銀行業(yè)信息安全管理體系手冊(編輯修改稿)
2025-09-06 16:52 本頁面
【文章內(nèi)容簡介】 安全適用性聲明》 ISMS實施及運作，對已識別的風(fēng)險進行有效處理，開展以下活動： 1）形成《風(fēng)險處理計劃》，以確定適當?shù)墓芾泶胧?、職?zé)及安全控制措施的優(yōu)先級； 2）為實現(xiàn)已確定的安全目標、實施《風(fēng)險處理計劃》，明確各崗位的信息安全職責(zé)； 3）實施所選擇的控制措施，以實現(xiàn)控制目標； 4）進行信息安全培訓(xùn)，提高全員信息安全意識和能力； 5）對信息安全體系的運作進行管理； 6）對信息安全所需資源進行管理； 7）實施控制程序，對信息安全事故（或征兆）進行迅速反應(yīng)。 信息安全組織機構(gòu) 阜新銀行信息科技部明確人員職責(zé)（包括信息安全職責(zé)）并形成文件。1） 信息科技部組織相關(guān)職能人員，成立信息安全委員會，形成阜新銀行信息科技部信息安全管理最高機構(gòu)。2） 各ISMS負責(zé)人員根據(jù)阜新銀行信息科技部的職責(zé)明確，形成書面文件。 信息安全職責(zé)和權(quán)限 1）阜新銀行信息科技部總經(jīng)理為最高管理者，最高管理者指定：苗志勇為信息安全管理者代表，無論該成員在其他方面的職責(zé)如何，對信息安全負有以下職責(zé)： a)建立并實施信息安全管理體系必要的程序并維持其有效運行。 b)對信息安全管理體系的運行情況和必要的改善措施向信息安全管理委員會或最高管理者報告（總經(jīng)理） c)針對體系運行期間保證定期的監(jiān)視體系運行情況、評審體系的有效性、持續(xù)改進文件化的ISMS。 d)管理者代表監(jiān)督全體員工對信息安全體系文件的執(zhí)行狀況。 檢測安全事態(tài)、響應(yīng)安全事件及其他控制措施 a)根據(jù)SoA中規(guī)定的安全目標、控制措施（包括安全運行的各種控制程序）要求實施信息安全控制措施。 b)迅速檢測過程運行結(jié)果中的錯誤 c)實施實時監(jiān)控，對識別試圖的和得逞的安全違規(guī)和事件進行果斷處理。 d)通過使用指標，幫助檢查安全事態(tài)并預(yù)防安全事件。 e)確定解決安全違規(guī)的措施是否有效。 ISMS的監(jiān)督檢查與評審 阜新銀行信息科技部通過實施定期的安全檢查、內(nèi)部審核、定期的技術(shù)審查等控制措施并報告結(jié)果以實現(xiàn)： a)及時發(fā)現(xiàn)信息安全體系的事故和隱患； b)定期檢查信息處理設(shè)施，及時了解信息處理系統(tǒng)遭受的各類攻擊； c)使管理者掌握信息安全活動是否有效，并根據(jù)優(yōu)先級別確定所要采取的措施； d)對于歷史事件進行記錄并留存檔案，積累信息安全事態(tài)事故等方面的經(jīng)驗，總結(jié)信息安全事態(tài)事件出現(xiàn)的征兆，防患于未然。 根據(jù)以上活動的結(jié)果以及來自相關(guān)方的建議和反饋，由最高管理者主持，定期（每年至少一次）對ISMS的有效性進行評審，其中包括信息安全范圍、方針、目標及控制措施有效性的評審。管理評審的具體要求，見本手冊第七章。 信息科技部應(yīng)組織有關(guān)區(qū)域負責(zé)人按照《信息安全風(fēng)險評估管理程序》的要求對風(fēng)險處理后的殘余風(fēng)險進行定期評審，以驗證殘余風(fēng)險是否達到可接受的水平，對以下方面變更情況應(yīng)及時進行風(fēng)險評估： a）組織機構(gòu)發(fā)生重大變更； b）信息處理技術(shù)發(fā)生重大變更； c）阜新銀行信息科技部業(yè)務(wù)目標及流程發(fā)生重大變更； d）發(fā)現(xiàn)信息資產(chǎn)面臨重大威脅； e）外部環(huán)境，如法律法規(guī)或信息安全標準發(fā)生重大變更。 以上活動的詳細程序規(guī)定于以下文件中： 《記錄控制程序》《信息安全風(fēng)險評估控制程序》《內(nèi)部審核控制程序》《部門職位說明書》 ISMS保持與改進阜新銀行信息科技部開展以下活動，以確保ISMS的持續(xù)改進：a) 實施每年管理評審、內(nèi)部審核、安全檢查等活動以確定需改的項目；b) 按照《內(nèi)部審核控制程序》、《糾正預(yù)防措施程序 》《預(yù)防措施控制程序》的要求采取適當?shù)募m正和預(yù)防措施；吸取其他商業(yè)銀行及外資企業(yè)安全事故的經(jīng)驗c) 對信息安全目標及分解進行管理，確保改進達到預(yù)期效果；（信息安全目標及指標的分解）d) 為確保信息安全管理體系持續(xù)有效，各區(qū)域負責(zé)人及內(nèi)審小組通過適當?shù)氖侄伪３衷诟沸裸y行信息科技部內(nèi)部對信息安全措施的執(zhí)行情況與結(jié)果進行有效溝通。包括獲取外部信息安全專家的建議、電信運營商等組織的聯(lián)系及識別信息安全要求等。
電大資料相關(guān)推薦
鄂ICP備17016276號-1