保险集团科技类子公司科技治理情况表

【公司治理-单位基本情况】银行业金融机构以金融监管总局法人非现场监管信息系统法人汇总数据（含境外分支机构或分公司）为准，保险机构以保险统计系统报送的法人汇总数据为准。一般是以《资产负债表》中的资产总额为填报依据。

信息科技正式员工数量=项目（需求）管理正式员工数量+信息科技开发正式员工数量+信息科技测试正式员工数量+信息科技运行维护正式员工数量+信息安全正式员工数量+其他信息科技正式员工数量。

【公司治理-单位基本情况】【单位：人。剔除综合、人事、财务等综合及销售部门和高级管理层人员。】特指从事开发、测试、运维及网络和数据安全保障工作的人员，不包含科技类子公司中从事综合、财务、销售、采购、后勤、工会及党建工作的人员和高级管理层人员。

【公司治理-信息科技人力配置】【单位：人。】特指从事开发、测试、运维及网络和数据安全保障工作的人员，不包含科技类子公司中从事综合、财务、销售、采购、后勤、工会及党建工作的人员和高级管理层人员。

【公司治理-信息科技人力配置】【单位：人。（如CISSP、CISP、CISM、ISO27001 LA、CCSP、CCSK等）】

【公司治理-信息科技人力配置】【单位：人。（如ITIL ServiceManager、ITIL Practitioner等）】

【公司治理-信息科技审计】【枚举值“内部全面审计；外部全面审计；内部专项审计；外部专项审计；其他包含信息科技内容的内部审计；其他包含信息科技内容的外部审计外部全面审计；内部专项审计；外部专项审计；其他包含信息科技内容的内部审计；其他包含信息科技内容的外部审计”】

【系统开发与管理-项目管理】【枚举值“项目立项管理；项目采购和合同管理；项目范围管理；项目进度管理；项目成本管理；项目质量管理；项目风险管理；项目人力资源管理；项目沟通和干系人管理；项目投产验收管理；项目后评价管理”】

【系统开发与管理-项目管理】【枚举值“Web安全；客户端安全；身份认证；访问控制；可信验证；密码技术；通信安全；安全审计；完整性；保密性；抗抵赖；软件容错；其他”】

【系统开发与管理-测试管理】【枚举值“是；否”。】特指科技类子公司主要面向保险集团及保险子公司（含其客户）提供信息科技服务，或科技类子公司自行建设的重要信息系统，具体标准参见“附录 参考定义”。

【网络安全管理-管理体系】【枚举值“是；否”。】指科技类子公司落实集团公司网络安全责任制，明确本单位网络安全相关第一责任人和直接责任、工作职责（含主要目标、基本要求、工作任务、保护措施等）、保障措施、宣传教育、检查考核、应急处置和会议议事等工作内容。

【网络安全管理-管理体系】【枚举值“机房、办公区域等物理安全管理；人员录用、离岗、培训、外部人员访问等人员安全管理；系统开发和建设安全管理；网络、主机、应用等运维安全管理；数据安全管理；终端、介质等安全管理；安全事件处置及应急预案管理；其他”】

【网络安全管理-管理体系】【枚举值“已备案；无新上线重要信息系统；上线但未备案”】特指科技类子公司主要面向保险集团及保险子公司（含其客户）提供信息科技服务，或科技类子公司自行建设的重要信息系统，具体标准参见“附录 参考定义”。

【网络安全管理-管理体系】【单位：次。】指本年度机构总行（或总公司）、总行（或总公司）一级部门或组织、总行（或总公司）直属机构、一级分支机构开展的覆盖信息安全相关领域的培训数量。

【网络安全管理-重要网络】【枚举值“异构防火墙；热备防火墙；单防火墙；访问控制列表(ACL)；网络加密机；入侵检测系统（IDS）；入侵防御系统(IPS）；恶意代码过滤；安全审计设备；其他”。（生产网、内部开发、测试、办公等内部网络与互联网之间）】

【网络安全管理-重要网络】【枚举值“异构防火墙；热备防火墙；单防火墙；访问控制列表(ACL)；网络加密机；入侵检测系统（IDS）；入侵防御系统(IPS）；恶意代码过滤；安全审计设备；其他”。（生产网与内部开发、测试、办公等其他网络之间的边界）。】

【网络安全管理-重要网络】【枚举值“异构防火墙；热备防火墙；单防火墙；访问控制列表(ACL)；网络加密机；IPSecVPN；SSLVPN；入侵检测系统（IDS）；入侵防御系统(IPS）；恶意代码过滤；安全审计设备；其他”。（生产网与第三方专用网络的边界）。】

【网络安全管理-终端安全】【枚举值“禁止非法外联；移动介质管控；违规日志审计；网络准入管理；补丁自动修补；软件分发；应用软件管理；资产管理；IP、MAC绑定；密码策略管理；其他”】

