- 相關(guān)推薦
信息科技風(fēng)險(xiǎn)自查報(bào)告
隨著個(gè)人素質(zhì)的提升，報(bào)告的使用成為日常生活的常態(tài)，報(bào)告具有雙向溝通性的特點(diǎn)。寫起報(bào)告來就毫無頭緒？下面是小編整理的信息科技風(fēng)險(xiǎn)自查報(bào)告，歡迎大家借鑒與參考，希望對(duì)大家有所幫助。
信息科技風(fēng)險(xiǎn)自查報(bào)告1
一、網(wǎng)絡(luò)運(yùn)行風(fēng)險(xiǎn)
1、來自互聯(lián)網(wǎng)和移動(dòng)磁介質(zhì)上病毒的攻擊。隨著我區(qū)農(nóng)村信用社電子化建設(shè)的發(fā)展，計(jì)算機(jī)技術(shù)在農(nóng)村信用社各項(xiàng)業(yè)務(wù)中的廣泛應(yīng)用，部分員工因病毒防范意識(shí)較為薄弱，加上計(jì)算機(jī)水平又是參差不齊，有的員工很難主動(dòng)發(fā)現(xiàn)客戶端系統(tǒng)出現(xiàn)的漏洞從而實(shí)施補(bǔ)丁升級(jí)，U盤濫用且從不進(jìn)行病毒掃描，這樣就容易造成內(nèi)部信息泄漏或網(wǎng)絡(luò)阻塞，中斷重要業(yè)務(wù)的正常運(yùn)行。
二、操作流程風(fēng)險(xiǎn)
隨著業(yè)務(wù)的更新和科技步伐的加快，員工的計(jì)算機(jī)操作業(yè)務(wù)能力與嚴(yán)格執(zhí)行規(guī)范程序不適應(yīng),綜合柜員制未能全面落實(shí),不能夠完全掌握農(nóng)信社的各項(xiàng)業(yè)務(wù)操作流程及處置程序,必然會(huì)造成操作失誤而導(dǎo)致風(fēng)險(xiǎn)。操作風(fēng)險(xiǎn)大致分為以下幾方面:
1、操作行為不規(guī)范,安全防范意識(shí)差。目前，我區(qū)農(nóng)村信用社計(jì)算機(jī)操作員一般只通過了短期輔導(dǎo)培訓(xùn)，未能全面掌握計(jì)算機(jī)理論知識(shí)及運(yùn)用技術(shù)，主要表現(xiàn)在：一是一些操作人員對(duì)計(jì)算機(jī)知識(shí)的缺乏，
經(jīng)常出現(xiàn)操作性錯(cuò)誤；二是操作人員基本安全意識(shí)不強(qiáng)，缺乏安全防范意識(shí)；三是人員調(diào)離或崗位變動(dòng)時(shí)不及時(shí)注銷操作員，導(dǎo)致操作員不便于管理；四是人離機(jī)不退，個(gè)別人隨意離開工作崗位，也不簽退，給他人可乘之機(jī)，造成了嚴(yán)重的信息安全隱患。
2、不嚴(yán)格執(zhí)行操作流程，造成安全隱患。由于部分員工跟不上當(dāng)前農(nóng)村信用社電子化建設(shè)步伐，對(duì)推出的硬件設(shè)備以及電子化產(chǎn)品及功能不熟悉或風(fēng)險(xiǎn)意識(shí)不強(qiáng)等原因造成了在操作過程中出現(xiàn)系列風(fēng)險(xiǎn)。一是操作人員不嚴(yán)格執(zhí)行硬件設(shè)備的操作流程，造成設(shè)備損壞，致使重要業(yè)務(wù)中斷的風(fēng)險(xiǎn)；二是沒有定期對(duì)機(jī)器除塵、保養(yǎng)，使微機(jī)在較惡劣環(huán)境下帶“病”工作，計(jì)算機(jī)運(yùn)行報(bào)錯(cuò)或元器件損壞時(shí)有發(fā)生，影響了信用社窗口的服務(wù)效率和形象；三是不嚴(yán)格按照業(yè)務(wù)操作流程操作業(yè)務(wù)系統(tǒng)程序，給他人或科技結(jié)算中心造成不必要的負(fù)擔(dān)。
為此我們將嚴(yán)格按照省市聯(lián)社關(guān)于計(jì)算機(jī)管理的一系列相關(guān)要求，對(duì)日常計(jì)算機(jī)信息管理中存在的問題經(jīng)行重點(diǎn)監(jiān)督和整改：
1、嚴(yán)格業(yè)務(wù)系統(tǒng)、辦公系統(tǒng)與因特網(wǎng)等公眾系統(tǒng)的隔離，無法隔離的要隨時(shí)升級(jí)殺毒程序，同時(shí)嚴(yán)格移動(dòng)磁介質(zhì)的`使用范圍、殺毒流程。加強(qiáng)員工計(jì)算機(jī)知識(shí)培訓(xùn)，提高員工的電腦操作技能，制定防
