關(guān)于信息科技風(fēng)險防控工作的自查報告
**銀行關(guān)于信息科技風(fēng)險
防控工作自查報告
自201*年數(shù)據(jù)大集中以來,我行依托省聯(lián)社的科技支撐,各項信息管理系統(tǒng)逐步完善,初步建成了信息科技支撐系統(tǒng),由省聯(lián)社提供的核心系統(tǒng)對日常業(yè)務(wù)進行集中處理,其中核心數(shù)據(jù)的備份、系統(tǒng)運行管理均由省聯(lián)社統(tǒng)一管理,我行工作重點在于對網(wǎng)絡(luò)設(shè)備、通訊線路及柜面終端設(shè)備的正常運行進行科技支撐,因此我行在信息科技風(fēng)險管理方面的風(fēng)險較少。目前,根據(jù)我行現(xiàn)有業(yè)務(wù)要求和信息科技發(fā)展的規(guī)劃,要求我們對信息管理、人員、技術(shù)等方面提升信息安全管理水平和管理能力,建立管理與技術(shù)相結(jié)合的全方位的風(fēng)險管理體系。具體來說,主要采取以下幾方面的措施開展信息安全工作。
一、將信息科技風(fēng)險管理和信息安全納入我行“十二五”信息科技發(fā)展規(guī)劃。為了提高信息科技風(fēng)險管理能力,提升信息科技對業(yè)務(wù)戰(zhàn)略發(fā)展的可持續(xù)支持能力,我行于年初制定了“十二五”信息科技發(fā)展規(guī)劃,信息科技風(fēng)險管理和信息安全成為科技規(guī)劃的重要組成部分之一。科技規(guī)劃中明確了信息科技發(fā)展方向,強調(diào)了科技基礎(chǔ)建設(shè),提高信息科技風(fēng)險管理水平,有效防范信息科技風(fēng)險。
二、完善信息科技治理,大力開展信息科技風(fēng)險管理制度建設(shè)。從只注重提高硬件配置水平逐步轉(zhuǎn)變?yōu)橥瑫r注重軟件投入和業(yè)務(wù)管理的綜合管理。例如,以前我們在信息安全管理普遍存在一個誤區(qū),人為部署了高性能的硬件設(shè)備、實現(xiàn)網(wǎng)絡(luò)設(shè)備雙機熱備、內(nèi)外網(wǎng)嚴格的物理隔離、做好了生產(chǎn)運行風(fēng)險控制,就算完成了信息科技風(fēng)險控制的工作,其實不然,因為信息安全不單是技術(shù)問題,更是管理問題,只有持續(xù)完善信息科技治理架構(gòu),從組織架構(gòu)和制度等管理層面采取防范措施,才能真正實現(xiàn)信息安全管理的目標。
三、我行在信息科技風(fēng)險治理方面的措施主要包括三方面。
a)認真學(xué)習(xí)和領(lǐng)會監(jiān)管機構(gòu)對信息科技風(fēng)險管理的要求,吸收借鑒同業(yè)經(jīng)驗,將監(jiān)管要求和同業(yè)經(jīng)驗轉(zhuǎn)化為行內(nèi)工作規(guī)范,建立系統(tǒng)完善的信息科技風(fēng)險管理組織架構(gòu)和機制,建立以電子銀行部、合規(guī)部、稽核部為主體的信息科技風(fēng)險三道防線;成立以主管領(lǐng)導(dǎo)為組長的信息系統(tǒng)突發(fā)事件應(yīng)急小組、應(yīng)急處置小組和科技支持保障小組,做好突發(fā)事件應(yīng)急處理。
b)建立健全信息科技規(guī)章制度。為了做好制度建設(shè),我行領(lǐng)導(dǎo)高度重視,以我行流程銀行建設(shè)為契機,完善了相關(guān)制度,理順了相關(guān)制度的制定、修訂、廢止流程和審批制度流程,切實抓好制度建設(shè)。
c)采取有效的信息科技風(fēng)險管理的制度,防范和化解信
