信息科技風(fēng)險(xiǎn)自評(píng)估表

1、共享知識(shí)分享快樂(lè)信息科技風(fēng)險(xiǎn)自評(píng)估表 一、信息科技治理序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)1iso27001：2005 管理層職責(zé)：建立信息安全方針，確保信息安全目標(biāo)和計(jì)劃的建立，進(jìn)董事會(huì)或高級(jí)管理層職責(zé)對(duì)信息科技戰(zhàn)略 的審查批準(zhǔn)并審查信息科技戰(zhàn)略；保 證信息科技戰(zhàn)略與銀行總體業(yè) 務(wù)戰(zhàn)略和重大策略相一致；定 期評(píng)估信息科技及其風(fēng)險(xiǎn)管理 工作的總體效力和效率。行信息安全管理體系的評(píng)審；信息風(fēng)險(xiǎn)管理缺 iso27001：2005 信息安全方針文檔：乏長(zhǎng)期規(guī)劃，無(wú)法 信息安全方針文檔應(yīng)經(jīng)過(guò)管理層的批準(zhǔn)，并向所有員工和 指導(dǎo)信息安全工 外部相關(guān)方公布和溝通；作開(kāi)展。 iso27001：2005

2、信息安全方針評(píng)審：應(yīng)按策劃的時(shí)間間隔或當(dāng)發(fā)生重大變化時(shí)，對(duì)信息安全方 針文檔進(jìn)行評(píng)審，以確保其持續(xù)的適宜性、充分性和有效 性。2corbit 信息技術(shù)審計(jì)指南-決定技術(shù)方向：定期聽(tīng)取信息科技風(fēng)險(xiǎn)管理部無(wú)法掌握現(xiàn)有風(fēng)it管理層理解并使用技術(shù)基礎(chǔ)設(shè)施計(jì)劃；對(duì)本行信息科技門(mén)報(bào)告；組織進(jìn)行獨(dú)立有效的險(xiǎn)，對(duì)存在的信息 技術(shù)基礎(chǔ)設(shè)施計(jì)劃上的變化，以確定相關(guān)的成本和風(fēng)險(xiǎn)，風(fēng)險(xiǎn)管理現(xiàn)狀的 掌握情況信息科技風(fēng)險(xiǎn)審計(jì)；對(duì)審計(jì)報(bào) 告和監(jiān)管意見(jiàn)的整改情況進(jìn)行 監(jiān)督。安全風(fēng)險(xiǎn)針對(duì)性 的改進(jìn)無(wú)法得到 有力的推進(jìn)。這些變化要反映在it長(zhǎng)短期計(jì)劃的變化中；it管理層要理解監(jiān)控和評(píng)估正在出現(xiàn)技術(shù)的過(guò)程，并要將 適當(dāng)?shù)募夹g(shù)合并到

3、當(dāng)前的it基礎(chǔ)設(shè)施之中；it 管理層要理解系統(tǒng)評(píng)估技術(shù)計(jì)劃意外的過(guò)程。卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)3風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)對(duì)信息科技建設(shè) 的支持控制目標(biāo)建立合理的人才激勵(lì)體制；確 保為信息科技風(fēng)險(xiǎn)管理工作撥 付所需資金；建立規(guī)范的職業(yè) 道德行為和廉政標(biāo)準(zhǔn)。風(fēng)險(xiǎn)分析對(duì)信息安全風(fēng)險(xiǎn) 的改進(jìn)缺乏有效 資源參考依據(jù)corbit信息技術(shù)審計(jì)指南-管理信息技術(shù)投資：高級(jí)管理層應(yīng)執(zhí)行預(yù)算編制過(guò)程，按照機(jī)構(gòu)的長(zhǎng)期和短期 計(jì)劃以及 it 的長(zhǎng)期和短期計(jì)劃，保證年度 it 運(yùn)作預(yù)算的 建立和批準(zhǔn)。應(yīng)調(diào)查資金的選擇。4由來(lái)自高級(jí)管理層、信息科技 部分和主要業(yè)務(wù)部分的代表組等級(jí)保護(hù)-安全管理機(jī)構(gòu)-崗位設(shè)置c)

4、應(yīng)成立指導(dǎo)和管理信息安全工作的委員會(huì)或領(lǐng)導(dǎo)小組。組織信息科技管 理委員會(huì)的建立成；定期向董事會(huì)和高級(jí)管理 層匯報(bào)信息科技戰(zhàn)略規(guī)劃的效 力、信息科技預(yù)算和實(shí)際支出、 信息科技的整體性能；對(duì)信息 科技建設(shè)及管理情況進(jìn)行有效 的協(xié)調(diào)。信息安全工作缺 乏統(tǒng)一組織進(jìn)行 協(xié)調(diào)。5直接參與本銀行與信息科技運(yùn)等級(jí)保護(hù)-安全管理機(jī)構(gòu)-崗位設(shè)置組織架構(gòu)首席信息官的設(shè) 置用有關(guān)的業(yè)務(wù)發(fā)展決策；建立 切實(shí)有效的信息科技部分；確 保信息科技風(fēng)險(xiǎn)管理的有效信息安全工作缺 乏統(tǒng)一有效的領(lǐng) 導(dǎo)和責(zé)任人。c)信息安全工作的委員會(huì)或領(lǐng)導(dǎo)小組最高領(lǐng)導(dǎo)應(yīng)由單位主 管領(lǐng)導(dǎo)委任或授權(quán)。67信息科技部門(mén)的 職責(zé)信息科技風(fēng)險(xiǎn)管 理部分的職責(zé)

5、性。崗位設(shè)置完整合理；人員具有 相應(yīng)的技能和專業(yè)知識(shí)，制定 有合理的培訓(xùn)計(jì)劃；重要崗位 制定詳細(xì)完整的工作說(shuō)明。 可直接向 cio 或 cro 匯報(bào)；實(shí) 施持續(xù)的信息科技風(fēng)險(xiǎn)評(píng)估； 協(xié)調(diào)有關(guān)信息科技風(fēng)險(xiǎn)管理策缺乏具有專業(yè)知 識(shí)和技能的專職 人員；信息安全工 作無(wú)法有效的協(xié) 調(diào)。等級(jí)保護(hù)-安全管理機(jī)構(gòu)-崗位設(shè)置a) 應(yīng)設(shè)立信息安全管理工作的職能部門(mén)，設(shè)立安全主管、 安全管理各個(gè)方面的負(fù)責(zé)人崗位，并定義各負(fù)責(zé)人的 職責(zé)；b) 應(yīng)配備專職安全管理員，不可兼任；d) 應(yīng)制定文件明確安全管理機(jī)構(gòu)各個(gè)部門(mén)和崗位的職責(zé)、 分工和技能要求。略的制定。卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制

6、目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)8等級(jí)保護(hù)-安全管理機(jī)構(gòu)-審核和檢查a) 安全管理員應(yīng)負(fù)責(zé)定期進(jìn)行安全檢查，檢查內(nèi)容包括系信息科技內(nèi)部審 計(jì)崗位在內(nèi)審部門(mén)內(nèi)部設(shè)立；配備足 夠的專業(yè)人員；制定完整的信 息科技審計(jì)策略和流程；制定 信息科技內(nèi)審計(jì)劃并落實(shí)。信息安全工作缺 乏有效的監(jiān)督和 評(píng)價(jià)，信息安全風(fēng) 險(xiǎn)管理無(wú)法有效 的落實(shí)和改進(jìn)。統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況；b) 應(yīng)由內(nèi)部人員或上級(jí)單位定期進(jìn)行全面安全檢查，檢查 內(nèi)容包括現(xiàn)有安全技術(shù)措施的有效性、安全配置與安全策 略的一致性、安全管理制度的執(zhí)行情況等；c) 應(yīng)制定安全檢查表格實(shí)施安全檢查，匯總安全檢查數(shù) 據(jù)，形成安全檢查報(bào)告，并對(duì)安全檢查結(jié)果進(jìn)行

