瑞士金融行业监管要求遵从性指南 2024

目录

1概述...........................................................................3

1.1背景与发布目的.....................................................................................3

1.2适用的金融监管要求简介...........................................................................3

1.3名词定义...........................................................................................4

2华为云安全合规................................................................5

3华为云安全责任共担............................................................8

4华为云全球基础设施............................................................9

5华为云如何遵从及协助客户满足瑞士《第2018/3号通告外包》....................10

5.1选择、指导和监督服务提供商........................................................................10

5.2安全性............................................................................................13

5.3审计和监督........................................................................................14

5.4外包到国外........................................................................................15

5.5协议..............................................................................................15

6华为云如何遵从及协助客户满足瑞士《第2023/1号通告操作风险和弹性银行》………17

6.1ICT风险管理.......................................................................................17

6.2网络风险管理......................................................................................20

6.3关键数据风险管理................................................................................24

6.4业务连续性管理...................................................................................29

7华为云如何遵从及协助客户满足瑞士《云指南》..................................32

7.1责任和作用........................................................................................32

7.2选择和变更服务提供商与重要分包商................................................................33

7.3数据中心和运营中心..............................................................................36

7.4存储地点、数据流和访问概念.......................................................................37

7.5关于数据安全的一般技术和组织措施................................................................39

7.6银行保密和安全措施..............................................................................41

7.7权限和程序........................................................................................41

7.8对所使用的云服务和手段进行审计..................................................................43

