信息科技风险自评估表.docx

信息科技技风险自自评估表表一、 信息科技技治理序号风险类别别风险点控制目标标风险分析析参考依据据1董事会或或高级管管理层职职责对信息科科技战略略的审查查批准并审审查信息息科技战战略；保保证信息息科技战战略与银银行总体体业务战战略和重重大策略略相一致致；定期期评估信信息科技技及其风风险管理理工作的的总体效效力和效效率。信息风险险管理缺缺乏长期期规划，无法指指导信息息安全工工作开展展。ISO2270001：220055 管理理层职责责：建立信息息安全方方针，确确保信息息安全目目标和计计划的建建立，进进行信息息安全管管理体系系的评审审；ISO2270001：220055信息安安全方针针文档：信息安全全方针文文档应经经过管理理层的批批准，并并向所有有员工和和外部相相关方公公布和沟沟通；ISO2270001：220055信息安安全方针针评审：应按策划划的时间间间隔或或当发生生重大变变化时，对信息息安全方方针文档档进行评评审，以以确保其其持续的的适宜性性、充分分性和有有效性。2对本行信信息科技技风险管管理现状状的掌握握情况定期听取取信息科科技风险险管理部部门报告告；组织织进行独独立有效效的信息息科技风风险审计计；对审审计报告告和监管管意见的的整改情情况进行行监督。无法掌握握现有风风险，对对存在的的信息安安全风险险针对性性的改进进无法得得到有力力的推进进。Corbbit信信息技术术审计指指南-决决定技术术方向：IT管理理层理解解并使用用技术基基础设施施计划；技术基础础设施计计划上的的变化，以确定定相关的的成本和和风险，这些变变化要反反映在IIT长短短期计划划的变化化中；IT管理理层要理理解监控控和评估估正在出出现技术术的过程程，并要要将适当当的技术术合并到到当前的的IT基础础设施之之中；IT管理理层要理理解系统统评估技技术计划划意外的的过程。3对信息科科技建设设的支持持建立合理理的人才才激励体体制；确确保为信信息科技技风险管管理工作作拨付所所需资金金；建立立规范的的职业道道德行为为和廉政政标准。对信息安安全风险险的改进进缺乏有有效资源源Corbbit信信息技术术审计指指南-管理信信息技术术投资：高级管理理层应执执行预算算编制过过程，按按照机构构的长期期和短期期计划以以及ITT的长期期和短期期计划，保证年年度ITT运作预预算的建建立和批批准。应应调查资资金的选选择。4组织架构构组织信息息科技管管理委员员会的建建立由来自高高级管理理层、信信息科技技部分和和主要业业务部分分的代表表组成；定期向向董事会会和高级级管理层层汇报信信息科技技战略规规划的效效力、信信息科技技预算和和实际支支出、信信息科技技的整体体性能；对信息息科技建建设及管管理情况况进行有有效的协协调。信息安全全工作缺缺乏统一一组织进进行协调调。等级保护护-安全全管理机机构-岗岗位设置置c) 应应成立指指导和管管理信息息安全工工作的委委员会或或领导小小组。5首席信息息官的设设置直接参与与本银行行与信息息科技运运用有关关的业务务发展决决策；建建立切实实有效的的信息科科技部分分；确保保信息科科技风险险管理的的有效性性。信息安全全工作缺缺乏统一一有效的的领导和和责任人人。等级保护护-安全全管理机机构-岗岗位设置置c)信息息安全工工作的委委员会或或领导小小组最高高领导应应由单位位主管领领导委任任或授权权。6信息科技技部门的的职责岗位设置置完整合合理；人人员具有有相应的的技能和和专业知知识，制制定有合合理的培培训计划划；重要要岗位制制定详细细完整的的工作说说明。缺乏具有有专业知知识和技技能的专专职人员员；信息息安全工工作无法法有效的的协调。等级保护护-安全全管理机机构-岗岗位设置置a) 应设立信信息安全全管理工工作的职职能部门门，设立立安全主主管、安安全管理理各个方方面的负负责人岗岗位，并并定义各各负责人人的职责责；b) 应配备专专职安全全管理员员，不可可兼任；d) 应应制定文文件明确确安全管管理机构构各个部部门和岗岗位的职职责、分分工和技技能要求求。7信息科技技风险管管理部分分的职责责可直接向向CIOO或CRRO汇报报；实施施持续的的信息科科技风险险评估；协调有有关信息息科技风风险管理理策略的的制定。