7、通報(bào)；9信息安全管理制d) 應(yīng)制定安全審核和安全檢查制度規(guī)范安全審核和安全 檢查工作，定期按照程序進(jìn)行安全審核和安全檢查活動(dòng)。 iso27001：2005 總要求制度建設(shè)流程完善的規(guī)章制度和管理辦法的 制定、審批和修訂流程。度混亂，無(wú)法形成 組織應(yīng)根據(jù)整體業(yè)務(wù)活動(dòng)和風(fēng)險(xiǎn)，建立、實(shí)施、運(yùn)行、監(jiān) 完整體系，缺乏可 視、評(píng)審、保持并改進(jìn)文件化的信息安全管理體系。 操作性且得不到10制度建設(shè)制度體系涵蓋運(yùn)行、安全、開(kāi)發(fā)等各重 要部分；對(duì)關(guān)鍵部分應(yīng)有詳細(xì) 的管理規(guī)定和操作細(xì)則。有效改進(jìn)。關(guān)鍵工作缺乏規(guī) 范性，工作流程混 亂，直接導(dǎo)致信息 安全事件。iso27001：2005-控制目標(biāo)：1、信息安全方針；

8、2、信息安全組織；3、資產(chǎn)管理；4、 人力資源安全；5、物理與環(huán)境安全；6、通訊及操作管理； 7、訪問(wèn)控制；8、信息系統(tǒng)的獲取、開(kāi)發(fā)和維護(hù)；9、信息 安全事故管理；10、業(yè)務(wù)連續(xù)性管理；11、符合性。二、信息科技風(fēng)險(xiǎn)管理序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)1112信息科技風(fēng)險(xiǎn)管理信息科技風(fēng)險(xiǎn)管 理策略風(fēng)險(xiǎn)識(shí)別和評(píng)估 流程等級(jí)保護(hù)-控制項(xiàng)：策略內(nèi)容應(yīng)包括：1、信息分級(jí)與保護(hù)；2、應(yīng)用系統(tǒng)開(kāi)發(fā)、測(cè)1、物理安全；2、網(wǎng)絡(luò)安全；3、主機(jī)安全；4、應(yīng)用安全；試和維護(hù)；3、信息科技運(yùn)行和 安全策略考慮不 5、數(shù)據(jù)安全；6

9、、安全管理制度；7、安全管理機(jī)構(gòu)；8、 維護(hù)；4、訪問(wèn)控制；5、物理 完善，沒(méi)有完整包 人員安全管理；9、系統(tǒng)運(yùn)維管理；10、系統(tǒng)建設(shè)管理。 安全；6、人員安全；7、業(yè)務(wù) 含信息安全各方 iso27001：2005-控制目標(biāo)：連續(xù)性與應(yīng)急處置 面，制定的安全策 1、信息安全方針；2、信息安全組織；3、資產(chǎn)管理；4、略內(nèi)容存在疏漏。 人力資源安全；5、物理與環(huán)境安全；6、通訊及操作管理；7、訪問(wèn)控制；8、信息系統(tǒng)的獲取、開(kāi)發(fā)和維護(hù)；9、信息 安全事故管理；10、業(yè)務(wù)連續(xù)性管理；11、符合性。準(zhǔn)確定位存在隱患的區(qū)域；評(píng)計(jì)算機(jī)等級(jí)保護(hù)制度；價(jià)風(fēng)險(xiǎn)對(duì)其業(yè)務(wù)的潛在影響；iso27001：2005 信息安

10、全管理體系要求。對(duì)風(fēng)險(xiǎn)進(jìn)行分類排序；確定風(fēng)險(xiǎn)防范活動(dòng)及必備資源的優(yōu)先1314風(fēng)險(xiǎn)防范措施風(fēng)險(xiǎn)計(jì)量和監(jiān)測(cè) 機(jī)制級(jí)。1、明確的信息科技風(fēng)險(xiǎn)管理策 略、技術(shù)標(biāo)準(zhǔn)和操作規(guī)程等， 并定期公示；2、識(shí)別潛在風(fēng)險(xiǎn) 區(qū)域，對(duì)這些區(qū)域進(jìn)行詳細(xì)的 獨(dú)立監(jiān)控，并建立適當(dāng)?shù)目刂?結(jié)構(gòu)。范圍涵蓋所有的重要部分，包 含項(xiàng)目實(shí)施、系統(tǒng)性能、事故 與投訴、問(wèn)題整改、外包服務(wù)無(wú)法了解現(xiàn)有系 統(tǒng)存在的風(fēng)險(xiǎn)，無(wú) 法有效的指導(dǎo)信 息安全的改進(jìn)，提 高信息系統(tǒng)安全 性。水平、運(yùn)行操作、外包項(xiàng)目等。三、信息安全卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)1516授權(quán)機(jī)制用戶審查完整的審批流程；以“必需

11、知 道”和“最小授權(quán)”為原則； 權(quán)限收回流程。定期對(duì)系統(tǒng)所有用戶進(jìn)行審 查；每個(gè)系統(tǒng)的所有用戶使用 唯一 id；用戶變化時(shí)應(yīng)及時(shí)檢iso27001 訪問(wèn)控制-控制策略：應(yīng)建立文件化的訪問(wèn)控制策略，并根據(jù)對(duì)訪問(wèn)的業(yè)務(wù)和安用戶獲得不當(dāng)權(quán) 全要求進(jìn)行評(píng)審；限，有意或者無(wú)意 iso27001 訪問(wèn)控制-用戶注冊(cè)：的造成系統(tǒng)破壞 應(yīng)建立正式的用戶注冊(cè)和解除注冊(cè)程序，以允許和撤銷對(duì) 或信息泄露。 于所有信息系統(tǒng)和服務(wù)的訪問(wèn)；iso27001 訪問(wèn)控制-特權(quán)管理：應(yīng)限制和控制特權(quán)的使用和分配。用戶獲得不當(dāng)權(quán)iso27001 訪問(wèn)控制-用戶訪問(wèn)權(quán)限的評(píng)審：限，有意或者無(wú)意 管理者應(yīng)按照策劃的時(shí)間間隔通過(guò)正式的

12、流程對(duì)用戶的訪 的造成系統(tǒng)破壞 問(wèn)權(quán)限進(jìn)行評(píng)審。用戶認(rèn)證查和更新?；蛐畔⑿孤?。17和訪問(wèn)控制等級(jí)保護(hù)-應(yīng)用安全-身份鑒別：a) 應(yīng)提供專用的登錄控制模塊對(duì)登錄用戶進(jìn)行身份標(biāo)識(shí) 和鑒別b) 應(yīng)對(duì)同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實(shí)認(rèn)證機(jī)制與信息訪問(wèn)級(jí)別相匹配的用戶 認(rèn)證機(jī)制；高風(fēng)險(xiǎn)交易和活動(dòng) 使用增強(qiáng)的認(rèn)證方法。用戶獲得不當(dāng)權(quán) 限，有意或者無(wú)意 的造成系統(tǒng)破壞 或信息泄露?，F(xiàn)用戶身份鑒別c) 應(yīng)提供用戶身份標(biāo)識(shí)唯一性和鑒別信息復(fù)雜度檢查功 能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識(shí)，身份鑒別 信息不易被冒用d) 應(yīng)提供登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施e) 應(yīng)

13、啟用身份鑒別、用戶身份標(biāo)識(shí)唯一性檢查、用戶身份 鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全 策略配置相關(guān)參數(shù)卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)18等級(jí)保護(hù)-安全管理機(jī)構(gòu)-崗位設(shè)置a) 應(yīng)設(shè)立信息安全管理工作的職能部門(mén)，設(shè)立安全主管、信息安全管理完善的信息安全管理流程、組 織架構(gòu)和職責(zé)分配。管理混亂信息安安全管理各個(gè)方面的負(fù)責(zé)人崗位，并定義各負(fù)責(zé)人的職責(zé)全策略無(wú)法正確 b) 應(yīng)設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員崗位，并 及時(shí)的實(shí)施；信息 定義各個(gè)工作崗位的職責(zé)安全責(zé)任無(wú)法明 c) 應(yīng)成立指導(dǎo)和管理信息安全工作的委員會(huì)或領(lǐng)導(dǎo)小組， 確。其最

