重新解读《商业银行数据中心监管指引》

作者：aqniu 日期：2023年08月24日阅：1,500

商业银行数据中心存储了银行的核心数据资产,承载了银行核心业务、中间业务和第三方业务等重要系统,运行并管理着银行日常大量交易流量。数据中心是银行 IT 基础设施的核心,直接关乎到银行业务的可靠性和连续性。

近年来，我国明确提出要加快5G网络、数据中心、人工智能等新型基础设施建设进度。数据中心是“新基建”的重要组成部分，也是5G、工业互联网、大数据、人工智能等其他“新基建”的基础设施和核心支撑。因此，数据中心在商业银行业务中的关键作用不仅是银行日常运营的支柱，而且在支持银行业务创新和应对未来挑战方面发挥着至关重要的作用。

金融监管机构对商业银行数据中心一直很重视，中国银监会于2010年发布了《商业银行数据中心监管指引》（以下简称《指引》）。《指引》自发布以来，有力地促进了商业银行对数据中心风险管理、运行环境管理、运营维护管理、灾难恢复管理、外包管理开展全面治理，推动了银行同城或异地模式的容灾数据中心建设，使得银行业金融机构的业务连续性水平实现了质的飞跃。近年来，我国商业银行明显加快了信息科技引领创新、深化转型和落地应用的步伐。大数据、人工智能、云计算、物联网等新技术与银行业务深度融合，为银行发展提供创新活力的同时，也对银行数据中心的技术架构、运维架构、组织架构提出了新的要求。

当前，《指引》对商业银行特别是中小商业银行仍然有很强的指导意义，但毕竟《指引》发布时间较早，近年来信息技术发展又得到了快速发展，各种新的业务场景及数字风险不断涌现，因此，有必要结合新时期金融科技的发展现状和新的合规要求对《指引》进行新的解读，以供中小银行或其他金融机构在数据中心建设与管理过程中加以借鉴。

一、中小银行数据中心发展现状

不同类型银行的数据中心，由于其规模体量大小、建设时间先后、技术发展水平、故障影响范围、行业监管要求等诸多不同，当前面临的主要挑战也不尽相同。中小商业银行相对于大型国有银行和股份制商业银行而言，规模较小、地域性较强，难以享受到规模经济效应带来的成本优势，受到信息科技投入不足、技术人才缺乏等限制，数据中心的发展相对滞后，仍有很多的发展痛点和不足，主要包括以下几个方面：

运营成本相对较高

中小银行数据中心由于缺乏规模经济效应，设备维护、人员培训、运营管理费用等运营成本相对较高，给中小银行的经营和发展带来了一定的压力。

技术水平相对较低

相对于大型银行，中小银行数据中心的建设规模较小，设备配置和技术水平也相对较低，难以满足大量用户访问、数据存储和处理等方面的需求，容易出现系统瓶颈和崩溃等问题。这会影响银行的业务稳定性和用户体验，进而影响到银行的市场竞争力。

安全隐患较大

由于技术水平相对较低，缺乏高端技术设备和安全保障措施，容易受到黑客攻击、病毒感染等问题的影响，这不仅会导致用户信息泄露和资金损失，还会损害银行的声誉和信誉。

人才相对短缺

由于中小银行的薪资待遇和职业发展空间相对较小，难以吸引和留住高端技术人才，造成中小银行数据中心缺乏高端技术人才，进而导致技术水平的不足和安全保障能力的弱化，这使得中小银行的数据中心建设和管理更加困难。

缺乏创新能力

中小银行信息科技投入不足、缺乏高端技术人才，缺乏推动技术和业务创新的动力，导致中小银行的业务创新能力较弱，难以满足用户不断变化的需求，也导致中小银行在市场竞争中处于劣势地位。

二、数据中心相关监管介绍

2010年4月《指引》发布，是国内第一个数据中心建设和管理方面的行业监管要求和规范性文件。该指引的实施，有效指导了商业银行建立健全的数据中心管理体系，提高数据中心的运营效率和安全性，降低数据中心风险，加强灾难恢复管理，提高业务连续性水平，保障金融业务的正常运转。同时，该指引也为监管机构提供了指导，有助于监管机构更好地履职，保障金融市场的稳定和健康发展。

《指引》是商业银行数据中心管理监管合规的一项核心规范，然而合规只是管理的底线，银行需要构建适合自身业务运营与发展情况的数据中心管理体系，在满足《指引》要求基础上，银行在进行数据中心建设和运营维护管理时，还应参考以下标准：

