相关技术移交给我行技 -，管理类，工作总结类，工作计划类文档，下载--
术人员，对涉及二次开发的系统要求开发商提供完整的二次开发手册，培训我行技术人员掌握二次开发技术
5.系统软件的用户授权及鉴别认证措施：
系统软件用户密码相关人员各自保管，重要系统管理密码实行分左右手密码保管原则，系统软件用户访问实现权限控制，各级人员只能进行权限内操作。
6.系统变更管理:
制定了变更管理的主要准则和规章制度，变更管理的审批授权机制和工作流程；对变更管理进行登记、备案和存档，制定了非计划性紧急变更的实施方案、备份和恢复。
7.对系统日志及操作行为日志进行监察审计，确保系统稳定运行
8.系统容量管理计划
系统处理容量增长趋势完全满足增量业务需求，并有适度冗余。
9.补丁更新
及时关注系统安全漏洞最新情况， -，管理类，工作总结类，工作计划类文档，下载--
及时对新发现的安全漏洞打上相关的安全补丁。经检查当前系统已是最新最完整版本，已安装了最新补丁
10.病毒、恶意代码的安全防护
系统均安装病毒查杀软件，对病毒、恶意代码进行安全防护。同时严格控制操作人员在机器上运行可能携带恶意代码、病毒的脚本的外来第三方软件
11.系统安全配置检查
定期巡检，对系统的安全配置实行不定期检测，对可能存在的隐患进行排除。
4.应用安全
1.业务应用系统的用户授权及鉴别认证措施
业务应用系统用户密码相关业务人员各自保管，通过操作号和密码进行身份鉴别认证。人员离开时应设置屏幕密码保护或退出到登陆状态。
2.业务应用系统的用户访问控制
系统软件用户访问实现权限控制，各级人员只能进行权限 -，管理类，工作总结类，工作计划类文档，下载--
内操作
4.数据安全、备份可用性
1.数据备份策略及备份数据的可用性
对各应用系统指定相应备份策略，指定不同级别的具体备份操作，每次备份完毕应检查备份数据的有效性，并异地妥善保管好磁介质，重要数据永久保存
应定期执行恢复程序，检查和测试备份介质的有效性，确保可以在恢复程序规定的时间内完成备份的恢复。
不定期对数据进行抽检，与业务所在日期数据进行比对核实。并有应急恢复预案，及同城异地灾备系统确保数据恢复性。
2.数据安全性
敏感数据的传输和存储加密：
敏感数据传输实行加密管理，存储的一些敏感数据实行加密乱码显示。
重要业务数据的通信 -，管理类，工作总结类，工作计划类文档，下载--
完整性检测 重要业务数据通信检测完整、正常。
重要业务数据的备份策略及恢复测试机制 重要业务数据定时备份，专人存储保管，有完整的应急恢复预案。
建立了同城异地灾备中心，并制定了《江苏**农村商业银行异地容灾项目灾难恢复计划书》，内容包括危险级别的定义划分、决策流程、灾难恢复团队、日常备份和恢复流程、灾难响应和行动流程、灾难切换流程、灾备系统回切流程、灾难恢复计划的测试、维护等。还包含了涉及系统设备的具体清单、操作步骤等，预计RTO为6小时以内，RPO较低。
5.运行维护监控系统
我行根据文件要求，对信息系统的监测预警进行了全面自查，情况如下:
1.监测预警制度、流程及自动化监控平台
已建立完善监测预警制度、流程，机房环境、参数， -，管理类，工作总结类，工作计划类文档，下载--
系统的运行状况，CPU使用情况、文件系统使用情况等均实现
自动化监控。
2.监测预警组织结构及人员设置
每天有人员24小时值班，检查系统及网络运行状况，及时发现问题，监测预警专人负责，按照警报级别逐级上报，确保故障的及时排除。
3.监测预警日志
设立监控日志，每日监测预警人员负责记录。 4.监测预警文档的完备性
有监测预警文档说明，但不够完善。
