商业银行信息科技风险管理指引（2009年） 第二十一条

第二十一条 商业银行信息科技部门应落实信息安全管理职能。该职能应包括建立信息安全计划和保持长效的管理机制，提高全体员工信息安全意识，就安全问题向其他部门提供建议，并定期向信息科技管理委员会提交本银行信息安全评估报告。信息安全管理机制应包括信息安全标准、策略、实施计划和持续维护计划。

信息安全策略应涉及以下领域：

安全制度管理。

信息安全组织管理。

资产管理。

人员安全管理。

物理与环境安全管理。

通信与运营管理。

访问控制管理。

系统开发与维护管理。

信息安全事故管理。

业务连续性管理。

合规性管理。