工行数据中心信息安全管理体系的实现

合集下载

公司数据中心信息安全管理制度

信息安全管理制度第二十九条信息资产安全管理（一）资产管理员负责识别管理的信息资产。

（二）资产管理员负责核实和维护系统信息资产的信息。

（三）资产属性发生变更，资产管理员要及时更新信息资产记录。

变更包括地理位置变动、信息资产配置信息、补丁信息等变动。

（四）资产管理权限发生变更，资产管理员要及时通知安全管理员，将资产状况及时更新到安全管理系统中。

管理权限变更包括资产所属系统发生变更和信息资产所属部门发生变更。

（五）资产设备由设备所属的系统管理人员负责安全防护。

（六）巡检组定期巡检系统信息资产的安全状况。

（七）在系统建设设备选型时应符网规范，确保产品的可靠性。

第三十条网络安全管理管理（一）各系统网络设备当前运行配置文件应和备份配置文件保持一致。

（二）网络设备登录提示标识应适当屏蔽内部网络信息内容，并应有相关合法性警告信息。

（三）通过设备日志或外部认证设备维护对设备的登录状况，内容应当包括访问登录时间、人员，成功登录和失败登录时间和次数等信息。

（四）严格控制对网络设备的管理授权。

按照最小权限原则对用户进行授权。

（五）各系统网络设备的密码应严格按照《账号、口令及权限管理办法》执行。

（六）严禁管理员透漏设备口令、SNMP字符串、设备配置文件等信息给未授权人员。

（七）所有网络必须具有关于拓扑结构、所用设备、链路使用情况等关于网络情况的详细说明文档，并保持文档内容和现有网络、设备连接和链路信息保持一致。

（八）对重要区域实行冷备份与热备份相结合的方式，避免双重失效造成的影响。

（九）重要系统在网络上传输机密性要求高的信息时，必须启用可靠的加密算法保证传输安全。

（十）由统一的IP地址管理机构、人员负责对IP地址进行规划、登记、维护和分配。

确保部门有足够的地址容量并有一定的冗余供扩展使用，并及时关闭和回收被废止的地址。

（十一）严禁测试网络与内部网络直接连接。

（十二）严禁私自设立拨号接入服务。

（十三）严禁通过拔号方式对外部网络进行访问。

工商银行数据中心

工商银行数据中心工商银行是中国最大的商业银行之一，拥有庞大的客户数量和复杂的金融业务。

为了支持这些业务的运作，工商银行建立了先进的数据中心，作为信息处理和存储的核心枢纽。

数据中心是银行业务的重要基础设施，承担着保护客户数据、支持交易处理、实现业务可靠性和故障恢复等关键功能。

数据中心的架构工商银行的数据中心采用了先进的技术架构，以确保高可靠性和安全性。

数据中心通常包括主干网络、服务器、存储系统、备份设备、安全设备等组成部分。

主干网络是数据中心内各设备的通信网络，负责传输数据和保障设备之间的连接畅通。

服务器是数据中心的核心组件，负责运行各种应用程序和服务。

工商银行的数据中心通常会部署大量的服务器，以支持业务系统的高效运作。

存储系统是数据中心的重要组成部分，用于存储各类数据，包括客户信息、交易记录、系统日志等。

工商银行的数据中心通常会采用高性能的存储设备，以满足不同数据访问需求。

备份设备是数据中心的关键设备之一，用于定期备份数据，以防止数据丢失或损坏。

工商银行通常会采用多重备份策略，确保数据的安全性和可靠性。

