信息科技風險管理策略(編輯修改稿)
2025-05-14 07:06 本頁面
【文章內(nèi)容簡介】 在物理層次上為使信息科技運行環(huán)境受到保護，不受偶然或惡意的原因而遭到破壞的過程中的不確定因素所帶來的風險。 合理選擇數(shù)據(jù)中心的地理位置，并經(jīng)過管理層的批準； 制定信息科技設施、數(shù)據(jù)中心等信息科技環(huán)境的安全管理制度，包括設備安全管理、介質(zhì)安全管理、人員出入等，并確保有效執(zhí)行； 根據(jù)國家的規(guī)定，重要或敏感的業(yè)務信息處理系統(tǒng)應放在安全的地方，并設置有適當?shù)陌踩珔^(qū)域，安全區(qū)域的出入口有安全障礙和入口控制，設備應有物理的保護以防止非法進入、危害及破壞； 嚴格控制相關人員，包括第三方人員進入安全區(qū)域，并記錄所有人員的出入信息。對敏感性技術相關工作的人員，應有嚴格的審查程序，包括身份驗證和背景調(diào)查； 采用其他人工或技術手段防止未授權(quán)的侵入。訪問控制風險因未經(jīng)授權(quán)對信息科技資源的訪問所帶來的影響。 建立統(tǒng)一的用戶身份管理基礎設施，向應用系統(tǒng)提供集中的用戶身份認證服務； 明確定義包括終端用戶、系統(tǒng)開發(fā)人員、系統(tǒng)測試人員、計算機操作人員、系統(tǒng)管理員和用戶管理員等不同用戶組的訪問權(quán)限。 制定主機系統(tǒng)及網(wǎng)絡的訪問控制制度，系統(tǒng)權(quán)限管理規(guī)定； 根據(jù)“訪問控制分級”、“需求導向”和“最小授權(quán)”的原則對用戶的權(quán)限申請進行審批，并定期對用戶，尤其是關鍵崗位用戶、最高權(quán)限用戶等的權(quán)限進行檢查； 每個內(nèi)部員工具有范圍內(nèi)唯一的身份標識，用戶在訪問應用系統(tǒng)之前，必須提交身份標識，并對其進行認證； 在發(fā)生用戶離職或崗位變動時及時更新其訪問權(quán)限； 對各類系統(tǒng)及網(wǎng)絡環(huán)境設置密碼安全策略，包括密碼長度、復雜度、有效期、歷史密碼記憶次數(shù)等。應用安全風險在應用系統(tǒng)的使用、運行過程中的不確定因素所帶來的影響。 加強職責劃分，對關鍵或敏感崗位進行雙重控制。 采取安全的方式處理保密信息的輸入和輸出，防止信息泄露或被盜取、篡改。 確保系統(tǒng)按預先定義的方式處理例外情況，當系統(tǒng)被迫終止時向用戶提供必要信息。系統(tǒng)軟件安全風險在操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)等系統(tǒng)軟件的使用、運行過程中的不確定因素所帶來的影響。 制定每種類型操作系統(tǒng)的基本安全要求，確保所有系統(tǒng)滿足基本安全要求。 制定最高權(quán)限系統(tǒng)賬戶的審批、驗證和監(jiān)控流程，并確保最高權(quán)限用戶的操作日志被記錄和監(jiān)察。 定期檢查可用的安全補丁，并報告補丁管理狀態(tài)。 在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪問、對用戶賬戶的修改等有關重要事項。 建立主機入侵檢測機制，發(fā)現(xiàn)主機系統(tǒng)中的異常操作行為，以及對主機發(fā)起的攻擊行為，并及時報警。網(wǎng)絡安全風險為使網(wǎng)絡系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運行，網(wǎng)絡服務不中斷的過程中的不確定因素所帶來的影響。 建立網(wǎng)絡安全管理制度，網(wǎng)絡安全系統(tǒng)的建設標準和相關的運營維護管理規(guī)范； 將網(wǎng)絡劃分為不同的邏輯安全域，根據(jù)域的性質(zhì)定義生產(chǎn)域或測試域、內(nèi)部域或外部域，結(jié)合不同域之間的連通性和域的可信程度等，對整個網(wǎng)絡進行物理或邏輯分區(qū)，并建立不同域的訪問控制機制； 在各安全域的邊界，部署網(wǎng)絡安全訪問措施，包括防火墻、入侵檢測、VPN； 采用人工或技術手段對網(wǎng)絡進行實時監(jiān)控，及時發(fā)現(xiàn)并處理非法入侵、網(wǎng)絡異常等情況； 激活網(wǎng)絡信息安全工具的功能和設置以便記錄及報告信息安全政策所規(guī)定的網(wǎng)絡安全事項，并立即解決； 建立防病毒安全政策和策略、全面網(wǎng)絡病毒查殺機制。所有連入我省農(nóng)村合作金融機構(gòu)內(nèi)部域的電腦及其他設備，都應安裝殺毒軟件，并在接入之前進行病毒掃描； 制定防毒庫升級策略和掃描策略，定期進行病毒庫更新和病毒掃描，病毒庫升級記錄和掃描記錄應經(jīng)復核。終端安全風險為確保所有終端用戶設備，如臺式個人計算機（PC）、便攜式計算機、柜員終端、自動柜員機（ATM）、存折打印機、讀卡器、銷售終端（POS）和個人數(shù)字助理（PDA）等的安全所進行的一系列工作過程中的不確定因素所帶來的影響。 配備切實有效的系統(tǒng)，確保所有終端用戶設備的安全，并
公司管理相關推薦
鄂ICP備17016276號-1