银行保险机构信息科技外包风险监管办法（2021年） 第三十二条

第三十二条 银行保险机构应当制定和落实网络和信息安全管理措施，包括但不限于：

对服务提供商和外包人员进行网络和信息安全教育或培训，增强网络和信息安全意识，服务提供商应与银行保险机构签订安全保密协议，外包人员应签署安全保密承诺书；

明确外包活动需要访问或使用的信息资产，按“必需知道”和“最小授权”原则进行访问授权，严格管控远程维护行为；

对信息系统开发交付物（含拥有知识产权的源代码）进行安全扫描和检查；

对客户信息、源代码和文档等敏感信息采取严格管控措施，对敏感信息泄露风险进行持续监测；

对服务提供商所提供的模型、算法及相关信息系统加强管理，确保模型和算法遵循可解释、可验证、透明、公平的原则；

定期对外包活动进行网络和信息安全评估。