IT業(yè)務審計基礎知識課程講義(共42頁).doc

1、IT業(yè)務審計基礎知識隨著計算機技術的高速發(fā)展，銀行計算機應用也日新月異。目前我行計算機應用幾乎涵蓋了所有的銀行業(yè)務，并依靠計算機技術的支持，不斷創(chuàng)新銀行業(yè)務。計算機應用的方式也從過去的單點單機處理方式逐步提高為全國大集中、24小時自助銀行、核心業(yè)務系統(tǒng)處理的方式。因各種原因造成計算機應用系統(tǒng)不能正常運行從而導致銀行業(yè)務停頓和資金損失的風險已經(jīng)成為最重大的金融風險之一，因此確保銀行計算機應用系統(tǒng)的安全可靠運行已顯得尤為重要，加強對IT審計也就勢在必行。第一章 IT業(yè)務審計的職責、審計范圍和審計流程1.1 IT審計職責 總行IT審計職責總行現(xiàn)場審計五部負責全行IT審計管理工作，其主要職責：（1）負

2、責制訂信息系統(tǒng)安全和電子渠道業(yè)務審計制度、手冊和工作計劃；（2）負責對全行信息系統(tǒng)安全和電子渠道業(yè)務的審計，包括對總行信息技術管理部、電子銀行部、軟件開發(fā)中心和數(shù)據(jù)處理中心內(nèi)控管理及業(yè)務部門計算機安全應用方面的審計；（3）參與總行業(yè)務應用軟件的開發(fā)審核，重點是軟件程序風險控制的審核，軟件投入應用前的測試、驗收等；（4）對全行信息系統(tǒng)安全和電子渠道業(yè)務進行審計并作出評價；評估各計算機業(yè)務處理系統(tǒng)在實現(xiàn)內(nèi)部控制制度各個環(huán)節(jié)方面的控制能力及可審計性，發(fā)現(xiàn)薄弱環(huán)節(jié)及時向有關部門提出建議。（5）對地區(qū)和省直分行所在地城市審計部，信息系統(tǒng)安全審計工作進行指導，并對其報送的信息系統(tǒng)專項審計報告進行審閱，提出

3、意見；（6）組織和實施全行性的信息系統(tǒng)和電子渠道業(yè)務審計；（7）負責省直分行及部分省轄行IT業(yè)務及電子渠道業(yè)務現(xiàn)場審計；（8）收集、分析、歸納、匯總IT業(yè)務和電子渠道業(yè)務審計信息，撰寫IT業(yè)務和電子渠道業(yè)務審計分析報告和工作總結(jié)等。（9）負責審計支持系統(tǒng)管理、運行維護工作。 地區(qū)審計部IT審計職責地區(qū)審計部分為華北、華東、華南、華西和東北審計部，作為總行審計部在各地區(qū)的延伸機構(gòu)，接受總行審計部的領導和管理，對地區(qū)審計部監(jiān)管范圍城市審計部實行領導和管理。其IT審計主要職責如下：（1）地區(qū)審計部按照總行審計部的要求開展IT審計工作，代表總行審計部對所監(jiān)管機構(gòu)開展IT審計監(jiān)督活動；（2）按照總行審計

4、部制定的IT審計工作制度和工作安排，研究制訂地區(qū)審計部的具體實施細則和工作計劃,并組織實施；（3）負責對轄內(nèi)行IT審計工作的領導和管理，進行IT審計工作的考核和評價；（4）對監(jiān)管范圍內(nèi)省轄行的IT業(yè)務和電子渠道業(yè)務風險控制狀況進行審計；（5）收集、分析、歸納、匯總IT業(yè)務和電子渠道業(yè)務審計信息以及各類分析報告和工作總結(jié)等，并上報總行審計部。1.2 IT審計范圍按照商業(yè)銀行風險導向?qū)徲嬙瓌t，IT審計包含科技應用和電子渠道業(yè)務相關風險控制內(nèi)容，其審計范圍如下： （1）信息安全策略與制度。檢查網(wǎng)絡、系統(tǒng)、應用、環(huán)境設施和電子渠道業(yè)務等方面的管理制度制訂及執(zhí)行情況。檢查安全策略合理性、完整性，檢查是否

5、根據(jù)總行相關規(guī)定制定相應的實施細則，是否覆蓋所有相關工作。（2）安全組織。檢查信息安全機構(gòu)和人員配置、職責及工作情況。檢查安全機構(gòu)工作的有效性。檢查人員安全保密職責、安全培訓等內(nèi)容。（3）信息資產(chǎn)的分類與控制。檢查信息資產(chǎn)的使用與管理。檢查相應的管理辦法和管理流程。（4）物理與環(huán)境安全。檢查放置設備的物理環(huán)境建設，包含機房門禁、供電、空調(diào)、消防、監(jiān)控等方面安全管理和維護情況。（5）通信與運營管理。檢查系統(tǒng)運行、監(jiān)控、故障處理以及數(shù)據(jù)備份等方面的安全管理。（6）訪問控制。檢查生產(chǎn)系統(tǒng)、網(wǎng)絡通訊、操作系統(tǒng)、應用程序等方面的訪問控制情況。（7）系統(tǒng)的開發(fā)與維護。檢查應用系統(tǒng)開發(fā)的立項、安全需求、測試

6、、系統(tǒng)文件安全、開發(fā)控制等方面的安全情況。（8）業(yè)務連續(xù)性計劃。檢查業(yè)務連續(xù)性計劃管理程序，包含計劃組織、管理、計劃演練和更新等方面情況。（9）符合性。檢查信息系統(tǒng)的設計、運行、使用和管理等方面是否符合現(xiàn)行的法律規(guī)定以及合同約定的安全要求。（10）電子渠道業(yè)務風險管理。檢查電子銀行風險管理體系和內(nèi)部控制體系。（11）網(wǎng)上銀行業(yè)務風險管理。檢查企業(yè)網(wǎng)上銀行、個人網(wǎng)上銀行和網(wǎng)上支付業(yè)務操作流程、崗位制約等風險控制情況。（12）自助渠道業(yè)務風險管理。檢查自助銀行、POS和電話銀行業(yè)務操作流程、風險防范等方面控制情況。（13）太平洋卡制作和使用管理情況。1.3 IT審計流程IT審計工作程序可劃分四個階

7、段：審計準備階段、審計實施階段、審計總結(jié)階段和審計追蹤階段。審計準備階段工作主要包含：收集分析與現(xiàn)場審計范圍相關的各類資料和數(shù)據(jù)，查找審計的可疑點，確定審計重點，制定審計方案，召開審計前準備會議，審計方案審批，發(fā)出審計通知書等。審計實施階段工作主要包含：進入現(xiàn)場，采取與分行相關人員會談溝通、問卷調(diào)查、數(shù)據(jù)分析、資料查證、現(xiàn)場檢查等多種方式進行審計，審計完畢，根據(jù)發(fā)現(xiàn)的問題撰寫審計問題底稿，與相關部門人員溝通發(fā)現(xiàn)的問題，整理、匯總檢查發(fā)現(xiàn)的問題，并請相關人員簽字確認問題底稿，審計結(jié)束后，向分行領導和相關部門人員反饋審計中發(fā)現(xiàn)的主要問題。審計總結(jié)階段工作主要包含：根據(jù)審計標準程式，對審計對象進行評

