【文章內(nèi)容簡介】 防止信息被盜、篡改、故意或無意泄露。關(guān)鍵數(shù)據(jù)被盜、篡改、故意或無意泄露。ISO27001：2005電子商務(wù)服務(wù)電子商務(wù)：應(yīng)保護(hù)電子商務(wù)中通過公共網(wǎng)絡(luò)傳輸?shù)男畔ⅲ苑乐蛊墼p、合同爭議、未授權(quán)的泄漏和修改；ISO27001：2005電子商務(wù)服務(wù)在線交易：應(yīng)保護(hù)在線交易中的信息，以防止不完整的傳輸、路由錯誤、未授權(quán)的消息修改、未經(jīng)授權(quán)的泄漏、未經(jīng)授權(quán)的消息復(fù)制或回復(fù)。38運(yùn)行情況審核系統(tǒng)能以書面或電子格式保存審計痕跡；能夠以預(yù)先定義的方式處理例外情況，并向用戶提供有意義的信息；管理人員對系統(tǒng)重要事項(xiàng)進(jìn)行管理和審核。對應(yīng)用系統(tǒng)的非法或錯誤操作無法記錄，對信息安全事件或系統(tǒng)故障無法進(jìn)行追溯和分析。等級保護(hù)應(yīng)用安全安全審計：a) 應(yīng)覆蓋到每個用戶的安全審計功能，對應(yīng)用系統(tǒng)重要安全事件進(jìn)行審計；b) 應(yīng)保證無法單獨(dú)中斷審計進(jìn)程，無法刪除、修改或覆蓋審計記錄；c) 審計記錄的內(nèi)容至少應(yīng)包括日期、時間、發(fā)起者信息、類型、描述和結(jié)果等；d) 應(yīng)提供對審計記錄數(shù)據(jù)進(jìn)行統(tǒng)計、查詢、分析及生成審計報表的功能。39日志安全策略和流程制定了相關(guān)策略和流程，控制所有生產(chǎn)系統(tǒng)的活動日志，以支持有效的審核、安全論證分析和預(yù)防欺詐；設(shè)置了日志監(jiān)控和管理崗位；制定了日志資料的安全保護(hù)和調(diào)閱管理制度。無法及時發(fā)現(xiàn)信息安全事件，無法對信息安全事件進(jìn)行分析和預(yù)防；日志被篡改或者無意丟失，無法對歷史事件進(jìn)行追溯。等級保護(hù)系統(tǒng)運(yùn)維監(jiān)控管理：a) 應(yīng)對通信線路、主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件的運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行監(jiān)測和報警，形成記錄并妥善保存；b) 應(yīng)組織相關(guān)人員定期對監(jiān)測和報警記錄進(jìn)行分析、評審，發(fā)現(xiàn)可疑行為，形成分析報告，并采取必要的應(yīng)對措施；c) 應(yīng)建立安全管理中心，對設(shè)備狀態(tài)、惡意代碼、補(bǔ)丁升級、安全審計等安全相關(guān)事項(xiàng)進(jìn)行集中管理。40交易日志交易日志由應(yīng)用軟件和數(shù)據(jù)庫管理系統(tǒng)產(chǎn)生，包括身份嘗試、數(shù)據(jù)修改、錯誤信息等；交易日志按照國家會計政策要求予以保存。對系統(tǒng)問題，非法操作無法進(jìn)行記錄，對出現(xiàn)問題的原因無法進(jìn)行追溯。等級保護(hù)主機(jī)安全安全審計；等級保護(hù)應(yīng)用安全安全審計；等級保護(hù)網(wǎng)絡(luò)安全安全審計；等級保護(hù)系統(tǒng)運(yùn)維管理網(wǎng)絡(luò)安全管理；a) 應(yīng)指定專人對網(wǎng)絡(luò)進(jìn)行管理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報警信息分析和處理工作b) 應(yīng)建立網(wǎng)絡(luò)安全管理制度，對網(wǎng)絡(luò)安全配置、日志保存時間、安全策略、升級與打補(bǔ)丁、口令更新周期等方面作出規(guī)定等級保護(hù)系統(tǒng)運(yùn)維管理系統(tǒng)安全管理：d) 應(yīng)建立系統(tǒng)安全管理制度，對系統(tǒng)安全策略、安全配置、日志管理和日常操作流程等方面作出具體規(guī)定；g) 應(yīng)定期對運(yùn)行日志和審計數(shù)據(jù)進(jìn)行分析，以便及時發(fā)現(xiàn)異常行為。41系統(tǒng)日志系統(tǒng)日志由操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、防火墻、入侵檢測系統(tǒng)和路由器等生成，包括身份認(rèn)證嘗試、系統(tǒng)事件、網(wǎng)絡(luò)事件、錯誤信息等；系統(tǒng)和網(wǎng)絡(luò)日志保存期限按事先的風(fēng)險定級確定，但不能少。