14、高領(lǐng)導(dǎo)應(yīng)由單位主管領(lǐng)導(dǎo)委任或授權(quán)d) 應(yīng)制定文件明確安全管理機(jī)構(gòu)各個(gè)部門(mén)和崗位的職責(zé)、 分工和技能要求19信息安全策略包含完整的內(nèi) 容：1、組織信息安全；2、資iso27001：2005-控制目標(biāo)：1、信息安全方針；2、信息安全組織；3、資產(chǎn)管理；4、信息安全管理信息安全策略產(chǎn)管理；3、人員安全；4、物 理和環(huán)境安全；5、通信和操作 安全；6、訪問(wèn)控制；7、身份 認(rèn)證；8、信息系統(tǒng)的獲取、開(kāi) 發(fā)和維護(hù)；9、信息安全事故管安全策略考慮不 人力資源安全；5、物理與環(huán)境安全；6、通訊及操作管理； 完善，沒(méi)有完整包 7、訪問(wèn)控制；8、信息系統(tǒng)的獲取、開(kāi)發(fā)和維護(hù)；9、信息 含信息安全各方 安全事故管理；

15、10、業(yè)務(wù)連續(xù)性管理；11、符合性。 面，制定的安全策略內(nèi)容存在疏漏。理；10、業(yè)務(wù)連續(xù)性管理；11、 合規(guī)性。20等級(jí)保護(hù)-人員安全管理-安全意識(shí)教育和培訓(xùn)：安全培訓(xùn)提供必要的培訓(xùn)，使所有員工 都了解信息安全的重要性，并 讓員工充分了解其職責(zé)范圍內(nèi) 的信息保護(hù)流程。普通員工缺乏信 息安全意識(shí)，造成 有意或無(wú)意的信 息泄露或者破壞。a) 應(yīng)對(duì)各類人員進(jìn)行安全意識(shí)教育、崗位技能培訓(xùn)和相關(guān) 安全技術(shù)培訓(xùn)；b) 應(yīng)對(duì)安全責(zé)任和懲戒措施進(jìn)行書(shū)面規(guī)定并告知相關(guān)人 員，對(duì)違反違背安全策略和規(guī)定的人員進(jìn)行懲戒； c) 應(yīng)對(duì)定期安全教育和培訓(xùn)進(jìn)行書(shū)面規(guī)定，針對(duì)不同崗位制定不同的培訓(xùn)計(jì)劃，對(duì)信息安全基礎(chǔ)知識(shí)、崗

16、位操作規(guī)卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)21程等進(jìn)行培訓(xùn)；d) 應(yīng)對(duì)安全教育和培訓(xùn)的情況和結(jié)果進(jìn)行記錄并歸檔保 存。iso27001：2005-物理與環(huán)境安全：數(shù)據(jù)中心的地理 位置遠(yuǎn)離自然災(zāi)害地區(qū)、危險(xiǎn)或有 害設(shè)施、或繁忙/主要公路；采 取有效的物理或環(huán)境控制措 施，監(jiān)控對(duì)信息處理設(shè)備運(yùn)行 構(gòu)成威脅的環(huán)境應(yīng)設(shè)計(jì)并實(shí)施針對(duì)火災(zāi)、水災(zāi)、地震、爆炸、騷亂和其他物理設(shè)施受到臺(tái) 形式的自然或人為災(zāi)難的物理保護(hù)措施。風(fēng)、地震、火災(zāi)、 等級(jí)保護(hù)-物理安全-物理位置的選擇：震動(dòng)、灰塵等威 a) 機(jī)房和辦公場(chǎng)地應(yīng)選擇在具有防震、防風(fēng)和防雨等能力 脅。 的建筑內(nèi)；b

17、) 機(jī)房場(chǎng)地應(yīng)避免設(shè)在建筑物的高層或地下室，以及用水 設(shè)備的下層或隔壁。22等級(jí)保護(hù)-物理安全-物理訪問(wèn)控制：a) 機(jī)房出入口應(yīng)安排專人值守，控制、鑒別和記錄進(jìn)入的物理安全人員；b) 需進(jìn)入機(jī)房的來(lái)訪人員應(yīng)經(jīng)過(guò)申請(qǐng)和審批流程，并限制數(shù)據(jù)中心的安全 保衛(wèi)出口數(shù)量應(yīng)嚴(yán)格控制；出入通 道的鎖具安全可靠；配備有錄 像監(jiān)控和報(bào)警系統(tǒng)；關(guān)鍵位置 配備警衛(wèi)人員；敏感設(shè)施及場(chǎng) 所的標(biāo)識(shí)隱匿非法訪問(wèn)者對(duì)物 理設(shè)施進(jìn)行有意 或者無(wú)意的破壞。和監(jiān)控其活動(dòng)范圍；c) 應(yīng)對(duì)機(jī)房劃分區(qū)域進(jìn)行管理，區(qū)域和區(qū)域之間設(shè)置物理 隔離裝置，在重要區(qū)域前設(shè)置交付或安裝等過(guò)渡區(qū)域； d) 重要區(qū)域應(yīng)配置電子門(mén)禁系統(tǒng)，控制、鑒別和記錄進(jìn)

18、入 的人員。等級(jí)保護(hù)-物理安全-防盜竊和防破壞：a) 應(yīng)將主要設(shè)備放置在機(jī)房?jī)?nèi)b) 應(yīng)對(duì)設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去 的標(biāo)記c) 應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)23d) 應(yīng)對(duì)介質(zhì)分類標(biāo)識(shí)，存儲(chǔ)在介質(zhì)庫(kù)或檔案室中d) 應(yīng)利用光、電等技術(shù)設(shè)置機(jī)房防盜報(bào)警系統(tǒng)e) 應(yīng)對(duì)機(jī)房設(shè)置監(jiān)控報(bào)警系統(tǒng)等級(jí)保護(hù)-物理安全-防雷擊：a) 機(jī)房建筑應(yīng)設(shè)置避雷裝置b) 應(yīng)設(shè)置防雷保安器，防止感應(yīng)雷c) 機(jī)房應(yīng)設(shè)置交流電源地線等級(jí)保護(hù)-物理安全-防火：a) 機(jī)房應(yīng)設(shè)置火災(zāi)自動(dòng)消防系統(tǒng)，能夠自動(dòng)檢測(cè)火情、自 動(dòng)報(bào)

19、警，并自動(dòng)滅火；a) 機(jī)房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐火等級(jí) 的建筑材料；數(shù)據(jù)中心的運(yùn)行 環(huán)境使用全面的環(huán)境控制措施保障 系統(tǒng)安全運(yùn)行，如：不間斷電 源保護(hù)、溫濕度控制、防水防 火設(shè)施等。物理設(shè)施受到潮 濕、斷電、火災(zāi)等 威脅。c) 機(jī)房應(yīng)采取區(qū)域隔離防火措施，將重要設(shè)備與其他設(shè)備 隔離開(kāi)。等級(jí)保護(hù)-物理安全-防水和防潮：a) 水管安裝，不得穿過(guò)屋頂和活動(dòng)地板下；b) 應(yīng)采取措施防止雨水通過(guò)機(jī)房窗戶、屋頂和墻壁滲透； c) 應(yīng)采取措施防止機(jī)房?jī)?nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移 與滲透；d) 應(yīng)安裝對(duì)水敏感的檢測(cè)儀表或元件，對(duì)機(jī)房進(jìn)行防水檢 測(cè)和報(bào)警；等級(jí)保護(hù)-物理安全-防靜電：a) 主要設(shè)備

20、應(yīng)采用必要的接地等防靜電措施；b) 機(jī)房應(yīng)采用防靜電地板；等級(jí)保護(hù)-物理安全-溫濕度控制：卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)24a) 機(jī)房應(yīng)設(shè)置溫、濕度自動(dòng)調(diào)節(jié)設(shè)施，使機(jī)房溫、濕度的 變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)a) 應(yīng)在機(jī)房供電線路上配置穩(wěn)壓器和過(guò)電壓防護(hù)設(shè)備b) 應(yīng)提供短期的備用電力供應(yīng)，至少滿足關(guān)鍵設(shè)備在斷電 情況下的正常運(yùn)行要求c) 應(yīng)設(shè)置冗余或并行的電力電纜線路為計(jì)算機(jī)系統(tǒng)供電 d) 應(yīng)建立備用供電系統(tǒng)等級(jí)保護(hù)-物理安全-電磁防護(hù)：a) 應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干 擾；b) 電源線和通信線纜應(yīng)隔離，避免互相干擾c)

