信息科技风险自评估表32747.docx

《信息科技风险自评估表32747.docx》由会员分享，可在线阅读，更多相关《信息科技风险自评估表32747.docx（67页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、信息科技风险自评估表一、 信息科技治治理序号风险类别风险点控制目标风险分析参考依据1董事会或高高级管理层层职责对信息科技技战略的审审查批准并审查查信息科技技战略；保保证信息科科技战略与与银行总体体业务战略略和重大策策略相一致致；定期评评估信息科科技及其风风险管理工工作的总体体效力和效效率。信息风险管管理缺乏长长期规划，无无法指导信信息安全工工作开展。ISO277001：20055 管理层层职责：建立信息安安全方针，确确保信息安安全目标和和计划的建建立，进行行信息安全全管理体系系的评审；ISO277001：20055信息安全全方针文档档：信息安全方方针文档应应经过管理理层的批准准，并向所所有员工

2、和和外部相关关方公布和和沟通；ISO277001：20055信息安全全方针评审审：应按策划的的时间间隔隔或当发生生重大变化化时，对信信息安全方方针文档进进行评审，以以确保其持持续的适宜宜性、充分分性和有效效性。2对本行信息息科技风险险管理现状状的掌握情情况定期听取信信息科技风风险管理部部门报告；组织进行行独立有效效的信息科科技风险审审计；对审审计报告和和监管意见见的整改情情况进行监监督。无法掌握现现有风险，对对存在的信信息安全风风险针对性性的改进无无法得到有有力的推进进。Corbiit信息技技术审计指指南-决定定技术方向向：IT管理层层理解并使使用技术基基础设施计计划；技术基础设设施计划上上的

3、变化，以以确定相关关的成本和和风险，这这些变化要要反映在IIT长短期期计划的变变化中；IT管理层层要理解监监控和评估估正在出现现技术的过过程，并要要将适当的的技术合并并到当前的的IT基础设设施之中；IT管理层层要理解系系统评估技技术计划意意外的过程程。3对信息科技技建设的支支持建立合理的的人才激励励体制；确确保为信息息科技风险险管理工作作拨付所需需资金；建建立规范的的职业道德德行为和廉廉政标准。对信息安全全风险的改改进缺乏有有效资源Corbiit信息技技术审计指指南-管理信息息技术投资资：高级管理层层应执行预预算编制过过程，按照照机构的长长期和短期期计划以及及IT的长期期和短期计计划，保证证年

4、度ITT运作预算算的建立和和批准。应应调查资金金的选择。4组织架构组织信息科科技管理委委员会的建建立由来自高级级管理层、信信息科技部部分和主要要业务部分分的代表组组成；定期期向董事会会和高级管管理层汇报报信息科技技战略规划划的效力、信信息科技预预算和实际际支出、信信息科技的的整体性能能；对信息息科技建设设及管理情情况进行有有效的协调调。信息安全工工作缺乏统统一组织进进行协调。等级保护-安全管理理机构-岗岗位设置c) 应成成立指导和和管理信息息安全工作作的委员会会或领导小小组。5首席信息官官的设置直接参与本本银行与信信息科技运运用有关的的业务发展展决策；建建立切实有有效的信息息科技部分分；确保信

5、信息科技风风险管理的的有效性。信息安全工工作缺乏统统一有效的的领导和责责任人。等级保护-安全管理理机构-岗岗位设置c)信息安安全工作的的委员会或或领导小组组最高领导导应由单位位主管领导导委任或授授权。6信息科技部部门的职责责岗位设置完完整合理；人员具有有相应的技技能和专业业知识，制制定有合理理的培训计计划；重要要岗位制定定详细完整整的工作说说明。缺乏具有专专业知识和和技能的专专职人员；信息安全全工作无法法有效的协协调。等级保护-安全管理理机构-岗岗位设置a) 应设立信息息安全管理理工作的职职能部门，设设立安全主主管、安全全管理各个个方面的负负责人岗位位，并定义义各负责人人的职责；b) 应配备专

6、职职安全管理理员，不可可兼任；d) 应制制定文件明明确安全管管理机构各各个部门和和岗位的职职责、分工工和技能要要求。7信息科技风风险管理部部分的职责责可直接向CCIO或CCRO汇报报；实施持持续的信息息科技风险险评估；协协调有关信信息科技风风险管理策策略的制定定。8信息科技内内部审计岗岗位在内审部门门内部设立立；配备足足够的专业业人员；制制定完整的的信息科技技审计策略略和流程；制定信息息科技内审审计划并落落实。信息安全工工作缺乏有有效的监督督和评价，信信息安全风风险管理无无法有效的的落实和改改进。等级保护-安全管理理机构-审审核和检查查a) 安全全管理员应应负责定期期进行安全全检查，检检查内容