8信息科技技内部审审计岗位位在内审部部门内部部设立；配备足足够的专专业人员员；制定定完整的的信息科科技审计计策略和和流程；制定信信息科技技内审计计划并落落实。信息安全全工作缺缺乏有效效的监督督和评价价，信息息安全风风险管理理无法有有效的落落实和改改进。等级保护护-安全全管理机机构-审审核和检检查a) 安安全管理理员应负负责定期期进行安安全检查查，检查查内容包包括系统统日常运运行、系系统漏洞洞和数据据备份等等情况；b) 应应由内部部人员或或上级单单位定期期进行全全面安全全检查，检查内内容包括括现有安安全技术术措施的的有效性性、安全全配置与与安全策策略的一一致性、安全管管理制度度的执行行情况等等；c) 应应制定安安全检查查表格实实施安全全检查，汇总安安全检查查数据，形成安安全检查查报告，并对安安全检查查结果进进行通报报；d) 应应制定安安全审核核和安全全检查制制度规范范安全审审核和安安全检查查工作，定期按按照程序序进行安安全审核核和安全全检查活活动。9制度建设设制度建设设流程完善的规规章制度度和管理理办法的的制定、审批和和修订流流程。信息安全全管理制制度混乱乱，无法法形成完完整体系系，缺乏乏可操作作性且得得不到有有效改进进。ISO2270001：220055 总要要求组织应根根据整体体业务活活动和风风险，建建立、实实施、运运行、监监视、评评审、保保持并改改进文件件化的信信息安全全管理体体系。10制度体系系涵盖运行行、安全全、开发发等各重重要部分分；对关关键部分分应有详详细的管管理规定定和操作作细则。关键工作作缺乏规规范性，工作流流程混乱乱，直接接导致信信息安全全事件。ISO2270001：220055-控制制目标：1、信息息安全方方针；22、信息息安全组组织；33、资产产管理；4、人人力资源源安全；5、物物理与环环境安全全；6、通讯及及操作管管理；77、访问问控制；8、信信息系统统的获取取、开发发和维护护；9、信息安安全事故故管理；10、业务连连续性管管理；111、符符合性。二、 信息科技技风险管管理序号风险类别别风险点控制目标标风险分析析参考依据据11信息科技技风险管管理信息科技技风险管管理策略略策略内容容应包括括：1、信息分分级与保保护；22、应用用系统开开发、测测试和维维护；33、信息息科技运运行和维维护；44、访问问控制；5、物物理安全全；6、人员安安全；77、业务务连续性性与应急急处置安全策略略考虑不不完善，没有完完整包含含信息安安全各方方面，制制定的安安全策略略内容存存在疏漏漏。等级保护护-控制项项：1、物理理安全；2、网网络安全全；3、主机安安全；44、应用用安全；5、数数据安全全；6、安全管管理制度度；7、安全管管理机构构；8、人员安安全管理理；9、系统运运维管理理；100、系统统建设管管理。ISO2270001：220055-控制制目标：1、信息息安全方方针；22、信息息安全组组织；33、资产产管理；4、人人力资源源安全；5、物物理与环环境安全全；6、通讯及及操作管管理；77、访问问控制；8、信信息系统统的获取取、开发发和维护护；9、信息安安全事故故管理；10、业务连连续性管管理；111、符符合性。12风险识别别和评估估流程准确定位位存在隐隐患的区区域；评评价风险险对其业业务的潜潜在影响响；对风风险进行行分类排排序；确确定风险险防范活活动及必必备资源源的优先先级。无法了解解现有系系统存在在的风险险，无法法有效的的指导信信息安全全的改进进，提高高信息系系统安全全性。计算机等等级保护护制度；ISO2270001：220055信息安安全管理理体系要要求。13风险防范范措施1、明确确的信息息科技风风险管理理策略、技术标标准和操操作规程程等，并并定期公公示；22、识别别潜在风风险区域域，对这这些区域域进行详详细的独独立监控控，并建建立适当当的控制制结构。14风险计量量和监测测机制范围涵盖盖所有的的重要部部分，包包含项目目实施、系统性性能、事事故与投投诉、问问题整改改、外包包服务水水平、运运行操作作、外包包项目等等。