安全设备是数据中心的关键设备之一，用于保护数据中心免受网络攻击和物理入侵。

工商银行通常会采用防火墙、入侵检测系统、访问控制系统等多层安全措施，以确保数据的安全和隐私。

数据中心的运维管理为了确保数据中心的稳定运行，工商银行会采用先进的运维管理技术。

数据中心的运维管理包括监控设备运行状态、排除故障、定期维护设备、升级软件版本等一系列工作。

监控是数据中心运维管理的重要环节，通过监控系统可以实时监测设备运行状态、网络流量、存储容量等关键指标。

一旦发现异常情况，运维人员会及时采取措施，确保问题得到及时解决。

故障排除是数据中心运维管理的关键任务之一，一旦设备发生故障，运维人员会迅速响应，进行故障排查和修复工作。

工商银行通常会采用冗余设计和备用设备，以最大程度降低故障对业务的影响。

定期维护是数据中心运维管理的必要工作之一，包括对设备进行清洁、检查硬件状态、更新软件版本等工作。

数据中心管理体系

数据中心管理体系是指在数据中心运营和管理过程中，建立和实施一套完整的管理体系，以确保数据中心的安全、可靠和高效运行。

以下是数据中心管理体系的主要方面：1. 信息安全管理：-建立信息安全政策和流程，确保数据中心的信息资产得到保护。

-进行风险评估和安全漏洞扫描，制定相应的安全措施和应急响应计划。

-加强数据备份、恢复和灾备能力，防止数据丢失和服务中断。

2. 设备管理：-管理数据中心的硬件设备，包括服务器、网络设备、存储设备等，确保其正常运行和维护。

-建立设备清单和台账，进行设备巡检和勤务保养，及时处理故障和问题。

3. 空间与资源管理：-管理数据中心的机房空间和物理资源，包括机架、电力、冷却设备等。

-确保资源的合理分配和利用，提升能耗效率和环境可持续性。

4. 运维管理：-建立运维策略和流程，包括设备监控、故障处理、变更管理等。

-进行定期的巡检和维护，预防问题和提高系统稳定性。

5. 供应链管理：-管理数据中心的供应链关系，包括供应商选择、采购流程和合同管理。

-确保供应商交付的产品和服务符合质量要求和业务需求。

6. 管理体系认证：-可选择进行ISO 27001信息安全管理体系认证，以确保数据中心管理符合国际标准和最佳实践。

7. 持续改进：-通过定期的评估和审查，识别潜在问题和改进机会，制定和实施持续改进计划。

-培养团队成员的意识和能力，推动数据中心管理的不断优化和提升。

数据中心管理体系的建立和实施需要根据具体情况进行调整和定制，以适应不同数据中心的特点和要求。

该管理体系有助于提高数据中心的效率和可靠性，并确保数据和服务的安全性和可用性。

2024年工商银行信息化建设工作计划

2024年工商银行信息化建设工作计划一、前言随着科技的迅猛发展，信息化建设成为各行各业的核心竞争力之一。

作为中国最大的商业银行之一，工商银行深感信息化建设对于提升服务质量、提高运营效率的重要性。

为此，工商银行将制定2024年的信息化建设工作计划，以进一步推动银行的数字化转型。

二、总体目标2024年，工商银行的信息化建设工作将以以下总体目标为导向：1. 提高客户服务体验：通过信息化手段，改善客户的办理体验，提高自助服务水平，提升客户的满意度。

