《金融網(wǎng)絡(luò)安全 信息科技外包評價指標(biāo)數(shù)據(jù)元》解讀

來源：    發(fā)布日期：2022.10.14   點(diǎn)擊量：

前言
2022年8月29日，央行發(fā)布《金融網(wǎng)絡(luò)安全 信息科技外包評價指標(biāo)數(shù)據(jù)元》（JR/T 0254-2022）金融行業(yè)標(biāo)準(zhǔn)（下文簡稱“標(biāo)準(zhǔn)”）。數(shù)據(jù)元即由一組屬性規(guī)定其定義、標(biāo)識、表示和允許值的數(shù)據(jù)單元。

01背景及概述
隨著現(xiàn)代商業(yè)銀行業(yè)務(wù)的發(fā)展，軟件與金融業(yè)務(wù)的聯(lián)系越來越緊密。在當(dāng)前互聯(lián)網(wǎng)金融高速發(fā)展的浪潮中，傳統(tǒng)商業(yè)銀行所面臨的挑戰(zhàn)是多方面的，軟件研發(fā)已成為金融機(jī)構(gòu)業(yè)務(wù)發(fā)展與創(chuàng)新的重要手段，成為提高金融行業(yè)核心競爭力的重要因素。中小銀行為了適應(yīng)迅速增長的業(yè)務(wù)需求，縮短產(chǎn)品研發(fā)周期，實(shí)現(xiàn)快速發(fā)展、彎道超車，能夠與大行同臺競技，在加強(qiáng)自身信息科技隊(duì)伍建設(shè)的同時，需要擴(kuò)充IT外包來推動業(yè)務(wù)轉(zhuǎn)型發(fā)展。

但由于外包管理體系尚未完善，對外包服務(wù)缺乏統(tǒng)一的評價標(biāo)準(zhǔn)，持續(xù)增長的外包規(guī)模給外包資源的有效使用和管理帶來很大挑戰(zhàn)。主要表現(xiàn)為：
?一是外包管理效率較低。外包項(xiàng)目和外包人員的規(guī)模在不斷增長，而管理維度不斷拓展、監(jiān)管要求不斷提高，外包人員管理耗時費(fèi)力，管理難度增大。
?二是IT外包管理體系不健全。隨著外包人員規(guī)模持續(xù)增長，外包人員入場離場的頻率也隨之增加，人員流動大、工作量確認(rèn)難度增加，但對于外包人員的管控手段卻是薄弱的，由此造成IT項(xiàng)目延期、服務(wù)水平下降等問題。
?三是金融機(jī)構(gòu)由于外包引發(fā)的信息系統(tǒng)中斷、敏感信息泄露等問題較多，外包風(fēng)險作為金融機(jī)構(gòu)信息科技風(fēng)險的重要組成部分，必須認(rèn)真對待。

標(biāo)準(zhǔn)結(jié)合金融行業(yè)信息科技外包服務(wù)特點(diǎn)，從基本情況、協(xié)議履行、服務(wù)質(zhì)量、安全保障等方面提出信息科技外包服務(wù)評價指標(biāo)，并給出評價指標(biāo)數(shù)據(jù)元定義，為金融機(jī)構(gòu)信息科技外包服務(wù)評價工作提供指導(dǎo)。

根據(jù)服務(wù)用途，標(biāo)準(zhǔn)建立了金融業(yè)信息科技外包服務(wù)分類體系。具體地看，其將信息科技外包服務(wù)分為5個一級子類，并在每個一級子類下劃分多個二級子類。

02界定5大類、21小類信息科技外包服務(wù)

標(biāo)準(zhǔn)指出，信息科技外包服務(wù)共包括咨詢規(guī)劃類、開發(fā)測試類、運(yùn)行維護(hù)類、安全服務(wù)類、業(yè)務(wù)支持類共5個一級子類。

