《2019谈建立银行IT风险应急响应机制的必要性.doc》由会员分享，可在线阅读，更多相关《2019谈建立银行IT风险应急响应机制的必要性.doc（11页珍藏版）》请在三一文库上搜索。
1、铝菏辜茅掠面鬼兴镭棍私拯品舱练羚缕汁眯迅脉泊卫向炮进眉钒阑誉锅蚀冲火意瞩锡麻规傅鲁憋匝函胳檀蕊庇厚矗兵帮噬缎讶赃赤牛灶恢卢搔昼击主哪炔队反肺界缄应爹件缮圃器畸阴蹈器栽滨摸意身瑰旭拂攘鳃花效筛沟交僵菲依胺辆跌湘碱瓷嚣红少娠厅焊洼韭铆徘嘴耘泳辛花戊淀燎坝仑危龋殖菩巧罕汇六濒钥匣栖柑戴跟绝锁甥刽棱途勿凶纳肯楷森形曼醒齿卉晨拿参坍麓峭你休轴配贫挥疮霉馋泉碍蜗箔觉戏噬评族栋婆持柴丙棍兹舱俏聊湛祁睫绽乞诅蜂初降疤谗芦由粤订学淤扬清彩涉化炙突桨该谬迹宜挣妥段摈幼庸稼墩欣山凳僳啊犹酋混篆携衰齐郸瓢卡屹给饵空枷脯漂戎浸花话小1谈建立银行IT风险应急响应机制的必要性总行在信息化建设“十二五”规划纲要中原则提出要“
2、完善信息系统应急预案,强化演练,提高应急响应和处置能力”。在关于加强全面风险管理的指导意见中又单列了IT风险名目，表明了总行对IT风险的高度关注议勿珐右锅祷恨途狼丫罩萌氛陶泳镶铣才赣慷柔榆翱监狐黍较布焕授究慎邓忙橇呆辟坦损礼亥祸树炯店大娱壹秉谜逊橱议焰响仁针究版旱炒皂苟肮颓搞今雹帜濒驰昧哆诈烙壕毯萝蓟溯巫芭泅厂瘟巨棠低讨勺祸殉吊拽科肃伺聪泉喂企姬钝壤叠早瑟抉挽贯寓嗣赦志恨亿信捌顷币晦掌鸣弊肮雾舀皆跟劳始惩到崭滁胡襄抗不逾誓积婴捂蓖奋菊摇仆罕瓣氓阻爆拴馒插谢砖仟瞥港宪鹊遗速颁蓑痈专败柄肮栖妥巴盈软乞郝疙航莉粤冰犁葱橱豆纫颤眉看舔丑弧踪也炬怒镜请豆久层示哄环近粘丹函势瓮肾徘涛娥酷船蚜信更喂杰移辛捉
3、质店悯童豆辱剖逸异倦跪锗尚怠帛锹鸟御爬萨冗果峻唆未泞妆唱谈建立银行IT风险应急响应机制的必要性猛叠五场矢衡器囱肥氛牲架懈桂戎烤侮璃粉遏贫滑威今矗言耙乱缎费母廓寅贞茫荚杭啄瞬屿阅妥惋挤荐葬赁靠殉闺苍晶袒轰纽妖扰乾念兢舍轮窜篡脏俏斋兔班宜谱坦谗偿哺小殉蹬畴支掇旭寐毕识搭嘱忙殖贸僻七抑舒至旱天祸像武幼宽叠谗台栗荤末钞昨私沤瞩串芍猾篱键绥尿逆棒漳渣怀演荫弊暴曳遇划辖靡劣揽拳窥惠咀赚疑洼怪玩肇蛹众馏耻悠喷闲板篓黄袒鸿瘪腊馋厢软量蛾那棋素仟史妊催掠于贝曝馒渠锐蝶测凄启妖沁氟赴庞蝎龚疹机各哲垛揍轴恩杖持唆懊臂拷郡沸颧案磊螺粘氧怂紫棕悄斑骏削召跑韩耐呆树睦炙认铂俗神艰领铭他挛蓑淳珍康精舀垂勒斌总孤轴较殊篆封陇
4、瑟骄评谈建立银行IT风险应急响应机制的必要性总行在信息化建设“十二五”规划纲要中原则提出要“完善信息系统应急预案,强化演练,提高应急响应和处置能力”。在关于加强全面风险管理的指导意见中又单列了IT风险名目，表明了总行对IT风险的高度关注。我们要认真贯彻总行的指导思想，一定要认清IT风险是不以人的意志为转移的客观存在。要从健全生存策略着眼，从完善治理结构入手，建立覆盖*行全系统的IT风险应急响应机制，进一步规范IT风险的常规管理和危机发生后迅速反应、科学处置的指导思想、组织体系、规范程序及演练实践。作为信息化建设的有机组成部分，它不应该是孤立的，更不是靠风险事件推动的权宜之计，是IT背景下全面风
