7.9 金融安全合规实务

2026-11-03 11:01:00上一篇 / 下一篇

本篇定位：金融安全合规实务是本岗专属加分区（监管视角）——9 年直接命中 10+ 题（2018 单62、2020 单46/71/77、2021 多96、2022 单77、2025 单80、2026 单49/多85），且近年场景化实务题常态化。考点：信息科技外包（责任不可转嫁）、IT 审计、银行业 IT 风险四因素、风险应对（RPO/RTO）、金融监管要求。核心能力：外包责任三连（主体不可外包/法人兜底/外包增加风险）+ IT 风险四因素（自然/人为/技术/管理）。 数据依据：01-真题/真题文本/ + 01-真题/考点汇总/ + 05-笔记/信息安全-高频考点清单.md；答案以专业判断为准。阅读提示：外包合规与 6.9 软工运维衔接；IT 审计与 4.4 IS 审计师衔接；RPO/RTO 与 4.6 备份衔接；金融监管与第 1 篇 1.4 金融监管衔接。

一、考点定位（本章真题统计）

考点	真题锚点	频次	考法
信息科技外包	2022 单77、2021 多96、2025 单80	3 年 3 题	主体责任不可外包；外包增加风险
IT 审计	2018 单62、2020 单46/71	3 年 3 题	审计=记录安全事件；审阅签字=IS 审计师
银行业 IT 风险	2026 多85	1 年	四因素（自然/人为/技术/管理）
RPO/RTO	2020 单77	1 年	备份间隔对应 RPO（⚠️ 部分解析标 B 有争议）
风险应对	2021 多96、2019 多99	2 年	备份/双机热备/制度+补丁
业务恢复	2021 多97	1 年	关键资源/替代手段/数据追补/优先级

命题规律：金融合规考"责任归属 + 风险因素 + 恢复指标"——外包责任（3 年 3 题）是绝对主角。2027 预测 2 题：外包合规、IT 风险治理。核心能力：外包三连（主体不可外包/法人兜底/增加风险）+ RPO/RTO 区分。

二、知识框架（先搭骨架）

金融安全合规实务
├── 信息科技外包（2022 单77、2021 多96、2025 单80）
│   ├── 可外包：开发、运维、测试（提高效率/降成本/分散部分风险）
│   ├── 【不可外包】：网络安全主体责任、信息科技管理责任（2025 单80）
│   ├── 第一责任人：法定代表人（2021 单74，6.9 已详）
│   ├── 外包【增加】风险（需管理监控，不是转嫁所有风险）（2021 多96）
│   └── 外包需风险评估、监督管理、定期审计
├── IT 审计（2018 单62、2020 单46/71）
│   ├── 审计 = 记录失败登录等安全事件到日志（2018 单62）
│   ├── 上线前数据准确性审阅签字 = IS 审计师（2020 单46，4.4 已详）
│   └── 用户安全组无所有者 → 关注审批用户访问权限（2020 单71）
├── 银行业 IT 风险四因素（2026 多85）
│   ├── 自然因素（火灾/地震）
│   ├── 人为因素（操作失误/恶意行为）
│   ├── 技术漏洞（软硬件缺陷）
│   └── 管理缺陷（制度/流程不完善）
├── 风险应对与恢复（2021 多96/97、2019 多99）
│   ├── 应对措施：数据备份、双机热备、安全制度与技术、良好设计+补丁（2021 多96）
│   ├── 业务恢复：关键资源恢复、业务替代手段、数据追补、恢复优先级（2021 多97）
│   └── 降风险：备份/磁盘阵列/双机热备/服务器集群（2019 多99）
└── RPO/RTO（2020 单77，⚠️ 争议题）
    ├── RPO（恢复点目标）：允许丢失的数据量 → 【决定备份频率】
    ├── RTO（恢复时间目标）：恢复所需时间
    └── ⚠️ 2020 单77：备份间隔不能超过 RPO——部分解析标 B（RTO），本书判 A（RPO）

一句话记忆：外包可做责任不可转、法人兜底、外包增风险；审计记日志；IT 风险四因素（自然/人为/技术/管理）；备份靠 RPO、恢复时间看 RTO。

三、考点详解

3.1 信息科技外包（2022 单77、2021 多96、2025 单80，必考）

精确定义：信息科技外包 = 金融机构把部分 IT 工作（开发/运维/测试）委托给外部服务商。

三条铁律（必背）：

网络安全主体责任、信息科技管理责任不可外包（2025 单80——"外包后责任转嫁服务商"是错误说法）；
第一责任人是法定代表人（2021 单74）；
外包增加风险（需管理监控）——"外包转嫁所有风险"是错误说法（2021 多96）。

