人民银行信息安全保障体系与总体框架
信息安全保障体系与总体框架
安全目标： 安全目标：安全属性和安全管理属性
7个信息安全属性 个信息安全属性
保密性Confidentiality 保密性 完整性Integrity 完整性 可用性Availability 可用性 真实性Authenticity 真实性 不可否认性Non不可否认性 Reputation 可追究性 Accountability 可控性Controllability 可控性
主讲内容
信息安全保障体系与总体框架
信息安全防护技术与应用分析
信息安全等级保护策略
信息安全保障体系与 总体框架
主讲内容
信息与网络安全的重要性及严峻性 信息安全保证技术框架
信息安全保障体系模型 人民银行信息安全总体技术架构
1、信息与网络安全的重要性及严峻性
信息是社会发展的重要战略资源。国际上围绕信息的获取、 信息是社会发展的重要战略资源。国际上围绕信息的获取、使用和控制 的斗争愈演愈烈，信息安全成为维护国家安全和社会稳定的一个焦点， 的斗争愈演愈烈，信息安全成为维护国家安全和社会稳定的一个焦点， 各国都给以极大的关注与投入。 各国都给以极大的关注与投入。 网络信息安全已成为急待解决、 网络信息安全已成为急待解决、影响国家大局和长远利益的重大关键问 它不但是发挥信息革命带来的高效率、高效益的有力保证， 题，它不但是发挥信息革命带来的高效率、高效益的有力保证，而且是 对抗霸权主义、抵御信息侵略的重要屏障，信息安全保障能力是21世纪 对抗霸权主义、抵御信息侵略的重要屏障，信息安全保障能力是21世纪 21 综合国力、经济竞争实力和生存能力的重要组成部分， 综合国力、经济竞争实力和生存能力的重要组成部分，是世纪之交世界 各国在奋力攀登的制高点。 各国在奋力攀登的制高点。 网络信息安全问题如果解决不好将全方位地危及我国的政治、军事、 网络信息安全问题如果解决不好将全方位地危及我国的政治、军事、经 文化、社会生活的各个方面， 济、文化、社会生活的各个方面，使国家处于信息战和高度经济金融风 险的威胁之中。 险的威胁之中。
信息分类和保护体系
XX银行客户信息分类保护管理办法（暂行）第一章总则第一条为提高XX农商银行客户信息保护工作水平，保障我行各项业务的正常开展，维护客户信息安全，保护客户合法权益，提升我行社会形象，根据《中国人民银行法》、《商业银行法》、《个人存款账户实名制规定》、《个人信用信息基础数据库管理暂行办法》等法律、法规和规章，以及《中国人民银行关于银行业金融机构做好金融信息保护工作的通知》等政策规定，制定本办法。
第二条本指引所称客户信息，是指我行在开展业务时，或通过接入中国人民银行征信系统、支付系统以及其他系统获取、加工和保存的以下客户信息：（一）客户身份信息，包括个人姓名、性别、国籍、民族、身份证件种类号码及有效期限、职业、联系方式、婚姻状况、家庭状况、住所或工作单位地址及照片等；（二）客户财产信息，包括个人收入状况、拥有的不动产状况、拥有的车辆状况、纳税额、公积金缴存金额等；（三）客户账户信息，包括账号、账户开立时间、开户行、账户余额、账户交易情况等；（四）客户信用信息，包括信用卡还款情况、贷款偿还情况以及个人在经济活动中形成的，能够反映其信用状况的其他信息；（五）客户金融交易信息，包括银行业金融机构在支付结算、理财、保险箱等中间业务过程中获取、保存、留存的个人信息和客户在通过银行业金融机构与保险公司、证券公司、基金公司、期货公司等第三方机构发生业务关系时产生的个人信息等；（六）衍生信息，包括客户消费习惯、投资意愿等对原始信息进行处理、分析所形成的反映特定个人某些情况的信息；（七）开展业务过程中获取、保存、形成的其他客户信息。
第三条我行应当依照有关法律、法规、规章和金融监管部门政策规定，遵循目的明确、公开透明、安全保障、知情同意、责任落实等基本原则，依法收集、加工、使用、存储、传输客户信息。
我行划分一般客户金融信息和敏感客户金融信息，实行分类区别保护。
针对敏感客户金融信息，应实行更高的权限管理，采取更严格的管理措施。
中国人民银行上海分行关于建立上海市金融业信息安全协调机制的通知