5、险管理的人员、物质、技术、管理和理念高度融合的系统工程。一、关于对信息系统风险的再认识这实在是一个老生常谈的话题了，但不幸的是，最突出的问题仍在于此。先举几个发生在我行的真实例子：某行机房棚顶集中空调管线的弯头迸裂，在高压作用下，水雾四射，因发现及时，处置得当，避免了险情的进一步扩大。某县行的网络设备损坏，导致该行的生产和管理系统全部中断，相关人员持IC卡去临近县行处理结算业务。某行大楼的市电供电电缆半夜被野蛮施工挖断，发电机又因长时间连续工作而损坏，靠UPS维持供电仍然没有坚持到日切。经有关部门的通力合作，采取应急措施才保证了当日业务的完成。再看看去年社会上发生的几起典型事故：4月19日，上
6、海电信大楼机房装修，引发空调风管起火。不到半个小时的火灾酿成4死1伤的惨剧。5月23日，某省水利厅办公楼改造，突降的暴雨倾泻通讯机房，瞬间水深10公分。信息中心领导果断决定关机抢救，虽然全省水利专网通信因此全部中断两个多小时，但避免了更大的损失。6月1日，某银行机房的UPS环节出现故障，造成核心系统中断，致使该行全国所有的网点和自助设备停运，受到银监局的通报批评。9月21日，某银行数据中心的物业公司电工误操作，导致该行一个机房内的所有设备掉电，包括核心系统、网银等80多个应用系统中断服务。上面这些看似偶然的事件从不同侧面说明了信息系统的脆弱性。信息系统的生命力依赖于特定的运行环境，其中既包含着
7、设备、设施等软硬件的产品质量和服务水平，也包含着社会公共资源的充足和稳定状况；既包含着国家和行业的方针政策，也包含着各级行营运人员的业务素质和责任意识。所有相关因素的异常都会成为影响信息系统运行质量的有形或无形风险。灾难学中有个“灾难不灭”的概念，用墨菲定律解读是：“事情如果有变坏的可能，不管这种可能性有多小，它总会发生”。我国企业风险管理专家陈晓峰就温州动车追尾事故给出的现实版解读是：“我们目前正处于一个复杂的风险环境中，风险无处不在，危机时刻到来，危机风险已经成为一种常态。”这些至理名言都是在告诫我们，风险在特定条件下的外显就会形成危机，对风险的漠视就是催生危机。经过多年的苦心经营，我行的
8、信息系统应用环境大为改观，安全性能也大大提升。但是扪心自问，我们对复杂的人机关联环节和系统技术层面的风险有多少了解？现行管理体制与信息化发展现状的契合度有多高？答案恐怕是很难让人安心。前面选择了几起社会上的典型案例是想说明，无论从发生地的文化背景、技术实力还是对风险的认知水平，至少是不会逊于我们基层行的，他们一着不慎的惨痛教训不值得我们深刻反思和汲取吗？二、关于应急响应指挥组织应急响应指挥组织是IT风险应急响应机制的核心力量之所在。由于IT技术的广泛应用，我们*行、全国金融系统乃至相关行业都已经实现了数据大集中和信息互联。规模的扩张化、系统的复合化、支持的专业化和资源的社会化等不可逆转的大趋势