21、應(yīng)對(duì)關(guān)鍵設(shè)備和磁介質(zhì)實(shí)施電磁屏蔽等級(jí)保護(hù)-物理安全-物理訪問(wèn)控制：a) 機(jī)房出入口應(yīng)安排專人值守，控制、鑒別和記錄進(jìn)入的25網(wǎng)絡(luò)安全門(mén)禁管理制度邏輯分區(qū)第三方人員進(jìn)入安全區(qū)域應(yīng)得 到適當(dāng)?shù)呐鷾?zhǔn)，并受到密切監(jiān) 控；對(duì)外聘人員和承包商有嚴(yán) 格的審查程序，包括身份驗(yàn)證 和背景調(diào)查，并簽署安全、保 密協(xié)議。按照不同的安全級(jí)別，將網(wǎng)絡(luò) 劃分為不同的邏輯安全域。人員；b) 需進(jìn)入機(jī)房的來(lái)訪人員應(yīng)經(jīng)過(guò)申請(qǐng)和審批流程，并限制非法訪問(wèn)者對(duì)物 和監(jiān)控其活動(dòng)范圍。理設(shè)施進(jìn)行有意 iso27001：2005 信息安全組織-外部組織：或者無(wú)意的破壞。 應(yīng)識(shí)別來(lái)自涉及外部組織的業(yè)務(wù)過(guò)程的信息和信息處理設(shè)施的風(fēng)險(xiǎn)，并在允許

22、訪問(wèn)前實(shí)施適當(dāng)?shù)目刂疲慌c第三方簽 訂的協(xié)議中應(yīng)覆蓋所有相關(guān)的安全要求。這些協(xié)議可能涉 及對(duì)組織的喜訊你或信息處理設(shè)施的訪問(wèn)、處理、溝通或 管理，或增加信息處理設(shè)施的產(chǎn)品和服務(wù)。重要系統(tǒng)得不到 等級(jí)保護(hù)-網(wǎng)絡(luò)安全-結(jié)構(gòu)安全：應(yīng)有的安全保護(hù)， e) 應(yīng)根據(jù)各部門(mén)的工作職能、重要性和所涉及信息的重要卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)26網(wǎng)絡(luò)邊界防護(hù)卑微如螻蟻、堅(jiān)強(qiáng)似大象不同的網(wǎng)絡(luò)域之間應(yīng)采取有效 的分隔和訪問(wèn)控制措施，如部 署防火墻和入侵檢測(cè)設(shè)備；對(duì) 網(wǎng)絡(luò)的特殊敏感域，應(yīng)采用物 理隔離方式。非法用戶對(duì)系統(tǒng)程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和

23、進(jìn)行非法訪問(wèn)，造 控制的原則為各子網(wǎng)、網(wǎng)段分配地址段。成系統(tǒng)破壞或數(shù)據(jù)中斷。等級(jí)保護(hù)-網(wǎng)絡(luò)安全-結(jié)構(gòu)安全：f) 應(yīng)避免將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部 信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)隔離 手段。等級(jí)保護(hù)-網(wǎng)絡(luò)安全-訪問(wèn)控制：a) 應(yīng)在網(wǎng)絡(luò)邊界部署訪問(wèn)控制設(shè)備，啟用訪問(wèn)控制功能； b) 應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕 訪問(wèn)的能力，控制粒度為端口級(jí)；扁平化的網(wǎng)絡(luò)使 c) 應(yīng)對(duì)進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過(guò)濾，實(shí)現(xiàn)對(duì)應(yīng)用層 網(wǎng)絡(luò)管理更加困 http、ftp、telnet、smtp、pop3 等協(xié)議命令級(jí)的控 難，非法訪問(wèn)者更 制；加容易針對(duì)重要 d) 應(yīng)在會(huì)話處于

24、非活躍一定時(shí)間或會(huì)話結(jié)束后終止網(wǎng)絡(luò) 設(shè)備并進(jìn)行攻擊。 連接；e) 應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；f) 重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙g) 應(yīng)按用戶和系統(tǒng)之間的允許訪問(wèn)規(guī)則，決定允許或拒絕 用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問(wèn)，控制粒度為單個(gè)用戶； h) 應(yīng)限制具有撥號(hào)訪問(wèn)權(quán)限的用戶數(shù)量。等級(jí)保護(hù)-網(wǎng)絡(luò)安全-邊界完整性檢查：a) 應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢 查，準(zhǔn)確定出位置，并對(duì)其進(jìn)行有效阻斷；共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)b) 應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行 檢測(cè)，準(zhǔn)確定出位置，并對(duì)其進(jìn)行有效阻斷。等級(jí)保護(hù)-網(wǎng)絡(luò)安全-入侵防范：a)

25、 應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強(qiáng)力攻 擊、木馬后門(mén)攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、ip 碎片攻擊和網(wǎng)絡(luò)蠕蟲(chóng)攻擊等b) 當(dāng)檢測(cè)到攻擊行為時(shí)，記錄攻擊源 ip、攻擊類型、攻擊 目的、攻擊時(shí)間，在發(fā)生嚴(yán)重入侵事件時(shí)應(yīng)提供報(bào)警272829傳輸加密網(wǎng)絡(luò)監(jiān)控敏感數(shù)據(jù)在網(wǎng)絡(luò)傳輸過(guò)程中應(yīng) 加密。依據(jù)事先定義的性能目標(biāo)對(duì)網(wǎng) 絡(luò)進(jìn)行持續(xù)地監(jiān)測(cè)，以確認(rèn)任 何潛在的瓶頸制約或超負(fù)荷運(yùn) 行等任何異常的活動(dòng)；高強(qiáng)度 網(wǎng)絡(luò)分析工具的使用應(yīng)有適當(dāng) 的授權(quán)或?qū)徟鞒?。?shù)據(jù)被非法竊聽(tīng)， 等級(jí)保護(hù)-數(shù)據(jù)安全-數(shù)據(jù)保密性導(dǎo)致重要數(shù)據(jù)泄 a) 應(yīng)采用加密或其他有效措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信 露。 息和重要業(yè)務(wù)數(shù)據(jù)傳

26、輸保密性。等級(jí)保護(hù)-系統(tǒng)運(yùn)維管理-監(jiān)控管理：a) 應(yīng)對(duì)通信線路、主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件的運(yùn)行狀況、 網(wǎng)絡(luò)流量、用戶行為等進(jìn)行監(jiān)測(cè)和報(bào)警，形成記錄并妥善無(wú)法及時(shí)發(fā)現(xiàn)網(wǎng) 保存；絡(luò)異常，導(dǎo)致網(wǎng)絡(luò) b) 應(yīng)組織相關(guān)人員定期對(duì)監(jiān)測(cè)和報(bào)警記錄進(jìn)行分析、評(píng) 故障或系統(tǒng)宕機(jī)。 審，發(fā)現(xiàn)可疑行為，形成分析報(bào)告，并采取必要的應(yīng)對(duì)措施；a) 應(yīng)指定專人對(duì)網(wǎng)絡(luò)進(jìn)行管理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控 記錄的日常維護(hù)和報(bào)警信息分析和處理工作。網(wǎng)絡(luò)配置不當(dāng)導(dǎo)等級(jí)保護(hù)-系統(tǒng)運(yùn)維管理-網(wǎng)絡(luò)安全管理：網(wǎng)絡(luò)配置更改定期審查網(wǎng)絡(luò)配置；配置更改 或設(shè)備調(diào)整應(yīng)作為網(wǎng)絡(luò)變更流 程進(jìn)行操作。致出現(xiàn)安全弱點(diǎn)； 錯(cuò)誤的配置操作 導(dǎo)致網(wǎng)絡(luò)安全弱 點(diǎn)或