GB/T 33136-2016：《信息技术服务数据中心服务能力成熟度模型》是由中国国家标准化管理委员会制定的标准，在指导各行业数据中心提升服务能力方面发挥了显著的作用。该标准主要包括数据中心服务能力成熟度模型的概述、定义和术语、数据中心服务能力成熟度评估的方法和步骤、数据中心服务能力成熟度评估的结果和报告等。该标准将数据中心服务能力成熟度分为5个级别，从初始级别到最高级别依次为：初始级别、重复级别、定义级别、管理级别和优化级别。服务能力按特性划分为33个能力项，每个能力项基于证据进行评价得出其成熟度，单个能力项成熟度经加权计算后得到数据中心服务能力成熟度。该标准具备适用广泛性、理论先进性和模型全面性的特征，银行可以参考该标准构建数据中心服务能力评估体系，提高数据中心的服务能力和质量。
GB 50174-2017：《数据中心设计规范》是中华人民共和国住房和城乡建设部发布的标准，该标准主要包括以下内容：数据中心的总体规划和设计原则；数据中心的建筑和结构设计；数据中心的电力系统、机房空调系统、网络系统、安全系统、监控系统、消防系统等方面的设计要求；数据中心的环境、安全和管理要求等。该标准要求数据中心的设计应满足业务需求和可行性要求，同时将可靠性、可维护性和可扩展性作为设计的重要考虑因素。标准中还对数据中心的各个系统和设备提出了详细的设计要求和技术指标，以确保数据中心的安全性和稳定性。该标准有助于规范数据中心的设计和建设，提高数据中心的安全性和可靠性，降低数据中心运营成本，促进数据中心的可持续发展。
中华人民共和国国务院令第745号《关键信息基础设施安全保护条例》：该条例于2017年6月1日正式实施，旨在建立专门保护制度，明确各方责任，提出保障促进措施，保障关键信息基础设施安全及维护网络安全，保障国家安全和公共利益。该条例主要包括以下内容：关键信息基础设施的范围、分类和安全等级划分；关键信息基础设施的安全保护要求、安全评估和安全检查；关键信息基础设施安全事件的报告和处置；对违反条例的行为进行处罚等。该条例适用于涉及国家安全、国民经济和社会公共利益的关键信息基础设施，包括电信、能源、交通、金融、水利等行业。
GB/T 20984-2007：《信息安全技术信息系统灾难恢复规范》主要针对信息系统遭受灾难性破坏后的恢复工作，旨在规范信息系统灾难恢复的技术和管理要求，提高信息系统的灾难恢复能力。该规范主要包括以下内容：灾难恢复的策略和规划，灾难恢复的组织和管理、灾难恢复的技术要求、灾难恢复的维护和改进等。该规范的实施，可以帮助各类组织建立健全的信息系统灾难恢复机制，提高信息系统的可靠性和稳定性，保障信息安全。
JR/T 0071.2-2020：《金融行业网络安全等级保护实施指引第2部分：基本要求》是由中国金融认证中心、中国人民银行、中国银行业监督管理委员会等单位联合制定的一项指引，规范了金融行业网络安全等级保护的基本要求，提高金融行业网络安全保护的水平。该指引对金融行业数据中心的物理环境安全提出了非常明确的要求，包括机房选址、机房物理防护、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护等各个方面。
《新型数据中心发展三年行动计划（2021-2023年）》：该计划是工业和信息化部于2021年7月制定的指导性文件，旨在推动新型数据中心的建设和发展，提高我国数字经济的发展水平。该计划主要包括以下内容：新型数据中心的建设标准、技术规范和安全保障要求；新型数据中心的应用场景和业务发展方向；政府支持新型数据中心建设和发展的政策措施；新型数据中心人才培养和管理等方面。通过该计划，鼓励企业加快新型数据中心的建设和技术创新，提高数据中心的运营效率和安全性，促进数字经济的快速发展。同时，该计划也提出了一系列政策措施，如降低新型数据中心建设和运营成本、加强数据中心安全保障等，以促进新型数据中心的发展。

三、数据中心监管指引解读

2010年前后，我国各大银行基本都已完成数据集中，中国银行业进入现代化、集中式超大规模数据中心时代，终结了分支机构分散经营、各自为战的局面，统一了全行经营管理，为银行信息化发展奠定了技术基础。商业银行数据大集中的完成，为银行业务带来便利的同时，也带来了风险的高度集中，特别是，由于硬件故障、网络故障、电力中断、人为操作失误等问题而导致大面积、较长时间的业务中断，产生了较大的社会影响，其教训引起了各银行以及监管机构的高度重视。

为加强商业银行数据中心风险管理，保障数据中心安全、可靠、稳定运行，提高银行业务连续性水平，原中国银行业监督管理委员会于2010年4月底发布了《指引》。指引的发布和实施不仅促进银行业数据中心管理和灾难恢复、业务连续管理水平的整体提升，保障业务持续高效运营；同时，对保险、证券、能源等其他行业监管机构对数据中心领域的监管和科技风险管控也有很好的借鉴意义。