7、包包括系统日日常运行、系系统漏洞和和数据备份份等情况；b) 应由由内部人员员或上级单单位定期进进行全面安安全检查，检检查内容包包括现有安安全技术措措施的有效效性、安全全配置与安安全策略的的一致性、安安全管理制制度的执行行情况等；c) 应制制定安全检检查表格实实施安全检检查，汇总总安全检查查数据，形形成安全检检查报告，并并对安全检检查结果进进行通报；d) 应制制定安全审审核和安全全检查制度度规范安全全审核和安安全检查工工作，定期期按照程序序进行安全全审核和安安全检查活活动。9制度建设制度建设流流程完善的规章章制度和管管理办法的的制定、审审批和修订订流程。信息安全管管理制度混混乱，无法法形成完整整

8、体系，缺缺乏可操作作性且得不不到有效改改进。ISO277001：20055 总要求组织应根据据整体业务务活动和风风险，建立立、实施、运运行、监视视、评审、保保持并改进进文件化的的信息安全全管理体系系。10制度体系涵盖运行、安安全、开发发等各重要要部分；对对关键部分分应有详细细的管理规规定和操作作细则。关键工作缺缺乏规范性性，工作流流程混乱，直直接导致信信息安全事事件。ISO277001：20055-控制目目标：1、信息安安全方针；2、信息息安全组织织；3、资资产管理；4、人力力资源安全全；5、物物理与环境境安全；66、通讯及及操作管理理；7、访访问控制；8、信息息系统的获获取、开发发和维护；9

9、、信息息安全事故故管理；110、业务务连续性管管理；111、符合性性。二、 信息科技风风险管理序号风险类别风险点控制目标风险分析参考依据11信息科技风风险管理信息科技风风险管理策策略策略内容应应包括：11、信息分分级与保护护；2、应应用系统开开发、测试试和维护；3、信息息科技运行行和维护；4、访问问控制；55、物理安安全；6、人人员安全；7、业务务连续性与与应急处置置安全策略考考虑不完善善，没有完完整包含信信息安全各各方面，制制定的安全全策略内容容存在疏漏漏。等级保护-控制项：1、物理安安全；2、网网络安全；3、主机机安全；44、应用安安全；5、数数据安全；6、安全全管理制度度；7、安安全管理

10、机机构；8、人人员安全管管理；9、系系统运维管管理；100、系统建建设管理。ISO277001：20055-控制目目标：1、信息安安全方针；2、信息息安全组织织；3、资资产管理；4、人力力资源安全全；5、物物理与环境境安全；66、通讯及及操作管理理；7、访访问控制；8、信息息系统的获获取、开发发和维护；9、信息息安全事故故管理；110、业务务连续性管管理；111、符合性性。12风险识别和和评估流程程准确定位存存在隐患的的区域；评评价风险对对其业务的的潜在影响响；对风险险进行分类类排序；确确定风险防防范活动及及必备资源源的优先级级。无法了解现现有系统存存在的风险险，无法有有效的指导导信息安全全的

11、改进，提提高信息系系统安全性性。计算机等级级保护制度度；ISO277001：20055信息安全全管理体系系要求。13风险防范措措施1、明确的的信息科技技风险管理理策略、技技术标准和和操作规程程等，并定定期公示；2、识别别潜在风险险区域，对对这些区域域进行详细细的独立监监控，并建建立适当的的控制结构构。14风险计量和和监测机制制范围涵盖所所有的重要要部分，包包含项目实实施、系统统性能、事事故与投诉诉、问题整整改、外包包服务水平平、运行操操作、外包包项目等。三、 信息安全序号风险类别风险点控制目标风险分析参考依据15用户认证和和访问控制制授权机制完整的审批批流程；以以“必需知道道”和“最小授权权”

12、为原则；权限收回回流程。用户获得不不当权限，有有意或者无无意的造成成系统破坏坏或信息泄泄露。ISO277001 访问控制制-控制策略略：应建立文件件化的访问问控制策略略，并根据据对访问的的业务和安安全要求进进行评审；ISO277001 访问控制制-用户注册册：应建立正式式的用户注注册和解除除注册程序序，以允许许和撤销对对于所有信信息系统和和服务的访访问；ISO277001 访问控制制-特权管理理：应限制和控控制特权的的使用和分分配。16用户审查定期对系统统所有用户户进行审查查；每个系系统的所有有用户使用用唯一IDD；用户变变化时应及及时检查和和更新。用户获得不不当权限，有有意或者无无意的造成成

