企业内控手册-信息系统总体管理主要风险控制点及监管要求

第二节系统错误及缺陷处理一、控制目标规范系统错误及缺陷处理流程，解决系统错误及缺陷，保障系统正常运行。二、流程介绍（一）业务范围包括相关系统问题报告与讨论分析、解决方案制定、系统调整及测试、验收测试、更新系统等内容。（二）机构范围涉及机构：总公司涉及部门：总公司信息技术部（三）流程描述1.报告相关系统问题相关岗位系统用户发现系统出现不符合正常业务处理要求的系统问题，通过CQ平台进行报告，并同时邮件通知总公司对应业务部门的IT协调人。2.会同进行问题讨论分析，确定问题并制定解决方案总公司信息技术部系统对口人会同业务部门IT协调人对错误及缺陷报告内容进行讨论分析，确定并制定问题解决方案，然后将解决方案录入CQ平台。3.系统调整及测试总公司信息技术部根据解决方案由系统开发人员对系统做针对性调整，总公司信息技术部系统对口人内部测试通过后，提请业务部门IT协调人组织用户验收测试。4.验收测试相关岗位系统用户在收到要求进行验收测试的通知后，进行验收测试。测试完成后邮件通知总公司信息技术部系统对口人，进行系统更新。5.更新系统总公司信息技术部系统对口人更新应用系统后，在CQ平台关闭问题。三、流程图四、主要风险控制点1.未明确系统错误及缺陷处理操作规范2.未及时制定系统错误及缺陷解决方案五、控制制度《中国*股份有限公司应用系统需求及运行维护管理规定》六、相关监管要求无七、控制矩阵一级流程编号流程名称风险点名称控制措施或方法控制属性是否涉及所属机构执行部门执行岗位测试程序一级流程二级流程三级流程人工或自动控制类型控制频率IT信息系统总体管理应用系统运行维护管理系统错误及缺陷处理未明确系统错误及缺陷处理操作规范总公司在《中国*股份有限公司应用系统需求及运行维护管理规定》中对系统错误及缺陷处理流程做了明确的规定。所有相关人员应统一通过运维管理平台（以下简称CQ平台）提交使用错误及缺陷，系统错误及缺陷的处理流程使用CQ平台管理。人工预防性业务发生时否总公司信息技术部部门负责人、相关岗位查阅应用系统需求及运行维护管理规定IT信息系统总体管理应用系统运行维护管理系统错误及缺陷处理未及时制定系统错误及缺陷解决方案总公司信息技术部系统对口人会同业务部门IT协调人对错误及缺陷报告内容进行讨论分析，确定并制定问题解决方案，然后将解决方案录入CQ平台。信息技术部根据解决方案由系统开发人员对系统做针对性调整，信息技术部系统对口人内部测试通过后，提请业务部门IT协调人组织用户验收测试。相关岗位系统用户在收到要求进行验收测试的通知后，进行验收测试。测试完成后邮件通知总公司信息技术部系统对口人，进行系统更新。人工预防性业务发生时否总公司信息技术部、相关业务部门总公司信息技术部系统对口人、相关业务部门相关岗位检查是否及时解决系统错误及缺陷第三节系统用户及用户密码管理一、控制目标规范系统用户及用户密码管理流程，保证用户设置、使用得当，权限管理有序，业务处理安全高效。二、流程介绍（一）业务范围包括从第三方角度查看有关数据信息的用户或者超级用户的申请、审批、及开通，普通用户申请、审批、及开通，密码修改申请、审批、及修改等内容。（二）机构范围涉及机构：总公司、省级分公司、地市级机构涉及部门：总裁室、总公司信息技术部、相关业务部门，各级分支机构相关业务部门（三）流程描述1.从第三方角度查看有关数据信息的用户或者超级用户的申请对于涉及稽核、审计、纪检、监察、法律、风险等需要从第三方角度查看有关数据信息的用户或者超级用户的申请，总公司相关业务部门负责人整理用户信息，填写《应用系统新增用户申请表》，通过邮件系统提交给总裁室分管领导审批。2.总裁室分管领导审批总裁室分管领导对《应用系统新增用户申请表》进行审批，审批结果通过邮件反馈给总公司信息技术部。3.信息技术部开通软件开发岗通过邮件系统接收《应用系统新增用户申请表》，根据《应用系统新增用户申请表》按照申请信息给予开通并完成设置。4.普通用户申请对于总公司人员申请者，申请者所在部门业务管理岗整理用户信息，并填写用户申请审批单，通过邮件系统提交总公司相关业务部门负责人审批；对于省级分公司人员申请者应先由本部门负责人签字后，提交总公司相应主管部门负责人审核签字。5.部门负责人审批总公司相关业务部门负责人对审批申请单进行审批，审批通过后，通过邮件系统反馈给业务管理岗。6.业务管理岗开通业务管理岗根据审批申请单的用户信息，按照审批通过的痕迹要求给予开通，同时将申请单的复印件报总公司信息技术部备案。7.密码修改申请业务系统用户需要修改密码时，通过邮件系统将《应用系统用户帐户变更申请表》提交给所在业务部门负责人审核。8.部门负责人审核总公司相关业务部门负责人审核《应用系统用户帐户变更申请表》，审批同意后用邮件系统将《应用系统用户帐户变更申请表》提交给业务管理岗进行修改。9.业务管理岗修改业务管理岗根据《应用系统用户帐户变更申请表》，对于审批通过的申请，按照申请信息给予修改，并将《应用系统用户帐户变更申请表》进行存档。三、流程图四、主要风险控制点1.未对添加系统用户申请进行审批2.未对应用系统账号的变更申请进行审批3.离职或调职员工的应用系统账户未被及时禁用或删除4.应用系统权限设置不符合工作职责的需求5.新增用户申请未经适当审批五、控制制度《中国*股份有限公司应用系统需求及运行维护管理规定》六、相关监管要求无七、控制矩阵一级流程编号流程名称风险点名称控制措施或方法控制属性是否涉及所属机构执行部门执行岗位测试程序一级流程二级流程三级流程人工或自动控制类型控制频率IT信息系统总体管理应用系统运行维护管理系统用户及用户密码管理未对添加系统用户申请进行审批对于涉及稽核、审计、纪检、监察、法律、风险等需要从第三方角度查看有关数据信息的用户或者超级用户的申请，总公司相关业务部门负责人整理用户信息，填写《应用系统新增用户申请表》，通过邮件系统提交给总裁室分管领导审批，总裁室分管领导将审批结果信息通过邮件反馈给总公司信息技术部。人工预防性业务发生时否总裁室、总公司相关业务部门总公司分管领导、相关业务部门负责人查阅应用系统新增用户申请表，检查是否经过审批IT信息系统总体管理应用系统运行维护管理系统用户及用户密码管理未对添加系统用户申请进行审批总公司普通用户申请，业务管理岗整理用户信息，并填写用户申请审批单，通过邮件系统提交总公司相关业务部门负责人审批；省级分公司人员申请者应先由本部门负责人签字后，提交总公司相应主管部门负责人审核签字。人工预防性业务发生时是总公司相关业务部门、省级分公司相关业务部门总公司相关业务部门负责人、业务管理岗、省级分公司相关业务部门相关岗位查阅应用系统新增用户申请表，检查是否经过审批IT信息系统总体管理应用系统运行维护管理系统用户及用户密码管理未对添加系统用户申请进行审批总公司相关业务部门负责人对审批申请单进行审批，审批通过后，通过邮件系统反馈给业务管理岗。人工预防性业务发生时是总公司相关业务部门相关业务部门负责人查阅应用系统新增用户申请表，检查是否经过审批IT信息系统总体管理应用系统运行维护管理系统用户及用户密码管理未对应用系统账号的变更申请进行审批总公司相关业务部门负责人审核《应用系统用户帐户变更申请表》，审批同意后用邮件系统将《应用系统用户帐户变更申请表》提交给业务管理岗进行修改。人工预防性业务发生时否总公司相关业务部门相关业务部门负责人查阅应用系统用户帐户变更申请表，检查是否经过审批IT信息系统总体管理应用系统运行维护管理系统用户及用户密码管理离职或调职员工的应用系统账户未被及时禁用或删除当用户调岗时，原则上仍使用原用户名。