三、 信息安全全序号风险类别别风险点控制目标标风险分析析参考依据据15用户认证证和访问问控制授权机制制完整的审审批流程程；以“必需知知道”和“最小授授权”为原则则；权限限收回流流程。用户获得得不当权权限，有有意或者者无意的的造成系系统破坏坏或信息息泄露。ISO2270001 访访问控制制-控制策策略：应建立文文件化的的访问控控制策略略，并根根据对访访问的业业务和安安全要求求进行评评审；ISO2270001 访访问控制制-用户注注册：应建立正正式的用用户注册册和解除除注册程程序，以以允许和和撤销对对于所有有信息系系统和服服务的访访问；ISO2270001 访访问控制制-特权管管理：应限制和和控制特特权的使使用和分分配。16用户审查查定期对系系统所有有用户进进行审查查；每个个系统的的所有用用户使用用唯一IID；用用户变化化时应及及时检查查和更新新。用户获得得不当权权限，有有意或者者无意的的造成系系统破坏坏或信息息泄露。ISO2270001 访访问控制制-用户访访问权限限的评审审：管理者应应按照策策划的时时间间隔隔通过正正式的流流程对用用户的访访问权限限进行评评审。17认证机制制与信息访访问级别别相匹配配的用户户认证机机制；高高风险交交易和活活动使用用增强的的认证方方法。用户获得得不当权权限，有有意或者者无意的的造成系系统破坏坏或信息息泄露。等级保护护-应用用安全-身份鉴鉴别：a) 应应提供专专用的登登录控制制模块对对登录用用户进行行身份标标识和鉴鉴别b) 应应对同一一用户采采用两种种或两种种以上组组合的鉴鉴别技术术实现用用户身份份鉴别c) 应应提供用用户身份份标识唯唯一性和和鉴别信信息复杂杂度检查查功能，保证应应用系统统中不存存在重复复用户身身份标识识，身份份鉴别信信息不易易被冒用用d) 应应提供登登录失败败处理功功能，可可采取结结束会话话、限制制非法登登录次数数和自动动退出等等措施e) 应应启用身身份鉴别别、用户户身份标标识唯一一性检查查、用户户身份鉴鉴别信息息复杂度度检查以以及登录录失败处处理功能能，并根根据安全全策略配配置相关关参数18信息安全全管理信息安全全管理完善的信信息安全全管理流流程、组组织架构构和职责责分配。管理混乱乱信息安安全策略略无法正正确及时时的实施施；信息息安全责责任无法法明确。等级保护护-安全全管理机机构-岗岗位设置置a) 应应设立信信息安全全管理工工作的职职能部门门，设立立安全主主管、安安全管理理各个方方面的负负责人岗岗位，并并定义各各负责人人的职责责b) 应应设立系系统管理理员、网网络管理理员、安安全管理理员岗位位，并定定义各个个工作岗岗位的职职责c) 应应成立指指导和管管理信息息安全工工作的委委员会或或领导小小组，其其最高领领导应由由单位主主管领导导委任或或授权d) 应应制定文文件明确确安全管管理机构构各个部部门和岗岗位的职职责、分分工和技技能要求求19信息安全全策略信息安全全策略包包含完整整的内容容：1、组织信信息安全全；2、资产管管理；33、人员员安全；4、物物理和环环境安全全；5、通信和和操作安安全；66、访问问控制；7、身身份认证证；8、信息系系统的获获取、开开发和维维护；99、信息息安全事事故管理理；100、业务务连续性性管理；11、合规性性。安全策略略考虑不不完善，没有完完整包含含信息安安全各方方面，制制定的安安全策略略内容存存在疏漏漏。ISO2270001：220055-控制制目标：1、信息息安全方方针；22、信息息安全组组织；33、资产产管理；4、人人力资源源安全；5、物物理与环环境安全全；6、通讯及及操作管管理；77、访问问控制；8、信信息系统统的获取取、开发发和维护护；9、信息安安全事故故管理；10、业务连连续性管管理；111、符符合性。20安全培训训提供必要要的培训训，使所所有员工工都了解解信息安安全的重重要性，并让员员工充分分了解其其职责范范围内的的信息保保护流程程。普通员工工缺乏信信息安全全意识，造成有有意或无无意的信信息泄露露或者破破坏。