决定第29/2008/QĐ-NHNN号关于银行业信息技术设备系统的维护

决定

制定关于银行业信息技术设备维护的规定

_________________________

修改、补充有关提供外币服务和使用外币以执行简化行政程序方案的若干法律法规，自2025年12月31日起生效。

中国人民银行行长

根据1997年《组织法》和2004年《修改和补充若干条款的组织法》；

根据2025年2月25日国务院令第35/2025/NĐ-CP关于农业农村部职能、任务、权限和组织结构的规定； 2008年8月26日第96/2008/NĐ-CP号法令 关于国家银行的职能、任务、权限和组织结构；

按照国家银行科技信息局局长的建议，

决定：

本通知附带制定地质基础调查、矿产地质调查和矿产勘查钻探工程经济和技术定额。 本决定附带制定关于银行业信息技术设备维护的规定。

条 2. 本决定自发布之日起十五日后生效。

条 3. 办公室主任，国家银行科技信息局局长；各直属单位负责人；各省、市分行行长；各金融机构理事会主席、总经理（或经理）负责执行本决定。

规定

关于银行业信息技术设备维护

（根据2008年10月13日第29/2008/QĐ-NHNN号决定）

第一章

总则

第一条 调整范围和适用对象

本规定对银行业信息技术设备维护的技术标准、程序、手续以及确保安全和保密的措施作出规定。

本规定适用于国家银行系统及应用信息技术进行银行业务活动的各种金融机构。

贷款金额

1. 本规定中的银行业信息技术设备系统 包括硬件设备、网络系统、计算机软件和数据库，用于支持一项或多项银行业技术业务活动。

维护是指在使用过程中对信息技术设备系统进行保养和维修，以保持其工作能力，延长使用寿命，并及时发现和防止单个设备、设备组或整个系统的故障和安全隐患。

3. 远程维护 是指通过银行计算机网络远程实施信息技术设备和软件的维护工作的方式。

4. 突发维护 是指及时修复或阻止影响银行运营的技术故障的工作。

5. 定期维护 是指为确保系统持续良好运行而按计划进行的工作。

6. 自行维护 是指由银行技术人员自行实施的维护工作。

7. 保修 是指在设备或软件保修期内，因制造商责任导致的故障或技术问题的修复工作。

8. 脚本 是指预先确定的要求、程序、情况、数据和结果集合，用于信息技术设备、软件、数据库的测试、安装、保修和维护过程。

9. 外包服务 是指通过与提供维护服务的机构签订合同来实施维护工作。

10. 维护记录簿 是指银行建立的记录每次维护工作的日记。每次维护后需要记录的基本信息包括：时间、地点、执行人员、已完成和未完成的工作内容以及任何建议或意见（如有）。

11. 维护单 是指用于跟踪维修、更换、更改、附加安装硬件设备和网络设备的过程的独立表格，从安装到不再使用期间一直保留。表格上包含基本的时间、执行人员和设备更改、附加安装的相关信息。

12. 员工 管理 是指被分配管理信息系统、检查和监督维护、修理和更换零部件及设备、验收维护后的结果并投入使用任务的人。

条3. 基本原则在维护计算机设备中

1. 维护工作可以现场进行或远程操作。

2. 不得中断银行正常运行。

3. 组织实施必须科学合理，按照经有权机关批准的计划或已签订的合同执行。对每种设备的维护必须确保遵守制造商或供应商规定的条件、技术标准和要求。

4. 有效防止设备故障风险，在维护过程中不得使银行设备、软件和数据库感染病毒。

5. 确保系统安全，保护银行数据机密，防止在维护过程中非法窃取或利用数据。

6. 维护要求、时间、实施措施应从安装计算机设备系统时起以书面形式具体化，并在使用过程中定期补充。

条4. 硬件设备（以下简称硬件）包括：

1. 系统设备：各种服务器、存储柜（Storage）、磁带库（Tape Library）、不间断电源系统（UPS 5KVA及以上，发电机）。

2. 专用设备：个人电脑（PC）、笔记本电脑（Notebook）、终端站（Terminal）、激光打印机、针式打印机、扫描仪、不间断电源系统（UPS 5KVA以下，稳压器）、自动取款机（ATM）、各类读卡器。

条5. 网络系统包括：

1. 网络和通信设备：路由器（Router、Switch）、调制解调器（Modem）、传输优化设备、主干线路（光纤、租用线路），IP电话处理中心（IP Call Processing）及其他通信设备。

2. 安全保障设备：防火墙（Firewall）、入侵检测设备、数据加密或解密设备（Encryptor/Decryptor）、识别设备和其他具有安全保障功能的设备。

3. 网络节点（网络插口）、网线及其它配件。

条6. 银行的计算机软件和数据库（以下简称软件和数据库）包括：

1. 银行业务软件、管理运营软件、专业网站。

2. 系统软件、防病毒软件、“间谍”软件、网络管理软件、通信网络软件、安全保密软件、中间件（Midleware、Firmware）。

3. 数据库包括数据和数据库管理系统。

条7. 参与计算机设备维护的组织和个人的条件

1. 参与维护工作的个人包括管理人员和维护人员，必须具备良好的道德品质、能力、信息技术知识和专业技能；以及所要求维护领域的专业知识。

2. 提供维护服务的组织是从事信息技术、电信领域活动的专业公司，具有法人资格并合法经营。拥有足够数量和专业水平的维护人员，能够根据银行要求的维护计划和内容完成维护工作。

