供应商资格实地考察进场单

项目名称：

被考察机构：

考察地址：

考察时间：

考察小组： 人，组长签字（其他成员不用签字）：

被考察人（签字）：

供应商资格实地考察结论

项目名称：

被考察机构：

考察地址：

考察时间：

考察内容：基本准入条件（信息科技外包服务管理情况）、分公司准入条件相关要求

序号

审核标准

检查要点

具体情况

是否合格

1

外部催收机构对服务不同机构的设施、系统和数据有明确、清晰的边界。

1.检查业务系统、业务处理终端、业务人员权限对于数据存储和访问的隔离措施。

合格□ 不合格□

2

呼叫业务系统操作终端具备对敏感信息屏蔽功能，具有客户敏感信息访问日志记录。

2.现场查看呼叫业务系统，是否明文显示客户完整卡号、账号、手机号、家庭电话、出生日期等敏感信息。（行方系统除外）

3.查看呼叫业务系统，是否有客户敏感信息访问日志记录。

合格□ 不合格□

3

用于外包业务处理的网络与其办公网络实施网络隔离。

4.检查网络拓扑及管理策略，检查业务网络和办公网络、互联网是否进行隔离。

5.登录业务电脑，检查是否能够连通其他网络（通过PING或TELNET办公网主机或互联网网站（如百度等）

6.登录办公电脑和互联网电脑、检查是否能够连通业务网络（打开业务系统界面）

合格□ 不合格□

4

具有一定经营规模和固定办公场所（ (略) 必须有固定办公场所，面积不少于400平米）。

7.申请人在昆明机构签署的有效产权证明材料或租房合同【租房合同的租期不低于1年，且截至评审日该合同仍然有效】。

合格□ 不合格□

5

具备拟派本项目服务人员不少于40（含）人（不含项目负责人）的能力。

8.申请人在昆明机构2023年1月至资格预审申请文件提交截止时间前任意三个月的缴纳社会保险的凭据（专用收据或社会保险缴纳清单），人员不少于40（含）人（不含项目负责人）。

合格□ 不合格□

实地考察结论：

□合格（上述全部合格） □不合格（上述任何一项不合格）

实地考察人

（签字）：

供应商资格实地考察记录

项目名称：

被考察机构：

考察地址：

考察时间：

序号

内容

考察要点

符合规定

1

数据传输

原则上全部使用信息交互平台传输数据，必须使用邮箱时，应指定专用邮箱加密发送，严禁利用微信、QQ、个人邮箱传输数据。实地考察记录以下内容是否符合规定：

1.检查是否存在违规使用微信、QQ、个人邮箱，或移动存储介质传输数据的情况。

2.检查专用邮箱管理情况，以及发送邮件的审核及登记记录。

3.检查发送的邮件是否加密，是否要求及时清理。

4.查看物理介质传递数据的签收记录，核查是否由专人押运。

1.是□ 否□

2.是□ 否□

3.是□ 否□

4.是□ 否□

2

数据使用及销毁

应制定数据使用流程，有完整的数据使用、交接、销毁等各环节审批记录，登记文档。实地考察记录以下内容是否符合规定：

5.调阅数据使用管理制度，检查是否包含数据使用、交接、销毁等各环节的审批和管理要求。

6.抽查数据使用申请单或数据使用登记簿，检查是否有各环节责任人签字（审批、管理、使用、交接、销毁等）。

5.是□ 否□

6.是□ 否□

3

用户口令管理

应用系统操作用户及业务处理终端桌面用户口令长度不小于6位，不应使用简单的代码和标记，禁止使用重复数字、字母、生日、电话号码、字典单词等容易猜测的计算机系统用户口令。实地考察记录以下内容是否符合规定：