13、系统破坏坏或信息泄泄露。ISO277001 访问控制制-用户访问问权限的评评审：管理者应按按照策划的的时间间隔隔通过正式式的流程对对用户的访访问权限进进行评审。17认证机制与信息访问问级别相匹匹配的用户户认证机制制；高风险险交易和活活动使用增增强的认证证方法。用户获得不不当权限，有有意或者无无意的造成成系统破坏坏或信息泄泄露。等级保护-应用安全全-身份鉴鉴别：a) 应提提供专用的的登录控制制模块对登登录用户进进行身份标标识和鉴别别b) 应对对同一用户户采用两种种或两种以以上组合的的鉴别技术术实现用户户身份鉴别别c) 应提提供用户身身份标识唯唯一性和鉴鉴别信息复复杂度检查查功能，保保证应用系系统

14、中不存存在重复用用户身份标标识，身份份鉴别信息息不易被冒冒用d) 应提提供登录失失败处理功功能，可采采取结束会会话、限制制非法登录录次数和自自动退出等等措施e) 应启启用身份鉴鉴别、用户户身份标识识唯一性检检查、用户户身份鉴别别信息复杂杂度检查以以及登录失失败处理功功能，并根根据安全策策略配置相相关参数18信息安全管管理信息安全管管理完善的信息息安全管理理流程、组组织架构和和职责分配配。管理混乱信信息安全策策略无法正正确及时的的实施；信信息安全责责任无法明明确。等级保护-安全管理理机构-岗岗位设置a) 应设设立信息安安全管理工工作的职能能部门，设设立安全主主管、安全全管理各个个方面的负负责人岗

15、位位，并定义义各负责人人的职责b) 应设设立系统管管理员、网网络管理员员、安全管管理员岗位位，并定义义各个工作作岗位的职职责c) 应成成立指导和和管理信息息安全工作作的委员会会或领导小小组，其最最高领导应应由单位主主管领导委委任或授权权d) 应制制定文件明明确安全管管理机构各各个部门和和岗位的职职责、分工工和技能要要求19信息安全策策略信息安全策策略包含完完整的内容容：1、组组织信息安安全；2、资资产管理；3、人员员安全；44、物理和和环境安全全；5、通通信和操作作安全；66、访问控控制；7、身身份认证；8、信息息系统的获获取、开发发和维护；9、信息息安全事故故管理；110、业务务连续性管管理

16、；111、合规性性。安全策略考考虑不完善善，没有完完整包含信信息安全各各方面，制制定的安全全策略内容容存在疏漏漏。ISO277001：20055-控制目目标：1、信息安安全方针；2、信息息安全组织织；3、资资产管理；4、人力力资源安全全；5、物物理与环境境安全；66、通讯及及操作管理理；7、访访问控制；8、信息息系统的获获取、开发发和维护；9、信息息安全事故故管理；110、业务务连续性管管理；111、符合性性。20安全培训提供必要的的培训，使使所有员工工都了解信信息安全的的重要性，并并让员工充充分了解其其职责范围围内的信息息保护流程程。普通员工缺缺乏信息安安全意识，造造成有意或或无意的信信息泄

17、露或或者破坏。等级保护-人员安全全管理-安全意识识教育和培培训：a) 应对对各类人员员进行安全全意识教育育、岗位技技能培训和和相关安全全技术培训训；b) 应对对安全责任任和惩戒措措施进行书书面规定并并告知相关关人员，对对违反违背背安全策略略和规定的的人员进行行惩戒；c) 应对对定期安全全教育和培培训进行书书面规定，针针对不同岗岗位制定不不同的培训训计划，对对信息安全全基础知识识、岗位操操作规程等等进行培训训；d) 应对对安全教育育和培训的的情况和结结果进行记记录并归档档保存。21物理安全数据中心的的地理位置置远离自然灾灾害地区、危危险或有害害设施、或或繁忙/主主要公路；采取有效效的物理或或环境

18、控制制措施，监监控对信息息处理设备备运行构成成威胁的环环境物理设施受受到台风、地地震、火灾灾、震动、灰灰尘等威胁胁。ISO277001：20055-物理与环环境安全：应设计并实实施针对火火灾、水灾灾、地震、爆爆炸、骚乱乱和其他形形式的自然然或人为灾灾难的物理理保护措施施。等级保护-物理安全全-物理位置置的选择：a) 机房房和办公场场地应选择择在具有防防震、防风风和防雨等等能力的建建筑内；b) 机房房场地应避避免设在建建筑物的高高层或地下下室，以及及用水设备备的下层或或隔壁。22数据中心的的安全保卫卫出口数量应应严格控制制；出入通通道的锁具具安全可靠靠；配备有有录像监控控和报警系系统；关键键位置