息安全風(fēng)險。首先,完善基礎(chǔ)設(shè)施建設(shè),對中心機房進行改造,更換老舊的硬件設(shè)備,提高硬件設(shè)備防范風(fēng)險的能力;二是改造電源環(huán)境,做好業(yè)務(wù)連續(xù)性建設(shè),為基層網(wǎng)點更換UPS電源;三是提升運行管理的水平,推進運行流程化和集中化管理,防范操作風(fēng)險,確保信息系統(tǒng)的安全穩(wěn)定運行。四是完善應(yīng)急預(yù)案,積極配合省聯(lián)社開展應(yīng)急演練,切實提高風(fēng)險防控水平。
四、嚴格設(shè)備接入管理,提高設(shè)備管理水平。近日,省聯(lián)社推出了桌面管理系統(tǒng),該系統(tǒng)提供全面高效的計算機設(shè)備管理解決辦法,可以監(jiān)控行內(nèi)IT環(huán)境的變化,保障計算機設(shè)備正常運行,大幅度降低運行維護成本,并可提供詳盡的統(tǒng)計報表輸出,綜合反映軟硬件信息變動、當前配置等,幫助總行管理好全轄計算機設(shè)備。按照省聯(lián)社的部署,該系統(tǒng)計劃于下半年上線,屆時將有力的提高我行信息科技管理的效率和風(fēng)險管控水平。
五、軟件正版化是今年我行信息科技工作的一項重點內(nèi)容。根據(jù)aa省軟件正版化工作聯(lián)席會議下發(fā)的《關(guān)于推進中小金融機構(gòu)使用正版軟件工作的通知》()精神,結(jié)合我行的實際情況,為加快對盜版或未經(jīng)授權(quán)、許可軟件的清理換裝工作,推進我行軟件正版化工作,確保我行軟件正版化工作目標的實現(xiàn),結(jié)合我行實際情況,制定了《**銀行軟件正版化工作實施方案》,根據(jù)方案的進度安排,我行已于本月進入更換正版軟件和培訓(xùn)階段。
信息科技風(fēng)險防控是長期而艱巨的工作,我行將按照上級有
關(guān)部門的要求,加強日常管理,提高業(yè)務(wù)水平,將信息科技風(fēng)險防控作為工作的重中之重,保證各項業(yè)務(wù)的安全穩(wěn)定運行。
擴展閱讀:信息科技風(fēng)險自查報告
信息科技風(fēng)險自查報告
**農(nóng)商行
按照上級領(lǐng)導(dǎo)的指示,我行認真貫徹《關(guān)于加強201*年重要時期金融信息安全保障工作的通知》(銀發(fā)[201*]57號文件)精神,為充分做好重要時期金融網(wǎng)絡(luò)和信息系統(tǒng)安全保障工作,防范我行信息科技風(fēng)險,保障計算機系統(tǒng)運行和操作安全,建立和完善信息科技風(fēng)險管理機制。對我行的信息科技工作進行了一次全面的自我評估及審查,F(xiàn)將審查情況報告如下:
一、組織架構(gòu)、制度建設(shè)及管理情況
1.信息科技治理組織架構(gòu)
(1)我行在董事會下設(shè)科技信息安全管理委員會,行長室下設(shè)信息科技管理委員會,信息安全管理委員會下設(shè)應(yīng)急處理領(lǐng)導(dǎo)小組。
科技信息安全管理委員會全面負責(zé)領(lǐng)導(dǎo)和協(xié)調(diào)本行科技信息安全。
科技管理委員會負責(zé)統(tǒng)一規(guī)劃全行的信息化建設(shè),指導(dǎo)和監(jiān)督科技部門的各項工作,審議全行計算機網(wǎng)絡(luò)的設(shè)計方案、軟件項目招標、設(shè)備招標和統(tǒng)一采購及日常管理中重大問題的研究和建議。信息系統(tǒng)應(yīng)急處理領(lǐng)導(dǎo)小組負責(zé)組織制定全轄應(yīng)急處置的實施細則,統(tǒng)一組織、協(xié)調(diào)、指導(dǎo)、檢查全轄應(yīng)急處置的管理;負責(zé)全轄信息系統(tǒng)突發(fā)事件的應(yīng)急指揮、組織協(xié)調(diào)和過程控制
(2)我行成立了科技管理部和科技開發(fā)部,做到科技運維和科技開發(fā)有效分離,加強了信息科技治理。
(3)科技風(fēng)險審計工作由我行稽核審計部完成,信息科技風(fēng)險管理由風(fēng)險管理部門完成。
