财务公司信息系统故障管理办法

财务公司信息系统故障管理办法第一章总则第一条为规范财务公司（以下简称财务）信息系统故障管理，及时排除或控制信息系统故障造成的影响，提高信息系统故障的应急处置能力和信息系统安全保障的综合管理水平，特制定本办法。第二条以下术语适用于本办法：重要信息系统：指支撑重要业务，其信息安全和服务质量关系法人和其他组织的权益，或关系社会秩序，公共利益乃至国家安全的信息系统。包括面向客户、涉及财务处理且实时性要求较高的业务处理类、渠道类和涉及客户风险管理等业务的管理类信息系统，以及支撑系统运行的机房和网络等基础设施。一般信息系统：除重要信息系统以外的其它信息系统。灾难事件：由于人为、自然或技术的原因，造成数据中心生产系统发生严重故障或瘫痪，使信息系统支持的业务功能中断或服务水平不可接受的突发性事件；包括但不局限于机房电源故障及通讯故障、中心机房场所损坏、设备或软件故障或损坏、意外或人为操作失误、恐怖袭击、火灾、爆炸、水灾、台风、传染性疾病隔离等。信息系统突发事件：重要信息系统突然发生的，影响业务持续开展，需要采取应急处置措施应对的事件。包括：1.由于重要信息系统服务中断或重要数据损毁、丢失、泄露，对公司或客户利益造成较大损害的突发事件；2.由于重要信息系统服务异常，在业务服务时段导致业务无法正常开展达半个小时（含）以上的突发事件；3.业务服务时段以外，重要信息系统出现的故障或事件救治未果，可能产生上述1至2类的突发事件。信息系统故障：凡是导致信息系统及支持信息系统运行的机房、网络等基础设施发生不能支持业务、影响客户服务和账务、以及可能会引起重大风险的突发性异常情况，都属于信息系统故障，包括灾难事件、突发事件和日常故障。信息系统故障全生命周期分为：故障发现、故障定级、故障报告、应急处置、分析故障原因、制定及实施解决措施、总结经验、归档共八个阶段。第二章职责分工第三条信息系统故障管理干系人包括信息技术部、业务部门。第四条信息技术部关于信息系统故障管理的职责包括：1.负责重要信息系统故障组织、处理及协调。2.负责信息系统故障监测，登记业务部门报告的信息系统故障，详细记录报障人员提供的信息系统故障描述信息。3.分析和评估信息系统故障对业务的影响，组织制定并实施信息系统故障的应急处置，恢复信息系统运行及服务。4.信息系统故障应急处置中，与业务部门保持沟通，及时通报信息系统故障应急处置进展情况和事态发展情况。5.收集分析信息系统故障有关的数据信息和日志，组织查找信息系统故障原因，制定故障解决措施并组织排除故障。6.组织总结信息系统故障管理经验，完善信息系统应急预案，归档信息系统故障管理文档。第五条业务部门关于信息系统故障管理的职责包括：1.负责制定业务应急恢复方案。2.发现信息系统故障立即信息技术部门报告；3.信息系统故障应急处置过程中，与信息技术部门保持沟通，适时启动业务应急预案。4.负责与银行及其他业务关联机构的沟通协调。5.配合检查确认信息系统故障处理后的业务恢复情况。6.做好对受影响客户的解释工作。第三章信息系统故障分级第六条信息系统故障按照对业务影响范围和信息系统重要程度分级，当信息系统故障同时满足多个级别的定级条件时，按最高级别确定信息系统故障级别，具体分级如下：（一）一级信息系统故障1、重要信息系统发生故障，导致该系统支持的业务无法正常开展达30分钟以上。2、一般信息系统发生故障，导致该系统支持的业务无法正常开展达4小时以上。（二）二级信息系统故障1、重要信息系统发生故障，导致该系统支持的业务无法正常开展，但未达到30分钟。2、一般信息系统发生故障，导致该系统支持的业务无法正常开展达30分钟以上，但未达到4小时。第七条信息系统故障发生后，须依据信息系统的重要性，以及故障影响范围和影响时间的变化，按照上述信息系统故障级别定义进行升级。第四章信息系统故障管理一、故障发现第八条财务员工发现或收到信息系统故障须立即报告，按照“先报告后处理”、“先恢复业务、后分析故障原因”的原则进行信息系统故障的报告和处理。第九条财务员工发现或收到信息系统故障须记录故障发生时间、地点、故障现象、受影响的信息系统、业务种类、客户数量、资产损失等信息。二、故障定级第十条信息技术人员接到信息系统故障报告后，须立即核实故障情况，按照本办法第三章规定，在十分钟内判断信息系统故障级别，否则须先向上级报告，再继续核实故障情况，明确故障级别。