由原部门超级用户管理人员对其原有功能权限进行减少或撤销，由新部门超级用户管理人员为其增加相关功能权限。人工检查性业务发生时是总公司相关业务部门超级用户管理人员检查调岗人员系统账户是否禁用或删除IT信息系统总体管理应用系统运行维护管理系统用户及用户密码管理离职或调职员工的应用系统账户未被及时禁用或删除当用户离职时，各管理部门需及时对相应人员的帐户作“失效”处理。人工检查性业务发生时是总公司相关业务部门超级用户管理人员检查离职人员系统账户是否禁用或删除IT信息系统总体管理应用系统运行维护管理系统用户及用户密码管理应用系统权限设置不符合工作职责的需求各部门需定期对所辖范围的用户进行检查，检查范围包括：系统权限、用户是否失效等。总公司信息技术部需定期对系统内用户进行审查。审查内容包括用户状态、操作记录。人工检查性定期是总公司信息技术部、相关业务部门相关业务部门负责人、信息技术部相关岗位检查业务部是否定期对系统用户状况进行检查、信息技术部是否定期审查IT信息系统总体管理应用系统运行维护管理系统用户及用户密码管理新增用户申请未经适当审批新增普通用户、新增一般查询账户申请由各部门超级用户管理人员进行开设，同时将申请单的复印件报总公司信息技术部备案。新增超级用户由部门负责人提出，总裁室主管副总裁审批，同意后开设，同时将申请单的复印件报总公司信息技术部备案。人工预防性不适用是总裁室、总公司相关业务部门总公司分管领导、相关业务部门负责人、超级用户管理人员检查新增用申请是否经过审批第二章网络建设与运行维护一、控制目标规范网络建设与运行维护流程，保证总公司及各分支机构网络的开通、高效、安全、稳定运行。二、流程介绍（一）业务范围包括申请审核、网络建设施工、故障定位、故障排除等内容。（二）机构范围涉及机构：总公司、省级分公司涉及部门：总公司信息技术部，省级分公司人事行政部，*财险信息技术部（三）流程描述1.选址建议总公司信息技术部网络管理岗在分支机构职场建设签报批复中建议至少保证该大楼具备两家主流运营商（中国电信、新联通、中国移动）的线路接入，或当地财险所使用的主流运营商。2.分支机构网络建设申请审核分支机构信息技术岗在骨干网协调管理项目平台提出网络建设需求，总公司网络管理岗对分支机构开通需求申请进行审核。3.递交集团公司、*财险审核总公司信息技术部网络管理岗在骨干网协调管理项目平台将省级分公司网络开通申请需求递交集团公司、*财险审核。4.分支机构网络建设施工总公司、集团公司、财险审核同意后，需求批复后一个月内由*财险进行开通施工，总公司、省级分公司配合施工。5.故障定位各级分支机构出现网络故障，省级分公司IT岗进行故障定位描述；同时报送当地财险、总公司信息技术部。6.当地财险排除故障总公司网络管理岗、省级分公司信息技术岗对故障确定为同城专线故障，则由当地财险进行解决。7.总公司、财险总部排除故障总公司网络管理岗、省级分公司信息技术岗对故障确定为总省骨干网故障，则由总公司、财险总公司进行故障排除。三、流程图四、主要风险控制点无五、控制制度无六、相关监管要求无七、控制矩阵无第三章信息安全管理第一节IT基础架构运行维护管理一、控制目标保障公司IT基础架构安全和持续平稳的运行，规范运行维护工作，有效规避操作风险。二、流程介绍（一）业务范围包括IT基础架构日常维护、IT基础架构评估、维护申请提出与审核审批、制定IT基础架构变更实施及测试计划，计划实施、后期维护及跟踪反馈等内容。（二）机构范围涉及机构：总公司涉及部门：总裁室、总公司信息技术部（三）流程描述1.IT基础架构日常维护IT基础架构运行维护内容包括机房运维、主机存储系统运维、网络系统运维、PC服务器运维、备份系统运维。IT基础架构运维人员每天上午9点需到机房进行IT基础架构物理巡检，并分别按照基础架构运维操作规程进行相应巡检工作，巡检后需认真填写运维日报形成记录，并每周提交周报，每月提交月报。2.IT基础架构评估数据管理岗需每半年对IT基础架构运维内容、操作规程进行评估工作，从而更好提高IT基础架构运维水平。3.提出申请总公司信息技术部任何岗位从OA系统中IT资源申请模块提出申请，填写“IT基础架构变更申请表”，并提交给申请处室负责人。4.申请处室审批申请处室负责人在OA系统中审批IT基础架构变更申请表，审批通过后，提交数据中心处室负责人。5.可行性论证申请处室审批通过后，数据中心组织相关技术团队，并在三个工作日内给予审批。从以下几方面进行可行性论证：（1）系统资源、网络资源、软硬件运行环境。（2）IT基础架构变更后对现有生产系统产生的影响，系统运行风险，生产安全运行方面的保证。（3）厂商技术支持度及可靠性。并交由数据管理岗进行实施；如发现此变更对业务系统有重大影响，须报给部门负责人审批。6.部门负责人审批总公司信息技术部负责人在2个工作日内依据可行性论证文档或实施方案对业务系统有重大影响的变更在OA进行审批，并交由数据管理岗实施。7.制定IT基础架构变更实施及测试计划，并实施测试计划数据管理岗在批复后一个工作日内依据可行性论证文档或实施方案制定IT基础架构变更实施及测试计划，并实施测试计划。8.IT基础架构变更的实施技术团队对测试结果进行确认后，根据时间安排制定具体实施方案，内容包括：实施方案，变更前后相关参数变化，应急方案、回退方案，注意事项等。根据指定的具体方案开展实施工作，并在三个工作日内完成。9.后期维护及跟踪反馈IT基础架构变更后1至3个月为试运行过渡期，数据管理岗应严密监控业务系统运行状况，针对变更后出现的问题，制定解决办法和应急方案。三、流程图四、主要风险控制点1.未进行恰当的基础架构规划2.未对IT基础架构进行运维管理3.未对IT基础架构定期评估4.未对IT基础架构的变更进行审批5.未对IT基础架构的变更进行可行性论证6.IT基础机构变更前未进行测试7.在IT基础架构变更后，未监控业务系统运行状况8.未对变更实施过程的相关文档进行归档9.未定期备份系统日志10.未明确日志查看权限和日志保留时效11.未经授权访问生产数据和信息12.未经授权新建和变更基础平台账号13.未及时禁用或删除离职或调职员工的基础平台账户14.未经授权变更基础平台权限设置15.未经授权使用超级账号16.账号授权不当17.变更对业务的影响未被最小化18.系统基础软件设施配置变更未进行测试19.未能及时升级操作系统或设置实时监控20.未部署防火墙21.因应用系统、主机、网络设备的安全漏洞而产生潜在风险22.未对省级分公司信息系统建设制定统一的要求五、控制制度《中国*股份有限公司省级分公司信息系统建设管理规定》《中国*股份有限公司信息安全总体策略》六、相关监管要求《计算机机房区管理暂行规定》七、控制矩阵一级流程编号流程名称风险点名称控制措施或方法控制属性是否涉及所属机构执行部门执行岗位测试程序一级流程二级流程三级流程人工或自动控制类型控制频率IT信息系统总体管理信息安全管理IT基础架构运行维护管理未进行恰当的基础架构规划总公司信息技术部按照公司的战略规划制定本年度基础架构规划，必要时进行专家论证，并将最终形成的架构规划通过OA签报的形式提交公司领导审批。人工预防性定期否总裁室、总公司信息技术部公司领导、信息技术部负责人查阅公司年度基础架构规划IT信息系统总体管理信息安全管理IT基础架构运行维护管理未对IT基础架构进行运维管理IT基础架构运行维护内容包括机房运维、主机存储系统运维、网络系统运维、PC服务器运维、备份系统运维。