(4)在支行層面則設(shè)立合規(guī)員,負責(zé)各支行科技信息相關(guān)風(fēng)險監(jiān)控和報告2.信息科技管理制度建設(shè)
(1)安全管理
對安全管理活動中的各類管理內(nèi)容建立安全管理制度,制定了由安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理總則《江蘇**農(nóng)村商業(yè)銀行計算機信息系統(tǒng)安全管理制度》,安全管理制度經(jīng)信息安全領(lǐng)導(dǎo)小組審定,審定周期為一年一次,并且及時發(fā)現(xiàn)缺漏或不足對制度進行修訂,并有修訂記錄
(2)事件管理
制訂了安全事件報告和處置管理制度《信息安全事件管理制度》明確安全事件類型,規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復(fù)的管理職責(zé),并根據(jù)國家相關(guān)管理部門對計算機安全事件等級劃分方法和安全事件對本系統(tǒng)產(chǎn)生的影響,對安全事件進行等級劃分,制定安全事件報告和響應(yīng)處理程序,確定事件的報告流程,響應(yīng)和處置方法等,并對發(fā)現(xiàn)的安全弱點和可疑事件有《異常情況上報規(guī)定》
(3)應(yīng)急處理
建立較為完善的信息系統(tǒng)應(yīng)急恢復(fù)策略《江蘇**農(nóng)村商業(yè)銀行計算機信息系統(tǒng)應(yīng)急處理方案》,對各業(yè)務(wù)信息系統(tǒng)進行分類,按照重要程度,確定保障級別,制定了各信息系統(tǒng)突發(fā)事件專項應(yīng)急預(yù)案。制定數(shù)據(jù)中心、災(zāi)備中心機房關(guān)鍵基礎(chǔ)設(shè)施專項應(yīng)急預(yù)案。
(4)安全操作規(guī)范及管理流程
我行有完整的信息安全管理流程,控制信息安全管理。包括介質(zhì)管理、網(wǎng)絡(luò)管理、維護及故障處理制度、軟硬件變更流程、備份管理、ATM安全管理、機房管理、監(jiān)控管理、密鑰管理、巡檢制度等等科技管理部各項流程。
(5)崗位職責(zé)與分工
配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等。每個崗位設(shè)立2個以上操作維護人員。重要系統(tǒng)均配備A/B角,A/B角定期輪換。明確崗位職責(zé)《科技管理部崗位設(shè)置》《科技開發(fā)部工作職責(zé)》《科技管理部崗位百分考核辦法》(6)密級管理制度
錄用人員簽署保密協(xié)議;制定人員離崗管理流程規(guī)范,嚴格規(guī)范人員離崗過程,及時終止離崗員工的所有訪問權(quán)限;與外包商簽訂保密協(xié)議;有密級的安全管理制度,注明安全管理制度密級,并進行密級管理。
二、信息系統(tǒng)的技術(shù)措施情況
1.物理和環(huán)境建設(shè)
(1)機房的物理訪問控制:機房實現(xiàn)門禁控制,嚴防外部人員進入機房擅自操作。
(2)系統(tǒng)密碼均由專門人員掌管,計算機終端無人看管時鎖定;
(3)機房采用集中監(jiān)控,監(jiān)控清晰全面,機房環(huán)境設(shè)施均有專人崗位值班管理,參數(shù)實行24小時不間斷監(jiān)控,崗位人員具備管理監(jiān)控專業(yè)素質(zhì)。
(4)機房供電系統(tǒng)均采用雙路UPS供電,線路冗余性好,負載能力強,完全能夠滿足機房電力需求。
(5)機房空調(diào)系統(tǒng)的有效性和冗余性,給排風(fēng)系統(tǒng)的有效性:機房空調(diào)系統(tǒng)安全有效,給排風(fēng)系統(tǒng)工作正常。
(6)中心機房和災(zāi)備機房均有配套防盜竊、防雷、防火、防水、防靜電、溫濕度控制、電磁保護等措施,確保機房正常運轉(zhuǎn)。