5.与电力供应部门、网络供应商、公安部门等外部机构均有相应的应急联动机制，我行正在实施保卫部网点声光联动报警，做到入侵报警设施与照明、视频安防监控及声音复核等设备联动
三、不足和改进方法
1.需将管理与技术相结合，进一步加强信息安全管理手段
从IT风险管理手段来看，部分系 -，管理类，工作总结类，工作计划类文档，下载--
统的风险控制不够先进，缺乏专业的风险技术支持，事前预防作用有限，事中控制不够。缺乏对科技风险的集中审计。本行将引进AAA统一认证管理系统，加强系统用户的授权，权限控制和账号管理。架设日志服务器，对系统日志进行集中收集和审计。
通过平台对所有用户进行统一的授权。采用基于角色的授权机制，按照内部的组织结构划分角色，并为用户绑定角色。对于不同的角色分配不同应用系统的访问权限。平台依靠记录追踪用户和管理人员的访问过程，建立一套全面的、有效的回溯和追查机制。可以实时监测用户对各应用系统的访问状态，及时发现非法访问事件，对出现的问题进行事后追溯和责任追究提供实证。通过对系统运行状态实时监控审计，增强系统的可维护性。
2.进一步完善计算 -，管理类，工作总结类，工作计划类文档，下载--
机系统安全管理制度
本行已经在内部建立并健全了一系列的计算机系统安全管理制度， 并稽核部门对银行计算机系统进行专项稽核，但未配备专门的稽核人员，在广度和深度上不够，因此对照新指引的精神，从组织上保证信息风险有具体人员来承担责任，强化执行力和合规性。将日常信息风险管理从传统的检查模式逐步过渡到基于评估、规划、执行和监督全面循环改进的模式。制订详细的IT风险管理架构，确立IT服务管理与IT风险管理的关系，明确IT风险管理的范围、职责，制订符合银行实际情况的管理流程，出台可操作性强的安全技术规范，加强开发过程的风险控制。从而有效地防范科技风险。
-，管理类，工作总结类，工作计划类文档，下载--
-，管理类，工作总结类，工作计划类文档，下载--
第5篇：信息科技应急管理自查报告
信息科技应急管理自查报告
根据银监部门关于信息科技应急管理工作要求，我部就机房管理、ATM等电子银行业务应急管理工作进行了自查，现将自查情况报告如下：
一、自查情况
2012年，根据信息科技应急管理工作实际，本着坚持“积极防御、综合防范”的方针，建立健全信息系统安全事故应急处置策略和分级实施的应急预案体系；建立分级管理、分级负责、条块结合的应急管理机制；建立统一指挥、反应灵敏、协调有序、运转高效的应急协调机制；健全专业化和社会化相结合的应急保障体系，实现对信息系统安全事故全方位的、实用的、快捷的应急处置，保障基础设施和重要信息系统的安全运行。县联社针对计算机信息系统可能发生的各种信息系统安全事故或灾害，为确保能够在第一时间内做出快速反应并采取有效的应对措施，及时恢复网络和系统运行，制定并下发《习水县农村信用合作联社信息系统应急保障预案》（习农信发〔2012〕185号）。成立了由理事长任组长、经营班子负责人任副组长、班子其它成员以及由联社机关各职能部门负责人为成员的联社信息化安全领导小组，领导小组下设办公室在联社科技部门，由科技部门负责人兼任办公室主任。方案中还明确了加强预防、快速反应、统一指挥、依法处置的工作原则。明确了电力系统故障、消防系统、计算机信息系统、计算机网络故障、黑客入侵、病毒（含恶意软件）攻击以及不可抗力因素引发事故应急处理流程。
- 1
第6篇：银行、信用社科技信息风险自查报告
XX农村信用合作联社科技信息部风险自
查报告
一、网络运行风险
1、来自互联网和移动磁介质上病毒的攻击。随着我区农村信用社电子化建设的发展，计算机技术在农村信用社各项业务中的广泛应用，部分员工因病毒防范意识较为薄弱，加上计算机水平又是参差不齐，有的员工很难主动发现客户端系统出现的漏洞从而实施补丁升级，U盘滥用且从不进行病毒扫描，这样就容易造成内部信息泄漏或网络阻塞，中断重要业务的正常运行。