IT基础架构运维人员每天上午9点需到机房进行IT基础架构物理巡检，并分别按照基础架构运维操作规程进行相应巡检工作，机房管理员在巡检完成后要记录设备运行情况、操作维护以及突发异常情况等有关资料，形成巡检日报，并每周提交周报，每月提交月报。异常情况需要纸质或邮件形式发送给信息技术部全体人员。人工预防性定期否总公司信息技术部机房管理员检查是否对IT基础架构进行物理巡检IT信息系统总体管理信息安全管理IT基础架构运行维护管理IT基础架构未定期评估信息技术部数据管理岗每半年对IT基础架构运维内容、操作规程进行评估工作，从而更好提高IT基础架构运维水平。人工预防性每半年一次否总公司信息技术部数据管理岗检查是否对IT基础架构进行定期评估IT信息系统总体管理信息安全管理IT基础架构运行维护管理未对IT基础架构的变更进行审批IT基础架构变更申请处室责任人在OA系统中审批IT基础架构变更申请表，审批通过后，提交数据中心处室负责人。人工预防性业务发生时否总公司信息技术部申请处室负责人查阅IT基础架构变更申请表，检查是否经过适当审批IT信息系统总体管理信息安全管理IT基础架构运行维护管理未对IT基础架构的变更进行可行性论证数据中心组织相关技术团队，并在三个工作日内给予审批。从以下几方面进行可行性论证：