中国人民银行上海分行关于建立上海市金融业信息安全协调机制的通知文章属性•【制定机关】中国人民银行上海分行•【公布日期】2011.11.23•【字号】上海银发〔2011〕249号•【施行日期】2011.11.23•【效力等级】地方规范性文件•【时效性】现行有效•【主题分类】银行业监督管理正文中国人民银行上海分行关于建立上海市金融业信息安全协调机制的通知上海银发〔2011〕249号各国有商业银行、股份制商业银行上海（市）分行，交通银行，上海浦东发展银行，上海银行，上海农村商业银行，中国外汇交易中心，中国银联，上海黄金交易所，上海清算所，工商银行上海数据中心，农业银行数据中心，中国银行信息中心（上海），建设银行上海数据中心，兴业银行数据中心：根据《中国人民银行办公厅关于加快辖区信息安全协调机制建立的通知》（银办发〔2011〕191号）要求，为促进上海市金融业信息安全管理工作的开展，提高上海市金融业信息安全管理工作水平，我行通过与上海市网络信息安全协调小组办公室、上海市相关职能部门及金融机构积极的沟通协调，决定建立上海市金融业信息安全协调机制。
现将相关事项通知如下：一、成立上海市金融业信息系统应急保障小组，下设协调指挥组、协调工作组和协调联络组，并纳入上海市网络与信息安全应急保障体系。
保障小组成员为人民银行上海分行和相关金融机构，保障小组组织机构见附件1，保障小组名单见附件2。
为加强金融机构应急管理的沟通与交流，人民银行上海分行建立了应急管理信息交流平台，保障小组各成员单位应在2011年底前完成接入该平台的工作。
二、建立上海市金融业信息安全联席会议制度，研究上海市金融业信息安全保障工作的方针和策略，制定上海市金融业信息安全相关制度和预案，通报金融业信息安全工作动态。
联席会议成员单位为人民银行上海分行和相关金融机构，并邀请上海市相关职能部门参加。
联席会议每年举办两次，参会人员为保障小组各成员单位的工作小组人员。
深化认识 扎实提高 开创银行信息安全保障工作新局面
做法 。
度就较 ２ ０ 年全年上升了 ５ ％， ０４ ０ 银行卡伪卡 、欺诈事件时 有
运行状 况。
作的极端重要性。我们必 须牢 崮树立风险意识 ，进 ’
步增强
３。 章可循 、有章 不循 问题突 出 无
管理制度不完善 ，安全 【 ： 作缺乏统一 、规范的依据和准
则 。制度体 系建 设得不到应有的重视 ， 力、资金投 入不足 ， 人 缺乏机ｆＪ ｝保障 ，难以纳入规范的发展轨 道。部 分现行制度 间 ｊ ｌ 存在 内容交 叉、条块分割 、流程割 裂、边 界定 义不明确的 问
题 ，ｌ －ｆ ｌ 亍为有 多个实施主体 ，责任划 分模 糊不清 ，安全 问
责制无从落实 无章 ｌ借现象普遍 存 － 口 』 ，有 章／ 循问题 同样 ｆ ：
严重 ，部ｆ责作 和岗位责 任制得不 到真 正落实，已有的规章 Ｊ
制度在执行 而还缺乏权威性 、 强制件 ， 执行监督机制薄弱
紧迫感 、责任感 ，『确处理信息化建设 与信息安全的协调 发 Ｆ 展关 系，始终 坚持存 发展中求安全 、以安全促发腱的科学发 展观 ， 手抓信 息化发展 ，一手抓信息安 全 ，常抓不 。
二 ．当 前银 行 信 息 安 全 存 在 的 主 要 问题
多年米 ， 中国银行业 不断加大信息安全保障的 工作 力度 ， 强化安全风险 范 ， 荩本建立起 “ 人为本 、以营 为核心 、 以 以技术 为依托”的信 息安 伞综 合防御体 系，具备 』 定的安
中国人民银行信息安全管理相关规定
信息安全管理组织架构
信息安全管理委员 会
信息安全管理办公 室
信息安全管理小组
信息安全专员
信息安全风险评估与控制
定义：对信息安全风险进行识别、评估和控制的整个过程。 目的：确保信息系统的安全性和稳定性，防范潜在的安全风险和威胁。 主要内容：包括风险识别、风险评估、风险控制和监督与改进等环节。
实施主体：中国人民银行及其分支机构，以及相关业务部门和信息系统运营单位等。
信息安全的措施：信息安全措施包括防火墙、入侵检测系统、数据加密、安全审计等。
信息安全的法律法规：我国出台了多项法律法规，如《网络安全法》、《密码法》等，对保障信息安全发挥了重要作 用。
