【正文】 變更無(wú)法準(zhǔn)確的評(píng)估其有效性和安全性。ISO27001信息系統(tǒng)的獲取、開(kāi)發(fā)和維護(hù)開(kāi)發(fā)和支持過(guò)程的安全變更控制程序：應(yīng)通過(guò)正式的變更控制程序，控制變更的實(shí)施。73回滾計(jì)劃所有變更都應(yīng)建立失敗后的恢復(fù)計(jì)劃。變更前的系統(tǒng)狀態(tài)無(wú)法及時(shí)恢復(fù)。等級(jí)保護(hù)系統(tǒng)運(yùn)維管理變更管理：d) 應(yīng)建立中止變更并從失敗變更中恢復(fù)的文件化程序，明確過(guò)程控制方法和人員職責(zé)，必要時(shí)對(duì)恢復(fù)過(guò)程進(jìn)行演練。ISO27001業(yè)務(wù)連續(xù)性管理業(yè)務(wù)連續(xù)性管理的信息安全方面開(kāi)發(fā)并實(shí)施包括信息安全的連續(xù)性計(jì)劃：應(yīng)開(kāi)發(fā)并實(shí)施計(jì)劃， 以確保在關(guān)鍵業(yè)務(wù)流程中斷或失效后能夠在要求的時(shí)間內(nèi)和要求的等級(jí)上保持和恢復(fù)運(yùn)營(yíng)并確保信息的可用性。74緊急變更所有的應(yīng)急變更都應(yīng)該記錄和備份，包括變更前后的程序版本與數(shù)據(jù)。應(yīng)急變更應(yīng)該由獨(dú)立的人員立即審核，以確保所有的變更都是適當(dāng)?shù)?。且不?huì)對(duì)生產(chǎn)環(huán)境產(chǎn)生不良影響。應(yīng)急需求得不到及時(shí)響應(yīng)；變更造成系統(tǒng)故障和業(yè)務(wù)中斷問(wèn)題，且無(wú)法及時(shí)恢復(fù)。等級(jí)保護(hù)系統(tǒng)運(yùn)維管理變更管理：c) 應(yīng)建立變更控制的申報(bào)和審批文件化程序，變更影響分析應(yīng)文檔化，記錄變更實(shí)施過(guò)程，并妥善保存所有文檔和記錄。ISO27001信息安全組織內(nèi)部組織信息安全的獨(dú)立評(píng)審：應(yīng)按計(jì)劃的時(shí)間間隔或當(dāng)發(fā)生重大的信息安全變化時(shí)，對(duì)組織的信息安全管理方法及其實(shí)施情況（如，信息安全控制目標(biāo)、控制措施、策略、過(guò)程和程序）進(jìn)行獨(dú)立評(píng)審。六、 業(yè)務(wù)連續(xù)性管理序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)75高管層的管理業(yè)務(wù)連續(xù)性策略經(jīng)董事會(huì)或高管層批準(zhǔn)的業(yè)務(wù)連續(xù)性策略、標(biāo)準(zhǔn)和流程。對(duì)重大災(zāi)害缺乏足夠的準(zhǔn)備，導(dǎo)致業(yè)務(wù)因火災(zāi)、臺(tái)風(fēng)、地震等不可抗因素造成毀滅性的損失，直接威脅企業(yè)的生存。ISO27001業(yè)務(wù)連續(xù)性管理業(yè)務(wù)連續(xù)性管理的信息安全方面 在業(yè)務(wù)連續(xù)性管理過(guò)程中包含信息安全：應(yīng)在組織內(nèi)開(kāi)發(fā)并保持業(yè)務(wù)連續(xù)性管理過(guò)程， 該過(guò)程闡明了組織的業(yè)務(wù)連續(xù)性對(duì)信息安全的要求。76管理組織明確設(shè)立部門負(fù)責(zé)業(yè)務(wù)連續(xù)性規(guī)劃的整體流程管理。缺乏有效的組織者和領(lǐng)導(dǎo)者，在業(yè)務(wù)中斷后無(wú)法及時(shí)的組織業(yè)務(wù)恢復(fù)工作。ISO27001信息安全組織內(nèi)部組織信息安全職責(zé)分配：應(yīng)明確規(guī)定所有的信息安全職責(zé)。