標準簡介
OSFI B-13 是加拿大聯邦金融機構技術和網路風險管理的核心監管指引，自 2024 年 1 月 1 日生效。它採用基於風險和結果的方法，涵蓋治理、技術營運與韌性以及網路安全三個領域。
本頁把 B-13 轉化為可執行的治理、資產、韌性、網路安全、第三方和事件報告檢查清單，並說明它與 OSFI B-10、E-21、ISO 27001、NIST CSF 2.0 及 24 小時事件通知流程的關係。
適用於加拿大聯邦監管金融機構
B-13 適用於聯邦監管的銀行、信託和貸款公司、保險機構及相關外國分支機構，但分支機構還需結合其加拿大業務適用的法律義務和專門監管要求。
三個結果領域
指引圍繞治理與風險管理、技術營運與韌性、網路安全組織監管期望，而不是規定單一的技術控制清單。
銜接 24 小時報告流程
OSFI 的另一份事件報告通告要求在 24 小時內或儘早報告符合條件的技術或網路安全事件。B-13 事件管理流程應直接銜接該判斷與報告機制。
list_alt B-13 準備重點
- 董事會和高級管理層對技術與網路風險的問責
- 保持最新的技術資產清單和分類
- 安全開發、採購、變更和修補程式管理
- 技術服務、容量、可用性和恢復監控
- 涵蓋外部與內部人員威脅的網路風險評估
- 身分、存取、資料、網路和基礎設施保護
- 事件回應、根因分析、演練和經驗改進
- 與 B-10 指引協調管理第三方依賴
誰需要合規？
受 OSFI 監管的加拿大聯邦金融機構，包括銀行、外國銀行分支機構、信託和貸款公司、人壽保險公司、互助保險組織、財產和意外傷害保險公司以及外國保險分支機構。外國分支機構應結合加拿大適用法律義務和 OSFI E-4 指引實施 B-13。
關鍵要求
治理技術與網路風險
明確問責、策略、框架、風險偏好、政策、獨立質詢和報告機制，使高級管理層和董事會能夠看到並監督技術與網路風險決策。
控制技術全生命週期
維護技術資產清單，並在架構、開發、採購、變更、配置、修補、技術債務、生命週期結束和資料管理全過程實施控制。
建立營運韌性
定義服務和容量標準，監控可用性，維持備份與恢復能力，測試災難恢復，並透過問題管理將事件處理到根因和經驗改進。
識別並防禦網路威脅
採用威脅驅動的評估、分層防禦、身分與存取管理、資料保護、安全配置、漏洞管理、監控和測試，保持機密性、完整性和可用性。
管理依賴和監管報告
把重大第三方納入風險、韌性和事件流程，並將內部升級與 OSFI 報告標準、24 小時首次通知和持續更新要求相銜接。
實施路線圖
建立 B-13 治理基線
確認範圍內的加拿大實體和分支機構，分配第一道防線責任與獨立監督職責，批准技術和網路風險偏好，並將 B-13 與 B-10、E-21、E-4 及事件報告通告進行映射。
梳理資產、服務和依賴
建立技術資產、關鍵服務、資料、架構、生命週期結束風險、第三方和集中度依賴的最新視圖，並把重要服務連接到負責人、韌性容忍度和恢復證據。
彌補控制與韌性差距
優先處理安全開發、變更、修補、存取、資料保護、漏洞管理、監控、備份、恢復、事件回應和第三方控制缺口。可使用 OSFI 自評工具或同等可追溯方法。
演練、報告並持續維護
測試嚴重但合理的情境，演練 24 小時 OSFI 通知流程，審查服務與網路風險指標，關閉發現項，並在技術、供應商、威脅或業務變化後更新風險評估。
合規檢查清單
checklist 治理與風險管理
checklist 技術營運與韌性
checklist 網路安全
checklist 第三方與事件
B-13 與常見網路安全框架
外部框架可以支持 B-13 證據，但對聯邦金融機構而言，OSFI 的範圍和監管結果仍是控制基準。
| 框架 | 主要用途 | 如何支持 B-13 |
|---|---|---|
| OSFI B-13 | 加拿大技術與網路風險審慎監管期望 | 範圍內聯邦金融機構的控制監管基線 |
| ISO/IEC 27001:2022 | 可認證的資訊安全管理體系 | 支持治理、風險處置、控制運行和保證證據 |
| NIST CSF 2.0 | 基於結果的網路風險框架 | 支持治理、識別、保護、偵測、回應和恢復映射 |
| OSFI B-10 | 第三方風險管理 | 增加盡調、合約、雲端、集中度、分包商和退出要求 |
| OSFI E-21 | 營運風險管理與韌性 | 把技術恢復連接到關鍵營運、連續性和嚴重情境測試 |
常見誤區
B-13 只是一份資訊安全指引。
它還涵蓋治理、架構、開發、變更、營運、容量、可用性、恢復、事件和技術生命週期風險。
服務外包後，金融機構的責任也隨之轉移。
機構仍然承擔責任，必須結合 B-10 管理供應商、雲端服務、分包商和事件通知。
ISO 27001 證書即可完成 B-13 評估。
認證可提供有用證據，但仍需直接映射範圍、技術韌性結果、OSFI 報告和加拿大監管期望。
只有查明根因後才開始計算 24 小時。
對符合報告條件的事件，通告要求在 24 小時內或儘早進行首次通知；未知事實可以明確標註並隨後更新。
處罰與執行
B-13 屬於監管指引，本身沒有單獨的行政罰款表。OSFI 透過基於風險的監管評估實施情況，並可依相關聯邦金融機構法律加強監管或採取其他措施。根據單獨的事件報告通告，未按要求報告可能導致強化監控、列入觀察名單或提高監管分級。
常見問題解答
誰必須遵守 OSFI B-13 指引？
expand_more
B-13 適用於 OSFI 監管的聯邦金融機構，包括聯邦監管銀行、信託和貸款公司、保險機構及相關外國分支機構。分支機構應結合加拿大法律義務和 OSFI 分支機構指引實施。
B-13 是可認證標準嗎？
expand_more
不是。B-13 是 OSFI 監管指引，不是認證方案。ISO 27001 證書或其他保證報告可以作為證據，但不能證明已完整實施 B-13。
B-13 何時生效？
expand_more
OSFI 於 2022 年 7 月發布最終指引，並於 2024 年 1 月 1 日生效。針對外國分支機構的相應修訂於 2024 年 2 月發布。
每個網路事件都必須在 24 小時內報告嗎？
expand_more
不是。單獨的 OSFI 事件報告通告規定了報告標準。當事件符合報告條件時，機構必須在 24 小時內或儘早通知 OSFI，並隨資訊更新繼續報告。
B-13 與 OSFI B-10 有什麼關係？
expand_more
B-13 管理機構自身的技術和網路風險結果；B-10 增加第三方風險要求，包括技術、網路、雲端、分包商、集中度、可遷移性、韌性和事件報告依賴。
可以使用 OSFI 自評工具進行差距分析嗎？
expand_more
可以。OSFI 自願性工具與 B-13 對齊，可用於成熟度評分和整改。機構也可使用其他框架，但應保持每項 B-13 期望到負責人、控制、證據、差距和行動計畫的可追溯性。