二、操作流程风险
随着业务的更新和科技步伐的加快，员工的计算机操作业务能力与严格执行规范程序不适应,综合柜员制未能全面落实 ,不能够完全掌握农信社的各项业务操作流程及处置程序,必然会造成操作失误而导致风险。操作风险大致分为以下几方面:
1、操作行为不规范,安全防范意识差。目前，我区农村信用社计算机操作员一般只通过了短期辅导培训，未能全面掌握计算机理论知识及运用技术，主要表现在：一是一些操作人员对计算机知识的缺乏，
经常出现操作性错误；二是操作人员基本安全意识不强，缺乏安全防范意识；三是人员调离或岗位变动时不及时注销操作员，导致操作员不便于管理；四是人离机不退，个别人随意离开工作岗位，也不签退，给他人可乘之机，造成了严重的信息安全隐患。
2、不严格执行操作流程，造成安全隐患。由于部分员工跟不上当前农村信用社电子化建设步伐，对推出的硬件设备以及电子化产品及功能不熟悉或风险意识不强等原因造成了在操作过程中出现系列风险。一是操作人员不严格执行硬件设备的操作流程，造成设备损坏，致使重要业务中断的风险；二是没有定期对机器除尘、保养，使微机在较恶劣环境下带“病”工作，计算机运行报错或元器件损坏时有发生，影响了信用社窗口的服务效率和形象；三是不严格按照业务操作流程操作业务系统程序，给他人或科技结算中心造成不必要的负担。
为此我们将严格按照省市联社关于计算机管理的一系列相关要求，对日常计算机信息管理中存在的问题经行重点监督和整改：
1、严格业务系统、办公系统与因特网等公众系统的隔离，无法隔离的要随时升级杀毒程序，同时严格移动磁介质的使用范围、杀毒流程。加强员工计算机知识培训，提高员工的电脑操作技能，制定防
毒策略，养成良好的上网习惯，严防病毒侵害。
2、加强对一线人员的操作流程、各项基本规定的培训，加强对信息专管员的培训，提高其处理计算机及网络故障、防范计算机及网络风险的能力；对业务操作人员要重点抓好计算机知识的普及培训工作，建立各种形式的岗位培训和定期轮训制度，提高职工的政治素质、业务技能、敬业精神、计算机业务操作水平和安全防范综合能力。一线人员的操作和授权不能流于形式，坚决杜绝各种混岗现象，严格遵循管理制度。
3、严格操作规范及操作权限管理
随着农村信用社的发展，信贷系统，财务系统，OA系统的成功上线并投入使用，操作人员必须学习和掌握农村信用社的操作流程和各项规章制度,加强制度执行力的管理。操作员密码必须定期不定期修改，并严格按规定设置操作员及操作员密码，还需定期修改密码，多用字母或符号，严禁使用6位相同数字或电话号码或生日号码等，严禁口头或电话告知操作密码。
4、加强内控建设，强化监督，完善防范机制。首先，建立柜员岗位制约为主，做到责任到岗、落实到人、相互制约、互相监督。其次，
全面落实以主任、内勤主任为主的监管体系，确保做到实时监管，及时发现问题，及时进行整改，消除风险隐患。再则，加强会计事后监督和电视监控系统管理，加大查处力度，重点是督促基层社各项计算机制度执行与落实，提升基层执行力，以此推进和完善防范制度，切实做到防患于未然。
5、日常维护方面，由基社信息专管员负责每周一次对机房卫生清理和设备故障排查，发现问题及时上报科技信息部处理；每月在各基社网点信息专管员的配合下，对网络设备的运行和管理进行维护和检查至少一次，全辖的ATM和POS机由科技信息部统一管理，落实基社网点专人负责，加大专管人员的培训，使日常操作、维护工作和安全防范措施得以落实。
XX农村信用合作联社科技信息部
第7篇：信息科技风险专项检查自查报告总结