8华为云如何遵从及协助客户满足瑞士《第05/2020号指南》........................44

9结语..........................................................................46

10历史版本.....................................................................47

瞄上金刚!红业监管要求遵从性指南1概述

1概述

1.1背景与发布目的

随着技术的发展，对云计算技术及服务的使用已经成为瑞士金融机构的常态。云计算

为金融机构的发展带来巨大的便利的同时，也为金融机构创造了更为复杂的业务运营

环境。为规范金融行业对于信息科技的运用，瑞士金融市场监管局、瑞士银行家协会

针对瑞士金融机构的网络安全、信息技术风险管理等方面发布了i系列监管规定。

华为云作为云服务供应商，致力于协助金融客户满足这些监管要求，持续为金融客户

提供遵从金融行业标准要求的云服务及业务运行环境。本文将针对瑞士融机构在使用

云服务时通常需遵循的监管要求，详细阐述华为云将如何协助其满足监管要求。

1.2适用的金融监管要求简介

瑞士金融市场监管局(FinancialMarketSupervisoryAuthority.以下简称

“FINMA")是瑞士金融行业的监管机构，负责确保瑞上金融市场的有效运转；瑞士银

行家协会(SwissBankersAssociation,以下简称"SBA”)是全球最大的银行业行

业公会，其会员涵盖了瑞士的银行、审计机构和券商等，在瑞士以及国际金融界都有

着重大影响。

・《第2018/3号通告外包》(Circular2018/3Outsourcing)：FINMA于2017年9

月21口发布了该通告，其规定了银行、券商和保险公司在开展重要功能外包活动

时必须遵守的要求。

•《第2023/1号通告操作风险和弹性一银行》(Circular2023/1Operational

risksandresilience-banks)：FINMA于2022年12月7日发布了夜通告，对《

第2008/21号通告操作风险一银行》进行了全面修订，完善了与操作风险管理相

关的监管实践，在其基础上新增操作弹性的原则。监管领域包括总体操作风险管

理、ICT风险管理、网络风险管理、关键风险管理.、业务连续性管理、跨境事务

风险管理以及保证操作弹性等。

•《云指南》(CloudGuidelines)：SBA于2020年6月1日发布了该指南，确定了

与通过云技术提供银行和金融服务相关的四个关键领域，包括治理、数据和数据

安全、权限和程序、对所使用的云服务和手段的审计。指南中就如何管理这些领

域提出了建议。这些建议不具有法律约束力。银行可在考虑到其规模和业务模式

的复杂性的情况上将该指南作为最佳实践加以应用。

文档版本1.1(2023-12-20)版权所有©华为云计算技术有限公司3

瞄上金刚!红业监管要求遵从性指南1概述

《第05/2020号指南》(Guidance05/2020)：FINUA于2020年5月7口发布了该指

南，对所有FINMA所监管的机构提出了在发生具有重大影响的网络攻击事件时向

监管机构报告的要求，并且明确了履行报告义务的细节规定。

13名词定义

华为云

华为公是华为的公服务品牌，致力丁提供稳定可靠、安全可信、可持续创新的公

服务。

客户

指与华为云达成商业关系的注册用户。

外包

指金融机构授权服务提供商独立地、持续地履行对其业务活动有重要意义的全部

或部分职能。

重要职能

指对遵守金融市场立法的目的和规定有重大影响的职能。

关键数据

指基于金融机构的规模、复杂性、结构'风险状况和业务模式，具有重要意义

的，需要加强对其实施的安全措施的数据。这些数据对于金融机构提供服务或监

管至关重要。

关键流程

指那些发生重大破坏时，将会危及重要职能的提供的流程。

ICT

指IT和通信系统的物理和逻辑(电子)架构、各个硬件和软件资产、网络、数据

和操作环境。

客户识别数据

指那些能够反映个人数据，并识别所涉及客户的客户数据。

受保护信息

指客户识别数据、个人数据以及金融机构所指定的需要保密处理的其他信息和数

据。

重要分包商

指履行重要职能的分包商，以及金融机构视为重要的分包商。

文档版本1.1(2023-12-20)版权所有©华为云计算技术有限公司4

瑞上金融行业监管要求遵从性指南2华为云安金金鹿

2华为云安全合规

华为云继承了华为公司完备的管理体系以及IT系统的建设和运营经验，对华为云各项

服务的集成、运营及维护进行主动管理，并持续改进。截至目前，华为云已获得众多

全球性、区域性和行业特定的安全合规的权威认证，全力保障客户部署业务的安全。

关于更多华为云的安全合规信息以及获取相关合规证书，可参见华为云官网”信任中

心-合规中心”

华为云部分标准类认证/鉴证示例:

