网银白名单应急预案

网银白名单应急预案1总则1.1编制目的为规范网上银行（含企业网银、个人网银，以下简称网银）白名单安全事件应急处置流程，有效预防、及时控制和最大程度降低白名单异常引发的业务中断、资金损失、信息泄露、声誉损害等风险，保障网银业务连续稳定运行，保护银行和客户的合法权益，根据《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《银行业金融机构网络安全事件应急预案》《商业银行互联网风险管理办法》等法律法规及监管要求，结合本机构实际制定本预案。1.2适用范围本预案适用于本机构网银渠道所有类型白名单的安全事件预防、预警和处置，覆盖场景包括：企业网银操作IP白名单、设备指纹白名单、管理员权限白名单，个人网银大额交易白名单、特殊功能开通白名单，第三方合作机构接入网银接口的IP白名单、机构身份白名单等所有依托白名单实现权限管控的业务场景。1.3工作原则坚持预防为主、平战结合：强化日常白名单全生命周期管理和风险监控，定期开展隐患排查和应急演练，做到风险早发现、早处置；坚持统一指挥、分级负责：建立总行-分行-支行三级应急指挥体系，各级机构按照事件等级落实处置责任，协同联动；坚持快速处置、最小影响：优先保障客户资金安全和核心业务稳定，采取措施控制事件影响范围，最大程度减少对正常业务的干扰；坚持实事求是、公开透明：依法依规上报监管、告知客户，及时回应社会关切，主动接受监督。2应急组织体系与职责2.1应急指挥部应急指挥部是网银白名单安全事件应急处置的最高决策机构，总指挥由分管网络金融与网络安全的行领导担任，副总指挥由网络金融部、信息科技部、风险管理部总经理担任，成员部门包括合规部、运营管理部、零售金融部、公司金融部、安全保卫部、法务部、办公室（品牌公关）、计划财务部。主要职责：研究决定应急响应的启动和终止；指挥协调重大、特别重大事件的处置工作，调配行内外部资源；审议决定事件处置的重大方案，审核对外发布的信息内容；按要求向上级单位和监管部门报告事件处置情况；总结评估应急处置工作，批准应急预案修订。2.2专项工作组应急指挥部下设4个专项工作组，具体职责如下：（1）技术处置组：由信息科技部网络安全团队、系统运维团队、应用开发团队及核心系统第三方服务商技术支持人员组成，主要职责：7*24小时监控白名单系统运行状态，接收并核查告警信息；事件发生后第一时间定位风险点、排查入侵或故障范围，固定攻击痕迹、操作日志等证据；落实技术处置方案，完成故障修复、数据恢复、漏洞加固、系统恢复运行等工作；提供技术支持，配合业务组、风险组梳理受影响客户范围、交易清单。（2）业务处置组：由网络金融部、零售金融部、公司金融部、运营管理部人员组成，主要职责：根据技术组提供的受影响清单，逐户核实客户信息和业务权限；分类处置受影响客户业务，对被错误移除白名单导致无法交易的客户开放临时权限或引导线下办理，对被非法纳入白名单的客户账户落实临时管控；对接分支行一线，下达客户通知、业务处置要求，解答客户咨询，统计客户投诉和诉求；核对全量交易数据，确认是否发生异常交易，协助风险组追溯异常资金。（3）风险管控组：由风险管理部、合规部、安全保卫部组成，主要职责：开展事件风险评估，判定事件等级，提出响应级别建议；排查风险蔓延可能性，落实涉案账户管控、资金止付等措施，防止损失扩大；配合公安机关开展调查取证，提供案件相关材料，跟进涉案资金追赃挽损；开展合规审查，检查处置流程符合法律法规、监管要求及行内规定，对违规操作提出责任认定意见。（4）公关法务组：由办公室、法务部组成，主要职责：监测全网舆情，及时发现不实信息，统一对外发声口径，经指挥部审核后发布官方信息，回应社会关切；对接监管部门，按要求报送事件相关材料和处置进展；处理事件引发的法律纠纷，为处置工作提供法律支持，协助落实客户赔付等事宜。2.3分支行应急联络员各一级分行、二级分行分别指定1名专职应急联络员，主要职责：接收总行应急指挥部的指令，第一时间传达至辖内网点；组织辖内网点开辟线下业务绿色通道，协助总行完成受影响客户的通知、核实、业务办理；收集辖内客户诉求和事件影响情况，及时上报总行；配合总行开展当地舆情处置、公安对接等工作。