19、配备备警卫人员员；敏感设设施及场所所的标识隐隐匿非法访问者者对物理设设施进行有有意或者无无意的破坏坏。等级保护-物理安全全-物理访访问控制：a) 机房房出入口应应安排专人人值守，控控制、鉴别别和记录进进入的人员员；b) 需进进入机房的的来访人员员应经过申申请和审批批流程，并并限制和监监控其活动动范围；c) 应对对机房划分分区域进行行管理，区区域和区域域之间设置置物理隔离离装置，在在重要区域域前设置交交付或安装装等过渡区区域；d) 重要要区域应配配置电子门门禁系统，控控制、鉴别别和记录进进入的人员员。等级保护-物理安全全-防盗窃窃和防破坏坏：a) 应将将主要设备备放置在机机房内b) 应对对设备或

20、主主要部件进进行固定，并并设置明显显的不易除除去的标记记c) 应将将通信线缆缆铺设在隐隐蔽处，可可铺设在地地下或管道道中d)应对介介质分类标标识，存储储在介质库库或档案室室中e) 应利利用光、电电等技术设设置机房防防盗报警系系统f) 应对对机房设置置监控报警警系统23数据中心的的运行环境境使用全面的的环境控制制措施保障障系统安全全运行，如如：不间断断电源保护护、温湿度度控制、防防水防火设设施等。物理设施受受到潮湿、断断电、火灾灾等威胁。等级保护-物理安全全-防雷击击：a) 机房房建筑应设设置避雷装装置b) 应设设置防雷保保安器，防防止感应雷雷c) 机房房应设置交交流电源地地线等级保护-物理安全

21、全-防火：a)机房应应设置火灾灾自动消防防系统，能能够自动检检测火情、自自动报警，并并自动灭火火；b) 机房房及相关的的工作房间间和辅助房房应采用具具有耐火等等级的建筑筑材料；c) 机房房应采取区区域隔离防防火措施，将将重要设备备与其他设设备隔离开开。等级保护-物理安全全-防水和和防潮：a) 水管管安装，不不得穿过屋屋顶和活动动地板下；b) 应采采取措施防防止雨水通通过机房窗窗户、屋顶顶和墙壁渗渗透；c) 应采采取措施防防止机房内内水蒸气结结露和地下下积水的转转移与渗透透；d) 应安安装对水敏敏感的检测测仪表或元元件，对机机房进行防防水检测和和报警；等级保护-物理安全全-防静电电：a) 主要要

22、设备应采采用必要的的接地等防防静电措施施；b) 机房房应采用防防静电地板板；等级保护-物理安全全-温湿度度控制：a) 机房房应设置温温、湿度自自动调节设设施，使机机房温、湿湿度的变化化在设备运运行所允许许的范围之之内a) 应在在机房供电电线路上配配置稳压器器和过电压压防护设备备b) 应提提供短期的的备用电力力供应，至至少满足关关键设备在在断电情况况下的正常常运行要求求c) 应设设置冗余或或并行的电电力电缆线线路为计算算机系统供供电d) 应建建立备用供供电系统等级保护-物理安全全-电磁防防护：a) 应采采用接地方方式防止外外界电磁干干扰和设备备寄生耦合合干扰；b) 电源源线和通信信线缆应隔隔离，

23、避免免互相干扰扰c) 应对对关键设备备和磁介质质实施电磁磁屏蔽24门禁管理制制度第三方人员员进入安全全区域应得得到适当的的批准，并并受到密切切监控；对对外聘人员员和承包商商有严格的的审查程序序，包括身身份验证和和背景调查查，并签署署安全、保保密协议。非法访问者者对物理设设施进行有有意或者无无意的破坏坏。等级保护-物理安全全-物理访访问控制：a) 机房房出入口应应安排专人人值守，控控制、鉴别别和记录进进入的人员员；b) 需进进入机房的的来访人员员应经过申申请和审批批流程，并并限制和监监控其活动动范围。ISO277001：20055 信息安安全组织-外部组织织：应识别来自自涉及外部部组织的业业务过