不完整的日志無法對現(xiàn)有的系統(tǒng)運(yùn)行情況進(jìn)行監(jiān)控，無法對出現(xiàn)的各類事件的原因進(jìn)行追溯；歷史記錄不進(jìn)行合理的保留導(dǎo)致在出現(xiàn)問題后對以前的操作或者問題進(jìn)行查找分析。42保存和復(fù)查銀行應(yīng)保證在日志中包含足夠的項(xiàng)目，以便有效地完成內(nèi)部控制、系統(tǒng)故障解決和審計，同時應(yīng)采取適當(dāng)措施保證所有日志的計時同步，并確保其完整性，有任何的例外情況發(fā)生都應(yīng)當(dāng)復(fù)查系統(tǒng)日志。交易日志或數(shù)據(jù)庫日志的復(fù)查頻率和保留周期應(yīng)由信息科技部門和有關(guān)業(yè)務(wù)部分共同決定，并報信息科技管理委員會批準(zhǔn)。不完善的日志記錄無法對審計提供足夠的參考；缺乏日志審核對隱藏的操作問題無法及時發(fā)現(xiàn)。43信息安全信息分類制定信息分類操作指南和信息保護(hù)工作流程；信息依據(jù)敏感程度進(jìn)行分類，并指定所有人。對重要信息無法提供足夠有效的保護(hù)，造成重要信息被破壞、篡改、泄露。ISO27001：2005 資產(chǎn)管理分類指南：應(yīng)按照信息的價值、法律要求及對組織的敏感程度和關(guān)鍵程度進(jìn)行分類；ISO27001：2005 資產(chǎn)管理信息標(biāo)識和處置：應(yīng)制定一套與組織所采用的分類方案一致的信息標(biāo)識和處置的程序，并實(shí)施。44信息加密對不同類別信息采用相應(yīng)的加密技術(shù)或密碼設(shè)備；建立密碼設(shè)備管理規(guī)范制度；管理使用密碼系統(tǒng)設(shè)備的員工經(jīng)過專業(yè)培訓(xùn)和嚴(yán)格審核。沒有加密的信息容易被泄露、破壞、篡改。等級保護(hù)數(shù)據(jù)安全數(shù)據(jù)完整性：a) 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在傳輸過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復(fù)措施b) 應(yīng)能夠監(jiān)測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在存儲過程中完整性受到破壞，并在監(jiān)測到完整性錯誤時采取必要的恢復(fù)措施等級保護(hù)數(shù)據(jù)安全數(shù)據(jù)保密性：a) 應(yīng)采用加密或其他有效措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密性b) 應(yīng)采用加密或其他保護(hù)措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)存儲保密性等級保護(hù)系統(tǒng)運(yùn)維管理密碼管理：a) 應(yīng)建立密碼使用管理制度，使用符合國家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品。45密鑰管理實(shí)施有效的密鑰管理流程，尤其是密鑰生命周期管理和證書周期管理。密鑰泄露，造成嚴(yán)重信息安全事件。等級保護(hù)系統(tǒng)運(yùn)維管理密碼管理：a) 應(yīng)建立密碼使用管理制度，使用符合國家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品。46機(jī)密信息安全機(jī)密信息的加密使用符合國家密碼管理局要求的加密技術(shù)和加密設(shè)備，加密強(qiáng)度和加密效率滿足信息機(jī)密性和可用性要求。機(jī)密信息泄露，造成嚴(yán)重信息安全事件。等級保護(hù)數(shù)據(jù)安全數(shù)據(jù)完整性；等級保護(hù)數(shù)據(jù)安全數(shù)據(jù)保密性；等級保護(hù)系統(tǒng)運(yùn)維管理密碼管理：a) 應(yīng)建立密碼使用管理制度，使用符合國家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品。47客戶敏感信息安全制定相關(guān)策略和程序，管理客戶信息的采集、處理、存貯、傳輸、傳播、備份、恢復(fù)、清理和銷毀。客戶數(shù)據(jù)被泄露，破壞和篡改，直接造成經(jīng)濟(jì)損失。