等级保护护-人员安安全管理理-安全意意识教育育和培训训：a) 应应对各类类人员进进行安全全意识教教育、岗岗位技能能培训和和相关安安全技术术培训；b) 应应对安全全责任和和惩戒措措施进行行书面规规定并告告知相关关人员，对违反反违背安安全策略略和规定定的人员员进行惩惩戒；c) 应应对定期期安全教教育和培培训进行行书面规规定，针针对不同同岗位制制定不同同的培训训计划，对信息息安全基基础知识识、岗位位操作规规程等进进行培训训；d) 应应对安全全教育和和培训的的情况和和结果进进行记录录并归档档保存。21物理安全全数据中心心的地理理位置远离自然然灾害地地区、危危险或有有害设施施、或繁繁忙/主主要公路路；采取取有效的的物理或或环境控控制措施施，监控控对信息息处理设设备运行行构成威威胁的环环境物理设施施受到台台风、地地震、火火灾、震震动、灰灰尘等威威胁。ISO2270001：220055-物理与与环境安安全：应设计并并实施针针对火灾灾、水灾灾、地震震、爆炸炸、骚乱乱和其他他形式的的自然或或人为灾灾难的物物理保护护措施。等级保护护-物理安安全-物理位位置的选选择：a) 机机房和办办公场地地应选择择在具有有防震、防风和和防雨等等能力的的建筑内内；b) 机机房场地地应避免免设在建建筑物的的高层或或地下室室，以及及用水设设备的下下层或隔隔壁。22数据中心心的安全全保卫出口数量量应严格格控制；出入通通道的锁锁具安全全可靠；配备有有录像监监控和报报警系统统；关键键位置配配备警卫卫人员；敏感设设施及场场所的标标识隐匿匿非法访问问者对物物理设施施进行有有意或者者无意的的破坏。等级保护护-物理理安全-物理访访问控制制：a) 机机房出入入口应安安排专人人值守，控制、鉴别和和记录进进入的人人员；b) 需需进入机机房的来来访人员员应经过过申请和和审批流流程，并并限制和和监控其其活动范范围；c) 应应对机房房划分区区域进行行管理，区域和和区域之之间设置置物理隔隔离装置置，在重重要区域域前设置置交付或或安装等等过渡区区域；d) 重重要区域域应配置置电子门门禁系统统，控制制、鉴别别和记录录进入的的人员。等级保护护-物理理安全-防盗窃窃和防破破坏：a) 应应将主要要设备放放置在机机房内b) 应应对设备备或主要要部件进进行固定定，并设设置明显显的不易易除去的的标记c) 应应将通信信线缆铺铺设在隐隐蔽处，可铺设设在地下下或管道道中d)应对对介质分分类标识识，存储储在介质质库或档档案室中中e) 应应利用光光、电等等技术设设置机房房防盗报报警系统统f) 应应对机房房设置监监控报警警系统23数据中心心的运行行环境使用全面面的环境境控制措措施保障障系统安安全运行行，如：不间断断电源保保护、温温湿度控控制、防防水防火火设施等等。物理设施施受到潮潮湿、断断电、火火灾等威威胁。等级保护护-物理理安全-防雷击击：a) 机机房建筑筑应设置置避雷装装置b) 应应设置防防雷保安安器，防防止感应应雷c) 机机房应设设置交流流电源地地线等级保护护-物理理安全-防火：a)机房房应设置置火灾自自动消防防系统，能够自自动检测测火情、自动报报警，并并自动灭灭火；b) 机机房及相相关的工工作房间间和辅助助房应采采用具有有耐火等等级的建建筑材料料；c) 机机房应采采取区域域隔离防防火措施施，将重重要设备备与其他他设备隔隔离开。等级保护护-物理理安全-防水和和防潮：a) 水水管安装装，不得得穿过屋屋顶和活活动地板板下；b) 应应采取措措施防止止雨水通通过机房房窗户、屋顶和和墙壁渗渗透；c) 应应采取措措施防止止机房内内水蒸气气结露和和地下积积水的转转移与渗渗透；d) 应应安装对对水敏感感的检测测仪表或或元件，对机房房进行防防水检测测和报警警；等级保护护-物理理安全-防静电电：a) 主主要设备备应采用用必要的的接地等等防静电电措施；b) 机机房应采采用防静静电地板板；等级保护护-物理理安全-温湿度度控制：a) 机机房应设设置温、湿度自自动调节节设施，使机房房温、湿湿度的变变化在设设备运行行所允许许的范围围之内a) 应应在机房房供电线线路上配配置稳压压器和过过电压防防护设备备b) 应应提供短短期的备备用电力力供应，至少满满足关键键设备在在断电情情况下的的正常运运行要求求c) 应应设置冗冗余或并并行的电电力电缆缆线路为为计算机机系统供供电d) 应应建立备备用供电电系统等级保护护-物理理安全-电磁防防护：a) 应应采用接接地方式式防止外外界电磁磁干扰和和设备寄寄生耦合合干扰；b) 电电源线和和通信线线缆应隔隔离，避避免互相相干扰c) 应应对关键键设备和和磁介质质实施电电磁屏蔽蔽24门禁管理理制度第三方人人员进入入安全区区域应得得到适当当的批准准，并受受到密切切监控；对外聘聘人员和和承包商商有严格格的审查查程序，包括身身份验证证和背景景调查，并签署署安全、保密协协议。