2023年，中小银行开启数字化转型“加速度”，越来越多的中小银行开始借助数字的力量重塑经营体系，打造数字时代之下的核心竞争力。数据中心是数字化转型的关键信息基础设施，虽然《指引》已经发布十多年，但当前继续落实《指引》的要求，夯实转型的科技核心支撑仍具有重要意义。

整体框架和定义

《指引》共分为九章，五十五条，对数据中心设立与变更、风险管理、运行环境管理、运营维护管理、灾难恢复管理、外包管理、监督管理等方面提出了明确要求，旨在规范商业银行数据中心的监管和管理，提高其安全性和稳定性，保障商业银行业务的持续稳定开展。

《指引》中明确“数据中心”包括商业银行设立的生产中心和灾备中心。生产中心是指商业银行对全行业务、客户和管理等重要信息进行集中存储、处理和维护，具备专用场所，为业务运营及管理提供信息科技支撑服务的组织；灾备中心是指商业银行为保障其业务连续性，在生产中心故障、停顿或瘫痪后，能够接替生产中心运行，具备专用场所，进行数据处理和支持重要业务持续运行的组织。灾备中心同城模式是指灾备中心与生产中心位于同一地理区域，一般距离数十公里，可防范火灾、建筑物破坏、电力或通信系统中断等事件。灾备中心异地模式是指灾备中心与生产中心处于不同地理区域，一般距离在数百公里以上，不会同时面临同类区域性灾难风险，如地震、台风和洪水等。

数据中心设立及灾难恢复能力

《指引》规定了商业银行数据中心的设立与变更相关事项，要求商业银行在设立数据中心的早期就要考虑到灾备的问题，确保数据中心的运营安全和稳定。

设立要求：商业银行在取得金融许可证后的两年内，应设立生产中心。生产中心设立后的两年内，商业银行应设立灾备中心。这个规定要求商业银行在设立数据中心的早期就要考虑到灾备的问题，确保数据中心的运营安全和稳定。

灾难恢复能力要求：总资产规模一千亿元人民币以上且跨省设立分支机构的法人商业银行，以及省级农村信用联合社应设立异地模式灾备中心，重要信息系统灾难恢复能力应达到《信息安全技术信息系统灾难恢复规范》中定义的灾难恢复等级第5级（含）以上；其他法人商业银行应设立同城模式灾备中心并实现数据异地备份，重要信息系统灾难恢复能力应达到《信息安全技术信息系统灾难恢复规范》中定义的灾难恢复等级第4级（含）以上。这个规定要求商业银行在设立灾备中心时应考虑到异地或同城模式，并根据不同的要求设立相应等级的灾备中心，确保数据中心的业务连续性和灾备能力。

数据中心风险管理

商业银行数据中心实现了信息系统和数据大集中，为银行业提供广阔的业务发展空间和持续创新能力，同时也带来了风险的高度集中，如硬件故障、网络故障、电力中断、人为操作失误等，这些风险轻则降低银行的服务水平、阻碍业务的正常运营，重则导致大范围、长时间停业,使银行面临信用危机以及不良社会影响。信息科技部门、风险管理部门、审计部门需充分发挥“三道防线”协同作用，实现对数据中心风险的管理。

根据《指引》的规定，商业银行信息科技部门作为第一道防线，应指导、监督和协调数据中心明确信息系统运营维护管理策略，建立运营维护管理制度、标准和流程，落实信息科技风险管理措施；商业银行数据中心应建立健全各项管理与内控制度，从技术和管理等方面实施风险控制措施。

信息科技风险管理部门作为二道防线，应制定数据中心风险管理策略、风险识别和评估流程，定期开展风险评估工作，对风险进行分级管理，持续监督风险管理状况，及时预警，将风险控制在可接受水平。

商业银行内部审计部门作为三道防线，应至少每三年进行一次数据中心内部审计；此外商业银行在采取有效信息安全控制措施的前提下，可聘请合格的外部审计机构定期对数据中心进行审计；并应根据内、外部审计意见，及时制定整改计划并实施整改。

运行环境管理

对于商业银行，数据中心的环境管理尤为重要，它关系到数据中心设备的正常运行和数据的安全性，需要采取科学合理的管理措施，确保数据中心的稳定运行和设备的正常工作。

商业银行需要全面考虑各种因素对数据中心安全运营的潜在影响，并遵循一系列要求来满足重要信息系统的运行高可用性和高可靠性要求，保障业务连续性。《指引》主要从数据中心选址、基础设施建设、安防与基础设施保障三个方面规范数据中心的运行环境。