认证描述

IS027001:2022IS027001是目前国际上被广泛接受和应用的信息安全管

理体系认证标准。该标准以风险管理为核心，通过定期评

估风险和对应的控制措施来有效保证组织信息安全管理体

系的持续运行。

IS027017:2015ISO27017是针对云计算信息安全的国际认证。

ISO27017的通过，表明华为云在信息安全管理能力达到

了国际公认的最佳实践。

15027018:2019ISO27018是专注于云中个人数据保护的国际行为准则。

ISO27018的通过，表明华为云已满足国际认可的公有云

个人数据保护措施的要求，可保证客户个人数据安全。

TL9000&ISOISO9001是ISO9000族标准所包括的一组质量管理体

9001系核心标准之一，用于证实组织具有提供满足放客要求和

适用法规要求的产品的能力。

TL9000是一个建立在IS09001基础上的，由全球电信

业优质供应商联盟(QUESTForum)针对全球信息和通

讯技术(ICT)行业特定设计的、为ICT产品和服务供方

提供的一套通用的质量管理体系要求。它包括了IS09001

的所有要求，IS09001将来的任何改动也会导致TL9000

的改动。

华为云取得了£09001/TL9000认证证书,表明华为云

可以为您提供更快，更好和更具成本效益的服务。

IS020000-1:2018IS020000是针对信息技术服务管理领域的国际标准，提

文档版本1.1(2023-12-20)版权所有©华为云计算技术有限公司5

瑞上金融行业监管要求遵从性指南2华为云安金金鹿

认证描述

供设计、建立、实施、运行、监控、评审、维护和改进服

务管理体系的模型以保证服务供应商可提供有效的IT服

务来满足客户和业务的需求。

15022301:2019ISO22301是国际公认的业务连续性管理体系标准，通过

对风险的识别、分析和预警来帮助组织规避潜在事件的发

生，并且制定完备的"业务连续性计划”，有效地应对中

断发生后的快速恢复，保持核心功能正常运行,将损失和

恢复成本降至最低。

CSASTAR认证CSASTAR认证是由标准研发机构BSI（英国标准协会）

和CSA（云安全联盟）合作推出的国际范围内的针对云安

全水平的权威认证，旨在应对与云安全相关的特定问题，

协助云计算服务商展现其服务成熟度的解决方案。

15027701:2019ISO27701规定了建立、实施、维护和持续改进隐私相关

所特定的管理体系的要求。华为云通过ISO27701表明了

其在个人数据保护具有健全的体制。

BS10012:2017BS10012是BSI发布的个人信息数据管理体系标准,

BS10012认证的通过表明华为云在个人数据保护上拥有

完整的体系以保证个人数据安全。

ISO29151:2017ISO29151是国际个人身份信息保护实践指南。

ISO29151的通过，表明华为云实施国际认可的个人数据

处理的全生命周期的管凝施。

PCIDSS支付卡行业数据安全标准（PCIDSS）是由JCB、美国运

通、Discover.万事达和Visa等五家国际信用卡组织共

同建立的一套支付卡行业数据安全标准，由支付卡行业安

全标准委员会管理。它是世界上最权威、最严格的金融机

构认证。

PCI3DSPCI3DS标准，旨在保护执彳了特定3DS功能或者存储

3DS数据的3DS环境，支持3DS的实施。PCI3DS的评

估对象为3D协议执行环境，包括访问控制服务器、目录

服务器或3DS服务器功能；以及3D执行环境内和连接到

环境所需要的系统组件，如防火墙、虚拟服务器、网络设

备、应用等；除此之外，还会评估3D协议执行环境的过

程、流程、人员管理等。

ISO27799:2016ISO/IEC27799是专注于医疗行业的信息安全管理体系，

文档版本1.1(2023-12-20)版权所有©华为云计算技术有限公司6

瑞上金融行业监管要求遵从性指南2华为云安金金鹿

认证描述

为医疗行业和其相关机构提供了关于如何更好地保护个人

健康信息的保密性、完整性、可审计性和可用性的指导。

华为云是全球首个获得该认证的云服务商，表明华为云对

医疗行业的理解和实践，对医疗行业信息安全的防护能力

得到国际权威认可，能够更可靠的保障您的信息安全。

ISO27034ISO/IEC27034是国际标准化组织ISO通过的第一个关注

建立安全软件程序流程和框架的标准，它清晰地定义了实

际应用中软件系统面临的风险，同时为不同类型的软件开

发组织提供了一套可以灵活应用的方法。华为云是全球首

家获得ISO/IEC27034认证的云服务提供商，表明华为云

具备在云服务中保持持续安全和合规的能力。

SOC审计报告SOC审计报告是由第三方审计机构根据美国注册会计师协

会(AICPA)制定的相关准则,针对外包服务商的系统和

内部控制情况出具的独立审计报告。

文档版本1.1(2023-12-20)版权所有©华为云计算技术有限公司7

瑞上金融行业监管要求遵从性指南3华为云安安全任共担

3华为云安全责任共担

在复杂的云服务业务模式中，云安全不再是某一方单一的贡任，需要租户与华为云共

同努力。基于此，华为云为帮助租户理解双方的安全责任边界、避免出现安全责任真

空区而提出了责任共担模型。在模型中租户与华为云具体负责的区域可参见下图。

图3-1责任共担模型

BpauawDS&SMHSUQS网站Mfit护

BW克■慎认证(XnjRtVMW)(SO在庆事性〃》份)