8、分，并作總體評價；召開審計分析會，對發(fā)現(xiàn)的問題進行剖析，并對確定問題的風險級別；撰寫審計報告，經(jīng)二級部高級經(jīng)理審核，并經(jīng)審計部領導審批后發(fā)送分行。對于風險級別較高的問題，形成專項報告，以審計情況等專報形式提交給總行高管層,同時抄送總行相關管理部門。審計追蹤階段工作主要包含：對于各級部門審計發(fā)現(xiàn)的問題整改情況進行跟蹤，定期跟蹤被審計對象的內(nèi)控管理，形成持續(xù)的監(jiān)控。1.4 IT審計準備工作現(xiàn)場審計進場前的準備工作是現(xiàn)場審計的前提和基礎，隨著我行大集中系統(tǒng)建成和推廣，現(xiàn)場審計前需不斷地與被審計單位溝通，調(diào)閱審計期間的相關資料，進行分析；同時，通過審計分析工具對數(shù)據(jù)進行篩選、歸類、分析?，F(xiàn)場審計準備工

9、作主要包含：收集分析與現(xiàn)場審計范圍相關的各類資料和數(shù)據(jù)，查找審計的可疑點，確定審計重點，制定審計方案，召開審計前準備會議，審計方案審批，發(fā)出審計通知書等。 現(xiàn)場審計進場前準備工作主要由主審人負責 資料收集審計前需收集被審計單位相關資料如下：（1）收集被審計單位的信息科技和電子渠道業(yè)務相關的管理制度、規(guī)定； （2）信息系統(tǒng)安全管理和電子渠道業(yè)務組織架構(gòu)及其人員名單。填寫人員崗位及職責分工表（見附表）；（3）年度計劃和工作總結(jié)，安全領導小組會議記錄；（4）對內(nèi)日常監(jiān)督檢查報告，外審審計報告以及整改落實情況；（5）填寫應用系統(tǒng)調(diào)查表（見附表），對使用的應用系統(tǒng)環(huán)境進行調(diào)查；（6）網(wǎng)絡拓撲結(jié)構(gòu)圖，IP

10、地址分配規(guī)則表，VLAN劃分控制表和網(wǎng)絡安全設計說明； （7）分行自行開發(fā)的特色業(yè)務系統(tǒng)及其運行環(huán)境，與第三方網(wǎng)絡通訊和訪問控制的安全策略；（8）中心機房內(nèi)主要物理設備及附屬設施的維修保養(yǎng)資料； （9）主要業(yè)務系統(tǒng)應急方案和演練記錄。附表1應用系統(tǒng)調(diào)查表被調(diào)查單位： 填表日期：200 年 月 日 填表人：序號應用系統(tǒng)運行環(huán)境應用系統(tǒng)維護人員備注名稱使用單位開發(fā)單位操作系統(tǒng)數(shù)據(jù)庫系統(tǒng)中間件名稱版本名稱版本名稱版本填表說明：填表內(nèi)容包含主機系統(tǒng)、各類業(yè)務前置機和監(jiān)控系統(tǒng)上運行的所有應用系統(tǒng)。附表2人員崗位及職責分工表被調(diào)查單位： 填表日期：200 年 月 日 填表人：序號姓名崗位管理的內(nèi)容備注主管

11、內(nèi)容兼管內(nèi)容填表說明：該表包含電腦部門所有人員，每人信息填寫一行。 審計準備會 在現(xiàn)場審計方案草擬后，分管總經(jīng)理組織審計小組成員，召開審計準備會。會議重點是聽取現(xiàn)場審計方案的匯報，研究被審計對象的信息系統(tǒng)管理、安全和電子渠道業(yè)務等方面內(nèi)部控制、風險管理情況，并對問題疑點、線索及異常情況進行分析，討論審計方案，確定具體審計內(nèi)容。 審計通知書根據(jù)審計準備會議的討論情況和會議決定，組織現(xiàn)場審計組落實審計準備會議決定的事項，并對現(xiàn)場審計方案進行修改和完善。擬寫審計通知書，審計通知書包括：審計小組人員、審計時間、審計范圍和審計主要內(nèi)容，以及需被審計單位提供的資料清單。完成審計方案和審計通知后，按照發(fā)文程

12、序報總經(jīng)理批準，并發(fā)送審計通知。 1.5 IT審計方案 現(xiàn)場審計組成員根據(jù)收集的資料和數(shù)據(jù)，分析資料和數(shù)據(jù)，了解被審計單位的管理和系統(tǒng)安全運行狀況，對其進行初步評估，根據(jù)風險導向原則，判斷被審計對象可能存在的風險領域、重點和可疑點，主審人根據(jù)可能存在的風險制定審計方案。IT現(xiàn)場審計方案的內(nèi)容一般包括：審計依據(jù)、審計目的、審計范圍、審計時間、審計內(nèi)容、審計重點、審計方法、審計標準，以及審計人員分工和職責等。1.5 .1 IT審計依據(jù)審計依據(jù)包括：年度審計部工作計劃，交通銀行內(nèi)部控制評價辦法，交通銀行審計標準程式的附件7信息系統(tǒng)安全，電子渠道業(yè)務審計要點，國家相關部門制訂的有關信息系統(tǒng)和電子渠道業(yè)

13、務的法規(guī)、管理制度、規(guī)定、辦法和指引，交通銀行制訂的信息系統(tǒng)和電子渠道業(yè)務的各項規(guī)章制度。1.5 .2 IT審計方式 審計方式有多重形式，根據(jù)現(xiàn)場審計情況的不同，采取不同的審計方式，一般IT審計方式包括：與分行相關人員會談溝通、問卷調(diào)查、數(shù)據(jù)分析、資料查證、現(xiàn)場檢查等多種方式進行。1.5 .3 IT審計內(nèi)容 IT審計內(nèi)容主要由信息系統(tǒng)安全和電子渠道業(yè)務兩大部分組成。信息系統(tǒng)安全審計內(nèi)容包括：制度制定與執(zhí)行、安全組織管理、信息資產(chǎn)管理、機房環(huán)境設施、通訊與運營維護管理、訪問控制、系統(tǒng)開發(fā)、業(yè)務連續(xù)性管理和符合性。 電子渠道業(yè)務審計內(nèi)容包括：組織與制度建設、電子渠道風險管理、企業(yè)網(wǎng)上銀行、個人網(wǎng)上

14、銀行、自助銀行、POS系統(tǒng)、電話銀行、第三方服務管理、業(yè)務應急管理、數(shù)據(jù)備份管理等方面。根據(jù)每次審計要求與被審計對象情況，可以選擇全部或部分內(nèi)容作為本次審計內(nèi)容。第二章 IT審計的基本內(nèi)容2.1 安全策略審計其目標是確保我行擁有明確的信息安全方針以及配套的策略和制度，以實現(xiàn)對信息安全工作的支持和承諾。同時，保證信息安全的資金投入。信息安全的方針策略是在交通銀行策略下，由交通銀行業(yè)務策略、交通銀行安全策略、交通銀行IT策略衍生出來交通銀行IT安全策略。 安全策略的制定IT安全策略制定：制定全面、詳細、完整的信息安全策略和規(guī)范；信息安全策略應涉及以下領域：安全制度管理、信息安全組織管理、資產(chǎn)管理、