数据中心选址要求包括保持生产中心与灾备中心的合理距离，选址于电力供给可靠、交通、通信便捷地区，远离危险区域等；
基础设施建设要求数据中心基础设施建设应以满足重要信息系统运行高可用性和高可靠性要求、保障业务连续性为目标，包括建筑物结构应满足专用机房建设要求，应根据使用要求划分功能区域，采取防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、配备不间断电源和应急发电设施、电磁防护等保护措施，采用两家或多家通信运营商线路互为备份，以保证通信线路的可靠性；
安防与基础设施保障要求各功能区域根据使用功能划分安全控制级别，具备机房环境监控系统；每年至少开展一次针对基础设施的安全评估，对基础设施的可用性和可靠性、运维管理流程以及人员的安全意识等方面进行检查，及时发现安全隐患并落实整改。

运营维护管理体系

商业银行的各项业务都依赖于数据中心的稳定运行，需要建立完善的运营维护管理体系保障数据中心的稳定性、安全性，优化资源利用，提升数据中心服务能力，才能为银行的可持续发展提供有力的支持。

《指引》要求，商业银行应建立满足业务发展要求的数据中心运营维护管理体系，根据业务需求定义运营维护服务内容，制定服务标准和评价方法，建立运营维护管理持续改进机制。此外，商业银行还需要不断进行持续改进，及时修订管理制度和流程，提高信息安全等级，加强数据中心的监控和管理，以应对不断变化的市场需求和技术挑战。《指引》从运营管理组织架构、信息科技运行维护服务管理三个方面对数据中心运营管理做出了明确的要求。

运营管理组织架构方面，数据中心应建立满足信息科技服务要求的运营管理组织架构，设立生产调度、信息安全、操作运行维护、质量合规管理等职能相关的部门或岗位，明确岗位和职责，配备专职人员，提供岗位专业技能培训，确保关键岗位职责分离，通过职责分工和岗位制约降低数据中心操作风险。
信息科技运行维护服务管理方面，数据中心应建立信息科技运行维护服务管理流程，提高整体运行效率和服务水平，包括建立事件和问题管理机制、建立变更管理流程、建立配置管理流程、规划容量和性能需求、统一调度各项运维任务、制定验收交接标准及流程、建立应急预案和集中监控重要信息系统和通信网络运行状态。这些措施有助于提高数据中心的服务水平和运行效率，保障商业银行的业务发展和客户利益。
信息安全管理方面，数据中心应建立信息安全管理规范，保证重要信息的机密性、完整性和可用性，包括设立专门的信息安全管理部门或岗位、建立和落实人员安全管理制度、加强信息资产管理、建立和落实物理环境安全管理制度、建立操作安全管理制度、建立数据安全管理制度、建立网络通信与访问安全策略、建立基础设施和重要信息的授权访问机制等。

灾难恢复管理

近年来，国家、银行业监管机构以及银行企业自身对灾难恢复、业务连续管理的重视程度越来越高：一方面，国家、人民银行以及银监会对于银行机构的应急管理和业务连续运作提出了更为明确、更为细致的要求；另一方面，银行自身也在逐步完善应急管理体系和业务连续性预案。但部分商业银行在应急管理体系和业务连续性建设过程中，往往缺乏统一的应急管理工作组织保障和制度，缺乏规范的应急体系和流程支持，缺乏完善的应急管理体系整体规划，缺乏完善的信息系统、基础设施应急预案及必要的演练。

根据《指引》的要求，商业银行需要将灾难恢复管理作为业务连续性管理的重要组成部分，建立相应的组织结构、管理机制和流程，以确保在灾难事件发生时能够快速有效地应对。

首先，商业银行需要对灾难恢复工作进行全面规划，包括对可能出现的灾难事件进行风险评估和业务影响分析，制定灾难恢复目标和恢复等级，明确灾难恢复策略和预案，并及时更新以适应不断变化的环境。

其次，制定完善的灾难恢复预案，包括指挥小组和工作小组的人员组成和联系方式，沟通协调机制，资源分配，恢复优先次序，灾难恢复与回切流程，对外沟通机制，最终用户操作指导等内容，以确保在灾难事件发生时能够快速、有效地恢复业务；为灾难恢复提供充足的资源保障，包括基础设施、网络通信、运维及技术支持人力资源、技术培训等，以确保在灾难事件发生时能够快速有效地恢复业务。

再次，建立外部协作机制，与服务提供商、电力部门、公安部门、当地政府和新闻媒体等单位建立联系，以便在灾难事件发生时能够及时获取外部支持，加快灾难恢复工作进程。

最后，建立灾难恢复有效性测试验证机制，定期对预案进行测试验证，以确保预案的有效性和可行性，并包含业务功能的恢复验证；定期进行灾备切换演练，包括专项灾备切换演练和全面灾备切换演练，以验证灾备系统的有效性和可行性，确保在灾难事件发生时能够快速有效地接管生产系统；并且在进行全面灾备切换和真实业务接管演练前向中国银监会或其派出机构报告，并在演练结束后报送演练总结，以便监管机构对其灾备能力进行评估。