非法访问问者对物物理设施施进行有有意或者者无意的的破坏。等级保护护-物理理安全-物理访访问控制制：a) 机机房出入入口应安安排专人人值守，控制、鉴别和和记录进进入的人人员；b) 需需进入机机房的来来访人员员应经过过申请和和审批流流程，并并限制和和监控其其活动范范围。ISO2270001：220055 信息息安全组组织-外部组组织：应识别来来自涉及及外部组组织的业业务过程程的信息息和信息息处理设设施的风风险，并并在允许许访问前前实施适适当的控控制；与第三三方签订订的协议议中应覆覆盖所有有相关的的安全要要求。这这些协议议可能涉涉及对组组织的喜喜讯你或或信息处处理设施施的访问问、处理理、沟通通或管理理，或增增加信息息处理设设施的产产品和服服务。25网络安全全逻辑分区区按照不同同的安全全级别，将网络络划分为为不同的的逻辑安安全域。重要系统统得不到到应有的的安全保保护，非非法用户户对系统统进行非非法访问问，造成成系统破破坏或数数据中断断。等级保护护-网络安安全-结构安安全：e) 应应根据各各部门的的工作职职能、重重要性和和所涉及及信息的的重要程程度等因因素，划划分不同同的子网网或网段段，并按按照方便便管理和和控制的的原则为为各子网网、网段段分配地地址段。26网络边界界防护不同的网网络域之之间应采采取有效效的分隔隔和访问问控制措措施，如如部署防防火墙和和入侵检检测设备备；对网网络的特特殊敏感感域，应应采用物物理隔离离方式。扁平化的的网络使使网络管管理更加加困难，非法访访问者更更加容易易针对重重要设备备并进行行攻击。等级保护护-网络安安全-结构安安全：f) 应应避免将将重要网网段部署署在网络络边界处处且直接接连接外外部信息息系统，重要网网段与其其他网段段之间采采取可靠靠的技术术隔离手手段。等级保护护-网络安安全-访问控控制：a) 应应在网络络边界部部署访问问控制设设备，启启用访问问控制功功能；b) 应应能根据据会话状状态信息息为数据据流提供供明确的的允许/拒绝访访问的能能力，控控制粒度度为端口口级；c) 应应对进出出网络的的信息内内容进行行过滤，实现对对应用层层HTTTP、FFTP、TELLNETT、SMMTP、POPP3等协协议命令令级的控控制；d) 应应在会话话处于非非活跃一一定时间间或会话话结束后后终止网网络连接接；e) 应应限制网网络最大大流量数数及网络络连接数数；f) 重重要网段段应采取取技术手手段防止止地址欺欺骗g) 应应按用户户和系统统之间的的允许访访问规则则，决定定允许或或拒绝用用户对受受控系统统进行资资源访问问，控制制粒度为为单个用用户；h) 应应限制具具有拨号号访问权权限的用用户数量量。等级保护护-网络安安全-边界完完整性检检查：a) 应应能够对对非授权权设备私私自联到到内部网网络的行行为进行行检查，准确定定出位置置，并对对其进行行有效阻阻断；b) 应应能够对对内部网网络用户户私自联联到外部部网络的的行为进进行检测测，准确确定出位位置，并并对其进进行有效效阻断。等级保护护-网络安安全-入侵防防范：a) 应应在网络络边界处处监视以以下攻击击行为：端口扫扫描、强强力攻击击、木马马后门攻攻击、拒拒绝服务务攻击、缓冲区区溢出攻攻击、IIP碎片片攻击和和网络蠕蠕虫攻击击等b) 当当检测到到攻击行行为时，记录攻攻击源IIP、攻攻击类型型、攻击击目的、攻击时时间，在在发生严严重入侵侵事件时时应提供供报警27传输加密密敏感数据据在网络络传输过过程中应应加密。数据被非非法窃听听，导致致重要数数据泄露露。等级保护护-数据安安全-数据保保密性a) 应应采用加加密或其其他有效效措施实实现系统统管理数数据、鉴鉴别信息息和重要要业务数数据传输输保密性性。