銀行業(yè)信息安全管理體系手冊(完整版)
【正文】 b) 按照《內(nèi)部審核控制程序》、《糾正預(yù)防措施程序 》《預(yù)防措施控制程序》的要求采取適當(dāng)?shù)募m正和預(yù)防措施；吸取其他商業(yè)銀行及外資企業(yè)安全事故的經(jīng)驗c) 對信息安全目標(biāo)及分解進行管理，確保改進達到預(yù)期效果；（信息安全目標(biāo)及指標(biāo)的分解）d) 為確保信息安全管理體系持續(xù)有效，各區(qū)域負責(zé)人及內(nèi)審小組通過適當(dāng)?shù)氖侄伪３衷诟沸裸y行信息科技部內(nèi)部對信息安全措施的執(zhí)行情況與結(jié)果進行有效溝通。 檢測安全事態(tài)、響應(yīng)安全事件及其他控制措施 a)根據(jù)SoA中規(guī)定的安全目標(biāo)、控制措施（包括安全運行的各種控制程序）要求實施信息安全控制措施。該聲明包括以下方面的內(nèi)容：a) 所選擇控制目標(biāo)與控制措施的概要描述；b) 當(dāng)前已經(jīng)實施的控制；c) 對ISO/IEC27001:2005附錄A中未選用的控制目標(biāo)及控制措施理由的說明。 3）綜合考慮以上2點，按照《威脅發(fā)生可能性等級表》中的判定準則對每一個威脅發(fā)生的可能性進行賦值； 4）根據(jù)《威脅影響程度判斷準則》，判斷一個威脅發(fā)生后可能對信息資產(chǎn)在保密性（C）、完整性（I）和可用性（A）方面的損害，進而對信息科技部業(yè)務(wù)造成的影響，來給威脅影響賦值取C、I、A的最大值為威脅影響程度的賦值； 5）風(fēng)險大小計算考慮威脅產(chǎn)生安全故障的可能性及其所造成影響程度兩者的結(jié)合，根據(jù)《風(fēng)險矩陣計算表》來得到風(fēng)險等級； 6）對于信息安全風(fēng)險，在考慮控制措施與費用平衡的原則下制定《風(fēng)險接受準則》，按照該準則確定何種等級的風(fēng)險為不可接受風(fēng)險。阜新銀行信息科技部承諾：1）阜新銀行信息科技部建立并完善信息安全管理體系；2）識別并滿足適用法律法規(guī)和相關(guān)方信息安全要求，充分履行社會責(zé)任；3）對ISMS進行測量、監(jiān)視、評審活動，定期按照事先設(shè)定的風(fēng)險評估準則，對阜新銀行信息科技部進行風(fēng)險評估、ISMS評審、采取糾正預(yù)防措施，保證體系的持續(xù)有效；4）采用先進有效的設(shè)施和技術(shù)，處理、傳遞、存儲和保護各類信息，實現(xiàn)信息共享；5）對阜新銀行信息科技部全體員工，進行持續(xù)的信息安全教育和培訓(xùn)，不斷增強員工的信息安全意識和能力；6）制定并保持完善的業(yè)務(wù)連續(xù)性計劃，實現(xiàn)可持續(xù)發(fā)展。評審 ISMS相關(guān)方已被管理的信息安全相關(guān)方信息安全要求amp。2 引用標(biāo)準ISO/IEC 27001:2005 信息技術(shù)——安全技術(shù)——信息安全管理體系——要求ISO/IEC 27002:2005信息技術(shù)——安全技術(shù)——信息安全管理實施細則3 術(shù)語和定義：2005《信息技術(shù)——安全技術(shù)——信息安全管理體系——要求》中的定義 縮寫ISMS:Information Secutity Management Systems 信息安全管理體系。 5）信息安全方針設(shè)定完成后，應(yīng)獲得管理者的批準。信息資產(chǎn)包括軟件\系統(tǒng)、數(shù)據(jù)\文檔、硬件\設(shè)施、人力資源及服務(wù)。 b)控制目標(biāo)及控制措施的選擇原則來源于ISO/IEC27001:2005標(biāo)準附錄A，具體控制措施可以參考ISO27002:2005《信息技術(shù)——安全技術(shù)——信息安全管理實施細則》。 信息安全職責(zé)和權(quán)限 1）阜新銀行信息科技部總經(jīng)理為最高管理者，最高管理者指定：苗志勇為信息安全管理者代表，無論該成員在其他方面的職責(zé)如何，對信息安全負有以下職責(zé)： a)建立并實施信息安全管理體系必要的程序并維持其有效運行。 根據(jù)以上活動的結(jié)果以及來自相關(guān)方的建議和反饋，由最高管理者主持，定期（每年至少一次）對ISMS的有效性進行評審，其中包括信息安全范圍、方針、目標(biāo)及控制措施有效性的評審。該規(guī)定應(yīng)指定記錄的標(biāo)識、存儲、保護、檢索、保管、廢棄等事項。內(nèi)審員資格需取得信息安全管理者代表的批準。該管理評審應(yīng)包括對信息安全管理體系是否需改進或變更的評價。這些規(guī)定應(yīng)包括以下內(nèi)容：a) 識別不符合ISMS的事項（指明不符合事項的判斷依據(jù)）；b) 調(diào)查不符合產(chǎn)生的原因；c) 確定并實施糾正措施；d) 評價糾
電大資料相關(guān)推薦
鄂ICP備17016276號-1