石嘴山征信信息安全应急处置预案.doc
《石嘴山征信信息安全应急处置预案.doc》由会员分享,可在线阅读,更多相关《石嘴山征信信息安全应急处置预案.doc(17页珍藏版)》请在淘文阁 - 分享文档赚钱的网站上搜索。
1、附件3征信信息安全应急处置预案一、总则(一)编制目的 信息安全涉及以设备为中心的信息安全,技术涵盖网络系统、计算机操作系统、数据库管理系统和应用软件系统;涉及计算机病毒的防范、入侵的监控;涉及以用户(包括内部员工和外部相关机构人员)为中心的安全管理,包括用户的身份管理、身份认证、授权、稽查等;涉及征信信息传输的机密性、完整性等。为切实加强我中心征信信息运行安全与信息安全的防范,做好应对征信信息安全突发公共事件的应急处置工作,进一步提高预防和控制征信信息安全突发事件的能力和水平,最大限度地减轻或消除征信信息安全突发事件的危害和影响,确保征信信息安全,结合本中心工作实际,特制定本应急预案。 (二)
2、本预案适用于石嘴山市住房公积金管理中心征信信息安全应急处理工作。二、应急组织机构及职责 成立征信信息安全事件应急处置领导小组,负责领导、组织和协调全中心征信信息安全突发事件的应急保障工作。 (一)领导小组成员: 组长:中心主任、党组书记 梁庆 副组长:分管征信信息副主任 王敏 成员:由贷款管理科、办公室、归集执法科、稽查科、核算监审科、大武口管理部、平罗管理部、惠农区管理部科部负责人组成。 应急小组日常工作由核算监审科承担,信息安全责任人:柏琼,安全员为齐巍、樊一馨,其他各相关科室、管理部积极配合。 (二)领导小组职责:制订专项应急预案,负责定期组织演练,监督检查各科室、管理部在本预案中履行职
3、责情况。对发生事件启动应急处置预案进行决策,全面指挥应急处置工作。三、工作原则(一)积极防御、综合防范 立足安全防护,加强预警,重点保护征信信息安全;从预防、监控、应急处理、应急保障和打击不法行为等环节,在管理、技术、宣传等方面,采取多种措施,充分发挥各方面的作用,构筑征信信息安全保障体系。 (二)明确责任、分级负责 按照“分级管理、逐级负责”和“谁主管谁负责、谁使用谁负责”的原则,分级分类建立和完善安全责任制度、协调管理机制和联动工作机制。切实加强对中心各级征信管理人员和从业人员的全员征信合规性教育培训,进一步提高工作人员的征信信息安全意识。 (三)落实措施、确保安全定期对征信管理工作开展检
4、查,检查内容包括用户安全管理、异议管理、查询使用、数据上报、个人不良信息告知等。对出现的异常查询、违规查询、非法提供、违规使用、信用报告泄漏等征信信息安全漏洞和隐患进行及时整改。(四)科学决策,快速反应加强技术储备,规范应急处置措施和操作流程,征信信息安全突发公共事件发生时,要快速反应,及时获取准确信息,跟踪研判,及时报告,果断决策,迅速处理,最大限度地减少危害和影响。4、 事件分类和风险程度分析(一)物理层的安全风险分析主要为系统环境安全风险1. 水灾、火灾、雷电等灾害性故障引发的征信信息网络中断、系统瘫痪、数据被毁等;2. 因接地不良、机房屏蔽性能差引起的静电干扰或外界的电磁干扰使系统不能
5、正常工作;3. 机房电力设备和其它配套设备本身缺陷诱发征信信息系统故障;4. 机房安全设施自动化水平低,不能有效监控环境和征信信息系统工作;5. 征信信息系统中网络设备交换机,服务器,移动设备自身的安全性也会直接关系征信信息系统的正常运转。6. 其它环境安全风险。(二)网络安全风险1.网络体系结构的安全风险网络平台是一切应用系统建设的基础平台,网络体系结构是否按照安全体系结构和安全机制进行设计,直接关系到网络平台的安全保障能力。中心网络是由多个局域网和广域网组成,网络体系结构比较复杂。征信信息网、因特网之间是否进行隔离及如何进行隔离,网段划分是否合理,路由是否正确,网络的容量、带宽是否考虑客户