(7)機房技術(shù)文檔完備、有效:制定了《**農(nóng)村商業(yè)銀行計算機信息系統(tǒng)安全管理制度》、《科技部信息部中心機房監(jiān)控制度》,《**農(nóng)村商業(yè)銀行計算機系統(tǒng)運行維護管理制度》為機房維護制定詳細的規(guī)范文檔。2.網(wǎng)絡(luò)管理
我行根據(jù)文件要求,對重要網(wǎng)絡(luò)設(shè)施(包括網(wǎng)絡(luò)傳輸線路、網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)安全設(shè)備)進行了詳細的自查,情況如下:
1.網(wǎng)絡(luò)安全策略
(1)內(nèi)網(wǎng)的安全管理情況;
內(nèi)網(wǎng)網(wǎng)絡(luò)安全管理:外聯(lián)單位互聯(lián)安全保護措施:通過兩臺PIX525防火墻連接外聯(lián)單位,兩臺防火墻通過FAILOVER形成熱備,在防火墻上配置安全策略,嚴格控制進出生產(chǎn)網(wǎng)的數(shù)據(jù)。
在對外路由器上設(shè)置過濾規(guī)則,形成防護網(wǎng)。使用過濾規(guī)則設(shè)置功能,作過濾防護,形成銀行網(wǎng)絡(luò)與外聯(lián)單位之間的第一道防護網(wǎng)。正確地配置和使用防火墻。防火墻功能正確實施的關(guān)鍵是其安全策略的配置和管理,為企業(yè)的重要數(shù)據(jù)和內(nèi)部網(wǎng)絡(luò)系統(tǒng)提供了一層可靠的安全保障。
使用地址轉(zhuǎn)換的通信策略,防火墻對內(nèi)部地址進行轉(zhuǎn)換,對外映射為一個虛擬地址。
(2)外網(wǎng)的安全管理情況;
辦公網(wǎng)網(wǎng)絡(luò)安全建設(shè):天融信防火墻安全防護建設(shè):在**農(nóng)商行辦公網(wǎng)INTERNET出口部署兩臺天融信防火墻提供了強大的網(wǎng)絡(luò)應(yīng)用控制功能。用戶可以輕松的針對一些典型網(wǎng)絡(luò)應(yīng)用,如MSN,QQ、Skype、即時通信應(yīng)用,以及BT、訊雷等p2p應(yīng)用實行靈活的訪問控制策略,如禁止、限時、乃至流量控制。還提供了定制功能,可以對用戶所關(guān)心的網(wǎng)絡(luò)應(yīng)用進行全面控制。
能夠在核心網(wǎng)絡(luò)中同所有網(wǎng)絡(luò)設(shè)備一起構(gòu)建高可用性及高安全性的拓撲結(jié)構(gòu),自身能夠?qū)崿F(xiàn)A/A部署和狀態(tài)同步,能夠?qū)崿F(xiàn)動態(tài)的鏈路切換,同時提供了電源冗余功能,最大限度地滿足了網(wǎng)絡(luò)的健壯性及穩(wěn)定性,保證了整個網(wǎng)絡(luò)的不間斷工作。
(3)加密技術(shù)應(yīng)用和私鑰的管理情況;
ARRY設(shè)備遠程VPN安全保護建設(shè):**農(nóng)商行辦公網(wǎng)已經(jīng)部署了VPN,INTERNET用戶可以連接到內(nèi)部辦公網(wǎng)。采用VPN技術(shù),加強信息傳輸過程中的安全防范,可以在公共Internet網(wǎng)絡(luò)上提供安全通信。是企業(yè)遠程用戶、業(yè)務(wù)合作伙伴和供應(yīng)商盡快實現(xiàn)通信和共享信息理想的安全性解決方案。根據(jù)業(yè)務(wù)系統(tǒng)的特點選擇對業(yè)務(wù)數(shù)據(jù)進行傳輸加密;對于網(wǎng)絡(luò)設(shè)備認證過程中敏感的信息進行加密。制定了《**農(nóng)村商業(yè)銀行科技部密鑰管理制度》。(4)防火墻的設(shè)置、維護和管理情況;