2. 提高运营效率：借助信息技术，优化银行内部流程，提高工作效率，降低运营成本。

3. 加强风险管控：强化信息安全防护，提高数据的存储和传输安全性，防范风险发生。

4. 推动金融科技创新：加强与科技公司的合作，推动金融科技创新，拓展业务领域，提高竞争力。

三、具体工作计划1. 完善智能化服务- 开发智能客服系统，包括自动语音识别、自动语义分析等技术，提供24小时在线咨询服务，提高客户问题解决率。

- 推广智能柜员机，在支行设立智能柜台，实现自助办理各类业务。

- 加强移动端服务，推出更加便捷的手机银行App，提供全方位的金融服务，如理财、支付、查询等。

2. 强化数据分析能力- 建设大数据平台，整合银行内外部数据，实现对数据的深度挖掘和分析，为业务决策提供科学依据。

- 运用人工智能技术，实现智能数据分析，提高数据处理速度和准确性，提供更好的个性化推荐和风险评估服务。

3. 推进云计算应用- 在银行内部搭建私有云平台，实现资源的共享和优化，提高IT资源的利用率。

- 推广云端服务，将部分系统迁移到公有云上，提高系统的弹性和可扩展性，降低运维成本。

4. 加强信息安全防护- 完善信息安全管理制度，建立健全的信息安全管理体系。

- 提升网络安全能力，加强对网络攻击的防护，定期进行安全演练和渗透测试。

- 加强数据安全保护，实施数据分类和加密，加强数据备份和恢复能力。

5. 加强科技创新合作- 加强与科技公司、高校等的合作，合作开展金融科技研发项目。

2024年工商银行信息化建设工作计划

2024年工商银行信息化建设工作计划一、背景和目标随着科技的迅猛发展和金融业的日益竞争，信息化建设已成为银行业普遍关注的重要议题。

作为中国最大的商业银行之一，工商银行在信息化建设方面始终走在前列。

2024年，工商银行将继续加大信息化建设的力度，以提升业务效率、拓展客户群体和增强风险管理能力为目标，推动银行业务与科技的深度融合。

二、重点任务1. 提升数字化服务能力(1) 加快推进“智慧银行”建设，建设全渠道一体化的数字化服务平台，提供更便捷、个性化的金融服务。

(2) 完善电子银行渠道，推动线上交易和线下服务深度融合，提升客户体验。

(3) 推动移动支付的发展，提供更安全、便捷的移动支付解决方案。

(4) 强化金融科技投入，加大对人工智能、大数据技术等新兴技术的应用，提升金融科技研发和创新能力。

2. 提升风险管理能力(1) 加强风险控制和监测体系的建设，建立全面、科学、有效的风险管理体系。

(2) 推动大数据和人工智能在风险管理中的应用，提升反欺诈能力和风险预警能力。

(3) 加强信息安全保护，完善网络安全防护体系，提升数据安全和隐私保护能力。

(4) 加强与金融监管部门的合作，积极配合开展金融风险监测和评估工作。

3. 提升业务效率(1) 优化流程，增强自动化和智能化水平，推动业务流程再造，提升效率和降低成本。

(2) 推动企业云计算战略，加快云平台建设，提升业务弹性和可扩展性。

(3) 推动机器人技术在柜面和客户服务中的应用，提高服务效率和质量。

(4) 加强内部系统和应用的整合，提升信息共享和协同能力。

4. 提升员工技能水平(1) 设立信息化培训中心，加强员工信息化技能培训和证书认证工作。

(2) 推动信息化知识普及，鼓励员工参与在线学习和交流平台。

(3) 培养一支高素质、专业化的信息技术团队，提升信息技术研发和创新能力。

(4) 加强与高校和科研院所的合作，吸引高层次人才加入信息化建设。

三、实施措施1. 建立信息化建设项目管理体系，确保项目进展和质量。

信息安全管理体系、信息技术服务管理体系

信息安全管理体系、信息技术服务管理体系《信息安全管理体系和信息技术服务管理体系的重要性及实践》信息安全管理体系和信息技术服务管理体系，作为现代企业管理中的两个重要组成部分，对于企业的稳定发展和信息资产的保护具有至关重要的意义。

本文将就这两个主题展开全面评估，并深入探讨它们在企业管理中的重要性和实践。

一、信息安全管理体系的重要性信息安全管理体系即Information Security Management System (ISMS)，是指在组织内确立和完善信息安全管理的组织结构、安全政策、安全机制和安全措施。

在当今信息化的社会中，信息安全问题日益凸显，各行各业都面临着信息泄露、网络攻击等风险。

建立健全的信息安全管理体系对于企业来说至关重要。

1. 信息安全管理体系的框架及要素信息安全管理体系的框架主要包括了信息资产管理、风险管理、安全策略、组织架构、技术控制、安全意识等要素。

其中，信息资产管理是信息安全管理的核心，通过对信息资产的分类和价值评估，可以为后续的安全措施提供依据。

2. 实践案例共享以某知名企业为例，该企业建立了完善的信息安全管理体系，通过信息资产清单、防火墙、入侵检测系统等多层次的安全措施，有效保护了企业的信息资产，避免了重大的安全事故。

这充分体现了信息安全管理体系在企业管理中的重要性。

二、信息技术服务管理体系的重要性信息技术服务管理体系即Information Technology Service Management (ITSM)，是指在组织内为信息技术服务提供全面而又可控的管理。