1.系统资源、网络资源、软硬件运行环境。

2.IT基础架构变更后对现有生产系统产生的影响，系统运行风险，生产安全运行方面的保证。

3.厂商技术支持度及可靠性。

并交由数据管理岗进行实施；如发现此变更对业务系统有重大影响，须报给部门负责人审批。人工预防性业务发生时否总公司信息技术部数据中心处负责人查阅可行性论证文档，检查IT基础架构变更是否经过可行性论证IT信息系统总体管理信息安全管理IT基础架构运行维护管理未对IT基础架构的变更进行可行性论证信息技术部负责人在2个工作日内依据可行性论证文档或实施方案对业务系统有重大影响的变更在OA进行审批，并交由数据管理岗实施。人工预防性业务发生时否总公司信息技术部部门负责人查阅IT基础架构变更OA签报表，检查是否经过适当审批IT信息系统总体管理信息安全管理IT基础架构运行维护管理IT基础机构变更前未进行测试数据管理岗在批复后一个工作日内依据可行性论证文档或实施方案制定IT基础架构变更实施及测试计划，并实施测试计划。人工预防性业务发生时否总公司信息技术部数据管理岗检查IT基础机构变更前是否进行测试IT信息系统总体管理信息安全管理IT基础架构运行维护管理变更后监控不足IT基础架构变更后1至3个月为试运行过渡期，数据管理岗应严密监控系统运行状况，针对变更后出现的问题，制定解决办法和应急方案。人工人工业务发生时否总公司信息技术部数据管理岗检查在IT基础机构变更后是否对运行状况进行监控IT信息系统总体管理信息安全管理IT基础架构运行维护管理未对变更实施过程的相关文档进行归档IT基础变更实施方案、测试计划、具体实施方案、解决办法和应急方案在实施结束后由该基础架构管理员保存归档。人工人工业务发生时否总公司信息技术部数据管理岗查阅IT基础架构变更档案IT信息系统总体管理信息安全管理IT基础架构运行维护管理未定期备份系统日志各系统日志每天定时进行备份，每天由系统管理员负责巡检前一天的备份是否正常发起以及是否正常完成。如果出现异常，则尽快解决并重新发起备份，直至备份成功。人工-自动检查性每日一次否总公司信息技术部系统管理员查阅系统日志备份IT信息系统总体管理信息安全管理IT基础架构运行维护管理未明确日志查看权限和日志保留时效只有数据管理岗可以查看日志，其他人查看日志需要通过OA中IT资源申请流程提交申请，数据管理岗负责处理。在保留期内（一年）任何人不得删除日志。人工预防性业务发生时否总公司信息技术部数据管理岗检查非数据管理岗查看日志是否提交申请IT信息系统总体管理信息安全管理IT基础架构运行维护管理未经授权访问生产数据和信息用户查看生产数据，需向数据中心申请该系统的堡垒主机资源和权限，申请批准后由数据管理岗进行实施配置。人工预防性业务发生时否总公司信息技术部数据管理岗查看用户访问生产数据是否经过授权IT信息系统总体管理信息安全管理IT基础架构运行维护管理未经授权新建和变更基础平台账号1.基础平台帐号（包括操作系统，数据库，网络及其他平台软件所使用的帐号）的创建和变更（包括用户解锁和密码重置）需由软件处软件开发岗通过OA中IT资源模块提交申请到数据中心审批。

2.数据中心负责审批申请。

3、数据中心数据管理岗负责开通相关权限。人工预防性业务发生时否总公司信息技术部数据管理岗检查新建和变更基础平台账号是否经过授权IT信息系统总体管理信息安全管理IT基础架构运行维护管理未及时禁用或删除离职或调职员工的基础平台账户员工离职时，离职人员需要通过人力资源部领取工作移交清单，由信息技术部人员确认各系统帐号(非业务系统类)并关闭后签字确认。人工检查性业务发生时否总公司信息技术部数据管理岗查阅工作移交清单，检查信息技术部是否及时关闭离职员工系统账号IT信息系统总体管理信息安全管理IT基础架构运行维护管理未经授权变更基础平台权限设置各系统应用处室根据需要通过OA系统IT资源申请向数据中心提出权限设置变更需求，数据中心审核后，由数据管理岗负责实施。人工预防性业务发生时否总公司信息技术部数据管理岗检查基础平台权限设置变更是否经过授权IT信息系统总体管理信息安全管理IT基础架构运行维护管理未经授权使用超级账号用户根据需要使用系统管理员帐号，必须通过OA系统IT资源申请流程向数据中心申请对应的资源和权限，审核通过后由数据管理岗负责实施变更。人工预防性业务发生时否总公司信息技术部数据管理岗检查系统管理员账号申请是否经过审核IT信息系统总体管理信息安全管理IT基础架构运行维护管理账号授权不当1、根据职责和工作需求为不同的用户开通不同的权限。

2、根据岗位职责进行授权：账号的授权必须通过OA系统IT资源申请流程向数据中心申请对应的资源和权限，审核通过后由数据管理岗负责实施变更。人工预防性业务发生时否总公司信息技术部数据管理岗检查用户权限与其职责和工作需求是否匹配IT信息系统总体管理信息安全管理IT基础架构运行维护管理变更对业务的影响未被最小化对现有应用系统产生影响的变更，例如因实施变更而需要停机或者中止业务，均需在变更实施前提前通知有关人员做好业务调整，实施过程中应严格按照IT资源变更流程做好实施方案、应急预案，待实施完成后再次通告。人工预防性业务发生时否总公司信息技术部数据管理岗检查变更之前是否通知，是否编制实施、应急方案IT信息系统总体管理信息安全管理IT基础架构运行维护管理系统基础软件设施配置变更未进行测试各系统基础软件配置在变更前，需要在测试环境进行充分的测试，检验配置变更的稳定性；不具备测试环境测试条件的系统，则与业务部门进行充分沟通，在适当的时间如夜里、周末等时间进行变更测试操作。人工预防性业务发生时否总公司信息技术部数据管理岗检查系统基础软件配置变更后是否进行测试IT信息系统总体管理信息安全管理IT基础架构运行维护管理未能及时升级操作系统或设置实时监控数据中心第一时间获得第三方提供的版本升级信息，数据管理岗评估是否升级，领导审批通过后予以升级。人工预防性业务发生时否总公司信息技术部数据管理岗检查是否定期升级操作系统IT信息系统总体管理信息安全管理IT基础架构运行维护管理未部署防火墙核心交换机为Cisco6509A，6509B，承担全公司数据的存储转发，并通过两条光纤与财产险总公司核心路由器进行三层连接，通过BGP路由与全国各地健康险二级省级分公司及三级机构互相访问。核心路由器为2台Cisco7206，做为专线接入以及路由策略的部署端,连接来自丰汇总部和本地以及外联应用（银行，社保）专线。使用两台ciscoasa5520做为外网防火墙，连接10m公网专线.并划分DMZ区域提供部分外网服务器(例:webserver)的访问，承担外网安全访问任务。