在網(wǎng)銀系統(tǒng)設(shè)置兩層物理防火墻,將網(wǎng)絡(luò)分為三個邏輯區(qū)域,及非授信區(qū)、;饏^(qū)及安全區(qū)。非授信區(qū)可理解為Internet,即存在潛在威脅的區(qū)域;停火區(qū)(DMZ)內(nèi)部署網(wǎng)銀Web服務(wù)器、RA服務(wù)器以及其它直接向外部提供服務(wù)或者進行通訊的服務(wù)器,如Mail服務(wù)器、防病毒服務(wù)器等;安全區(qū)用戶部署網(wǎng)銀應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器、通信服務(wù)器等核心部件;
(5)、設(shè)置入侵檢測系統(tǒng)。
入侵檢測用在網(wǎng)絡(luò)關(guān)鍵節(jié)點設(shè)置探頭以偵測網(wǎng)絡(luò)數(shù)據(jù)中。
2.網(wǎng)絡(luò)服務(wù)連續(xù)性、冗余性
1.所有重要通信線路均有備份線路且采用不同運營商,確保網(wǎng)絡(luò)無斷點。
2.網(wǎng)絡(luò)設(shè)備的冗余性:網(wǎng)絡(luò)設(shè)備均有備份。核心網(wǎng)絡(luò)設(shè)備,核心生產(chǎn)系統(tǒng)設(shè)備均采用雙機熱備,同城設(shè)有災(zāi)備機房,確保關(guān)鍵生產(chǎn)設(shè)備運行的可靠性
3.訪問線路的帶寬完全能夠滿足各信息系統(tǒng)的帶寬需求,無網(wǎng)絡(luò)擁塞現(xiàn)象。
4.網(wǎng)絡(luò)設(shè)備管理配置均由專人分管負責(zé),確保合理操作,保障網(wǎng)絡(luò)通暢、安全;5.日志服務(wù)器暫無,有網(wǎng)絡(luò)日志,但無集中審計,需加強網(wǎng)絡(luò)設(shè)備日志的安全審計。3.信息系統(tǒng)可靠性
我行根據(jù)文件要求,對關(guān)鍵服務(wù)器、存儲器運行的可靠性,生產(chǎn)系統(tǒng)資源冗余度等進行了全面自查,情況如下:
1.系統(tǒng)重要設(shè)備和組件的冗余備份
經(jīng)自查,關(guān)鍵生產(chǎn)設(shè)備均采用雙電源,服務(wù)器有UPS電源支持,且有RAID保護。系統(tǒng)具備較高的可用性,所有前置系統(tǒng)都有備機,且定期切換演練,系統(tǒng)重要設(shè)備和組件均有相應(yīng)的定時備份。
2.制定各系統(tǒng)的應(yīng)急預(yù)案,定期對預(yù)案修訂和培訓(xùn),目前,我行針對世博會演練了信貸系統(tǒng)切換,中心機房供電演練,影像支付系統(tǒng)演練,網(wǎng)銀系統(tǒng)惡意攻擊模擬演練。
3.設(shè)備和系統(tǒng)的維護和升級管理
設(shè)備、系統(tǒng)均有專人維護管理,部分設(shè)備、系統(tǒng)聘請專業(yè)公司人員進行升級維護,崗位人員均具備相關(guān)素質(zhì),并實行AB角色。
4.對外包系統(tǒng)要求開發(fā)商要對我行技術(shù)人員進行詳細的日常運行、維護培訓(xùn),把相關(guān)技術(shù)移交給我行技術(shù)人員,對涉及二次開發(fā)的系統(tǒng)要求開發(fā)商提供完整的二次開發(fā)手冊,培訓(xùn)我行技術(shù)人員掌握二次開發(fā)技術(shù)5.系統(tǒng)軟件的用戶授權(quán)及鑒別認證措施:
系統(tǒng)軟件用戶密碼相關(guān)人員各自保管,重要系統(tǒng)管理密碼實行分左右手密碼保管原則,系統(tǒng)軟件用戶訪問實現(xiàn)權(quán)限控制,各級人員只能進行權(quán)限內(nèi)操作。
6.系統(tǒng)變更管理:
制定了變更管理的主要準則和規(guī)章制度,變更管理的審批授權(quán)機制和工作流程;對變更管理進行登記、備案和存檔,制定了非計劃性緊急變更的實施方案、備份和恢復(fù)。