随着信息技术的快速发展和企业对信息化建设的深入推进，信息技术服务管理体系的重要性也日益凸显。

1. 信息技术服务管理体系的核心概念信息技术服务管理体系主要关注于服务策略、服务设计、服务过渡、服务运营和持续服务改进。

这些环节的完善和优化，可以提升企业信息技术服务的质量和效率。

2. 实践案例共享通过引入ITIL框架，某企业建立了完善的信息技术服务管理体系，为企业的信息化建设提供了可靠的支撑。

信息安全管理体系建设

信息安全管理体系建设信息安全是现代社会中非常重要的一个领域，对于任何一个组织或企业来说，保护信息安全就意味着保护组织的利益、声誉和品牌形象。

为了有效地管理和保护信息安全，建立一个完善的信息安全管理体系是至关重要的。

本文将介绍信息安全管理体系的概念、重要性以及建设过程。

一、信息安全管理体系的概念信息安全管理体系是一个组织内部用于保护信息资产安全的一套制度、政策、流程和控制措施的集合。

该体系旨在确保信息资产不受内部或外部威胁的侵害、泄露或破坏。

它提供了一种系统化的方法来管理和应对信息安全威胁，以保证组织的持续运营和业务的可信度。

二、信息安全管理体系的重要性1. 保护信息资产：信息资产是组织的重要资源，包括成员数据、客户数据、知识产权等。

通过建立信息安全管理体系，可以有效地保护这些信息资产免受未经授权的访问或篡改。

2. 符合法律法规和合规要求：不同国家和地区都有其信息安全法律法规和合规要求，如GDPR、CCPA等。

建立信息安全管理体系可以帮助组织合规，并减少违反法规带来的罚款和声誉损失。

3. 提高客户信任：信息安全是企业声誉和品牌形象的重要组成部分。

通过建立信息安全管理体系，可以向客户展示组织对于信息安全的重视，提高客户信任度。

4. 减少安全事故和损失：信息泄露、数据丢失等安全事件可能导致巨大的经济和声誉损失。

通过建立信息安全管理体系，可以及时发现潜在的安全风险，采取相应的措施来防止事故的发生。

三、信息安全管理体系的建设过程信息安全管理体系的建设过程可以分为以下几个阶段：1. 规划和准备阶段：在该阶段，组织需要明确信息安全的目标和指导方针，并制定相应的策略和计划。

还需要确定相关的角色和责任，并进行资源的分配和预算的制定。

2. 实施和操作阶段：在该阶段，组织需要分析信息资产和风险，确定合适的控制措施和流程，并进行实施和操作。

例如，访问控制、密码策略、网络安全等。

3. 性能评估阶段：在该阶段，组织需要建立一套评估信息安全管理体系实施效果的方法和指标，并进行定期的内部审核和外部审核，以确保信息安全管理体系的有效性和合规性。

中国工商银行企业信息安全架构

中国工商银行企业架构咨询服务项目企业安全架构现状Current Enterprise Security Architecture文件名：日期: 3/22/2022文档信息标题工行企业安全架构现状描述创建日期2007/05/31打印日期2022/3/22文件名工行企业安全架构现状描述存放目录所有者作者甘小戈修订记录日期描述作者2007年8月22日根据用户反馈删除2.2章节《风险管理》甘小戈修改2.1.1章节的金子塔图中文字表述甘小戈甘小戈文档审核/审批此文档需如下审核。

姓名职务/职称文件名：日期: 3/22/2022文档分发此文档将分发至如下各人。

姓名职务/职称目录1 企业安全架构简介ESA Introduction (6)1.1 企业安全架构的目标Objectives of Current ICBC ESA (7)1.2 企业安全架构的范围Scope of Current ESA (7)1.3 构建企业安全架构的方法Approach of Current ESA (8)2 企业安全架构战略现状Current ESA Strategy ...................................... 错误!未定义书签。

2.1 Understanding the Current Environment ....................................... 错误!未定义书签。

2.1.1 战略性分析Current Strategy Analysis ............................ 错误!未定义书签。

2.1.2 安全原则Current Security Principle ............................... 错误!未定义书签。

2.1.3 安全策略Current Security Policies ................................. 错误!未定义书签。

工行管理规范1

工行管理规范1中国工商银行（以下简称“工行”）是全球领先的金融机构之一，拥有雄厚的实力和广阔的业务范围。

为了更好地管理企业，工行制定了一系列管理规范，本文将介绍其中的一部分。

一、员工行为规范作为一家具有社会责任感的企业，工行非常注重员工的行为规范。

员工必须遵守公司的制度和政策，并且做到以下几点：1.诚实守信：员工必须讲诚信、守诚信，始终遵守法律、法规和工行的规定，不得行使权力谋取私利或者利用职务之便损害公司的利益。