28网络监控控依据事先先定义的的性能目目标对网网络进行行持续地地监测，以确认认任何潜潜在的瓶瓶颈制约约或超负负荷运行行等任何何异常的的活动；高强度度网络分分析工具具的使用用应有适适当的授授权或审审批流程程。无法及时时发现网网络异常常，导致致网络故故障或系系统宕机机。等级保护护-系统运运维管理理-监控管管理：a) 应应对通信信线路、主机、网络设设备和应应用软件件的运行行状况、网络流流量、用用户行为为等进行行监测和和报警，形成记记录并妥妥善保存存；b) 应应组织相相关人员员定期对对监测和和报警记记录进行行分析、评审，发现可可疑行为为，形成成分析报报告，并并采取必必要的应应对措施施；a) 应应指定专专人对网网络进行行管理，负责运运行日志志、网络络监控记记录的日日常维护护和报警警信息分分析和处处理工作作。29网络配置置更改定期审查查网络配配置；配配置更改改或设备备调整应应作为网网络变更更流程进进行操作作。网络配置置不当导导致出现现安全弱弱点；错错误的配配置操作作导致网网络安全全弱点或或网络故故障出现现。等级保护护-系统运运维管理理-网络安安全管理理：a) 应应指定专专人对网网络进行行管理，负责运运行日志志、网络络监控记记录的日日常维护护和报警警信息分分析和处处理工作作；b) 应应建立网网络安全全管理制制度，对对网络安安全配置置、日志志保存时时间、安安全策略略、升级级与打补补丁、口口令更新新周期等等方面作作出规定定；c) 应应根据厂厂家提供供的软件件升级版版本对网网络设备备进行更更新，并并在更新新前对现现有的重重要文件件进行备备份；d) 应应定期对对网络系系统进行行漏洞扫扫描，对对发现的的网络系系统安全全漏洞进进行及时时的修补补；e) 应应实现设设备的最最小服务务配置，并对配配置文件件进行定定期离线线备份；f) 应应保证所所有与外外部系统统的连接接均得到到授权和和批准；g) 应应依据安安全策略略允许或或拒绝便便携式和和移动式式设备的的网络接接入；h) 应应定期检检查违反反规定拨拨号上网网或其他他违反网网络安全全策略的的行为。30操作系统统安全安全标准准制定每种种类型操操作系统统的基本本安全要要求，确确保所有有系统满满足基本本安全要要求。操作系统统配置不不当导致致出现安安全弱点点。等级保护护-系统运运维管理理-系统安安全管理理：a) 应应根据业业务需求求和系统统安全分分析确定定系统的的访问控控制策略略；b) 应应定期进进行漏洞洞扫描，对发现现的系统统安全漏漏洞及时时进行修修补；c) 应应安装系系统的最最新补丁丁程序，在安装装系统补补丁前，首先在在测试环环境中测测试通过过，并对对重要文文件进行行备份后后，方可可实施系系统补丁丁程序的的安装；d) 应应建立系系统安全全管理制制度，对对系统安安全策略略、安全全配置、日志管管理和日日常操作作流程等等方面作作出具体体规定。31访问权限限明确定义义不同用用户组的的访问权权限，包包括终端端用户、系统开开发人员员、系统统测试人人员、计计算机操操作人员员、系统统管理员员和用户户管理员员等。管理员获获得不当当权限，系统关关键配置置被非法法修改。等级保护护-系统运运维管理理-系统安安全管理理：e) 应应指定专专人对系系统进行行管理，划分系系统管理理员角色色，明确确各个角角色的权权限、责责任和风风险，权权限设定定应当遵遵循最小小授权原原则。32最高权限限账户管管理制定针对对使用最最高权限限系统帐帐户的审审批、验验证和监监控流程程，并确确保最高高权限用用户的操操作日志志被记录录和监察察。高权限帐帐号的错错误或非非法操作作造成严严重的故故障或损损失；无无法对故故障或损损失的原原因进行行追溯。等级保护护-安全管管理机构构-授权和和审批：a) 应应根据各各个部门门和岗位位的职责责明确授授权审批批事项、审批部部门和批批准人等等b) 应应针对系系统变更更、重要要操作、物理访访问和系系统接入入等事项项建立审审批程序序，按照照审批程程序执行行审批过过程，对对重要活活动建立立逐级审审批制度度c) 应应定期审审查审批批事项，及时更更新需授授权和审审批的项项目、审审批部门门和审批批人等信信息d) 应应记录审审批过程程并保存存审批文文档等级保护护-主机安安全-安全审审计：a) 审审计范围围应覆盖盖到服务务器和重重要客户户端上的的每个操操作系统统用户和和数据库库用户；e) 应应保护审审计进程程，避免免受到未未预期的的中断；f) 应应保护审审计记录录，避免免受到未未预期的的删除、修改或或覆盖等等。