7.對系統(tǒng)日志及操作行為日志進行監(jiān)察審計,確保系統(tǒng)穩(wěn)定運行
8.系統(tǒng)容量管理計劃
系統(tǒng)處理容量增長趨勢完全滿足增量業(yè)務(wù)需求,并有適度冗余。
9.補丁更新
及時關(guān)注系統(tǒng)安全漏洞最新情況,及時對新發(fā)現(xiàn)的安全漏洞打上相關(guān)的安全補丁。經(jīng)檢查當前系統(tǒng)已是最新最完整版本,已安裝了最新補丁
10.病毒、惡意代碼的安全防護
系統(tǒng)均安裝病毒查殺軟件,對病毒、惡意代碼進行安全防護。同時嚴格控制操作人員在機器上運行可能攜帶惡意代碼、病毒的腳本的外來第三方軟件
11.系統(tǒng)安全配置檢查定期巡檢,對系統(tǒng)的安全配置實行不定期檢測,對可能存在的隱患進行排除。
4.應(yīng)用安全
1.業(yè)務(wù)應(yīng)用系統(tǒng)的用戶授權(quán)及鑒別認證措施
業(yè)務(wù)應(yīng)用系統(tǒng)用戶密碼相關(guān)業(yè)務(wù)人員各自保管,通過操作號和密碼進行身份鑒別認證。人員離開時應(yīng)設(shè)置屏幕密碼保護或退出到登陸狀態(tài)。
2.業(yè)務(wù)應(yīng)用系統(tǒng)的用戶訪問控制
系統(tǒng)軟件用戶訪問實現(xiàn)權(quán)限控制,各級人員只能進行權(quán)限內(nèi)操作
4.數(shù)據(jù)安全、備份可用性
1.數(shù)據(jù)備份策略及備份數(shù)據(jù)的可用性
(1)對各應(yīng)用系統(tǒng)指定相應(yīng)備份策略,指定不同級別的具體備份操作,每次備份完畢應(yīng)檢查備份數(shù)據(jù)的有效性,并異地妥善保管好磁介質(zhì),重要數(shù)據(jù)永久保存
(2)應(yīng)定期執(zhí)行恢復(fù)程序,檢查和測試備份介質(zhì)的有效性,確?梢栽诨謴(fù)程序規(guī)定的時間內(nèi)完成備份的恢復(fù)。
(3)不定期對數(shù)據(jù)進行抽檢,與業(yè)務(wù)所在日期數(shù)據(jù)進行比對核實。并有應(yīng)急恢復(fù)預(yù)案,及同城異地災(zāi)備系統(tǒng)確保數(shù)據(jù)恢復(fù)性。
2.數(shù)據(jù)安全性(1)敏感數(shù)據(jù)的傳輸和存儲加密:
敏感數(shù)據(jù)傳輸實行加密管理,存儲的一些敏感數(shù)據(jù)實行加密亂碼顯示。
(2)重要業(yè)務(wù)數(shù)據(jù)的通信完整性檢測重要業(yè)務(wù)數(shù)據(jù)通信檢測完整、正常。
(3)重要業(yè)務(wù)數(shù)據(jù)的備份策略及恢復(fù)測試機制重要業(yè)務(wù)數(shù)據(jù)定時備份,專人存儲保管,有完整的應(yīng)急恢復(fù)預(yù)案。
(4)建立了同城異地災(zāi)備中心,并制定了《江蘇**農(nóng)村商業(yè)銀行異地容災(zāi)項目災(zāi)難恢復(fù)計劃書》,內(nèi)容包括危險級別的定義劃分、決策流程、災(zāi)難恢復(fù)團隊、日常備份和恢復(fù)流程、災(zāi)難響應(yīng)和行動流程、災(zāi)難切換流程、災(zāi)備系統(tǒng)回切流程、災(zāi)難恢復(fù)計劃的測試、維護等。還包含了涉及系統(tǒng)設(shè)備的具體清單、操作步驟等,預(yù)計RTO為6小時以內(nèi),RPO較低。
5.運行維護監(jiān)控系統(tǒng)
我行根據(jù)文件要求,對信息系統(tǒng)的監(jiān)測預(yù)警進行了全面自查,情況如下:
1.監(jiān)測預(yù)警制度、流程及自動化監(jiān)控平臺