77獨(dú)立的評(píng)估機(jī)制獨(dú)立部門對(duì)定期對(duì)業(yè)務(wù)連續(xù)性計(jì)劃進(jìn)行評(píng)估；評(píng)估內(nèi)容包含業(yè)務(wù)連續(xù)性規(guī)劃的有效性，以及是否與本機(jī)構(gòu)的策略和標(biāo)準(zhǔn)相一致。不當(dāng)?shù)臉I(yè)務(wù)連續(xù)性計(jì)劃無(wú)法對(duì)業(yè)務(wù)中斷情況下的恢復(fù)進(jìn)行有效指導(dǎo)。ISO27001業(yè)務(wù)連續(xù)性管理業(yè)務(wù)連續(xù)性管理的信息安全方面業(yè)務(wù)連續(xù)性和風(fēng)險(xiǎn)評(píng)估：應(yīng)識(shí)別可能導(dǎo)致業(yè)務(wù)過(guò)程中斷的事故， 以及這類中斷發(fā)射給您的可能性和影響、 中斷的信息安全后果。應(yīng)定期測(cè)試并更新BCP，以確保BCP 的更新和有效78規(guī)劃分析業(yè)務(wù)影響分析意外事件發(fā)生的場(chǎng)景和幾率；準(zhǔn)確評(píng)估業(yè)務(wù)運(yùn)行中斷的可能性及其影響。對(duì)風(fēng)險(xiǎn)的估計(jì)錯(cuò)誤，導(dǎo)致投入與保障失衡。ISO27001業(yè)務(wù)連續(xù)性管理業(yè)務(wù)連續(xù)性管理的信息安全方面業(yè)務(wù)連續(xù)性和風(fēng)險(xiǎn)評(píng)估：應(yīng)識(shí)別可能導(dǎo)致業(yè)務(wù)過(guò)程中斷的事故， 以及這類中斷發(fā)射給您的可能性和影響、 中斷的信息安全后果。79業(yè)務(wù)恢復(fù)最低要求重要的業(yè)務(wù)和后臺(tái)部門已制定業(yè)務(wù)連續(xù)性規(guī)劃最低要求，以保證基本的業(yè)務(wù)和技術(shù)服務(wù)能力。業(yè)務(wù)中斷后，無(wú)法快速的構(gòu)鑄業(yè)務(wù)運(yùn)行環(huán)境，無(wú)法快速恢復(fù)業(yè)務(wù)系統(tǒng)運(yùn)行。ISO27001業(yè)務(wù)連續(xù)性管理業(yè)務(wù)連續(xù)性管理的信息安全方面開(kāi)發(fā)并實(shí)施包括信息安全的連續(xù)性計(jì)劃：應(yīng)開(kāi)發(fā)并實(shí)施計(jì)劃， 以確保在關(guān)鍵業(yè)務(wù)流程中斷或失效后能夠在要求的時(shí)間內(nèi)和要求的等級(jí)上保持和恢復(fù)運(yùn)營(yíng)并確保信息的可用性。80業(yè)務(wù)恢復(fù)的優(yōu)先級(jí)啟動(dòng)業(yè)務(wù)連續(xù)性計(jì)劃時(shí)不同業(yè)務(wù)有明確的恢復(fù)順序。重要業(yè)務(wù)的恢復(fù)的延遲導(dǎo)致更大的損失。ISO27001業(yè)務(wù)連續(xù)性管理業(yè)務(wù)連續(xù)性管理的信息安全方面業(yè)務(wù)連續(xù)性計(jì)劃框架：應(yīng)保持一個(gè)單一的業(yè)務(wù)連續(xù)性計(jì)劃框架， 以確保所有計(jì)劃的一致性， 以維護(hù)信息安全要求的一致性并識(shí)別測(cè)試和保持的優(yōu)先級(jí)。ISO27002業(yè)務(wù)連續(xù)性管理：1）了解機(jī)構(gòu)所面臨的風(fēng)險(xiǎn)、風(fēng)險(xiǎn)發(fā)生的概率及影響，包括定出哪些是重要的業(yè)務(wù)進(jìn)程，并分出先后；81內(nèi)容完整性處理措施分類針對(duì)不同類型風(fēng)險(xiǎn)以及影響的期限分別制定不同的處理措施。對(duì)風(fēng)險(xiǎn)的估計(jì)錯(cuò)誤，導(dǎo)致投入與保障失衡。