XXXX銀行信息安全策略

1、XXXX銀行信息安全策略2018.81 / 13XXXX銀行信息安全策略第一章 總體目標(biāo)及原則 第二章 組織管理體系 第三章人員安全管理 第四章 標(biāo)準(zhǔn)化和規(guī)范化管理 第五章 設(shè)備與物理環(huán)境安全 第六章 應(yīng)用系統(tǒng)安全 第七章 通信網(wǎng)絡(luò)安全 第八章 運(yùn)行安全 第九章 應(yīng)急預(yù)案 第十章 信息保密安全 第十一章 安全責(zé)任 第十二章 附則第一章 總體目標(biāo)及原則第一條XXXXXXXX銀行股份有限公司（以下簡稱XXXX銀行） 信息系統(tǒng)安全總體目標(biāo)是保護(hù)信息系統(tǒng)的硬 件、 軟件、業(yè)務(wù)信息和數(shù)據(jù)、通訊網(wǎng)絡(luò)設(shè)備等資源的安 全，有效防范各類安全事故或人為有意的破壞事件，合 法、合規(guī)發(fā)展我行各類信息系統(tǒng)，為社會(huì)各界提

2、供安全高 效穩(wěn)定的金融服務(wù)。第二條 實(shí)現(xiàn)XXXX銀行信息系統(tǒng)安全總體目標(biāo)應(yīng)本著“安全第一、預(yù)防為主、職責(zé)明確、綜合治理”的基本原則。建立信息資產(chǎn)所有人機(jī)制，明確信息資產(chǎn)所有人及安 全管理人的權(quán)責(zé)并對(duì)信息資產(chǎn)進(jìn)行分類。第二章 組織管理體系第三條 組織管理體系建立的目標(biāo)是建立XXXX銀行自XXXX銀行信息安全策略2018.82 / 13上而下的信息安全領(lǐng)導(dǎo)小組， 確立安全管理組織機(jī)構(gòu)的職 責(zé)，統(tǒng)籌規(guī)劃、專家決策，以推動(dòng)XXXX銀行全轄信息安 全工作的開展。第四條XXXX銀行成立網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)組，領(lǐng) 導(dǎo)組下設(shè)辦公室。辦公室設(shè)在科技信息部。第五條 科技信息部設(shè)置信息系統(tǒng)安全管理員。 信息系 統(tǒng)安

3、全管理員的數(shù)量根據(jù)信息系統(tǒng)數(shù)量、復(fù)雜程度和監(jiān)管 要求確定。第三章 人員安全管理第六條 人員安全管理的目標(biāo)是通過設(shè)立安全管理制度及崗位責(zé)任制，為保證最大程度地降低信息化建設(shè)過程中 由于人為失誤或錯(cuò)誤所造成的風(fēng)險(xiǎn)。第七條 人員是信息系統(tǒng)安全的決定性因素， 與信息安 全相關(guān)的崗位職責(zé)分配的基本原則為：（一）職責(zé)分離原則：在人員崗位建立時(shí)，相關(guān)的信 息系統(tǒng)訪問的安全責(zé)任應(yīng)該確定，不相容的職責(zé)應(yīng)分離。接觸信息系統(tǒng)的人員應(yīng)承擔(dān)與其工作性質(zhì)相應(yīng)的安全責(zé) 任，各類人員不得從事超越自己職責(zé)以外的任何工作。（二）有限授權(quán)原則：任何人員對(duì)信息資源的訪問權(quán) 利應(yīng)受到限制，應(yīng)對(duì)超越職責(zé)的訪問進(jìn)行控制。XXXX銀行信息安