毒策略，養(yǎng)成良好的上網(wǎng)習(xí)慣，嚴(yán)防病毒侵害。
2、加強(qiáng)對(duì)一線人員的操作流程、各項(xiàng)基本規(guī)定的培訓(xùn)，加強(qiáng)對(duì)信息專管員的培訓(xùn)，提高其處理計(jì)算機(jī)及網(wǎng)絡(luò)故障、防范計(jì)算機(jī)及網(wǎng)絡(luò)風(fēng)險(xiǎn)的能力；對(duì)業(yè)務(wù)操作人員要重點(diǎn)抓好計(jì)算機(jī)知識(shí)的普及培訓(xùn)工作，建立各種形式的崗位培訓(xùn)和定期輪訓(xùn)制度，提高職工的政治素質(zhì)、業(yè)務(wù)技能、敬業(yè)精神、計(jì)算機(jī)業(yè)務(wù)操作水平和安全防范綜合能力。一線人員的操作和授權(quán)不能流于形式，堅(jiān)決杜絕各種混崗現(xiàn)象，嚴(yán)格遵循管理制度。
3、嚴(yán)格操作規(guī)范及操作權(quán)限管理
隨著農(nóng)村信用社的發(fā)展，信貸系統(tǒng)，財(cái)務(wù)系統(tǒng)，OA系統(tǒng)的成功上線并投入使用，操作人員必須學(xué)習(xí)和掌握農(nóng)村信用社的操作流程和各項(xiàng)規(guī)章制度,加強(qiáng)制度執(zhí)行力的管理。操作員密碼必須定期不定期修改，并嚴(yán)格按規(guī)定設(shè)置操作員及操作員密碼，還需定期修改密碼，多用字母或符號(hào)，嚴(yán)禁使用6位相同數(shù)字或電話號(hào)碼或生日號(hào)碼等，嚴(yán)禁口頭或電話告知操作密碼。
4、加強(qiáng)內(nèi)控建設(shè)，強(qiáng)化監(jiān)督，完善防范機(jī)制。首先，建立柜員崗位制約為主，做到責(zé)任到崗、落實(shí)到人、相互制約、互相監(jiān)督。其次，
全面落實(shí)以主任、內(nèi)勤主任為主的監(jiān)管體系，確保做到實(shí)時(shí)監(jiān)管，及時(shí)發(fā)現(xiàn)問題，及時(shí)進(jìn)行整改，消除風(fēng)險(xiǎn)隱患。再則，加強(qiáng)會(huì)計(jì)事后監(jiān)督和電視監(jiān)控系統(tǒng)管理，加大查處力度，重點(diǎn)是督促基層社各項(xiàng)計(jì)算機(jī)制度執(zhí)行與落實(shí)，提升基層執(zhí)行力，以此推進(jìn)和完善防范制度，切實(shí)做到防患于未然。
5、日常維護(hù)方面，由基社信息專管員負(fù)責(zé)每周一次對(duì)機(jī)房衛(wèi)生清理和設(shè)備故障排查，發(fā)現(xiàn)問題及時(shí)上報(bào)科技信息部處理；每月在各基社網(wǎng)點(diǎn)信息專管員的配合下，對(duì)網(wǎng)絡(luò)設(shè)備的運(yùn)行和管理進(jìn)行維護(hù)和檢查至少一次，全轄的ATM和POS機(jī)由科技信息部統(tǒng)一管理，落實(shí)基社網(wǎng)點(diǎn)專人負(fù)責(zé)，加大專管人員的培訓(xùn)，使日常操作、維護(hù)工作和安全防范措施得以落實(shí)。
信息科技風(fēng)險(xiǎn)自查報(bào)告2
一、網(wǎng)絡(luò)運(yùn)行風(fēng)險(xiǎn)
來自互聯(lián)網(wǎng)和移動(dòng)磁介質(zhì)上病毒的攻擊.隨著我區(qū)農(nóng)村信用社電子化建設(shè)的發(fā)展，計(jì)算機(jī)技術(shù)在農(nóng)村信用社各項(xiàng)業(yè)務(wù)中的廣泛應(yīng)用，部分員工因病毒防范意識(shí)較為薄弱，加上計(jì)算機(jī)水平又是參差不齊，有的員工很難主動(dòng)發(fā)現(xiàn)客戶端系統(tǒng)出現(xiàn)的漏洞從而實(shí)施補(bǔ)丁升級(jí)，U盤濫用且從不進(jìn)行病毒掃描，這樣就容易造成內(nèi)部信息泄漏或網(wǎng)絡(luò)阻塞，中斷重要業(yè)務(wù)的正常運(yùn)行.