3事件分级标准根据网银白名单安全事件的影响范围、危害程度、损失大小，将事件分为四级，标准如下：（1）特别重大事件（Ⅰ级）：符合以下任一情形即判定为Ⅰ级：①白名单被非法批量篡改，导致1000个以上对公账户或10000个以上个人账户被非法纳入白名单获得高权限，或已发生实际资金损失超过1000万元；②白名单核心管理系统全辖服务中断，持续时间超过4小时，导致全辖所有依赖白名单管控的高权限网银交易全部无法办理；③白名单数据发生全量泄露，涉及客户个人敏感信息超过10万条；④引发全国性负面舆情，对银行品牌声誉造成重大损害，有效客户投诉超过100起。（2）重大事件（Ⅱ级）：符合以下任一情形即判定为Ⅱ级：①白名单被非法批量篡改，导致100个以上、1000个以下对公账户，或1000个以上、10000个以下个人账户被非法纳入，实际资金损失在100万元以上、1000万元以下；②白名单核心系统全辖服务中断持续时间超过1小时、不足4小时，或30%以上一级分行白名单服务中断持续时间超过4小时；③白名单数据泄露涉及客户敏感信息在1万条以上、10万条以下；④引发区域性负面舆情，有效投诉超过30起、不足100起。（3）较大事件（Ⅲ级）：符合以下任一情形即判定为Ⅲ级：①白名单被非法篡改或操作错误，导致10个以上、100个以下对公账户，或100个以上、1000个以下个人账户异常，实际资金损失在10万元以上、100万元以下；②不超过30%的一级分行白名单服务中断持续时间超过2小时、不足4小时；③白名单数据泄露涉及客户敏感信息在100条以上、1万条以下；⑤引发区域性客户投诉，有效投诉超过5起、不足30起。（4）一般事件（Ⅳ级）：符合以下任一情形即判定为Ⅳ级：①白名单异常涉及10个以下对公账户或100个以下个人账户，实际资金损失不足10万元；②单网点或局部区域白名单服务中断持续时间不足2小时；③白名单数据泄露涉及客户敏感信息不足100条；④有效投诉不足5起，未引发明显舆情。4预防与预警机制4.1日常风险防控建立白名单全生命周期安全管控体系，落实常态化防控措施：（1）准入管控：所有白名单新增必须落实“双人审核、授权生效”要求，录入人与审核人不得为同一人，对公客户白名单新增、IP变更必须核验客户营业执照、法定代表人授权书，线下核实客户身份后才可录入；第三方合作机构白名单准入必须经合规部、风险管理部审核合作资质，签署安全协议后才可纳入。（2）变更管控：所有白名单增删改操作必须留痕，操作人、操作时间、操作内容、审批人信息全量记录，日志存储采用不可篡改的分布式存储架构，保存期限不低于180天；非工作时间（每日0:00-6:00）原则上不允许白名单修改操作，特殊情况必须经信息科技部总经理双人授权才可操作。（3）退出管控：客户销户、权限变更或合作终止的，必须在24小时内将对应主体移除出白名单，每月末开展一次过期白名单清理，核对全量白名单的业务有效性，清理无业务授权的僵尸白名单。（4）实时监控：建立7*24小时白名单操作监控规则，明确告警等级：10分钟内出现5笔以上白名单修改操作触发蓝色预警，10分钟内出现20笔以上修改操作触发橙色预警，非授权IP登录白名单管理后台、非工作时间未经授权的修改操作直接触发红色预警；监控岗人员必须在10分钟内响应告警，完成核查，留存核查记录。（5）定期巡检：每日日终核对当日白名单修改操作记录与纸质/电子审批单，确保操作100%一致；每周开展一次全量白名单校验，核对系统白名单与线下客户授权信息一致性；每月开展一次白名单系统漏洞扫描，每季度开展一次渗透测试，每年开展一次全辖白名单专项排查，及时发现并修复安全隐患。4.2预警分级与发布根据风险隐患的危害程度，预警分为四级：蓝色预警（一般风险）、黄色预警（较大风险）、橙色预警（重大风险）、红色预警（特别重大风险）。监控岗核查发现风险隐患后，立即向专项工作组上报，专项工作组判定预警等级后，第一时间向相关部门发布预警信息，通知落实防范措施，预警信息包括风险点、可能影响范围、防范要求等。5应急响应5.1响应启动规则根据事件等级落实分级启动：Ⅳ级一般事件由事件涉及的一级分行应急工作组启动响应，处置过程每2小时向总行指挥部报送进展，处置完成后报送总结；Ⅲ级较大事件由总行专项工作组启动响应，指挥部统筹协调；Ⅰ级、Ⅱ级事件由总指挥直接启动响应，全集团所有相关部门配合处置。5.2典型场景处置流程（1）内部操作失误导致白名单批量错误场景：①技术处置组接到告警后，5分钟内定位错误范围，导出异常白名单清单，10分钟内临时冻结白名单管理系统的修改权限，防止错误进一步扩大；②业务处置组按照“先控风险、后补更正”的原则，对异常白名单分类处置：对被错误移除白名单导致无法办理高权限交易的客户，临时开放24小时应急交易权限，同时引导客户线下核实更新信息；对被错误加入白名单的账户，第一时间落实临时管控，暂停非柜面交易，电话联系客户核实身份；③技术组核对原始审批文件，重新生成正确白名单批量导入，全量校验一致性无误后，恢复白名单管理系统正常权限；④风险管控组排查事件发生以来的所有交易，确认是否发生异常交易，若存在非法交易，立即冻结涉案账户，对接人民银行反洗钱系统和收款行发起紧急止付，配合公安机关追溯资金。