4、全策略2018.83 / 13（三）相互制約原則：安全環(huán)節(jié)的管理應(yīng)采取相互制 約原則，做到職責(zé)分明，各司其職，相互配合和制約。（四）任期審計(jì)原則：應(yīng)記錄并監(jiān)控員工在任職期內(nèi) 的信息資源訪問活動(dòng)。第八條 對(duì)各類計(jì)算機(jī)系統(tǒng)的相關(guān)人員應(yīng)實(shí)施有針對(duì) 性、有計(jì)劃的計(jì)算機(jī)安全教育和培訓(xùn)。員工通過培訓(xùn)應(yīng)明 確與本職工作有關(guān)的計(jì)算機(jī)安全知識(shí)和責(zé)任。第九條 定期考核員工的工作表現(xiàn)， 調(diào)整與其崗位不符 的安全職責(zé)權(quán)限或調(diào)離違反崗位安全規(guī)則的員工。第十條 員工離職前， 應(yīng)交還手中持有的與信息系統(tǒng)相 關(guān)的文檔、物品，應(yīng)交接其負(fù)責(zé)的工作。一經(jīng)離職，相應(yīng) 的信息系統(tǒng)合法身份及權(quán)限應(yīng)立即注銷，視調(diào)離保密崗位 人員的重要程度

5、，及時(shí)調(diào)整系統(tǒng)的安全保密措施。第十一條 所有員工必須定期簽訂信息安全及保密承 諾。并進(jìn)行相關(guān)安全教育培訓(xùn)。第四章 標(biāo)準(zhǔn)化和規(guī)范化管理第十二條 標(biāo)準(zhǔn)化和規(guī)范化的目標(biāo)是通過建立XXXX銀行內(nèi)部業(yè)務(wù)處理、操作流程、信息系統(tǒng)管理和技術(shù)等一系 列標(biāo)準(zhǔn)化和規(guī)范化的過程，奠定信息系統(tǒng)安全的基礎(chǔ)。第十三條 各業(yè)務(wù)部門應(yīng)該根據(jù)業(yè)務(wù)的需要， 以及上級(jí) 管XXXX銀行信息安全策略2018.84 / 13理部門的要求，建立我行各項(xiàng)業(yè)務(wù)的標(biāo)準(zhǔn)、規(guī)范化處理 流程和業(yè)務(wù)數(shù)據(jù)標(biāo)準(zhǔn)， 確定各級(jí)員工對(duì)信息資源訪問的權(quán) 限標(biāo)準(zhǔn)。第十四條 應(yīng)該依照國家或銀行業(yè)的安全管理政策和標(biāo)準(zhǔn)、上級(jí)監(jiān)管部門的監(jiān)管要求，規(guī)范基礎(chǔ)設(shè)施建設(shè)、系統(tǒng) 和網(wǎng)

6、絡(luò)平臺(tái)建立、應(yīng)用系統(tǒng)開發(fā)、運(yùn)行管理等重要環(huán)節(jié)， 創(chuàng)建信息系統(tǒng)安全的基礎(chǔ)。第五章 設(shè)備與物理環(huán)境安全第十五條 設(shè)備與物理環(huán)境安全的目標(biāo)是保護(hù)XXXX銀行計(jì)算機(jī)設(shè)備、設(shè)施（含網(wǎng)絡(luò)）以及信息系統(tǒng)的物理環(huán)境 免遭自然災(zāi)害和其他形式的破壞，保證信息系統(tǒng)的實(shí)體安 全。第十六條 安全管理必須實(shí)施于信息系統(tǒng)基礎(chǔ)設(shè)施建設(shè)的需求計(jì)劃、部署實(shí)現(xiàn)、安裝啟用、終止結(jié)束等完整工程 生命周期的各個(gè)階段。第十七條 信息系統(tǒng)有關(guān)物理環(huán)境的選址及建設(shè)應(yīng)遵照國家計(jì)算機(jī)場地安全標(biāo)準(zhǔn)和有關(guān)主管部門的場地環(huán)境設(shè)施 標(biāo)準(zhǔn)，配備防火、防雷、防水、防靜電、防鼠等機(jī)房安全 設(shè)施，有效防止數(shù)據(jù)泄密，維持系統(tǒng)不間斷的運(yùn)行能力， 確保信息系統(tǒng)運(yùn)行的安