口诀：外包做事不外包责任、法人兜底、外包增风险要盯紧。

3.2 IT 审计（2018 单62、2020 单71）

精确定义：IT 审计 = 独立检查 IT 系统的安全性、合规性、有效性。

2018 单62（选审计）：记录失败登录等安全事件到日志 → 审计（Audit）行为（记录谁做了什么，可追溯）。 2020 单71（选审批权限）：发现用户安全组无所有者 → 应关注审批用户访问权限（清理无主权限）。在审计过程中，如果发现某个用户安全组已经没有明确的负责人（即"无所有者"），就说明这个权限组处于无人管理的状态。此时，应当重点关注该安全组中用户的访问权限，及时审查并清理那些不再合理或不再需要的"无主权限"，以消除潜在的安全隐患。

口诀：审计=留痕（记录谁干了什么）；无主权限=要清理。

3.3 银行业 IT 风险四因素（2026 多85）

2026 多85（选 ABCD）：银行业信息科技风险四因素 = 自然因素、人为因素、技术漏洞、管理缺陷（全选）。

因素	例子
自然因素	火灾、水灾、地震
人为因素	操作失误、内部舞弊、恶意攻击
技术漏洞	软硬件缺陷、安全漏洞
管理缺陷	制度缺失、流程不严、培训不足

口诀：自然人为技术管理——银行 IT 风险四来源。

3.4 RPO 与 RTO（2020 单77，⚠️ 争议题）

精确定义：

RPO（恢复点目标）：灾难后允许丢失的数据量（如丢 1 小时数据）——决定备份频率（想少丢就多备份）；
RTO（恢复时间目标）：恢复到可用所需的时间——决定恢复方案（双活/热备）。

2020 单77（⚠️ 易混题）：数据备份间隔不能超过灾难下业务要求的（口径已核）——本书判断：RPO（选 A）（备份间隔决定丢多少数据=恢复点目标）；⚠️ 部分解析标 B（RTO），本书判 A（RPO）——RTO 是恢复时间、与备份间隔无直接关系，备份间隔对应的是允许丢失的数据量（RPO）。易混记录在案（与 2020 考点汇总自注的争议一致）。

口诀：备份频率看 RPO（丢多少）、恢复方案看 RTO（多快回）。

3.5 风险应对与业务恢复（2021 多96/97、2019 多99）

降风险措施（2021 多96、2019 多99）：数据备份、双机热备、磁盘阵列、服务器集群、安全制度与技术、良好设计+补丁——都是降低 IT 风险的有效措施。

业务恢复（2021 多97，选 ABCD）：灾难后业务恢复策略包括——关键资源恢复、业务替代手段、数据追补、恢复优先级（全选）。

口诀：降风险=备份+热备+集群+制度+补丁；恢复=关键资源+替代+追数+优先级。

3.6 风险评估（补强；2018 单65、2019 多94、2020 单67/多100）

风险＝f(资产, 威胁, 脆弱性)：资产存在脆弱性、被威胁利用 ⇒ 产生风险（COSO 的风险管理框架把它拆成目标设定→事项识别→风险评估→风险应对→控制活动→信息沟通→监控七要素）。

流程四步：识别 → 分析 → 评价 → 处置，处置后持续监控。

识别：资产、威胁、已有控制；
分析：可能性 × 影响（定量用 SLE/ALE，定性用高/中/低）；
评价：与风险准则比较，排优先级、判"是否可接受"；
处置四法：降低（加控制）／规避（不做该业务）／转移（保险、外包）／接受（自留）。

定量三公式：SLE＝AV × EF（单次损失期望＝资产价值×暴露因子）；ALE＝SLE × ARO（年损失期望＝单次×年发生次数）；措施年收益＝ALE(前) − ALE(后) − 措施成本。

必背判断：

风险不能被彻底清除，只能降到可接受水平（2018 单65 的错项就是"可采取适当措施彻底清除风险"）；处置后剩下的叫残余风险（2019 多94）。
风险管理不能只监测不处置（2020 单67 的错项）。
保险属于风险转移，不是技术手段（2018 多95）。

3.7 业务连续性与容灾（补强；2023 单80、2024 单78、2025 单74）

三个概念的顺序：BIA（业务影响分析）→ BCP（业务连续性计划）→ DRP（灾难恢复计划）。

BIA 回答"哪些业务最关键、能停多久"⇒ 为恢复优先级提供依据（2023 单80）；制订 BCP 的第一步就是做 BIA（2024 单78）。
BCP 管业务怎么持续（人、流程、替代场地）；DRP 管IT 系统怎么恢复（数据、系统、切换）。

备份三型（必背）：

类型	备份什么	恢复速度	占用空间
完全备份	全部数据	慢	最大
差异备份	上次完全备份后变化的	中（完全＋最后一次差异）	中
增量备份	上次任意备份后变化的	最慢（要串起整条链）	最小