********商业银行行股份有限公司 ********银行信息科技风险专项自查报告
************中心：
为认真贯彻《关于开展2019年度信息科技风险专项检查的通知》精神，充分做好做好国庆期间金融网络和信息系统安全保障工作，防范我行信息科技风险，保障计算机系统运行和操作安全，建立和完善信息科技风险管理机制。根据《****农商银行系统重点业务风险点排查指引（试行）》规定及人民银行、银保监局和公安局关于网络安全保障工作要求。我行由分管信息科技领导、信息技术部组成自查工作小组，于8月19日-23日开展自查工作。现将自查情况汇报如下：
一、总体情况
随着当前信息化建设步伐不断加快，我行各项业务对于信息系统的依赖日益加深，随之而来的系统和网络安全已成为安全管理的关键环节，其中薄弱环节成为信息科技风险的重要内容，网络安全运行工作事关经营、管理大局。从防范科技风险的高度充分认识到加强系统和网络安全运行工作的必要性和重要意义，正确处理了发展与安全的关系，一手抓信息化建设，一手抓风险防范。截至报告日，全行上下已经按照统一标准建立起较完善的网络和信息安全风险防范体系。 二、组织架构、制度建设及管理情况
（一）信息科技治理组织架构
1.强化“三会一层”履职。成立了以高管层和主要业务部门参加的信息科技管理委员会，定期或不定期履行职责，审议信息科技相关重大事件，本年度共计召开信息科技管理会议2次。
2.加大专业人员配备。设立首席信息官。参与我行与信息科技运用有关的业务发展决策，确保信息科技发展战略符合本行的总体业务战略和信息科技风险管理策略。
3.明确部门职责分工。明晰信息科技实施、风险管理及审计职责。信息技术部负责信息科技实施、管理工作，各支行设立兼职或专职计算机管理员，配合信息技术部开展应用推广、故障处理、设备维护工作；合规与风险管理部负责协调制定有关信息科技风险管理策略，尤其是在涉及信息安全、业务连续性计划和合规性风险等方面； 内部审计部负责信息科技审计制度和流程的实施，制订和执行信息科技审计计划。
（二）信息科技管理制度建设
1.安全管理方面。对安全管理活动中的各类管理内容建立安全管理制度，制定了由安全策略、管理制度等构成的全面的信息安全管理总则《********商业银行行计算机信息安全管理办法》，安全管理办法经信息科技管理委员会审定，审定周期为一年一次，并且及时发现缺漏或不足对制度进行修订。
2.应急管理方面。建立了较为完善的信息系统应急管理办法《********商业银行行计算机信息系统应急管理办法》，明确应急管理组织机构和职责，对突发事件进行分级，确定风险防范措施，制定了各信息系统突发事件应急处置方案。对突发事件报告和应急响应也做了规定。2019年1月开展了全辖范围内的业务连续性应急演练，并对应急演练发现的问题进行整改。
3.岗位职责与分工方面。信息技术部员工9人，，人员配置能够满足当前业务发展的需要。按照科技管理、运行维护等条线设立岗位，重要岗位均配备A/B角。《********商业银行行计算机岗位人员管理办法》对相关岗位职责进行了规定。
4.安全操作规范及管理流程。具备完整的信息安全管理流程，包括介质管理、网络管理、维护及故障处理制度、软硬件变更流程、备份管理、ATM安全管理、机房管理、监控管理、密钥管理、巡检制度等科技管理流程。
三、信息技术管理情况
（一）网络安全管理
对自身网络安全管理情况进行现场检查，检查内容主要包括：内控制度；人员管理与访问控制；网络机房安全；网络接入安全；网络变更管理；网络应急管理；网络设备管理；日志与文档管理；第三方管理等方面。