2.保密工作：员工必须严格保守工作秘密，不得泄露银行客户信息和工行内部机密资料。

3.公正处理：员工必须依法、规范、公正、高效地履行职责，不得歧视、虐待、侮辱或者其他侵犯人身尊严的行为。

4.遵纪守法：员工必须遵守党和国家法律、法规和工行的规定，自觉抵制不良风气和行为，不得违法违纪，不得参与洗钱、贪污、受贿等违法犯罪活动。

5.诚信守约：员工必须恪守职业道德和诚信原则，不得从事欺诈、腐败、侵权等违背职业道德和社会公德的行为，保证诚实守信，并落实工行的制度要求。

二、信息安全管理信息安全管理是工行的核心管理之一，工行非常注重信息安全的保护，采取了一系列的措施，确保工行的信息安全。

1.保密措施：工行实施了严格的保密工作制度，确保银行机密的保密性、真实性和完整性。

所有客户和员工的信息都是加密存储的，访问和操作受到严格的权限限制。

2.防御黑客攻击：工行建立了完善的黑客攻防体系，对攻击进行主动监测和响应。

同时在网络防火墙、入侵检测、反病毒等方面做了严格的控制与过滤，尽可能防止系统被黑客攻击或病毒感染。

3.加强审计: 工行对关键业务系统和设备实行全面审核，及时发现存在的问题和漏洞，加强信息系统的管理和监控，确保信息系统的可靠性。

4.加强信息安全意识：工行注重员工增强安全意识，教育员工认真遵守保密规定，学会正确使用信息系统，并通过网络安全知识培训等方式提高员工的信息安全意识。

三、环境保护和便民服务环境保护和便民服务都是工行非常注重的管理方面，以下是工行针对这两个方面制定的管理规范。

银行数据中心系统-信息安全体系-安全架构部分

数据中心项目（一期）技术体系架构设计方案安全架构部分版本V0.9二〇二二年三月本文档及其里面所包含的信息为机密材料并且由/共同拥有。

本文档中的任何部分都不得以任何手段任何形式进行复制及传播。

未经/书面授权，不得将材料泄露给第三方。

文档信息变更历史目录1.前言 (4)1.1 安全体系的设计目标 (4)1.2 需求及风险分析 (4)1.3 安全体系总体架构 (5)1.4 安全体系框架模型设计 (6)1.5 术语定义 (8)2.用户安全策略 (10)2.1 统一身份管理和访问控制 (10)2.1.1 身份管理系统 (13)2.1.2 应用安全 (14)2.1.3 身份管理的技术架构 (15)2.2 用户、用户组及角色 (18)2.3 用户、用户组划分 (20)2.3.1 用户/用户组分配 (22)2.4 用户的授权管理 (27)2.4.1 用户授权 (28)2.4.2 功能授权 (28)2.4.3 数据授权 (29)3.数据安全策略 (30)3.1.1 高可用结构 (30)3.1.2 系统加固 (30)3.1.3 操作系统安全 (31)3.2 网络安全 (32)3.2.1 网络结构安全 (32)3.2.2 端口安全 (33)3.2.3 加强访问控制 (35)3.2.4 防火墙 (35)3.2.5 入侵检测 (35)3.2.6 漏洞扫描 (36)3.2.7 病毒防护 (36)3.3 数据存储安全 (37)3.3.1 元数据存储安全 (37)3.3.2 Teradata数据存储安全 (38)3.3.3 Weblogic应用服务器存储安全 (40)3.3.4 报表及多维立方体存储安全 (41)3.4 系统的备份及恢复 (42)3.4.1 数据保护和恢复技术 (43)3.4.2 备份及恢复的范围 (44)3.4.3 备份工具说明 (45)3.4.4 备份策略 (45)1.前言1.1 安全体系的设计目标在本文中，所谓的安全体系是指在此体系框架下，系统能够使正确的用户在正确的时间访问到正确的数据，主要包括用户安全和数据安全两部分。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