交换机Cisco6509C，6509D连接两台核心业务系统主机P595，并通过FWSM防火墙模块，以Failover方式承担核心业务系统主机的NAT映射以及访问安全策略的部署工作。6509A，6509B连接两台CiscoPIX525防火墙，同样采用Failover方式连接两台承担核心业务系统查询任务的主机P590，并通过NAT映射做到安全访问。自动预防性不适用否总公司信息技术部信息安全管理岗检查是否部署防火墙IT信息系统总体管理信息安全管理IT基础架构运行维护管理因应用系统、主机、网络设备的安全漏洞而产生潜在风险第三方厂商提供专业服务，定期巡检，并且第一时间为数据中心发送最新安全漏洞的通知，并采取相应措施查找排除安全漏洞。人工检查性业务发生时否总公司信息技术部数据管理岗检查是否定期查找排除安全漏洞IT信息系统总体管理信息安全管理IT基础架构运行维护管理未对省级分公司信息系统建设制定统一的要求总公司制定《中国*股份有限公司省级分公司信息系统建设管理规定》，对省级分公司信息系统建设提出统一的要求，包括人员配置与管理，网络、布线等硬件系统建设，视频会议系统建设，软件系统建设等。由总公司信息技术部门负责解释并检查、监督执行情况。人工预防性不适用否总公司信息技术部部门负责人查阅省级分公司信息系统建设管理规定，检查是否对省级分公司信息系统建设提出统一的要求第二节计算机机房管理一、控制目标规范计算机机房管理流程，加强公司对计算机机房的管理，保证公司系统的正常稳定运行。二、流程介绍（一）业务范围包括各类人员进出机房管理、巡检机房设备、异常处理、填写机房日志、归档等内容。（二）机构范围涉及机构：总公司涉及部门：总公司信息技术部（三）流程描述1.机房管理员进出机房总公司信息技术部机房管理员随时填写进出登记表后都可以直接进出机房，登记表中填写进出时间，并签字。2.非机房管理员（公司员工）进入机房非机房管理员未经同意不得进入机房，确因工作需要进入机房的，应履行登记手续填写登记表（登记表中填写进出时间、并由非机房管理员和机房管理员签字），并由总公司信息技术部机房管理员陪同进入。并在规定时间结束时离开机房。3.外来人员（非公司员工）进入机房外来人员进入机房必须由机房管理员发送邮件提交总公司信息技术部领导批准。审批通过后在登记表中填写进出时间、并由外来人员和总公司信息技术部机房管理员签字确认，由总公司信息技术部机房管理员陪同进入，并在规定时间结束时离开机房。4.巡检机房设备总公司信息技术部机房管理员每天上午9点左右检查机房内的所有设备,机房环境是否有异常，填写巡检报告。5.异常处理总公司信息技术部机房管理员任何时候如发现计算机信息系统在运行过程中出现的异常现象，应立即向总公司信息技术部数据中心处负责人报告，并联系该系统归口负责人及时排查与解决，做“信息系统安全应急预案”的处理。6.填写机房日志总公司信息技术部机房管理员在巡检完成后要记录计算机运行情况、操作维护以及突发异常情况等有关资料，形成巡检报告。异常情况需要纸质或邮件形式发送给总公司信息技术部全体人员。7.归档总公司信息技术部机房管理员要将巡检报告等有关资料，在巡检完成后进行归档存放。三、流程图无四、主要风险控制点1.未对计算机机房进行定期维护2.未对重要系统和设备的操作进行监控3.机房的物理访问授权不明确4.机房设备未得到合适的监控和管理五、控制制度《中国*股份有限公司信息安全总体策略》六、相关监管要求《计算机机房区管理暂行规定》七、控制矩阵一级流程编号流程名称风险点名称控制措施或方法控制属性是否涉及所属机构执行部门执行岗位测试程序一级流程二级流程三级流程人工或自动控制类型控制频率IT信息系统总体管理信息安全管理计算机机房管理未对计算机机房进行定期维护建立完整的机房工作日志，记录计算机运行情况、操作维护以及突发异常情况等，机房管理员每天定期检查安全保障设备，确保其处于正常工作状态。人工检查性每天一次否总公司信息技术部机房管理员查阅机房工作日志，检查是否定期对机房进行维护IT信息系统总体管理信息安全管理计算机机房管理未对重要系统和设备的操作进行监控对计算机信息系统在运行过程中出现的异常现象，以及有关安全制度在执行过程中出现的问题，总公司信息技术部机房管理员直接向领导报告，对影响范围大、后果严重的问题同时向信息技术部负责人报告。硬件设备发生故障进行维修时，提供硬件设备故障分析报告。人工检查性业务发生时否总公司信息技术部机房管理员查阅硬件设备故障分析报告等措施，检查是否对重要系统和设备的操作进行监控IT信息系统总体管理信息安全管理计算机机房管理机房的物理访问授权不明确外来人员（非公司员工）进入机房必须由机房管理员发送邮件提交信息技术部领导批准。审批通过后在登记表中填写进出时间、并由外来人员和总公司信息技术部机房管理员签字确认，由机房管理员陪同进入，并在规定时间结束时离开机房。人工预防性业务发生时否总公司信息技术部机房管理员查阅机房登记表和申请邮件，检查外来人员进入机房是否经过适当审批，是否登记IT信息系统总体管理信息安全管理计算机机房管理机房的物理访问授权不明确非机房管理员（公司员工）未经同意不得进入机房，确因工作需要进入机房的，应履行登记手续填写登记表（登记表中填写进出时间、并由非机房管理员和机房管理员签字），并由总公司信息技术部机房管理员陪同进入。并在规定时间结束时离开机房。人工预防性业务发生时否总公司信息技术部机房管理员查阅机房登记表，检查非机房管理员进入机房是否登记IT信息系统总体管理信息安全管理计算机机房管理机房设备未得到合适的监控和管理总公司信息技术部机房管理人员使用设备管理软件或电子表格对机房内设备做好登记，记录现有设备的型号、配置、位置、状态等信息，以便跟踪设备变化。人工预防性业务发生时否总公司信息技术部机房管理员查阅机房设备记录信息第三节介质安全管理一、控制目标规范介质安全管理流程，保障公司信息安全。二、流程介绍（一）业务范围包括介质借阅或归还申请及审核、核对登记介质和借用表等内容。（二）机构范围涉及机构：总公司涉及部门：总公司信息技术部、介质使用部门（三）流程描述1.介质借阅或归还总公司员工通过邮件系统向数据管理岗提出借阅或归还介质的请求。2.填写介质借阅表或签字归还总公司员工需要使用时、需凭批准部门领导审核批准通过的邮件手续到数据管理岗登记，填写介质借用表，归还时也需在介质借用表上签字确认归还。3.审核审核介质申请单信息总公司信息技术部数据管理岗对介质申请单进行审核，如果批复同意则进行归档操作，如果批复不同意则返回进行填写介质借阅表或签字归还操作。4.归档介质申请单总公司信息技术部数据管理岗对介质申请单进行归档。5.核对登记介质和借用表总公司信息技术部保管人员应每月对登记介质和借用表核对，核对介质数量、借用信息及归还情况。三、流程图四、主要风险控制点1.介质未处于安全适宜的物理环境中2.备份介质不安全，备份数据的可用性受影响3.未经授权访问备份介质中的敏感数据4.未能保障介质中信息的保密性五、控制制度《中国*股份有限公司信息安全总体策略》六、相关监管要求《保险公司信息系统安全管理指引(试行)》七、控制矩阵一级流程编号流程名称风险点名称控制措施或方法控制属性是否涉及所属机构执行部门执行岗位测试程序一级流程二级流程三级流程人工或自动控制类型控制频率IT信息系统总体管理信息安全管理介质安全管理介质未处于安全适宜的物理环境中按国家标准《电子计算机机房设计规范》的要求存放介质。介质由专人统一管理,分类标记并作明确的标识，存放在介质保管柜后统一登记。人工预防性不适用否总公司信息技术部数据管理岗检查是否妥善保存介质IT信息系统总体管理信息安全管理介质安全管理备份介质不安全1.信息技术部每半年定期对备份数据进行恢复性测试工作，并记录保存测试结果。