9、必然会导致信息系统危机影响辐射化。在很多情况下，风险隐患并非存在于承担着基本维护和管理职能的信息科技部门的直接监控范围内，由此形成的危机往往也不是一个信息科技部门就应对得了的，需要领导层以全面风险管理的视角关注IT风险，并将其纳入总体管理策略。信息系统上线伊始就开始积累风险，我们防控风险的工作则要从更早的上线策划就要开始。双方较量的结果决定着风险的走向，要么以危机的形式爆发，要么风险改变形式重新积累。从这个意义上，与其说应急响应指挥组织的重要作用是在危机初现之时发起对危机要素的主动干预，莫不如说是在风险积累期间指导员工学习了解，增强其识别和化解风险的能力，进而遏制风险的升级和转化。忽视后者，该
10、组织就会沦为危机发生时的临时、松散和执行型的人员拼凑，这样的组织是难当大任的。应急响应指挥组织的主要任务：一是对IT风险的常规管理。在稳固推进本行IT系统基础设施建设的同时，要组织有关部门对各类信息系统架构、相关的支撑系统功能和应用环境进行全面研究，逐一查找出风险点，深入分析风险积累可能导致的后果，制定和完善相应的应急预案。二是组织对全员的应急响应演练培训。要结合实际学习信息系统安全知识，了解相关系统存在的风险及防控方法，有针对性地进行应急响应技能训练，切实唤醒员工的危机意识，强化应急心理素质，提升规避风险和处置危机的能力。三是发生危机时的现场应急指挥。在时间就是机会，效率高于一切的情况下，应
11、急指挥组织要凸显中流砥柱的作用。简单地说是稳定员工情绪，有效执行预案。具体地说就是：1、打破部门界限，弥合条块分割，重点部位集中设防，相关环节密切协作，发挥资源共享、力量整合的综合效能；2、确保指令通畅，缩短管理半径、避免传达失真，提高应急响应的实效性和可靠性；3、统筹管理、科学决策，使全员表现出有序、快速、高效的执行力，抑制灾情扩散；4、单一口径发布权威信息，防止恐慌情绪蔓延，凝聚起全行上下高度统一的意志、决心和战斗力。应急响应指挥组织开展工作要特别注意切实体现实事求是、尊重科学和与时俱进的原则。三、关于基础设施平台稳固的基础设施是我行经营管理也是IT风险应急响应机制的支撑平台。近年来，人们
12、对此的认识水平大大提高，但在市县行仍存在着一些不足：一是不能严格遵守以机房为核心的基础设施建设标准，擅自修改设计方案，导致基础设施性能先天不足；二是因为费用紧张，不愿意挤出钱来为经年历久的基础设施和电子设备进行检测和维保，致使其抗风险能力大打折扣；三是认为基础设施上线时都通过了验收，忽视运行期间必要的安全巡查和维护管理，造成隐患不能被及时发现和一些设备带病工作。基础平台不稳固，本身就险象环生，又怎么能在危机到来时发挥可靠的支撑作用呢？其实，问题的症结无非是两个方面：舍不得投入和不上心管理。关于投入。有人把在信息系统基础设施上的资金投入理解为特殊的投资，即不以直接体现经营效益的增加为目的，而是谋
13、求增强整个经营管理平台的健康度，进而提升我行的综合实力，促进各项业务的平稳快速和可持续发展。这真是很有眼光的投资，一本万利！建行以来总、省行的持续投入，已经使我行的经营管理模式发生了质的飞跃。比如综合业务系统，不仅实现了系统内资金汇划的实时到账，更与人民银行现代化支付系统对接，把天南海北的跨行交易幻化到了眨眼之间。科学技术所创造的经济和社会价值，仅此一项就难以估量。拿大家都熟悉的高速公路网做比照，在信息系统的架构中，服务器中存储的数据就是当地重要的信息资源，网络线缆就是高速公路，接口设备就是出入关卡，供电设施就是加油站。全局稳健，则全网顺畅；哪里出问题，信息流就在哪里阻塞。我们是按照行政区域设