ｓｒｎｔｅｔｅｎｇｍｎｏｉｆｒａｉｎｃｒｔ，ｄａｌｂｉｄｔｅｇｈｎｍａｅｅｔｎｏｍｔｏｓｕｉｙａｒｌｙｌａｈａｆｅｎｅｕ
ｓｉｎｉｉａｄｆｃｉｅｏｍｔｏｓｃｒｔｍｎｇｍｎｓｓｅｔｇａｄｃｅｔｆｃｅｅｔｖｉｆｒａｉｎｕｉｙａｅｅｔｔｍｕｒｎｆｎｅａｙｏ
ａｔｉｅｃａｓｆｃｔｏｏｔｅｒａｓｖｌｅａｉｉｉｓｒａｒｓｄａｌｄｓｉｉａｉｎｈｔｅｔ，ｎｒｂｌｔｅｔｅｔｋｅｌｆｈｕｈｉ
ｃｅｆｃｅｔｔｉａｄｓｔａｓｆｃｔｏｒｆｒｎｅｂｅ．ｏｆｉｉｎｍｒｘａｅｃｓｉｉａｉｎｅｅｃｔｌｓａｎｓｌｅａ
ｃｅｔｄｓａｎｂｅｐｏｅｅｔｔｅｎｇｍｎｏｉｆｒａｉｎｒａｅａｓｔｉａｌｉｒｖｍｎｏｈｍａｅｅｔｎｏｍｔｏｕｍｆａｆｓｃｒｔｅｖｒｎｅｔｒｉｅｔｅｖｌｉｆｒａｉｎｓｅｓｃｒｔ．ｅｕｉｙｉｏｍｎ，ｓｄｌｅｏｎｏｍｔｏｓｔｍｕｉｙｎａｈｅｆｙｅ
Ｍａｗｉｅｔｅａｆｓｎｌｔｃｎｉｕｔｒｉｅａｅｅｓｅｎｈｌ，ｓｆｈｂｅａｅｏｔｎｅａｓａｒｎｓｏｈｔａｅｂｏｏｗｆ
ｉｆｒａｉｎｃｒｔ．ｎｏｍｔｏｓｕｉｙｅ
Ｋｙｏｄ：ｆｒａｉｎｅｕｉｙｆｎｎｉｌｎｏｍｔｏｓｓｅｓｅｗｒｓｉｏｍｔｏｓｃｒｔ，ｉａｃａｉｆｒａｉｎｙｔｍ，ｎｉｆｒａｉｎｃｒｔｍｎｇｍｎｓｓｅ，７９，ｓａａｙｉｎｏｍｔｏｓｕｉｙａｅｅｔｔｍＢ７９ｒｋｌｓｓｅａｙＳｉｎ
ｔｅｏｙｒｓｍｎｇｍｎ．ｎｌｓｓｔｅａｕａｄｕｉｙｄｈｔｅｒｏｉｋａｅｅｔＡａｙｉｏｈｓｔｓｓｃｒｔｎｅｓｈｆａｆｔｎｅｅ
ｏｔｅｔｃｎｅ．ｅｔｏｈｓｔｒａｄｎａｆａｉｌｍｔｏｏｆｄａｔｒＴａｈｒｐｆｗｒｉｇｓｂｅｈｄｈａｅｈｕａｕｏｅｅｆ
ｍｎｇｍｎｅｈｎｅｒｓｃｎｒｌｔｅｗｒｅｓａｄｐｏｅｅａａｅｅｔａｃｄｋｔｏ，ｌｅｔｒｋｉｒｖｔｎｉｏｈｏｈｉｎｍｈｓｆｔｏｃｎｉｅｔａｉｆｒａｉｎｔｒｉｔｇｉｙａａｌｂｌｔ，ａｅｙｏｆｄｎｉｌｏｍｔｏｃｎｅ，ｅｒｔａｄｉａｉｉｙｆｎｅｎｎｖ
ｅｔｒｐｏｅｓｎｉｅｃｓ．ｒ
ＤｎａｇａｄｌｅｅｒｈｕｔＢ７９ｏｙｉｏｍｔｏｅｔａｏｒｓａｃａｏｔｅ７９ｔｅｒ，ｆｒａｉｎｏｅｒｅｆｂｈＳｈｎ
ｓｃｒｔｍｎｇｍｎｓｓｅａｄｅｅｒｏｒｓｍｎｇｍｎ．ａｉｇｅｕｉｙａｅｅｔｔｍｔｔｏｙｉｋａｅｅｔＴｋｎａｙｎｈｈｆａ
ＣａｓｆｃｔｏＣｄ：Ｔ３９ｌｓｉｉａｉｎｅｏＰ０
第一章绪论
１１选题背景．在信息化浪潮席卷全球的今天，我国的经济、社会信息化建设全面加快，