7、全可靠。第十八條 應(yīng)對(duì)突發(fā)事故， 建立應(yīng)急預(yù)案， 配備應(yīng)急電 源，實(shí)施系統(tǒng)主機(jī)及重要設(shè)備的備份、冗余技術(shù)保護(hù)措 施；對(duì)數(shù)XXXX銀行信息安全策略2018.85 / 13據(jù)應(yīng)做到異地備份或做到異地存放。第十九條 限制和規(guī)定重要信息設(shè)備所在地的人員進(jìn)出活動(dòng)。第二十條 對(duì)重要安全設(shè)備產(chǎn)品的選擇， 必須符合國家 有關(guān)技術(shù)規(guī)范或經(jīng)過專業(yè)測評(píng)機(jī)構(gòu)檢測不低于本行業(yè)計(jì)算 機(jī)安全管理技術(shù)規(guī)范中的最低安全要求，并核實(shí)是否具備 安全部門的設(shè)備準(zhǔn)用證或國家有關(guān)部門的安全產(chǎn)品許可證 書。第二十一條 嚴(yán)格確定信息設(shè)備的使用人。 建立故障維 修記錄，實(shí)施定期的設(shè)備維護(hù)、保養(yǎng)操作。第六章 應(yīng)用系統(tǒng)安全第二十二條 應(yīng)用系統(tǒng)安全

8、的目標(biāo)是保證XXXX銀行各業(yè)務(wù)應(yīng)用系統(tǒng)的安全性，安全建設(shè)必須與應(yīng)用系統(tǒng)建設(shè)同 步進(jìn)行。第二十三條 質(zhì)量管理和安全監(jiān)控必須實(shí)施于應(yīng)用系統(tǒng)從計(jì)劃到運(yùn)行全周期的各階段（即需求計(jì)劃階段、系統(tǒng)設(shè) 計(jì)階段、技術(shù)實(shí)現(xiàn)階段、安裝測試以及投產(chǎn)運(yùn)行階段）。第二十四條 應(yīng)用系統(tǒng)的總體需求計(jì)劃階段， 應(yīng)全面評(píng) 估系統(tǒng)的安全風(fēng)險(xiǎn)，分析系統(tǒng)的潛在威脅，根據(jù)銀行信息 資源的保護(hù)等級(jí)策略，確立系統(tǒng)的訪問控制、身份認(rèn)證、 信息加密、審計(jì)跟蹤、稽核檢查等安全需求，并征求安全 保衛(wèi)部、XXXX銀行信息安全策略2018.86 / 13紀(jì)檢監(jiān)察部、稽核審計(jì)部意見，確立應(yīng)用系統(tǒng)的 安全策略。第二十五條 在應(yīng)用系統(tǒng)的總體架構(gòu)設(shè)計(jì)的過程中，

9、 應(yīng) 實(shí)施安全需求設(shè)計(jì)，并確立安全服務(wù)機(jī)制、項(xiàng)目開發(fā)人員 安全技術(shù)要求和操作規(guī)程。第二十六條 應(yīng)用系統(tǒng)的實(shí)現(xiàn)階段， 應(yīng)根據(jù)安全需求設(shè) 計(jì)實(shí)施安全技術(shù)，對(duì)應(yīng)用系統(tǒng)技術(shù)實(shí)現(xiàn)過程進(jìn)行質(zhì)量管 理，防止技術(shù)開發(fā)人員故意保留“后門”，保證系統(tǒng)最終 產(chǎn)品的安全性質(zhì)量。第二十七條 在應(yīng)用系統(tǒng)建設(shè)的各階段， 必須保證應(yīng)用 軟件的完整性，即確保軟件的變更是經(jīng)過授權(quán)及合法性的驗(yàn)證；必須形成各階段相應(yīng)的系統(tǒng)功能設(shè)計(jì)及技術(shù)實(shí)施的規(guī)范性文檔，以及重要的系統(tǒng)安全策略，安全規(guī)劃、應(yīng)急預(yù)案、風(fēng)險(xiǎn)分析、安全服務(wù)機(jī)制等安全性文檔，并隨著系 統(tǒng)實(shí)現(xiàn)的進(jìn)程應(yīng)保持文檔變更的同步及準(zhǔn)確。第二十八條 應(yīng)用系統(tǒng)投產(chǎn)運(yùn)行之前，必須充分進(jìn)行局部功

