信息科技風(fēng)險安全評估標(biāo)準(zhǔn)及實踐

信息科技風(fēng)險安全評估標(biāo)準(zhǔn)及實踐

1銀行業(yè)安全評估現(xiàn)狀及存在問題分析

一是安全評估體系不健全。大局部商行銀行未明確安全評估治理的組織機(jī)構(gòu)，缺少安全評估治理制度，未建立符合本行風(fēng)險治理需要的安全評估體系。二是安全評估流程不標(biāo)準(zhǔn)。許多商業(yè)銀行安全評估尤其是自評估缺少標(biāo)準(zhǔn)的流程掌握，安全評估工作隨便性強(qiáng)，大局部評估流于形式或依靠于個人閱歷，安全評估的結(jié)果不能真實的反映客觀存在的風(fēng)險。三是安全評估人才匱乏。安全評估工作具有較強(qiáng)的專業(yè)性，對評估人員的力量要求較高，而許多商業(yè)銀行評估人員未經(jīng)過相應(yīng)的培訓(xùn)，缺少閱歷，并不真正具備安全評估的力量。四是安全評估方法不科學(xué)。商業(yè)銀行評估尤其是自評估主要依據(jù)制度列表或個人閱歷，很難發(fā)覺深層次問題并對風(fēng)險精確定性，評估結(jié)果對風(fēng)險處置的指導(dǎo)意見有限。五是安全評估數(shù)據(jù)積存缺乏。國內(nèi)外主要的安全評估方法，需要依據(jù)歷史大事統(tǒng)計大事發(fā)生概率，目前，許多商業(yè)銀行尚未建立大事統(tǒng)計分析機(jī)制。

2安全評估治理的主要思路

通過討論國內(nèi)外信息科技風(fēng)險安全評估標(biāo)準(zhǔn)、標(biāo)準(zhǔn)及實踐，提出了商業(yè)銀行信息科技風(fēng)險安全評估治理思路。

2.1建立安全評估組織體系

信息安全風(fēng)險評估組織體系建立應(yīng)充分考慮安全評估自身特點，并應(yīng)結(jié)合商業(yè)銀行的風(fēng)險治理體系，安全評估的組織體系應(yīng)包括兩個方面：一是建立安全評估日常治理體系。該局部體系應(yīng)在信息科技風(fēng)險治理體系的根底上，明確高管層、信息科技風(fēng)險治理部門、信息科技治理部門及其它相關(guān)部門的安全評估職責(zé)；二是建立安全評估工程治理機(jī)制。商業(yè)銀行組織安全評估時應(yīng)成立工程治理組織，并嚴(yán)格根據(jù)工程治理的流程對安全評估進(jìn)展有效掌握。

2.2建立信息安全風(fēng)險評估標(biāo)準(zhǔn)流程

安全評估流程是安全評估標(biāo)準(zhǔn)化的掌握手段，能夠有效的掌握安全評估的目標(biāo)、范圍、過程及質(zhì)量，安全評估需要建立以下標(biāo)準(zhǔn)流程：一是安全評估的組織流程，即安全評估審批、總結(jié)、匯報等流程；二是安全評估的工程治理流程，安全評估應(yīng)采納工程的治理方式進(jìn)展組織，并按工程治理流程組織評估并形成工程階段成果；三是安全評估的評估方法流程。安全評估依據(jù)標(biāo)準(zhǔn)的評估方法，并結(jié)合評估對象的特點，從資產(chǎn)識別、威逼識別、脆弱性識別、風(fēng)險評估、已有措施確認(rèn)等方面，建立明確的評估方法流程并明確流程各階段主要工作成果及輸出文檔。

2.3培育專業(yè)信息安全風(fēng)險評估人員

專業(yè)的安全評估人員是安全評估的根本保證，應(yīng)加大對信息安全風(fēng)險評估人員的培訓(xùn)力度，培訓(xùn)主要從以下幾個方面進(jìn)展：一是加大評估治理要求、評估流程的培訓(xùn)力度，讓評估人員能夠了解信息科技安全治理的要求，把握安全評估組織、工程及方法流程；二是加大信息安全學(xué)問培訓(xùn)力度，評估人員應(yīng)全面學(xué)習(xí)信息安全的相關(guān)學(xué)問，了解目前信息安全面臨的主要威逼及存在風(fēng)險；三是加大安全評估技術(shù)培訓(xùn)力度，評估人員應(yīng)了解安全評估相關(guān)技術(shù)，嫻熟把握常用的安全評估工具；四是加大信息系統(tǒng)相關(guān)技術(shù)培訓(xùn)力度，安全評估要求評估人員應(yīng)了解主機(jī)、網(wǎng)絡(luò)及應(yīng)系統(tǒng)等相關(guān)技術(shù)細(xì)節(jié)，應(yīng)組織相應(yīng)的技術(shù)培訓(xùn)，擴(kuò)大評估人員的學(xué)問范圍，并使評估人員深入了解各系統(tǒng)的技術(shù)細(xì)節(jié)。

2.4引入安全評估工具

為實現(xiàn)安全評估的專業(yè)化，商業(yè)銀行應(yīng)逐步引入和使用風(fēng)險評估工具，風(fēng)險評估工具包括以下三類：一是專業(yè)安全評估設(shè)備及軟件，如漏洞掃描設(shè)備、安全審計平臺等。二是特地的風(fēng)險計算工具，如風(fēng)險統(tǒng)計及計算表格，該類表格依據(jù)標(biāo)準(zhǔn)的計算方式，能夠給出相對精確的風(fēng)險量化值。二是風(fēng)險治理系統(tǒng)，對風(fēng)險進(jìn)展匯總、統(tǒng)計及處置跟蹤。

2.5建立風(fēng)險評估數(shù)據(jù)積存機(jī)制

安全風(fēng)險評估的精確與否依靠于大量信息安全相關(guān)數(shù)據(jù)，因此，需要建立風(fēng)險評估數(shù)據(jù)積存機(jī)制：一是確定信息安全大事的收集、整理及匯總機(jī)制，信息安全大事統(tǒng)計來源分為外部和內(nèi)部兩個渠道，外部大事應(yīng)依據(jù)安全部門、監(jiān)管部門的通