3. 根据实际情况，银行可以提出其他符合维护工作的附加条件，如人员标准、维修工具、专用软件检查发现故障和验收结果的要求。

第二章

具体规定

条 8. 计算机设备维护的基本内容

1. 硬件和网络系统维护的基本内容：

a) 检查设备运行状态；检查设备配置，检测传输速度并进行工业清洁。

b) 发现、建议并修复或更换损坏或超出使用期限的设备。

2. 软件和数据库维护的基本内容：

a) 升级软件：包括及时修复程序缺陷（打补丁），满足业务更新需求，替换过时算法或技术。

b) 调整软件：包括根据用户要求和设备状况调整软件组件。

c) 系统软件（操作系统）维护：检查系统运行状态（性能）、磁盘空间。删除中间数据文件，清理过期的日志文件。

d) 检测并清除计算机病毒、恶意代码、木马，并按照供应商的标准进行维护。

条 9. 计算机设备维护的时间安排

1. 使用计算机设备的人员每天、每周应负责保管和清洁设备外部，防止灰尘污染，并在发现设备、软件或数据库异常时及时报告。

2. 定期，银行必须检查设备的技术状态，及时发现可能发生的故障；优化数据表参数，清理旧数据和多余数据。

3. 银行至少每六个月进行一次维护。处于保修期内的设备仍需定期维护。

条 10. 计算机设备维护的实施流程

维护流程包括以下基本步骤：

1. 技术会议，讨论机器、设备、软件和数据库的运行情况，制定详细实施计划。

2. 对含有安全码（密码）的软件、数据库、机器和设备，管理人员须用临时安全码替换；备份重要配置和数据以防维护期间丢失数据。

3. 维护人员执行维护工作。在维护期间，维护人员必须使用临时安全码。

4. 完成维护后，各方组织运行测试，验收每种设备、单独软件及整个系统的运行状态；检查工业卫生标准，重新检查维护记录。

5. 管理人员组织检查和监督维护工作，恢复安全码到初始状态，并确保设备处于可立即使用的状态。

条 11. 计算机设备维护的组织实施

（a）符合党的方针政策和国家法律法规；

根据每个信息技术系统的的重要性和技术难度；根据组织模式和现场技术人员的能力，银行可以选择自行维护、外包服务以及定期维护、应急维护、现场维护、远程维护等，以确保符合本规定第3条的原则。

2. 组织实施中的分级

a) 第一级管理单位：是中央银行的信息技术管理部门或商业银行总部的专业信息技术部门。这些单位的主要职责如下：

- 全系统计算机设备维护管理工作，具体分配任务给下级管理单位，并组织全系统检查和监督。

- 实施大型或重要信息系统、统一软件和数据库、各类服务器系统、广域网系统、备份系统和安全保密系统的维护工作；维护办公场所专用计算机设备。

- 编制年度经费预算并按制度结算费用。

b) 第二级管理单位：是受第一级单位信息技术指导的分行或其他相应机构。这些单位的主要职责如下：

- 执行第一级管理单位分配的任务，维护办公场所专用计算机设备。

- 编制所分配工作的年度经费预算并按制度结算费用。

条12. 安全、保密在维护信息技术设备中

1. 组织按照已批准的剧本进行监督和验收结果。不得让不具备专业能力的人执行维护工作，或者在进行维护时没有必要的维修工具。

2. 对于含有安全密钥的软件、数据库、机器和设备，在维护期间必须使用临时的安全密钥，并在维护完成后立即更改。

3. 必须有备用方案以确保机器、设备、零件和备件能够顺利、快速地完成维护工作。应采取措施防止在执行维护工作时出现风险。

4. 在升级、更换工作开始前，必须对零件和备件进行技术检查。对于仍可利用的数据密钥设备，在进行修复或更换之前必须进行数据存储并彻底删除所有数据。每次修复、更换或升级设备的设计和配置变更必须详细记录。

5. 远程维护只能在银行网络已经配备包括传输加密设备、防火墙设备和计算机病毒防护设备在内的安全工具后才能进行。

第三章

管理维护工作

1. 本通知自2018年3月29日起生效。

1. 银行必须制定书面维护计划并组织实施。每年必须编制维护经费预算并准备其他资源以支持维护工作。

2. 安排具备能力的人员负责管理、监督整个维护过程以及维护后的验收工作。

3. 创造有利条件使维护工作按计划顺利、高效且安全地开展。

条14. 组织和个人管理维护工作的责任

1. 按照本规定第二章的规定和计划在银行内执行维护工作。

2. 组织检查和监督，确保维护工作和维护后的验收结果。

3. 管理维护日志、维护单据并编写关于维护工作的报告。

条15. 执行维护工作的组织和个人的责任

1. 必须按照经有权机关批准的剧本进行维护。任何可能影响银行运营的技术故障必须立即向有权处理的人员报告，以便及时采取措施解决。

2. 技术故障解决后，必须将损坏的设备、替换的零件和当前设备的技术状况移交给银行负责管理的人员。因主观原因导致设备损坏的，必须承担赔偿责任。完成工作后，必须在维护日志和维护单据上进行记录。

3. 严格遵守进出机构的规定和银行资产保密、安全的规定。

第四章 实施细则

实施条款

条16. 违规处理

违反本规定的任何行为，根据违规程度，将依法受到行政处罚、物质损失赔偿或刑事责任追究。

条17. 执行责任

1. 银行信息技术局局长负责指导并与国家银行监察长、总审计司司长、会计财务司司长合作检查本规定的执行情况。

2. 国家银行各机构负责人；省、市直属中央政府的国家银行分行行长；信贷组织理事会主席、总经理（行长）负责在其单位内组织落实和检查本规定的执行情况。