15、人員安全管理、物理與環(huán)境安全管理、通信與運營管理、訪問控制管理、系統(tǒng)開發(fā)與維護管理、信息安全事故管理、業(yè)務連續(xù)性管理、合規(guī)性管理。信息安全策略的下發(fā)：信息安全策略和安全職能要求應以適當?shù)姆绞絺鬟_給所屬所有機構(gòu)、部門和分支行。安全策略的執(zhí)行信息安全策略的執(zhí)行：銀行所有員工應充分理解信息科技風險管理制度和流程，熟悉了解信息安全策略目標和各自崗位的信息安全要求，并參照執(zhí)行。按期完成信息安全策略中制訂的安全目標或承諾（如提供人、財、物以及管理等方面的支持）；安全管理人員是否能闡明實現(xiàn)信息安全的途徑和辦法。各機構(gòu)和各崗位人員應嚴格遵從信息安全策略、規(guī)范、操作流程等各項規(guī)章制度。目標的總結(jié)和評價：安全管理

16、人員應清晰闡明實現(xiàn)信息安全目標的途徑辦法及措施。相關職能部門應定期核實并評價全行，信息技術部門及安全員等不同層面的年度工作計劃中應包含信息安全目標的預期和完成情況。日常檢查工作監(jiān)督管理：總行信息技術管理部應對各分行、省分行對轄內(nèi)省轄分行、以及各網(wǎng)點支行應行使有效監(jiān)督管理的職能。信息安全檢查：信息技術部門及安全員應定期進行安全檢查（包含省轄行，分行技術部，各網(wǎng)點），應有詳細的檢查報告；對安全檢查的結(jié)果應進行后續(xù)風險評估，建立問題跟蹤和后評估機制，相關文檔資料應齊全詳細。對審計問題的評估和整改：根據(jù)外部獨立機構(gòu)檢查、審計信息系統(tǒng)安全的報告，應對第三方信息安全的評價情況和提出的問題建議進行風險評估。

17、針對各類信息系統(tǒng)安全的審計和檢查情況，結(jié)合自身實際情況的評估，制定相應的整改措施進行有效整改。對可接受的風險應進行進一步評估和說明。2.2 組織與人員審計組織與人員審計其目標就是保證安全工作的人力資源要求。避免由于人員和組織上的錯誤產(chǎn)生的信息安全風險。組織架構(gòu)交通銀行信息安全保障領導小組是交通銀行信息系統(tǒng)安全管理的領導機構(gòu)。信息技術管理部是信息安全保障主管部門，承擔信息安全領導小組辦公室職能，同時下設信息安全管理部，負責信息安全保障日常事務工作。信息安全保障領導小組的工作職責是：領導全行信息安全保障工作，研究信息安全保障的形勢和策略，部署信息安全保障任務，審查信息安全保障規(guī)劃和信息安全保障重大

18、項目方案，檢查重要業(yè)務應用系統(tǒng)、核心網(wǎng)絡系統(tǒng)的應急預案及落實情況，處理重大信息安全事件，定期召開工作例會，聽取關于信息安全方面的情況報告。各省直分行和省轄分行均應成立信息安全保障領導小組，并向總行信息技術管理部報備。分行信息安全保障領導小組是本行信息系統(tǒng)安全管理的領導機構(gòu)。分行信息科技部門安全管理職能機構(gòu)（信息安全科）的主要職責：（1）在本行信息安全保障領導小組的領導與指導下，貫徹執(zhí)行上級行信息安全保障領導小組的決議，承擔信息安全管理的日常事務工作；（2）定期向領導小組及上級行報告本行的信息安全狀況，對存在的問題進行分析以及提出解決問題的建議，供領導決策參考；（3）在遵從總行的安全管理規(guī)定和安

19、全策略的情況下，制定本行的安全管理制度和實施細則，檢查、指導和監(jiān)督各項安全制度的執(zhí)行；貫徹執(zhí)行上級行制定的計算機安全保護規(guī)范及實施方案，確保本行信息系統(tǒng)安全；（4）定期向上級行提交信息安全檢查報告，對存在的問題進行匯總分析，提出整改措施，落實整改意見，跟蹤整改工作的完成情況；（5）參與本行計算機信息系統(tǒng)工程建設中的安全規(guī)劃和方案研究，監(jiān)督安全措施的執(zhí)行，確保應用開發(fā)環(huán)節(jié)中的信息安全；（6）組織本行信息安全技術培訓和宣傳工作。角色和責任明確信息安全相關崗位的角色和職責，其目標是降低由于信息安全的角色和責任混亂導致的人為錯誤、盜竊、詐騙或設備誤用等產(chǎn)生的風險。總行機構(gòu)設立主管信息安全的管理部門和相

20、應人員；省直分行成立信息安全科并設置專職信息安全員；省轄行設置專職或兼職信息安全員，負責分行信息安全的日常管理工作；同時應有安全工作計劃，定期開展工作，并有相應的文檔資料。各機構(gòu)對全行信息系統(tǒng)確定一個總的安全責任人，對全行信息系統(tǒng)的安全負主要責任；對全行每一個信息系統(tǒng)（軟件、硬件）確定一個責任人，對該信息系統(tǒng)的安全運行負主要責任。專（兼）職信息安全員應履行以下職責：（1）負責信息安全管理的日常工作；（2）開展信息安全檢查工作，對要害崗位人員安全工作進行指導；（3）開展信息安全知識的培訓和宣傳工作；（4）監(jiān)控信息系統(tǒng)安全總體狀況，提出安全分析報告；（5）了解行業(yè)動態(tài)，為改進和完善信息安全管理工作

21、，提出安全防范建議；（6）及時向本行信息安全保障領導小組和有關部門、單位報告信息安全事件；（7）參與本行計算機信息系統(tǒng)工程建設中的安全規(guī)劃和方案研究，監(jiān)督安全措施的執(zhí)行，確保應用開發(fā)環(huán)節(jié)中的信息安全；（8）負責在授權(quán)范圍內(nèi)的其它管理、維護工作?？萍既藛T配置：加強信息科技專業(yè)隊伍的建設。各機構(gòu)的信息科技人員配置應合理有效，符合內(nèi)部控制要求。重要崗位應有角設置，關鍵業(yè)務操作（如：重要密碼的輸入、重要參數(shù)的修改等）應采用雙人進行。安全教育和培訓其目標是確保全體安全參與者都意識到信息安全的威脅和利害關系，并具有在日常工作過程中支持組織安全方針的能力。各級行應定期組織對本行信息安全員的技術培訓、管理培訓

22、和考核。組織本機構(gòu)信息系統(tǒng)人員進行有關業(yè)務、技術和安全培訓。定期對技術人員進行信息安全的教育培訓，如防病毒、網(wǎng)絡攻擊等培訓。所有與信息系統(tǒng)相關的員工應定期接受適當?shù)陌踩嘤?包括法規(guī)教育，安全知識教育和職業(yè)道德教育等信息安全培訓。人員安全人員安全包含安全責任、人員錄用、保密協(xié)議等方面內(nèi)容員工工作職責：對信息技術人員應有明確的工作職責和崗位操作規(guī)程；應將有關重要工作進行職責分離（如：開發(fā)人員與生產(chǎn)維護人員分開，系統(tǒng)管理人員與網(wǎng)絡管理人員分開），相互制約。員工安全責任：工作職責中應包含員工的安全角色定義和相關安全責任說明。人員錄用：在招聘新員工時應要求技術人員具備良好的職業(yè)道德，并掌握履行信息系統(tǒng)