二、操作流程風(fēng)險(xiǎn)
隨著業(yè)務(wù)的更新和科技步伐的加快，員工的計(jì)算機(jī)操作業(yè)務(wù)能力與嚴(yán)格執(zhí)行規(guī)范程序不適應(yīng)，綜合柜員制未能全面落實(shí)，不能夠完全掌握農(nóng)信社的各項(xiàng)業(yè)務(wù)操作流程及處置程序，必然會(huì)造成操作失誤而導(dǎo)致風(fēng)險(xiǎn).操作風(fēng)險(xiǎn)大致分為以下幾方面：
1、操作行為不規(guī)范，安全防范意識(shí)差.目前，我區(qū)農(nóng)村信用社計(jì)算機(jī)操作員一般只通過了短期輔導(dǎo)培訓(xùn)，未能全面掌握計(jì)算機(jī)理論知識(shí)及運(yùn)用技術(shù)，主要表現(xiàn)在：
一是一些操作人員對(duì)計(jì)算機(jī)知識(shí)的缺乏，經(jīng)常出現(xiàn)操作性錯(cuò)誤；
二是操作人員基本安全意識(shí)不強(qiáng)，缺乏安全防范意識(shí)；
三是人員調(diào)離或崗位變動(dòng)時(shí)不及時(shí)注銷操作員，導(dǎo)致操作員不便于管理；
四是人離機(jī)不退，個(gè)別人隨意離開工作崗位，也不簽退，給他人可乘之機(jī)，造成了嚴(yán)重的信息安全隱患.
2、不嚴(yán)格執(zhí)行操作流程，造成安全隱患.由于部分員工跟不上當(dāng)前農(nóng)村信用社電子化建設(shè)步伐，對(duì)推出的硬件設(shè)備以及電子化產(chǎn)品及功能不熟悉或風(fēng)險(xiǎn)意識(shí)不強(qiáng)等原因造成了在操作過程中出現(xiàn)系列風(fēng)險(xiǎn).
一是操作人員不嚴(yán)格執(zhí)行硬件設(shè)備的操作流程，造成設(shè)備損壞，致使重要業(yè)務(wù)中斷的風(fēng)險(xiǎn)；
二是沒有定期對(duì)機(jī)器除塵、保養(yǎng)，使微機(jī)在較惡劣環(huán)境下帶“病”工作，計(jì)算機(jī)運(yùn)行報(bào)錯(cuò)或元器件損壞時(shí)有發(fā)生，影響了信用社窗口的服務(wù)效率和形象；
三是不嚴(yán)格按照業(yè)務(wù)操作流程操作業(yè)務(wù)系統(tǒng)程序，給他人或科技結(jié)算中心造成不必要的.負(fù)擔(dān).
為此我們將嚴(yán)格按照省市聯(lián)社關(guān)于計(jì)算機(jī)管理的一系列相關(guān)要求，對(duì)日常計(jì)算機(jī)信息管理中存在的問題經(jīng)行重點(diǎn)監(jiān)督和整改：
1、嚴(yán)格業(yè)務(wù)系統(tǒng)、辦公系統(tǒng)與因特網(wǎng)等公眾系統(tǒng)的隔離，無法隔離的要隨時(shí)升級(jí)殺毒程序，同時(shí)嚴(yán)格移動(dòng)磁介質(zhì)的使用范圍、殺毒流程.加強(qiáng)員工計(jì)算機(jī)知識(shí)培訓(xùn)，提高員工的電腦操作技能，制定防毒策略，養(yǎng)成良好的上網(wǎng)習(xí)慣，嚴(yán)防病毒侵害.