24、程的的信息和信信息处理设设施的风险险，并在允允许访问前前实施适当当的控制；与第三方方签订的协协议中应覆覆盖所有相相关的安全全要求。这这些协议可可能涉及对对组织的喜喜讯你或信信息处理设设施的访问问、处理、沟沟通或管理理，或增加加信息处理理设施的产产品和服务务。25网络安全逻辑分区按照不同的的安全级别别，将网络络划分为不不同的逻辑辑安全域。重要系统得得不到应有有的安全保保护，非法法用户对系系统进行非非法访问，造造成系统破破坏或数据据中断。等级保护-网络安全全-结构安全全：e) 应根根据各部门门的工作职职能、重要要性和所涉涉及信息的的重要程度度等因素，划划分不同的的子网或网网段，并按按照方便管管理和

25、控制制的原则为为各子网、网网段分配地地址段。26网络边界防防护不同的网络络域之间应应采取有效效的分隔和和访问控制制措施，如如部署防火火墙和入侵侵检测设备备；对网络络的特殊敏敏感域，应应采用物理理隔离方式式。扁平化的网网络使网络络管理更加加困难，非非法访问者者更加容易易针对重要要设备并进进行攻击。等级保护-网络安全全-结构安全全：f) 应避避免将重要要网段部署署在网络边边界处且直直接连接外外部信息系系统，重要要网段与其其他网段之之间采取可可靠的技术术隔离手段段。等级保护-网络安全全-访问控制制：a) 应在在网络边界界部署访问问控制设备备，启用访访问控制功功能；b) 应能能根据会话话状态信息息为数

26、据流流提供明确确的允许/拒绝访问问的能力，控控制粒度为为端口级；c) 应对对进出网络络的信息内内容进行过过滤，实现现对应用层层HTTPP、FTPP、TELLNET、SSMTP、PPOP3等等协议命令令级的控制制；d) 应在在会话处于于非活跃一一定时间或或会话结束束后终止网网络连接；e) 应限限制网络最最大流量数数及网络连连接数；f) 重要要网段应采采取技术手手段防止地地址欺骗g) 应按按用户和系系统之间的的允许访问问规则，决决定允许或或拒绝用户户对受控系系统进行资资源访问，控控制粒度为为单个用户户；h) 应限限制具有拨拨号访问权权限的用户户数量。等级保护-网络安全全-边界完整整性检查：a) 应

27、能能够对非授授权设备私私自联到内内部网络的的行为进行行检查，准准确定出位位置，并对对其进行有有效阻断；b) 应能能够对内部部网络用户户私自联到到外部网络络的行为进进行检测，准准确定出位位置，并对对其进行有有效阻断。等级保护-网络安全全-入侵防范范：a) 应在在网络边界界处监视以以下攻击行行为：端口口扫描、强强力攻击、木木马后门攻攻击、拒绝绝服务攻击击、缓冲区区溢出攻击击、IP碎碎片攻击和和网络蠕虫虫攻击等b) 当检检测到攻击击行为时，记记录攻击源源IP、攻攻击类型、攻攻击目的、攻攻击时间，在在发生严重重入侵事件件时应提供供报警27传输加密敏感数据在在网络传输输过程中应应加密。数据被非法法窃听，

28、导导致重要数数据泄露。等级保护-数据安全全-数据保密密性a) 应采采用加密或或其他有效效措施实现现系统管理理数据、鉴鉴别信息和和重要业务务数据传输输保密性。28网络监控依据事先定定义的性能能目标对网网络进行持持续地监测测，以确认认任何潜在在的瓶颈制制约或超负负荷运行等等任何异常常的活动；高强度网网络分析工工具的使用用应有适当当的授权或或审批流程程。无法及时发发现网络异异常，导致致网络故障障或系统宕宕机。等级保护-系统运维维管理-监控管理理：a) 应对对通信线路路、主机、网网络设备和和应用软件件的运行状状况、网络络流量、用用户行为等等进行监测测和报警，形形成记录并并妥善保存存；b) 应组组织相关

29、人人员定期对对监测和报报警记录进进行分析、评评审，发现现可疑行为为，形成分分析报告，并并采取必要要的应对措措施；a) 应指指定专人对对网络进行行管理，负负责运行日日志、网络络监控记录录的日常维维护和报警警信息分析析和处理工工作。29网络配置更更改定期审查网网络配置；配置更改改或设备调调整应作为为网络变更更流程进行行操作。网络配置不不当导致出出现安全弱弱点；错误误的配置操操作导致网网络安全弱弱点或网络络故障出现现。等级保护-系统运维维管理-网络安全全管理：a) 应指指定专人对对网络进行行管理，负负责运行日日志、网络络监控记录录的日常维维护和报警警信息分析析和处理工工作；b) 应建建立网络安安全管