信息安全的威胁
黑客攻击：非法入侵计算机系 统，窃取、篡改或破坏数据
病毒传播：通过电子邮件、网 络等途径传播病毒，破坏计算 机系统
国际信息安全 法律法规的制
定与完善
中国人民银行 在信息安全法 律法规方面的
贡献
国际合作与交 流在信息安全 法律法规领域
的重要性
中国人民银行 与其他国家在 信息安全法律 法规方面的合 作与交流情况
感
谢
观
看
汇 报 人 ：
性
修订内容：对原 有标准进行修订 和完善，包括技 术要求、管理要 求等方面，以适 应新的网络安全
形势和需求
信息安全的测试与验证
测试目的：确保系统安全控制措施 的有效性
测试方法：采用黑盒测试、白盒测 试、灰盒测试等方法进行测试
添加标题
添加标题
添加标题
添加标题
测试范围：包括但不限于系统控制 措施、系统业务应用、系统安全功 能等
信息安全培训与意识提升
信息安全培训的重要性 信息安全意识提升的方法 信息安全培训的内容和形式 信息安全意识提升的实践与效果
三大银行（工行、建行、农行）新IT架构总览
三⼤银⾏（⼯⾏、建⾏、农⾏）新IT架构总览企业上三板，三板企业再融资->请找“三板车” ⼀、中国建设银⾏ 建设银⾏数据中⼼在“新⼀代”核⼼系统、“两地三中⼼”基础设施建设中，进⾏了⼀系列技术架构创新，提⾼了系统吞吐能⼒和资源供给效率，提升了系统可靠性，⼤⼤增强了数据中⼼风险防范⽔平。
以电⼦渠道为例，业务量从2012年每⽉21 亿笔增加到2016年179亿笔，年均增长72%。
2016年“双⼗⼀”的核⼼业务系统交易峰值接近8000 笔/秒，较2015年增长81%，所有系统均顺利应对业务⾼峰，充分验证了建⾏新⼀代系统架构的健壮性。
1、融合架构：主机平台分布式开放平台 核⼼账务系统，部署在主机平台上 主机平台可⽤性⾼，运⾏稳定，适合作为银⾏核⼼系统运⾏平台，但也存在风险集中、处理能⼒瓶颈、敏捷性不够、价格昂贵等不⾜。
主机资源⽤于核⼼账务系统，利⽤开放平台处理查询业务或者普通维护性交为了更好地利⽤主机资源，建设银⾏提出“主机开放”的融合架构，确保“好钢⽤在⼑刃上”。
查询系统，部署在分布式平台上 查询系统包括：个⼈客户综合积分、贷记卡管理、客户信息查询、对公/对私存款查询、客户渠道。
⽬前各类查询交易总计下移⽇均交易量1.4亿笔，节省主机资源2.6万MIPS，相当于8.22亿元。
查询系统与账务系统分离，既分散了系统风险，⼜提⾼了并发处理能⼒。
最近三年在实际业务量年均增长32% 的情况下，主机MIPS资源零增长，取得了节省投资的良好效果。
在分布式开放平台上，X86服务器替代⼩型机 在开放平台的选择上，由于同等计算能⼒的X86服务器价格只有⼩型机的1/20，所以⾸先在新⼀代架构的应⽤(AP)层中⼤量采⽤X86服务器替代⼩型机，随着替代技术逐步成熟，继续提⾼在数据库(DB)层使⽤X86服务器的⽐例，进⼀步减少⼩型机的数量。
⾃新⼀代实施以来，应⽤层和数据库层部署的X86服务器替代⼩型机已累计节省12.2亿元。
中国人民银行关于加强银行数据集中安全工作的指导意见
中国人民银行关于加强银行数据集中安全工作的指导意见文章属性•【制定机关】中国人民银行•【公布日期】2002.08.26•【文号】银发[2002]260号•【施行日期】2002.08.26•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】银行业监督管理正文中国人民银行关于加强银行数据集中安全工作的指导意见（银发[2002]260号）人民银行各分行、营业管理部、省会(首府)城市中心支行，各政策性银行、国有独资商业银行、股份制商业银行：为加强对银行数据集中工作的指导，防范相关技术风险和管理风险，现就银行实施数据集中的安全工作提出以下意见：一、数据集中是我国银行信息化发展的重大举措，对于我国银行实现集约化管理，提高银行的市场适应能力，降低银行经营风险具有重要意义，但对计算机信息系统的可靠性和安全性也提出了更高的要求。
各银行必须高度重视对数据集中安全工作的领导，建立健全计算机安全管理组织，落实计算机安全责任制。