信息技术在提高企业服务水平、促进业务创新、提升核心竞争力方面发挥着越来越显著的作用。对于中国经济发展的支柱行业— 金融服务业来说，应对全球化和信息化的机遇与挑战，通过金融信息化和信息网络化实现金融服务创新，服务于中国经济快速发展的需要，其任务尤为艰巨和迫切。为此，我国金融企业信息化建设如火如茶。一方面为了实现金融信息的集中有效管理，各大金融企业投入巨资进行数据集中整合工程，实现账务数据与营业机构的分离；另一方面企业借助信息技术加快了金融服务产品的开发和应
ｄｐｎｅｃｏｉｆｒａｉｎｃｎｌｇｉｇｏｉｇｔｅｓｌｉｇｓｏｅｅｄｎｅｎｏｍｔｏｔｈｏｏｙｒｗｎ，ｒｕｔｎｒｋｎｅｓｈｅｉｆ
ｆｎｎｉｌｆｒａｉｎｅｃｍｎｉｃｅｓｎｌｐｏｉｅｔＨｗｉａｃａｉｏｍｔｏａｂｏｉｇｒａｉｇｙｍｎｎ．ｔｎｒｅｎｒｏｏ
Ｔｅｏａｉｎｕｉｙａｅｅｔｔｍｉｐｒｔｏｇｏｒｓｌｓｍｔｏｓｃｒｔｍｎｇｍｎｓｓｅｓｏｅａｉｎｄｕｔ，ｈｉｆｒｎｅａｙｎｏｅ
ｔｅｒｔｔｃｎｅｉｔｅｃｅｓｕｉｅｅｔｔｏｏｔｅｓｈｆｓｄａｔｒｈｓｃｓｆｌｉａｅｎｕ呻ｌｍｎａｉｎｈｒｋｆｉ
全四个方面：
１）实体安全是指保护计算机设备、网络设施以及其他通信与存储介质免遭地震、火灾、有害水灾、气体和其他环境事故破坏的措施、过程。２）运行安全是指为保障系统功能的安全实现，提供一套安全措施（如风险分析、审计跟踪、备份与恢复、应急措施）来保护信息处理过程的
用，包括网络银行、中间业务等金融新型业务和产品不断涌现，使得金融信息服务系统迅速渗透到社会生活的各个方面。金融行业信息化的飞速发展，已经成为推动金融业务创新、体制创新乃至企业再造的重要推动力。可是随着金融企业对信息技术的依赖度越来越高，由
此而导致的金融信息风险也变得越来越突出，这也成为近年来国内外金融企业
搭建了信息安全管理体系。
该信息安全管理系统在运行中收到良好的效果，首次在数据中心成功实施了风险管理，提高了风险控制水平，降低了面临的风险，提高了中心信息安全的保密性、完整性和可用性，形成了一套可持续改进的信息安全管理环境，提
升信息系统安全等级。同时，全体员工信息安全意识得以不断提高。
ｑａｉａｉｅｄａｔｔｔｖｒｓａａｙｉａｄｌｕａｉｎｔｏｓｕｌｔｔｖａｑｎｉａｉｅｋｌｓｓｃｃｌｔｏｍｈｄｔｎｕｉｎｎａｅｏｑａｔｆｔｅｓ，ｄｅｓｒｔｅａｕａｉｙｄｃｒｃｏｒｓｕｎｉｙｒｋａｔｎｕｅｇｎｌｒｔａａｕａｙｆｋｈｉｎｏｈｒｎｃｉ