根据文件要求，我行对重要网络设施进行了检查，总体管理有效，网络系统的组成结构及其配置合理。内控制度方面，我行制定《计算机网络管理办法》和《互联网管理及违规处罚办法》，明确管理机构和人员职责，确认网络设备安装和运维的具体工作措施，健全互联网使用规范。
日常管理方面，依托机房人员出入登记、门禁管理以及巡检值班制度，确保网络设备物理安全、运行稳定，所有网络设备均设置密码，且仅由网络管理员保管并定期修改登记。网络系统拓扑图、机柜标签、网络地址规划等网络运行资料已形成技术档案严格保密。网络设备的日志和开机运行配置由省联社建设的IMC管理平台实现每周离机备份并永久保存，所有网络设备均纳入IMC管理，网络管理员定期查询设备运行情况并处理系统告警信息。网络设备的接入和外联配置的变更，我行实行需求申请、有权人审批、网络管理员实施的流程管理。实现内网安全方面，每台内网终端均安装杀毒软件，另切实抓好生产网络与其他网络的物理隔离，对生产网络实行严格保护。
自查发现：所有机柜均安装标签，部分网络机柜内线缆标签不够完善，目前已完成整改。另外我行内网接入核心路由器的主备无法自行切换，因涉及辖内所有网点网络运行，安全隐患凸显。该隐患已在省信息技术中心组织的2019年上半年H3C网络巡检中反馈。
（二）机房安全管理
对我行机房运行管理情况进行细致自查，自查内容主要包括：机房管理制度；机房基础设施管理；机房设备管理；机房人员出入管理；机房消防管理；机房巡检和故障处理等方面。
我行机房根据 《关于印发的通知》、《安徽商业银行行系统计算机机房管理办法》的相关规定，整改建设完成，日常运维管理工作按照《********商业银行行机房管理办法》严格执行。
基础设施管理，机房通过门禁控制实现物理访问控制，严防外部人员未经允许进入机房。供电系统均采用双路UPS供电，线路冗余性好，负载能力强，能够满足机房电力需求。
空调系统的有效性。机房均配套防盗窃、防雷、防火、防水、防静电、温湿度控制、电磁保护等措施，以确保机房正常运转。机房消防管理严格贯彻“严防为主，防治结合”的方针，消防管理由信息技术领导具体负责，建立防火安全责任制做到值班人员“三懂”即懂火灾危害性，懂火灾的预防措施，懂灭火方法、“三会”，即会报警、会用消防器材、会补救明火。机房消防器材定期维护配备足量，定期开展消防演练。机房巡检工作由信息技术部当日值班人员每天进行4次，登记网络、电力、空调、设备等运转情况。机房同时采用集中监控，参数实行24小时不间断监控，确保第一时间发现问题，处理问题。
自查发现：机房管理制度健全，基础设备配置齐全，设备管理、出入人员和巡检记录完整，机房管理有一定的应对消防灾情和故障处理的能力。目前我行机房受制与空间狭小，基础配置过于拥挤，没有通风系统。
（三）数据安全管理
制度方面，我行制定了《********商业银行行计算机信息系统数据管理办法》，对数据的使用和管理等做了比较细致的规定。
我行数据下发平台在省联社云服务器，主要用于存放省联社下发的数据。平台的用户管理方面，root用户由专人负责，密码定期修改并用保密信封封存；普通用户由数据管理员负责。自助取数平台的用户由数据管理员负责，目前主要用于省联社的一些业务数据分析和查询参考，不对外提供数据。
系统运行管理方面我行自建报表平台对数据下发情况进行监控和对数据进行校验。并自建定时任务对下发数据每天传输到异地进行备份，保证了数据的容灾备份。
数据的使用管理目前主要依托我行自建的报表查询系统供业务条线人员使用。
数据的存储保管、备份策略和有效性验证、清理等方面也都按照制度制定了详细的策略台帐。
（四）终端安全管理 1.终端采购选型情况
我行使用终端按照省联社选型范围采购，使用终端为升腾N610、升腾945W和国光UT3019F+。
