信息系统及网络安全工作布置

高度重视敏感信息防泄漏工作，持续加大宣传、管理力度，帮助员工巩固树立“工作需要外发邮件使用专用邮箱，内容审核，一事一审批”的观念，规范外发邮件行为。

二十大信息系统及网络安全工作布置

• 工作目标：保障党的二十大期间全行信息系统安全稳定运行、网络与信息安全
  • 全面排查风险
  • 及时发现预警
  • 快速有效处置
  • 确保万无一失
• 工作要求
  • 提高政治站位，加强组织动员
    • 成立组织
      • 杨行长为组长，分行各部门为成员
      • 各二级行按要求成立组织进行相关工作
    • 落实责任
      • 各部门和二级行一把手亲自明确责任、落实责任
      • 各部门和二级行一把手定期听取汇报、协调解决问题
    • 一把手责任制
      • 分行各部门即二级分行“一把手”走位辖内生产运行及网络安全的第一责任人
      • 第一责任人签署《责任书》 22日下班前报送金科
  • 全开展自查检查，彻底整改不留隐患
    • 金科部
      • 内容
        • 按照总行相关文件执行
      • 时间要求
        • 7月27日：完成所有检查工作
        • 8月1日：向总行反馈隐患和问题情况
          • 对发现的隐患核问题，建立清单闭环管理机制，并彻底整改
        • 8约20日：完成问题清零
          • 无法彻底整改部分：制定风险补偿方案；落实保障方案。
    • 分行各部及各二级行
      • 内容
        • 根据金科部梳理的《安全生产运行标准检查项》组织所辖进行排查和整改
      • 时间要求
        • 7月27日：完成所有检查工作
          • 对发现的隐患核问题，建立清单闭环管理机制，并彻底整改
        • 8约20日：完成问题清零
          • 客观无法彻底整改部分：制定风险应对方案。
    • 排查中的重点关注事项
      • 落实互联网资产、影子IT排查和整改
        • 原则
          • 两个《通知》
          • 谁的业务谁负责、谁引入谁负责、谁合作谁负责
          • 未备案的关闭、能迁移建行云的迁移建行云、不能迁移的清除建行标识
        • 重点强调
          • 未向总行业务部门备案并经过审批的情况下，严禁私自在互联网上自建系统对外提供服务
          • 合作供应商在测试系统、演示系统严禁使用我行logo和标识信息
          • 我行出资供第三方单位使用的业务延伸类项目严禁使用建行logo和标识信息
          • 关停不再使用的互联网应用、不合规的微信公众号，演练期间关闭不重要的互联网应用
          • 我行应用在跳转第三方应用前，应使用弹窗、提示页面等方式，明示有关免责信息，涉及数据传输的，应全面告知用户用过我行传递给第三方的数据信息。
      • 各单位自建、自购、延伸性项目及第三方合作单位风险排查和整改工作
        • 原则
          • 谁采购、谁负责
        • 重点事项
          • 合作供应商的测试系统、演示系统、业务延伸类项目项目是否使用我行logo和标志信息。
          • 我行在跳转第三方应用前明示有关免责信息
          • 合作供应商是否在互联网上外泄我行源代码、客户敏感信息和技术敏感信息
          • 各部门和二级行自建、自购的信息资产
            • 渠运部
              • 网点stm
              • atm
              • 货币兑换机
              • 子主题
              • 门楣
              • 电视
              • 广告牌前置机
            • 网金部
              • 电子银行体验机
            • 等等..
          • 部门和二级行采购的延伸性项目与分行特色平台连接的系统等，进行安全评估、系统升级、漏洞补丁、应用加固、关停无关功能。
          • 各部门和二级行还需加强智能设备的管理和安全防护，加强第三方合作单位的风险排查
        • 第三方互联系统
          • 各责任单位根据排查要求与第三方合作单位沟通对接
          • 按照要求排查双方系统的合规、数据出境、网络安全、运行监控、应急管理、数据安全等问题