数据中心外包管理

当前，商业银行普遍采用外包方式降低IT投入成本、提升IT服务能力，如将应用系统的开发、维护、升级等工作外包给专业的IT服务提供商，将IT设备的安装、调试、维护、修复等工作外包给专业的IT运维服务提供商等，而且外包范围越来越广。相对于自建灾难恢复中心，灾难恢复中心外包不仅成本更加低廉、安全、可靠，而且服务效率、服务水平更有保障。但外包过程中面临的风险同样不可小觊，部分银行因外包风险管控力度不足，而导致的业务中断、敏感信息泄露等事件时有发生。

因此，《指引》对银行数据中心外包管理进行了诸多要求。首先，商业银行的董事会对外包负有最终管理责任，应推动和完善外包风险管理体系建设，确保商业银行有效应对外包风险。这意味着商业银行的董事会应该关注和监管外包活动，制定和完善外包风险管理体系，确保商业银行能够有效应对外包风险。

其次，商业银行应该根据自身的信息科技战略规划，制定数据中心外包策略，并建立全面的风险控制机制，确保数据中心外包服务的安全和稳定；商业银行在选择数据中心外包服务商时，应该进行充分的审查和评估，包括外包服务商的资质、专业能力和服务方案等，对外包服务商进行风险评估，以确保商业银行选择的外包服务商能够提供稳定和安全的服务；要求外包服务商购买商业保险，以保证其有足够的赔偿能力，并告知保险覆盖范围，以确保商业银行在外包服务商发生损失时能够得到足够的赔偿；商业银行应该加强对数据中心外包服务活动的安全管理，包括但不限于控制外包服务商信息访问的权限、保留操作痕迹、要求外包服务商遵守商业银行有关信息科技风险管理制度和流程等，以确保外包服务的安全和稳定，保障业务、管理和客户敏感数据信息安全；商业银行应该制定数据中心外包服务应急计划，以应对外包服务商破产、不可抗力或其他潜在问题导致服务中断或服务水平下降的情形，以确保数据中心的连续和可靠运行。

最后，商业银行应该在外包服务协议条款中明确商业银行和监管机构有权对协议范围内的服务活动进行监督检查，以确保外包服务商能够履行其承诺，并确保外包服务的安全和稳定。

四、数据中心审计重点

数据中心风险管理水平

数据中心风险管理机制的是否完善，数据中心风险管理策略覆盖度；
数据中心风险识别和评估制度和流程符合性、有效性；
数据中心风险管理工作是否落实到位，风险管理的全面性、合理性、适用性；
风险管理的监控、评估及应对情况，是否对风险进行分级管理，持续监督风险管理状况，及时预警，将风险控制在可接受水平。

数据中心安防与基础设施保障能力

审计数据中心基础设施建设是否满足重要信息系统运行高可用性和高可靠性要求；
通过对数据中心物理设施，特别是机房所处物理环境的安全检查，判断是否采取有效的物理安全控制措施，保障机房等物理环境的安全，防范非法访问，确保机房等重要物理设施持续、可靠地提供服务；
机房的门禁、摄像头、烟雾报警器等设备是否齐全，是否可以有效地保护机房的安全；
机房内的设备是否有合理的布局和安装，机房的温度、湿度、电源、空调等设施是否正常运行，是否存在安全隐患；
机房的物理访问权限是否受到控制，并且是否符合银行的安全要求；
是否每年至少开展一次针对基础设施的安全评估，对基础设施的可用性和可靠性、运维管理流程以及人员的安全意识等方面进行检查，及时发现安全隐患并落实整改。

信息科技运维服务管理体系完善性

运维服务管理人员的配置和职责分离情况，信息运维制度和规范的建立健全情况；
是否根据业务需求定义运营维护服务内容，制定服务标准和评价方法，建立运营维护管理持续改进机制；
是否明确事件管理流程，定义事件类别、事件分级响应要求和事件升级、上报规则，及时受理、响应、审批和交付服务请求，保障生产服务质量，尽可能降低对业务影响；是否建立服务台负责受理、跟踪、解答各类运营问题；是否形成事件与问题的闭环管理，建立问题根源分析及跟踪解决机制，查明运营事件产生的根本原因，避免事件再次发生；
变更管理制度和流程是否规范；是否能够有效控制变更风险，根据变更对业务影响大小进行变更分级，对变更影响、变更风险、资源需求和变更批准进行控制和管理；是否建立变更管理联动机制，当生产中心发生变更时，是否同步分析灾备系统变更需求并进行相应的变更；
配置管理是否制定了配置的流程规范，是否建立配置管理库，基础设施和重要信息系统配置信息是否完善，能否满足支持变更风险评估、变更实施、故障事件排查、问题根源分析等服务管理流程；
是否建立了事件、变更、配置多流程联动机制；
是否对数据中心容量和性能需求进行前瞻性规划；是否对组织的容量进行科学分析，保证容量规划制定的准确性和合理性
是否建立完善的系统监控管理制度；是否部署监控系统按照既定的监控指标对基础物理环境、系统性能、系统运行实施监控，通过监测、采集、分析和调优，提升生产系统运行的可靠性、稳定性和可用性；监控记录是否满足故障定位、诊断及事后审计等要求。

