銀行業(yè)信息安全管理體系手冊(cè)-文庫(kù)吧
2025-07-26 16:52 本頁(yè)面
【正文】 管理體系；2）識(shí)別并滿足適用法律法規(guī)和相關(guān)方信息安全要求，充分履行社會(huì)責(zé)任；3）對(duì)ISMS進(jìn)行測(cè)量、監(jiān)視、評(píng)審活動(dòng)，定期按照事先設(shè)定的風(fēng)險(xiǎn)評(píng)估準(zhǔn)則，對(duì)阜新銀行信息科技部進(jìn)行風(fēng)險(xiǎn)評(píng)估、ISMS評(píng)審、采取糾正預(yù)防措施，保證體系的持續(xù)有效；4）采用先進(jìn)有效的設(shè)施和技術(shù)，處理、傳遞、存儲(chǔ)和保護(hù)各類信息，實(shí)現(xiàn)信息共享；5）對(duì)阜新銀行信息科技部全體員工，進(jìn)行持續(xù)的信息安全教育和培訓(xùn)，不斷增強(qiáng)員工的信息安全意識(shí)和能力；6）制定并保持完善的業(yè)務(wù)連續(xù)性計(jì)劃，實(shí)現(xiàn)可持續(xù)發(fā)展。上述方針由阜新銀行信息科技部最高管理者發(fā)布，并定期評(píng)審其適用性、充分性，必要時(shí)予以修訂。 風(fēng)險(xiǎn)評(píng)估的系統(tǒng)方法 阜新銀行信息科技部建立信息安全風(fēng)險(xiǎn)評(píng)估控制程序并組織實(shí)施。風(fēng)險(xiǎn)評(píng)估控制程序包括可接受風(fēng)險(xiǎn)準(zhǔn)則和可接受水平，所選擇的評(píng)估方法應(yīng)確保風(fēng)險(xiǎn)評(píng)估能產(chǎn)生可比較的和可重復(fù)的結(jié)果。具體的風(fēng)險(xiǎn)評(píng)估過(guò)程執(zhí)行《信息安全風(fēng)險(xiǎn)評(píng)估控制程序》NO確定ISMS范圍資產(chǎn)識(shí)別與重要信息資產(chǎn)確定威脅識(shí)別與評(píng)價(jià)已有控制措施確認(rèn)薄弱點(diǎn)識(shí)別與評(píng)價(jià)風(fēng)險(xiǎn)評(píng)估（測(cè)量）是否接受保持已有的控制措施選擇安全目標(biāo)及控制措施實(shí) 施殘余風(fēng)險(xiǎn)評(píng)審是否接受YESNO 風(fēng)險(xiǎn)識(shí)別 在已確定的ISMS范圍內(nèi)，對(duì)所有的信息資產(chǎn)進(jìn)行列表識(shí)別。信息資產(chǎn)包括軟件\系統(tǒng)、數(shù)據(jù)\文檔、硬件\設(shè)施、人力資源及服務(wù)。對(duì)每一項(xiàng)信息資產(chǎn)，根據(jù)重要信息資產(chǎn)判斷依據(jù)確定是否為重要信息資產(chǎn)，形成《重要信息資產(chǎn)清單》。 評(píng)估風(fēng)險(xiǎn) 1）針對(duì)每一項(xiàng)重要信息資產(chǎn)，參考《信息安全威脅列表》及以往的安全事故（事件）記錄、信息資產(chǎn)所處的環(huán)境等因素，識(shí)別出所有重要信息資產(chǎn)所面臨的威脅； 2）針對(duì)每一項(xiàng)威脅，考慮現(xiàn)有的控制措施，參考《信息安全薄弱點(diǎn)列表》識(shí)別出被該威脅可能利用的薄弱點(diǎn)。 3）綜合考慮以上2點(diǎn)，按照《威脅發(fā)生可能性等級(jí)表》中的判定準(zhǔn)則對(duì)每一個(gè)威脅發(fā)生的可能性進(jìn)行賦值； 4）根據(jù)《威脅影響程度判斷準(zhǔn)則》，判斷一個(gè)威脅發(fā)生后可能對(duì)信息資產(chǎn)在保密性（C）、完整性（I）和可用性（A）方面的損害，進(jìn)而對(duì)信息科技部業(yè)務(wù)造成的影響，來(lái)給威脅影響賦值取C、I、A的最大值為威脅影響程度的賦值； 5）風(fēng)險(xiǎn)大小計(jì)算考慮威脅產(chǎn)生安全故障的可能性及其所造成影響程度兩者的結(jié)合，根據(jù)《風(fēng)險(xiǎn)矩陣計(jì)算表》來(lái)得到風(fēng)險(xiǎn)等級(jí)； 6）對(duì)于信息安全風(fēng)險(xiǎn)，在考慮控制措施與費(fèi)用平衡的原則下制定《風(fēng)險(xiǎn)接受準(zhǔn)則》，按照該準(zhǔn)則確定何種等級(jí)的風(fēng)險(xiǎn)為不可接受風(fēng)險(xiǎn)。 風(fēng)險(xiǎn)處理方法的識(shí)別與評(píng)價(jià) 阜新銀行信息科技部根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，形成《風(fēng)險(xiǎn)處理計(jì)劃》，該計(jì)劃應(yīng)明確風(fēng)險(xiǎn)處理責(zé)任人、方法及時(shí)間。 對(duì)于信息安全風(fēng)險(xiǎn)，應(yīng)考慮控制措施與費(fèi)用的平衡原則，選用以下適當(dāng)?shù)拇胧?；a) 采用適當(dāng)?shù)膬?nèi)部控制措施；b) 接受某些風(fēng)險(xiǎn)（不可能將所有風(fēng)險(xiǎn)降低為零）；c) 回避某些風(fēng)險(xiǎn)（如物理隔離）d) 轉(zhuǎn)移某些風(fēng)險(xiǎn)（如將風(fēng)險(xiǎn)轉(zhuǎn)移給保險(xiǎn)者、供方、分包商）。 選擇控制目標(biāo)與控制措施 a)信息安全管理委員會(huì)根據(jù)信息安全方針、業(yè)務(wù)發(fā)展要求及風(fēng)險(xiǎn)評(píng)估的結(jié)果，制定信息安全目標(biāo)，將目標(biāo)進(jìn)行分解落實(shí)到責(zé)任人。信息安全目標(biāo)應(yīng)獲得信息安全最高管理者的批準(zhǔn)。 b)控制目標(biāo)及控制措施的選擇原則來(lái)源于ISO/IEC27001:2005標(biāo)準(zhǔn)附錄A，具體控制措施可以參考ISO27002:2005《信息技術(shù)——安全技術(shù)——信息安全管理實(shí)施細(xì)則》。阜新銀行信息科技部根據(jù)信息安全管理的需要，可以選擇標(biāo)準(zhǔn)之外的其他控制措施。 適用性聲明SoA信息科技部負(fù)責(zé)編制《信息安全按適用性聲明》（SoA）。該聲明包括以下方面的內(nèi)容：a) 所選擇控制目標(biāo)與控制措施的概要描述；b) 當(dāng)前已經(jīng)實(shí)施的控制；c) 對(duì)ISO/IEC27001:2005附錄A中未選用的控制目標(biāo)及控制措施理由的說(shuō)明。該聲明的詳細(xì)內(nèi)容見《信息
電大資料相關(guān)推薦
鄂ICP備17016276號(hào)-1