2.长期保存的备份介质，必须按照制造厂商确定的存储寿命定期转储，磁盘、磁带、软盘的介质使用有效期规定为三年，三年后更换新介质进行备份；

3、备份介质必须指定专人存取，其他人员未经批准不准操作。人工检查性每半年一次否总公司信息技术部数据管理岗检查是否定期对备份数据进行恢复性测试IT信息系统总体管理信息安全管理介质安全管理未经授权访问备份介质中的敏感数据个人需要使用时需凭批准手续到介质管理员处登记，填写介质借用表，归还时也需在介质借用表上签字确认归还。保管人员应每月对登记介质和借用表核对。人工预防性业务发生时否总公司信息技术部数据管理岗检查备份介质访问是否授权，是否填写介质使用表IT信息系统总体管理信息安全管理介质安全管理未能保障介质中信息的保密性对存储介质的购置、分发、使用、维修、废弃、销毁等各个环节、都应认真重视，做好防泄密工作。重要的资料至少应有两种存储介质的数据存储设备。工作人员工作时使用的光盘、磁带、硬盘、U盘等存储介质，不得随意给外人使用，不得带出办公场所。对已损坏的光盘、磁带、硬盘、U盘等存储介质，不得随意丢弃，应交专人统一处理。人工预防性业务发生时否总公司信息技术部数据管理岗检查损坏的介质是否由专人处理第四节数据安全管理一、控制目标规范数据安全管理流程，保证公司数据信息的安全。二、流程介绍（一）业务范围包括编辑数据质量简报、审核数据质量简报、修改数据质量简报、提交数据质量简报、发布数据质量简报。（二）机构范围涉及机构：总公司涉及部门：总公司信息技术部、办公室（三）流程描述1.数据备份至介质总公司信息技术部数据管理岗每天将业务数据，必须定期、完整、真实、准确地转储到不可更改的介质上（目前以磁带为主）。2.介质转移备份数据的磁带由总公司信息技术部数据管理岗负责保管，分数据中心机房和公司总部职场两地存放。数据管理岗每周一、四定期将数据备份磁带交由总公司办公室专人送至总部职场，由总部职场的IT人员将备份磁带保存到到指定地点。3.介质保管总公司信息技术部数据管理岗将备份好的介质妥善保管（总部）。4.介质登记与核对总公司信息技术部数据管理岗须对备份数据磁带的内容和查询等进行登记记录，每半年对备份数据磁带的目录清单进行盘点。5.备份介质销毁备份介质销毁须经总公司信息技术部负责人审核批准，由数据管理员进行操作，并做好完整记录。销毁前必须清除介质中的敏感数据备份，再在负责人的监控下进行彻底的物理销毁，对保密性较高的存储介质未经批准不得自行销毁。6.备份数据恢复及演练总公司信息技术部数据管理岗每半年定期对备份数据进行恢复性测试工作，并记录保存测试结果。在进行恢复性测试前，数据管理岗详细制定恢复性测试方案并在测试机上进行备份数据恢复工作，根据测试结果及时修改或更新灾难恢复计划。7.数据保密公司制定数据保密的具体要求，严格规范工作流程和员工行为，确保数据安全。三、流程图四、主要风险控制点1.数据安全的管理不规范2.数据安全管理部门和岗位职责不明确3.未定期进行备份，备份中出现的异常未得到妥善处理4.未对备份恢复做出正确处理，备份数据的可用性受影响5.备份数据的销毁未经适当的授权和处理6.未制定公司统计信息报送管理规定7.信息技术部统计信息的执行不到位五、控制制度《中国*股份有限公司统计信息报送管理规定(修订)》《中国*股份有限公司数据安全管理规定（修订）》六、相关监管要求《保险公司信息系统安全管理指引(试行)》七、控制矩阵一级流程编号流程名称风险点名称控制措施或方法控制属性是否涉及所属机构执行部门执行岗位测试程序一级流程二级流程三级流程人工或自动控制类型控制频率IT信息系统总体管理信息安全管理数据安全管理数据安全的管理不规范总公司制定《中国*股份有限公司数据安全管理规定（修订）》，对工作机构和岗位、备份的范围、备份的方法、备份的频率、备份的要求、备份数据的保存方法、备份销毁、备份数据恢复及演练、防病毒、数据保密都做了明确的规定。人工预防性不适用否总公司信息技术部部门负责人、数据管理岗检查是否制定数据安全管理规定IT信息系统总体管理信息安全管理数据安全管理数据安全管理部门和岗位职责不明确总公司信息技术部是公司数据安全的的管理部门，负责数据安全工作的制度制订、方案设计、定期检查等。信息技术部数据中心处是数据安全工作的具体技术实施处室。

公司数据安全的重点、敏感岗位为数据中心处系统管理岗、网络管理岗和软件处软件开发岗，以上岗位的员工需不定期接受安全保密教育、安全技能培训，以及安全审计。人工预防性不适用否总公司信息技术部部门负责人、数据中心负责人、数据管理岗检查是否明确数据安全管理部门和岗位职责IT信息系统总体管理信息安全管理数据安全管理未定期进行备份，备份中出现的异常未得到妥善处理1.备份操作人员每天早上进行系统巡检，将备份操作情况记录在巡检工作清单中，对失败的备份操作需进行及时跟进和汇报；

2.备份操作人员每天早上将巡检操作清单通过邮件发送数据中心全体，数据中心相关检查人员须定期检查巡检工作清单，确保备份工作的完整性和备份操作的异常问题得到适当处理。人工-自动检查性业务发生时否总公司信息技术部数据管理岗检查是否按照公司规定定期进行备份，是否对备份异常情况进行处理IT信息系统总体管理信息安全管理数据安全管理未对备份恢复做出正确处理1.恢复备份数据前备份管理员填写数据恢复申请表，由需求部门以及备份管理部门相关负责人审批后方可进行备份恢复操作；

2.安全负责人每半年审阅备份恢复的审批文档及备份恢复工作的系统日志，确保备份恢复工作的合规性。人工检查性每半年一次否总公司信息技术部、相关需求部门需求部门负责人、信息技术部安全负责人、数据管理岗检查备份恢复是否经过审批IT信息系统总体管理信息安全管理数据安全管理备份数据的销毁未经适当的授权和处理备份介质销毁须经相关负责人审核批准，并做好完整记录。销毁前必须清除介质中的敏感数据备份，再在负责人的监控下进行彻底的物理销毁，对保密性较高的存储介质未经批准不得自行销毁。人工预防性业务发生时否总公司信息技术部相关负责人、数据管理岗检查备份数据的销毁是否经适当的授权和处理IT信息系统总体管理信息安全管理数据安全管理未制定公司统计信息报送管理规定总公司制定《中国*股份有限公司统计信息报送管理规定(修订)》，规范经总公司信息技术部统一对外报送的信息，包括统计信息报送工作的组织、统计信息报送内容、计信息报送时间、统计信息的提供流程、统计信息报送工作的责任等。人工预防性不适用否总公司信息技术部部门负责人、统计报送岗检查是否制定公司统计信息报送管理规定IT信息系统总体管理信息安全管理数据安全管理信息技术部统计信息的执行不到位总公司信息技术部对内部报送单位提供的数据，按要求汇总，制作表格，撰写报告，并报公司分管领导审批，审批通过后，正式向保监会（保监局）、统计局、*集团报送监管数据或分析报告。报送流程中如有需要，负责相应报送内容的部门相关负责人也需要在报送情况审核登记表中签字确认。

总公司信息技术部在审核内部报送单位提供的数据与报送流程时，如发现数据错误与流程不规范的情况，可以要求内部报送单位重新报送。

在统计信息报送的审核过程中，如遇审批人因公外出等特殊情况，审批人应当授权他人完成审批流程，以避免影响报送实效。人工预防性不适用否总裁室、总公司信息技术部分管领导、信息技术部负责人、统计报送岗检查是否按照信息报送管理规定对外报送信息第五节员工信息安全管理一、控制目标规范员工信息安全管理流程，保障员工在招聘、上岗、离职等过程中的信息安全管理，降低人员信息安全风险，提高信息安全管理水平。二、流程介绍（一）业务范围包括员工入职、在职、离职信息安全管理，员工信息安全教育与培训信息安全管理、防病毒信息安全管理等内容。（二）机构范围涉及机构：总公司涉及部门：总公司信息技术部（三）流程描述1.员工入职信息安全管理新员工签定的劳动合同或其它协议中应明确员工的信息安全责任，并应包括与信息安全相关的保密条款，并根据需要决定是否对应聘人员的相关背景进行严格审查，如有需要，合同中应明确该责任在结束合同关系一段特定的时间内仍然有效。2.员工在职信息安全管理员工的信息安全教育、培训、认识、行为、岗位分离过程中应完成的安全管理目标和相应措施。3.员工离职信息安全管理员工离职（包括岗位变动、解除劳动关系等）依据《中国*股份有限公司员工信息安全管理规定》中相关规定审查信息安全的相关内容，包括工作资料、信息资产和各类计算机设备的交回、取消其在原岗位的系统权限等处理（省级分公司员工离职，由省级分公司信息技术岗和人力上报人员名单，由总公司相关人员处理）。4.员工信息安全教育与培训信息安全管理信息安全教育和培训应贯穿员工在工作的全过程，包括：新员工入司教育与培训、岗前教育与培训和在岗教育与培训。对员工的信息安全教育与培训应保存相关记录。5.防病毒信息安全管理员工应依据《中国*股份有限公司员工信息安全管理规定》中相关规定进行防病毒工作，公司员工应自觉进行防病毒软件的升级和定期扫描检测，不允许自行删除、停用公司统一安装的防病毒程序，或终止升级病毒库等。公司员工将移动存储设备或笔记本连接到公司电脑，必须事先进行病毒检测；不允许利用办公电脑设备访问、下载与工作无关的网页或程序；公司员工在发现自身电脑设备感染病毒之后，应立即拔出网线，断开与网络的连接，并及时联系IT人员进行检查修复。三、流程图无四、主要风险控制点无五、控制制度无六、相关监管要求无七、控制矩阵一级流程编号流程名称风险点名称控制措施或方法控制属性是否涉及所属机构执行部门执行岗位测试程序一级流程二级流程三级流程人工或自动控制类型控制频率IT信息系统总体管理信息安全管理员工信息安全管理工作人员对其信息安全职责缺乏充分的理解和执行能力总公司制定《中国*股份有限公司员工信息安全管理规定》，对员工在招聘、上岗、离职等过程中应采取的信息安全管理措施进行了明确说明。人工预防性不适用否总公司信息技术部部门负责人、相关岗位检查是否在公司规定中明确信息安全管理措施IT信息系统总体管理信息安全管理员工信息安全管理工作人员对其信息安全职责缺乏充分的理解和执行能力总公司建立信息安全教育和培训制度，将信息安全教育和培训贯穿员工工作的全过程，包括：新员工入司教育与培训、岗前教育与培训和在岗教育与培训。对员工的信息安全教育与培训应保存相关记录。人工预防性不适用否总公司信息技术部设备管理岗检查在公司培训中是否添加信息安全教育的内容IT信息系统总体管理信息安全管理员工信息安全管理密码复杂度不够，出现暴力破解总公司规定系统用户严格按照以下要求设置用户密码：(一)用户密码长度至少为8位；