ｒｓａｓｓｍｎ，ｓｇｅａｓａｓｓｍｎｐｏｅｓｄｐｔｄｔｕｉｋｅｓｅｔｄｉｎｄｉｋｅｓｅｔｃｓａｉｕａｏｐｔｓｅｒｓｒｎｎｎｕ
ｆｌｓａｄｒｉｉａｅｉｔｅ０７０ｃｒｉｉａｉｎｏｒｍｉｔｅｉｅ，ｐｔｃｐｔｄｈＩ２０１ｔｆｃｔｏｐｇａｓｈｎａｎＳｅｒｎ
ａａｎｔｎｎｉｌｓｓｈｓｃｍａｊｒｓｅｒｅｔｙｃｎｔｅｇｉｓｆａｃａｒｋ，ｂｏｅａｏｉｕｃｒｎｌｆｉｇｉｉａｅｍｓｕａｈ
ｆｎｎｉｌｒｉｅｉｄｓｒ．ｉａｃａｓｖｃｓｕｔｙｅｎ
ＴｅｔｏｈｄｅｌｏｅｅｒｈｕｔＢ７９ｏｙａｒｓｎａｔｒｓａｃａｏｔｅ７９ｔｅｒ，ｄｈａｈａｏｕｏｆｂｈＳｈｎ
ａｄｓｎｓｉｎｖｔｏｉｓｉｕｉｎｌｎｖｔｏｓｗｌａａｊｒｎｂｉｅｓｏａｉｎｔｔｔｏａｉｏａｉｎａｅｌｍｏｕｎｎｎｓｓａ
ｆｒｅｔｅｃｃｉｇｓｎｓ．ｄｔｔｅｎｉｇｄｓｒ＇ｏｃｉｈｒｙｌｎｂｉｅｓＡｗｈｂｋｎｉｕｔｙｓｎｅｕｎｉｈａｎ
的重大经营风险之一。金融企业的信息安全受到威胁，将严重影响金融企业信
誉，丧失客户信任，影响金融企业的发展。更重要的是，解决不好信息安全问题，将使企业和个人资产蒙受损失，导致社会金融服务功能中断，影响国家经济的正常运转及社会稳定。如何加强金融信息安全管理，已成为金融业当前面临的重大课题。１２建立信息安全管理体系的重大意义．所谓信息安全，是指在技术和管理上为信息处理系统建立的安全保护，保护计算机硬件、软件和信息内容不因偶然和恶意的原因而遭到破坏、更改和泄漏。信息安全包括实体安全、运行安全、信息（针对信息内容）安全和管理安
ｉｔｃｎｉｅａｉｎｅｈｒｃｅｉｔｃｏｄｔｃｎｅｓ、ｉｆｒａｉｎｎｏｓｄｒｔｏｔｏｈｃａａｔｒｓｉｓａａｔｒｆｅｎｏｍｔｏ
ｓｃｒｔｎｅｓａｄｅａｔｃｌａｉｉｉｙｄｓｇｅｏａｔｅｕｉｙｄ，ｔｐｃｉａｆｓｂｌｔ，ｉｎｄｅｎｈｒｅｅｆｓｏｅｆ
数据中心信息资产特点以及信息安全需求，设计了定性与定量相结合的风险分析方法，将风险量化。采用了以威胁为主线、基于资产的威胁薄弱点识别的方式，以获得丰富的风险信息。制定了详细的威胁分类表、脆弱性列表、威胁风险系数矩阵以及资产分类参考表，使得对威胁和脆弱性的分析具有普遍性，保证各填写人员尺度和理解的一致性，提高了项目实施的效率。在数据中心成功
关键词信息安全、金融信息系统、信息安全管理体系、Ｂ７９、Ｓ７９风险分析
中图分类号Ｔ３９Ｐ０
Ｔｅｉｄｅｏｍｎｏａｋｎｉｏｍｔｏｈｂｏｅｆｎｎｉｌｒｐｄｖｌｐｅｔｂｎｉｇｆｒａｉｎｓｃｍｔｅａｃａｈａｅｆｎａｅｈｉ