7.询问业务人员，是否清楚口令管理要求。

8.现场验证用户口令是否符合复杂度要求，终端是否设置登录口令、屏幕保护，离开计算机自动锁屏。

7.是□ 否□

8.是□ 否□

4

电脑控制

业务处理终端应通过终端安全策略进行USB、光驱管控，封禁外接存储功能，并关闭文件共享、磁盘共享功能。实地考察记录以下内容是否符合规定：

9.抽查业务电脑是否对USB等外部端口、光驱和软驱进行管控，封禁外接存储功能。

9.是□ 否□

业务处理终端应安装正版的防病毒软件，并定期进行病毒库更新。应及时升级系统安全补*。实地考察记录以下内容是否符合规定：

10.检查业务电脑是否安装了防病毒软件，病毒库是否为最新版本。是否及时升级系统安全补*。

10.是□ 否□

5

外访设备控制

应使用智能外访设备开展上门催收，外访设备应设置外访人员使用权限，关闭或卸载非业务必需的使用功能，禁止私自互联网连接、禁止私自安装APP等管控功能，按照“必需知道”和“最小授权”仅可展示当天需上门催收的信息。外访设备使用应建立台账并详细记录使用情况，台账在协议有效期内长期保存。实地考察记录以下内容是否符合规定：

11.查看外访设备和使用台账，检查数据传输、展示、使用、删除等情况，是否存在信息泄露风险。

12.检查外访设备是否关闭或卸载非业务必需的使用功能或APP等。

11.是□ 否□

12.是□ 否□

7

安全水印

所有电脑、外访设备等终端应安装水印软件，水印显示内容应包含外部催收机构名称和使用人员姓名。实地考察记录以下内容是否符合规定：

13.检查电脑和外防设备水印是否正常显示。

13.是□ 否□

8

区域隔离、门禁管控及监控要求

应设置专门的业务处理区域，进行业务操作工作，场地相对独立，并进行物理隔离，日常作业场地相对固定；业务处理区域应采取24小时门禁管理，门禁记录最少保存三个月，并定期检查；机房出入要有登记，双人管理密钥；业务处理区域应实施7x24小时实时监控，满足监控视频没有死角，监控录像最少保存三个月，并定期检查。实地考察记录以下内容是否符合规定：