信息安全管理能力

是否设立专门的信息安全管理部门或岗位，制定安全管理制度和实施计划；
是否建立和落实人员安全管理制度，明确信息安全管理职责；是否通过安全教育与培训，提高人员的安全意识和技能；
是否对组织信息资产进行有效识别与管理，识别信息资产并建立责任制，根据信息资产重要性实施分类控制和分级保护；
是否建立和落实物理环境安全管理制度，明确安全区域、规范区域访问管理，减少未授权访问所造成的风险；
是否建立数据安全管理制度；是否存在未经授权的访问；是否存在数据泄露等安全问题；
是否建立网络通信与访问安全策略，网络访问权限是否受到控制；
是否建立基础设施和重要信息的授权访问机制，制定访问控制流程，保留访问记录，防止未授权访问。

灾难恢复能力

是否根据建立灾难恢复组织架构，明确灾难恢复的各类小组及人员的职责；
是否根据系统风险分析和业务影响性分析的结果，制定适宜的灾难备份与灾难恢复策略，进行灾难恢复等级划分，并根据成本风险平衡的原则确定每项关键业务功能的灾难恢复策略；
是否依据灾难恢复策略制定恢复预案，灾难恢复预案的完整性、兼容性、指导性和及时性；
是否建立灾难恢复有效性测试验证机制；是否每年至少进行一次重要信息系统专项灾备切换演练；是否每三年至少进行一次重要信息系统全面灾备切换演练，以真实业务接管为目标，验证灾备系统有效接管生产系统及安全回切的能力。

数据中心外包风险管理体系

是否建立完善的外包风险管理体系，包括外包风险评估、外包服务商选择、合同管理等方面，以确保外包服务活动的安全和合规；是否充分识别、分析、评估数据中心外包风险，形成风险评估报告并报董事会和高管层审核；
是否充分审查、评估外包服务商的资质、专业能力和服务方案，对外包服务商进行风险评估，考查其服务能力是否足以承担相应的责任；
是否制定完备的数据中心外包服务应急计划，以应对服务中断或服务水平下降的情形；
是否加强对数据中心外包服务活动的安全管理，包括但不限于将数据中心外包服务安全管理纳入数据中心的整体安全策略、严格控制外包服务商信息访问的权限、要求外包服务商保留操作痕迹、记录完整的日志等方面；
与数据中心外包服务商签订的合同是否明确重要事项，包括但不限于双方的权利和义务、外包服务水平、服务的可靠性、信息安全控制、服务持续性计划、审计、合规性要求、违约赔偿等；
是否建立外包服务考核、评价机制，定期对外包服务活动和外包服务商的服务能力进行审核和评估，确保获得持续、稳定的外包服务。

五、数据中心常见风险及应对

数据中心管理人才队伍建设相对薄弱

中小银行数据中心普遍存在数据中心管理人才队伍建设薄弱问题，云计算、智能运维、大数据等金融科技人才储备不足，人才引进速度较慢，难以满足科技发展需要，严重制约了金融科技创新和业务转型发展。

中小商业银行需要加强数据中心管理人才队伍建设，提高管理人才的专业水平和管理能力，加强对金融科技人才的储备和培养，提高金融科技人才的数量和质量，改进科技人员的薪酬与绩效机制，吸引更多高素质的人才，提高科技水平和业务服务水平，以满足客户需求和市场竞争的要求。

服务管理体系未随业务发展持续改进

中小银行未能建立运营维护管理持续改进机制，运维服务管理体系未随业务发展持续改进，数据中心服务无法满足新的业务需求，技术滞后、安全风险增加、系统不稳定，信息泄露、数据损坏、故障和停机等问题时有发生。

中小商业银行应建立数据中心运营维护管理持续改进机制，持续改进运维服务管理体系，包括运维流程、工具、指标等，确保与业务发展的匹配度，以满足新的业务需求，及时跟进新的技术发展，提高技术水平和安全性能，提高系统的稳定性和可靠性，采用自动化监测和告警系统，提高故障发现和解决的效率。

科技运行规范化管理不足

中小商业银行的科技运行规范化管理不足，主要表现为：一是缺乏容量管理管理的制度或相关内容；二是缺乏科技运行管理的绩效考核机制，员工对科技运行管理的重视程度不足；三是缺乏科技运行规范化管理的相关培训和指导，员工对科技运行规范化管理的重要性认识不足；四是缺乏信息科技服务水平管理制度；五是缺乏服务水平协议，服务标准不明确，难以衡量服务质量。