23、相關崗位職責所需的專業(yè)知識和技能。對員工的資質(zhì)、教育背景、專業(yè)能力都應有嚴格的審查機制。 保密協(xié)議：重要崗位人員應與銀行簽訂保密協(xié)議，或在合同中注明保密條款。崗位要求：技術人員未經(jīng)崗前培訓或培訓不合格者不得上崗；經(jīng)考核不合格的技術人員應及時進行調(diào)整。外協(xié)單位安全管理外協(xié)單位是指為交行提供硬件設備、系統(tǒng)軟件、產(chǎn)品的廠商、服務商或參與交行應用項目開發(fā)的外協(xié)公司等。開發(fā)計算機應用項目需與外協(xié)單位合作的，應由科技部門負責總體結(jié)構(gòu)設計。對需要外協(xié)單位提供技術支持的部分，原則上應該抽象為相對獨立的產(chǎn)品，由外協(xié)單位提供產(chǎn)品服務。開發(fā)計算機應用項目需與外協(xié)單位合作時，必須事先簽訂技術合作協(xié)議，明確產(chǎn)品的知識產(chǎn)

24、權(quán)歸屬；對于知識產(chǎn)權(quán)屬于交行所有或雙方共有的，必須要求外協(xié)單位提交該產(chǎn)品的詳細源代碼和相關技術資料。外協(xié)單位提供的產(chǎn)品中所涉及的操作密碼和加解密密鑰必須與產(chǎn)品相對獨立，并由交行獨立決定和掌握。在產(chǎn)品交接時，科技部門應根據(jù)規(guī)定及時更改操作密碼和系統(tǒng)密鑰，并嚴格保密。確需外協(xié)單位人員參與產(chǎn)品開發(fā)工作的，必須有交行工作人員全程陪同，并限定外協(xié)單位人員的訪問權(quán)限，嚴禁外協(xié)單位開發(fā)人員在無人陪同的情況下進入開發(fā)或生產(chǎn)環(huán)境。簽訂計算機軟、硬件產(chǎn)品采購合同時，必須要求產(chǎn)品供應商承擔計算機軟、硬件產(chǎn)品保修期內(nèi)的維修和升級責任；在條件允許的情況下，還應要求產(chǎn)品供應商承擔產(chǎn)品使用的培訓責任。協(xié)調(diào)與溝通機制：建立溝

25、通機制提高事故處理能力，應建立信息系統(tǒng)相關部門之間、與外部監(jiān)管部門、第三方服務提供商和電信運營商的合理聯(lián)系方式，以提高事故處理能力。2.3 信息資產(chǎn)管理審計 信息資產(chǎn)是指對交行業(yè)務和管理具有價值的信息及其載體，包括對其進行生成、獲取、處理、傳遞、存儲的設施、服務和崗位人員?？傂行畔⒓夹g管理部是全行信息資產(chǎn)的信息安全歸口管理部門，負責制定信息資產(chǎn)的安全保護策略，監(jiān)控信息資產(chǎn)安全管理的有效性；定期匯總分析全行信息資產(chǎn)保護情況，向總行信息安全保障領導小組、總行風險管理委員會和上級監(jiān)管部門報告交行信息安全管理狀況。信息資產(chǎn)分類交行信息資產(chǎn)按形式分為五類，即數(shù)據(jù)資產(chǎn)、軟件資產(chǎn)、實物資產(chǎn)、人員資產(chǎn)和服務資

26、產(chǎn)。數(shù)據(jù)資產(chǎn)指經(jīng)計算機采集、處理、傳輸和存儲的信息數(shù)據(jù)，包括存儲在計算機、存儲設備和存儲介質(zhì)上的業(yè)務數(shù)據(jù)、客戶信息、配置文件、記錄數(shù)據(jù)、日志文件、管理文件、商務文件，及相應打印件、紙質(zhì)文件、報表和膠片等。軟件資產(chǎn)指負責對信息進行采集、處理、傳輸和存儲的各類軟件及相應文檔資料，如系統(tǒng)軟件、應用軟件、工具軟件，及相應功能說明書、使用說明書等。實物資產(chǎn)指與信息處理相關的各類固定資產(chǎn)，如計算機、網(wǎng)絡通信設備、存儲設備、機房及機房設施等。人員資產(chǎn)指在信息及相關系統(tǒng)建設、運行、維護和管理過程中承擔相應職責的崗位人員。服務資產(chǎn)指在信息運用過程中所需的各種服務支持，如合作開發(fā)、咨詢、審計、設備維護、數(shù)據(jù)錄入、

27、印刷、分發(fā)、通信線路租用、安全保衛(wèi)、衛(wèi)生保潔、供水供電等。信息資產(chǎn)保護根據(jù)信息資產(chǎn)在保密性、完整性和可用性三個方面所表現(xiàn)出的不同重要程度，將信息資產(chǎn)按“三性”分別劃分為1到5五個安全級別（分級標準見附件1）（1、2級屬一般資產(chǎn)，3、4級屬重要資產(chǎn)，5級屬關鍵資產(chǎn)）。信息資產(chǎn)分級標準級別取值參考標準描述保密性Confidentiality完整性Integrity可用性Availability一般資產(chǎn)人員/服務一般資產(chǎn)人員/服務一般資產(chǎn)人員/服務5核心商密：包含組織最重要的秘密，關系組織未來發(fā)展和前途命運，對組織根本利益有著決定性的影響，如果泄露會造成災難性的損害可以接觸/存取核心商密的人員或服務

28、完整性價值極高，未經(jīng)授權(quán)的修改或破壞會對組織造成重大的或無法接受的影響，對業(yè)務沖擊重大，并可能造成嚴重的業(yè)務中斷，難以彌補該人員或服務所擁有的知識、能力或經(jīng)驗對我行運營及發(fā)展特別重要可用性價值非常高，合法使用者對信息及信息系統(tǒng)的可用度達到年度99.93%以上，或系統(tǒng)一次中斷時間小于10分鐘該類人員或服務的響應要求特別高（要求7*24現(xiàn)場工作）4重要商密：包含組織的重要秘密，其泄露會使組織的安全和利益受到嚴重損害可以接觸/存取重要商密的人員或服務完整性價值較高，未經(jīng)授權(quán)的修改或破壞會對組織造成重大影響，對業(yè)務沖擊嚴重，較難彌補該人員或服務所擁有的知識、能力或經(jīng)驗對我行運營及發(fā)展非常重要可用性價值

29、較高，合法使用者對信息及信息系統(tǒng)的可用度達到年度99.9%以上，或系統(tǒng)一次中斷時間小于30分鐘該類人員或服務的響應要求非常高（要求7*24電話待命，并能在10分鐘內(nèi)趕到現(xiàn)場）3一般商密：包含組織的一般性秘密，其泄露會使組織的安全和利益受到損害可以接觸/存取一般商密的人員或服務完整性價值中等，未經(jīng)授權(quán)的修改或破壞會對組織造成影響，對業(yè)務沖擊明顯，但可以彌補該人員或服務所擁有的知識、能力或經(jīng)驗對我行運營及發(fā)展比較重要可用性價值中等，合法使用者對信息及信息系統(tǒng)的可用度達到99%以上，或系統(tǒng)一次中斷時間小于60分鐘該類人員或服務的響應要求比較高（要求7*24電話待命，并能在1小時內(nèi)趕到現(xiàn)場）2內(nèi)部使用