等級(jí)保護(hù)系統(tǒng)運(yùn)維管理應(yīng)急預(yù)案管理a) 應(yīng)在統(tǒng)一的應(yīng)急預(yù)案框架下制定不同事件的應(yīng)急預(yù)案，應(yīng)急預(yù)案框架應(yīng)包括啟動(dòng)應(yīng)急預(yù)案的條件、應(yīng)急處理流程、系統(tǒng)恢復(fù)流程和事后教育和培訓(xùn)等內(nèi)容。82資源保障人員、系統(tǒng)、財(cái)務(wù)和后勤等資源的充分保障；有明確的獲取資源的渠道和方式，并評(píng)估災(zāi)難對(duì)資源獲取環(huán)節(jié)的影響。業(yè)務(wù)恢復(fù)計(jì)劃無(wú)法實(shí)施。GBT 209882007信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范資源的獲取方式：數(shù)據(jù)備份系統(tǒng)；備用數(shù)據(jù)處理系統(tǒng)；備用網(wǎng)絡(luò)系統(tǒng)；備用基礎(chǔ)設(shè)施等。83聯(lián)系溝通機(jī)制與重要外部機(jī)構(gòu)建立了正式的聯(lián)絡(luò)溝通機(jī)制（如：監(jiān)管部門、投資者、客戶、交易對(duì)手、商業(yè)合作伙伴、服務(wù)提供商、新聞媒體和其他股東等），對(duì)內(nèi)部機(jī)構(gòu)的溝通聯(lián)系機(jī)制（如：內(nèi)部員工、母公司、總部、分支結(jié)構(gòu)等）。業(yè)務(wù)連續(xù)性規(guī)劃應(yīng)明確指定災(zāi)害期間的對(duì)外新聞發(fā)言人，重要外部機(jī)構(gòu)的電話號(hào)碼和電子郵件地址應(yīng)被妥善管理。溝通不暢導(dǎo)致安全事件無(wú)法及時(shí)協(xié)調(diào)及處理，無(wú)法得到內(nèi)部和外部的有效支持。等級(jí)保護(hù)安全管理機(jī)構(gòu)溝通和合作：a) 應(yīng)加強(qiáng)各類管理人員之間、組織內(nèi)部機(jī)構(gòu)之間以及信息安全職能部門的合作與溝通，定期或不定期召開(kāi)協(xié)調(diào)會(huì)議，共同協(xié)助處理信息安全問(wèn)題b) 應(yīng)加強(qiáng)與兄弟單位、公安機(jī)關(guān)、電信公司的合作與溝通c) 應(yīng)加強(qiáng)與供應(yīng)商、業(yè)界專家、專業(yè)的安全公司、安全組織的合作與溝通d) 應(yīng)建立外聯(lián)單位聯(lián)系列表，包括外聯(lián)單位名稱、合作內(nèi)容、聯(lián)系人和聯(lián)系方式等信息ISO27001信息安全組織內(nèi)部組織與監(jiān)管機(jī)構(gòu)的聯(lián)系：應(yīng)保持與相關(guān)監(jiān)管機(jī)構(gòu)的適當(dāng)聯(lián)系。ISO27001信息安全組織內(nèi)部組織與特殊利益團(tuán)體的聯(lián)系：應(yīng)保持與特殊利益團(tuán)體或其他專業(yè)安全協(xié)會(huì)和行業(yè)協(xié)會(huì)的適當(dāng)聯(lián)系。84發(fā)布流程業(yè)務(wù)連續(xù)性計(jì)劃應(yīng)得到高管層認(rèn)可并正式發(fā)布；重要崗位人員應(yīng)明確了解自身職責(zé)和需配合人員的聯(lián)絡(luò)方式。連續(xù)性計(jì)劃無(wú)法滿業(yè)務(wù)需要。ISO27001管理職責(zé)管理承諾：管理層應(yīng)通過(guò)以下措施對(duì)其建立、實(shí)施、運(yùn)行、監(jiān)視、評(píng)審、保持和改進(jìn)ISMS的承諾提供證據(jù)：a) 建立信息安全方針；b) 確保信息安全目標(biāo)和計(jì)劃的建立；c) 為信息安全分配角色和職責(zé)。