27、網(wǎng)絡(luò)故障出a) 應(yīng)指定專人對(duì)網(wǎng)絡(luò)進(jìn)行管理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控 記錄的日常維護(hù)和報(bào)警信息分析和處理工作；b) 應(yīng)建立網(wǎng)絡(luò)安全管理制度，對(duì)網(wǎng)絡(luò)安全配置、日志保存 時(shí)間、安全策略、升級(jí)與打補(bǔ)丁、口令更新周期等方面作卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)現(xiàn)。出規(guī)定；c) 應(yīng)根據(jù)廠家提供的軟件升級(jí)版本對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行更新， 并在更新前對(duì)現(xiàn)有的重要文件進(jìn)行備份；d) 應(yīng)定期對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行漏洞掃描，對(duì)發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安 全漏洞進(jìn)行及時(shí)的修補(bǔ)；e) 應(yīng)實(shí)現(xiàn)設(shè)備的最小服務(wù)配置，并對(duì)配置文件進(jìn)行定期離 線備份；f) 應(yīng)保證所有與外部系統(tǒng)的連接均得到授權(quán)和批準(zhǔn)；g) 應(yīng)依據(jù)

28、安全策略允許或拒絕便攜式和移動(dòng)式設(shè)備的網(wǎng) 絡(luò)接入；h) 應(yīng)定期檢查違反規(guī)定撥號(hào)上網(wǎng)或其他違反網(wǎng)絡(luò)安全策 略的行為。30等級(jí)保護(hù)-系統(tǒng)運(yùn)維管理-系統(tǒng)安全管理：a) 應(yīng)根據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問(wèn)控制 策略；操作系統(tǒng)安全安全標(biāo)準(zhǔn)制定每種類型操作系統(tǒng)的基本 安全要求，確保所有系統(tǒng)滿足 基本安全要求。操作系統(tǒng)配置不 當(dāng)導(dǎo)致出現(xiàn)安全 弱點(diǎn)。b) 應(yīng)定期進(jìn)行漏洞掃描，對(duì)發(fā)現(xiàn)的系統(tǒng)安全漏洞及時(shí)進(jìn)行 修補(bǔ)；c) 應(yīng)安裝系統(tǒng)的最新補(bǔ)丁程序，在安裝系統(tǒng)補(bǔ)丁前，首先 在測(cè)試環(huán)境中測(cè)試通過(guò)，并對(duì)重要文件進(jìn)行備份后，方可 實(shí)施系統(tǒng)補(bǔ)丁程序的安裝；d) 應(yīng)建立系統(tǒng)安全管理制度，對(duì)系統(tǒng)安全策略、安全配置、 日志

29、管理和日常操作流程等方面作出具體規(guī)定。31訪問(wèn)權(quán)限明確定義不同用戶組的訪問(wèn)權(quán) 限，包括終端用戶、系統(tǒng)開(kāi)發(fā) 人員、系統(tǒng)測(cè)試人員、計(jì)算機(jī)管理員獲得不當(dāng)?shù)燃?jí)保護(hù)-系統(tǒng)運(yùn)維管理-系統(tǒng)安全管理：權(quán)限，系統(tǒng)關(guān)鍵配 e) 應(yīng)指定專人對(duì)系統(tǒng)進(jìn)行管理，劃分系統(tǒng)管理員角色，明 置被非法修改。確各個(gè)角色的權(quán)限、責(zé)任和風(fēng)險(xiǎn)，權(quán)限設(shè)定應(yīng)當(dāng)遵循最小卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)操作人員、系統(tǒng)管理員和用戶 管理員等。授權(quán)原則。32等級(jí)保護(hù)-安全管理機(jī)構(gòu)-授權(quán)和審批：a) 應(yīng)根據(jù)各個(gè)部門(mén)和崗位的職責(zé)明確授權(quán)審批事項(xiàng)、審批 部門(mén)和批準(zhǔn)人等b) 應(yīng)針對(duì)系統(tǒng)變更、重要操作、物理訪問(wèn)

30、和系統(tǒng)接入等事最高權(quán)限賬戶管 理制定針對(duì)使用最高權(quán)限系統(tǒng)帳 戶的審批、驗(yàn)證和監(jiān)控流程， 并確保最高權(quán)限用戶的操作日 志被記錄和監(jiān)察。高權(quán)限帳號(hào)的錯(cuò) 誤或非法操作造 成嚴(yán)重的故障或 損失；無(wú)法對(duì)故障 或損失的原因進(jìn) 行追溯。項(xiàng)建立審批程序，按照審批程序執(zhí)行審批過(guò)程，對(duì)重要活 動(dòng)建立逐級(jí)審批制度c) 應(yīng)定期審查審批事項(xiàng)，及時(shí)更新需授權(quán)和審批的項(xiàng)目、 審批部門(mén)和審批人等信息d) 應(yīng)記錄審批過(guò)程并保存審批文檔等級(jí)保護(hù)-主機(jī)安全-安全審計(jì)：a) 審計(jì)范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個(gè)操作33對(duì)已發(fā)現(xiàn)系統(tǒng)漏 洞無(wú)法及時(shí)修補(bǔ)，系統(tǒng)用戶和數(shù)據(jù)庫(kù)用戶；e) 應(yīng)保護(hù)審計(jì)進(jìn)程，避免受到未預(yù)期的中斷；f) 應(yīng)保護(hù)

31、審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋 等。等級(jí)保護(hù)-系統(tǒng)運(yùn)維管理-系統(tǒng)安全管理：c) 應(yīng)安裝系統(tǒng)的最新補(bǔ)丁程序，在安裝系統(tǒng)補(bǔ)丁前，首先安全補(bǔ)丁定期監(jiān)察可用的安全補(bǔ)丁，經(jīng) 評(píng)估和測(cè)試后進(jìn)行安裝。導(dǎo)致黑客入侵，木 馬、病毒植入；不 當(dāng)?shù)陌踩a(bǔ)丁安在測(cè)試環(huán)境中測(cè)試通過(guò)，并對(duì)重要文件進(jìn)行備份后，方可 實(shí)施系統(tǒng)補(bǔ)丁程序的安裝；裝影響系統(tǒng)穩(wěn)定 性或者系統(tǒng)宕機(jī)。34重要事項(xiàng)審核操作人員應(yīng)對(duì)操作系統(tǒng)運(yùn)行的對(duì)操作系統(tǒng)的非等級(jí)保護(hù)-主機(jī)安全-安全審計(jì)：卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)重要事項(xiàng)進(jìn)行檢查和說(shuō)明，如法或錯(cuò)誤操作無(wú)a) 審計(jì)范圍應(yīng)覆蓋到服務(wù)器和重要客戶

32、端上的每個(gè)操作系統(tǒng)日志中記錄的未成功登法記錄，對(duì)信息安 系統(tǒng)用戶和數(shù)據(jù)庫(kù)用戶35崗位職責(zé)錄，重要系統(tǒng)文件的訪問(wèn)，對(duì) 用戶帳號(hào)進(jìn)行修改等信息，以 及系統(tǒng)出現(xiàn)的任何異常事件。明確定義終端用戶和信息科技 技術(shù)人員在應(yīng)用安全中的崗位 和職責(zé)；對(duì)關(guān)鍵或敏感職能進(jìn) 行雙重控制。全事件或系統(tǒng)故 障無(wú)法進(jìn)行追溯 和分析。知識(shí)、技能不夠造 成誤操作；重要崗 位缺乏監(jiān)管造成 有意的非法操作。b) 審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和 重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件 c) 審計(jì)記錄應(yīng)包括事件的日期、時(shí)間、類型、主體標(biāo)識(shí)、 客體標(biāo)識(shí)和結(jié)果等d) 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表e)