(二)密码中必须含有数字和字符；

(三)密码不是用户的姓名、生日和电话号码及其他容易猜测的字符组合；

(四)不要将密码随意记录在各种媒介上；

(五)不要将密码保存在计算机上；

(六)最多六个月必须更改一次密码；

(七)不允许使用以前使用过的密码；

(八)输入密码时应确认没有人偷窥；

(九)禁止在没有确认对方身份和权限时透露密码。

系统中内置了密码校验规则，如密码设置时不为8位，将提醒用户；密码要求3个月更换一次，到期了登陆时告知超期需要修改密码，直接跳转到密码修改页面，不修改密码无法登陆系统；密码必须包含数字和字母，如不满足，则强制要求其必须满足。人工预防性不适用否总公司信息技术部、相关业务部门业务管理岗检查对于不满足设置要求的密码，系统是否提醒第六节信息系统安全应急预案一、控制目标规范信息系统安全应急预案管理流程，确保公司信息系统的实体安全、运行安全和数据安全，最大限度减轻信息系统安全突发事件的危害，保障公司业务正常开展。二、流程介绍（一）业务范围包括上报系统紧急情况或故障、突发事件定级及故障分类级别调整、I,II,III和IV级应急运行、故障排除通知发布、应急保障演练等内容。（二）机构范围涉及机构：总公司、各级分支机构涉及部门：总公司信息技术部、各分支机构相关部门（三）流程描述1.上报系统紧急情况或故障公司员工在发现信息系统紧急情况或故障发生后，应立即通过邮件或电话方式上报总公司信息技术部针对该系统分派的归口管理人员。2.突发事件定级总公司信息技术部归口管理人员在初步了解故障现象后，要及时协调相关方面技术人员、分支机构指定联系人、事故上报人，在短时间内（一般要在半小时以内）依据故障情形和预计修复时间进行初判，确定故障分类级别，判定突发事件分为I级（特别重大）、II级（重大）、III级（较大）、IV级（一般），并根据分级向对应的人汇报。3.故障分类级别调整根据不同的故障分类级别，采取相应措施进行信息系统应急处理。故障处理过程中，必要时应急办工作领导小组可根据需要及时调整故障级别。4.I（特别重大）应急运行I（特别重大）：应急工作领导小组常务副组长应立即向组长汇报情况，应急工作领导小组组长马上组织应急办各工作组召开会议，商议并部署相关工作（解决方案和上报流程），随时对事态发展情况进行监控了解。总公司应及时通过OA向中国保监会办公厅报告，事件发生分支机构应当及时向所在地保监会派出机构报告。5.II（重大）应急运行II（重大）：应急工作领导小组常务副组长应立即向组长汇报情况，并按照信息安全管理岗制定的解决方案组织部署相关工作，将事态发展情况随时向应急工作领导小组组长汇报。6.III(较大)和IV(一般)应急运行III(较大)：相关处室负责人应立即按照信息安全管理岗制定的解决方案组织部署相关工作，将事态发展情况随时向应急工作领导小组常务副组长汇报。IV(一般)：系统归口管理人员应立即按照信息安全管理岗制定的解决方案开展故障恢复工作，将事态发展情况随时向处室负责人汇报。7.故障排除通知发布总公司信息技术部信息安全管理岗和应急工作小组成员进行事件故障排除后的一序列操作检查，并对故障排除进行确认和通过OA或者邮件发布通知。8.应急保障，演练总公司信息技术部信息安全管理岗在突发事件发生后或演练结束后，根据实际情况实时调整应急预案，定期开展信息系统安全应急负责人和工作人员的培训，确保相关人员熟悉应预案。三、流程图四、主要风险控制点1.未及时妥当处理信息安全事件2.未及时调整或演练应急预案五、控制制度《中国*股份有限公司信息系统安全应急预案》六、相关监管要求《中华人民共和国计算机信息系统安全保护条例》《计算机病毒防治管理办法》《保险业信息系统灾难恢复管理指引》《保险业重大突发事件应急处理规定》《中国*信息化工作管理规定》七、控制矩阵一级流程编号流程名称风险点名称控制措施或方法控制属性是否涉及所属机构执行部门执行岗位测试程序一级流程二级流程三级流程人工或自动控制类型控制频率IT信息系统总体管理信息安全管理信息系统安全应急预案未及时妥当处理信息安全事件总公司信息技术部归口管理人员在初步了解故障现象后，要及时协调相关方面技术人员、分支机构指定联系人、事故上报人，在短时间内（一般要在半小时以内）依据故障情形和预计修复时间进行初判，确定故障分类级别，判定突发事件分为I级（特别重大）、II级（重大）、III级（较大）、IV级（一般），并根据分级向对应的人汇报。根据不同的故障分类级别，采取相应措施进行信息系统应急处理。故障处理过程中，必要时应急办工作领导小组根据需要及时调整故障级别。信息安全管理岗和应急工作小组成员进行事件故障排除后的一序列操作检查，并对故障排除进行确认和通过OA或者邮件发布通知。人工检查性业务发生时否应急工作领导小组、总公司信息技术部应急工作领导小组成员、信息技术部归口管理人员检查是否按照公司规定及时妥当处理信息安全事件IT信息系统总体管理信息安全管理信息系统安全应急预案未及时调整应急预案总公司信息技术部信息安全管理岗在突发事件发生后或演练结束后，根据实际情况实时调整应急预案，定期开展信息系统安全应急负责人和工作人员的培训，确保相关人员熟悉应预案。人工检查性业务发生时否总公司信息技术部信息安全管理岗检查是否及时调整应急预案第七节移动办公设备借用归还一、控制目标规范公司移动办公设备借用归还流程，保证移动办公设备从借用到归还的顺利实施。二、流程介绍（一）业务范围包括设备借用的批准与使用、涉密信息的删除、设备的归还与备入库等内容。（二）机构范围涉及机构：总公司涉及部门：总公司信息技术部（三）流程描述1.设备借用的批准总公司设备借用人按工作需要随时向设备管理岗提出借用设备的申请（口头或纸质申请）。2.设备的领取总公司信息技术部设备管理岗根据设备借用需求现场核对设备，并要求设备申请人填写设备借用申请表，填写预计归还时间、借用理由，并由设备借用人签字确认后领取设备。3.设备使用设备借用人对设备的正常使用，不得私自安装或卸载电脑上的软件，不得对电脑进行私自的重新安装及格式化。需在归还日期之前归还设备。4.删除涉密信息归还借用设备时，设备借用人应确认删除了设备上的涉密信息，否则引起的泄密责任由使用者自行承担。5.设备的归还总公司信息技术部设备管理岗人员现场核对设备的型号、数量、是否损坏、是否删除涉密信息；如果设备型号、数量或者出现人为的损坏，需要申请人核查或者赔偿；对于未删除涉密信息的设备，由设备管理岗人员负责删除。设备检查无误后，设备管理岗填写入设备归还登记表，确认设备归还。6.设备入库总公司信息技术部设备管理岗按要求进行设备入库。三、流程图四、主要风险控制点1.未登记移动办公设备借用情况2.未对归还的移动办公设备进行核查五、控制制度《中国*股份有限公司应用系统需求及运行维护管理规定》六、相关监管要求无七、控制矩阵一级流程编号流程名称风险点名称控制措施或方法控制属性是否涉及所属机构执行部门执行岗位测试程序一级流程二级流程三级流程人工或自动控制类型控制频率IT信息系统总体管理信息安全管理移动办公设备借用归还未登记移动办公设备借用情况总公司设备管理岗根据设备借用需求现场核对设备，并要求设备申请人填写设备借用申请表，填写预计归还时间、借用理由，并由设备借用人签字确认。设备借用人领取设备。人工预防性业务发生时否总公司信息技术部设备管理岗检查是否登记移动办公设备借用情况IT信息系统总体管理信息安全管理移动办公设备借用归还未对归还的移动办公设备进行核查总公司设备管理岗人员现场核对设备的型号、数量、是否损坏、是否删除涉密信息；如果设备型号、数量或者出现人为的损坏，需要申请人核查或者赔偿；对于未删除涉密信息的设备，由设备管理岗人员负责删除。设备检查无误后，设备管理岗填写入设备归还登记表，确认设备归还。人工检查性业务发生时否总公司信息技术部设备管理岗检查是否登记移动办公设备归还登记表第八节VPN账户管理一、控制目标规范公司移动办公系统的使用方法，保障公司核心数据及内部网络的安全。二流程介绍（一）业务范围包括申请的提出与审批、VPN账号的建立等内容。（二）机构范围涉及机构：总公司、省级分公司、地市级机构涉及部门：总公司信息技术部、相关业务部门，各分支机构相关业务部门（三）流程描述1.提出申请申请人填写《VPN帐号申请表》并通过邮件系统发送申请邮件给审批人(总公司为部门负责人，分支机构为分支机构负责人)审批。2.审批申请审批人在收到申请邮件后一个工作日内进行审批，通过后回复邮件给申请人。3.提交申请收到审批人的回复邮件后，提交给vpn_apply@。4.建立VPN账号总公司信息技术部网络管理岗收到申请邮件后一个工作日内通过移动办公系统建立VPN帐号及密码，指定可访问的网络资源，测试成功后通知用户。三、流程图四、主要风险控制点1.未经授权接入和访问网络2.未及时禁用或删除VPN账号五、控制制度《中国*股份有限公司信息安全总体策略》六、相关监管要求无七、控制矩阵一级流程编号流程名称风险点名称控制措施或方法控制属性是否涉及所属机构执行部门执行岗位测试程序一级流程二级流程三级流程人工或自动控制类型控制频率IT信息系统总体管理信息安全管理VPN账户管理未经授权接入和访问网络申请人填写《VPN帐号申请表》并通过邮件系统发送申请邮件给审批人(总公司为部门负责人，分支机构为分支机构负责人)审批，审批通过后，以邮件的形式通知申请人。人工预防性业务发生时是总公司及各级分支机构相关业务部门总公司部门负责人/分支机构负责人检查VPN账号申请是否经过审批IT信息系统总体管理信息安全管理VPN账户管理未及时禁用或删除VPN账号（一）根据用户“VPN帐号申请表”中的使用期限，信息技术部将到期的帐户禁用或删除。

