信息科技風險管理策略(編輯修改稿)
2025-05-14 07:06 本頁面
【文章內容簡介】 理位置， 并險 運行環(huán)境受到保護， 不受偶然 經過管理層的批準；或惡意的原因而遭到破壞的過程中的不確定因素所帶來的風險。制定信息科技設施、數(shù)據中心等信息科技環(huán)境的安全管理制度，包括設備安全管理、介質安全管理、人員出入等，并確保有效執(zhí)行；根據國家的規(guī)定，重要或敏感
的業(yè)務信息處理系統(tǒng)應放在安全的地方，并設置有適當?shù)陌踩珔^(qū)域，安全區(qū)域的出入口有安全障礙和入口控制，設備應有物理的保護以防止非法進入、危害及破壞；嚴格控制相關人員，包括第三方人員進入安全區(qū)域，并記錄所有人員的出入信息。對敏感性技術相關工作的人員，應有嚴格的審查程序，包括身份驗證和背景調查；采用其他人工或技術手段防止風險編號風險名稱 風險描述 風險應對策略未授權的侵入。 訪問控制風險 因未經授權對信息科技資源建立統(tǒng)一的用戶身份管理基礎設的訪問所帶來的影響。 施，向應用系統(tǒng)提供集中的用戶身份認證服務；明確定義包括終端用戶、系統(tǒng)開發(fā)人員、系統(tǒng)測試人員、計算機操作人員、系統(tǒng)管理員和用戶管理員等不同用戶組的訪問權限。制定主機系統(tǒng)及網絡的訪問控制制度，系統(tǒng)權限管理規(guī)定；根據“訪問控制分級”、“需求導向”和“最小授權”的原則對用戶的權限申請進行審批，并定期對用戶，尤其是關鍵崗位用戶、最高權限用戶等的權限進行檢查；每個內部員工具有范圍內唯一的身份標識，用戶在訪問應用系統(tǒng)之前， 必須提交身份標識，并對其進行認證；在發(fā)生用戶離職或崗位變動時及時更新其訪問權限；對各類系統(tǒng)及網絡環(huán)境設置密碼安全策略，包括密碼長度、復雜度、有效期、歷史密碼記憶次數(shù)等。 應用安全風險 在應用系統(tǒng)的使用、 運行過程加強職責劃分， 對關鍵或敏感崗位中的不確定因素所帶來的影 進行雙重控制。
響。采取安全的方式處理保密信息的輸入和輸出，防止信息泄露或被盜取、篡改。確保系統(tǒng)按預先定義的方式處理例外情況，當系統(tǒng)被迫終止時向用戶提供必要信息。 系統(tǒng)軟件安全風險 在操作系統(tǒng)、 數(shù)據庫管理系統(tǒng)制定每種類型操作系統(tǒng)的基本安等系統(tǒng)軟件的使用、 運行過程 全要求，確保所有系統(tǒng)滿足基本安中的不確定因素所帶來的影
全要求。響。制定最高權限系統(tǒng)賬戶的審批、驗證和監(jiān)控流程，并確保最高權限用戶的操作日志被記錄和監(jiān)察。定期檢查可用的安全補丁，并風險編號風險名稱 風險描述 風險應對策略報告補丁管理狀態(tài)。在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪問、對用戶賬戶的修改等有關重要事項。建立主機入侵檢測機制，發(fā)現(xiàn)主機系統(tǒng)中的異常操作行為，以及對主機發(fā)起的攻擊行為，并及時報警。 網絡安全風險 為使網絡系統(tǒng)的硬件、 軟件及建立網絡安全管理制度， 網絡安全其系統(tǒng)中的數(shù)據受到保護， 不 系統(tǒng)的建設標準和相關的運營維受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)護管理規(guī)范；將網絡劃分為不同的邏輯安全連續(xù)可靠正常地運行， 網絡服 域，根據域的性質定義生產域務不中斷的過程中的不確定或測試域、內部域或外部域，因素所帶來的影響。結合不同域之間的連通性和域的可信程度等，對整個網絡進行物理或邏輯分區(qū)，并建立不同域的訪問控制機制；在各安全域的邊界，部署網絡
安全訪問措施，包括防火墻、入侵檢測、 VPN；采用人工或技術手段對網絡進
行實時監(jiān)控，及時發(fā)現(xiàn)并處理非法入侵、網絡異常等情況；激活網絡信息安全工具的功能
和設置以便記錄及報告信息安全政策所規(guī)定的網絡安全事項，并立即解決；建立防病毒安全政策和策略、全面網絡病毒查殺機制。所有連入我省農村合作金融機構內部域的電腦及其他設備，都應安裝殺毒軟件，并在接入之前進行病毒掃描；制定防毒庫升級策略和掃描策略，定期進行病毒庫更新和病毒掃描，病毒庫升級記錄和掃描記錄應經復核。 終端安全風險 為確保所有終端用戶設備， 如配備切實有效的系統(tǒng)， 確保所有終臺式個人計算機（ PC）、便攜端用戶設備的安全， 并定期對所有式計算機、柜員終端、自動柜
設備進行安全檢查。員機（ ATM ）、存折打印機、風險編號風險名稱 風險描述 風險應對策略讀卡器、銷售終端（ POS）和個人數(shù)字助理（ PDA ）等的安全所進行的一系列工作過程中的不確定因素所帶
公司管理相關推薦
鄂ICP備17016276號-1