30、理制制度，对网网络安全配配置、日志志保存时间间、安全策策略、升级级与打补丁丁、口令更更新周期等等方面作出出规定；c) 应根根据厂家提提供的软件件升级版本本对网络设设备进行更更新，并在在更新前对对现有的重重要文件进进行备份；d) 应定定期对网络络系统进行行漏洞扫描描，对发现现的网络系系统安全漏漏洞进行及及时的修补补；e) 应实实现设备的的最小服务务配置，并并对配置文文件进行定定期离线备备份；f) 应保保证所有与与外部系统统的连接均均得到授权权和批准；g) 应依依据安全策策略允许或或拒绝便携携式和移动动式设备的的网络接入入；h) 应定定期检查违违反规定拨拨号上网或或其他违反反网络安全全策略的行行为

31、。30操作系统安安全安全标准制定每种类类型操作系系统的基本本安全要求求，确保所所有系统满满足基本安安全要求。操作系统配配置不当导导致出现安安全弱点。等级保护-系统运维维管理-系统安全全管理：a) 应根根据业务需需求和系统统安全分析析确定系统统的访问控控制策略；b) 应定定期进行漏漏洞扫描，对对发现的系系统安全漏漏洞及时进进行修补；c) 应安安装系统的的最新补丁丁程序，在在安装系统统补丁前，首首先在测试试环境中测测试通过，并并对重要文文件进行备备份后，方方可实施系系统补丁程程序的安装装；d) 应建建立系统安安全管理制制度，对系系统安全策策略、安全全配置、日日志管理和和日常操作作流程等方方面作出具

32、具体规定。31访问权限明确定义不不同用户组组的访问权权限，包括括终端用户户、系统开开发人员、系系统测试人人员、计算算机操作人人员、系统统管理员和和用户管理理员等。管理员获得得不当权限限，系统关关键配置被被非法修改改。等级保护-系统运维维管理-系统安全全管理：e) 应指指定专人对对系统进行行管理，划划分系统管管理员角色色，明确各各个角色的的权限、责责任和风险险，权限设设定应当遵遵循最小授授权原则。32最高权限账账户管理制定针对使使用最高权权限系统帐帐户的审批批、验证和和监控流程程，并确保保最高权限限用户的操操作日志被被记录和监监察。高权限帐号号的错误或或非法操作作造成严重重的故障或或损失；无无法

33、对故障障或损失的的原因进行行追溯。等级保护-安全管理理机构-授权和审审批：a) 应根根据各个部部门和岗位位的职责明明确授权审审批事项、审审批部门和和批准人等等b) 应针针对系统变变更、重要要操作、物物理访问和和系统接入入等事项建建立审批程程序，按照照审批程序序执行审批批过程，对对重要活动动建立逐级级审批制度度c) 应定定期审查审审批事项，及及时更新需需授权和审审批的项目目、审批部部门和审批批人等信息息d) 应记记录审批过过程并保存存审批文档档等级保护-主机安全全-安全审计计：a) 审计计范围应覆覆盖到服务务器和重要要客户端上上的每个操操作系统用用户和数据据库用户；e) 应保保护审计进进程，避免

34、免受到未预预期的中断断；f) 应保保护审计记记录，避免免受到未预预期的删除除、修改或或覆盖等。33安全补丁定期监察可可用的安全全补丁，经经评估和测测试后进行行安装。对已发现系系统漏洞无无法及时修修补，导致致黑客入侵侵，木马、病病毒植入；不当的安安全补丁安安装影响系系统稳定性性或者系统统宕机。等级保护-系统运维维管理-系统安全全管理：c) 应安安装系统的的最新补丁丁程序，在在安装系统统补丁前，首首先在测试试环境中测测试通过，并并对重要文文件进行备备份后，方方可实施系系统补丁程程序的安装装；34重要事项审审核操作人员应应对操作系系统运行的的重要事项项进行检查查和说明，如如系统日志志中记录的的未成功

35、登登录，重要要系统文件件的访问，对对用户帐号号进行修改改等信息，以以及系统出出现的任何何异常事件件。对操作系统统的非法或或错误操作作无法记录录，对信息息安全事件件或系统故故障无法进进行追溯和和分析。等级保护-主机安全全-安全审计计：a) 审计计范围应覆覆盖到服务务器和重要要客户端上上的每个操操作系统用用户和数据据库用户b) 审计计内容应包包括重要用用户行为、系系统资源的的异常使用用和重要系系统命令的的使用等系系统内重要要的安全相相关事件c) 审计计记录应包包括事件的的日期、时时间、类型型、主体标标识、客体体标识和结结果等d) 应能能够根据记记录数据进进行分析，并并生成审计计报表e) 应保保护审