33安全补丁丁定期监察察可用的的安全补补丁，经经评估和和测试后后进行安安装。对已发现现系统漏漏洞无法法及时修修补，导导致黑客客入侵，木马、病毒植植入；不不当的安安全补丁丁安装影影响系统统稳定性性或者系系统宕机机。等级保护护-系统运运维管理理-系统安安全管理理：c) 应应安装系系统的最最新补丁丁程序，在安装装系统补补丁前，首先在在测试环环境中测测试通过过，并对对重要文文件进行行备份后后，方可可实施系系统补丁丁程序的的安装；34重要事项项审核操作人员员应对操操作系统统运行的的重要事事项进行行检查和和说明，如系统统日志中中记录的的未成功功登录，重要系系统文件件的访问问，对用用户帐号号进行修修改等信信息，以以及系统统出现的的任何异异常事件件。对操作系系统的非非法或错错误操作作无法记记录，对对信息安安全事件件或系统统故障无无法进行行追溯和和分析。等级保护护-主机安安全-安全审审计：a) 审审计范围围应覆盖盖到服务务器和重重要客户户端上的的每个操操作系统统用户和和数据库库用户b) 审审计内容容应包括括重要用用户行为为、系统统资源的的异常使使用和重重要系统统命令的的使用等等系统内内重要的的安全相相关事件件c) 审审计记录录应包括括事件的的日期、时间、类型、主体标标识、客客体标识识和结果果等d) 应应能够根根据记录录数据进进行分析析，并生生成审计计报表e) 应应保护审审计进程程，避免免受到未未预期的的中断f) 应应保护审审计记录录，避免免受到未未预期的的删除、修改或或覆盖等等35应用系统统安全岗位职责责明确定义义终端用用户和信信息科技技技术人人员在应应用安全全中的岗岗位和职职责；对对关键或或敏感职职能进行行双重控控制。知识、技技能不够够造成误误操作；重要岗岗位缺乏乏监管造造成有意意的非法法操作。ISO2270001：220055 人力力资源安安全-角角色和职职责：应根据组组织的信信息安全全方针，规定员员工、合合同方和和第三方方用户的的安全角角色和职职责并形形成文件件。ISO2270001：220055访问控控制-特权管管理：应限制和和控制特特权的使使用和分分配36身份验证证针对应用用系统的的重要程程序和敏敏感程度度，采取取有效的的身份验验证方法法。非法用户户获得访访问权限限。等级保护护-应用安安全-身份鉴鉴别：a) 应应提供专专用的登登录控制制模块对对登录用用户进行行身份标标识和鉴鉴别；b) 应应对同一一用户采采用两种种或两种种以上组组合的鉴鉴别技术术实现用用户身份份鉴别；c) 应应提供用用户身份份标识唯唯一性和和鉴别信信息复杂杂度检查查功能，保证应应用系统统中不存存在重复复用户身身份标识识，身份份鉴别信信息不易易被冒用用；d) 应应提供登登录失败败处理功功能，可可采取结结束会话话、限制制非法登登录次数数和自动动退出等等措施；e) 应应启用身身份鉴别别、用户户身份标标识唯一一性检查查、用户户身份鉴鉴别信息息复杂度度检查以以及登录录失败处处理功能能，并根根据安全全策略配配置相关关参数。37信息输入入和输出出在关键的的接合点点进行输输入验证证或输出出核对；采取安安全的方方式处理理保密信信息的输输入和输输出，防防止信息息被盗、篡改、故意或或无意泄泄露。关键数据据被盗、篡改、故意或或无意泄泄露。ISO2270001：220055电子商商务服务务-电子商商务：应保护电电子商务务中通过过公共网网络传输输的信息息，以防防止欺诈诈、合同同争议、未授权权的泄漏漏和修改改；ISO2270001：220055电子商商务服务务-在线交交易：应保护在在线交易易中的信信息，以以防止不不完整的的传输、路由错错误、未未授权的的消息修修改、未未经授权权的泄漏漏、未经授授权的消消息复制制或回复复。38运行情况况审核系统能以以书面或或电子格格式保存存审计痕痕迹；能能够以预预先定义义的方式式处理例例外情况况，并向向用户提提供有意意义的信信息；管管理人员员对系统统重要事事项进行行管理和和审核。