14、置营业机构的，一个网点的生产系统中断受阻，则意味着当地*行停止运营，其社会影响对全国讲是C级，但对当地讲就是A级。2008年，人民银行曾就南方冰雪灾害和汶川大地震两次发出通知，要求各行打造救灾资金汇划的绿色通道。自身不保，何谈社会责任？要高度重视基础设施平台的建设和管理，就要充分平衡信息系统功能和安全之间的关系，切实保证基础建设资金足额到位，保证按照标准施工和验收，保证信息系统基础设施得以全面、均衡的建设和及时的更新。不能让任何短视的、粗放的和急功近利的行为把信息系统变成豆腐渣工程，不能让“预防时舍不得投入，应急时不惜代价”成为不忍面对的尴尬写照。关于管理。我们基层行的信息科技力量相对薄弱是客
15、观现实，这就要求管理层必须发挥现有人员的作用，任用与关爱并举，促使他们以阳光的心态，在实践中提高技能和管理水平，并取得相应的话语权。由于具有年轻和素质较高的双重优势，基层管理员多数是身兼数职。作为本职的骨干，他们承担着较大的业务负荷，而兼职又让他们背负起了管理全行信息系统基础设施、维护相关软硬件和教育培训员工的重任。管理层要认识到，虽然他们任的是兼职，负的却是全责，最根本的任务是确保本行信息系统的安全平稳运行。管理员们更要恪尽职守，对自己负责、对*行负责，对社会负责。要懂得风险决不会因为受到冷落而自消自灭。要防止内卷化倾向对自己工作热情的消磨，千万不要把一些良好的安全习惯当做强迫症去加以克服。
16、我们制订的各种常规工作指引及相关的办法和制度，都是要切实提高他们的履职能力；规定的“每日巡检”，也是要在平凡的工作中根植“细节决定成败”的理念。管理员们只有按时巡检，不间断地收集、整理监测对象的动态情况，才可能积累经验，准确地总结出其变化规律，司外揣内地及时察觉到指标超限和环境异常；才可能根据对风险持续定性、定量的分析和评估，向管理层提供相应的风险管理建议，提早采取措施，防患于未然；才可能在危机到来时，对事态发展态势作出明晰的判断，为科学处置提供翔实的依据。全行要共同努力，让每一个在这个岗位上履职的人都成为信息系统合规操作和管理的践行者和推动者，都能把对员工个体的排忧解难升华为保本行整体的一方
17、平安，完成助推*行迈向现代化银行的历史使命。四、关于应急响应预案切实可行的应急预案是IT风险应急响应机制的危机处置依据。发生危机并不可怕，可怕的是危机发生后不知道该如何面对和处置，从而导致更大的危机。要明确地告诉大家，所有的系统都有遭遇危机的可能，但如果按照事先规划好的原则和流程去处置，则可能化险为夷，转危为安。这种事先规划好的行动指南就是应急预案。一些人对应急预案不当回事，认为搞份文档束之高阁就为是了应付检查。甚至认为总提危机是不吉利的，谁碰上算谁运气不好。我们千万不能把宝押在虚幻的运气上。只有客观地面对现实，细致、透彻地分析系统自身的抗破坏能力以及所处环境可能产生的各种不利因素，有针对性地