2、加強(qiáng)對(duì)一線人員的操作流程、各項(xiàng)基本規(guī)定的培訓(xùn)，加強(qiáng)對(duì)信息專管員的培訓(xùn)，提高其處理計(jì)算機(jī)及網(wǎng)絡(luò)故障、防范計(jì)算機(jī)及網(wǎng)絡(luò)風(fēng)險(xiǎn)的能力；對(duì)業(yè)務(wù)操作人員要重點(diǎn)抓好計(jì)算機(jī)知識(shí)的普及培訓(xùn)工作，建立各種形式的崗位培訓(xùn)和定期輪訓(xùn)制度，提高職工的政治素質(zhì)、業(yè)務(wù)技能、敬業(yè)精神、計(jì)算機(jī)業(yè)務(wù)操作水平和安全防范綜合能力.一線人員的操作和授權(quán)不能流于形式，堅(jiān)決杜絕各種混崗現(xiàn)象，嚴(yán)格遵循管理制度.
3、嚴(yán)格操作規(guī)范及操作權(quán)限管理
隨著農(nóng)村信用社的發(fā)展，信貸系統(tǒng)，財(cái)務(wù)系統(tǒng)，OA系統(tǒng)的成功上線并投入使用，操作人員必須學(xué)習(xí)和掌握農(nóng)村信用社的操作流程和各項(xiàng)規(guī)章制度，加強(qiáng)制度執(zhí)行力的管理.操作員密碼必須定期不定期修改，并嚴(yán)格按規(guī)定設(shè)置操作員及操作員密碼，還需定期修改密碼，多用字母或符號(hào)，嚴(yán)禁使用6位相同數(shù)字或電話號(hào)碼或生日號(hào)碼等，嚴(yán)禁口頭或電話告知操作密碼.
4、加強(qiáng)內(nèi)控建設(shè)，強(qiáng)化監(jiān)督，完善防范機(jī)制.首先，建立柜員崗位制約為主，做到責(zé)任到崗、落實(shí)到人、相互制約、互相監(jiān)督.其次，全面落實(shí)以主任、內(nèi)勤主任為主的監(jiān)管體系，確保做到實(shí)時(shí)監(jiān)管，及時(shí)發(fā)現(xiàn)問題，及時(shí)進(jìn)行整改，消除風(fēng)險(xiǎn)隱患.再則，加強(qiáng)會(huì)計(jì)事后監(jiān)督和電視監(jiān)控系統(tǒng)管理，加大查處力度，重點(diǎn)是督促基層社各項(xiàng)計(jì)算機(jī)制度執(zhí)行與落實(shí)，提升基層執(zhí)行力，以此推進(jìn)和完善防范制度，切實(shí)做到防患于未然.
5、日常維護(hù)方面，由基社信息專管員負(fù)責(zé)每周一次對(duì)機(jī)房衛(wèi)生清理和設(shè)備故障排查，發(fā)現(xiàn)問題及時(shí)上報(bào)科技信息部處理；每月在各基社網(wǎng)點(diǎn)信息專管員的配合下，對(duì)網(wǎng)絡(luò)設(shè)備的運(yùn)行和管理進(jìn)行維護(hù)和檢查至少一次，全轄的ATM和POS機(jī)由科技信息部統(tǒng)一管理，落實(shí)基社網(wǎng)點(diǎn)專人負(fù)責(zé)，加大專管人員的培訓(xùn)，使日常操作、維護(hù)工作和安全防范措施得以落實(shí).
信息科技風(fēng)險(xiǎn)自查報(bào)告3
一、網(wǎng)絡(luò)運(yùn)行風(fēng)險(xiǎn)
1、來自互聯(lián)網(wǎng)和移動(dòng)磁介質(zhì)上病毒的攻擊.隨著我區(qū)農(nóng)村信用社電子化建設(shè)的發(fā)展，計(jì)算機(jī)技術(shù)在農(nóng)村信用社各項(xiàng)業(yè)務(wù)中的廣泛應(yīng)用，部分員工因病毒防范意識(shí)較為薄弱，加上計(jì)算機(jī)水平又是參差不齊，有的員工很難主動(dòng)發(fā)現(xiàn)客戶端系統(tǒng)出現(xiàn)的漏洞從而實(shí)施補(bǔ)丁升級(jí)，U盤濫用且從不進(jìn)行病毒掃描，這樣就容易造成內(nèi)部信息泄漏或網(wǎng)絡(luò)阻塞，中斷重要業(yè)務(wù)的正常運(yùn)行.
