标准简介
OSFI B-13 是加拿大联邦金融机构技术和网络风险管理的核心监管指引，自 2024 年 1 月 1 日生效。它采用基于风险和结果的方法，涵盖治理、技术运营与韧性以及网络安全三个领域。
本页把 B-13 转化为可执行的治理、资产、韧性、网络安全、第三方和事件报告检查清单，并说明它与 OSFI B-10、E-21、ISO 27001、NIST CSF 2.0 及 24 小时事件通知流程的关系。
适用于加拿大联邦监管金融机构
B-13 适用于联邦监管的银行、信托和贷款公司、保险机构及相关外国分支机构，但分支机构还需结合其加拿大业务适用的法律义务和专门监管要求。
三个结果领域
指南围绕治理与风险管理、技术运营与韧性、网络安全组织监管期望，而不是规定单一的技术控制清单。
衔接 24 小时报告流程
OSFI 的另一份事件报告通告要求在 24 小时内或尽早报告符合条件的技术或网络安全事件。B-13 事件管理流程应直接衔接该判断与报告机制。
list_alt B-13 准备重点
- 董事会和高级管理层对技术与网络风险的问责
- 保持最新的技术资产清单和分类
- 安全开发、采购、变更和补丁管理
- 技术服务、容量、可用性和恢复监控
- 覆盖外部与内部人员威胁的网络风险评估
- 身份、访问、数据、网络和基础设施保护
- 事件响应、根因分析、演练和经验改进
- 与 B-10 指引协调管理第三方依赖
谁需要合规？
受 OSFI 监管的加拿大联邦金融机构，包括银行、外国银行分支机构、信托和贷款公司、人寿保险公司、互助保险组织、财产和意外伤害保险公司以及外国保险分支机构。外国分支机构应结合加拿大适用法律义务和 OSFI E-4 指引实施 B-13。
关键要求
治理技术与网络风险
明确问责、战略、框架、风险偏好、政策、独立质询和报告机制，使高级管理层和董事会能够看到并监督技术与网络风险决策。
控制技术全生命周期
维护技术资产清单，并在架构、开发、采购、变更、配置、补丁、技术债务、生命周期结束和数据管理全过程实施控制。
建立运营韧性
定义服务和容量标准，监控可用性，维持备份与恢复能力，测试灾难恢复，并通过问题管理将事件处理到根因和经验改进。
识别并防御网络威胁
采用威胁驱动的评估、分层防御、身份与访问管理、数据保护、安全配置、漏洞管理、监控和测试，保持机密性、完整性和可用性。
管理依赖和监管报告
把重大第三方纳入风险、韧性和事件流程，并将内部升级与 OSFI 报告标准、24 小时首次通知和持续更新要求相衔接。
实施路线图
建立 B-13 治理基线
确认范围内的加拿大实体和分支机构，分配第一道防线责任与独立监督职责，批准技术和网络风险偏好，并将 B-13 与 B-10、E-21、E-4 及事件报告通告进行映射。
梳理资产、服务和依赖
建立技术资产、关键服务、数据、架构、生命周期结束风险、第三方和集中度依赖的最新视图，并把重要服务连接到负责人、韧性容忍度和恢复证据。
弥补控制与韧性差距
优先处理安全开发、变更、补丁、访问、数据保护、漏洞管理、监控、备份、恢复、事件响应和第三方控制缺口。可使用 OSFI 自评工具或同等可追溯方法。
演练、报告并持续维护
测试严重但合理的情景，演练 24 小时 OSFI 通知流程，审查服务与网络风险指标，关闭发现项，并在技术、供应商、威胁或业务变化后更新风险评估。
合规检查清单
checklist 治理与风险管理
checklist 技术运营与韧性
checklist 网络安全
checklist 第三方与事件
B-13 与常见网络安全框架
外部框架可以支持 B-13 证据，但对联邦金融机构而言，OSFI 的范围和监管结果仍是控制基准。
| 框架 | 主要用途 | 如何支持 B-13 |
|---|---|---|
| OSFI B-13 | 加拿大技术与网络风险审慎监管期望 | 范围内联邦金融机构的控制监管基线 |
| ISO/IEC 27001:2022 | 可认证的信息安全管理体系 | 支持治理、风险处置、控制运行和保证证据 |
| NIST CSF 2.0 | 基于结果的网络风险框架 | 支持治理、识别、保护、检测、响应和恢复映射 |
| OSFI B-10 | 第三方风险管理 | 增加尽调、合同、云、集中度、分包商和退出要求 |
| OSFI E-21 | 运营风险管理与韧性 | 把技术恢复连接到关键运营、连续性和严重情景测试 |
常见误区
B-13 只是一份信息安全指引。
它还覆盖治理、架构、开发、变更、运营、容量、可用性、恢复、事件和技术生命周期风险。
服务外包后，金融机构的责任也随之转移。
机构仍然承担责任，必须结合 B-10 管理供应商、云服务、分包商和事件通知。
ISO 27001 证书即可完成 B-13 评估。
认证可提供有用证据，但仍需直接映射范围、技术韧性结果、OSFI 报告和加拿大监管期望。
只有查明根因后才开始计算 24 小时。
对符合报告条件的事件，通告要求在 24 小时内或尽早进行首次通知；未知事实可以明确标注并随后更新。
处罚与执行
B-13 属于监管指引，本身没有单独的行政罚款表。OSFI 通过基于风险的监管评估实施情况，并可依相关联邦金融机构法律加强监管或采取其他措施。根据单独的事件报告通告，未按要求报告可能导致强化监控、列入观察名单或提高监管分级。
常见问题解答
谁必须遵守 OSFI B-13 指引？
expand_more
B-13 适用于 OSFI 监管的联邦金融机构，包括联邦监管银行、信托和贷款公司、保险机构及相关外国分支机构。分支机构应结合加拿大法律义务和 OSFI 分支机构指引实施。
B-13 是可认证标准吗？
expand_more
不是。B-13 是 OSFI 监管指引，不是认证方案。ISO 27001 证书或其他保证报告可以作为证据，但不能证明已完整实施 B-13。
B-13 何时生效？
expand_more
OSFI 于 2022 年 7 月发布最终指引，并于 2024 年 1 月 1 日生效。针对外国分支机构的相应修订于 2024 年 2 月发布。
每个网络事件都必须在 24 小时内报告吗？
expand_more
不是。单独的 OSFI 事件报告通告规定了报告标准。当事件符合报告条件时，机构必须在 24 小时内或尽早通知 OSFI，并随信息更新继续报告。
B-13 与 OSFI B-10 有什么关系？
expand_more
B-13 管理机构自身的技术和网络风险结果；B-10 增加第三方风险要求，包括技术、网络、云、分包商、集中度、可迁移性、韧性和事件报告依赖。
可以使用 OSFI 自评工具进行差距分析吗？
expand_more
可以。OSFI 自愿性工具与 B-13 对齐，可用于成熟度评分和整改。机构也可使用其他框架，但应保持每项 B-13 期望到负责人、控制、证据、差距和行动计划的可追溯性。