银行业信息安全文化建设指南（试行）

银行业信息安全文化建设指南（试行）第一章总则1.1编制目的为落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《银行业保险业网络安全管理办法》等监管要求，规范银行业金融机构信息安全文化建设路径，提升全员信息安全意识与行为自觉，防范人为因素引发的信息安全风险，保障银行业务连续性、数据保密性与系统稳定性，特制定本指南。1.2适用范围本指南适用于全国范围内开发性金融机构、政策性银行、商业银行、农村合作银行、农村信用社、村镇银行等银行业金融机构，消费金融公司、汽车金融公司、金融租赁公司等非银行金融机构可参照执行。1.3建设原则顶层牵引与全员参与结合：董事会、高级管理层承担信息安全文化建设主体责任，覆盖管理层、技术岗、业务岗、外包人员、实习人员等所有关联主体，避免“安全是技术部门责任”的认知偏差。合规要求与业务场景融合：将信息安全要求嵌入产品研发、业务办理、客户服务、运维操作全流程，杜绝安全管理与业务发展“两张皮”问题。正向引导与刚性约束并重：既要通过培训、激励强化安全自觉，也要通过考核、问责明确行为红线，构建“不敢违、不能违、不想违”的长效机制。动态迭代与持续优化统一：每年至少开展1次信息安全文化有效性评估，结合新型攻击手段、业务创新模式、监管最新要求调整建设内容，适配风险演变趋势。第二章信息安全文化建设组织与职责2.1决策层职责董事会负责审批信息安全文化建设战略与年度预算，每年至少听取1次信息安全文化建设成效汇报，将文化建设成效纳入高级管理层绩效考核，占比不低于信息安全整体考核权重的30%。高管层负责明确信息安全文化建设牵头部门，统筹协调人力、业务、科技、合规、内审等部门资源，保障建设资源投入，监督建设任务落地。2.2牵头部门职责原则上由信息科技风险管理部门或网络安全管理部门作为牵头部门，承担以下职责：1.编制信息安全文化建设中长期规划（3-5年）与年度实施方案，明确年度建设目标、任务清单、责任主体、时间节点；2.统筹信息安全培训、宣传、演练、考核等全流程工作，建立跨部门协同工作机制，每季度至少召开1次协同推进会；3.定期评估文化建设成效，形成年度评估报告上报高管层与董事会，针对薄弱环节制定优化措施。2.3其他部门职责人力资源部门：负责将信息安全要求纳入员工招聘、入职培训、岗位调动、离职管理全流程，将信息安全考核结果与员工职级晋升、薪酬发放挂钩；业务部门：负责梳理本业务条线信息安全风险点，将安全要求嵌入业务操作规范，组织本部门员工参与安全培训与演练，对业务场景下的安全操作行为负直接管理责任；合规部门：负责将信息安全文化相关要求纳入内部合规审查体系，配合开展监管要求解读与合规问责；内审部门：负责每2年至少开展1次信息安全文化建设专项审计，审查建设流程合规性、资源投入充分性、成效达标性，形成审计报告报送董事会审计委员会。2.4外包人员管理要求外包服务提供商需将其派驻人员的信息安全管理纳入机构统一文化建设体系，签订服务合同时同步签订《信息安全承诺书》，明确外包人员信息安全行为要求与违约责任，外包人员需与行内员工同步参与安全培训、考核，考核不合格者不得上岗。第三章分层分类信息安全意识培育体系3.1管理层培育内容针对董事长、行长、分管信息科技副行长、部门总经理等管理层，重点培育内容包括：1.国家及监管层面信息安全法律法规、政策要求，明确管理层信息安全法定责任，知晓发生重大信息安全事件需承担的通报、处罚、履职问责等后果；2.行业信息安全风险态势，近年国内外银行业因内部管理疏漏引发的数据泄露、系统中断等典型案例，明确业务创新过程中安全与发展的优先级关系；3.本机构信息安全风险敞口与防控重点，掌握信息安全投入产出核算逻辑，保障安全建设资源匹配业务发展规模。管理层每年参与信息安全专题培训时长不低于4学时，需签署《管理层信息安全责任承诺书》，明确其在安全决策、资源保障中的责任。3.2技术岗位培育内容针对系统运维、软件开发、网络管理、数据管理、安全运营等技术岗位人员，重点培育内容包括：1.前沿攻防技术、新型漏洞原理、应急处置流程、数据脱敏、权限最小化等专业安全技能，每年参与专业技能培训时长不低于40学时；2.开发安全规范、运维操作红线、数据安全管理办法等内部制度，明确“不得私自查询客户数据、不得绕过变更流程操作系统、不得泄露系统漏洞信息”等禁止性要求；3.职业道德与保密教育，知晓违规操作需承担的民事、行政乃至刑事责任。技术岗位人员需每2年开展1次岗位安全资质认证，未取得对应资质者不得从事核心技术岗位工作。3.3业务岗位培育内容针对柜面服务、客户经理、信贷审批、财务、行政等业务岗位人员，重点培育内容包括：1.本岗位相关信息安全操作规范，如客户信息查询权限使用要求、业务单据保密要求、办公账号密码管理要求、钓鱼邮件识别方法等，每年参与培训时长不低于8学时；2.