二、操作流程風(fēng)險(xiǎn)
隨著業(yè)務(wù)的更新和科技步伐的加快，員工的計(jì)算機(jī)操作業(yè)務(wù)能力與嚴(yán)格執(zhí)行規(guī)范程序不適應(yīng)，綜合柜員制未能全面落實(shí)，不能夠完全掌握農(nóng)信社的各項(xiàng)業(yè)務(wù)操作流程及處置程序，必然會(huì)造成操作失誤而導(dǎo)致風(fēng)險(xiǎn).操作風(fēng)險(xiǎn)大致分為以下幾方面：
1、操作行為不規(guī)范，安全防范意識(shí)差.目前，我區(qū)農(nóng)村信用社計(jì)算機(jī)操作員一般只通過了短期輔導(dǎo)培訓(xùn)，未能全面掌握計(jì)算機(jī)理論知識(shí)及運(yùn)用技術(shù)，主要表現(xiàn)在：一是一些操作人員對(duì)計(jì)算機(jī)知識(shí)的缺乏，
經(jīng)常出現(xiàn)操作性錯(cuò)誤；二是操作人員基本安全意識(shí)不強(qiáng)，缺乏安全防范意識(shí)；三是人員調(diào)離或崗位變動(dòng)時(shí)不及時(shí)注銷操作員，導(dǎo)致操作員不便于管理；四是人離機(jī)不退，個(gè)別人隨意離開工作崗位，也不簽退，給他人可乘之機(jī)，造成了嚴(yán)重的信息安全隱患.
2、不嚴(yán)格執(zhí)行操作流程，造成安全隱患.由于部分員工跟不上當(dāng)前農(nóng)村信用社電子化建設(shè)步伐，對(duì)推出的硬件設(shè)備以及電子化產(chǎn)品及功能不熟悉或風(fēng)險(xiǎn)意識(shí)不強(qiáng)等原因造成了在操作過程中出現(xiàn)系列風(fēng)險(xiǎn).一是操作人員不嚴(yán)格執(zhí)行硬件設(shè)備的操作流程，造成設(shè)備損壞，致使重要業(yè)務(wù)中斷的風(fēng)險(xiǎn)；二是沒有定期對(duì)機(jī)器除塵、保養(yǎng)，使微機(jī)在較惡劣環(huán)境下帶“病”工作，計(jì)算機(jī)運(yùn)行報(bào)錯(cuò)或元器件損壞時(shí)有發(fā)生，影響了信用社窗口的服務(wù)效率和形象；三是不嚴(yán)格按照業(yè)務(wù)操作流程操作業(yè)務(wù)系統(tǒng)程序，給他人或科技結(jié)算中心造成不必要的負(fù)擔(dān).
為此我們將嚴(yán)格按照省市聯(lián)社關(guān)于計(jì)算機(jī)管理的一系列相關(guān)要求，對(duì)日常計(jì)算機(jī)信息管理中存在的問題經(jīng)行重點(diǎn)監(jiān)督和整改：
1、嚴(yán)格業(yè)務(wù)系統(tǒng)、辦公系統(tǒng)與因特網(wǎng)等公眾系統(tǒng)的'隔離，無法隔離的要隨時(shí)升級(jí)殺毒程序，同時(shí)嚴(yán)格移動(dòng)磁介質(zhì)的使用范圍、殺毒流程.加強(qiáng)員工計(jì)算機(jī)知識(shí)培訓(xùn)，提高員工的電腦操作技能，制定防
毒策略，養(yǎng)成良好的上網(wǎng)習(xí)慣，嚴(yán)防病毒侵害.
2、加強(qiáng)對(duì)一線人員的操作流程、各項(xiàng)基本規(guī)定的培訓(xùn)，加強(qiáng)對(duì)信息專管員的培訓(xùn)，提高其處理計(jì)算機(jī)及網(wǎng)絡(luò)故障、防范計(jì)算機(jī)及網(wǎng)絡(luò)風(fēng)險(xiǎn)的能力；對(duì)業(yè)務(wù)操作人員要重點(diǎn)抓好計(jì)算機(jī)知識(shí)的普及培訓(xùn)工作，建立各種形式的崗位培訓(xùn)和定期輪訓(xùn)制度，提高職工的政治素質(zhì)、業(yè)務(wù)技能、敬業(yè)精神、計(jì)算機(jī)業(yè)務(wù)操作水平和安全防范綜合能力.一線人員的操作和授權(quán)不能流于形式，堅(jiān)決杜絕各種混崗現(xiàn)象，嚴(yán)格遵循管理制度.