36、计进进程，避免免受到未预预期的中断断f) 应保保护审计记记录，避免免受到未预预期的删除除、修改或或覆盖等35应用系统安安全岗位职责明确定义终终端用户和和信息科技技技术人员员在应用安安全中的岗岗位和职责责；对关键键或敏感职职能进行双双重控制。知识、技能能不够造成成误操作；重要岗位位缺乏监管管造成有意意的非法操操作。ISO277001：20055 人力资资源安全-角色和职职责：应根据组织织的信息安安全方针，规规定员工、合合同方和第第三方用户户的安全角角色和职责责并形成文文件。ISO277001：20055访问控制制-特权管理理：应限制和控控制特权的的使用和分分配36身份验证针对应用系系统的重要要程

37、序和敏敏感程度，采采取有效的的身份验证证方法。非法用户获获得访问权权限。等级保护-应用安全全-身份鉴别别：a) 应提提供专用的的登录控制制模块对登登录用户进进行身份标标识和鉴别别；b) 应对对同一用户户采用两种种或两种以以上组合的的鉴别技术术实现用户户身份鉴别别；c) 应提提供用户身身份标识唯唯一性和鉴鉴别信息复复杂度检查查功能，保保证应用系系统中不存存在重复用用户身份标标识，身份份鉴别信息息不易被冒冒用；d) 应提提供登录失失败处理功功能，可采采取结束会会话、限制制非法登录录次数和自自动退出等等措施；e) 应启启用身份鉴鉴别、用户户身份标识识唯一性检检查、用户户身份鉴别别信息复杂杂度检查以以

38、及登录失失败处理功功能，并根根据安全策策略配置相相关参数。37信息输入和和输出在关键的接接合点进行行输入验证证或输出核核对；采取取安全的方方式处理保保密信息的的输入和输输出，防止止信息被盗盗、篡改、故故意或无意意泄露。关键数据被被盗、篡改改、故意或或无意泄露露。ISO277001：20055电子商务务服务-电子商务务：应保护电子子商务中通通过公共网网络传输的的信息，以以防止欺诈诈、合同争争议、未授授权的泄漏漏和修改；ISO277001：20055电子商务务服务-在线交易易：应保护在线线交易中的的信息，以以防止不完完整的传输输、路由错错误、未授授权的消息息修改、未未经授权的的泄漏、未经授权权的消

39、息复复制或回复复。38运行情况审审核系统能以书书面或电子子格式保存存审计痕迹迹；能够以以预先定义义的方式处处理例外情情况，并向向用户提供供有意义的的信息；管管理人员对对系统重要要事项进行行管理和审审核。对应用系统统的非法或或错误操作作无法记录录，对信息息安全事件件或系统故故障无法进进行追溯和和分析。等级保护-应用安全全-安全审计计：a) 应覆覆盖到每个个用户的安安全审计功功能，对应应用系统重重要安全事事件进行审审计；b) 应保保证无法单单独中断审审计进程，无无法删除、修修改或覆盖盖审计记录录；c) 审计计记录的内内容至少应应包括日期期、时间、发发起者信息息、类型、描描述和结果果等；d) 应提提

40、供对审计计记录数据据进行统计计、查询、分分析及生成成审计报表表的功能。39日志安全策略和流程程制定了相关关策略和流流程，控制制所有生产产系统的活活动日志，以以支持有效效的审核、安安全论证分分析和预防防欺诈；设设置了日志志监控和管管理岗位；制定了日日志资料的的安全保护护和调阅管管理制度。无法及时发发现信息安安全事件，无无法对信息息安全事件件进行分析析和预防；日志被篡篡改或者无无意丢失，无无法对历史史事件进行行追溯。等级保护-系统运维维-监控管理理：a) 应对对通信线路路、主机、网网络设备和和应用软件件的运行状状况、网络络流量、用用户行为等等进行监测测和报警，形形成记录并并妥善保存存；b) 应组组

41、织相关人人员定期对对监测和报报警记录进进行分析、评评审，发现现可疑行为为，形成分分析报告，并并采取必要要的应对措措施；c) 应建建立安全管管理中心，对对设备状态态、恶意代代码、补丁丁升级、安安全审计等等安全相关关事项进行行集中管理理。40交易日志交易日志由由应用软件件和数据库库管理系统统产生，包包括身份尝尝试、数据据修改、错错误信息等等；交易日日志按照国国家会计政政策要求予予以保存。对系统问题题，非法操操作无法进进行记录，对对出现问题题的原因无无法进行追追溯。等级保护-主机安全全-安全审计计；等级保护-应用安全全-安全审计计；等级保护-网络安全全-安全审计计；等级保护-系统运维维管理-网络安全