10、能、整體功能、壓力測試，以及與安全需求目標(biāo)一致 的系統(tǒng)安全性能、操作流程、應(yīng)急方案等重要安全性測 試，測試的結(jié)果應(yīng)記錄文檔。第二十九條 只有正式經(jīng)過管理、操作、技術(shù)控制等安 全鑒定獲準(zhǔn)的應(yīng)用項(xiàng)目，可以投入使用。XXXX銀行信息安全策略2018.87 / 13第七章 通信網(wǎng)絡(luò)安全第三十條 網(wǎng)絡(luò)安全的目標(biāo)是有效防范網(wǎng)絡(luò)體系的安全風(fēng)險(xiǎn)，為XXXX銀行應(yīng)用系統(tǒng)發(fā)展提供安全、可靠、穩(wěn)定 的網(wǎng)絡(luò)管理和技術(shù)平臺(tái)。第三十一條 通信網(wǎng)絡(luò)安全建設(shè)是我行業(yè)務(wù)發(fā)展的基礎(chǔ)，通信網(wǎng)絡(luò)安全管理和網(wǎng)絡(luò)安全技術(shù)的配合是獲得網(wǎng)絡(luò) 整體安全的基本保障。第三十二條 通信網(wǎng)絡(luò)架構(gòu)的安全可靠性設(shè)計(jì)、網(wǎng)絡(luò)建設(shè)的安全投入應(yīng)依照國家或銀行業(yè)制

11、定的各項(xiàng)安全管理規(guī)定和安全產(chǎn)品技術(shù)標(biāo)準(zhǔn)，充分考慮銀行應(yīng)用的發(fā)展規(guī)劃和 安全保護(hù)等級(jí)。第三十三條 對(duì)于依賴網(wǎng)絡(luò)架構(gòu)安全性的業(yè)務(wù)和應(yīng)用系統(tǒng)，必須視其安全級(jí)別，實(shí)施相應(yīng)的訪問控制、身份認(rèn) 證、抗抵賴、加密、審計(jì)等信息安全服務(wù)機(jī)制，以提高業(yè) 務(wù)和應(yīng)用系統(tǒng)的安全防護(hù)能力。第三十四條 在內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的接入口、 內(nèi)部區(qū) 域網(wǎng)的接入口、重要業(yè)務(wù)系統(tǒng)的外聯(lián)接入口，必須視信息 資源的保護(hù)等級(jí)，實(shí)施相應(yīng)安全級(jí)別的隔離防火墻、認(rèn) 證、審計(jì)、動(dòng)態(tài)檢測等安全技術(shù)措施，防范信息資源被非 法訪問、篡改和破壞。任何員工不得在未經(jīng)安全管理認(rèn)可 的情況下，擅自從內(nèi)部網(wǎng)絡(luò)的計(jì)算機(jī)直接訪問銀行外部網(wǎng) 絡(luò)。XXXX銀行信息安全策略

12、2018.88 / 13第八章 運(yùn)行安全第三十五條 運(yùn)行安全的目標(biāo)是保證XXXX銀行的各信息系統(tǒng)日常運(yùn)行的安全穩(wěn)定，對(duì)信息系統(tǒng)的運(yùn)行環(huán)境、技 術(shù)支持、操作使用、病毒防范、備份措施、文檔建立等方 面實(shí)施安全性管理。第三十六條 對(duì)信息系統(tǒng)運(yùn)行階段的任何變化，數(shù)據(jù)、軟件、物理設(shè)置等，都應(yīng)實(shí)施技術(shù)監(jiān)控和管理手段以確保 其完整性，即防止信息被非法復(fù)制、非授權(quán)的修改及破 壞，確保信息系統(tǒng)的任何查詢和變更操作是經(jīng)過授權(quán)及合 法性驗(yàn)證。第三十七條 軟件是計(jì)算機(jī)系統(tǒng)運(yùn)行的核心。軟件的安全保護(hù)及正確運(yùn)行至關(guān)重要，應(yīng)嚴(yán)格控制計(jì)算機(jī)系統(tǒng)中軟 件的使用。軟件的隨意下載及運(yùn)行，將使銀行計(jì)算機(jī)網(wǎng)絡(luò) 系統(tǒng)容易產(chǎn)生病毒侵入，干