30、：僅包含能在組織內(nèi)部或在組織內(nèi)某一部門內(nèi)公開的信息，向外擴散有可能對組織的利益造成輕微損害可以接觸/存取內(nèi)部信息的人員或服務完整性價值較低，未經(jīng)授權(quán)的修改或破壞會對組織造成輕微影響，對業(yè)務沖擊輕微，容易彌補該人員或服務所擁有的知識、能力或經(jīng)驗對我行運營及發(fā)展作用一般可用性價值一般該類人員或服務的響應要求一般（要求7*24電話支持，要求2天內(nèi)趕到現(xiàn)場）1公開：可對社會公開的信息，公用的信息處理設備和系統(tǒng)資源等不能接觸/存取任何涉密信息的人員或服務完整性價值非常低，未經(jīng)授權(quán)的修改或破壞會對組織造成的影響可以忽略，對業(yè)務沖擊可以忽略該人員或服務所擁有的知識、能力或經(jīng)驗對我行運營及發(fā)展可以忽略可用性價

31、值可以忽略該類人員或服務的響應要求較低交行常用信息資產(chǎn)涉密分級參考：（1）公開信息：交行宣傳材料、公開的行務信息、公開的財務報告；（2）內(nèi)部信息：工作動態(tài)、行務信息、操作信息、一般工作人員聯(lián)系方法；（3）一般商密：交行規(guī)劃、計劃、系統(tǒng)維護文檔、應急預案、審計報告；（4）重要商密：開發(fā)文檔資料、客戶個人信息、客戶帳務信息、交易流水、訪問口令、網(wǎng)絡配置信息、系統(tǒng)日志、維護日志；（5）核心商密：交行經(jīng)營策略、信息安全方案、網(wǎng)絡拓撲、加解密算法及程序、密鑰。信息標識和處理建立了一套流程來對信息（如：程序、變量、數(shù)據(jù)庫、參數(shù)表、密碼、密鑰、加密機、柜員號、文檔資料等）進行標識、處理。信息的標識在信息系統(tǒng)

32、范圍內(nèi)應清晰、明確、唯一。 涉密信息管理統(tǒng)計并有效管理存儲機密、秘密資源的設備、終端和介質(zhì)等。涉及機密資源的設備、介質(zhì)等應統(tǒng)一編號，并標明備份日期、密級以及保密期限。應采取切實可行的措施（如網(wǎng)絡隔離，防病毒軟件等）杜絕信息泄密的隱患。涉秘設備在維修、更換或報廢時應刪除數(shù)據(jù)、拆除涉密部件以及有記錄等要求。對介質(zhì)應加以管理和基于物理上的保護。應建立合適的操作流程來保護計算機介質(zhì)（磁帶、軟盤、盒式磁帶）、輸入/輸出數(shù)據(jù)和系統(tǒng)文件免受損壞、盜用和未授權(quán)的訪問。涉秘介質(zhì)應定期檢查和轉(zhuǎn)存。信息資產(chǎn)報廢與銷毀各類硬件設備、數(shù)據(jù)介質(zhì)等資產(chǎn)的報廢應制定明確的審批流程，對設備中涉及的業(yè)務數(shù)據(jù)、文檔資料或敏感信息等

33、數(shù)據(jù)應采用技術措施或物理手段確保不可恢復性刪除。整個過程應有審批手續(xù)和登記記錄。 2.4 機房物理環(huán)境安全審計計算機機房包括：總行數(shù)據(jù)中心機房、總行各類生產(chǎn)設備機房、省分行、直屬分行、省轄行中心機房。按照工作性質(zhì)和重要程度對機房進行分級分類管理，具體分為四類：A類機房總行數(shù)據(jù)中心機房、總行災備中心機房；B類機房總行開發(fā)中心、省分行和直屬分行中心機房；C類機房省轄分行中心機房；D類機房其它機房。機房建設安全管理的各項內(nèi)容應符合相關國家標準。分行新中心計算機機房建造設計方案應通過上級行技術管理部門的審批。分行中心計算機機房建造完工后，應通過有資質(zhì)的質(zhì)檢部門和消防部門以及上級行的科技部門、審計部門、

34、保衛(wèi)部門等有關部門的檢查，并出具檢查報告。機房區(qū)域安全機房和辦公場地應選擇在具有防震、防風和防雨等能力的建筑內(nèi)；機房場地應避免設在建筑物的高層或地下室，以及用水設備的下層或隔壁。各機構(gòu)中心機房應依據(jù)要求實現(xiàn)物理功能分區(qū)（總行A類分區(qū)、省直分行B類分區(qū)、省轄行C類分區(qū)）；各分區(qū)入口應獨立設置；不同分區(qū)之間間隔體、窗戶、中心機房大門、各分區(qū)門的強度和牢固性應符合相關要求；不同分區(qū)間(如天花板上方和地板下方）應有效隔離。中心機房所在樓層和位置不應存在被外部識別的情況，應采取有效的隱蔽措施；機房周邊（100米內(nèi)）嚴禁存在如加油站，變電站等潛在的安全隱患。物理訪問控制機房出入應安排專人負責，控制、鑒別和

35、記錄進入的人員；需進入機房的來訪人員應經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍；應對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間設置物理隔離裝置，在重要區(qū)域前設置交付或安裝等過渡區(qū)域；重要區(qū)域應配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員；機房出入口應配置電子門禁系統(tǒng)，重要區(qū)域應配置第二道電子門禁系統(tǒng)。各分區(qū)應具有獨立的門禁控制器進行控制；門禁系統(tǒng)中各人員可進出區(qū)域應與崗位指責相匹配，采用最小授權(quán)原則對機房分區(qū)進行物理訪問；門禁卡應實行實名記錄和管理，并定期更新；門禁系統(tǒng)是否由保衛(wèi)部門管理以實現(xiàn)部門和崗位的制約。設備定位和保護機房內(nèi)設備必須嚴格定位和保護，應將主要設備放置在機房內(nèi)；將設備或主要部件進

36、行固定，并設置明顯的不易除去的標記；機架之間、設備之間應留有合理空間，保證不會碰撞和今后維護方便。應將通信線纜鋪設在隱蔽處，可鋪設在地下或管道中。供電系統(tǒng)中心機房配電系統(tǒng)應為雙路供電，并設置防雷擊保護裝置。中心機房應備有應急照明，攝像區(qū)域應備有值班照明。主機系統(tǒng)、網(wǎng)絡通訊、重要業(yè)務系統(tǒng)前置機等重要計算機設備應通過專用不間斷電源UPS供電，此類UPS電源不準接入其它電子設備。UPS應定期進行放電檢測，其負載應不超過有效輸出功率的80%，并應均勻分配在三相線路上。各類監(jiān)控報警設備、消防設備、值班照明、應急照明等應與機房設備采用不同UPS供電。A類機房UPS配備必須符合2（N1）并聯(lián)冗余方式，B類機