3、嚴(yán)格操作規(guī)范及操作權(quán)限管理
隨著農(nóng)村信用社的發(fā)展，信貸系統(tǒng)，財(cái)務(wù)系統(tǒng)，OA系統(tǒng)的成功上線并投入使用，操作人員必須學(xué)習(xí)和掌握農(nóng)村信用社的操作流程和各項(xiàng)規(guī)章制度，加強(qiáng)制度執(zhí)行力的管理.操作員密碼必須定期不定期修改，并嚴(yán)格按規(guī)定設(shè)置操作員及操作員密碼，還需定期修改密碼，多用字母或符號(hào)，嚴(yán)禁使用6位相同數(shù)字或電話號(hào)碼或生日號(hào)碼等，嚴(yán)禁口頭或電話告知操作密碼.
4、加強(qiáng)內(nèi)控建設(shè)，強(qiáng)化監(jiān)督，完善防范機(jī)制.首先，建立柜員崗位制約為主，做到責(zé)任到崗、落實(shí)到人、相互制約、互相監(jiān)督.其次，
全面落實(shí)以主任、內(nèi)勤主任為主的監(jiān)管體系，確保做到實(shí)時(shí)監(jiān)管，及時(shí)發(fā)現(xiàn)問題，及時(shí)進(jìn)行整改，消除風(fēng)險(xiǎn)隱患.再則，加強(qiáng)會(huì)計(jì)事后監(jiān)督和電視監(jiān)控系統(tǒng)管理，加大查處力度，重點(diǎn)是督促基層社各項(xiàng)計(jì)算機(jī)制度執(zhí)行與落實(shí)，提升基層執(zhí)行力，以此推進(jìn)和完善防范制度，切實(shí)做到防患于未然.
5、日常維護(hù)方面，由基社信息專管員負(fù)責(zé)每周一次對(duì)機(jī)房衛(wèi)生清理和設(shè)備故障排查，發(fā)現(xiàn)問題及時(shí)上報(bào)科技信息部處理；每月在各基社網(wǎng)點(diǎn)信息專管員的配合下，對(duì)網(wǎng)絡(luò)設(shè)備的運(yùn)行和管理進(jìn)行維護(hù)和檢查至少一次，全轄的ATM和POS機(jī)由科技信息部統(tǒng)一管理，落實(shí)基社網(wǎng)點(diǎn)專人負(fù)責(zé)，加大專管人員的培訓(xùn)，使日常操作、維護(hù)工作和安全防范措施得以落實(shí).
信息科技風(fēng)險(xiǎn)自查報(bào)告4
按照上級(jí)領(lǐng)導(dǎo)的指示，我行認(rèn)真貫徹《關(guān)于加強(qiáng)20xx年重要時(shí)期金融信息安全保障工作的通知》（銀發(fā)[20xx]57號(hào)文件）精神，為充分做好重要時(shí)期金融網(wǎng)絡(luò)和信息系統(tǒng)安全保障工作，防范我行信息科技風(fēng)險(xiǎn)，保障計(jì)算機(jī)系統(tǒng)運(yùn)行和操作安全，建立和完善信息科技風(fēng)險(xiǎn)管理機(jī)制。對(duì)我行的信息科技工作進(jìn)行了一次全面的自我評(píng)估及審查�，F(xiàn)將審查情況報(bào)告如下：
一、組織架構(gòu)、制度建設(shè)及管理情況
1。信息科技治理組織架構(gòu)
�。�1）我行在董事會(huì)下設(shè)科技信息安全管理委員會(huì)，行長(zhǎng)室下設(shè)信息科技管理委員會(huì)，信息安全管理委員會(huì)下設(shè)應(yīng)急處理領(lǐng)導(dǎo)小組。
科技信息安全管理委員會(huì)全面負(fù)責(zé)領(lǐng)導(dǎo)和協(xié)調(diào)本行科技信息安全。
科技管理委員會(huì)負(fù)責(zé)統(tǒng)一規(guī)劃全行的信息化建設(shè)，指導(dǎo)和監(jiān)督科技部門的各項(xiàng)工作，審議全行計(jì)算機(jī)網(wǎng)絡(luò)的設(shè)計(jì)方案、軟件項(xiàng)目招標(biāo)、設(shè)備招標(biāo)和統(tǒng)一采購及日常管理中重大問題的研究和建議。
信息系統(tǒng)應(yīng)急處理領(lǐng)導(dǎo)小組負(fù)責(zé)組織制定全轄?wèi)?yīng)急處置的實(shí)施細(xì)則，統(tǒng)一組織、協(xié)調(diào)、指導(dǎo)、檢查全轄?wèi)?yīng)急處置的管理；負(fù)責(zé)全轄信息系統(tǒng)突發(fā)事件的應(yīng)急指揮、組織協(xié)調(diào)和過程控制
