電子銀行安全評(píng)估

《電子銀行安全評(píng)估》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫(kù)。

1、項(xiàng)目概述實(shí)施方案時(shí)間及人員安排提綱1項(xiàng)目概述>>>背景電子銀行帶來(lái)的發(fā)展機(jī)遇與挑戰(zhàn)。服務(wù)觸角向客戶延伸，拓展了業(yè)務(wù)渠道，極大地方便了客戶。新技術(shù)的運(yùn)用增加了一些傳統(tǒng)風(fēng)險(xiǎn)，同時(shí)帶來(lái)了另外一些新的風(fēng)險(xiǎn)。戰(zhàn)略風(fēng)險(xiǎn)信用風(fēng)險(xiǎn)流動(dòng)性、利率、價(jià)格/市場(chǎng)風(fēng)險(xiǎn)交易或操作風(fēng)險(xiǎn)符合性/法律風(fēng)險(xiǎn)聲譽(yù)風(fēng)險(xiǎn)為管理電子銀行安全風(fēng)險(xiǎn)，一系列行業(yè)規(guī)章制度標(biāo)準(zhǔn)指南出臺(tái)。巴塞爾銀行監(jiān)管委員會(huì)。中國(guó)銀監(jiān)會(huì)。我行初步完成了電子銀行系統(tǒng)開(kāi)發(fā)與建設(shè)，需要了解系統(tǒng)安全狀態(tài)。安全所處的位置。與相關(guān)行業(yè)規(guī)章制度標(biāo)準(zhǔn)指南的符合性。2掌握電子銀行系統(tǒng)

2、的應(yīng)用及安全狀況；按照銀監(jiān)會(huì)相關(guān)要求完成電子銀行系統(tǒng)的安全評(píng)估；提出改進(jìn)建議或方案。項(xiàng)目概述>>>目標(biāo)3項(xiàng)目概述>>>評(píng)估參考依據(jù)國(guó)家標(biāo)準(zhǔn)《信息安全風(fēng)險(xiǎn)評(píng)估指南》《信息安全風(fēng)險(xiǎn)管理指南》銀監(jiān)會(huì)規(guī)章制度指南《商業(yè)銀行內(nèi)部控制評(píng)價(jià)辦法》《銀行業(yè)金融機(jī)構(gòu)信息系統(tǒng)風(fēng)險(xiǎn)管理指引》《銀行業(yè)金融機(jī)構(gòu)內(nèi)部審計(jì)指引》《電子銀行業(yè)務(wù)管理辦法》《電子銀行安全評(píng)估指引》其它相關(guān)《電子銀行風(fēng)險(xiǎn)管理原則》（巴塞爾銀行監(jiān)管委員會(huì)）BS7799/ISO27000系列4組織范圍總部IT部門、業(yè)務(wù)部門？風(fēng)險(xiǎn)管理部門？審計(jì)部門？分支

3、機(jī)構(gòu)？系統(tǒng)范圍網(wǎng)上銀行信息網(wǎng)站交易網(wǎng)站ATM？手機(jī)銀行?自助銀行電話銀行？工作范圍電子銀行安全評(píng)估電子銀行安全及風(fēng)險(xiǎn)控制體系建議項(xiàng)目概述>>>范圍5項(xiàng)目概述實(shí)施方案時(shí)間及人員安排提綱6實(shí)施方案>>>評(píng)估總體思路業(yè)務(wù)層面（業(yè)務(wù)流程建設(shè)、業(yè)務(wù)操作）業(yè)務(wù)流程建設(shè)（流程基本評(píng)估）業(yè)務(wù)應(yīng)用控制（與業(yè)務(wù)有關(guān)的IT控制，需要分解流程步驟，針對(duì)每一步進(jìn)行）業(yè)務(wù)控制（需要分解流程步驟，針對(duì)每一步進(jìn)行）系統(tǒng)平臺(tái)層面（與電子銀行相關(guān)的系統(tǒng)平臺(tái)，即IT基礎(chǔ)設(shè)施）應(yīng)用支撐平臺(tái)（如果物理、網(wǎng)絡(luò)、系統(tǒng)平臺(tái)、數(shù)據(jù)庫(kù)等）應(yīng)用系統(tǒng)

4、與電子銀行相關(guān)的總體層面（IT管理層面，這個(gè)層面是為所有IT業(yè)務(wù)應(yīng)用系統(tǒng)服務(wù)的，因此會(huì)影響到電子銀行系統(tǒng)）IT治理環(huán)境（含組織架構(gòu)）風(fēng)險(xiǎn)管理或控制框架（控制環(huán)境、風(fēng)險(xiǎn)評(píng)估、信息溝通、監(jiān)控等）系統(tǒng)規(guī)劃與建設(shè)（生命周期管理，主要是開(kāi)發(fā)與獲取）日常運(yùn)維管理（日常的事件管理、變更/發(fā)布管理、巡檢、及其它操作如：備份、監(jiān)控，定期報(bào)告等）業(yè)務(wù)持續(xù)性計(jì)劃（BCP）外包管理信息安全管理作為機(jī)構(gòu)IT業(yè)務(wù)應(yīng)用系統(tǒng)之一，電子銀行系統(tǒng)需要與其它業(yè)務(wù)應(yīng)用系統(tǒng)一起納入機(jī)構(gòu)全面的風(fēng)險(xiǎn)管理體系中。電子銀行風(fēng)險(xiǎn)評(píng)估涉及三個(gè)層面：