14.现场检查业务处理区域、场地是否专设且固定，是否进行了物理隔离。

15.询问门禁管理人员是否了解门禁管理流程，是否对门禁系统进行定期检查，是否留有检查记录。

16.调阅机房门禁卡管理登记簿及人员岗位表，检查是否实行实名制管理，门禁卡权限是否合理。

17.检查门禁系统是否正常运行，是否采用刷卡或刷卡加密码出入，人员进出是否做到随手关门。

18.调阅历史门禁记录，检查是否能调阅自检查当天前三个月之内的门禁记录。

19.调阅门禁出入录像，匹配某几天门禁记录及出入录像，检查是否存在记录缺失情况。

20.询问区域监控管理人员，了解监控录像的保存时间是否至少三个月，并定期检查，是否留有检查记录。

21.现场查看监控系统，检查是否实施7x24小时实时监控，并无监控死角，达到足够的清晰度。

22.调阅监控录像，检查是否能调阅自检查当天前三个月之内的录像。

14.是□ 否□

15.是□ 否□

16.是□ 否□

17.是□ 否□

18.是□ 否□

19.是□ 否□

20.是□ 否□

21.是□ 否□

22.是□ 否□

9

信息安全培训

应定期或不定期开展业务和信息安全培训，并做好相关培训记录。实地考察记录以下内容是否符合规定：

23.调阅信息安全培训制度、培训计划、培训记录，查看是否建立了员工信息安全意识的定期培训机制。

24.访谈员工，了解安全培训实际执行情况，员工对用户密码保管、信息保护等安全常识是否了解。

25.调阅相关培训材料与记录，检查培训频率、人员覆盖率及培训参与度。

23.是□ 否□

24.是□ 否□

25.是□ 否□

10

人员离职安全管控

应建立人员离职管理流程，员工离职时及时收回其用户岗位及权限等。实地考察记录以下内容是否符合规定：

26.调阅员工离职有关制度、流程，查看是否包含员工离职系统权限回收流程。

27.抽查员工离职手续，验证员工离职时是否及时清理用户，并及时终止信息系统访问权限，收回各种实物认证凭证及全部信息资产。

26.是□ 否□

27.是□ 否□

11

操作员安全

可能接触到我行敏感信息的服务商操作人员，在操作区应禁止出现容易造成泄露客户敏感信息的情形。实地考察记录以下内容是否符合规定：

28.走查操作区域和调阅监控，查看操作人员桌面，是否有纸、笔、是否携带手机进入操作区域等。

29.查看服务商操作人员管理规定。

28.是□ 否□

29.是□ 否□

实地考察人

（签字）：

统计情况

“是”有（）个，“否”有（）个

供应商资格实地考察进场单

项目名称：

被考察机构：

考察地址：

考察时间：

考察小组： 人，组长签字（其他成员不用签字）：

被考察人（签字）：

供应商资格实地考察结论

项目名称：

被考察机构：

考察地址：

考察时间：

考察内容：基本准入条件（信息科技外包服务管理情况）、分公司准入条件相关要求

序号

审核标准

检查要点

具体情况

是否合格

1

外部催收机构对服务不同机构的设施、系统和数据有明确、清晰的边界。

1.检查业务系统、业务处理终端、业务人员权限对于数据存储和访问的隔离措施。

合格□ 不合格□

2

呼叫业务系统操作终端具备对敏感信息屏蔽功能，具有客户敏感信息访问日志记录。

2.现场查看呼叫业务系统，是否明文显示客户完整卡号、账号、手机号、家庭电话、出生日期等敏感信息。（行方系统除外）

3.查看呼叫业务系统，是否有客户敏感信息访问日志记录。

合格□ 不合格□

3

用于外包业务处理的网络与其办公网络实施网络隔离。

4.检查网络拓扑及管理策略，检查业务网络和办公网络、互联网是否进行隔离。

5.登录业务电脑，检查是否能够连通其他网络（通过PING或TELNET办公网主机或互联网网站（如百度等）

6.登录办公电脑和互联网电脑、检查是否能够连通业务网络（打开业务系统界面）

合格□ 不合格□

4

具有一定经营规模和固定办公场所（ (略) 必须有固定办公场所，面积不少于400平米）。

7.申请人在昆明机构签署的有效产权证明材料或租房合同【租房合同的租期不低于1年，且截至评审日该合同仍然有效】。

合格□ 不合格□

5

具备拟派本项目服务人员不少于40（含）人（不含项目负责人）的能力。

8.申请人在昆明机构2023年1月至资格预审申请文件提交截止时间前任意三个月的缴纳社会保险的凭据（专用收据或社会保险缴纳清单），人员不少于40（含）人（不含项目负责人）。

合格□ 不合格□

实地考察结论：

□合格（上述全部合格） □不合格（上述任何一项不合格）

实地考察人

（签字）：

供应商资格实地考察记录

项目名称：

被考察机构：

考察地址：

考察时间：

序号

内容

考察要点

符合规定

1

数据传输

原则上全部使用信息交互平台传输数据，必须使用邮箱时，应指定专用邮箱加密发送，严禁利用微信、QQ、个人邮箱传输数据。实地考察记录以下内容是否符合规定：

1.检查是否存在违规使用微信、QQ、个人邮箱，或移动存储介质传输数据的情况。

2.检查专用邮箱管理情况，以及发送邮件的审核及登记记录。

3.检查发送的邮件是否加密，是否要求及时清理。

4.查看物理介质传递数据的签收记录，核查是否由专人押运。

1.是□ 否□

2.是□ 否□

3.是□ 否□

4.是□ 否□

2

数据使用及销毁

应制定数据使用流程，有完整的数据使用、交接、销毁等各环节审批记录，登记文档。实地考察记录以下内容是否符合规定：

5.调阅数据使用管理制度，检查是否包含数据使用、交接、销毁等各环节的审批和管理要求。

6.抽查数据使用申请单或数据使用登记簿，检查是否有各环节责任人签字（审批、管理、使用、交接、销毁等）。

5.是□ 否□

6.是□ 否□

3

用户口令管理

应用系统操作用户及业务处理终端桌面用户口令长度不小于6位，不应使用简单的代码和标记，禁止使用重复数字、字母、生日、电话号码、字典单词等容易猜测的计算机系统用户口令。实地考察记录以下内容是否符合规定：

