金融機構系統運行管理制度

1. 系統運行管理

為了確保社會保障信息系統的安全運行，應成立系統運行管理部門。對系統運行進行統一的組織、協調和實施。管理部門的職能包括計算機及其外部設備的維護、社會保障網路平台的安全、社會保障各應用系統的版本控制、各項管理制度的實施等。

圖6-12 系統運行管理部門職能圖

6.4.5.1 網路平台管理

（1）信息中心管理制度建議。省市各地的為「大社保」所建的信息中心（虛擬機構，目前不存在）是社會保障信息系統的各種網路設備、伺服器設備的集中地點，系統的關鍵設備都安放在信息中心內，對其管理的好壞，直接影響著整個系統的運行。為了保證整個系統高效的運行，需要建立信息中心管理制度。

圖6-13 管理制度的詳細分類圖

針對社會保障信息系統提出以下建議，建議用戶在建立信息中心管理制度時在具體制度中包括以下幾個方面。

規定每個管理人員的職責。在社會保障信息系統中，採用許多設備，並同時運行多個系統，需要的管理維護人員不止一人，因此，對於系統的各個管理人員，應明確每個人的具體職責，除非經過指定的領導批准，禁止管理人員在工作中做超越本人工作職責的工作。

建立管理日誌。如同計算機系統的管理日誌一樣，在對計算機中心機房進行管理的過程中，由於需要根據系統運行的情況和需求，對系統的有關參數、軟體設置等進行修改。為便於管理，需要建立相應的管理日誌，在日誌中需要每個計算機中心機房管理人員登記進出計算機機房的時間、工作內容、對系統操作的修改以及工作中遇到的異常情況、設備故障情況、處理結果等進行記錄，留案備查。

機房設備檢查制度。建立中心機房設備檢查制度。定期對計算機中心機房的各種硬體設備、供電情況、專線設備情況、軟體運行情況、空調、房屋情況進行檢查，並對檢查情況進行記錄，及時發現和排除影響系統運行的各種隱患。

中心機房資料管理。在計算機中心機房中，會存放一些系統運行、維護以及相關設備的資料、軟體、光碟等，應指定專門的管理人員，建立中心機房資料管理檔案，對其進行管理。

加強中心機房衛生環境管理。制定管理制度，定期、定人對中心機房衛生環境進行清理，保證系統設備及系統的正常運行。

限制人員的進入。計算機中心是社會保障信息系統的關鍵部位，為了加強管理，對進出計算機中心的人員要加以限制，與計算機中心工作無關的人員，應設定相應的制度限制其進入，對違反規定的人員，按照規定進行處罰。

（2）計算機中心安全管理制度建議。面對網路安全的脆弱性，除在網路設計上增加安全服務功能，完善系統的安全保密措施外，還必須花大力氣加強網路的安全管理。因此諸多不安全因素恰恰反映在組織管理和人員錄用等方面，而這又是計算機網路安全所必須考慮的基本問題，所以應引起領導的重視。

安全管理原則。信息處理系統的安全管理主要基於三個原則：①多人負責原則，每項與安全有關的活動都必須有兩人或多人在場，這些人應是系統主管領導指派的，應忠誠可靠，能勝任此項工作；②任期有限原則，一般地講，任何人最好不要長期擔任與安全有關的職務，以免誤認為這個職務是專有的或永久性的；③職責分離原則，除非系統主管領導批准，在信息處理系統工作的人員不要打聽、了解或參與職責以外、與安全有關的任何事情。

安全管理的實現。信息系統的安全管理部門應根據管理原則和該系統處理數據的保密性，制訂相應的管理制度或採用相應規范，具體工作是：①確定該系統的安全等級；②根據確定的安全等級，確定安全管理的范圍；③制訂相應的中心機房管理制度。對安全等級要求較高的系統，要實行分區控制，限制工作人員出入與己無關的區域；④制訂嚴格的操作規程，操作規程要根據職責分離和多人負責的原則，各負其責，不能超越自己的管轄范圍；⑤制訂完備的系統維護制度，當內部人員對設備維護時，要首先經主管部門批准，並有安全管理人員在場，故障原因、維護內容和維護前後的情況要詳細記錄，維護完畢口令需及時更換；⑥制訂應急措施，要制訂在緊急情況下，系統如何盡快恢復的應急措施，使損失減至最小；⑦建立人員僱用和解聘制度，對工作調動和離職人員要及時調整相應的授權。