33、 應(yīng)保護(hù)審計(jì)進(jìn)程，避免受到未預(yù)期的中斷f) 應(yīng)保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋 等iso27001：2005 人力資源安全-角色和職責(zé)：應(yīng)根據(jù)組織的信息安全方針，規(guī)定員工、合同方和第三方 用戶的安全角色和職責(zé)并形成文件。iso27001：2005 訪問(wèn)控制-特權(quán)管理：應(yīng)限制和控制特權(quán)的使用和分配36等級(jí)保護(hù)-應(yīng)用安全-身份鑒別：應(yīng)用系統(tǒng)安全身份驗(yàn)證針對(duì)應(yīng)用系統(tǒng)的重要程序和敏 感程度，采取有效的身份驗(yàn)證 方法。非法用戶獲得訪 問(wèn)權(quán)限。a) 應(yīng)提供專用的登錄控制模塊對(duì)登錄用戶進(jìn)行身份標(biāo)識(shí) 和鑒別；b) 應(yīng)對(duì)同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實(shí) 現(xiàn)用戶身份鑒別；c) 應(yīng)提供用戶身

34、份標(biāo)識(shí)唯一性和鑒別信息復(fù)雜度檢查功 能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識(shí)，身份鑒別信息不易被冒用；d) 應(yīng)提供登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法 登錄次數(shù)和自動(dòng)退出等措施；卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)37e) 應(yīng)啟用身份鑒別、用戶身份標(biāo)識(shí)唯一性檢查、用戶身份 鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全 策略配置相關(guān)參數(shù)。iso27001：2005 電子商務(wù)服務(wù)-電子商務(wù)：信息輸入和輸出在關(guān)鍵的接合點(diǎn)進(jìn)行輸入驗(yàn)證 或輸出核對(duì)；采取安全的方式 處理保密信息的輸入和輸出，應(yīng)保護(hù)電子商務(wù)中通過(guò)公共網(wǎng)絡(luò)傳輸?shù)男畔?，以防止欺詐、關(guān)鍵數(shù)

35、據(jù)被盜、篡 合同爭(zhēng)議、未授權(quán)的泄漏和修改；改、故意或無(wú)意泄 iso27001：2005 電子商務(wù)服務(wù)-在線交易：防止信息被盜、篡改、故意或 無(wú)意泄露。露。應(yīng)保護(hù)在線交易中的信息，以防止不完整的傳輸、路由錯(cuò) 誤、未授權(quán)的消息修改、未經(jīng)授權(quán)的泄漏、未經(jīng)授權(quán)的消 息復(fù)制或回復(fù)。38等級(jí)保護(hù)-應(yīng)用安全-安全審計(jì)：運(yùn)行情況審核系統(tǒng)能以書(shū)面或電子格式保存 審計(jì)痕跡；能夠以預(yù)先定義的 方式處理例外情況，并向用戶 提供有意義的信息；管理人員 對(duì)系統(tǒng)重要事項(xiàng)進(jìn)行管理和審 核。對(duì)應(yīng)用系統(tǒng)的非 法或錯(cuò)誤操作無(wú) 法記錄，對(duì)信息安 全事件或系統(tǒng)故 障無(wú)法進(jìn)行追溯 和分析。a) 應(yīng)覆蓋到每個(gè)用戶的安全審計(jì)功能，對(duì)應(yīng)用系統(tǒng)

36、重要安 全事件進(jìn)行審計(jì)；b) 應(yīng)保證無(wú)法單獨(dú)中斷審計(jì)進(jìn)程，無(wú)法刪除、修改或覆蓋 審計(jì)記錄；b) 審計(jì)記錄的內(nèi)容至少應(yīng)包括日期、時(shí)間、發(fā)起者信息、 類型、描述和結(jié)果等；d) 應(yīng)提供對(duì)審計(jì)記錄數(shù)據(jù)進(jìn)行統(tǒng)計(jì)、查詢、分析及生成審計(jì)報(bào)表的功能。39制定了相關(guān)策略和流程，控制 所有生產(chǎn)系統(tǒng)的活動(dòng)日志，以無(wú)法及時(shí)發(fā)現(xiàn)信 息安全事件，無(wú)法等級(jí)保護(hù)-系統(tǒng)運(yùn)維-監(jiān)控管理：a) 應(yīng)對(duì)通信線路、主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件的運(yùn)行狀況、日志安全策略和流程支持有效的審核、安全論證分 析和預(yù)防欺詐；設(shè)置了日志監(jiān) 控和管理崗位；制定了日志資 料的安全保護(hù)和調(diào)閱管理制對(duì)信息安全事件 進(jìn)行分析和預(yù)防； 日志被篡改或者 無(wú)意丟失，無(wú)法

37、對(duì)網(wǎng)絡(luò)流量、用戶行為等進(jìn)行監(jiān)測(cè)和報(bào)警，形成記錄并妥善 保存；b) 應(yīng)組織相關(guān)人員定期對(duì)監(jiān)測(cè)和報(bào)警記錄進(jìn)行分析、評(píng) 審，發(fā)現(xiàn)可疑行為，形成分析報(bào)告，并采取必要的應(yīng)對(duì)措卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)度。歷史事件進(jìn)行追 溯。施；c) 應(yīng)建立安全管理中心，對(duì)設(shè)備狀態(tài)、惡意代碼、補(bǔ)丁升 級(jí)、安全審計(jì)等安全相關(guān)事項(xiàng)進(jìn)行集中管理。40交易日志由應(yīng)用軟件和數(shù)據(jù)庫(kù) 對(duì)系統(tǒng)問(wèn)題，非法 等級(jí)保護(hù)-主機(jī)安全-安全審計(jì)；管理系統(tǒng)產(chǎn)生，包括身份嘗試、 操作無(wú)法進(jìn)行記等級(jí)保護(hù)-應(yīng)用安全-安全審計(jì)；交易日志數(shù)據(jù)修改、錯(cuò)誤信息等；交易 錄，對(duì)出現(xiàn)問(wèn)題的 等級(jí)保護(hù)-網(wǎng)絡(luò)安全-安全

38、審計(jì)；日志按照國(guó)家會(huì)計(jì)政策要求予 原因無(wú)法進(jìn)行追等級(jí)保護(hù)-系統(tǒng)運(yùn)維管理-網(wǎng)絡(luò)安全管理；41系統(tǒng)日志42保存和復(fù)查卑微如螻蟻、堅(jiān)強(qiáng)似大象以保存。系統(tǒng)日志由操作系統(tǒng)、數(shù)據(jù)庫(kù) 管理系統(tǒng)、防火墻、入侵檢測(cè) 系統(tǒng)和路由器等生成，包括身 份認(rèn)證嘗試、系統(tǒng)事件、網(wǎng)絡(luò) 事件、錯(cuò)誤信息等；系統(tǒng)和網(wǎng) 絡(luò)日志保存期限按事先的風(fēng)險(xiǎn) 定級(jí)確定，但不能少。銀行應(yīng)保證在日志中包含足夠 的項(xiàng)目，以便有效地完成內(nèi)部 控制、系統(tǒng)故障解決和審計(jì)， 同時(shí)應(yīng)采取適當(dāng)措施保證所有 日志的計(jì)時(shí)同步，并確保其完 整性，有任何的例外情況發(fā)生溯。不完整的日志無(wú) 法對(duì)現(xiàn)有的系統(tǒng) 運(yùn)行情況進(jìn)行監(jiān) 控，無(wú)法對(duì)出現(xiàn)的 各類事件的原因 進(jìn)行追溯；歷史記

39、錄不進(jìn)行合理的 保留導(dǎo)致在出現(xiàn) 問(wèn)題后對(duì)以前的 操作或者問(wèn)題進(jìn) 行查找分析。 不完善的日志記 錄無(wú)法對(duì)審計(jì)提 供足夠的參考；缺 乏日志審核對(duì)隱 藏的操作問(wèn)題無(wú) 法及時(shí)發(fā)現(xiàn)。a) 應(yīng)指定專人對(duì)網(wǎng)絡(luò)進(jìn)行管理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控 記錄的日常維護(hù)和報(bào)警信息分析和處理工作b) 應(yīng)建立網(wǎng)絡(luò)安全管理制度，對(duì)網(wǎng)絡(luò)安全配置、日志保存 時(shí)間、安全策略、升級(jí)與打補(bǔ)丁、口令更新周期等方面作 出規(guī)定等級(jí)保護(hù)-系統(tǒng)運(yùn)維管理-系統(tǒng)安全管理：d) 應(yīng)建立系統(tǒng)安全管理制度，對(duì)系統(tǒng)安全策略、安全配置、 日志管理和日常操作流程等方面作出具體規(guī)定；g) 應(yīng)定期對(duì)運(yùn)行日志和審計(jì)數(shù)據(jù)進(jìn)行分析，以便及時(shí)發(fā)現(xiàn) 異常行為。共享知識(shí)分享快樂(lè)