2.防病毒软件安装
我行制定了《********商业银行行计算机病毒防治管理规定》，对所有内网终端均安装病毒查杀软件，保证杀毒软件全覆盖，及时更新病毒库，对病毒、恶意代码进行安全防护，对系统的有效性和完整性时行监督检查，定期组织员工举办病毒防治知识培训，对新病毒的传播和破坏机制进行跟踪，发现病毒及时采取清除措施。
3.重要补丁更新
及时关注系统安全漏洞最新情况，及时对新发现的安全漏洞打上相关的安全补丁，经检查当前系统已是最新版本，已安装了最新补丁。
4.网信安全主题教育或培训方面
我行积极开展网络安全、信息安全方面的宣传和培训，****4日开展信息科技培训，培训内容包括网络安全、病毒防治、信息安全等培训；****至26日我行开展科技活动周宣传活动，积极宣传网络、信息科技安全；****19日开展信息安全意识培训及考试，全面提升员工安全意识。
自查发现：内网杀毒软件病毒库更新只能离线更新，要做到及时更新，存在一定困难，建议省科技中心在杀毒软件总结点做联网更新，农商行联机更新病毒库。
（五）外包管理
对我行信息科技外包管理开展情况进行自查，内容主要包括：外包管理职责；外包制度执行；外包策略执行；外包项目立项管理；外包项目过程管理；外包项目风险管理；开发类外包管理；运维类外包管理；外包供应商入场管理；供应商日常管理；供应商评价管理；外包供应商安全管理；外包供应商应急管理；外包人员入场管理；外包人员日常管理；外包人员安全管理。
我行已下发《********商业银行行科技外包管理办法》、《********商业银行行外包管理实施细则》、《********商业银行行外包商异常退出应急预案》其中明确了外包管理的组织架构与部门职责、外包项目管理、供应商管理与评价、人员管理、合同、实施、应急管理等内容，并认真落实日常管理工作。我行外包业务类型结构简单，大部分为采购产品的售后服务类和设备维护类外包。我行通过建立健全外包管理系统实现外包项目、供应商档案以及外包人员登记、管理工作，有效的解决了外包项目跟进难、供应商档案乱、人员管理无序等问题。
自查发现：外包管理系统的功能还不健全。外包项目更新还不及时，供应商的档案信息登记不完整的问题，人员管理中的安全培训的频次不足、培训内容单一等问题。
（六）应急管理
1.制定预案，成立组织
为保障本行信息科技系统能够安全、可靠、稳定运行，提高应对各类信息系统突发事件的能力，有效防范信息科技系统风险，妥善处置和应对信息科技突发事件，制定《**********商业银行商业银行计算机信息系统应急管理办法》、《********商业银行行业务连续性管理办法》等制度。
根据《********商业银行行计算机信息系统应急管理办法》成立信息系统应急管理领导小组，负责辖内信息系统应急管理工作，组建应急团队，在发生信息系统突发事件时，能够做到及时实施应急处置工作，应急团队包括应急领导小组、应急执行小组、支持保障小组。由行长担任应急领导小组组长，副行长为副组长，各相关职能部门为应急领导小组成员，应急执行小组由信息技术部和相关业务部门主要负责人及涉及支行负责人组成，对应急领导小组负责，支持保障小组由办公室、人力资源、财务会计、合规与风险、监察保卫、电子银行等部门负责人组成。
根据《********商业银行行业务连续性管理办法》，成立以董事长为组长，行长为副组长，副行长为成员的业务连续性工作领导小组成，成立以董事长为组长，行长、副行长为副组长，其他职能部门负责人为成员的业务连续性工作协调保障小组，成立以分管信息科技的副行长为组长，其他职能部门负责人为成员的业务连续性工作执行小组。
2.开展培训，组织演练
