銀行業(yè)信息安全管理體系手冊(cè)(編輯修改稿)
2025-09-06 16:52 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 安全適用性聲明》 ISMS實(shí)施及運(yùn)作，對(duì)已識(shí)別的風(fēng)險(xiǎn)進(jìn)行有效處理，開(kāi)展以下活動(dòng)： 1）形成《風(fēng)險(xiǎn)處理計(jì)劃》，以確定適當(dāng)?shù)墓芾泶胧⒙氊?zé)及安全控制措施的優(yōu)先級(jí)； 2）為實(shí)現(xiàn)已確定的安全目標(biāo)、實(shí)施《風(fēng)險(xiǎn)處理計(jì)劃》，明確各崗位的信息安全職責(zé)； 3）實(shí)施所選擇的控制措施，以實(shí)現(xiàn)控制目標(biāo)； 4）進(jìn)行信息安全培訓(xùn)，提高全員信息安全意識(shí)和能力； 5）對(duì)信息安全體系的運(yùn)作進(jìn)行管理； 6）對(duì)信息安全所需資源進(jìn)行管理； 7）實(shí)施控制程序，對(duì)信息安全事故（或征兆）進(jìn)行迅速反應(yīng)。 信息安全組織機(jī)構(gòu) 阜新銀行信息科技部明確人員職責(zé)（包括信息安全職責(zé)）并形成文件。1） 信息科技部組織相關(guān)職能人員，成立信息安全委員會(huì)，形成阜新銀行信息科技部信息安全管理最高機(jī)構(gòu)。2） 各ISMS負(fù)責(zé)人員根據(jù)阜新銀行信息科技部的職責(zé)明確，形成書(shū)面文件。 信息安全職責(zé)和權(quán)限 1）阜新銀行信息科技部總經(jīng)理為最高管理者，最高管理者指定：苗志勇為信息安全管理者代表，無(wú)論該成員在其他方面的職責(zé)如何，對(duì)信息安全負(fù)有以下職責(zé)： a)建立并實(shí)施信息安全管理體系必要的程序并維持其有效運(yùn)行。 b)對(duì)信息安全管理體系的運(yùn)行情況和必要的改善措施向信息安全管理委員會(huì)或最高管理者報(bào)告（總經(jīng)理） c)針對(duì)體系運(yùn)行期間保證定期的監(jiān)視體系運(yùn)行情況、評(píng)審體系的有效性、持續(xù)改進(jìn)文件化的ISMS。 d)管理者代表監(jiān)督全體員工對(duì)信息安全體系文件的執(zhí)行狀況。 檢測(cè)安全事態(tài)、響應(yīng)安全事件及其他控制措施 a)根據(jù)SoA中規(guī)定的安全目標(biāo)、控制措施（包括安全運(yùn)行的各種控制程序）要求實(shí)施信息安全控制措施。 b)迅速檢測(cè)過(guò)程運(yùn)行結(jié)果中的錯(cuò)誤 c)實(shí)施實(shí)時(shí)監(jiān)控，對(duì)識(shí)別試圖的和得逞的安全違規(guī)和事件進(jìn)行果斷處理。 d)通過(guò)使用指標(biāo)，幫助檢查安全事態(tài)并預(yù)防安全事件。 e)確定解決安全違規(guī)的措施是否有效。 ISMS的監(jiān)督檢查與評(píng)審 阜新銀行信息科技部通過(guò)實(shí)施定期的安全檢查、內(nèi)部審核、定期的技術(shù)審查等控制措施并報(bào)告結(jié)果以實(shí)現(xiàn)： a)及時(shí)發(fā)現(xiàn)信息安全體系的事故和隱患； b)定期檢查信息處理設(shè)施，及時(shí)了解信息處理系統(tǒng)遭受的各類(lèi)攻擊； c)使管理者掌握信息安全活動(dòng)是否有效，并根據(jù)優(yōu)先級(jí)別確定所要采取的措施； d)對(duì)于歷史事件進(jìn)行記錄并留存檔案，積累信息安全事態(tài)事故等方面的經(jīng)驗(yàn)，總結(jié)信息安全事態(tài)事件出現(xiàn)的征兆，防患于未然。 根據(jù)以上活動(dòng)的結(jié)果以及來(lái)自相關(guān)方的建議和反饋，由最高管理者主持，定期（每年至少一次）對(duì)ISMS的有效性進(jìn)行評(píng)審，其中包括信息安全范圍、方針、目標(biāo)及控制措施有效性的評(píng)審。管理評(píng)審的具體要求，見(jiàn)本手冊(cè)第七章。 信息科技部應(yīng)組織有關(guān)區(qū)域負(fù)責(zé)人按照《信息安全風(fēng)險(xiǎn)評(píng)估管理程序》的要求對(duì)風(fēng)險(xiǎn)處理后的殘余風(fēng)險(xiǎn)進(jìn)行定期評(píng)審，以驗(yàn)證殘余風(fēng)險(xiǎn)是否達(dá)到可接受的水平，對(duì)以下方面變更情況應(yīng)及時(shí)進(jìn)行風(fēng)險(xiǎn)評(píng)估： a）組織機(jī)構(gòu)發(fā)生重大變更； b）信息處理技術(shù)發(fā)生重大變更； c）阜新銀行信息科技部業(yè)務(wù)目標(biāo)及流程發(fā)生重大變更； d）發(fā)現(xiàn)信息資產(chǎn)面臨重大威脅； e）外部環(huán)境，如法律法規(guī)或信息安全標(biāo)準(zhǔn)發(fā)生重大變更。 以上活動(dòng)的詳細(xì)程序規(guī)定于以下文件中： 《記錄控制程序》《信息安全風(fēng)險(xiǎn)評(píng)估控制程序》《內(nèi)部審核控制程序》《部門(mén)職位說(shuō)明書(shū)》 ISMS保持與改進(jìn)阜新銀行信息科技部開(kāi)展以下活動(dòng)，以確保ISMS的持續(xù)改進(jìn)：a) 實(shí)施每年管理評(píng)審、內(nèi)部審核、安全檢查等活動(dòng)以確定需改的項(xiàng)目；b) 按照《內(nèi)部審核控制程序》、《糾正預(yù)防措施程序 》《預(yù)防措施控制程序》的要求采取適當(dāng)?shù)募m正和預(yù)防措施；吸取其他商業(yè)銀行及外資企業(yè)安全事故的經(jīng)驗(yàn)c) 對(duì)信息安全目標(biāo)及分解進(jìn)行管理，確保改進(jìn)達(dá)到預(yù)期效果；（信息安全目標(biāo)及指標(biāo)的分解）d) 為確保信息安全管理體系持續(xù)有效，各區(qū)域負(fù)責(zé)人及內(nèi)審小組通過(guò)適當(dāng)?shù)氖侄伪３衷诟沸裸y行信息科技部?jī)?nèi)部對(duì)信息安全措施的執(zhí)行情況與結(jié)果進(jìn)行有效溝通。包括獲取外部信息安全專(zhuān)家的建議、電信運(yùn)營(yíng)商等組織的聯(lián)系及識(shí)別信息安全要求等。
電大資料相關(guān)推薦
鄂ICP備17016276號(hào)-1