40、序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)都應(yīng)當(dāng)復(fù)查系統(tǒng)日志。交易日 志或數(shù)據(jù)庫(kù)日志的復(fù)查頻率和 保留周期應(yīng)由信息科技部門(mén)和 有關(guān)業(yè)務(wù)部分共同決定，并報(bào) 信息科技管理委員會(huì)批準(zhǔn)。4344信息分類對(duì)重要信息無(wú)法制定信息分類操作指南和信息 提供足夠有效的 保護(hù)工作流程；信息依據(jù)敏感 保護(hù)，造成重要信 程度進(jìn)行分類，并指定所有人。 息被破壞、篡改、泄露。iso27001：2005 資產(chǎn)管理-分類指南：應(yīng)按照信息的價(jià)值、法律要求及對(duì)組織的敏感程度和關(guān)鍵 程度進(jìn)行分類；iso27001：2005 資產(chǎn)管理-信息標(biāo)識(shí)和處置：應(yīng)制定一套與組織所采用的分類方案一致的信息標(biāo)識(shí)和處 置的程序，并實(shí)施。等級(jí)保護(hù)-數(shù)

41、據(jù)安全-數(shù)據(jù)完整性：a) 應(yīng)能夠檢測(cè)到系統(tǒng)管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在傳 輸過(guò)程中完整性受到破壞，并在檢測(cè)到完整性錯(cuò)誤時(shí)采取信息安全信息加密對(duì)不同類別信息采用相應(yīng)的加 密技術(shù)或密碼設(shè)備；建立密碼 設(shè)備管理規(guī)范制度；管理使用 密碼系統(tǒng)設(shè)備的員工經(jīng)過(guò)專業(yè) 培訓(xùn)和嚴(yán)格審核。沒(méi)有加密的信息 容易被泄露、破 壞、篡改。必要的恢復(fù)措施b) 應(yīng)能夠監(jiān)測(cè)到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù) 在存儲(chǔ)過(guò)程中完整性受到破壞，并在監(jiān)測(cè)到完整性錯(cuò)誤時(shí) 采取必要的恢復(fù)措施等級(jí)保護(hù)-數(shù)據(jù)安全-數(shù)據(jù)保密性：a) 應(yīng)采用加密或其他有效措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信 息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密性b) 應(yīng)采用加密或其他保護(hù)措施實(shí)現(xiàn)

42、系統(tǒng)管理數(shù)據(jù)、鑒別信 息和重要業(yè)務(wù)數(shù)據(jù)存儲(chǔ)保密性等級(jí)保護(hù)-系統(tǒng)運(yùn)維管理-密碼管理：a) 應(yīng)建立密碼使用管理制度，使用符合國(guó)家密碼管理規(guī)定卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)的密碼技術(shù)和產(chǎn)品。4546密鑰管理實(shí)施有效的密鑰管理流程，尤 其是密鑰生命周期管理和證書(shū) 周期管理。機(jī)密信息的加密使用符合國(guó)家密鑰泄露，造成嚴(yán) 重信息安全事件。等級(jí)保護(hù)-系統(tǒng)運(yùn)維管理-密碼管理：a) 應(yīng)建立密碼使用管理制度，使用符合國(guó)家密碼管理規(guī)定 的密碼技術(shù)和產(chǎn)品。等級(jí)保護(hù)-數(shù)據(jù)安全-數(shù)據(jù)完整性；密碼管理局要求的加密技術(shù)和機(jī)密信息泄露，造 等級(jí)保護(hù)-數(shù)據(jù)安全-數(shù)據(jù)保密性；機(jī)密信息

43、安全加密設(shè)備，加密強(qiáng)度和加密效 率滿足信息機(jī)密性和可用性要 求。成嚴(yán)重信息安全 事件。等級(jí)保護(hù)-系統(tǒng)運(yùn)維管理-密碼管理：a) 應(yīng)建立密碼使用管理制度，使用符合國(guó)家密碼管理規(guī)定 的密碼技術(shù)和產(chǎn)品。47客戶敏感信息安 全四、應(yīng)用系統(tǒng)開(kāi)發(fā)、測(cè)試和維護(hù)制定相關(guān)策略和程序，管理客 戶信息的采集、處理、存貯、 傳輸、傳播、備份、恢復(fù)、清 理和銷毀。iso27001：2005 電子商務(wù)服務(wù)-電子商務(wù)：應(yīng)保護(hù)電子商務(wù)中通過(guò)公共網(wǎng)絡(luò)傳輸?shù)男畔?，以防止欺詐、客戶數(shù)據(jù)被泄露， 合同爭(zhēng)議、未授權(quán)的泄漏和修改；破壞和篡改，直接 iso27001：2005 電子商務(wù)服務(wù)-在線交易：造成經(jīng)濟(jì)損失。 應(yīng)保護(hù)在線交易中的信息，

44、以防止不完整的傳輸、路由錯(cuò)誤、未授權(quán)的消息修改、未經(jīng)授權(quán)的泄漏、未經(jīng)授權(quán)的消 息復(fù)制或回復(fù)。序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)48應(yīng)制定策略和流程，治理信息等級(jí)保護(hù)-安全管理制度-管理制度：制度建設(shè)科技項(xiàng)目的立項(xiàng)、優(yōu)先排序、 審批和控制；重大項(xiàng)目必須建 立項(xiàng)目管理框架和工作方案， 包括：職責(zé)的劃分、時(shí)間進(jìn)度、 財(cái)務(wù)預(yù)算管理、質(zhì)量檢測(cè)、風(fēng)項(xiàng)目管理混亂，項(xiàng) 目成本無(wú)法控制， 進(jìn)度無(wú)法掌握，項(xiàng) 目質(zhì)量無(wú)法度量， 導(dǎo)致項(xiàng)目失敗。b) 應(yīng)對(duì)安全管理活動(dòng)中的各類管理內(nèi)容建立安全管理制 度；d) 應(yīng)形成由安全策略、管理制

45、度、操作規(guī)程等構(gòu)成的全面 的信息安全管理制度體系。49險(xiǎn)評(píng)估等。定期向信息科技管理委員會(huì)提等級(jí)保護(hù)-系統(tǒng)建設(shè)管理-工程實(shí)施：項(xiàng)目管理進(jìn)度報(bào)告交重大信息科技項(xiàng)目的進(jìn)度報(bào) 告；進(jìn)度報(bào)告包括更改時(shí)間計(jì) 劃、關(guān)鍵人員或供應(yīng)商的決策 以及主要費(fèi)用項(xiàng)目缺乏統(tǒng)一的 計(jì)劃和安排b) 應(yīng)制定詳細(xì)的工程實(shí)施方案控制實(shí)施過(guò)程，并要求工程 實(shí)施單位能正式地執(zhí)行安全工程過(guò)程；c) 應(yīng)制定工程實(shí)施方面的管理制度，明確說(shuō)明實(shí)施過(guò)程的 控制方法和人員行為準(zhǔn)則。50等級(jí)保護(hù)-系統(tǒng)建設(shè)管理-自行軟件開(kāi)發(fā)：系統(tǒng)開(kāi)發(fā)方法根據(jù)信息科技項(xiàng)目的規(guī)模、性 質(zhì)和復(fù)雜性采用適當(dāng)?shù)南到y(tǒng)開(kāi) 發(fā)方法，控制信息系統(tǒng)的生命 周期；典型的系統(tǒng)生命周期包 括