【网络安全管理-应用安全】【枚举值“遵循最小授权原则分配系统管理用户权限；固定终端或限制登录终端IP地址；定期修改口令；口令满足一定复杂度要求；限制非法登录次数；对登录终端超时进行锁定或强制退出；系统远程管理采取加密措施；限制远程拨号访问；对系统重大管理操作行为进行日志审计；通过堡垒机进行集中管理；采用双因素认证登录；其他”】

【科技类子公司机房管理情况-基本情况】【枚举值“生产中心；同城灾备中心；异地灾备中心；生产机房；同城灾备机房；异地灾备机房”】

【科技类子公司机房管理情况-物理安全】【枚举值“温度；湿度；防水；防磁；防雷；防鼠；消防；安防；空调；UPS；发电机；配电；机房门禁；逃生通道；其他”】

【科技类子公司机房管理情况-基础设施】【枚举值“N+1；N+2；2N；2(N+1)；存在单点；其他”】指能够完全覆盖所有重要信息系统的UPS供电模式。如果存在部分重要信息系统仅由单机、单总线等方式供电，则此项仅能选择“存在单点”。常见的UPS供电模式有以下四类： 1、N＋1模式：此类冗余提供在满足基本要求以外的一个额外的装置、模块、路径或系统。任何单独的装置、模块、路径、系统的故障或维护将不影响正常运行。 2、N＋2模式：此冗余提供在满足基本要求以外的两个额外的装置、模块、路径或系统。任何两个单独的装置、模块、路径、系统的故障或维护将不影响正常运行。 3、2N模式：此类冗余提供给一个基本系统的每一个要求两个完全的装置、模块、路径或系统。一个全部的装置、模块、路径、系统的故障或维护将不影响正常运行。 4、2（N＋1）模式：此类冗余提供两个完全的（N＋1）装置、模块、路径或系统。甚至在一个装置、模块、路径、系统的故障或维护时，将能够提供一些冗余，正常运行将不受影响。

【科技类子公司机房管理情况-核心网络设备冗余情况】【枚举值“双机热备；负载均衡；存在单点；其他”。（仅在中心类型为生产中心或生产机房时填写）】特指科技类子公司主要面向保险集团及保险子公司（含其客户）提供信息科技服务，或科技类子公司自行建设的重要信息系统，具体标准参见“附录 参考定义”。

【科技类子公司机房管理情况-核心网络设备冗余情况】【枚举值“双机热备；负载均衡；存在单点；其他”。（仅在中心类型为生产中心或生产机房时填写）】特指科技类子公司主要面向保险集团及保险子公司（含其客户）提供信息科技服务，或科技类子公司自行建设的重要信息系统，具体标准参见“附录 参考定义”。

【科技类子公司机房管理情况-核心网络设备冗余情况】【枚举值“双机热备；负载均衡；存在单点；其他”。（仅在中心类型为生产中心或生产机房时填写）】特指科技类子公司主要面向保险集团及保险子公司（含其客户）提供信息科技服务，或科技类子公司自行建设的重要信息系统，具体标准参见“附录 参考定义”。

【数据安全管理-组织体系】【枚举值“数据采集；数据处理；数据存储；数据传输；数据分发；数据备份；数据恢复；数据清理；数据销毁”】

【数据安全管理-组织体系】【枚举值“超范围授权或者使用系统特权账号；内部人员异常访问、使用数据；对数据集中共享的系统或者平台的网络安全、数据安全威胁；敏感级及以上数据在不同区域的异常流动；移动存储介质的异常使用；第三方合作中的数据处理异常或者数据泄露、丢失和篡改；客户有关数据安全的投诉；数据泄露、仿冒欺诈等负面舆情；其他”】

【信息系统运行维护与业务连续性管理-组织保障】【枚举值“是；否”。】项目下的“组织保障”中，“最大RTO为”、“最大RPO为”、“本年度科技类子公司业务连续性演练总次数”、“配合集团公司开展业务连续性演练”>=0。 项目下的“事件管理”中，“分为___级 ”>=0。 项目下的“容量管理”中，“评估周期”>=0。

【信息系统运行维护与业务连续性管理-组织保障】【枚举值“设立业务连续性管理委员会或类似组织；设立或指定业务连续性管理主管部门；制定并发布业务连续性管理规章制度；开展业务影响分析；制定业务恢复策略；制定和发布业务连续性计划；制定和发布专项应急预案；其他”】

【信息系统运行维护与业务连续性管理-监控管理】【枚举值“机房物理环境；主机及服务器；操作系统；网络环境；数据库；中间件；应用系统；存储；虚拟化；云平台；其他”】

【信息系统运行维护与业务连续性管理-配置管理】【枚举值“网络设备；安全设备；主机；数据库；中间件；应用系统；操作系统；其他”】

【外包采购管理-科技类子公司】【枚举值“立信息科技外包准入管理机制；建立信息科技外包监控评价体系；建立信息科技外包风险管理制度体系；其他”】

【外包采购管理-科技类子公司】【枚举值“是；否”。】特指科技类子公司主要面向保险集团及保险子公司（含其客户）提供信息科技服务，或科技类子公司自行建设的重要信息系统，具体标准参见“附录 参考定义”。