中小商业银行应从以下方面加强科技运行规范化管理：建立容量管理制度，明确容量规划、资源管理等内容，确保信息系统的性能和容量满足业务需求；建立科技运行管理的绩效考核机制，对运维团队进行考核；加强科技运行规范化管理的培训和指导，提高员工对科技运行规范化管理的重要性认识，规范员工的操作行为，提高科技运行管理的效率和质量；建立信息科技服务水平管理制度，明确服务水平目标、监测和评估方法等内容；建立服务水平协议，明确服务标准、服务水平目标、违约的处罚等内容，确保服务质量得到保障。

事件和问题管理不完善

中小商业银行的事件和问题管理不完善，主要表现为：一是事件管理未进行分类分级，导致事件处理不分大小、轻重，事件处理不及时；二是事件的响应、处置、上报流程不明确；三是未对事件进行有效的分类、评估、分析从而上升至问题管理流程，并采取措施从根本上解决；四是事件与问题未形成闭环管理。

中小商业银行应从以下方面加强事件和问题管理：建立事件分类分级制度，将事件按照重要程度、紧急程度、影响范围等因素进行分类分级，以便及时响应、处置和上报；明确事件的响应、处置、上报流程，明确每个环节的责任人和时间节点，确保事件得到及时、有效的处理和上报；明确问题识别机制，对事件进行分类、评估、分析，将重大事件和重复发生的事件上升至问题管理流程，并采取措施从根本上解决；建立事件与问题的闭环管理机制，对处理结果进行跟踪和反馈，确保问题得到有效解决，避免问题反复出现。

容量管理不足

中小商业银行的容量管理不足，主要表现为：未建立有效的性能容量评估工作机制；未根据重要系统类型进行差异化管理，资源预警阈值需进一步优化，如根据重要系统类型建立不同的系统阈值；未以业务战略规划为依据制定容量规划；容量评估报告与容量计划中缺乏容量检测和性能评估的内容，缺乏对业务发展和交易量增长趋势的分析内容，无法判断容量评估结果的合理性，以及容量预警监测是否充分。

中小商业银行应从以下方面加强容量管理工作：建立性能容量评估工作机制，对重要系统类型进行差异化管理，根据系统类型制定相应的资源预警阈值，确保资源利用充分并且不超负荷；以业务战略规划为依据制定容量规划，对性能容量需求进行统筹分析和预测，制定合理的容量规划，确保满足业务发展和交易量增长的需求；加强容量评估报告的内容，包括容量检测和性能评估的内容，以及对业务发展和交易量增长趋势的分析内容，确保评估结果的合理性，以及容量预警监测充分；建立容量管理的监控机制，对系统的性能和容量进行实时监控，及时发现和解决资源不足和性能问题，确保系统的稳定运行和业务的顺畅开展。

机房基础设施管理不完善

中小商业银行的机房基础设施管理不完善，主要表现为：温度和湿度控制不当，提高了设备故障或者运行不稳定风险；硬件设施老化；灾备中心未设立逃生通道或灾备中心的应急逃生通道被隔断；灾备中心视频监控覆盖不全面；机房环境管理有待完善，存在木制办公桌椅、包装纸箱等易燃物。

中小商业银行应从以下方面加强机房基础设施管理：加强温度和湿度控制，定期检查和维护空调设备，确保机房环境温度和湿度的稳定，减少设备故障或运行不稳定的风险；根据设备的使用寿命和性能要求，逐步更新硬件设施，确保设备的正常运行和安全性；建立灾备中心逃生通道，确保在紧急情况下人员能够快速撤离，减少人身伤害和财产损失；完善数据中心视频监控系统，增加视频监控设备，覆盖数据中心的各个区域，确保监控全面，及时发现和处理问题；禁止在机房内防止易燃物品，如木制办公桌椅、包装纸箱等，确保机房环境的安全和整洁。

灾难恢复管理存在不足

中小商业银行的机房基础设施管理不完善，主要表现为：信息系统灾备覆盖率不足，部分重要信息系统灾难恢复能力有待提升；缺乏完备的灾难恢复预案，或者灾难恢复预案不完善、不及时更新；未能开展重要信息系统灾备切换演练与真实业务接管演练；缺乏对灾备切换演练过程的记录和总结，缺乏对灾备切换演练结果的分析和评估，无法提供有用的经验教训和改进建议；灾备切换演练的场景过于简单或者过于理想化，没有考虑到真实的灾备情况，导致演练结果不够真实可信。