ISO27001：2005電子商務(wù)服務(wù)電子商務(wù)：應(yīng)保護(hù)電子商務(wù)中通過公共網(wǎng)絡(luò)傳輸?shù)男畔ⅲ苑乐蛊墼p、合同爭議、未授權(quán)的泄漏和修改；ISO27001：2005電子商務(wù)服務(wù)在線交易：應(yīng)保護(hù)在線交易中的信息，以防止不完整的傳輸、路由錯誤、未授權(quán)的消息修改、未經(jīng)授權(quán)的泄漏、未經(jīng)授權(quán)的消息復(fù)制或回復(fù)。四、 應(yīng)用系統(tǒng)開發(fā)、測試和維護(hù)序號風(fēng)險類別風(fēng)險點(diǎn)控制目標(biāo)風(fēng)險分析參考依據(jù)48項(xiàng)目管理制度建設(shè)應(yīng)制定策略和流程，治理信息科技項(xiàng)目的立項(xiàng)、優(yōu)先排序、審批和控制；重大項(xiàng)目必須建立項(xiàng)目管理框架和工作方案，包括：職責(zé)的劃分、時間進(jìn)度、財務(wù)預(yù)算管理、質(zhì)量檢測、風(fēng)險評估等。項(xiàng)目管理混亂，項(xiàng)目成本無法控制，進(jìn)度無法掌握，項(xiàng)目質(zhì)量無法度量，導(dǎo)致項(xiàng)目失敗。等級保護(hù)安全管理制度管理制度：b) 應(yīng)對安全管理活動中的各類管理內(nèi)容建立安全管理制度；d) 應(yīng)形成由安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理制度體系。49進(jìn)度報告定期向信息科技管理委員會提交重大信息科技項(xiàng)目的進(jìn)度報告；進(jìn)度報告包括更改時間計劃、關(guān)鍵人員或供應(yīng)商的決策以及主要費(fèi)用項(xiàng)目缺乏統(tǒng)一的計劃和安排等級保護(hù)系統(tǒng)建設(shè)管理工程實(shí)施：b) 應(yīng)制定詳細(xì)的工程實(shí)施方案控制實(shí)施過程，并要求工程實(shí)施單位能正式地執(zhí)行安全工程過程；c) 應(yīng)制定工程實(shí)施方面的管理制度，明確說明實(shí)施過程的控制方法和人員行為準(zhǔn)則。50系統(tǒng)開發(fā)方法根據(jù)信息科技項(xiàng)目的規(guī)模、性質(zhì)和復(fù)雜性采用適當(dāng)?shù)南到y(tǒng)開發(fā)方法，控制信息系統(tǒng)的生命周期；典型的系統(tǒng)生命周期包括系統(tǒng)分析、設(shè)計、開發(fā)或采購、測試、試運(yùn)行、部署、維護(hù)或報廢。信息科技項(xiàng)目缺乏有效的過程管理和控制等級保護(hù)系統(tǒng)建設(shè)管理自行軟件開發(fā)：b) 應(yīng)制定軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法和人員行為準(zhǔn)則。ISO27001通訊及操作管理操作程序及職責(zé)開發(fā)、測試和運(yùn)營設(shè)施的分離：應(yīng)分離開發(fā)、測試和運(yùn)營設(shè)施，以降低未授權(quán)訪問或?qū)Σ僮飨到y(tǒng)變更的風(fēng)險；ISO27001通訊及操作管理系統(tǒng)規(guī)劃與驗(yàn)收系統(tǒng)驗(yàn)收：應(yīng)建立新的信息系統(tǒng)、 系統(tǒng)升級和新版本的驗(yàn)收準(zhǔn)則， 并在開發(fā)過程中及接收前進(jìn)行適當(dāng)?shù)南到y(tǒng)測試。51風(fēng)險管理或者內(nèi)部審計的參與商業(yè)銀行在進(jìn)行大規(guī)模和大范圍的系統(tǒng)開發(fā)時，應(yīng)要求內(nèi)部審計部門或信息科技風(fēng)險管理部分的參與，保證系統(tǒng)開發(fā)符合商業(yè)銀行信息科技風(fēng)險標(biāo)準(zhǔn)。不嚴(yán)格的開發(fā)過程使應(yīng)用系統(tǒng)存在安全弱點(diǎn)，應(yīng)用系統(tǒng)問題無法在項(xiàng)目建設(shè)過程中及時發(fā)現(xiàn)，直接導(dǎo)致系統(tǒng)運(yùn)行失敗、系統(tǒng)中重要數(shù)據(jù)被破壞、丟失。