37、房UPS配備應符合2N并聯(lián)冗余方式。應配備發(fā)電機或與供電單位簽供電協(xié)議以對中心機房進行應急供電；發(fā)電機的功率及油量應滿足機房功率和發(fā)電要求，同時確保油庫的安全性；發(fā)電機應定期保養(yǎng)和演練，并進行文檔記錄。應按UPS維保合同條款進行定期巡檢；每次維保應全面到位，進行定期放電檢測并檢查電池接頭的牢固性?？照{(diào)系統(tǒng)總行、省直分行中心機房、電池室應配備機房專用精密空調(diào)，省轄行應配備精密機房專用空調(diào)，或能24運行、自啟動的商用空調(diào)；機房空調(diào)四周應設置防水隔離壩，并采取足夠的防護措施以保證防空調(diào)漏水的發(fā)生和及時報警；A類、B類機房精密空調(diào)控制模塊配置應為N+1冗余方式。消防系統(tǒng)機房應設置滅火設備；設置火災自動

38、報警系統(tǒng)和火災自動消防系統(tǒng)，能夠自動檢測火情、自動報警，并自動滅火；機房及相關的工作房間和輔助房應采用具有耐火等級的建筑材料；機房應采取區(qū)域隔離防火措施，將重要設備與其他設備隔離開。中心機房的地板、隔墻、天花吊頂?shù)仁覂?nèi)裝飾材料必須采用阻燃材料。機房應設置應急通道，應急逃生通道應通暢，嚴謹堆放雜物；走廊、安全出口、樓梯間應有明顯的疏散指示標志；逃生門應有效啟用，處于外部關閉、內(nèi)部應急可開啟狀態(tài)。機房消防系統(tǒng)的滅火介質(zhì)應符合機房要求，定期檢測消防報警系統(tǒng)各檢測點和噴淋介質(zhì)（如鋼瓶壓力等）的有效性；消防開關應設置為手動狀態(tài)；火災報警系統(tǒng)和自動滅火系統(tǒng)應與門禁系統(tǒng)聯(lián)動；中心機房應配備專用空氣呼吸器或氧

39、氣呼吸器。相關值班人員應熟知緊急情況的應急啟動流程，定期對相關人員進行消防演練和培訓并保存相關記錄。防雷設置機房建筑應設置避雷裝置；機房應設置交流電源地線；設置防雷保安器，防止感應雷。防雷擊系統(tǒng)應出具專業(yè)機構(gòu)的驗收檢測報告；防雷接地電阻應小于2歐姆。防漏水系統(tǒng)中心機房、電池室等空調(diào)區(qū)域應配備防漏水裝置并確保漏水報警裝置的有效性；機房內(nèi)地面、天花板和墻面應杜絕滲漏水隱患。對穿過機房墻壁和樓板的水管增加必要的保護措施；應采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透；水管安裝，不得穿過機房屋頂和活動地板下；應采取措施防止機房內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透；應安裝對水敏感的檢測儀表或元件，對機房進

40、行防水檢測和報警。錄像監(jiān)控計算機中心機房區(qū)域配置攝像機的監(jiān)視范圍包括：中心機房區(qū)域與外界相通的走廊及進出口，主機房、前置機房、網(wǎng)絡通信機房、UPS機房、空調(diào)機房、ECC室等機房內(nèi)的重要設備及進出口，監(jiān)控值班室內(nèi)及進出口?；胤艌D像應全視角顯示區(qū)域內(nèi)安裝的重要設備情況；清晰顯示區(qū)域內(nèi)人員進出及操作重要設備情況，但不應看到鍵盤操作。錄像記錄方式為24小時實時錄像。A、B、C類機房必須配備24小時監(jiān)控錄像裝置和報警按鈕，監(jiān)控攝像頭應安裝在機房外門、主機室、通訊室、電源室等處，機房錄像監(jiān)控應能看清進入機房人員臉部，監(jiān)控關鍵設備操作位置，屏蔽鍵盤輸入?yún)^(qū)。監(jiān)控錄像的保存時間應不少于三個月。攝像機電源應專線集

41、中供電，配備不間斷電源。A、B、C類機房的監(jiān)控信息必須到達保衛(wèi)部門的監(jiān)控室。環(huán)境集中監(jiān)控系統(tǒng)對機房環(huán)境設施（UPS、消防、漏水、空調(diào)等）應采用集中監(jiān)控系統(tǒng)；集中監(jiān)控系統(tǒng)中采集的各類數(shù)據(jù)應確保其真實性，不存在誤差，并合理設置報警閥值（如溫度、濕度）； 對聲音、短信和電話等報警模式的設置應有效、切實、可行。設備維護與保養(yǎng)及時與第三方簽署對各類中心機房硬件設備的維保合同；合同中應對維保期限、維保內(nèi)容、違約條款和責任界定等條款進行明確約定。按照維保合同約定的維保頻率定期對各類設備實施維修保養(yǎng)；維保過程應全面到位，維修保養(yǎng)記錄應真實詳細，內(nèi)容規(guī)范。建立設備維修授權(quán)表，只有得到授權(quán)的維護人員才能夠?qū)υO備進

42、行維修和保養(yǎng)。有外公司人員來分行進行維護時，應有本行同事陪同。網(wǎng)點機房環(huán)境應確實保證網(wǎng)點機房的物理安全，溫度、濕度、環(huán)境設施配置等控制措施應由專人管理；網(wǎng)絡通信設備等應采用機柜上鎖管理，避免掉電和人為故障等隱患。對營業(yè)網(wǎng)點的公共設備（如客戶操作、查詢終端等）應確保其網(wǎng)絡安全，杜絕存在入侵內(nèi)部局域網(wǎng)的可能；營業(yè)網(wǎng)點公共區(qū)域應避免存在裸露的網(wǎng)口非法介入局域網(wǎng)。網(wǎng)點錄像監(jiān)控設備的日常管理和調(diào)閱應由專人負責和授權(quán)，應覆蓋重要區(qū)域，監(jiān)控數(shù)據(jù)應保存達到一個月以上。值班管理信息科技部制定相關人員應急處置的規(guī)范流程，以及制定日常值班的操作規(guī)程。并在中心機房供電、空調(diào)溫度、濕度、漏水檢測等環(huán)境設施報警后，按照此

43、流程執(zhí)行。應安排專責運行人員對機房24小時運行值班； A類、B類機房運行值班人員應與系統(tǒng)網(wǎng)絡、開發(fā)、維護人員分離；對機房環(huán)境監(jiān)控發(fā)現(xiàn)的問題應及時跟蹤確認，及時通知相關人員進行解決。值班人員應把所有可疑故障和實際發(fā)生的事故記錄下來，并同時記錄處理過程、處理人、處理時間、影響業(yè)務時間。 2.5 運行維護管理審計運行維護管理目標就是確保應用系統(tǒng)在上線、運行和維護的整個過程都能安全地、穩(wěn)定地、不間斷地支持業(yè)務運作。運行維護管理應有如下控制措施：（1）對每個生產(chǎn)系統(tǒng)，必須制定應急處理流程和應急處理方案。（3）故障一旦發(fā)現(xiàn)，必須保證及時快速的定位和提出解決方案。（4）對生產(chǎn)系統(tǒng)進行維護之前，必須有詳細的維