7.询问业务人员，是否清楚口令管理要求。

8.现场验证用户口令是否符合复杂度要求，终端是否设置登录口令、屏幕保护，离开计算机自动锁屏。

7.是□ 否□

8.是□ 否□

4

电脑控制

业务处理终端应通过终端安全策略进行USB、光驱管控，封禁外接存储功能，并关闭文件共享、磁盘共享功能。实地考察记录以下内容是否符合规定：

9.抽查业务电脑是否对USB等外部端口、光驱和软驱进行管控，封禁外接存储功能。

9.是□ 否□

业务处理终端应安装正版的防病毒软件，并定期进行病毒库更新。应及时升级系统安全补*。实地考察记录以下内容是否符合规定：

10.检查业务电脑是否安装了防病毒软件，病毒库是否为最新版本。是否及时升级系统安全补*。

10.是□ 否□

5

外访设备控制

应使用智能外访设备开展上门催收，外访设备应设置外访人员使用权限，关闭或卸载非业务必需的使用功能，禁止私自互联网连接、禁止私自安装APP等管控功能，按照“必需知道”和“最小授权”仅可展示当天需上门催收的信息。外访设备使用应建立台账并详细记录使用情况，台账在协议有效期内长期保存。实地考察记录以下内容是否符合规定：

11.查看外访设备和使用台账，检查数据传输、展示、使用、删除等情况，是否存在信息泄露风险。

12.检查外访设备是否关闭或卸载非业务必需的使用功能或APP等。

11.是□ 否□

12.是□ 否□

7

安全水印

所有电脑、外访设备等终端应安装水印软件，水印显示内容应包含外部催收机构名称和使用人员姓名。实地考察记录以下内容是否符合规定：

13.检查电脑和外防设备水印是否正常显示。

13.是□ 否□

8

区域隔离、门禁管控及监控要求

应设置专门的业务处理区域，进行业务操作工作，场地相对独立，并进行物理隔离，日常作业场地相对固定；业务处理区域应采取24小时门禁管理，门禁记录最少保存三个月，并定期检查；机房出入要有登记，双人管理密钥；业务处理区域应实施7x24小时实时监控，满足监控视频没有死角，监控录像最少保存三个月，并定期检查。实地考察记录以下内容是否符合规定：

14.现场检查业务处理区域、场地是否专设且固定，是否进行了物理隔离。

15.询问门禁管理人员是否了解门禁管理流程，是否对门禁系统进行定期检查，是否留有检查记录。

16.调阅机房门禁卡管理登记簿及人员岗位表，检查是否实行实名制管理，门禁卡权限是否合理。

17.检查门禁系统是否正常运行，是否采用刷卡或刷卡加密码出入，人员进出是否做到随手关门。

18.调阅历史门禁记录，检查是否能调阅自检查当天前三个月之内的门禁记录。

19.调阅门禁出入录像，匹配某几天门禁记录及出入录像，检查是否存在记录缺失情况。

20.询问区域监控管理人员，了解监控录像的保存时间是否至少三个月，并定期检查，是否留有检查记录。

21.现场查看监控系统，检查是否实施7x24小时实时监控，并无监控死角，达到足够的清晰度。

22.调阅监控录像，检查是否能调阅自检查当天前三个月之内的录像。

14.是□ 否□

15.是□ 否□

16.是□ 否□

17.是□ 否□

18.是□ 否□

19.是□ 否□

20.是□ 否□

21.是□ 否□

22.是□ 否□

9

信息安全培训

应定期或不定期开展业务和信息安全培训，并做好相关培训记录。实地考察记录以下内容是否符合规定：

23.调阅信息安全培训制度、培训计划、培训记录，查看是否建立了员工信息安全意识的定期培训机制。

24.访谈员工，了解安全培训实际执行情况，员工对用户密码保管、信息保护等安全常识是否了解。

25.调阅相关培训材料与记录，检查培训频率、人员覆盖率及培训参与度。

23.是□ 否□

24.是□ 否□

25.是□ 否□

10

人员离职安全管控

应建立人员离职管理流程，员工离职时及时收回其用户岗位及权限等。实地考察记录以下内容是否符合规定：

26.调阅员工离职有关制度、流程，查看是否包含员工离职系统权限回收流程。

27.抽查员工离职手续，验证员工离职时是否及时清理用户，并及时终止信息系统访问权限，收回各种实物认证凭证及全部信息资产。

26.是□ 否□

27.是□ 否□

11

操作员安全

可能接触到我行敏感信息的服务商操作人员，在操作区应禁止出现容易造成泄露客户敏感信息的情形。实地考察记录以下内容是否符合规定：

28.走查操作区域和调阅监控，查看操作人员桌面，是否有纸、笔、是否携带手机进入操作区域等。

29.查看服务商操作人员管理规定。

28.是□ 否□

29.是□ 否□

实地考察人

（签字）：

统计情况

“是”有（）个，“否”有（）个