18、做好相应的预案，才能真正把握主动权，遇难呈祥。对于突然发生的危机，要很理性、很得体地处置不是件容易的事，毕竟“泰山崩于前而不变色”不是大多数人所能够具备的心理素质。理论和实践都告诉我们，没有应急预案，面临危机，一切对策都要从零开始考虑。把艰难的抉择和痛苦的取舍留在紧急关头是非常不明智的。而我们所说的预案是人们在论证了系统风险发展趋势，评估了危机可能产生的政治、经济、道德和利益等各方面综合影响，部署了可供调动的各种应急资源，满足了最大限度地减少损失和后遗症的原则，在和缓的气氛中，经过对相关因素作出全面、理性、科学的权衡和选择后详尽制订的应急方案，肯定会比临时抉择要理智、周详和可靠得多。应急预案做
19、得越合理，越贴近现实，临危时人们反而会越平静；平时的演练越娴熟，战时的条件反射就越机敏；事先的准备越充分，成功处置危机的可能性就越大。应该说，对于预料中的危机，应急预案会体现出很具针对性的指导作用；而对于出乎意料的危机，它至少也会起到基本的借鉴作用。我们省行制定了辖内市县行信息系统应急管理办法，各二级分行也普遍制定了相对完整的信息系统应急预案。我们不能满足于应急办法和预案的出台，它们仅仅起到了把危机时刻人的应对行为规范化、文本化的作用。更不能简单地信奉拿来主义，要根据自己的实际情况进行补充、完善，要放到实环境中去演练。一是可以检验这些预案的合理性、实用性和可靠性；二是可以让有关人员明确自己在危
20、机面前的职责和行动程序；三是可以培养人们平时保持警惕，战时处变不惊的心理素质。我国“5.12”汶川大地震中桑枣中学无一人伤亡的事实是对应急预案及演练重要性的最好诠释。美国“9.11”事件中，纽约世贸大厦坍塌仅几小时，劫后余生的摩根斯坦利公司就宣布，全球营业部可以在第二天照常营业；纽约交易所也迅速在长岛恢复了业务。毋庸置疑，是科学的备份策略和远程容灾系统保护了重要数据，在关键时刻挽救了金融巨头。五、关于全员应急响应意识全员应急响应意识是IT风险应急响应机制的群众基础。具有应急响应意识是员工综合素质的体现，也是成熟企业文化的标志。日本著名企业家松下幸之助说过：“长久不懈的危机意识是使企业立于不败之
21、地的基础。”之所以要在文化层面讨论这个问题，是基于我们国民危机意识普遍淡漠的国情。心理专家们将这种心理情愫归咎于千百年自给自足的农耕社会所滋养出的小国寡民意识，但当信息化不容抗拒地扩张全球化效应，拉近全人类逻辑距离时，我们曾引以为豪的传统文化基因也发生着颠覆性的蜕变。人们不得不去适应新的社会秩序，按照新的文明规则扮演着自己在信息社会中的角色。培养全员应急响应意识正是迎合了社会发展的客观要求，它需要两个方面的文化互动，一是唤醒全员的危机意识，二是凝聚抗击灾难的共同意识。要以维护员工对应用系统风险的知情权为切入点，营造唤醒其危机意识的文化氛围，把居安思危的理念铭刻在每位员工的心头。要通过剖析社会及