44、護操作方案、步驟和維護目標。（5）故障排除和系統(tǒng)維護時應該盡可能做到不影響生產(chǎn)系統(tǒng)正常和穩(wěn)定運行。（6）對生產(chǎn)系統(tǒng)進行維護時，維護人員必須在我行工作人員至少雙人監(jiān)督下進行。（7）必須嚴格做好系統(tǒng)維護日志。（8）必須做好系統(tǒng)數(shù)據(jù)和業(yè)務數(shù)據(jù)的常規(guī)清理方案，并按方案嚴格執(zhí)行。崗位職責和操作流程各級分行應設立生產(chǎn)運行崗，負責本行的生產(chǎn)運行管理。運行崗應與應用開發(fā)崗分離，不得兼崗。運行維護管理崗位職責：根據(jù)業(yè)務發(fā)展需要，制定符合每個生產(chǎn)系統(tǒng)特點的維護管理流程和辦法，并貫徹執(zhí)行各項管理制度，建立問題管理和跟蹤機制。做好生產(chǎn)系統(tǒng)的運行和維護工作，確保系統(tǒng)的正常運行。組織實施生產(chǎn)運行系統(tǒng)故障的維護工作；承擔電

45、腦設備的維護管理工作，報障硬件設備的正常運轉(zhuǎn)。分行配合總行做好IT服務臺的管理。問題管理流程內(nèi)容包括：故障報告、故障分析定位、故障解決方案、故障排除和生產(chǎn)測試的環(huán)節(jié)。生產(chǎn)運行監(jiān)控其目標是在系統(tǒng)運行過程中，通過系統(tǒng)監(jiān)控，及時發(fā)現(xiàn)可能存在的問題，確保生產(chǎn)系統(tǒng)的穩(wěn)定和安全。系統(tǒng)運行安全的內(nèi)容包括：（1）必須做好故障的預測和防范措施，制定人員責任范圍，定期進行生產(chǎn)系統(tǒng)的檢查和運行分析報告。（2）確保系統(tǒng)硬件配置、系統(tǒng)參數(shù)和整體性能滿足業(yè)務發(fā)展的需要。（3）系統(tǒng)運行過程中，必須做好系統(tǒng)硬件各部件狀態(tài)的監(jiān)控、軟件運行狀態(tài)的監(jiān)控、數(shù)據(jù)庫系統(tǒng)狀態(tài)的監(jiān)控、網(wǎng)絡狀態(tài)的監(jiān)控。變更維護管理生產(chǎn)系統(tǒng)的變更是指各類生產(chǎn)系

46、統(tǒng)、生產(chǎn)環(huán)境的各種變動，包括生產(chǎn)系統(tǒng)、生產(chǎn)環(huán)境涉及到的所有的硬件設備、系統(tǒng)軟件、應用軟件（包括應用執(zhí)行程序）、工具軟件、網(wǎng)絡設備、安全設備和機房設備等。生產(chǎn)變更的執(zhí)行人員應為生產(chǎn)運行管理人員或運行操作員，嚴禁應用開發(fā)維護人員直接負責生產(chǎn)變更，確保開發(fā)與生產(chǎn)的相對分離。生產(chǎn)變更實施前必須經(jīng)過嚴格的測試和驗證，同時應做好系統(tǒng)、數(shù)據(jù)、應用執(zhí)行程序等備份并制定相應的回退方案。生產(chǎn)變更必須嚴格履行變更手續(xù)，填寫變更申請表，說明變更的原因、緩急程度以及變更需求等內(nèi)容，并由部門主管領導簽字認可。涉及系統(tǒng)升級等比較復雜的生產(chǎn)變更必須制定詳細的變更方案和操作流程，確保系統(tǒng)安全。總行數(shù)據(jù)中心的生產(chǎn)變更應嚴格執(zhí)行生

47、產(chǎn)變更管理辦法。各級分支機構(gòu)科技部門應根據(jù)本行情況制定相應的生產(chǎn)變更管理細則及詳細的生產(chǎn)變更流程。數(shù)據(jù)備份管理數(shù)據(jù)備份策略：識別需要定期備份的重要業(yè)務信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；制定完整、全面的數(shù)據(jù)備份策略和異地備份策略，明確備份內(nèi)容、頻率、介質(zhì)、保存期限、存放要求等各環(huán)節(jié)。備份策略指明備份數(shù)據(jù)的放置場所、文件命名規(guī)則、介質(zhì)替換頻率和數(shù)據(jù)離站運輸方法。備份數(shù)據(jù)的全面性：數(shù)據(jù)備份策略應有效執(zhí)行；主機系統(tǒng)、系統(tǒng)配置、系統(tǒng)軟件、網(wǎng)絡參數(shù)、應用數(shù)據(jù)、重要技術文檔應及時有效備份。備份數(shù)據(jù)的有效性：應定期執(zhí)行恢復程序，檢查和測試備份介質(zhì)的有效性，確?？梢栽诨謴统绦蛞?guī)定的時間內(nèi)完成備份的恢復；應每季度對備份

48、介質(zhì)的可用性和有效性進行檢查或抽查，確保在緊急突發(fā)事件發(fā)生時能夠較快地恢復生產(chǎn)；應有介質(zhì)有效性檢查的記錄。備份數(shù)據(jù)的物理安全：備份信息和介質(zhì)應進行嚴格的物理訪問控制（門禁和上鎖等措施）；存儲介質(zhì)保應保存在防潮、防火、防磁等安全位置。備份數(shù)據(jù)的邏輯安全：備份數(shù)據(jù)應確保邏輯網(wǎng)絡訪問安全；禁止權(quán)限不明和未授權(quán)的訪問、拷貝、篡改和刪除；應建立明確的網(wǎng)絡訪問控制和賬戶控制策略。備份數(shù)據(jù)管理流程：建立切實有效的備份數(shù)據(jù)的管理流程，明確數(shù)據(jù)備份的管理部門和實施部門，明確數(shù)據(jù)交接和相關人員職責等環(huán)節(jié)應根據(jù)信息系統(tǒng)的備份技術要求，制定相應的災難恢復計劃，并對其進行測試以確保各個恢復規(guī)程的正確性和計劃整體的有效性

49、，測試內(nèi)容包括運行系統(tǒng)恢復、人員協(xié)調(diào)、備用系統(tǒng)性能測試、通信連接等，根據(jù)測試結(jié)果，對不適用的規(guī)定進行修改或更新。惡意軟件防護提高所有用戶的防病毒意識，告知及時升級防病毒軟件，在讀取移動存儲設備上的數(shù)據(jù)以及網(wǎng)絡上接收文件或郵件之前，先進行病毒檢查，對外來計算機或存儲設備接入網(wǎng)絡系統(tǒng)之前也應進行病毒檢查；對生產(chǎn)系統(tǒng)上所使用的一切程序應都經(jīng)過檢查，不存在使用非法或可能有破壞性作用的軟件的情況；應用生產(chǎn)系統(tǒng)中不存在編譯環(huán)境和源程序；操作終端、辦公終端等在未經(jīng)授權(quán)的情況下不得安裝不必要的軟件。指定專人對網(wǎng)絡和主機進行惡意代碼檢測并保存檢測記錄；應對防惡意代碼軟件的授權(quán)使用、惡意代碼庫升級、定期匯報等作出