等級保護(hù)系統(tǒng)建設(shè)管理自行軟件開發(fā)：a) 應(yīng)確保開發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境物理分開，開發(fā)人員和測試人員分離，測試數(shù)據(jù)和測試結(jié)果受到控制b) 應(yīng)制定軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法和人員行為準(zhǔn)則c) 應(yīng)制定代碼編寫安全規(guī)范，要求開發(fā)人員參照規(guī)范編寫代碼d) 應(yīng)確保提供軟件設(shè)計的相關(guān)文檔和使用指南，并由專人負(fù)責(zé)保管e) 應(yīng)確保對程序資源庫的修改、更新、發(fā)布進(jìn)行授權(quán)和批準(zhǔn)等級保護(hù)系統(tǒng)建設(shè)管理測試驗(yàn)收：b) 在測試驗(yàn)收前根據(jù)設(shè)計方案或合同要求等制定測試驗(yàn)收方案，在測試驗(yàn)收過程中應(yīng)詳細(xì)記錄測試驗(yàn)收結(jié)果，并形成測試驗(yàn)收報告；c) 應(yīng)對系統(tǒng)測試驗(yàn)收的控制方法和人員行為準(zhǔn)則進(jìn)行書面規(guī)定。52文檔管理格式標(biāo)準(zhǔn)規(guī)范并明確項(xiàng)目資料文檔的管理職責(zé)、資料文檔的起草和審批職責(zé)、資料文檔格式標(biāo)準(zhǔn)化規(guī)范。軟件質(zhì)量無法保證，對軟件質(zhì)量的改進(jìn)等無法有效實(shí)施。等級保護(hù)系統(tǒng)建設(shè)管理自行軟件開發(fā)：b) 應(yīng)制定軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法和人員行為準(zhǔn)則d) 應(yīng)確保提供軟件設(shè)計的相關(guān)文檔和使用指南，并由專人負(fù)責(zé)保管。53程序文檔完整性程序文檔內(nèi)容包括：程序設(shè)計和代碼標(biāo)準(zhǔn)、程序描述、程序設(shè)計資料、代碼清單、源代碼命名規(guī)則、系統(tǒng)操作指南等。項(xiàng)目程序文檔的缺失，可能會致使整個項(xiàng)目維護(hù)困難、升級困難等問題 等級保護(hù)系統(tǒng)建設(shè)管理自行軟件開發(fā)：d) 應(yīng)確保提供軟件設(shè)計的相關(guān)文檔和使用指南，并由專人負(fù)責(zé)保管。等級保護(hù)系統(tǒng)建設(shè)管理外包軟件開發(fā)：c) 應(yīng)要求開發(fā)單位提供軟件設(shè)計的相關(guān)文檔和使用指南。等級保護(hù)系統(tǒng)建設(shè)管理系統(tǒng)交付：a) 應(yīng)制定詳細(xì)的系統(tǒng)交付清單，并根據(jù)交付清單對所交接的設(shè)備、軟件和文檔等進(jìn)行清點(diǎn)；c) 應(yīng)確保提供系統(tǒng)建設(shè)過程中的文檔和指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)行維護(hù)的文檔。54項(xiàng)目文檔完整性項(xiàng)目文檔內(nèi)容包括：項(xiàng)目需求、可行性分析、階段實(shí)施記錄（啟動、計劃、設(shè)計、開發(fā)、測試、實(shí)施、后評價等）。項(xiàng)目文檔的不完善，增加了項(xiàng)目失敗的可能性等級保護(hù)系統(tǒng)建設(shè)管理工程實(shí)施：b) 應(yīng)制定詳細(xì)的工程實(shí)施方案控制實(shí)施過程，并要求工程實(shí)施單位能正式地執(zhí)行安全工程過程。等級保護(hù)系統(tǒng)建設(shè)管理外包軟件開發(fā)：a) 應(yīng)根據(jù)開發(fā)需求檢測軟件質(zhì)量；c) 應(yīng)要求開發(fā)單位提供軟件設(shè)計的相關(guān)文檔和使用指南。55系統(tǒng)測試開發(fā)環(huán)境與測試環(huán)境的分離保證生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)相分離；生產(chǎn)系統(tǒng)與開發(fā)系統(tǒng)、測試系統(tǒng)的管理職能相分離。影響生產(chǎn)系統(tǒng)的穩(wěn)定性，導(dǎo)致數(shù)據(jù)泄漏等安全事件的發(fā)生。等級保護(hù)系統(tǒng)建設(shè)管理自行軟件開發(fā)：a) 應(yīng)確保開發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境物理分開，開發(fā)人員和測試人員分離，測試數(shù)據(jù)和測試結(jié)果受到控制。ISO27001通訊及操作管理操作程序及職責(zé)開發(fā)、測試和運(yùn)營設(shè)施的分離：應(yīng)分離開發(fā)、測試和運(yùn)營設(shè)施，以降低未授權(quán)訪問或?qū)Σ僮飨到y(tǒng)變更的風(fēng)險。56測試數(shù)據(jù)敏感的生產(chǎn)數(shù)據(jù)應(yīng)該降低