�。�2）我行成立了科技管理部和科技開發(fā)部，做到科技運(yùn)維和科技開發(fā)有效分離，加強(qiáng)了信息科技治理。
（3）科技風(fēng)險(xiǎn)審計(jì)工作由我行稽核審計(jì)部完成，信息科技風(fēng)險(xiǎn)管理由風(fēng)險(xiǎn)管理部門完成。
�。�4）在支行層面則設(shè)立合規(guī)員，負(fù)責(zé)各支行科技信息相關(guān)風(fēng)險(xiǎn)監(jiān)控和報(bào)告
2。信息科技管理制度建設(shè)
�。�1）安全管理
對(duì)安全管理活動(dòng)中的各類管理內(nèi)容建立安全管理制度，制定了由安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理總則《江蘇**農(nóng)村商業(yè)銀行計(jì)算機(jī)信息系統(tǒng)安全管理制度》，安全管理制度經(jīng)信息安全領(lǐng)導(dǎo)小組審定，審定周期為一年一次，并且及時(shí)發(fā)現(xiàn)缺漏或不足對(duì)制度進(jìn)行修訂，并有修訂記錄
（2）事件管理
制訂了安全事件報(bào)告和處置管理制度——《信息安全事件管理制度》明確安全事件類型，規(guī)定安全事件的現(xiàn)場(chǎng)處理、事件報(bào)告和后期恢復(fù)的管理職責(zé)，并根據(jù)國(guó)家相關(guān)管理部門對(duì)計(jì)算機(jī)安全事件等級(jí)劃分方法和安全事件對(duì)本系統(tǒng)產(chǎn)生的影響，對(duì)安全事件進(jìn)行等級(jí)劃分，制定安全事件報(bào)告和響應(yīng)處理程序，確定事件的報(bào)告流程，響應(yīng)和處置方法等，并對(duì)發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件有《異常情況上報(bào)規(guī)定》
�。�3）應(yīng)急處理
建立較為完善的信息系統(tǒng)應(yīng)急恢復(fù)策略《江蘇**農(nóng)村商業(yè)銀行計(jì)算機(jī)信息系統(tǒng)應(yīng)急處理方案》，對(duì)各業(yè)務(wù)信息系統(tǒng)進(jìn)行分類，按照重要程度，確定保障級(jí)別，制定了各信息系統(tǒng)突發(fā)事件專項(xiàng)應(yīng)急預(yù)案。制定數(shù)據(jù)中心、災(zāi)備中心機(jī)房關(guān)鍵基礎(chǔ)設(shè)施專項(xiàng)應(yīng)急預(yù)案。
�。�4）安全操作規(guī)范及管理流程
我行有完整的信息安全管理流程，控制信息安全管理。包括介質(zhì)管理、網(wǎng)絡(luò)管理、維護(hù)及故障處理制度、軟硬件變更流程、備份管理、ATM安全管理、機(jī)房管理、監(jiān)控管理、密鑰管理、巡檢制度等等科技管理部各項(xiàng)流程。
�。�5）崗位職責(zé)與分工
配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等。每個(gè)崗位設(shè)立2個(gè)以上操作維護(hù)人員。重要系統(tǒng)均配備A/B角，A/B角定期輪換。明確崗位職責(zé)《科技管理部崗位設(shè)置》《科技開發(fā)部工作職責(zé)》《科技管理部崗位百分考核辦法》
（6）密級(jí)管理制度
錄用人員簽署保密協(xié)議；制定人員離崗管理流程規(guī)范，嚴(yán)格規(guī)范人員離崗過程，及時(shí)終止離崗員工的所有訪問權(quán)限；與外包商簽訂保密協(xié)議；有密級(jí)的安全管理制度，注明安全管理制度密級(jí)，并進(jìn)行密級(jí)管理。
二、信息系統(tǒng)的技術(shù)措施情況
1。物理和環(huán)境建設(shè)
�。�1）機(jī)房的物理訪問控制：機(jī)房實(shí)現(xiàn)門禁控制，嚴(yán)防外部人員進(jìn)入機(jī)房擅自操作。
�。�2）系統(tǒng)密碼均由專門人員掌管，計(jì)算機(jī)終端無人看管時(shí)鎖定；