（2）白名单核心系统故障场景：①技术组10分钟内定位故障节点，若为接口调用故障，立即切换到备用接口，5分钟内恢复白名单校验服务；若为主数据库故障，立即切换到异地容灾中心的备用只读数据库，保障白名单查询校验可用；②若主数据库损坏无法立即恢复，启动数据恢复流程，从最近一次全量备份（每日日终完成全量备份）和增量备份（每小时完成一次增量备份）恢复数据，最多可恢复到故障发生前1小时的数据，数据丢失风险可控；③若短时间无法恢复服务，系统默认自动拦截所有未通过白名单校验的高权限交易，业务处置组立即发布公告，告知客户暂停网银高权限交易，引导客户到线下网点办理，所有网点开辟应急绿色通道，优先办理大额转账、权限变更等业务；④故障排除后，技术组全量校验白名单数据与备份数据的一致性，确认无误后恢复全功能服务。（3）外部攻击导致白名单篡改或数据泄露场景：①技术组接到告警后，第一时间阻断攻击源IP，锁定攻击者会话，全量留存攻击痕迹、操作日志等证据，15分钟内切断白名单管理系统的外部访问，防止攻击者进一步操作，同时锁定所有已被篡改的白名单条目；②技术组排查入侵范围，确认攻击者获取的权限、篡改的白名单数量、泄露的数据范围，形成风险清单移交业务组和风险组；③风险管控组对非法加入白名单的账户立即冻结，排查事件发生以来的所有交易，对发生异常转出的资金，立即对接公安、人行、收款行发起紧急止付，最大程度追赃挽损；④若发生数据泄露，公关法务组按照《个人信息保护法》《网络安全法》要求，在48小时内将事件情况上报属地网信办、银保监局，对所有受影响客户100%通过电话、短信、APP推送方式通知，提醒客户防范诈骗，落实个人信息保护措施；⑤技术组排查并修复被利用的漏洞，清理攻击者植入的后门程序，加固系统访问控制权限，确认系统安全后恢复正常运行。（4）合法白名单信息泄露被不法利用场景：①接到客户报案或监控发现异常交易后，业务处置组第一时间锁定涉案账户，冻结所有出金交易，技术组立即将泄露的IP/设备移出白名单，要求客户重新申请白名单验证信息；②风险管控组排查异常交易流向，发起紧急止付，配合公安机关调查取证；③业务组通知所有同类型客户，提醒客户加强白名单信息（IP地址、设备信息）的保密管理，定期自查，发现异常及时联系银行。5.3响应升级与终止处置过程中若发现事件影响范围扩大、损失增加，不符合原响应等级的，立即升级响应等级，由上一级指挥机构接管处置；若事件风险完全可控，业务恢复正常，所有受影响客户处置完成，由启动响应的机构宣布终止响应。6后期处置事件处置终止后，10个工作日内完成全流程复盘和后续处置：①事件调查：专项工作组牵头开展事件调查，查明事件发生原因、暴露的管理和技术漏洞，明确责任主体，形成调查结论；②整改落实：针对暴露的问题，制定整改方案，明确整改责任人和整改时限，优化白名单管理流程，加固系统防护，补齐管理漏洞，整改完成后组织验收；③损失处置：对客户造成的资金损失，按照服务协议和监管要求落实赔付，涉及盗抢的，跟进公安追赃挽损，及时告知客户进展；④报告归档：所有处置过程、调查结论、整改方案整理归档，保存期限不低于5年，Ⅰ级、Ⅱ级事件在处置完成后15个工作日内上报银保监会、人民银行等监管部门；⑤预案修订：每年根据事件处置情况、演练情况对预案进行一次修订更新，优化处置流程，适应业务和技术变化。7应急保障（1）技术保障：白名单核心系统采用异地多活架构，主备节点分别部署在不同地域的数据中心，数据每日全量备份、每小时增量备份，备份数据存储在异地容灾中心，可在1小时内完成数据恢复；核心系统第三方服务商建立7*24小时技术支持机制，承诺1小时内远程响应，4小时内工程师到达现场处置。（2）人员保障：建立7*24小时监控轮值制度，每个专项工作组至少配备2名备岗人员，防止人员缺位影响处置；每年组织不少于2次应急培训，覆盖所有相关人员，每年组织不少于1次全辖实战应急演练，提升处置能力。（3）资金保障：计划财务部预留专项应急资金，额度不低于500万元，用于事件处置的技术支持、客户赔付、舆情处置等支出，保障处置工作顺利开展。（4）通讯保障：建立专项应急通讯群，所有应急相关人员手机24小时开机，重大事件处置期间每15分钟报送