6.4.5.2 培訓計劃

人員培訓作為社會保障信息系統工程實施的一個重要環節，對整個項目至關重要。為了確保社會保障信息系統在使用中穩定、高效率的工作，應在對系統技術特點、客戶人員狀況以及項目實施計劃進行具體分析的基礎上，針對網路的管理、維護、應用以及日常故障的處理，提供了一系列行之有效的培訓實施方案。並針對工程的特點設計專用教材，結合具有教學經驗的教員進行培訓。還應按照此方案對社會保障信息系統工作人員提供全面、系統、專業及高質量的培訓。

培訓力求使社會保障信息系統中更多的用戶接受到一系列系統的培訓並掌握應有的網路工作技能後再進行工作，以確保網路的安全、穩定、高效運行。

圖6-14 項目培訓流程圖

在社會保障信息系統工程中，提供的培訓分為項目預培訓和項目過程培訓。

（1）工程理論培訓。工程理論培訓是在整個項目設備安裝實施前進行的專業技術培訓，採取集中培訓的方式進行。這種培訓是承建方為社會保障信息系統用戶安排的教室培訓。課程主要講述相關系統的基本原理、設備的安裝配置及網路的安全維護等方面的技術。此培訓的特點為：學員能在良好的計算機環境下模擬實際網路狀況參加培訓，邊上機邊授課。此培訓正規、封閉、上機環境良好、學員上課專心。培訓完成後，客戶可以掌握計算機網路相關設備的基本操作，並可以通過模擬教學實現對實際網路一般故障的維護。從而，保障系統安全、高效的運行。

培訓內容分為系統管理員培訓和操作人員培訓。培訓課程包括伺服器及操作系統培訓，客戶機操作系統培訓，雙機集群系統管理，網路設備培訓，網路管理系統培訓，網路安全技術培訓，資料庫管理系統培訓，應用軟體維護培訓，應用軟體操作培訓。承建方應為客戶方提供教師來完成培訓任務，培訓教師均具有三年以上的教學經驗。培訓地點由承建方和客戶方共同商議確定。

（2）工程現場培訓。承建方在與客戶方簽訂合同後，在進行設備安裝調試時進行現場培訓。由安裝調試工程師擔任培訓教師在安裝現場負責完成培訓任務。工程現場培訓的主要內容包括以下方面：

資料庫伺服器雙機群集系統設備的安裝和測試，設備參數的配置和調試，設備的日常使用和維護；資料庫系統的安裝，配置、調試；應用伺服器設備的安裝和測試，設備參數的配置和調試，設備的日常使用和維護；伺服器操作系統的安裝、調試、配置；呼叫自動應答系統設備的安裝和測試，設備參數的配置和調試，設備的日常使用和維護；路由器設備的安裝和測試，設備參數的配置、設置、調試，設備的日常使用和維護；撥號訪問伺服器的安裝和測試，設備參數的配置、設置、調試，設備的日常使用和維護；網路交換機設備的安裝和測試，設備參數的配置和調試，設備的日常使用和維護；防火牆系統的安裝和測試，設備參數的配置和調試，設備的日常使用和維護；個人計算機的安裝和測試，網路參數的配置和調試，設備的日常使用和維護；列印機的安裝和測試，網路參數的配置和調試，設備的日常使用和維護；掃描儀的安裝和測試，設備的日常使用和維護方法；數碼相機的使用；IC卡讀寫設備的使用、安裝以及維護方法、使用中的注意事項；UPS設備的安裝和測試，設備參數的配置和調試，設備的日常使用和維護；社會保障信息管理系統各應用軟體子系統的安裝和配置，日常使用和維護；網路系統集成、調試、維護和管理；網路中日常故障的排除；網路綜合問題答疑等。