华力云ffiP出户定蒯配百

曲网・身华

虚拟网络.冏关，离吸助为

云

护,平台.J®用，KM.—

华为云WPA

平台,劣平台舞务，份管理,..M

«<±«&±K^HW并仲91V.A«*

设施

安全物理・播设胸9fB.BJffiK必变⑨・

tfft：华为云■任（负，云殿芳■■的安全）数色：IB户・任（负JE

基干责任共担模型.华为云与和户主要承担如下责任：

华为云：主要责任是研发并运维运营华为云数据中心的物理基础设施，华为云提供的

各项基础服务、平台服务和应用服务，也包括各项服务内置的安全功能。同时，华为

云还负责构建物理层、基础设施层、平台层、应用层、数据层和用户身份管理

（IAM）层的多维立体安全防护体系，并保障其运维运营安全。

租户：.主要责任是在租用的华为云基础设施与服务之上定制配置并且运维运营其所需

的虚拟网络、平台、应用、数据、管理、安全等各项服务，包括对华为云服务的定制

配置和对租户自行部署的平台、应用、用户身份管理等服务的运维运营。同时，租户

还负货其在虚拟网络层、平台层、应用层、数据层和1AM层的各项安全防护措施的定

制配置、运维运营安全、以及用户身份的有效管理八

关于华为云与租户的安全责任详情，可参考生为云已发布的《华为云安全白皮书》。

文档版本1.1(2023-12-20)版权所有©华为云计算技术有限公司8

地上金般业监萱要求遵从性指南4华为云全球基础遨施

4华为云全球基础设施

华为云目前已陆续在全球多个国家或地区开服。华为云的基础设施采用在全球部署多

个地理区域（Region）和多可用区（AZ）的模式，华为云能够在多个地理区域内或同

一地域内多个可用区之间灵活替换计算实例却存储数据，每个可用区都是一个独立故

障维护域，也就是各可用区物理上是隔离的,用户可充分利用这些地理区域和可用

区，规划应用系统在云上的部署和运行。基于多个可用区进行应用的分布式部署，可

保证在大多故障情况卜系统都能连续运行。关于更多关于华为玄基础设施的信息，参

见华为云官网“全球基础设施”。

文档版本1.1(2023-12-20)版权所有©华为云计算技术有限公司9

5华为云如何遵从及协助客户满足瑞士《第2018/3

瑞士令融行业监管要求蹲从性指南号通告外包》

5华为云如何遵从及协助客户满足

瑞士《第2018/3号通告外包》

FINMA于2017年9月21日发布了《第2018/3号通告外包》。该通告规定了银行、

券商和保险公司在开展重要功能外包活动时必须遵守的要求。

金融机构在遵循上述规定时，华为云作为CSP,可能会参与到要求所涉及的部分活动

中。以下内容将总结指南中与CSP相关的要求，并阐述华为云作为云服务提供商如何

帮助客户满足这些控制要求。

5.1选择、指导和监督服务提供商

编号具体控制要求客户关注点华为云的内部实践

选择服务提供商时，金融机构客户应在尽职调查华为云会安排专人积极配

应适当考虑并检查其专业能力中考虑服务提供商合客户发起的审计要求和

与财务和人力资源情况。的专业能力、人力尽职调查。华为云已通过

资源以及财务情况IS02700KISO27017.