85演練與更新業(yè)務(wù)連續(xù)性計(jì)劃的定期演練建立有效的演練計(jì)劃，并保障實(shí)施。計(jì)劃的有效性得不到驗(yàn)證和保障。ISO27001業(yè)務(wù)連續(xù)性管理業(yè)務(wù)連續(xù)性管理的信息安全方面 BCP 的測(cè)試、保持和再評(píng)估：應(yīng)定期測(cè)試并更新 BCP，以確保 BCP的更新和有效。86業(yè)務(wù)連續(xù)性計(jì)劃的更新有明確的制度要求依據(jù)演練和評(píng)估結(jié)果對(duì)業(yè)務(wù)連續(xù)性計(jì)劃進(jìn)行更新，并確保內(nèi)部人員、交易對(duì)手、客戶和服務(wù)提供商及時(shí)得到更新。計(jì)劃的適用性不能及時(shí)有效的完善。ISO27001業(yè)務(wù)連續(xù)性管理業(yè)務(wù)連續(xù)性管理的信息安全方面BCP 的測(cè)試、保持和再評(píng)估：應(yīng)定期測(cè)試并更新 BCP，以確保 BCP的更新和有效。七、 外包序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)87外包管理外包商的資質(zhì)考查服務(wù)商的設(shè)施和能力；財(cái)務(wù)穩(wěn)定性和專業(yè)經(jīng)驗(yàn)；有能力滿足其履行監(jiān)管、審計(jì)義務(wù)；遵守內(nèi)部規(guī)章制度。外包程序和數(shù)據(jù)的安全性得不到有效的保障。ISO27001通訊及操作管理第三方服務(wù)交付管理：確保第三方實(shí)施、運(yùn)行并保持第三方服務(wù)交付協(xié)議中包含的安全控制、服務(wù)定義和交付等級(jí)。88外包協(xié)議的完整性完整的技術(shù)傳送、安全保密規(guī)定；質(zhì)量控制標(biāo)準(zhǔn)；整改升級(jí)策略；重要部分分包控制。重要生產(chǎn)數(shù)據(jù)有泄漏的風(fēng)險(xiǎn)。等級(jí)保護(hù)應(yīng)用安全通信完整性：a) 應(yīng)采用校驗(yàn)碼技術(shù)保證通信過(guò)程中數(shù)據(jù)的完整性；等級(jí)保護(hù)應(yīng)用安全通信保密性：a) 在通信雙方建立連接之前，應(yīng)用系統(tǒng)利用密碼技術(shù)進(jìn)行會(huì)話初始化驗(yàn)證；b) 應(yīng)對(duì)通信過(guò)程中的整個(gè)報(bào)文或會(huì)話過(guò)程進(jìn)行加密。89對(duì)外包商的檢測(cè)評(píng)估實(shí)施前對(duì)外包商的獨(dú)立評(píng)估，重要部分向監(jiān)管部門報(bào)告；定期對(duì)外包商進(jìn)行檢測(cè)評(píng)估。不能及早發(fā)現(xiàn)并避免潛在不合規(guī)事件的發(fā)生。ISO27001信息系統(tǒng)的獲取、開(kāi)發(fā)和維護(hù)開(kāi)發(fā)和支持過(guò)程的安全軟件委外開(kāi)發(fā)：組織應(yīng)對(duì)軟件委外開(kāi)發(fā)進(jìn)行監(jiān)控；ISO27001通訊及操作管理第三方服務(wù)交付管理：應(yīng)對(duì)服務(wù)和第三方提交的報(bào)告定期進(jìn)行監(jiān)視和評(píng)審，并定期進(jìn)行審核。90應(yīng)急管理制定正式的應(yīng)急措施和退出管理措施，防范外包商不能提供服務(wù)的風(fēng)險(xiǎn)。導(dǎo)致項(xiàng)目的成本的增加，直接影響工程進(jìn)度。ISO27001通訊及操作管理第三方服務(wù)交付管理管理第三方服務(wù)的變更：應(yīng)管理服務(wù)提供的變更（包括包括保持和改進(jìn)現(xiàn)有信息安全方針、程序和控制措施），考慮對(duì)業(yè)務(wù)系統(tǒng)的關(guān)鍵程度、涉及的過(guò)程和風(fēng)險(xiǎn)的再評(píng)估。