信息科技風(fēng)險(xiǎn)管理辦法(編輯修改稿)
2025-05-15 04:18 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 略應(yīng)涉及以下領(lǐng)域：(一) 安全制度管理。(二) 信息安全組織管理。(三) 資產(chǎn)管理。(四) 人員安全管理。(五) 物理與環(huán)境安全管理。(六) 通信與運(yùn)營(yíng)管理。(七) 訪(fǎng)問(wèn)控制管理。(八) 系統(tǒng)開(kāi)發(fā)與維護(hù)管理。(九) 信息安全事故管理。(十) 業(yè)務(wù)連續(xù)性管理。(十一) 合規(guī)性管理。第十七條 應(yīng)建立有效管理用戶(hù)認(rèn)證和訪(fǎng)問(wèn)控制的流程。用戶(hù)對(duì)數(shù)據(jù)和系統(tǒng)的訪(fǎng)問(wèn)必須選擇與信息訪(fǎng)問(wèn)級(jí)別相匹配的認(rèn)證機(jī)制，并且確保其在信息系統(tǒng)內(nèi)的活動(dòng)只限于相關(guān)業(yè)務(wù)能合法開(kāi)展所要求的最低限度。用戶(hù)調(diào)動(dòng)到新的工作崗位或離開(kāi)我行時(shí)，應(yīng)在系統(tǒng)中及時(shí)檢查、更新或注銷(xiāo)用戶(hù)身份。第十八條 應(yīng)確保設(shè)立物理安全保護(hù)區(qū)域，包括計(jì)算機(jī)中心或數(shù)據(jù)中心、存儲(chǔ)機(jī)密信息或放置網(wǎng)絡(luò)設(shè)備等重要信息科技設(shè)備的區(qū)域，明確相應(yīng)的職責(zé)，采取必要的預(yù)防、檢測(cè)和恢復(fù)控制措施。第十九條 應(yīng)根據(jù)信息安全級(jí)別，將網(wǎng)絡(luò)劃分為不同的邏輯安全域（以下簡(jiǎn)稱(chēng)為域）。應(yīng)該對(duì)下列安全因素進(jìn)行評(píng)估，并根據(jù)安全級(jí)別定義和評(píng)估結(jié)果實(shí)施有效的安全控制，如對(duì)每個(gè)域和整個(gè)網(wǎng)絡(luò)進(jìn)行物理或邏輯分區(qū)、實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)容過(guò)濾、邏輯訪(fǎng)問(wèn)控制、傳輸加密、網(wǎng)絡(luò)監(jiān)控、記錄活動(dòng)日志等。(一) 域內(nèi)應(yīng)用程序和用戶(hù)組的重要程度。(二) 各種通訊渠道進(jìn)入域的訪(fǎng)問(wèn)點(diǎn)。(三) 域內(nèi)配置的網(wǎng)絡(luò)設(shè)備和應(yīng)用程序使用的網(wǎng)絡(luò)協(xié)議和端口。(四) 性能要求或標(biāo)準(zhǔn)。(五) 域的性質(zhì)，如生產(chǎn)域或測(cè)試域、內(nèi)部域或外部域。(六) 不同域之間的連通性。(七) 域的可信程度。第二十條 應(yīng)通過(guò)以下措施，確保所有計(jì)算機(jī)操作系統(tǒng)和系統(tǒng)軟件的安全：(一) 制定每種類(lèi)型操作系統(tǒng)的基本安全要求，確保所有系統(tǒng)滿(mǎn)足基本安全要求。(二) 明確定義包括終端用戶(hù)、系統(tǒng)開(kāi)發(fā)人員、系統(tǒng)測(cè)試人員、計(jì)算機(jī)操作人員、系統(tǒng)管理員和用戶(hù)管理員等不同用戶(hù)組的訪(fǎng)問(wèn)權(quán)限。(三) 制定最高權(quán)限系統(tǒng)賬戶(hù)的審批、驗(yàn)證和監(jiān)控流程，并確保最高權(quán)限用戶(hù)的操作日志被記錄和監(jiān)察。(四) 要求技術(shù)人員定期檢查可用的安全補(bǔ)丁，并報(bào)告補(bǔ)丁管理狀態(tài)。(五) 在系統(tǒng)日志中記錄不成功的登錄、重要系統(tǒng)文件的訪(fǎng)問(wèn)、對(duì)用戶(hù)賬戶(hù)的修改等有關(guān)重要事項(xiàng)，手動(dòng)或自動(dòng)監(jiān)控系統(tǒng)出現(xiàn)的任何異常事件，定期匯報(bào)監(jiān)控情況。第二十一條 應(yīng)通過(guò)以下措施，確保所有信息系統(tǒng)安全：(一) 明確定義終端用戶(hù)和信息科技技術(shù)人員在信息系統(tǒng)安全中的角色和職責(zé)。(二) 針對(duì)信息系統(tǒng)的重要性和敏感程度，采取有效的身份驗(yàn)證方法。(三) 加強(qiáng)職責(zé)劃分，對(duì)關(guān)鍵或敏感崗位進(jìn)行雙重控制。(四) 在關(guān)鍵的接合點(diǎn)進(jìn)行輸入驗(yàn)證或輸出核對(duì)。(五) 采取安全的方式處理保密信息的輸入和輸出，防止信息泄露或被盜取、篡改。