13、擾系統(tǒng)正常運(yùn)行及系統(tǒng)安全防 護(hù)的失效。 新版軟件、 版本升級(jí)過程要實(shí)施必要的軟件檢 驗(yàn)和測試。第三十八條 技術(shù)支持人員、軟硬件供應(yīng)商、第三方技 術(shù)提供商都有可能從事技術(shù)維護(hù)服務(wù)。銀行必須實(shí)施嚴(yán)格 的訪問控制機(jī)制和制度，確保只有合法的人員才能進(jìn)入系 統(tǒng)從事維護(hù)活動(dòng)。第三十九條 應(yīng)建立多層次、立體式病毒防護(hù)體系，維 持病毒采集、匯總、上報(bào)、升級(jí)的渠道順暢，提高病毒檢 殺的響應(yīng)能力，從網(wǎng)絡(luò)、服務(wù)器、單機(jī)的各個(gè)環(huán)節(jié)有效防 范病毒XXXX銀行信息安全策略2018.89 / 13侵入。第四十條 信息系統(tǒng)的程序和數(shù)據(jù)備份至關(guān)重要。 備份 的周期取決于數(shù)據(jù)的變動(dòng)頻度及變動(dòng)的重要程度，重要的 系統(tǒng)和數(shù)據(jù)必須做到

14、異地備份，確定備份的工作流程。要 經(jīng)常檢測備份以保證其可用性。備份應(yīng)安全存放。第四十一條 對(duì)各種信息媒介應(yīng)實(shí)施物理環(huán)境保護(hù)及其他各種控制措施，確保磁帶、磁碟、光盤、打印數(shù)據(jù)等重 要媒介不失密、不被破壞、不被篡改和不失效，維護(hù)其完 整性和可用性，并授權(quán)專人負(fù)責(zé)介質(zhì)的登記、存放、檢驗(yàn) 等維護(hù)工作。第四十二條 計(jì)算機(jī)技術(shù)維護(hù)和操作都應(yīng)有相應(yīng)的文 檔，以確保支持的連續(xù)性和一致性。正確的操作描述文檔 有助于防止對(duì)安全的忽視、減少操作的失誤。第四十三條 當(dāng)數(shù)據(jù)信息、硬件設(shè)備、軟件程序結(jié)束運(yùn) 行使用時(shí)，視需求分別進(jìn)行存檔、廢棄和銷毀處理。存檔 的信息應(yīng)充分考慮將來查找和檢索的需要；電子信息的存 檔要考慮到數(shù)

15、據(jù)生成技術(shù)的未來可用性；為滿足加密信息 的查詢需要，應(yīng)對(duì)加密密鑰采取有效的存放保管措施。重 要信息的銷毀應(yīng)在相關(guān)人員的監(jiān)督下完成。第九章 應(yīng)急預(yù)案XXXX銀行信息安全策略2018.810 / 13第四十四條 信息系統(tǒng)應(yīng)急預(yù)案的目標(biāo)是分析信息系統(tǒng)可能出現(xiàn)的緊急事件或者災(zāi)難事故，技術(shù)支持和業(yè)務(wù)部門 應(yīng)建立一整套應(yīng)急措施， 以保障銀行關(guān)鍵核心業(yè)務(wù)的連續(xù) 服務(wù)。第四十五條 一旦發(fā)生重大的或?yàn)?zāi)難性事故時(shí)， 應(yīng)迅速 進(jìn)行災(zāi)情分析，并上報(bào)應(yīng)急領(lǐng)導(dǎo)小組，執(zhí)行緊急應(yīng)變計(jì) 劃，排除災(zāi)難事故。同時(shí)應(yīng)急領(lǐng)導(dǎo)小組還要組織相關(guān)的部 門做好對(duì)外的解釋、宣傳和公告以及保衛(wèi)工作，防止事態(tài) 的擴(kuò)大。第四十六條 應(yīng)急預(yù)案要充分考慮

