保险业信息系统灾难恢复管理指引（2008年）

第一章 总则

第一条 为规范并指导我国保险业信息系统灾难恢复工作，提高防范灾难风险的能力，保障持续运营，保护客户和股东的合法权益，根据《中华人民共和国保险法》、国家信息安全法律法规及… 第二条 保险业信息系统灾难恢复工作应坚持“统筹规划、资源共享、平战结合、等级灾备”的原则，平衡成本与风险，确保工作的有效性。 第三条 本指引所称保险机构是指，经中国保险监督管理委员会（以下简称“中国保监会”）批准设立，并依法登记注册的保险公司、保险资产管理公司、外国保险公司分公司及港、澳、台地… 第四条 本指引所称灾难恢复为信息系统灾难恢复。灾难恢复工作是指，为保障信息系统持续运营，防范灾难风险并减轻灾难造成的损失和不良影响而开展的一系列工作，包括：组织机构设立… 第五条 中国保监会负责对保险业信息系统灾难恢复工作实施监督和管理。 第六条 《信息安全技术信息系统灾难恢复规范》（GB/T20988-2007）中的条款通过本指引的引用而成为本指引的条款。

第二章 总体工作要求

第七条 保险机构应统筹规划信息系统灾难恢复工作，自本指引生效起五年内至少达到本指引规定的最低灾难恢复能力等级要求。 第八条 保险机构应持续开展灾难恢复工作，以保障灾难恢复策略、灾难备份系统和灾难恢复预案的适用性。 第九条 保险机构应加强与其业务密切相关的机构间的协调，共同评估面临的风险，协同制定灾难恢复策略，提高整体风险防范和灾难恢复能力。

第三章 组织机构

第十条 保险机构法定代表人或主要负责人是灾难恢复工作的责任人。 第十一条 灾难恢复的组织机构由保险机构的管理、业务、技术、财务和行政后勤等相关人员组成。 第十二条 保险机构灾难恢复组织机构在灾难恢复规划、实施和运营维护阶段的主要职责： 第十三条 从事灾难恢复的专业工作人员应符合以下要求：

第四章 需求分析和策略制定

第十四条 灾难恢复需求分析包括风险分析和业务影响分析。保险机构的风险分析和业务影响分析应符合以下要求： 第十五条 保险机构应根据风险分析和业务影响分析的结果，确定信息系统的灾难恢复目标，包括： 第十六条 保险机构应加强重要数据的备份和传输安全管理，保证数据的完整性。重要数据应异地备份，防范区域性灾难风险。重要数据包括但不限于：客户数据、承保数据、赔付数据、资金运… 第十七条 保险机构应根据风险分析和业务影响分析的结论，将直接或间接支持关键业务功能的信息系统分成三种类别： 第十八条 信息系统的最低灾难恢复能力等级要求： 第十九条 保险机构应制定统一的灾难恢复策略。灾难恢复策略包括灾难恢复建设计划、灾难恢复资源要素的具体要求和灾难恢复建设模式。 第二十条 保险机构应编写风险分析报告、业务影响分析报告、灾难恢复策略报告。灾难恢复策略经决策层审查和批准后，按本指引要求备案。

第五章 灾难备份中心的建设与运行维护

第二十一条 保险机构的灾难备份中心应设置在中华人民共和国境内（不包括港、澳、台地区）。 第二十二条 灾难备份中心的基础设施应符合以下要求： 第二十三条 灾难备份系统的建设应符合以下要求： 第二十四条 灾难备份中心的运行维护应符合以下要求：

第六章 资源和专业服务的获取和保障

第二十五条 灾难恢复建设可以采用自建、共建和外包等模式，并按有关要求向中国保监会备案。 第二十六条 保险机构在进行灾难恢复外包时，应根据灾难恢复策略确定外包服务范围，认真分析和评估外包存在的风险，制定相关的风险管控措施。应与外包服务商签署服务水平协议，并定期验… 第二十七条 采用共建模式的灾难恢复建设应至少满足各参与单位的最低灾难恢复能力等级要求，并明确权责，签订相关的合同或协议。

第七章 灾难恢复预案的管理

第二十八条 保险机构应制订灾难恢复预案，预案应包含：灾难恢复组织机构各工作岗位的职责、灾难恢复的整个过程以及灾难恢复所需的资料和配套资源等。预案的结构、内容和步骤清晰明确，… 第二十九条 保险机构所制定的灾难恢复预案，应按照由模拟到实际、从易到难、从局部到整体的原则进行测试和演练，及时总结评估，完善灾难恢复预案，通过演练使得相关人员熟练灾难恢复操… 第三十条 保险机构应安排专人负责灾难恢复预案的日常维护管理，预案可以以多种形式的介质拷贝保存在不同的安全地点，并确保在生产中心以外的安全地点存放灾难恢复预案。灾难恢复预案… 第三十一条 灾难恢复预案的教育和培训应贯穿灾难恢复规划和实施的全过程。保险机构应定期组织预案培训，并保存培训文档。

第八章 应急响应和灾难恢复

第三十二条 保险机构针对信息系统的风险应建立科学的预警机制，在信息系统发生紧急事件后，应建立应急指挥中心，统一领导、协调和指挥所有应急响应工作，加强信息沟通和跨部门协调，提… 第三十三条 灾难恢复工作人员应根据灾难恢复预案执行相关的指挥和操作工作，并及时跟踪事态变化和恢复进程，加强沟通，加强恢复工作的统一指挥和管理。 第三十四条 保险机构应明确信息系统的重建方案，在进行信息系统重建前应评估灾难造成的损失。根据损失评估情况，结合灾难备份系统运行可接受的最长时间，确定修复或者重新建设方案，执… 第三十五条 灾难恢复之后，应及时组织相关人员进行总结，修订灾难恢复策略和灾难恢复预案。

第九章 审计和备案

第三十六条 灾难恢复工作的审计分为内部审计和外部审计。内部审计由保险机构内部人员组织实施。外部审计由具有国家相应监管部门认定资质的中介机构组织实施。 第三十七条 审计工作主要包括以下内容： 第三十八条 保险机构应根据信息系统的灾难恢复工作情况，确定审计频率，每三年至少进行一次审计。 第三十九条 保险机构灾难恢复工作报告和审计报告应在中国保监会进行备案。灾难恢复工作报告备案工作在每年的第一季度进行，审计报告备案工作在审计结束后的三个月内进行。灾难恢复工作… 第四十条 中国保监会根据工作需要，可对保险机构的信息系统灾难恢复规划、建设、运营等进行不定期抽查、现场检查。

第十章 附则

第四十一条 本指引由中国保监会负责解释、修订。 第四十二条 本指引自颁布之日起施行。