5、7安全管理評(píng)估（策略、組織架構(gòu)、制度）安全策略（電子銀行系統(tǒng)整個(gè)生命周期的策略建設(shè)）；組織架構(gòu)與人員安排（與電子銀行系統(tǒng)相關(guān)組織建設(shè)與人員安排）；管理制度建設(shè)（與風(fēng)險(xiǎn)管理、開(kāi)發(fā)與獲取、安全管理、運(yùn)營(yíng)管理、內(nèi)部控制、應(yīng)急響應(yīng)、業(yè)務(wù)連續(xù)性、外包等）。IT基礎(chǔ)設(shè)施安全評(píng)估支撐平臺(tái)物理環(huán)境（物理環(huán)境、機(jī)房環(huán)境、介質(zhì)與設(shè)備安全）；網(wǎng)絡(luò)平臺(tái)（網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)管理、網(wǎng)絡(luò)安全）；系統(tǒng)平臺(tái)（業(yè)務(wù)主機(jī)、操作系統(tǒng)安全、數(shù)據(jù)庫(kù)安全等）。應(yīng)用系統(tǒng)安全身份鑒別與訪問(wèn)控制；交易安全；數(shù)據(jù)安全（傳輸、處理、存儲(chǔ)）；密鑰安全；輸入

6、輸出合法性/異常處理/日志與審計(jì)；系統(tǒng)可用性。業(yè)務(wù)風(fēng)險(xiǎn)評(píng)估業(yè)務(wù)流程建設(shè)；業(yè)務(wù)應(yīng)用控制；業(yè)務(wù)控制。實(shí)施方案>>>評(píng)估內(nèi)容8實(shí)施方案>>>安全管理評(píng)估目標(biāo)評(píng)估當(dāng)前電子銀行相關(guān)安全方針與策略是否完備，已有的策略是否得到了有效的執(zhí)行。評(píng)估要點(diǎn)安全策略制定的流程與合理性；與電子銀行相關(guān)的總體（戰(zhàn)略）規(guī)劃；與電子銀行系統(tǒng)相關(guān)的風(fēng)險(xiǎn)管理策略；與電子銀行系統(tǒng)相關(guān)的開(kāi)發(fā)與獲取策略；與電子銀行系統(tǒng)安全管理及內(nèi)部控制相關(guān)的策略；與電子銀行系統(tǒng)相關(guān)的運(yùn)維管理策略；與電子銀行系統(tǒng)相關(guān)的業(yè)務(wù)持續(xù)性與應(yīng)急安全策略；與電子銀行

7、有關(guān)的外包管理策略；客戶信息安全策略。評(píng)估方法安全策略文檔審閱；安全策略部署檢查。安全策略評(píng)估9實(shí)施方案>>>安全管理評(píng)估（續(xù)）目標(biāo)評(píng)估與電子銀行管理相關(guān)的機(jī)構(gòu)與人員設(shè)置是否合理。評(píng)估要點(diǎn)組織機(jī)構(gòu)設(shè)置的合理性與協(xié)調(diào)性（包括系統(tǒng)管理/風(fēng)險(xiǎn)管理/審計(jì)部門）；人員配備（體現(xiàn)制約關(guān)系）；人員技能與培訓(xùn)。評(píng)估方法崗位職責(zé)審閱；安全意識(shí)/技能/培訓(xùn)訪談；對(duì)工作人員資格情況的檢查。組織架構(gòu)與人員安排評(píng)估10實(shí)施方案>>>安全管理評(píng)估（續(xù)）目標(biāo)檢查電子銀行是否建立和實(shí)施了一套完整的對(duì)運(yùn)行中涉及的各類風(fēng)險(xiǎn)進(jìn)行識(shí)別

8、、監(jiān)測(cè)、衡量和控制的風(fēng)險(xiǎn)管理制度。評(píng)估要點(diǎn)電子銀行風(fēng)險(xiǎn)管理部門主要負(fù)責(zé)人對(duì)電子銀行風(fēng)險(xiǎn)的熟知程度；電子銀行風(fēng)險(xiǎn)管理的規(guī)章制度與操作規(guī)定、程序等。包括：風(fēng)險(xiǎn)模型定義；相關(guān)職責(zé)劃分/人員安排；與目標(biāo)設(shè)定、風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)控制以及風(fēng)險(xiǎn)監(jiān)測(cè)相關(guān)的流程及操作程序。電子銀行業(yè)務(wù)風(fēng)險(xiǎn)管理狀況。評(píng)估方法對(duì)所建立的電子銀行風(fēng)險(xiǎn)管理模型及框架進(jìn)行檢查；與電子銀行有關(guān)的風(fēng)險(xiǎn)管理制度及執(zhí)行情況檢查；對(duì)其他方面的檢查。風(fēng)險(xiǎn)管理評(píng)估11實(shí)施方案>>>安全管理評(píng)估（續(xù)）目標(biāo)檢查電子銀行系統(tǒng)的開(kāi)發(fā)與獲取過(guò)程是否得到適當(dāng)