银行业金融机构应当制定和落实信息科技外包信息安全管控措施，明确外包活动需要访问或使用的信息资产，包括（）。