各银行计算机安全管理委员会(领导小组)主任委员(组长)为数据集中安全工作的第一责任人。
二、加强制度建设，建立与数据集中模式相适应的各项管理制度和内控机制。
没有配套管理制度的数据中心和内控机制不完善的业务系统不能投入生产运行。
三、加强数据中心管理人员和技术人员的安全培训，提高全员的安全防范意识。
要建立系统管理员、网络管理员、软件开发人员和安全管理人员持证上岗制度；要定期对业务操作人员进行业务操作考核。
四、各银行应高度重视数据集中总体技术设计的合理性和安全性。
数据集中体系结构的合理性直接关系到银行信息系统的整体安全，体系结构的选择要有利于降低技术风险和管理风险。
总体技术方案必须经过充分的论证。
各银行在实施数据集中前要将总体技术方案和论证意见报中国人民银行备案。
五、做好适应数据集中模式的网络建设与改造工作，提高通信网络可用性。
网络可靠率(指年无故障运行时间与总运行时间比值)要不低于99．995％，连续故障时间小于2小时。
等保整改与安全建设具体方案
等级保护整改与安全建设方案前言等级保护保护整改与安全建设工作重要性依据公通字[2007]43号文的要求，信息系统定级工作完成后，运营、使用单位首先要按照相关的管理规范和技术标准进行安全建设和整改，使用符合国家有关规定、满足信息系统安全保护等级需求的信息技术产品，进行信息系统安全建设或者改建工作。
等级保护整改的核心是根据用户的实际信息安全需求、业务特点及应用重点，在确定不同系统重要程度的基础上，进行重点保护。
整改工作要遵循国家等级保护相关要求，将等级保护要求体现到方案、产品和安全服务中去，并切实结合用户信息安全建设的实际需求，建设一套全面保护、重点突出、持续运行的安全保障体系，将等级保护制度确实落实到企业的信息安全规划、建设、评估、运行和维护等各个环节，保障企业的信息安全。
等级保护整改与安全建设过程等级保护整改与安全建设是基于国家信息系统安全等级保护相关标准和文件的要求，针对客户已定级备案的信息系统、或打算按照等保要求进行安全建设的信息系统，结合客户组织架构、业务要求、信息系统实际情况，通过一套规范的等保整改过程，协助客户进行风险评估和等级保护差距分析，制定完整的安全整改建议方案，并根据需要协助客户对落实整改实施方案或进行方案的评审、招投标、整改监理等工作，协助客户完成信息系统等级保护整改和安全建设工作。
等保整改与建设过程主要包括：等级保护差距分析、等级保护整改建议方案、等级保护整改实施三个阶段。
(一) 等级保护差距分析1. 等级保护风险评估1) 评估目的对信息系统进行安全等级评估是国家推行等级保护制度的一个重要环节，也是对信息系统进行安全建设和管理的重要组成部分。
等级评估不同于按照等级保护要求进行的等保差距分析。
风险评估的目标是深入、详细地检查信息系统的安全风险状况，而差距分析则是按照等保的所有要求进行符合性检查，检查信息系统现状与国家等保要求之间的符合程度。
可以说，风险评估的结果更能体现是客户信息系统技术层面的安全现状，比差距分析结果在技术上更加深入。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
逻辑 隔离
商业银行 政府机构
Internet
(公众信息服务 等)
人民银行信息系统网络结构（续）
本《框架》所称涉密网，是指连接总行、分行和省会／首 府中心支行，专门用于国家秘密信息和人民银行内部涉密 公文的传输，严格按照国家有关部门要求运行管理的网络 系统及其承载业务，该网与业务网和互联网物理隔离。 本《框架》所称互联网，是指人民银行面向社会或为内部 工作人员提供相关服务的网络（如WEB服务，E-MAIL服 务等），该网目前与人民银行业务网逻辑隔离。其管理按 照人民银行办公厅有关对互联网管理要求执行。 本《框架》所称业务网，指是人民银行绝大多数业务系统 数据传输（如内部邮件、办公自动化、支付、会计、清算 、国库、发行等）的承载平台。在物理上目前又分为内联 网、支付业务专网、金融卫星网、外汇业务网相对独立的 网络。
Integrity 完整性
Availability 可用性
