1.3　基于ITIL規范的運維體系

信息技術基礎架構庫（Information Technology Infrastructure Library，ITIL）是全球公認的一系列信息技術服務管理的最佳實踐，它由英國中央計算機與電信局創建，旨在滿足將信息技術應用于商業領域的發展要求。

從2010年開始，商業銀行按照ITIL規范進行生產運行流程制度體系建設，建立了較為規范、全面的事件管理、問題管理、變更管理、應急處置等運維管理流程，并制定了相應的管理制度。有很多商業銀行在ITIL實踐基礎上，通過了信息技術服務管理體系標準ISO 20000認證。

在運維體系建設中，要從真實金融場景出發，用數字化手段打造可商業化運營的新產品、新模式、新業態，為客戶、員工和社會創造新價值。

1.3.1　事件處理

商業銀行的事件管理流程通過工具覆蓋至支行網點層面，包括報告、受理與分派、處理、反饋、回訪、評價等完整的事件管理流程環節。能夠高效支持從一線網點日常業務異常到數據中心各類故障事件的處置。可以通過智能機器人的使用，實現所有業務異常報障處理時間的大幅下降。

1.3.2　問題處理

商業銀行的問題管理流程通過工具覆蓋全行，包括報告、審核、分派、處理、反饋、反饋確認、提出人確認、回顧分析等完整的問題管理流程環節。從事件流程、變更流程、新系統上線流程、應急流程以及日常巡檢等方面萃取問題，并由專職問題流程經理進行問題處理進展跟蹤。同時，制定了重點問題識別標準，對重點問題進行特殊跟蹤。

1.3.3　變更實施

商業銀行的變更管理流程通過工具覆蓋全行，包括申請、審核、計劃制訂、評審、審批、實施、反饋、總結分析等完整的變更管理流程環節。通過與堡壘機、門禁系統，以及自動化平臺的整合，實現了變更審批與相關高權用戶、變更區門禁的自動化精細授權聯動，實現了自動化變更的自動化觸發。

1.3.4　應急處置

商業銀行的應急管理流程包括應急處置管理、應急預案管理、應急演練管理。

在應急處置管理方面，實現精細化的應急管理，對每個應急進行事后分析，發現改進點。在此基礎上，大力推進應急操作自動化，實現應急組織專業化，建立應急視頻會議系統，搭建應急線上管理平臺實現應急過程線上化記錄，及相關信息的全景展示。

在應急預案管理方面，建立應急預案新建、修訂、廢止的全生命周期管理機制。通過與新系統上線流程、事件流程、應急流程、變更流程、系統下線流程的銜接，實現應急預案新建、修訂、廢止的識別。

在應急演練管理方面，建立了基于場景的，包括計劃、組織、跟蹤、總結的完整的應急演練管理機制。演練方式包括生產實操演練與桌面演練。每年年初由應急管理流程經理組織制訂全年應急演練目標及具體計劃，全年演練須達到所有重要信息系統所有場景全覆蓋、所有重要基礎設施（機房、網絡、存儲）所有重要場景演練全覆蓋；由應急流程經理負責跟蹤演練計劃的完成情況，在演練后將演練發現的問題納入問題流程進行解決跟蹤。

1.3.5　安全配置基線

商業銀行所常用基礎軟硬件產品包括操作系統、關系數據庫、中間件、路由器、交換機、負載均衡器、防火墻、TLS卸載設備、密碼機等。為加強商業銀行信息系統的安全管理，應明確各類基礎軟硬件產品應當遵循的基礎安全配置規范和要求，防控因基本安全措施缺失而造成的風險。

通常，商業銀行總行信息技術管理部作為安全基線的主管部門，負責制定和維護信息系統安全基線管理辦法，明確基線管理的相關要求等相關工作；軟件開發中心作為執行部門，負責應用開發、常用應用開發平臺主推版本清單的制定、發布和維護，以及對應基礎安全配置規范或模板的制定、發布和維護等相關工作；數據中心作為執行部門，負責常用基礎軟、硬件產品主推版本和型號清單的制定、發布和維護，以及對應基礎安全配置規范或模板的制定、發布和維護等相關工作。

針對關系數據庫，根據安全配置基線，選擇合理的軟件版本，經測試后安裝必須安裝的補丁文件；刪除或禁用非必需的默認用戶；根據關系數據庫用途，對系統默認安裝的功能和組件進行剪裁，卸載或禁用非必需的功能或組件；及時清理過期用戶、角色和用戶組；使用非操作系統超級管理員用戶啟動和維護數據庫；啟用用戶密碼策略，防止選用弱密碼，包括：

（1）宜啟用密碼復雜度策略。

（2）應選用安全的密碼，避免使用弱密碼。

（3）應避免重復使用相同的密碼。

（4）禁止空密碼用戶登錄。