46、系統(tǒng)分析、設(shè)計(jì)、開(kāi)發(fā)或采 購(gòu)、測(cè)試、試運(yùn)行、部署、維 護(hù)或報(bào)廢。信息科技項(xiàng)目缺 乏有效的過(guò)程管 理和控制b) 應(yīng)制定軟件開(kāi)發(fā)管理制度，明確說(shuō)明開(kāi)發(fā)過(guò)程的控制方 法和人員行為準(zhǔn)則。iso27001-通訊及操作管理-操作程序及職責(zé)-開(kāi)發(fā)、測(cè)試和 運(yùn)營(yíng)設(shè)施的分離：應(yīng)分離開(kāi)發(fā)、測(cè)試和運(yùn)營(yíng)設(shè)施，以降低未授權(quán)訪問(wèn)或?qū)Σ?作系統(tǒng)變更的風(fēng)險(xiǎn)；iso27001-通訊及操作管理-系統(tǒng)規(guī)劃與驗(yàn)收-系統(tǒng)驗(yàn)收： 應(yīng)建立新的信息系統(tǒng)、系統(tǒng)升級(jí)和新版本的驗(yàn)收準(zhǔn)則，并在開(kāi)發(fā)過(guò)程中及接收前進(jìn)行適當(dāng)?shù)南到y(tǒng)測(cè)試。卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)51等級(jí)保護(hù)-系統(tǒng)建設(shè)管理-自行軟件開(kāi)發(fā)

47、：a) 應(yīng)確保開(kāi)發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境物理分開(kāi)，開(kāi)發(fā)人員和 測(cè)試人員分離，測(cè)試數(shù)據(jù)和測(cè)試結(jié)果受到控制b) 應(yīng)制定軟件開(kāi)發(fā)管理制度，明確說(shuō)明開(kāi)發(fā)過(guò)程的控制方不嚴(yán)格的開(kāi)發(fā)過(guò) 法和人員行為準(zhǔn)則風(fēng)險(xiǎn)管理或者內(nèi) 部審計(jì)的參與商業(yè)銀行在進(jìn)行大規(guī)模和大范 圍的系統(tǒng)開(kāi)發(fā)時(shí)，應(yīng)要求內(nèi)部 審計(jì)部門(mén)或信息科技風(fēng)險(xiǎn)管理 部分的參與，保證系統(tǒng)開(kāi)發(fā)符 合商業(yè)銀行信息科技風(fēng)險(xiǎn)標(biāo) 準(zhǔn)。程使應(yīng)用系統(tǒng)存 c) 應(yīng)制定代碼編寫(xiě)安全規(guī)范，要求開(kāi)發(fā)人員參照規(guī)范編寫(xiě) 在安全弱點(diǎn)，應(yīng)用 代碼系統(tǒng)問(wèn)題無(wú)法在 d) 應(yīng)確保提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南，并由專人 項(xiàng)目建設(shè)過(guò)程中 負(fù)責(zé)保管及時(shí)發(fā)現(xiàn)，直接導(dǎo) e) 應(yīng)確保對(duì)程序資源庫(kù)的修改、更新、

48、發(fā)布進(jìn)行授權(quán)和批 致系統(tǒng)運(yùn)行失敗、 準(zhǔn)系統(tǒng)中重要數(shù)據(jù) 等級(jí)保護(hù)-系統(tǒng)建設(shè)管理-測(cè)試驗(yàn)收：被破壞、丟失。 b) 在測(cè)試驗(yàn)收前根據(jù)設(shè)計(jì)方案或合同要求等制定測(cè)試驗(yàn)收方案，在測(cè)試驗(yàn)收過(guò)程中應(yīng)詳細(xì)記錄測(cè)試驗(yàn)收結(jié)果，并 形成測(cè)試驗(yàn)收?qǐng)?bào)告；c) 應(yīng)對(duì)系統(tǒng)測(cè)試驗(yàn)收的控制方法和人員行為準(zhǔn)則進(jìn)行書(shū) 面規(guī)定。52文檔管理格式標(biāo)準(zhǔn)規(guī)范并明確項(xiàng)目資料文檔的管 理職責(zé)、資料文檔的起草和審 批職責(zé)、資料文檔格式標(biāo)準(zhǔn)化 規(guī)范。軟件質(zhì)量無(wú)法保 證，對(duì)軟件質(zhì)量的 改進(jìn)等無(wú)法有效 實(shí)施。等級(jí)保護(hù)-系統(tǒng)建設(shè)管理-自行軟件開(kāi)發(fā)：b) 應(yīng)制定軟件開(kāi)發(fā)管理制度，明確說(shuō)明開(kāi)發(fā)過(guò)程的控制方 法和人員行為準(zhǔn)則d) 應(yīng)確保提供軟件設(shè)計(jì)的相關(guān)文檔和

49、使用指南，并由專人 負(fù)責(zé)保管。卑微如螻蟻、堅(jiān)強(qiáng)似大象共享知識(shí)分享快樂(lè)序號(hào)風(fēng)險(xiǎn)類別風(fēng)險(xiǎn)點(diǎn)控制目標(biāo)風(fēng)險(xiǎn)分析參考依據(jù)53等級(jí)保護(hù)-系統(tǒng)建設(shè)管理-自行軟件開(kāi)發(fā)：d) 應(yīng)確保提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南，并由專人程序文檔完整性程序文檔內(nèi)容包括：程序設(shè)計(jì) 和代碼標(biāo)準(zhǔn)、程序描述、程序 設(shè)計(jì)資料、代碼清單、源代碼 命名規(guī)則、系統(tǒng)操作指南等。項(xiàng)目程序文檔的 缺失，可能會(huì)致使 整個(gè)項(xiàng)目維護(hù)困 難、升級(jí)困難等問(wèn) 題負(fù)責(zé)保管。等級(jí)保護(hù)-系統(tǒng)建設(shè)管理-外包軟件開(kāi)發(fā)：c) 應(yīng)要求開(kāi)發(fā)單位提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南。 等級(jí)保護(hù)-系統(tǒng)建設(shè)管理-系統(tǒng)交付：a) 應(yīng)制定詳細(xì)的系統(tǒng)交付清單，并根據(jù)交付清單對(duì)所交接 的設(shè)備

50、、軟件和文檔等進(jìn)行清點(diǎn)；54c) 應(yīng)確保提供系統(tǒng)建設(shè)過(guò)程中的文檔和指導(dǎo)用戶進(jìn)行系 統(tǒng)運(yùn)行維護(hù)的文檔。等級(jí)保護(hù)-系統(tǒng)建設(shè)管理-工程實(shí)施：項(xiàng)目文檔完整性項(xiàng)目文檔內(nèi)容包括：項(xiàng)目需求、 可行性分析、階段實(shí)施記錄（啟 動(dòng)、計(jì)劃、設(shè)計(jì)、開(kāi)發(fā)、測(cè)試、 實(shí)施、后評(píng)價(jià)等）。項(xiàng)目文檔的不完 善，增加了項(xiàng)目失 敗的可能性b) 應(yīng)制定詳細(xì)的工程實(shí)施方案控制實(shí)施過(guò)程，并要求工程 實(shí)施單位能正式地執(zhí)行安全工程過(guò)程。等級(jí)保護(hù)-系統(tǒng)建設(shè)管理-外包軟件開(kāi)發(fā)：a) 應(yīng)根據(jù)開(kāi)發(fā)需求檢測(cè)軟件質(zhì)量；55c) 應(yīng)要求開(kāi)發(fā)單位提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南。 等級(jí)保護(hù)-系統(tǒng)建設(shè)管理-自行軟件開(kāi)發(fā)：系統(tǒng)測(cè)試開(kāi)發(fā)環(huán)境與測(cè)試 環(huán)境的分離保證生產(chǎn)系統(tǒng)與開(kāi)發(fā)系統(tǒng)、測(cè) 試系統(tǒng)相分離；生產(chǎn)系統(tǒng)與開(kāi) 發(fā)系統(tǒng)、測(cè)試系統(tǒng)的管理職能 相分離。影響生產(chǎn)系統(tǒng)的 穩(wěn)定性，導(dǎo)致數(shù)據(jù) 泄漏等安全事件 的發(fā)