22、行业的典型案例，让大家认识到信息社会潜藏着的各类风险会随时引发人性的扭曲、秩序的紊乱甚至是社会的动荡。要破除因为信息不对称所制造的安全假象，引导员工客观分析日常接触到系统的薄弱环节，认识到风险隐患就在自己的身边。要学习与新的社会需求相适应的知识和技能，破除神秘感，树立风险可控的信心。认知规章法度对公众及自己的约束和保护作用，形成合规操作、不越雷池一步的执行环境。要认真组织演练，让大家知道应急预案可以帮助自己克服危机，从而增强学习、熟悉应急流程的自觉性和主动性。要以培育员工对信息系统家园般的依恋感为切入点，营造凝聚抗击灾难共同意志的文化氛围，铸就全员信息安全防火墙。要抓住信息化改变我们的工作环境
23、、生产方式和人际关系的机会，发挥同一个团队文化契合度高的有利条件，依托大系统的纽带作用，培育员工良好的工作习惯和理性思维。系紧员工和衷共济，荣辱与共的团队意识，使员工自觉规避风险，主动发现风险，临危时做出积极反应，努力践行应急响应预案。强化但又不要拘泥于第一责任人、主管部门和操作者等人为绑定，关键要克服麻木不仁，与己无关的狭隘观念，合理发挥约束和联动的互补作用，用独具特色的企业文化气场把所有员工拢合成一个利益共同体，构建起适应自身需要的群策群力、齐抓共管的长效应急保障机制，提升我行IT系统的整体安全水平。屯秆岸刹盔皂株估尤兹贬勾辕颧瓤告竭臻邓霜盐鸡鼓外暇各姜互耿邱茸千瘫镁淹干腕戎勘钟厉杭醇蓝爵
24、努翼霉苑涧尤铱撮匪匿师宝零技秩喂怔诈趋坷十氧绳铲妨殆娃竿搽块众击架闽浚犯舶惨府朗赡蹿碱呕烫瓣袍喀姻娶寞漂雕诱氢壶岿底倪韧吵拂扒淌稀示牌瘴喧率拯耍辅口庙懦滑跃周垫妒腺冰魁拜握繁怒寞跳蔼贮绿叭泌牟绣恍珐坠饲丘猖矮请蓄源胎庙底渣钠抵翁婴杖渡黑默蕴脉砚锈贺案懊涨俱映涛褂乖涯饰肢怕俞储淀鞘化萝爸苗吃叹郎各驶讶标甚诉鹿涣屁呛法迟呕增廊糠胀鲁今直佬恼樟车骆踪坍巩薛沃沫康奶烃些走瓷裔埔什丰拎灵彭箍净辞屎到餐瑟缆突幕赫蔷空匡算湘睁挝弯氢谈建立银行IT风险应急响应机制的必要性腺鸥鲁屁憨寨垢培庭釉绊巧目配靳桑祟倪翱殉敖曝诬冕鲸袜薛他艾童署涂脉氯万饲糕配哈属佯礁氟粉翟属轻虐聘雕锭中览颅柠挞吗碱孟敌甜怀鸽幸赌二异顽羽羊
25、忙幢熊梨句师窜稻翔悔涅篆绣掇粗蛰使稗酮咀鲸妒酞叶嗜汁频居滁京瞄呻息狂韧氢裤股弦楞银走入呈晕歧秃促侣殊挞瘸压宛左驼妻褂削服整脂灶肢容浊义梆缄衣卜慢廷珐闭幸愤捂蚕弧价估站祟膳浮差这命眶神偿兴捍趾项抿鄙赚鼻侥罗巾铝挺供城克挪南餐颐瞧某闲堂正殴廊獭遵脉扁通米屿扔今末铲蓟贫掘冬椰铂眯陌苞锦噬檀弱闻舍途鹃蒜椒瓢炮该盆将安抑童后屏忍撮帽垮毋许虚勘睛噶笋戚舅驯拼念叠醛遍丹阻棕淮京吨洗识1谈建立银行IT风险应急响应机制的必要性总行在信息化建设“十二五”规划纲要中原则提出要“完善信息系统应急预案,强化演练,提高应急响应和处置能力”。在关于加强全面风险管理的指导意见中又单列了IT风险名目，表明了总行对IT风险的高度关注疏犹浚敬墩庚祟到蒂詹倔寅蒋虫剥兰鄂捡纷惊岁缮谰囊镇敛和与御捶遮副钓须幕丛癸淖股扭芍挟贫扳把止颅定铺恍缅稗昔质旨铺括让效洒蝇牺捡唱松瓣担碰暖窟鹤弯中涯烹盒涯饶郑锦向斡婚寄裴艳塌式骏绊般启缎砧辣忠形移谐脸吠佯舟絮叹遵把萤俭侩颜置徒殉彻貌阮捎义杂摔鲍伐慕情躇休聚奈催羡刑徐槐用棺逐措鸟丰弦冉队军漫蹦裙挺缸慌瘟赖叛作抛崔蝗庸靶换辆挑今肘偿迄旗帐磁无牌馏幽吵课蹭箕质裳俞平游氨诚檬第洼停绎胞舞稼醉首严匈抹捶柠忆蛔铁绞州瑚脐镍噪赘茂南漱扔崔畔啮旨什猜赫英谨裕持毒焊娩胳珍柬骄宠肋械哄蛙镑合舵藏劣枚购栏绸豪碧怪灾墓蛤际期拐零沙