(六) 確保系統(tǒng)按預(yù)先定義的方式處理例外情況，當(dāng)系統(tǒng)被迫終止時(shí)向用戶(hù)提供必要信息。(七) 以書(shū)面或電子格式保存審計(jì)痕跡。(八) 要求用戶(hù)管理員監(jiān)控和審查未成功的登錄和用戶(hù)賬戶(hù)的修改。第二十二條 應(yīng)制定相關(guān)策略和流程，管理所有生產(chǎn)系統(tǒng)的活動(dòng)日志，以支持有效的審核、安全取證分析和預(yù)防欺詐。日志可以在軟件的不同層次、不同的計(jì)算機(jī)和網(wǎng)絡(luò)設(shè)備上完成，日志劃分為兩大類(lèi)：(一) 交易日志。交易日志由應(yīng)用軟件和數(shù)據(jù)庫(kù)管理系統(tǒng)產(chǎn)生，內(nèi)容包括用戶(hù)登錄嘗試、數(shù)據(jù)修改、錯(cuò)誤信息等。交易日志應(yīng)按照國(guó)家會(huì)計(jì)準(zhǔn)則要求予以保存。(二) 系統(tǒng)日志。系統(tǒng)日志由操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)、防火墻、入侵檢測(cè)系統(tǒng)和路由器等生成，內(nèi)容包括管理登錄嘗試、系統(tǒng)事件、網(wǎng)絡(luò)事件、錯(cuò)誤信息等。系統(tǒng)日志保存期限按系統(tǒng)的風(fēng)險(xiǎn)等級(jí)確定，但不能少于一年。第二十三條 應(yīng)保證交易日志和系統(tǒng)日志中包含足夠的內(nèi)容，以便完成有效的內(nèi)部控制、解決系統(tǒng)故障和滿(mǎn)足審計(jì)需要；應(yīng)采取適當(dāng)措施保證所有日志同步計(jì)時(shí)，并確保其完整性。在例外情況發(fā)生后應(yīng)及時(shí)復(fù)查系統(tǒng)日志。交易日志或系統(tǒng)日志的復(fù)查頻率和保存周期應(yīng)由信息科技部門(mén)和有關(guān)業(yè)務(wù)部門(mén)共同決定，并報(bào)信息科技管理委員會(huì)批準(zhǔn)。第二十四條 應(yīng)采取加密技術(shù)，防范涉密信息在傳輸、處理、存儲(chǔ)過(guò)程中出現(xiàn)泄露或被篡改的風(fēng)險(xiǎn)，并建立密碼設(shè)備管理制度，以確保： (一) 使用符合國(guó)家要求的加密技術(shù)和加密設(shè)備。(二) 管理、使用密碼設(shè)備的員工經(jīng)過(guò)專(zhuān)業(yè)培訓(xùn)和嚴(yán)格審查。(三) 加密強(qiáng)度滿(mǎn)足信息機(jī)密性的要求。(四) 制定并落實(shí)有效的管理流程，尤其是密鑰和證書(shū)生命周期管理。第二十五條 配備切實(shí)有效的系統(tǒng)，確保所有終端用戶(hù)設(shè)備的安全，并定期對(duì)所有設(shè)備進(jìn)行安全檢查，包括臺(tái)式個(gè)人計(jì)算機(jī)（PC）、便攜式計(jì)算機(jī)、柜員終端、自動(dòng)柜員機(jī)（ATM）、存折打印機(jī)、讀卡器、銷(xiāo)售終端（POS）和個(gè)人數(shù)字助理（PDA）等。第二十六條 制定相關(guān)制度和流程，嚴(yán)格管理客戶(hù)信息的采集、處理、存貯、傳輸、分發(fā)、備份、恢復(fù)、清理和銷(xiāo)毀。第二十七條 對(duì)所有員工進(jìn)行必要的培訓(xùn)，使其充分掌握信息科技風(fēng)險(xiǎn)管理制度和流程，了解違反規(guī)定的后果，并對(duì)違反安全規(guī)定的行為采取零容忍政策。第五章 信息系統(tǒng)開(kāi)發(fā)、測(cè)試和維護(hù)第二十八條 應(yīng)有能力對(duì)信息系統(tǒng)進(jìn)行需求分析、規(guī)劃、采購(gòu)、開(kāi)發(fā)、測(cè)試、部署、維護(hù)、升級(jí)和報(bào)廢，制定制度和流程，管理信息科技項(xiàng)目的優(yōu)先排序、立項(xiàng)、審批和控制。項(xiàng)目實(shí)施部門(mén)應(yīng)定期向信息科技管理委員會(huì)提交重大信息科技項(xiàng)目的進(jìn)度報(bào)告，由其進(jìn)行審核，進(jìn)度報(bào)告應(yīng)當(dāng)包括計(jì)劃的重大變更、關(guān)鍵人員或供應(yīng)商的變更以及主要費(fèi)用支出情況。應(yīng)在信息系統(tǒng)投產(chǎn)后一定時(shí)期內(nèi)，組織對(duì)系統(tǒng)的后評(píng)價(jià)，并根據(jù)評(píng)價(jià)結(jié)果及時(shí)對(duì)系統(tǒng)功能進(jìn)行調(diào)整和優(yōu)化。第二十九條 應(yīng)認(rèn)識(shí)到信息科技項(xiàng)目相關(guān)的風(fēng)險(xiǎn)，包括潛在的各種操作風(fēng)
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1