美國(guó)銀行的信息科技風(fēng)險(xiǎn)管理-文庫(kù)吧
2025-04-24 03:51 本頁(yè)面
【正文】 安全咨詢部、商業(yè)信息訪問(wèn)部、漏洞防范管理部。其中信息安全咨詢部負(fù)責(zé)制定全行通用性的信息科技風(fēng)險(xiǎn)評(píng)估的政策、制度、流程、標(biāo)準(zhǔn)等，并為首席技術(shù)官及各業(yè)務(wù)條線提供相應(yīng)支持。商業(yè)信 息訪問(wèn)部 負(fù)責(zé) 客戶及員工的身份訪問(wèn)管理，信息技術(shù)安全性事件應(yīng)急處置，制定信息安全業(yè)務(wù)持續(xù)性的政策、標(biāo)準(zhǔn)、基線等，開展信息技術(shù)風(fēng)險(xiǎn)意識(shí)培訓(xùn)，配合審計(jì)及監(jiān)管機(jī)構(gòu)完成相應(yīng)工作 。漏洞防范管理 部負(fù)責(zé)通過(guò) 風(fēng)險(xiǎn)分析協(xié)助 各業(yè)務(wù)條線查找信息技術(shù) 漏洞 ,流程改進(jìn)分析， 從技術(shù)上進(jìn)行違規(guī)監(jiān)測(cè) 及 合規(guī)檢查等 。如圖 2。 美國(guó)銀行除上述三個(gè)部門負(fù)責(zé)信息科技及信息安全的技 4 術(shù)支持和風(fēng)險(xiǎn)管理外，各 業(yè)務(wù)部門 均設(shè)有專門的信息技術(shù) 團(tuán)隊(duì)，負(fù)責(zé)業(yè)務(wù)條線 自身的系統(tǒng)開發(fā)及條線 信息科技風(fēng)險(xiǎn) 的 評(píng)估 。 圖 2： ： 信息科技風(fēng)險(xiǎn)主要通過(guò)風(fēng)險(xiǎn)點(diǎn)識(shí)別、風(fēng)險(xiǎn)程 度評(píng)估、風(fēng)險(xiǎn)控制及緩釋來(lái)完成。 （ 1）風(fēng)險(xiǎn)點(diǎn)識(shí)別：主要 通過(guò) 主動(dòng)發(fā)現(xiàn)、自評(píng)估 、 內(nèi)外 部審計(jì) 三條途徑來(lái)實(shí)現(xiàn) 。 一是主動(dòng)發(fā)現(xiàn)， 即信息系統(tǒng)的開發(fā)運(yùn)維人員，識(shí)別信息系統(tǒng)本身存在的風(fēng)險(xiǎn)點(diǎn)。 二是自評(píng)估， 系統(tǒng)的應(yīng)用人員，通過(guò)自評(píng)估工具，對(duì)系統(tǒng)支持與業(yè)務(wù)運(yùn)營(yíng)、發(fā)展、風(fēng)險(xiǎn)控制的匹配風(fēng)險(xiǎn)開展相應(yīng)評(píng)估。 三是內(nèi)外部審計(jì)， 內(nèi)外部審計(jì)機(jī)構(gòu)按監(jiān)管機(jī)構(gòu)的要求，設(shè)計(jì)相應(yīng)的 評(píng)估流程和測(cè)量指標(biāo) ，識(shí)別可能存在的信息科技風(fēng)險(xiǎn)。 公司信息管理部門 信息安全咨詢部 1 . 全球企業(yè)與市場(chǎng)條線支持2 . 全球商業(yè)銀行條線支持3 . 個(gè)人金融與小企業(yè)條線支持4 . 全球財(cái)富與投資管理?xiàng)l線支持5 . 全球運(yùn)營(yíng)條線支持6 . 變遷整合支持商業(yè)信息訪問(wèn)部1 . 業(yè)務(wù)支持管理2 . 全球訪問(wèn)運(yùn)行管理3 . 安全規(guī)范及架構(gòu)4 . 全球變更管理5 . 網(wǎng)絡(luò)取證和事件管理等漏洞防范管理部1 . 安全監(jiān)測(cè)及防范2 . 企業(yè)安全訪問(wèn)3 . 威脅管理及變革4 . 企業(yè)安全修復(fù)及報(bào)告 …… 5 （ 2）風(fēng)險(xiǎn)程度評(píng)估：即對(duì)識(shí)別出的風(fēng)險(xiǎn)點(diǎn)，評(píng)估嚴(yán)重性程度、發(fā)生頻率等，對(duì)風(fēng)險(xiǎn)的重要性進(jìn)行排序。 （ 3）控制及緩釋：即針對(duì)不同等級(jí)的 信息科技風(fēng)險(xiǎn)，分別由信息系統(tǒng)管理人員、信息技術(shù)部門的負(fù)責(zé)人及相應(yīng)的監(jiān)管委員會(huì)評(píng)定其風(fēng)險(xiǎn)是否可接受，對(duì)于不可接受的責(zé)成整改并追蹤相應(yīng)的整改情況。 （二）業(yè)務(wù)持續(xù)性管理的內(nèi)容及管理流程 業(yè)務(wù)持續(xù)性 風(fēng)險(xiǎn)的范疇為： 交易對(duì)手、聲譽(yù)、流動(dòng)性、市場(chǎng)崩潰、以美國(guó)銀行為對(duì)象的恐怖襲擊、主要城市的癱瘓、25%50% 員工不可用、基礎(chǔ)設(shè)施故障等八大類風(fēng)險(xiǎn)。 業(yè)務(wù)持續(xù)性 管理 的 管理 內(nèi)容為：一是規(guī)范全行預(yù)案建設(shè)；二是規(guī)范全行綜合性演練；三是全行重大業(yè)務(wù)持續(xù)性突發(fā)事件的收集、分類、分析；四是全行各
研究報(bào)告相關(guān)推薦
鄂ICP備17016276號(hào)-1