6、上网的峰值,网络设备有无冗余设计等都与安全风险密切相关。2.网络通信协议的安全风险网络通信协议存在安全漏洞,网络黑客就能利用网络设备和协议的安全漏洞进行网络攻击和信息窃取。例如未经授权非法访问征信信息系统;对其进行监听,窃取用户的口令密码和通信密码;对征信信息系统安全漏洞进行探测扫描;对通信线路和网络设备实施拒绝服务攻击,造成线路拥塞和系统瘫痪。3. 网络操作系统的安全风险网络操作系统,不论是苹果操作系统,安卓操作系统,还是微软操作系统,都存在安全漏洞;一些重要的网络设备,如路由器、交换机、网关,防火墙等,由于操作系统存在安全漏洞,导致网络设备的不安全;有些网络设备存在“后门”。(3) 系统安
7、全风险1.操作系统安全风险操作系统的安全性是系统安全管理的基础。数据库服务器、中间层服务器,以及各类业务和办公客户机等设备所使用的操作系统,不论是微软操作系统,还是Unix操作系统都存在信息安全漏洞,由操作系统信息安全漏洞带来的安全风险是最普遍的安全风险。2. 数据库安全风险征信信息系统运行的数据都是需要安全保护的信息资产,不仅需要统一的数据备份和恢复以及高可用性的保障机制,还需要对数据库的安全管理,包括访问控制,敏感数据的安全标签,日志审计等多方面提升安全管理级别,规避风险。建立在征信信息系统上的各种应用系统软件在数据的安全管理设计上也不可避免地存在或多或少的安全缺陷,需要对数据库和应用的安
8、全性能进行综合的检测和评估。3. 病毒危害风险 计算机病毒的传播会破坏数据信息,占用系统资源,影响计算机运行速度,引起网络堵塞甚至瘫痪。尽管防病毒软件安装率已大幅度提升,但如果没有好的防毒概念,从不进行病毒代码升级,而新病毒层出不穷,因此威胁性愈来愈大。 4.黑客入侵风险 一方面入侵者通过网络探测、扫描征信信息系统存在的安全漏洞,如网络IP地址、应用操作系统的类型、开放TCP端口号、系统保存用户名和口令等安全信息的关键文件等,并采用相应的攻击程序进行攻击。另一方面入侵者通过网络监听、用户渗透、系统渗透、拒绝服务、木马等综合手段获得合法用户的用户名、口令等信息,进而假冒内部合法身份进行非法登录,
9、窃取征信信息,或使系统终止服务。所以,必须要对外部和内部网络进行必要的隔离,避免信息外泄;同时还要对外网的服务请求加以过滤,只允许正常通信的数据包到达相应主机,其它的请求服务在到达主机之前就应该遭到拒绝。(4) 应用安全风险 1.身份认证与授权控制的安全风险 依靠用户名和口令的认证很不安全,容易被猜测或盗取,会带来很大的安全风险。为此,动态口令认证、CA第三方认证等被认为是先进的认证方式。但是,如果使用和管理不当,同样会带来安全风险。要基于征信信息系统建立基于统一策略的用户身份认证与授权控制机制,以区别不同的用户和信息访问者,并授予他们不同的信息访问和事务处理权限。 2.信息传输的机密性和不可
10、抵赖性风险 必须保证征信信息系统处理的实时信息传输的机密性和网上活动的不可抵赖性,能否做到这一点,关键在于采用什么样的加密方式、密码算法和密钥管理方式。采用国内经过国家密码管理委员会和公安部批准的加密方式、密码算法和密钥管理技术来强化这一环节的安全保障。 3.管理层安全风险分析 管理是整个征信信息安全中最为重要的一环,认真地分析管理所带来的安全风险,并采取相应的安全措施。责权不明、管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。由于征信安全管理、异议管理、查询使用、数据上报、个人不良信息告知等级方面存在违规操作造成信用报告泄露等征信信息安全事故,未能进行实时的检测、监控、
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 石嘴山 信息 安全 应急 处置 预案
限制150内