三、报告要求第十一条属于区域性或大面积的电力或通信中断故障、非法入侵、病毒爆发、网上诈骗、恐怖袭击、敌对攻击、战争爆发以及重大自然灾害（如地震、洪水、火灾、各种疫情）等需要跨行业部门应急协调的，须按照中国人民银行《银行重要信息系统应急协调预案》执行。第十二条属于灾难事件的，须按照《灾难备份中心应急响应预案》（信息技术部另行发布）执行。第十三条属于信息系统突发事件的，须按照《财务公司信息安全保障及突发事件应急管理办法》执行。第十四条业务部门发现信息系统故障，须立即向信息技术部人员报告。第十五条信息技术部门人员必须保持电话及手机24小时通畅。第十六条信息技术部发现的信息系统故障须及时通报受影响的业务部门，通报内容包括故障发生时间、地点、现象，受影响的信息系统、业务种类等。第十七条信息系统故障的报告方式以电话报障为主，书面报障、短信报障为辅，通信方式的优先次序为：电话报障→短信报障→书面报障。第十八条信息系统故障报告内容应包括：报障人姓名、所在单位、联系方式，故障发生时间、地点、现象，受影响的信息系统、业务种类等信息。第十九条信息技术部人员在接到报障后，须立即核实故障情况，初步判断信息系统故障级别后立即按照以下路线报告：信息技术部人员→信息技术部部门领导→信息技术主管领导→公司总经理。电话报障后，须填写《信息系统故障报告表》。第二十条信息技术部门须及时向业务部门及风险管理部报告信息系统故障处置进展，一级信息系统故障须每半小时报告一次处置进度；二级信息系统故障须每一小时报告一次处置进度。第二十一条信息系统故障报告原则上按报告路线逐级上报，若超过10分钟仍无法与报告路线中指定接报人员取得联系，可越级向接报人员的上一级主管报告，并继续联系指定接报人员。第二十二条对于需要向监管机构报告的故障，由信息安全领导小组指定负责部门对外报告信息系统故障情况。四、应急处置第二十三条信息系统故障应急处置须按应急预案执行，对于超出应急预案授权范围的变更，按照财务有关制度流程报请审批同意后才能实施。第二十四条信息系统故障应急处置过程中变更维护操作须双人临岗，并记录应急变更维护操作步骤和结果。第二十五条在多个信息系统故障同时并发，应急人员及资源存在冲突的情况下，信息系统故障优先处置的原则为：优先处理级别高的信息系统故障；信息系统故障级别相同时，优先处理直接面向客户服务的、时效性要求较高的重要信息系统故障。第二十六条信息技术职能部门应及时向相关业务部门通报信息系统应急处置进展和后续处理预计所需时间，提请业务部门做好启动业务应急预案的准备。第二十七条信息技术部须在应急处置结束后一个工作日内向完成书面的信息系统故障应急处置报告。五、分析故障原因第二十八条信息系统故障应急处置完成后，信息技术部须立即组织开展故障原因分析，制定并实施解决措施。第二十九条对于已查明原因的信息系统故障，信息技术部应在应急处置后5个工作日内形成书面的信息系统故障分析报告，报风险管理部及财务领导。第三十条对于未查明原因的信息系统故障，信息技术部须继续组织查找分析信息系统故障原因，原则上应在应急处置后一个月内查明原因。第三十一条信息系统故障分析报告内容应包括：对信息系统故障现象、影响范围、处理时间和过程以及客户资金损失（可选）等基本情况的陈述；总结信息系统故障应急处置工作的整体过程，评价应急预案的可用性，分析应急处置工作中存在的问题；分析信息系统故障的深层次原因，明确存在的问题，提出改进措施和实施计划等。六、制定及实施解决措施第三十二条对于已查明原因的信息系统故障，信息技术部组织制订信息系统故障解决措施，属于应用系统程序缺陷、影响到重要信息系统正常运行的故障，优先安排资源解决。第三十三条对于未查明原因的信息系统故障，信息技术部应会同相关业务主管部门制订信息系统故障应急措施。第三十四条信息系统故障解决措施实施后，信息技术部须对发生故障的信息系统进行后续监控。七、总结经验第三十五条信息技术部须安排专人（岗）负责信息系统故障管理，跟踪信息系统故障处理全过程，监督检查信息系统故障处理进度和制度流程的执行情况。第三十六条信息技术部须在每年组织开展一次信息系统故障管理总结，对于已解决的信息系统故障，总结故障管理经验并纳入经验库；对于未解决的信息系统故障，分析评估故障管理中存在的问题，制定专项措施和计划确保故障解决。八、归档第三十七条信息技术部须对信息系统故障管理中所产生记录、表格和报告等文档资料的统一归档保管。第三十八条信息系统故障管理文档资料须至少保留五年。第五