等。ISO27018、SOC、CSA

STAR等多项国际安全与

隐私保护认证，并且每年

会接受第三方的审计。

•专业能力：华为云遵循

第17条ISO27(X)I,IS020000、

ISO22301等国际标准建

立.完善的信息安全管理体

系、IT服务管理体系以

及业务连续性管理体系，

并在日常运营中将体系的

要求落地。同时，华为云

每年定期开展风险评估、

管理评审等活动，识别体

系运行过程中的问题，并

实施整改，推动管理体系

文档版本1.1(2023-12-20)版权所有©华为云计算技术有限公司10

5华为云如何遵从及协助客户满足瑞士《第2018/3

瑞士令融行业监管要求蹲从性指南号通告外包》

的持续改进。

•人员管理：华为云严格

执行长期以来行之有效的

人事和人员管理机制。华

为云全体员工、合作伙伴

及外部顾问都必须遵从公

司相关安全政策，接受安

全培训，使安全理念融入

整个组织中。华为云对积

极执行网络安全保障政策

的员工给予奖励，对违反

的员工给予处罚，违反相

关法律法规的员工，还将

依法承担法律责任。

・财务状况：华为云是华

为的云服务品牌，自

2017年正式上线以来，

华为云一直处于快速发展

中，收入保持强劲增长态

势。

在决定外包和选择服务提供商客户应在尽职调查华为云遵循IS02700K

时，金融机构应考虑更换服务中考虑服务提供商IS020000、ISO22301等

提供商的可能性及其可能产生的专业能力，以保国际标准建立完善的信息

的后果。服务提供商应保证能证其能够为向客户安全管理体系、IT服务

够长期提供服务。长期提供服务。管理体系以及业务连续性

管理体系，并在日常运营

第18条

中将体系的要求落地。同

时，华为云每年定期开展

风险评估、管理评审等活

动，识别体系运行过程中

的问题，并实施整改，推

动管理体系的持续改进。

金融机构应为将外包职能内包客户应在云外包协华为云提供了线上的《华

或将其有序地转移到另一服务议中明确定义退出为云用户协议》以及《华

提供商而做好准备。策略条款，包括支为云服务等级协议》(具

持数据迁移义务。体请参见欧洲站的用户协

在服务协议终止议和云服务等级协议)，

时，客户可通过华其中规定了所提供服务内

第容和服务水平，以及华为

18.1为云提供的云数据

条

迁移服务(Cloud云的职责。同时，华为云

也制定了线下合同模板，

DataMigration,简

称CDM)支持在可根据不同客户的需求进

多种类型数据源之行定制化。

间进行数据迁移，

例如数据库、数据

仓库、文件等，并

且支持在多个环境

文档版本1.1(2023-12-20)版权所有©华为云计算技术有限公司11

5华为云如何遵从及协助客户满足瑞士《第2018/3

瑞士令融行业监管要求蹲从性指南号通告外包》

之间法行数据迁

移，满足数据上

云、云中数据交

换、数据回流本地

数据中心等多种业

务场景需求。

金融机构和服务提供商的职责客户应在云外包协华为云提供了线上的《华

应在合同中达成一致并明确。议中明确其与服务为云用户协议》以及《华

提供商各自的职为云服务等级协议》（具

责。体请参见欧洲拈的用户协

议和云服务等级协议），

其中规定了所提供服务内

容和服务水平，以及华为

云的职责。例如，华为云

负有一定的安全义务，应

采取适当措施保护客户数

第19条

据的安全，并且在非必要

的情况下，不得访问客户

的数据。同时，客户也负

有一定的安全义务，应对

由于其使用账号和服务的

方式等原因所导致的安全

漏洞负责。同时，华为云

也制定了线下合同模板，

可根据不同客户的需求进

行定制化。

外包职能应被纳入金融机构的客户应对服务提供客户对华为云的审计和监

内部控制体系。与外包有关的商进行持续的监督权益会根据实际情况在

重大风险应被系统地识别、监督，从而识别和处与金融机构签订的协议中

测、量化和控制。金融机构内置与外包相关的重进行承诺。华为云会遵从

第20条部应指定部门负贡监测和控制大风险。与客户签订的协议中约定

服务提供商。金融机构应持续的要求，并会安排专人积

监测和评估服务提供商的服极配合客户和监管/监管

务，以便及时采取必要措施。指定的代理人对华为云的

审计和监督。

金融机构应确保与服务提供商客户应在云外包协华为云提供了线上的《华

的外包协议赋予其发布必要指议中明确其拥有向为云用户协议》以及《华

示和控制的权利。服务提供商发布必为云服务等级孙议》（具

要指示与控制的权体请参见欧洲拈的用户协

利。议和云服务等级协议），

其中规定了所提供服务内

笫21条

容和服务水平，以及华为

云的职责。同时，华为云

也制定了线下合同模板，

可根据不同客户的需求进

行定制化。