中小商业银行应从以下方面加强灾难恢复管理：商业银行需要加强对重要信息系统的灾备建设，提高灾难恢复能力；制定完备的灾难恢复预案，并建立更新的管理机制，以确保预案的及时更新和完善；定期开展灾备演练，包括重要信息系统灾备切换演练和真实业务接管演练，以提高灾难恢复能力；灾备切换演练过程进行记录和总结，分析和评估演练结果，提取有用的经验教训，以不断改进灾难恢复能力；充分考虑真实的灾备情况，模拟符合实际情况的灾备切换演练场景，确保演练结果真实可信。

数据中心外包服务评价考核机制缺乏

中小商业银行的机房基础设施管理不完善，主要表现为：未建立外包服务评价考核机制；外包服务水平评价指标细化工作有待提升；服务提供商的应急响应和灾备计划未能充分测试和验证，可能会导致在灾难发生时无法及时恢复业务。

中小商业银行应从以下方面加强数据中心外包服务评价考核：建立外包服务评价考核机制，制定外包服务评价考核指标和流程，对外包服务提供商的服务质量进行评价和考核；细化外包服务水平评价指标，根据外包服务的性质和要求，制定具体的服务水平评价指标，确保评价指标的科学性和有效性；要求数据中心服务提供商对应急响应和灾备计划进行充分测试和验证，确保在灾难发生时能够及时恢复业务；加强对数据中心外包服务提供商的管理和监督，确保外包服务的质量和安全性，及时发现和处理问题。

六、结语

随着数据、智能、人才的汇聚，部分商业银行开始把数据中心升级成为科技创新中心。一方面，数据中心在银行内部拥有从动力环境、基础设施、网络通信到计算机硬件、软件到管理学科等最全的科技应用门类；另一方面，银行数据中心与前沿科技发展关系最密切，有条件提供深入研究和试点运行的环境，吸引学术界、产业界与银行开展联合创新。因此，银行数据中心逐渐成为先进科技的创新中心和应用示范中心。

数据中心专项审计是一项非常重要的工作，可以帮助银行发现数据中心运行中的隐患和问题，对数据中心建设和运营具有重要的价值。

一是数据中心审计可以发现数据中心存在的安全隐患，发现数据中心的物理环境、系统环境、网络环境等方面的问题，及时修复漏洞，加强防护措施，帮助银行及时采取措施加强安全防护，提升数据中心的安全性，保障银行业务的安全运行。

二是数据中心审计可以评估数据中心的管理制度、流程、人员等方面的管理水平，发现数据中心的管理制度是否健全、流程是否规范、人员是否符合要求等问题，提出改进意见，帮助银行优化管理流程，提高管理水平。

三是数据中心审计可以发现数据中心存在的问题，发现数据中心的技术架构、应用系统等方面的问题，提出改进意见，帮助银行优化数据中心的运营模式，促进数据中心的创新发展，引入新的技术和应用，提升银行的竞争力。

四是数据中心审计可以发现数据中心存在的风险，帮助银行及时采取措施预防风险，保障数据中心的稳定性。通过审计，可以发现数据中心的设备是否正常运行、备份和恢复策略是否可行等问题，提出改进意见，帮助银行确保数据中心的正常运行，保障业务的稳定性。

五是数据中心审计通过审计，保障银行按照相关法律法规和监管要求对数据中心进行管理和运营，有助于提升银行的声誉和信誉度，增强市场竞争力。

本文作者长年服务于金融机构的科技风险管理领域，在重新解读《数据中心监管指引》的基础上，还分享了一些针对中小银行数据中心进行专项审计的观点和经验，希望一方面能给当前银行业金融机构特别是中小银行提出相关警示，数据中心依然是需要重点关注的科技风险领域；另一方面，我们也希望中小银行在监管合规的基础上，还应确保银行数据中心以新发展理念为引领、以技术创新为驱动，面向新时代银行高质量发展需要，统筹构建先进可靠、富有弹性的金融数字基础设施，实现金融数据中心对银行从基础支撑到引领变革的转变。

作者简介

王志超，谷安天下金融审计负责人，10多年的信息安全、科技风险、科技审计、业务连续性、科技外包、数据治理、金融科技等咨询及审计服务经验，获得CISA、COBIT、CDPSE、CCSK、TOGAF、ISO22301 LI等证书，熟悉银行业、保险业、证券业、大型央企的科技管理风险与应对措施，对科技外包、业务连续性、数据治理、大数据、云计算、区块链、人工智能、数字化转型等领域均有着较为深入的研究，多次参与银保监会组织的信息科技风险管理课题研究，并获得不错的奖项。

李松谷安天下高级经理，长期从事数据中心、网络安全、数据安全、运维管理和信息科技风险审计等工作，拥有16年以上金融、国企及互联网企业的IT咨询及审计经验，获得CISA、CDPSE、ISO27001、ITIL4等证书，曾在国内大型会计师事务所担任过IT运维经理、IT高级审计经理。

关键词: