保监会发《保险业信息系统灾难恢复管理指引》

　　本报北京3月27日讯 记者张兰报道 为加强保险信息安全基础设施建设，推进信息系统灾难恢复工作，中国保监会今天印发《保险业信息系统灾难恢复管理指引》，要求各保险公司和保险资产管理公司按照“统筹规划、资源共享、平战结合、等级灾备”的原则，平衡成本与风险并确保保险业信息系统灾难恢复工作的有效性。

　　所谓灾难恢复工作是指，为保障信息系统持续运营，防范灾难风险并减轻灾难造成的损失和不良影响而开展的一系列工作，包括：组织机构设立和职责、灾难恢复需求分析、灾难恢复策略制定、灾难备份系统实施、灾难备份中心的建设与运行维护、灾难恢复预案管理、应急响应和恢复。按照上述指引，保险机构应统筹规划信息系统灾难恢复工作，自本指引生效起五年内至少达到本指引规定的最低灾难恢复能力等级要求。保险机构新建信息系统时，应同步规划和实施灾难备份系统建设。本指引生效后新成立的保险机构应在成立五年内达到本指引规定的最低灾难恢复能力等级要求。

　　此外，保险机构应持续开展灾难恢复工作，以保障灾难恢复策略、灾难备份系统和灾难恢复预案的适用性。灾难恢复的需求应定期进行再分析。灾难恢复需求再分析周期最长为三年。当信息系统及相关业务流程发生重大变更时，应立即启动灾难恢复需求的再分析，并根据最新的灾难恢复需求分析重审和修订灾难恢复策略。保险机构应根据灾难恢复策略定期复审和调整灾难恢复技术方案、灾难恢复预案，并定期开展灾难恢复预案培训和演练工作。保险机构应加强与其业务密切相关机构间的协调，共同评估面临的风险，协同制定灾难恢复策略，提高整体风险防范和灾难恢复能力。

　　上述指引同时规定，保险机构法定代表人或主要负责人是灾难恢复工作的责任人。保险机构董事会或最高决策层应参与制定和审核灾难恢复策略，保证灾难恢复策略与经营目标的一致性。灾难恢复的组织机构由保险机构的管理、业务、技术、财务和行政后勤等相关人员组成。此外，保险机构应设立灾难恢复管理委员会，统一负责灾难恢复的规划、实施、运营维护、应急响应和恢复的管理、决策工作。保险机构应设立或依托现有部门设立灾难恢复工作办公室作为灾难恢复管理委员会的常设办公机构，负责处理灾难恢复工作的具体事务。