常见社会工程学攻击手段识别，如假冒监管人员、假冒客户的电话/短信诈骗，避免因轻信泄露内部信息或客户敏感信息；3.违规操作的后果，如违规查询客户信息售卖、泄露客户隐私需承担的处罚与法律责任。新入职业务人员需通过信息安全入职考核，考核合格后方可独立开展业务操作。3.4第三方人员培育内容针对外包人员、驻场开发人员、设备维保人员、审计人员等第三方人员，重点培育内容包括：1.机构内部网络访问规范、数据保密要求、操作区域管理规定，明确“不得私自接入内部网络、不得拷贝内部数据、不得进入未授权区域”等要求；2.违规行为的违约责任，如发生信息泄露需承担的赔偿责任、失信惩戒等后果。第三方人员入场前需通过安全考核，考核有效期为1年，到期后需重新考核方可继续入场。第四章多维度信息安全文化传播与渗透4.1日常宣传矩阵建设构建“线上+线下”全覆盖宣传体系：线上端：在内部办公系统首页设置信息安全专栏，每周推送行业安全动态、本机构安全风险提示；在官方公众号、员工微信群每月推送1次安全科普内容，内容涵盖钓鱼邮件识别、U盘使用安全、客户信息保护等场景化知识；每年至少开展2次全员信息安全知识线上答题活动，答题覆盖率不低于95%。线下端：在办公区、营业网点醒目位置张贴信息安全宣传海报，在员工工位设置安全提示卡，在会议室、电梯间等公共区域播放安全宣传短视频；每年至少组织1次信息安全主题宣传月活动，通过案例展、主题演讲、知识竞赛等形式强化全员认知。4.2场景化安全嵌入将安全要求嵌入日常工作全场景，实现“流程管安全”：1.办公系统登录时弹窗展示近期安全风险提示，员工需确认后才可进入系统；2.员工查询客户敏感信息时，系统自动弹出“该操作已留痕，违规查询将被问责”的安全提示，且操作日志需实时上传至安全运营平台留存，留存期限不低于5年；3.邮件系统内置钓鱼邮件识别模块，对疑似钓鱼邮件自动标注风险提示，员工举报钓鱼邮件经查实后给予绩效奖励；4.营业网点客户业务办理区域设置防诈骗提示，同步向客户宣传个人信息保护知识，履行客户安全教育责任。4.3标杆示范引领每年开展“信息安全标兵”“安全先进部门”评选活动，评选比例不低于员工总数的2%、部门总数的10%，对获评个人与部门给予通报表彰、绩效加分、职级晋升优先等奖励，总结先进经验在全机构推广，发挥正向引导作用。第五章应急演练与行为约束机制5.1实战化应急演练构建“常态化演练+专项演练”结合的演练体系：1.每季度组织1次全员钓鱼邮件演练，模拟真实钓鱼邮件场景发送测试邮件，对点击恶意链接、泄露账号密码的员工进行针对性补考培训，演练结果纳入部门安全考核。参考行业数据，首次演练全员点击率需控制在15%以内，逐年下降至5%以下。2.每半年组织1次社会工程学攻击演练，模拟假冒客户、假冒维保人员上门获取敏感信息的场景，测试一线员工安全意识，针对薄弱环节优化操作规范。3.每年组织1次重大信息安全事件应急演练，覆盖系统中断、数据泄露、ransomware攻击等场景，明确各部门应急处置职责，提升全员协同处置能力。5.2行为考核与问责建立全流程安全行为考核机制：1.将信息安全考核纳入员工年度绩效考核，权重不低于5%，考核内容包括培训参与率、考核合格率、演练表现、日常操作合规性等。2.建立信息安全违规行为台账，对轻微违规（如密码设置不符合要求、未及时锁屏等）进行批评教育与通报；对一般违规（如私自拷贝内部数据、违规查询客户信息未造成后果）给予绩效扣减、岗位调整等处罚；对严重违规（如售卖客户信息、故意破坏系统、泄露核心机密）依法解除劳动合同，涉嫌违法的移送司法机关处理。3.实行“一岗双责”，员工发生严重信息安全违规行为的，其上级管理人员需承担管理责任，一并纳入问责范围。5.3举报与激励机制建立信息安全违规行为匿名举报渠道，对举报信息经查实的，根据事件严重程度给予举报人500-50000元不等的奖励，严格保护举报人信息，杜绝打击报复行为。第六章成效评估与持续优化6.1评估指标体系建立量化评估体系，每年开展1次全面评估，核心评估指标包括：指标类型具体指标达标要求过程指标全员信息安全培训覆盖率≥98%过程指标新员工安全考核通过率100%过程指标年度演练计划完成率100%效果指标钓鱼邮件演练点击率≤5%效果指标全员信息安全知识考核平均分≥80分效果指标年度人为因素引发的安全事件数较上年下降≥10%保障指标年度信息安全文化建设预算占信息科技总预算比例≥5%1.牵头部门每年12月组织开展年度评估，通过数据提取、问卷调查、现场检查、员工访谈等方式收集评估数据；2.对照评估指标逐项打分，形成评估报告，分析当前存在的薄弱环节，明确下一年度优化方向；3.将评估结果报送高管层与董事会，作为下一年度安全建设预算分配、部门绩效考核的重要依据。6.3动态优化针对评估发现的问题，制定专项整改方案，明确整改责任部