2. 系統運行管理制度的主要內容

1．運行管理制度
(1)各類機房安全運行管理制度
(2)信息系統相關的其他管理制度
2．日常運行管理內容
(1)系統運行情況的記錄
(2)審計蹤跡
(3)審查應急措施的落實
(4)系統資源的管理
3．系統軟體及文檔管理
(1)系統軟體的管理除日常維護以外，還包括版本更新和升級等
(2)信息系統文檔的管理

3. 簡述系統運行管理制度的主要內容

為保證計算機管理信息系統的正常運行，必須建立一整套運行管理制度，這套管理制度主要應當包括：
1.系統操作員操作制度
系統操作員主要職責是負責中心機房的管理、系統數據的備份/恢復、共享數據的管理等，在系統操作運行中起到主要的作用。

2.子系統操作員操作制度
子系統操作員負責子系統的管理與操作，該制度應規定各子系統終端室(或工作站) 的工作環境要求、正常工作職責及處理細則。系統操作員、子系統操作員應每日填寫工作日誌。

3.計算機機房管理制度
如規定保證機房安全和清潔，使計算機能正常運行的各種措施；規定上機操作規程，以及意外事故發生的處理辦法等。

4.文檔管理制度
規定文檔管理人員的職責、文檔保存、借閱、修改的管理細則。
5.應用軟體維護制度

4. 銀行業金融機構信息系統風險管理指引的第五章　運行維護風險控制

第四十三條 運行維護風險是指信息系統在運行與維護過程中操作管理、變更管理、機房管理和事件管理等環節產生的風險。
第四十四條 銀行業金融機構信息系統運行與維護應實行職責分離，運行人員應實行專職，不得由其他人員兼任。運行人員應按操作規程巡檢和操作。維護人員應按授權和維護規程要求對生產狀態的軟硬體、數據進行維護，除應急外，其他維護應在非工作時間進行。
第四十五條 銀行業金融機構信息系統的運行應符合以下要求：
（一）制定詳細的運行值班操作表，包括規定巡檢時間，操作范圍、內容、辦法、命令以及負責人員等信息；
（二）提供常見和簡便的操作菜單或命令，如信息系統的啟動或停止、運行日誌的查詢等；
（三）提供機房環境、設備使用、網路運行、系統運行等監控信息；
（四）記錄運行值班過程中所有現象、操作過程等信息。
第四十六條 銀行業金融機構信息系統的維護應符合以下要求：
（一）除對信息系統設備和系統環境的維護外，對軟體或數據的維護必須通過特定的應用程序進行，添加、刪除和修改數據應通過櫃員終端，不得對資料庫進行直接操作；
（二）具備各種詳細的日誌信息，包括交易日誌和審計日誌等，以便維護和審計；
（三）提供維護的統計和報表列印功能。
第四十七條 銀行業金融機構信息系統的變更應符合以下要求：
（一）制訂嚴密的變更處理流程，明確變更控制中各崗位的職責，並遵循流程實施控制和管理；變更前應明確應急和回退方案，無授權不得進行變更操作；
（二）根據變更需求、變更方案、變更內容核實清單等相關文檔審核變更的正確性、安全性和合法性；
（三）應採用軟體工具精確判斷變更的真實位置和內容，形成變更內容核實清單，實現真實、有效、全面的檢驗；
（四）軟體版本變更後應保留初始版本和所有歷史版本，保留所有歷史的變更內容核實清單。
第四十八條 銀行業金融機構在信息系統投產後一定時期內，應組織對系統的後評價，並根據評價及時對系統功能進行調整和優化。
第四十九條 銀行業金融機構應對機房環境設施實行日常巡檢，明確信息系統及機房環境設施出現故障時的應急處理流程和預案，有實時交易服務的數據中心應實行24小時值班。
第五十條 銀行業金融機構應實行事件報告制度，發生信息系統造成重大經濟、聲譽損失和重大影響事件，應即時上報並處理，必要時啟動應急處理預案。