（二）若申请VPN帐号的用户无法确定使用期限，当该人调离、退休或以其它方式不在其当前岗位工作等情况，相关部门须及时告知信息技术部，由信息技术部相关人员将其帐号禁用或删除。

（三）总公司信息技术部应重视VPN帐号的管理，每3个月对所有帐号进行核对，检查用户名是否已过申请期限、密码是否已3个月没有修改等相关信息。人工检查性不适用否总公司信息技术部网络管理岗检查是否按照公司规定及时禁用或删除VPN账号第九节移动办公设备领用退库一、控制目标规范设备领用退库的审核确认流程，保证设备得到合理使用，设备的保管权责明晰。二、流程介绍（一）业务范围包括设备领用的批准及使用、设备退库与入库等内容。（二）机构范围涉及机构：总公司涉及部门：总公司信息技术部（三）流程描述1.设备领用的批准总公司设备领用人随时根据相关要求，工作需要提出设备领用的申请（口头、纸质、邮件、OA等），交由部门领导审批。新入司（包括新入职和借调等）人员设备领用，由总公司人力资源部给设备管理岗直接发送通知，不需要领用人部门领导审批。2.设备的领用总公司信息技术部设备管理岗根据领导的审批意见，现场核对设备，在实物资产管理系统中填写设备领用表，并由设备领用人签字确认设备领出。3.设备使用设备领用人对设备的正常使用，不得私自安装或卸载电脑上的软件，不得对电脑进行私自的重新安装及格式化。4.设备退库总公司信息技术部设备管理岗现场核对设备（数量、型号、是否损坏）；如果出现损坏需要领用人赔偿。确认无误后，设备管理岗填写设备退库单。5.入库总公司信息技术部设备管理岗对设备数据格式化，重装系统，将设备入库。三、流程图四、主要风险控制点1.移动办公设备领用未经合理授权2.未登记设备领用情况3.未对退库的设备进行核查五、控制制度《中国*股份有限公司信息安全总体策略》六、相关监管要求无七、控制矩阵一级流程编号流程名称风险点名称控制措施或方法控制属性是否涉及所属机构执行部门执行岗位测试程序一级流程二级流程三级流程人工或自动控制类型控制频率IT信息系统总体管理信息安全管理移动办公设备领用退库移动办公设备领用未经合理授权设备领用人根据相关要求，工作需要提出设备领用的申请（口头、纸质、邮件、OA等），交由部门负责人审批。新入司（包括新入职和借调等）人员设备领用，由总公司人力资源部给设备管理岗直接发送通知，不需要领用人部门负责人审批。总公司设备管理岗确认申请并办理设备领用手续。人工预防性业务发生时否总公司信息技术部设备管理岗检查非新入司人员设备领用是否经授权IT信息系统总体管理信息安全管理移动办公设备领用退库未登记设备领用情况总公司设备管理岗根据领导的审批意见，现场核对设备，在实物资产管理系统中填写设备领用表，并由设备领用人签字确认设备领出。人工检查性业务发生时否总公司信息技术部设备管理岗检查是否登记设备领用情况IT信息系统总体管理信息安全管理移动办公设备领用退库未对退库的设备进行核查总公司设备管理岗现场核对设备（数量、型号、是否损坏）；如果出现损坏需要领用人赔偿。确认无误后，设备管理岗填写设备退库单。人工检查性业务发生时否总公司信息技术部设备管理岗检查是否填写设备退库单第四章数据质量管理一、控制目标规范数据质量管理流程，加强数据质量建设，切实提高数据质量。二、流程介绍（一）业务范围包括数据质量简报的编辑、审核、修改、发布等内容。（二）机构范围涉及机构：总公司涉及部门：总公司信息技术部（三）流程描述1.编辑数据质量简报总公司信息技术部数据质量管理岗每季度从总公司OA抽取各个省级分公司数据维护申请单，统计申请单的数量，对各省级分公司数据质量情况进行分析点评形成数据质量简报（纸质形式）并提交给总公司信息技术部负责人审核。2.审核数据质量简报总公司信息技术部负责人每季度审核数据质量简报，并提出修改意见，反馈给数据质量管理岗。3.修改数据质量简报总公司信息技术部数据质量管理岗每季度根据总公司信息技术部负责人提出的修改意见，对简报进行修订，并再次提交给部门领导审核。4.提交数据质量简报总公司信息技术部数据质量管理岗每季度将修改完善并通过部门领导审核的数据质量简报通过邮件提交给信息技术部综合岗。5.发布数据质量简报总公司信息技术部综合岗每季度在OA平台上发布数据质量报告，生成OA通知。三、流程图四、主要风险控制点无五、控制制度无六、相关监管要求无七、控制矩阵无第五章项目管理第一节立项一、控制目标规范立项管理流程，保证立项审批科学，所立项目切实符合公司发展实际。二、流程介绍（一）业务范围包括立项申请与审批等内容。（二）机构范围涉及机构：总公司、省级分公司涉及部门：总裁室、总公司信息技术部、相关项目申请部门，省级分公司相关项目申请部门（三）流程描述1.提交项目申请总公司或省级分公司相关项目申请部门，通过OA提交项目申请至总公司信息技术部。2.撰写签报总公司信息技术部相关岗位根据相关部门提交的项目申请，通过OA提交签报本部门处室负责人及部门负责人审核通过后报公司领导审批。3.公司领导审批公司领导通过OA对项目签报进行审批，审批通过，则立项成功；审批不通过，返回信息技术部处理。三、流程图四、主要风险控制点无五、控制制度无六、相关监管要求无七、控制矩阵无第二节需求一、控制目标规范需求管理流程，保证需求从申请到确认的各个环节顺利进行。二、流程介绍（一）业务范围包括业务需求申请的提出及审批、需求分析及确认等内容。（二）机构范围涉及机构：总公司涉及部门：总公司信息技术部、业务归口部门（三）流程描述1.业务需求申请总公司业务归口部门协调人通过电话或邮件系统接收省级分公司或总公司相关业务部门提交的对应日常运维的新需求或者需求变更的申请，形成沟通确认的需求申请单。2.通过需求申请平台正式提交需求申请总公司业务归口部门协调人将沟通确认的需求申请单通过OA需求管理平台提交。3.需求申请业务审批总公司业务归口部门处室、部门负责人通过OA需求管理平台审批提交上来的需求申请，审批通过则提交总公司信息技术部归口负责人进行IT评估；如审批不通过，则返回“通过需求申请平台正式提交需求申请”。4.信息技术部初审总公司信息技术部归口负责人于5个工作日内通过OA需求管理平台对需求申请单进行评估，评估通过则生成IT评估完成的正式需求申请单，并提交给信息技术部门负责人审批。5.信息技术部负责人审批总公司信息技术部负责人于1到3个工作日内通过OA需求管理平台对IT初审完成的需求申请单进行审核，审批通过，提交给IT需求分析岗；审批不通过，则返回“通过需求申请平台正式提交需求申请”。6.需求分析总公司信息技术部归口负责人通过redmine将需求申请单提交给外包开发团队，外包团队于5个工作日内，根据IT负责人审批完成的OA需求管理系统正式需求申请单，进行需求分析，并通过redmine给信息技术部归口负责人反馈需求规格说明书，需求规格说明书从业务流程、操作要求、组织权限、业务规则、查询统计功能角度描述用户需求。7.需求分析确认总公司需求归口部门协调人对需求规格说明书进行确认，并通过OA需求管理平台给信息技术部归口负责人反馈需求分析确认结果。三、流程图四、主要风险控制点1.对需求分析工作未进行有效的规划2.需求申请未经适当审批3.需求申请未经评估4.需求分析结果与业务需求不符合五、控制制度《中国*股份有限公司应用系统需求及运行维护管理规定》六、相关监管要求无七、控制矩阵一级流程编号流程名称风险点名称控制措施或方法控制属性是否涉及所属机构执行部门执行岗位测试程序一级流程二级流程三级流程人工或自动控制类型控制频率IT信息系统总体管理项目管理需求对需求分析工作未进行有效的规划对公司重大研发项目必须编制需求分析计划，该计划经项目经理审批通过后才能开展需求分析工作。人工预防性业务发生时否总公司信息技术部项目经理检查需求分析计划是否经过审批IT信息系统总体管理项目管理需求需求申请未经适当审批总公司业务归口部门处室、部门负责人通过OA需求管理平台，审批提交上来的需求申请，审批通过则提交信息技术部归口负责人进行IT评估；如审批不通过，则返回“通过需求申请平台正式提交需求申请”。人工预防性业务发生时否总公司业务归口部门部门负责人、处室负责人检查需求申请是否经过审批IT信息系统总体管理项目管理需求需求申请未经评估总公司信息技术部归口负责人于5个工作日内通过OA需求管理平台对需求申请单进行评估，评估通过则生成IT评估完成的正式需求申请单，并提交给信息技术部门负责人审批。人工预防性业务发生时否总公司信息技术部归口负责人检查需求申请是否经过评估IT信息系统总体管理项目管理需求需求申请未经适当审批总公司信息技术部负责人于1到3个工作日内通过OA需求管理平台对IT初审完成的需求申请单进行审核，审批通过，提交给IT需求分析岗；审批不通过，则返回“通过需求申请平台正式提交需求申请”。人工预防性业务发生时否总公司信息技术部部门负责人检查需求申请是否经过审批IT信息系统总体管理项目管理需求需求分析结果与业务需求不符合总公司业务归口部门协调人对需求规格说明书进行确认，并通过OA需求管理平台给信息技术部归口负责人反馈需求分析确认结果。人工检查性业务发生时否总公司业务归口部门协调人检查需求归口部门是否对需求分析结果进行确认第三节开发一、控制目标规范开发管理流程，保证需求从申请到确认的各个环节顺利进行。二、流程介绍（一）业务范围包括系统设计、开发计划制定及调整、完成开发等内容。（二）机构范围涉及机构：总公司涉及部门：总公司信息技术部、业务归口部门（三）流程描述1.系统设计外包团队制定应用系统设计说明书，通过redmine反馈给信息技术部归口负责人审核，新建系统还需要总公司信息技术部归口负责人通过邮件或者OA需求管理平台提交给项目负责人审批。每个系统应有一份最完整、最新版的系统架构设计说明书，并保留每个历史版本。2.开发计划制订（1）外包团队制定开发计划，通过redmine发送给系统对应模块的负责人，系统模块负责人与业务部门沟通确认开发计划是否符合上线的要求；新系统开发，系统模块负责人还需要将开发计划通过邮件发送给项目负责人审批。（2）外包开发团队发送周报、季报、年报给软件处，汇报项目进度。3.计划调整外包团队变更开发计划，通过redmine发送给系统对应模块的负责人，系统模块负责人与业务部门沟通确认开发计划是否符合上线的要求；新系统开发，系统模块负责人还需要将开发计划通过邮件发送给项目负责人审批。4.开发完成外包团队根据开发计划，完成开发工作。三、流程图四、主要风险控制点1.未对数据库访问权限进行控制2.未对应用系统架构进行规划、分析、评审3.未对应用系统架构调整进行评审4.未制定系统开发与变更、实施管理等相关的制度5.软件开发或重大变更计划制定未经适当审批五、控制制度《中国*股份有限公司应用系统需求及运行维护管理规定》六、相关监管要求无七、控制矩阵一级流程编号流程名称风险点名称控制措施或方法控制属性是否涉及所属机构执行部门执行岗位测试程序一级流程二级流程三级流程人工或自动控制类型控制频率IT信息系统总体管理项目管理开发未对数据库访问权限进行控制1、各个分支机构只能看到自己的业务数据，各机构间数据不共享；

2、数据库的访问权限控制：外包团队根据不同的需求给团队中及其软件处人员分配不同的权限，一般只具备查询权限。人工预防性不适用是总公司信息技术部归口负责人检查是否依照公司规定对数据库访问权限进行控制IT信息系统总体管理项目管理开发未对应用系统架构进行规划、分析、评审外包团队制定应用系统设计说明书，通过redmine反馈给信息技术部归口负责人审核，新建系统还需要信息技术部归口负责人通过邮件或者OA需求管理平台提交给项目负责人审批。每个系统应有一份最完整、最新版的系统架构设计说明书，并保留每个历史版本。人工预防性业务发生时否总公司信息技术部归口负责人检查应用系统设计说明书是否经过审批IT信息系统总体管理项目管理开发未对应用系统架构调整进行评审应按评审通过后的架构设计实施，系统开发过程中如需调整系统架构设计的，需重新提交项目负责人评审。人工预防性业务发生时否总公司信息技术部项目负责人检查是否对应用系统架构调整进行评审IT信息系统总体管理项目管理开发未制定系统开发与变更、实施管理等相关的制度总公司制定《中国*股份有限公司应用系统需求及运行维护管理规定》，对开发及其实施管理流程作了明确的规定。人工预防性不适用否总公司信息技术部部门负责人查阅应用系统需求及运行维护管理规定IT信息系统总体管理项目管理开发软件开发或重大变更计划制定未经适当审批外包团队制定开发计划，通过redmine发送给系统对应模块的负责人，系统模块负责人与业务部门沟通确认开发计划是否符合上线的要求；新系统开发，系统模块负责人还需要将开发计划通过邮件发送给项目负责人审批。外包开发团队发送周报、季报、年报给软件处，汇报项目进度。人工预防性业务发生时否总公司信息技术部模块负责人检查开发计划是否经过审批，是否定期收集查阅外包提交的周报、季报、年报第四节测试一、控制目标规范测试管理流程，保证需求测试的各个环节顺利进行。二、流程介绍（一）业务