16、到信息系統(tǒng)可能面臨的由于系統(tǒng)設(shè)備、軟件、網(wǎng)絡(luò)通訊而造成的緊急故障，地 震、火災(zāi)等自然災(zāi)難事故，以及由計(jì)算機(jī)病毒、惡性程序 代碼和來自行內(nèi)、外部人員非法侵入產(chǎn)生的安全事件。銀 行應(yīng)建立對(duì)安全事件的快速反應(yīng)機(jī)制， 并使之成為應(yīng)急預(yù) 案的一部分。第四十七條 應(yīng)急措施的建立將維持關(guān)鍵核心業(yè)務(wù)服 務(wù)，各業(yè)務(wù)部門要對(duì)各自的業(yè)務(wù)系統(tǒng)進(jìn)行全面分析，明確 相關(guān)的人員、設(shè)備處理能力、基礎(chǔ)服務(wù)支持、數(shù)據(jù)和應(yīng)用 系統(tǒng)、文檔及文件等資源。第四十八條 應(yīng)急方案的設(shè)立應(yīng)充分考慮可能發(fā)生的事故，同時(shí)應(yīng)本著實(shí)用、靈活、低成本原則。根據(jù)各業(yè)務(wù)的 需求，確定應(yīng)急方案的人員指揮架構(gòu)及工作流程。應(yīng)急預(yù) 案要明確描述緊急事故發(fā)生的應(yīng)急處

17、理、正常業(yè)務(wù)的恢復(fù) 等各環(huán)節(jié)的流程及操作步驟。XXXX銀行信息安全策略2018.811 / 13第四十九條 為確保應(yīng)急預(yù)案的正確啟用， 應(yīng)確保制定 的應(yīng)急預(yù)案符合自身實(shí)際，并對(duì)相關(guān)人員進(jìn)行培訓(xùn)。第五十條 為保證應(yīng)急預(yù)案的有效， 應(yīng)針對(duì)不同業(yè)務(wù)系 統(tǒng)要求，定期進(jìn)行應(yīng)急方案的測試演練，并適應(yīng)當(dāng)前系統(tǒng) 資源的變化，及時(shí)調(diào)整、完善應(yīng)急預(yù)案。第五十一條 針對(duì)惡性安全事件， 信息系統(tǒng)應(yīng)具備相應(yīng) 的技術(shù)措施，提供對(duì)安全事件的快速反應(yīng)機(jī)制，并及時(shí)中 斷安全事件對(duì)其他系統(tǒng)的危害，迅速搞清本系統(tǒng)存在的漏 洞，有效防范未來事故的再次出現(xiàn)。第十章 信息保密安全第五十二條 信息保密安全的目標(biāo)是建立信息安全保密管理制度，實(shí)施有效安全技術(shù)，保護(hù)XXXX銀行的各種密 級(jí)信息，防止外泄和失密。第五十三條 必須依照國家有關(guān)政策法規(guī)， 不得將涉及 國家秘密的信息系統(tǒng)，直接或間接地聯(lián)入國際互聯(lián)網(wǎng)或其 他公共信息網(wǎng)絡(luò)，必須采取有效隔離。員工必須遵守國家 有關(guān)保密規(guī)定，不得利用電子函件傳遞、轉(zhuǎn)發(fā)或抄送國家 秘密信息和我行的商業(yè)信息。第五十四條 互聯(lián)網(wǎng)與生產(chǎn)業(yè)務(wù)網(wǎng)應(yīng)實(shí)行有效隔離措施。XXXX銀行信息安全策略2018.812 / 13第五十五條 對(duì)于銀行信息系統(tǒng)的個(gè)人訪問密碼、密 鑰、信息系統(tǒng)的功能實(shí)現(xiàn)技術(shù)和資料文檔，加密、鑒別、 認(rèn)證、密鑰產(chǎn)生等關(guān)鍵安全技術(shù)措施，以及目前系統(tǒng)尚存 的風(fēng)險(xiǎn)漏洞等決定信息系統(tǒng)安