          • 沟通整改
          • 留存合作机构提供的相关证明材料
      • 关注容易引发生产和声誉风险的排查
        • 关键基础设备
          • 检查省分行机房、各二级行设备的环境及电力供给保障等基础设施是否完备有效
        • 备品备件
          • 检查核心设备备品、备件和供应商应急保障机制是否健全有效
        • 数据信息安全
          • 排查全行员工、供应商、外包公司涉及的数据与信息安全是否有效控制
        • 对外展示设备
          • 检查对外站设备的信息播放安全，确保设备升级到位、漏洞修复到位，播放内容合法合规
        • 外来人员
          • 严禁外来人员接触我行系统、设备和网络，避免外部人员通过我行内部网络实施攻击
  • 提升全员安全风险遗失和风险防范能力
    • 安全情况通报
      • 高度重视敏感信息防泄漏工作，持续加大宣传、管理力度，帮助员工巩固树立“工作需要外发邮件使用专用邮箱，内容审核，一事一审批”的观念，规范外发邮件行为
      • 8月起，金融科技部将把“外发邮件敏感信息被拦截情况”纳入全面风险管理评价体系中，对各单位进行考核
      • 各单位应转知所辖用户，从8月份开始，金融科技部将依据总行返还的云南行被拦截明细数据，对违规外发用户进行评估，被评估为高风险等级的用户，进入黑名单，并将被禁用国产化邮箱。
      • 被禁用户，需填写“被禁用邮箱恢复开通申请”由各二级行领导或部门 负责人审批签字后，报省分行邮件管理员才能恢复开通使用
    • 组织员工安全意识教育
      • 请各部门会后组织员工学习传达相关要求，进行覆 盖全员的安全意识教育，避免因员工安全意识不足导致被渗透攻击。
      • 会后金科部将下发安全培训课件到各单位，将在7 月下旬组织条线培训，请各部门和二级行做好转培训工作。
    • 开展员工设备安全调查
      • 组织员工进行本人管理设备的安全检查
        • 确保终端安全客户端和病毒库版本更新到最新
        • 确保所使用的账号密码不存在弱口令
      • 根据通报要求安装系统补丁、修复漏洞、升级安 全客户端、查杀病毒木马
    • 特别强调
      • 严禁将源代码、客户敏感信息、内部文档等放到互联网上
      • 严禁将建行内部资料存放到非建行设备上
      • 严防钓鱼邮件等社工风险，不点击来历不明邮件、不安装来历不明软件、发现钓鱼邮件要上报、不接待身份不明人员接触我行 网络系统、不和陌生人在微信、QQ等社交软件上交流工作信息
      • 严禁连接过互联网的电脑连接内网
      • 在护网前删除可以连接互联网所有设备上的存放的行内文件和敏感信息
  • 加强运行保障，切实做好应急处置准备
    • 加强值班与变更管理
      • 金科
        • 略
      • 各部门&二级行
        • 妥善安排领导带班、员工值班
        • 督促相关运营商和技术支持公司做好重保 期间的服务支持
        • 调整项目投产变更计划，避免安排在重保期内
    • 做好应急处置准备工作
      • 金科
        • 略
      • 各部门&二级行
        • 各二级行组织开展信息技术应急演练，提升应急处置能力。
        • 各二级行在接通知后组织网点做好应急网 络切换的准备工作，切实通过演练提升网点IT应急处置能力
    • 强化落实检测报告机制
      • 各部门&二级行
        • 各部门和各二级分行要加强对应用系统运行情况的实时监测，发现问题及时报告金融科技部
          • 24小时值班电话：0871—63060563、63060564、63960565
          • 运行管理邮箱：[e-mail]
        • 如遇产生重大影响的信息系统故障，导致总行或监管部门问询、按规定需要向总行或监管部门报告的， 各部门和各二级行需向省分行金融科技部报告，经省分行应急决策组审议同意后，才能向总行和监管部门报告。
        • 重保期间，各部门和二级行要做好舆情监测和处置工作，一旦出现负面舆情，要及时向舆情管理部门报告，配合做好处置工作，同时要严密控制对外影响，协同业务主管部门做好客户服务和解释工作
• 工作落实情况报告
  • 7月28日：报送排查问题情况
  • 8月25日：报送《党的二十大重保检查和整改情况及工作准备落实情况报告》