2025 单74：恢复最快＝完整备份＋差异备份（只需追加最后一次差异）。
3-2-1 原则：3 份副本、2 种介质、1 份异地。

容灾等级（GB/T 20988）六级：基本支持 → 备用场地 → 数据远程备份 → 数据备份＋备用场地 → 应用远程切换 → 零数据丢失＋应用远程切换（最高）。

站点：冷站（只有场地，最便宜最慢）／温站（部分设备）／热站（全设备，最快最贵）。
演练：桌面演练 → 模拟演练 → 完全演练；演练须留记录、形成改进项。

四、易错坑汇总（命题人惯用陷阱）

外包不可转嫁责任（2025 单80）——"外包后主体责任归服务商"错误（主体/管理责任不可外包）。
外包增加风险（2021 多96）——"外包转嫁所有风险"错误（外包增加管理复杂度，需监控）。
RPO vs RTO（2020 单77）——备份间隔对应 RPO（部分解析标 RTO 有争议，本书判 RPO）。
审计=留痕（2018 单62）——"审计是打补丁"错误（审计记录事件）。
IT 风险四因素（2026 多85）——漏选"管理缺陷"是常见错（自然/人为/技术/管理）。
法人兜底（2021 单74）——"外包后第一责任人是服务商"错误（法定代表人）。
业务恢复四要素（2021 多97）——漏选"数据追补/恢复优先级"常见。
备份与双活——"有了备份就不用双活"错误（备份管数据恢复、双活管业务连续性，两者互补）。

五、横向扩展（防漏网：本章边界内、真题尚未考但可能补考的点）

说明：横向扩展覆盖"大纲范围内但 9 年真题未考过"的知识，标注【新增概率】供取舍。

金融监管"五大监管"【高】：机构监管/行为监管/功能监管/穿透式监管/持续监管——2027 高概率（监管政策）。
商业银行信息科技风险管理指引【中】：科技治理架构、风险管理要求——监管文件题。
业务连续性管理（BCM）【中】：应急预案/演练/恢复计划——与 2021 多97 衔接。
外包分级管理【低】：重要外包/一般外包分类监管——名词题。
灾备中心等级【低】：同城/异地灾备、数据级/应用级——与 5.10 双活衔接。
数据资产分级【中】：数据按敏感度分级（公开/内部/机密）——与 7.8 数据分类衔接。
金融科技创新监管沙盒【低】：创新试点机制——与 8.6 监管科技衔接。
IT 治理（IT 治理框架）【低】：董事会/高管职责（2020 单80 相关）——名词题。

六、真题演练（代表性真题 + 解析）

例 1（2025 单80） 关于金融机构信息科技外包，错误的说法是（口径已核）。 A. 外包可提高效率、降低成本 B. 外包可分散部分风险 C. 外包后网络安全主体责任可转嫁给服务商 D. 外包需进行风险评估和监督管理

答案：C。主体责任不可转嫁（外包做事不外包责任）——C 是错误说法。口诀：外包不外包责任。

例 2（2021 多96） 降低信息科技风险的措施有（口径已核）。 A. 数据备份、双机热备 B. 安全制度与技术 C. 良好设计+补丁管理 D. 将风险全部外包

答案：ABC。备份/热备（A）、制度与技术（B）、设计+补丁（C）都对；"风险全部外包"（D）错误——外包增加风险不能转嫁。口诀：降风险靠自己、外包不背锅。

例 3（2018 单62） 记录失败登录等安全事件到日志，属于（口径已核）行为。 A. 备份　B. 审计　C. 加密　D. 认证

答案：B。记录安全事件=审计（留痕）。口诀：审计=留痕可追溯。

例 4（2026 多85） 银行业信息科技风险的因素包括（口径已核）。 A. 自然因素　B. 人为因素　C. 技术漏洞　D. 管理缺陷

答案：ABCD（全选）。IT 风险四因素=自然/人为/技术/管理。口诀：自然人为技术管理。

例 5（2020 单77，⚠️ 易混题） 数据备份间隔不能超过灾难下业务要求的（口径已核）。 A. RPO（恢复点目标）　B. RTO（恢复时间目标）　C. SLA　D. MTBF

答案：A（本书判断）。备份间隔对应 RPO（允许丢失的数据量）；⚠️ 部分解析标 B（RTO），本书判 A——RTO 是恢复时间、与备份间隔无关。口诀：丢多少看 RPO、多快回看 RTO。

例 6（2021 多97） 灾难后业务恢复策略包括（口径已核）。 A. 关键资源恢复　B. 业务替代手段　C. 数据追补　D. 恢复优先级

答案：ABCD（全选）。业务恢复四要素=关键资源/替代手段/数据追补/优先级。口诀：恢复四件套。

七、本章小结

一条主线：外包（主体不可外包/法人兜底/增风险）→ IT 审计（留痕/清无主权限）→ IT 风险四因素（自然/人为/技术/管理）→ RPO/RTO → 风险应对与业务恢复。
必背判定：外包不转责任（2025 单80）；备份间隔看 RPO（2020 单77 本书判 A）；风险四因素（2026 多85）；审计留痕（2018 单62）。
衔接预告：外包→6.9；RPO/RTO→4.6 备份；监管五大→第 1 篇 1.4 金融监管；双活→5.10。