对应用系系统的非非法或错错误操作作无法记记录，对对信息安安全事件件或系统统故障无无法进行行追溯和和分析。等级保护护-应用安安全-安全审审计：a) 应应覆盖到到每个用用户的安安全审计计功能，对应用用系统重重要安全全事件进进行审计计；b) 应应保证无无法单独独中断审审计进程程，无法法删除、修改或或覆盖审审计记录录；c) 审审计记录录的内容容至少应应包括日日期、时时间、发发起者信信息、类类型、描描述和结结果等；d) 应应提供对对审计记记录数据据进行统统计、查查询、分分析及生生成审计计报表的的功能。39日志安全全策略和流流程制定了相相关策略略和流程程，控制制所有生生产系统统的活动动日志，以支持持有效的的审核、安全论论证分析析和预防防欺诈；设置了了日志监监控和管管理岗位位；制定定了日志志资料的的安全保保护和调调阅管理理制度。无法及时时发现信信息安全全事件，无法对对信息安安全事件件进行分分析和预预防；日日志被篡篡改或者者无意丢丢失，无无法对历历史事件件进行追追溯。等级保护护-系统运运维-监控管管理：a) 应应对通信信线路、主机、网络设设备和应应用软件件的运行行状况、网络流流量、用用户行为为等进行行监测和和报警，形成记记录并妥妥善保存存；b) 应应组织相相关人员员定期对对监测和和报警记记录进行行分析、评审，发现可可疑行为为，形成成分析报报告，并并采取必必要的应应对措施施；c) 应应建立安安全管理理中心，对设备备状态、恶意代代码、补补丁升级级、安全全审计等等安全相相关事项项进行集集中管理理。40交易日志志交易日志志由应用用软件和和数据库库管理系系统产生生，包括括身份尝尝试、数数据修改改、错误误信息等等；交易易日志按按照国家家会计政政策要求求予以保保存。对系统问问题，非非法操作作无法进进行记录录，对出出现问题题的原因因无法进进行追溯溯。等级保护护-主机安安全-安全审审计；等级保护护-应用安安全-安全审审计；等级保护护-网络安安全-安全审审计；等级保护护-系统运运维管理理-网络安安全管理理；a) 应应指定专专人对网网络进行行管理，负责运运行日志志、网络络监控记记录的日日常维护护和报警警信息分分析和处处理工作作b) 应应建立网网络安全全管理制制度，对对网络安安全配置置、日志志保存时时间、安安全策略略、升级级与打补补丁、口口令更新新周期等等方面作作出规定定等级保护护-系统运运维管理理-系统安全全管理：d) 应应建立系系统安全全管理制制度，对对系统安安全策略略、安全全配置、日志管管理和日日常操作作流程等等方面作作出具体体规定；g) 应应定期对对运行日日志和审审计数据据进行分分析，以以便及时时发现异异常行为为。41系统日志志系统日志志由操作作系统、数据库库管理系系统、防防火墙、入侵检检测系统统和路由由器等生生成，包包括身份份认证尝尝试、系系统事件件、网络络事件、错误信信息等；系统和和网络日日志保存存期限按按事先的的风险定定级确定定，但不不能少。不完整的的日志无无法对现现有的系系统运行行情况进进行监控控，无法法对出现现的各类类事件的的原因进进行追溯溯；历史史记录不不进行合合理的保保留导致致在出现现问题后后对以前前的操作作或者问问题进行行查找分分析。42保存和复复查银行应保保证在日日志中包包含足够够的项目目，以便便有效地地完成内内部控制制、系统统故障解解决和审审计，同同时应采采取适当当措施保保证所有有日志的的计时同同步，并并确保其其完整性性，有任任何的例例外情况况发生都都应当复复查系统统日志。交易日日志或数数据库日日志的复复查频率率和保留留周期应应由信息息科技部部门和有有关业务务部分共共同决定定，并报报信息科科技管理理委员会会批准。不完善的的日志记记录无法法对审计计提供足足够的参参考；缺缺乏日志志审核对对隐藏的的操作问问题无法法及时发发现。43信息安全全信息分类类制定信息息分类操操作指南南和信息息保护工工作流程程；信息息依据敏敏感程度度进行分分类，并并指定所所有人。对重要信信息无法法提供足足够有效效的保护护，造成成重要信信息被破破坏、篡篡改、泄泄露。ISO2270001：220055 资产产管理-分类指指南：应按照信信息的价价值、法法律要