50、明確規(guī)定；應定期檢查信息系統(tǒng)內(nèi)各種產(chǎn)品的惡意代碼庫的升級情況并進行記錄，對主機防病毒產(chǎn)品、防病毒網(wǎng)關和郵件防病毒網(wǎng)關上截獲的危險病毒或惡意代碼進行及時分析處理，并形成書面的報表和總結(jié)匯報。防病毒管理機構(gòu)所有設備和終端使用總行統(tǒng)一下發(fā)的McaFee防病毒產(chǎn)品并自動及時升級防病毒代碼庫；應指定專人每天定時監(jiān)控防病毒情況，每月生成防病毒月報，針對發(fā)現(xiàn)病毒爆發(fā)的情況應制定相應的處理跟蹤和預警流程。入侵檢測管理IDS系統(tǒng)管理：使用總行統(tǒng)一下發(fā)的IDS入侵檢測系統(tǒng)；按要求對OA網(wǎng)段進行監(jiān)控；每2周升級IDS策略庫并進行策略調(diào)整優(yōu)化；指定專人每天定時監(jiān)控，每月生成系統(tǒng)報表進行分析；針對發(fā)現(xiàn)的攻擊事件應制定相

51、應的處理跟蹤和預警流程。操作系統(tǒng)補丁管理采用域管理或補丁更新服務器等技術手段統(tǒng)一對各終端設備和生產(chǎn)系統(tǒng)進行升級（Windows系統(tǒng)）；對系統(tǒng)漏洞補丁應事前進行測試或篩選以保證與應用系統(tǒng)的兼容性；當安裝新操作系統(tǒng)或補丁程序后，應測試應用程序控制措施和完整性，以確保它們沒有受到操作系統(tǒng)改變而受到損害。用戶和密碼管理用戶管理：應按照一人一號，按需設置的原則合理開立用戶和設置用戶權(quán)限，即設立用戶需要的最小權(quán)限，并定期核實和更新； 不存在無主和無用用戶，同時嚴格限制特權(quán)用戶的分配和使用。制定針對使用最高權(quán)限系統(tǒng)賬戶的審批、驗證和監(jiān)控流程，并確保最高權(quán)限用戶的操作日志被記錄和監(jiān)察。密碼管理：生產(chǎn)系統(tǒng)的超級

52、用戶、數(shù)據(jù)庫SA用戶、重要應用系統(tǒng)系統(tǒng)用戶等重要用戶密碼必須雙人分段管理，口令密碼編制應具有一定的復雜性（至少含有六個字符，是數(shù)字和字母的無序組合）。用戶密碼更改周期應不超過3個月，相同密碼至少要相隔6代。建立用戶時的初始密碼應及時更改，初始密碼需安全送達用戶，用戶應當確認接收到密碼。重要生產(chǎn)系統(tǒng)、網(wǎng)絡設備的超級用戶應制作密碼信封交由專人管理，進行交接和封存登記，密碼信封應加蓋騎縫章；各類生產(chǎn)系統(tǒng)密碼信封應按系統(tǒng)按用戶分類封存；確保密碼信封的物理安全；在使用時應有明確的授權(quán)機制。日志管理日志完整性：所有的變更應有記錄所有相關信息的系統(tǒng)日志以供審計；日志文件應包含操作系統(tǒng)日志、數(shù)據(jù)庫日志、中間件

53、日志、應用日志、系統(tǒng)重要管理軟件日志、賬戶登錄和操作日志，故障等安全事件的日志。日志的管理：日志本身應有保護，應采取嚴格的控制措施限制對日志的篡改和刪除；日志應異機或異地備份保存，備份周期不超過一個月，保留期限為2個月以上；對日志的管理和控制人員應與系統(tǒng)操作人員相分離。日志的審計：安全人員應加強對重要事項的審核，如：不成功的登錄，重要系統(tǒng)文件的訪問，對用戶賬戶的修改等，手動或自動監(jiān)控系統(tǒng)出現(xiàn)的任何異常事件，定期匯報監(jiān)控情況；日志檢查必須建立登記制度。系統(tǒng)日志：各類生產(chǎn)系統(tǒng)應有記錄異?，F(xiàn)象和有關安全事件的審查日志，日志應當包含：用戶ID、登錄和注銷的時間、登錄的終端IP地址、對系統(tǒng)或數(shù)據(jù)資源成功

54、和拒絕訪問等記錄；日志信息應定期查看和分析。第三方外包服務管理在將小型機、安全設備（如：IDS、加密機等）、網(wǎng)絡設備（路由器、防火墻等）等維護外包給第三方前應進行風險評估，或采取嚴格的安全措施；服務合同應體現(xiàn)有關安全責任、保密協(xié)定、安全控制等細則，并定期進行檢查；應有完整詳細的巡檢報告，并對其中提出的問題和建議采取相應的跟進措施。2.6 訪問控制審計 網(wǎng)絡訪問控制目標就是控制和保護我行的網(wǎng)絡和通信系統(tǒng)，防止網(wǎng)絡和通信系統(tǒng)受到破壞和濫用，避免和降低由于網(wǎng)絡和通信系統(tǒng)的問題對我行業(yè)務系統(tǒng)的損害。訪問控制策略總體策略：應制定全面的網(wǎng)絡安全訪問控制策略和原則，策略應包含：網(wǎng)段劃分、防火墻控制策略、路由

55、策略、IP地址的規(guī)劃、網(wǎng)絡設備備份、線路備份、信息傳輸及訪問安全控制等。將網(wǎng)絡劃分為不同的邏輯安全域；對下列安全因素進行評估，并根據(jù)安全級別定義分別實施有效的安全控制。（1）域內(nèi)應用程序和用戶組的重要程度；（2）域的性質(zhì)，（3）域的可信程度。（4）域內(nèi)配置的網(wǎng)絡設備和應用程序使用的網(wǎng)絡協(xié)議和端口；（5）不同域之間的連通性。網(wǎng)段和IP地址管理 網(wǎng)段管理： 應根據(jù)不同的功能劃分不同的獨立邏輯網(wǎng)段，例如核心生產(chǎn)網(wǎng)段、前置機生產(chǎn)網(wǎng)段、開發(fā)網(wǎng)段、辦公網(wǎng)段、網(wǎng)絡設備網(wǎng)段、網(wǎng)點網(wǎng)段、對外網(wǎng)段等。 不同網(wǎng)段之間應切實按照業(yè)務需求進行嚴格控制和按需開通，對開通的訪問控制應嚴格限制IP地址和應用端口，做到點對點訪問。并有完整的授權(quán)、開通和變更操作的流程記錄。IP地址管理：根據(jù)安全級別和功能進行安全區(qū)域劃分并規(guī)劃和分配IP地址；IP地址資源分配應遵循交通銀行網(wǎng)絡資源分配規(guī)范； 建立完整的IP地址分配表并定期更新。 網(wǎng)絡訪問控制網(wǎng)絡訪問控制目標就是保護我行各級網(wǎng)絡化服務，控制對內(nèi)部網(wǎng)絡和外部網(wǎng)絡服務的訪問。完成如下訪問控制：（1）應在網(wǎng)絡邊界部署訪問控制設備，啟用訪問控制功能；（2）應根據(jù)訪問控制列表對源地址、目的地址、源端口、目的端口和協(xié)議等進行檢查，以允許/