八、 內(nèi)部審計(jì)和外部審計(jì)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)91內(nèi)部審計(jì)內(nèi)部審計(jì)的責(zé)任制定、實(shí)施和維護(hù)審計(jì)計(jì)劃，執(zhí)行信息科技的專項(xiàng)審計(jì)，提出整改建議并檢查是否得到落實(shí)。操作失誤無(wú)法追查責(zé)任，操作無(wú)法嚴(yán)格執(zhí)行。ISO27001信息系統(tǒng)審核的考慮因素信息系統(tǒng)審核控制：應(yīng)謹(jǐn)慎策劃對(duì)操作系統(tǒng)檢查所涉及的審核要求和活動(dòng)并獲得許可，以最小化對(duì)業(yè)務(wù)過(guò)程的影響或風(fēng)險(xiǎn)92內(nèi)部審計(jì)頻率依據(jù)風(fēng)險(xiǎn)高低決定內(nèi)部審計(jì)頻率；至少每三年進(jìn)行一次全面審計(jì)。風(fēng)險(xiǎn)不能及時(shí)發(fā)現(xiàn)并采取適當(dāng)措施控制。等級(jí)保護(hù)安全管理機(jī)構(gòu)審核和檢查：b) 應(yīng)由內(nèi)部人員或上級(jí)單位定期進(jìn)行全面安全檢查，檢查內(nèi)容包括現(xiàn)有安全技術(shù)措施的有效性、安全配置與安全策略的一致性、安全管理制度的執(zhí)行情況等93外部審計(jì)工作配合提供必要的數(shù)據(jù)和材料，保證信息科技審計(jì)服務(wù)商能夠充分、及時(shí)而準(zhǔn)確地揭示信息科技存在的風(fēng)險(xiǎn)。不能保證審計(jì)的客觀性和全面性，導(dǎo)致風(fēng)險(xiǎn)不能被準(zhǔn)確的評(píng)估，影響業(yè)務(wù)的正常運(yùn)作。Corbit信息技術(shù)審計(jì)指南質(zhì)量保證的責(zé)任：管理層應(yīng)為IT職能部門的成員分配質(zhì)量保證職能履行的責(zé)任，并確保適當(dāng)?shù)馁|(zhì)量保證、系統(tǒng)、控制和存在于IT職能質(zhì)量保證小組中的專家們的交流。IT職能內(nèi)機(jī)構(gòu)的布置以及質(zhì)量保證小組的職責(zé)和規(guī)模應(yīng)滿足機(jī)構(gòu)的需求。94保密協(xié)議與信息科技審計(jì)服務(wù)商簽訂保密協(xié)議，并督促其嚴(yán)格遵守法律法規(guī)，保守本銀行的商業(yè)秘密和信息科技風(fēng)險(xiǎn)信息，防止其擅自對(duì)本銀行提供的任何文件進(jìn)行修改、復(fù)制或帶離現(xiàn)場(chǎng)。重要數(shù)據(jù)或安全弱點(diǎn)泄漏，直接導(dǎo)致安全事件的發(fā)生。ISO27001符合性信息系統(tǒng)審核的考慮因素：應(yīng)謹(jǐn)慎策劃對(duì)操作系統(tǒng)檢查所涉及的審核要求和活動(dòng)并獲得許可， 以最小化對(duì)業(yè)務(wù)過(guò)程的影響或風(fēng)險(xiǎn)。填報(bào)說(shuō)明： 風(fēng)險(xiǎn)評(píng)估等級(jí)：I：已完善，完全符合風(fēng)險(xiǎn)控制目標(biāo)要求。 II：基本完善，某些方面存在遺漏，但風(fēng)險(xiǎn)基本可控。 III：已采取相關(guān)措施，但存在較大漏洞，存在風(fēng)險(xiǎn)較大或未進(jìn)行評(píng)估。 IV：未采取風(fēng)險(xiǎn)控制措施。 V：經(jīng)評(píng)估，該風(fēng)險(xiǎn)控制要求不適用于銀行實(shí)際情況。 具體做法應(yīng)簡(jiǎn)要填寫風(fēng)險(xiǎn)控制方法、實(shí)施步驟，或填寫相關(guān)文件名稱及發(fā)布日期。 36 / 36