第十一条 商业银行应在内部审计部门设立专门的信息科技风险审计岗位，负责信息科技审计制度和流程的实施，制订和执行信息科技审计计划，对信息科技整个生命周期和重大事件等进行审计。
第十二条 商业银行应按照知识产权相关法律法规，制定本机构信息科技知识产权保护策略和制度，并使所有员工充分理解并遵照执行。确保购买和使用合法的软硬件产品，禁止侵权盗版；采取有效措施保护本机构自主知识产权。
第十三条 商业银行应依据有关法律法规的要求，规范和及时披露信息科技风险状况。
第三章 信息科技风险管理
第十四条 商业银行应制定符合银行总体业务规划的信息科技战略、信息科技运行计划和信息科技风险评估计划，确保配置足够人力、财力资源，维持稳定、安全的信息科技环境。
第十五条 商业银行应制定全面的信息科技风险管理策略，包括但不限于下述领域：
（一）信息分级与保护。
（二）信息系统开发、测试和维护。
（三）信息科技运行和维护。
（四）访问控制。
（五）物理安全。
（六）人员安全。
（七）业务连续性计划与应急处置。
第十六条 商业银行应制定持续的风险识别和评估流程，确定信息科技中存在隐患的区域，评价风险对其业务的潜在影响，对风险进行排序，并确定风险防范措施及所需资源的优先级别（包括外包供应商、产品供应商和服务商）。
第十七条 商业银行应依据信息科技风险管理策略和风险评估结果，实施全面的风险防范措施。防范措施应包括：
（一）制定明确的信息科技风险管理制度、技术标准和操作规程等，定期进行更新和公示。
（二）确定潜在风险区域，并对这些区域进行详细和独立的监控，实现风险最小化。建立适当的控制框架，以便于检查和平衡风险；定义每个业务级别的控制内容，包括：
1．最高权限用户的审查。
2．控制对数据和系统的物理和逻辑访问。
3．访问授权以“必需知道”和“最小授权”为原则。
4．审批和授权。
5．验证和调节。
第十八条 商业银行应建立持续的信息科技风险计量和监测机制，其中应包括：
（一）建立信息科技项目实施前及实施后的评价机制。
（二）建立定期检查系统性能的程序和标准。
（三）建立信息科技服务投诉和事故处理的报告机制。
（四）建立内部审计、外部审计和监管发现问题的整改处理机制。
（五）安排供应商和业务部门对服务水平协议的完成情况进行定期审查。
（六）定期评估新技术发展可能造成的影响和已使用软件面临的新威胁。
（七）定期进行运行环境下操作风险和管理控制的检查。
（八）定期进行信息科技外包项目的风险状况评价。
第十九条 中资商业银行在境外设立的机构及境内的外资商业银行，应当遵守境内外监管机构关于信息科技风险管理的要求，并防范因监管差异所造成的风险。
第四章 信息安全
第二十条 商业银行信息科技部门负责建立和实施信息分类和保护体系，商业银行应使所有员工都了解信息安全的重要性，并组织提供必要的培训，让员工充分了解其职责范围内的信息保护流程。