安全目标：安全属性和安全管理属性
7个信息安全属性
保密性Confidentiality 完整性Integrity 可用性Availability 真实性Authenticity 不可否认性NonReputation 可追究性 Accountability 可控性Controllability
基本策略
适度集中、控制风险 突出重点、分级保护 统筹规划、分步实施
人民银行信息系统网络结构
人民银行信息系统网络规划为涉密网、业 务网和互联网三大类，即总体安全框架“ 三纵三横两平台一端”中 “三纵”所指的 内容。如图所示：
第三方网络
涉密网
(涉密信息传输)
物理 隔离
业务网
内联网 金融卫星网 支付清算网
本地计算环境 区域边界 网络和基础设施
支撑基础设施
2.2 信息安全保证技术框架(IATF)
区域边界
区域是指在单一安全策略管理下、通过网络连接起来的计算设备的 集合
区域边界是区域与外部网络发生信息交换的部分
区域边界确保进入的信息不会影响区域内资源的安全，而离开的信 息是经过合法授权的
主讲内容
信息安全保障体系与总体框架
信息安全防护技术与应用分析
信息安全等级保护策略
信息安全保障体系与 总体框架
主讲内容
信息与网络安全的重要性及严峻性 信息安全保证技术框架
信息安全保障体系模型
人民银行信息安全总体技术架构
1、信息与网络安全的重要性及严峻性
信息是社会发展的重要战略资源。国际上围绕信息的获取、使用和控制 的斗争愈演愈烈，信息安全成为维护国家安全和社会稳定的一个焦点， 各国都给以极大的关注与投入。 网络信息安全已成为急待解决、影响国家大局和长远利益的重大关键问 题，它不但是发挥信息革命带来的高效率、高效益的有力保证，而且是 对抗霸权主义、抵御信息侵略的重要屏障，信息安全保障能力是21世纪 综合国力、经济竞争实力和生存能力的重要组成部分，是世纪之交世界 各国在奋力攀登的制高点。 网络信息安全问题如果解决不好将全方位地危及我国的政治、军事、经 济、文化、社会生活的各个方面，使国家处于信息战和高度经济金风 险的威胁之中。
解放军测评中心
中国信息安全认证中心
信息安全相关机构（Cont.）
行业协会
中国信息产业商会 信息安全产业分会 – 依托单位：中国信息安全测评中 心 中国信息协会 信息安全专业委员会
• 秘书处设在国家信息中心信息安全研究与服务中心。
中国互联网协会 网络与信息安全工作委员会
• 秘书处设在国家计算机网络应急技术处理协调中心
主讲内容
信息与网络安全的重要性及严峻性 信息安全保证技术框架
信息安全保障体系模型
人民银行信息安全总体技术架构
思考信息安全问题的7大模型 M_1: 整体定位模型和方法
M_2: 信息体系架构
M_3: 信息安全属性概念
M_4: 管理模型和方法
M_5: 技术功能模型和方法 M_6: 评价和决策模型和方法 M_7: 工程模型和方法
网络和基础设施
支撑基础设施
2、信息安全保证技术框架(IATF) 信息安全保证技术框架（Information Assurance Technical Framework：IATF ）将计算机信息系统分4个部分：
本地计算环境 区域边界 网络和基础设施
支撑基础设施
2.3 信息安全保证技术框架(IATF) 网络和基础设施在区域之间提供连接,包括
人民银行“三三二一”总体技术框架
人民银行信息安全分层逻辑模型
主讲内容
信息与网络安全的重要性及严峻性 信息安全保证技术框架
信息安全保障体系模型
人民银行信息安全总体技术架构
2、信息安全保证技术框架(IATF) 信息安全保证技术框架（Information Assurance Technical Framework：IATF ）将计算机信息系统分4个部分：
思考信息安全问题的7大模型
M_1: 整体定位模型和方法
阐述信息安全的整体定位和结构，综合构架和执行的方法
M_2: 信息体系架构
表述我们要保护的对象及其结构
M_3: 信息安全属性概念
阐述信息安全要达到的目标
M_4: 管理模型和方法
阐述信息安全管理
M_5: 技术功能模型和方法
本地计算环境 区域边界 网络和基础设施