已建立完善監(jiān)測預(yù)警制度、流程,機房環(huán)境、參數(shù),系統(tǒng)的運行狀況,CPU使用情況、文件系統(tǒng)使用情況等均實現(xiàn)自動化監(jiān)控。
2.監(jiān)測預(yù)警組織結(jié)構(gòu)及人員設(shè)置
每天有人員24小時值班,檢查系統(tǒng)及網(wǎng)絡(luò)運行狀況,及時發(fā)現(xiàn)問題,監(jiān)測預(yù)警專人負責(zé),按照警報級別逐級上報,確保故障的及時排除。
3.監(jiān)測預(yù)警日志
設(shè)立監(jiān)控日志,每日由監(jiān)測預(yù)警人員負責(zé)記錄。4.監(jiān)測預(yù)警文檔的完備性
有監(jiān)測預(yù)警文檔說明,但不夠完善。
5.與電力供應(yīng)部門、網(wǎng)絡(luò)供應(yīng)商、公安部門等外部機構(gòu)均有相應(yīng)的應(yīng)急聯(lián)動機制,我行正在實施保衛(wèi)部網(wǎng)點聲光聯(lián)動報警,做到入侵報警設(shè)施與照明、視頻安防監(jiān)控及聲音復(fù)核等設(shè)備聯(lián)動
三、不足和改進方法
1.需將管理與技術(shù)相結(jié)合,進一步加強信息安全管理手段
從IT風(fēng)險管理手段來看,部分系統(tǒng)的風(fēng)險控制不夠先進,缺乏專業(yè)的風(fēng)險技術(shù)支持,事前預(yù)防作用有限,事中控制不夠。缺乏對科技風(fēng)險的集中審計。本行將引進AAA統(tǒng)一認證管理系統(tǒng),加強系統(tǒng)用戶的授權(quán),權(quán)限控制和賬號管理。架設(shè)日志服務(wù)器,對系統(tǒng)日志進行集中收集和審計。通過平臺對所有用戶進行統(tǒng)一的授權(quán)。采用基于角色的授權(quán)機制,按照內(nèi)部的組織結(jié)構(gòu)劃分角色,并為用戶綁定角色。對于不同的角色分配不同應(yīng)用系統(tǒng)的訪問權(quán)限。平臺依靠記錄追蹤用戶和管理人員的訪問過程,建立一套全面的、有效的回溯和追查機制。可以實時監(jiān)測用戶對各應(yīng)用系統(tǒng)的訪問狀態(tài),及時發(fā)現(xiàn)非法訪問事件,對出現(xiàn)的問題進行事后追溯和責(zé)任追究提供實證。通過對系統(tǒng)運行狀態(tài)實時監(jiān)控審計,增強系統(tǒng)的可維護性。
2.進一步完善計算機系統(tǒng)安全管理制度
本行已經(jīng)在內(nèi)部建立并健全了一系列的計算機系統(tǒng)安全管理制度,并由稽核部門對銀行計算機系統(tǒng)進行專項稽核,但未配備專門的稽核人員,在廣度和深度上不夠,因此對照新指引的精神,從組織上保證信息風(fēng)險有具體人員來承擔(dān)責(zé)任,強化執(zhí)行力和合規(guī)性。將日常信息風(fēng)險管理從傳統(tǒng)的檢查模式逐步過渡到基于評估、規(guī)劃、執(zhí)行和監(jiān)督全面循環(huán)改進的模式。制訂詳細的IT風(fēng)險管理架構(gòu),確立IT服務(wù)管理與IT風(fēng)險管理的關(guān)系,明確IT風(fēng)險管理的范圍、職責(zé),制訂符合銀行實際情況的管理流程,出臺可操作性強的安全技術(shù)規(guī)范,加強開發(fā)過程的風(fēng)險控制。從而有效地防范科技風(fēng)險。
友情提示:本文中關(guān)于《關(guān)于信息科技風(fēng)險防控工作的自查報告》給出的范例僅供您參考拓展思維使用,關(guān)于信息科技風(fēng)險防控工作的自查報告:該篇文章建議您自主創(chuàng)作。
來源:網(wǎng)絡(luò)整理 免責(zé)聲明:本文僅限學(xué)習(xí)分享,如產(chǎn)生版權(quán)問題,請聯(lián)系我們及時刪除。