42、全管理；a) 应指指定专人对对网络进行行管理，负负责运行日日志、网络络监控记录录的日常维维护和报警警信息分析析和处理工工作b) 应建建立网络安安全管理制制度，对网网络安全配配置、日志志保存时间间、安全策策略、升级级与打补丁丁、口令更更新周期等等方面作出出规定等级保护-系统运维维管理-系统安全管管理：d) 应建建立系统安安全管理制制度，对系系统安全策策略、安全全配置、日日志管理和和日常操作作流程等方方面作出具具体规定；g) 应定定期对运行行日志和审审计数据进进行分析，以以便及时发发现异常行行为。41系统日志系统日志由由操作系统统、数据库库管理系统统、防火墙墙、入侵检检测系统和和路由器等等生成，包

43、包括身份认认证尝试、系系统事件、网网络事件、错错误信息等等；系统和和网络日志志保存期限限按事先的的风险定级级确定，但但不能少。不完整的日日志无法对对现有的系系统运行情情况进行监监控，无法法对出现的的各类事件件的原因进进行追溯；历史记录录不进行合合理的保留留导致在出出现问题后后对以前的的操作或者者问题进行行查找分析析。42保存和复查查银行应保证证在日志中中包含足够够的项目，以以便有效地地完成内部部控制、系系统故障解解决和审计计，同时应应采取适当当措施保证证所有日志志的计时同同步，并确确保其完整整性，有任任何的例外外情况发生生都应当复复查系统日日志。交易易日志或数数据库日志志的复查频频率和保留留周

44、期应由由信息科技技部门和有有关业务部部分共同决决定，并报报信息科技技管理委员员会批准。不完善的日日志记录无无法对审计计提供足够够的参考；缺乏日志志审核对隐隐藏的操作作问题无法法及时发现现。43信息安全信息分类制定信息分分类操作指指南和信息息保护工作作流程；信信息依据敏敏感程度进进行分类，并并指定所有有人。对重要信息息无法提供供足够有效效的保护，造造成重要信信息被破坏坏、篡改、泄泄露。ISO277001：20055 资产管管理-分类指南南：应按照信息息的价值、法法律要求及及对组织的的敏感程度度和关键程程度进行分分类；ISO277001：20055 资产管管理-信息标识识和处置：应制定一套套与组织

45、所所采用的分分类方案一一致的信息息标识和处处置的程序序，并实施施。44信息加密对不同类别别信息采用用相应的加加密技术或或密码设备备；建立密密码设备管管理规范制制度；管理理使用密码码系统设备备的员工经经过专业培培训和严格格审核。没有加密的的信息容易易被泄露、破破坏、篡改改。等级保护-数据安全全-数据完整整性：a) 应能能够检测到到系统管理理数据、鉴鉴别信息和和用户数据据在传输过过程中完整整性受到破破坏，并在在检测到完完整性错误误时采取必必要的恢复复措施b) 应能能够监测到到系统管理理数据、鉴鉴别信息和和重要业务务数据在存存储过程中中完整性受受到破坏，并并在监测到到完整性错错误时采取取必要的恢恢复

46、措施等级保护-数据安全全-数据保密密性：a) 应采采用加密或或其他有效效措施实现现系统管理理数据、鉴鉴别信息和和重要业务务数据传输输保密性b) 应采采用加密或或其他保护护措施实现现系统管理理数据、鉴鉴别信息和和重要业务务数据存储储保密性等级保护-系统运维维管理-密码管理理：a) 应建建立密码使使用管理制制度，使用用符合国家家密码管理理规定的密密码技术和和产品。45密钥管理实施有效的的密钥管理理流程，尤尤其是密钥钥生命周期期管理和证证书周期管管理。密钥泄露，造造成严重信信息安全事事件。等级保护-系统运维维管理-密码管理理：a) 应建建立密码使使用管理制制度，使用用符合国家家密码管理理规定的密密码技术和和产品。46机密信息安安全机密信息的的加密使用用符合国家家密码管理理局要求的的加密技术术和加密设设备，加密密强度和加加密效率满满足信息机机密性和可可用性要求求。机密信息泄泄露，造成成严重信息息安全事件件。等级保护-数据安全全-数据完整整性；等级保护-数据安全全-数据保密密性；等级保护-系统运维维管理-密码管理理：a) 应建建立密码使使用管理制制度，使用用符合国家家密码管理理规定的密密码技