?咨詢規(guī)劃類信息科技外包服務(wù)可分為管理類咨詢規(guī)劃和技術(shù)類咨詢規(guī)劃2個二級子類。
?開發(fā)測試類信息科技外包服務(wù)可分為軟硬件開發(fā)、測試2個二級子類。
?運(yùn)行維護(hù)類信息科技外包服務(wù)可分為數(shù)據(jù)中心（機(jī)房）物理環(huán)境運(yùn)行維護(hù)、軟硬件基礎(chǔ)設(shè)施運(yùn)行維護(hù)、應(yīng)用系統(tǒng)運(yùn)行維護(hù)、電子機(jī)具運(yùn)行維護(hù)、終端等辦公設(shè)備運(yùn)行維護(hù)5個二級子類。
?安全服務(wù)類信息科技外包服務(wù)可分為安全運(yùn)營服務(wù)、移動安全加固服務(wù)、安全測試評估服務(wù)、安全設(shè)備運(yùn)行維護(hù)、安全日志處理與分析、數(shù)據(jù)安全服務(wù)6個二級子類。
?業(yè)務(wù)支持類信息科技外包服務(wù)可分為市場拓展、業(yè)務(wù)運(yùn)營（集中作業(yè)、呼叫中心等）、企業(yè)管理、資產(chǎn)處置、數(shù)據(jù)處理、數(shù)據(jù)利用6個二級子類。
03提出信息科技外包服務(wù)評價指標(biāo)數(shù)據(jù)元體系
在提出信息科技外包服務(wù)分類體系之后，標(biāo)準(zhǔn)隨后介紹了信息科技外包服務(wù)評價指標(biāo)數(shù)據(jù)元體系，并基于該體系對信息科技外包服務(wù)進(jìn)行評價。

標(biāo)準(zhǔn)指出，金融業(yè)信息科技外包服務(wù)評價指標(biāo)數(shù)據(jù)元體系由基本情況、協(xié)議履行、服務(wù)質(zhì)量、安全保障4個一級維度構(gòu)成，每個維度可分為若干二級維度，二級維度中定義了若干評價指標(biāo)，每個評價指標(biāo)即為服務(wù)評價數(shù)據(jù)元的一個屬性。

值得注意的是，各一級維度和二級維度中定義的通用指標(biāo)，為各類別信息科技外包服務(wù)評價數(shù)據(jù)元均適用和包含的屬性。在一級維度或二級維度中的特定信息科技外包服務(wù)子類，可進(jìn)一步定義僅該子類適用的專用指標(biāo)，即特定信息科技外包服務(wù)子類對應(yīng)的服務(wù)評價數(shù)據(jù)元除繼承其父類服務(wù)評價數(shù)據(jù)元中全部指標(biāo)外，還新增該子類適用的全部專用指標(biāo)。

例如，在企業(yè)能力方面，開發(fā)測試類專用指標(biāo)包括軟件能力成熟度模型集成能力、測試成熟度模型集成能力、重點(diǎn)軟件企業(yè)情況、高新技術(shù)企業(yè)情況；運(yùn)行維護(hù)類專用指標(biāo)包括信息技術(shù)服務(wù)管理能力；安全服務(wù)類專用指標(biāo)包括信息安全管理能力、信息安全服務(wù)能力。

04建議
標(biāo)準(zhǔn)的發(fā)布有助于規(guī)范和統(tǒng)一金融行業(yè)信息科技外包服務(wù)評價體系，促進(jìn)金融行業(yè)信息科技外包服務(wù)高質(zhì)量穩(wěn)健發(fā)展。標(biāo)準(zhǔn)為金融機(jī)構(gòu)開展信息科技外包服務(wù)評價工作提供了切實(shí)可行的依據(jù)，金融企業(yè)應(yīng)按照標(biāo)準(zhǔn)的指導(dǎo)，加強(qiáng)對于自身信息科技外包活動的管理，降低信息科技外包風(fēng)險。

相關(guān)新聞：