（2006年1月26日中国银行业监督管理委员会发布）
第二条 电子银行的安全评估，是指金融机构在开展电子银行业务过程中，对电子银行的安全策略、内控制度、风险管理、系统安全、客户保护等方面进行的安全测试和管控能力的考察与评价。
第十九条 评估机构有下列行为之一的，中国银监会将在一定期限或无限期不再受理评估机构的资质认定申请，金融机构不应再委托该评估机构进行安全评估：
（一）与委托机构合谋，共同隐瞒在安全评估过程中发现的安全漏洞，未按要求写入评估报告的；
（二）在评估过程中弄虚作假，编造安全评估报告的；
（三）泄漏被评估机构机密信息，或不当使用被评估机构机密资料的。
金融机构内部评估机构出现以上情况之一的，中国银监会将依法对相关机构和责任人进行处罚。
第二十条 中国银监会认可的电子银行安全评估机构，以及有关资质认定、撤销等信息，仅向开展电子银行业务的各金融机构通报，不向社会发布。
金融机构不得向第三方泄露中国银监会的有关通报信息，影响有关机构的其他业务活动，也不得将有关信息用于与电子银行安全评估活动无关的其他业务活动。
第二十二条 电子银行主要系统设置于境外并在境外实施电子银行安全评估的外资金融机构，以及需要按照所在地监管部门的要求在境外实施电子银行安全评估的中资金融机构境外分支机构，电子银行安全评估机构的选择应遵循所在国家或地区的法律要求。
所在国家或地区没有相关法律要求的，金融机构应参照本指引的有关规定开展安全评估活动。
第二十三条 金融机构应与聘用的电子银行安全评估机构签订书面服务协议，在服务协议中，必须含有明确的保密条款和保密责任。
金融机构选择内部部门作为评估机构时，应由电子银行管理部门与评估部门签订评估责任确定书。
第二十七条 电子银行安全评估至少应包括以下内容：
（一）安全策略；
（二）内控制度建设；
（三）风险管理状况；
（四）系统安全性；
（五）电子银行业务运行连续性计划；
（六）电子银行业务运行应急计划；
（七）电子银行风险预警体系；
（八）其他重要安全环节和机制的管理。
第二十八条 电子银行安全策略的评估，至少应包括以下内容：
（一）安全策略制定的流程与合理性；
（二）系统设计与开发的安全策略；
（三）系统测试与验收的安全策略；
（四）系统运行与维护的安全策略；
（五）系统备份与应急的安全策略；
（六）客户信息安全策略。
评估机构对金融机构安全策略的评估，不仅要评估安全策略、规章制度和程序是否存在，还要评估这些制度是否得到贯彻执行，是否及时更新，是否全面覆盖电子银行业务系统。
第三十条 电子银行风险管理状况的评估，应至少包括以下内容：
（一）电子银行风险管理架构的适应性和合理性；
（二）董事会和高级管理层对电子银行安全与风险管理的认知能力与相关政策、策略的制定执行情况；
（三）电子银行管理机构职责设置的合理性及对相关风险的管控能力；(www.xing528.com)
（四）管理人员配备与培训情况；
（五）电子银行风险管理的规章制度与操作规定、程序等的执行情况；
（六）电子银行业务的主要风险及管理状况；
（七）业务外包管理制度建设与管理状况。
第三十一条 电子银行系统安全性的评估，应至少包括以下内容：
（一）物理安全；
（二）数据通讯安全；
（三）应用系统安全；
（四）密钥管理；
（五）客户信息认证与保密；
（六）入侵监测机制和报告反应机制。
评估机构应突出对数据通讯安全和应用系统安全的评估，客观评价金融机构是否采用了合适的加密技术、合理设计和配置了服务器和防火墙，银行内部运作系统和数据库是否安全等，以及金融机构是否制定了控制和管理修改电子银行系统的制度和控制程序，并能保证各种修改得到及时测试和审核。
第三十二条 电子银行业务运行连续性计划的评估，应至少包括以下内容：
（一）保障业务连续运营的设备和系统能力；
（二）保证业务连续运营的制度安排和执行情况。
第三十三条 电子银行业务运行应急计划的评估，应至少包括以下内容：
（一）电子银行应急制度建设与执行情况；
（二）电子银行应急设施设备配备情况；
（三）定期、持续性检测与演练情况；
（四）应对意外事故或外部攻击的能力。
第三十九条 金融机构开办电子银行业务后，有下列情形之一的，应立即组织安全评估：
（一）由于安全漏洞导致系统被攻击瘫痪，修复运行的；
（二）电子银行系统进行重大更新或升级后，出现系统意外停机12小时以上的；
（三）电子银行关键设备与设施更换后，出现重大事故修复后仍不能保持连续不间断运行的；
（四）基于电子银行安全管理需要立即评估的。
第四十八条 评估机构应本着客观、公正、真实和自主的原则，开展评估活动，并严格保守在评估过程中获悉的商业机密。
第四十九条 在评估过程中，委托机构和评估机构之间应建立信息保密工作机制：
（一）评估过程中，调阅相关资料、复制相关文件或数据等，都应建立登记、签字制度；
（二）调阅的文件资料应在指定的场所阅读，不得带出指定场所；
（三）复制的文件或数据一般也不应带出工作场所，如确需带出的，必须详细登记带出文件或数据名称、数量、带出原因、文件与数据的最终处理方式、责任人等，并由相关负责人签字确认；
（四）评估过程中废弃的文件、材料和不再使用的数据，应立即予以销毁或删除；
（五）评估工作结束后，双方应就有关机密数据、资料等的交接情况签署说明。
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