为保障应急预案妥善实施，我行在1月份组织开展信息系统应急演练培训和演练，培训内容包括解读和说明应急演练的背景、意义，让全体员工意识后备电力和网络的支持是业务持续高速发展的核心基础和重要保障,熟知电力和网络的结构;能认识其相关部件并能正确说出其连接路径;能够将演习培训经验应用到实际应急处置中，坚持把演习工作常态化。演练内容包括: 网点UPS系统应急演练；网点发电机应急切换演练；网点主/备网络线路应急切换演练；总行主/备网络线路应急切换演练；总行主/备电力切换演练。通过信息科技培训和演练梳理网点应急处置流程，提升网点应急处置能力，妥善保障信息系统未定运行。
3.健全机制，预防为主
按照“预防为主、积极处置”的原则对辖内网点终端安装防病毒软件，并定期检查处理终端安全健康情况，对中毒设备及时进行网络隔离并进行病毒查杀。对离行式自助网点布设电力监控系统，监控市电及UPS运行情况，出现故障及时通知网点人员、科技及监保部门，及时防范各类系统风险。
（六）其他
根据《********商业银行行信息科技风险管理办法》中职责分工，合规与风险管理部负责信息科技风险管理工作。每年按季开展信息科技风险排查工作，排查结果直接向分管理领导汇报，并提交高级管理层审查、审批，信息技术部负责具体的问题整改落实工作。内部审计部负责信息科技审计制度 和流程的实施，制订和执行信息科技审计计划，对信息科技整个生命周期和重大事件等进行审计。
截至到8月底，信息技术部共组织3批信息安全与网络安全培训，培训内容涵盖网络安全、病毒防治、信息安全，通过培训和宣传提升了我行员工的信息安全意识和安全防护技能。
********银行信息科技部
二〇一九年*月*日
第8篇：科技信息述职报告
述职报告
大家好！
三年来，在上级部门的正确领导下，在信息部全体同志的共同努力下，我认真履行职责，恪尽职守，严于律己，扎实工作。通过严格要求、规范行为等举措，使我自身工作初步步入良性循环轨道。现就一年来，本人履行职责情况做如下汇报：
一、加强思想政治学习，提高政治觉悟。
我能够认真学习马列主义毛泽东思想和邓小平理论，坚持党的基本路线，认真学习贯彻执行党和国家的方针政策，切实落实劳动和社会保障工作的各项法律、法规和政策。通过学习，提高了政治觉悟和理论水平，加强了思想修养和自身素质。
二、履行职责情况及效果
（一）维护网点：尽心尽责，热情服务，确保各个网点顺利营业
（二）任务完成：加班加点，保质保量，确保优质高效完成任务
（三）报表报送：认真负责，仔细核对，确保各个数据准确无误
三、履行职责的不完善之处
（一）工作方面：方式、方法、策略单纯。有效资源、自身潜力没有充分得到发挥。
（二）自身方面：忙于具体事情太多，考虑、实施长远问题欠缺。
四、几点感受
（一）作为机关的一名员工，你就要朴实、行的正、立的直，一心一意为企业谋生存求发展，维护集体利益，领导就会信任你。 反之，你就面临淘汰，一个不团结，没有凝聚力、向心力的企业或者部门自然就无法长久的生存与发展下去！
（二）信息部是有一定基础和实力的，虽然有过一些失误，走过一些弯路，但信息部的全体同志用自己的实际行动证明了它是一支坚韧、顽强、百折不挠的坚强队伍！
（三）企业生存靠发展，信息部每个人也都很关心企业的经营发展工作，但特殊的岗位决定了发展业务不是信息部的强项， 建议领导能给予信息部更多的机会，让信息部有更多的时间做好后台的支撑工作！
最后表个态度：
如果组织需要我，我愿服从组织上的安排，“革命战士是块砖，那里需要那里搬”；无论身在那个岗位，我将一如既往，与襄汾信用社的同志同舟共济，携手奋进，共创辉煌 。
信息技术安全自查报告
信息技术自查报告（共3篇）
小学信息技术工作自查报告
信息披露自查报告
会计信息自查报告