支撑基础设施
2.1 信息安全保证技术框架(IATF)
信息安全保证技术框架将计算机信息系统分4个部分：
本地计算环境
服务器 客户端及其上面的应用（如打印服务、目录服务等） 操作系统 数据库 基于主机的监控组件（病毒检测、入侵检测）
2、信息安全保证技术框架(IATF) 信息安全保证技术框架（Information Assurance Technical Framework：IATF ）将计算机信息系统分4个部分：
终端用户工作站 web服务 应用 文件 DNS服务 目录服务等
信息安全相关机构
主管部门
公安部 国家保密局 国家密码管理局
安全部
中国工业和信息化部安全协调司
第三方测评认证机构
公安部计算机信息系统安全产品质量检验中心 国家保密局涉密信息系统安全保密测评中心 国家密码管理局商用密码检测中心 中国信息安全测评中心
当前我国的信息与网络安全研究处于忙于封堵现有信息系统的安全漏 洞，以致宏观安全体系研究上的投入严重不足，这样做是不能从根本
上解决问题的，急需从安全体系结构整体的高度开展强有力的研究工
作，从而能够为解决我国的信息与网络安全提供一个整体的理论指导 和基础构件的支撑，并为信息与网络安全的工程奠定坚实的基础，推 动我国信息安全产业的发展。
1、信息与网络安全的重要性及严峻性（Cont.）
我国信息化建设需要的大量基础设备依靠国外引进，无法保证我们的安全利 用和有效监控。因此，解决我国的信息安全问题不能依靠外国，只能走独立 自主的发展道路。 目前我国信息与网络安全的防护能力处于发展的初级阶段，许多应用系统处 于不设防状态。要用我国自己的安全设备加强信息与网络的安全性，需要大 力发展基于自主技术的信息安全产业，而自主技术的发展又必须从信息与网 络安全的基础研究着手，全面提高创新能力。
7个信息安全管理属性
目标性Focus 执行性Execution 效益性Cost-effective 时效性Time-bound 适应性Adaptive 全局性Coherence 合规性Compliance
参考：人民银行的描述 重大应用系统业务工作的连续可用性 业务工作责任的不可否认性 业务数据和信息的真实完整性 涉及国际秘密和行业敏感信息的保密性 什么人、可以访问什么资源、有什么权限 、以及控制授权范围内的信息流向及行为 方式等的可控性
国家及行业重要性的政策性及技术性文件
中办[2003]27号文件：国家信息化领导小组关于加强信息 安全保障工作的意见； 公信安[2007]861号文件:关于开展全国重要信息系统安全 等级保护定级工作的通知； 国保[2005]16号文件：关于印发《涉及国家秘密的信息系 统等级保护管理办法》；颁布《涉及国家秘密的信息系统 等级保护技术要求》国家保密标准的通知； 公通字[2004]66号文件：《关于信息安全等级保护工作的 实施意见》； 2005年9月国信办：《电子政务等级保护实施指南》； 公通字[2006]7号文件：《信息安全等级保护管理办法》 试行； 《信息安全风险评估指南》：2006年元月； 《信息安全等级保护信息系统运行安全管理要求》。
人行信息安全保障体系框架 中国人民银行科技司于2002年9月至12月组 织了《中国人民银行信息安全保障体系框 架》的研究编写。
人行框架的主要内容
3个战略阶段
规范加强、集中整合、综合保障
6项任务
保边、护线、强内、应急、规范、严管
5个能力
预警、保护、检测与评估、应急响应、灾难恢复
本地计算环境 区域边界 网络和基础设施
支撑基础设施
2.4 信息安全保证技术框架(IATF) 对网络和基础设施的安全要求主要是
鉴别
访问控制 机密性 完整性 抗抵赖性 可用性
2.4 信息安全保证技术框架(IATF) 支撑基础设施提供了一个IA机制在网络、 区域及计算环境内进行安全管理、提供安 全服务所使用的基础 主要为以下内容提供安全服务：
局域网（LAN） 校园网（CAN） 城域网（MAN） 广域网等
其中包括在网络节点间（如路由器和交换 机）传递信息的传输部件（如：卫星，微 波，光纤等），以及其他重要的网络基础 设施组件如网络管理组件、域名服务器及 目录服务组件等