�。�3）機(jī)房采用集中監(jiān)控，監(jiān)控清晰全面，機(jī)房環(huán)境設(shè)施均有專人崗位值班管理，參數(shù)實(shí)行24小時(shí)不間斷監(jiān)控，崗位人員具備管理監(jiān)控專業(yè)素質(zhì)。
�。�4）機(jī)房供電系統(tǒng)均采用雙路UPS供電，線路冗余性好，負(fù)載能力強(qiáng)，完全能夠滿足機(jī)房電力需求。
�。�5）機(jī)房空調(diào)系統(tǒng)的有效性和冗余性，給排風(fēng)系統(tǒng)的有效性：機(jī)房空調(diào)系統(tǒng)安全有效，給排風(fēng)系統(tǒng)工作正常。
�。�6）中心機(jī)房和災(zāi)備機(jī)房均有配套防盜竊、防雷、防火、防水、防靜電、溫濕度控制、電磁保護(hù)等措施，確保機(jī)房正常運(yùn)轉(zhuǎn)。
�。�7）機(jī)房技術(shù)文檔完備、有效：制定了《**農(nóng)村商業(yè)銀行計(jì)算機(jī)信息系統(tǒng)安全管理制度》、《科技部信息部中心機(jī)房監(jiān)控制度》，《**農(nóng)村商業(yè)銀行計(jì)算機(jī)系統(tǒng)運(yùn)行維護(hù)管理制度》為機(jī)房維護(hù)制定詳細(xì)的規(guī)范文檔。 2。 網(wǎng)絡(luò)管理
我行根據(jù)文件要求，對(duì)重要網(wǎng)絡(luò)設(shè)施（包括網(wǎng)絡(luò)傳輸線路、網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)安全設(shè)備）進(jìn)行了詳細(xì)的自查，情況如下：1。 網(wǎng)絡(luò)安全策略
（1）內(nèi)網(wǎng)的安全管理情況；
內(nèi)網(wǎng)網(wǎng)絡(luò)安全管理：外聯(lián)單位互聯(lián)安全保護(hù)措施：通過兩臺(tái)PIX525防火墻連接外聯(lián)單位，兩臺(tái)防火墻通過FAILOVER形成熱備，在防火墻上配置安全策略，嚴(yán)格控制進(jìn)出生產(chǎn)網(wǎng)的數(shù)據(jù)。
在對(duì)外路由器上設(shè)置過濾規(guī)則，形成防護(hù)網(wǎng)。使用過濾規(guī)則設(shè)置功能，作過濾防護(hù)，形成銀行網(wǎng)絡(luò)與外聯(lián)單位之間的第一道防護(hù)網(wǎng)。正確地配置和使用防火墻。防火墻功能正確實(shí)施的關(guān)鍵是其安全策略的配置和管理，為企業(yè)的重要數(shù)據(jù)和內(nèi)部網(wǎng)絡(luò)系統(tǒng)提供了一層可靠的安全保障。
使用地址轉(zhuǎn)換的通信策略，防火墻對(duì)內(nèi)部地址進(jìn)行轉(zhuǎn)換，對(duì)外映射為一個(gè)虛擬地址。
�。�2）外網(wǎng)的安全管理情況；
辦公網(wǎng)網(wǎng)絡(luò)安全建設(shè)：天融信防火墻安全防護(hù)建設(shè)：在**農(nóng)商行辦公網(wǎng)INTERNET出口部署兩臺(tái)天融信防火墻提供了強(qiáng)大的網(wǎng)絡(luò)應(yīng)用控制功能。用戶可以輕松的針對(duì)一些典型網(wǎng)絡(luò)應(yīng)用，如MSN，QQ、Skype、即時(shí)通信應(yīng)用，以及BT、訊雷等p2p應(yīng)用實(shí)行靈活的訪問控制策略，如禁止、限時(shí)、乃至流量控制。還提供了定制功能，可以對(duì)用戶所關(guān)心的網(wǎng)絡(luò)應(yīng)用進(jìn)行全面控制。
能夠在核心網(wǎng)絡(luò)中同所有網(wǎng)絡(luò)設(shè)備一起構(gòu)建高可用性及高安全性的拓?fù)浣Y(jié)構(gòu)，自身能夠?qū)崿F(xiàn)A/A部署和狀態(tài)同步，能夠?qū)崿F(xiàn)動(dòng)態(tài)的鏈路切換，同時(shí)提供了電源冗余功能，最大限度地滿足了網(wǎng)絡(luò)的健壯性及穩(wěn)定性，保證了整個(gè)網(wǎng)絡(luò)的不間斷工作。
�。�3）加密技術(shù)應(yīng)用和私鑰的管理情況；
ARRY設(shè)備遠(yuǎn)程網(wǎng)絡(luò)通訊安全保護(hù)建設(shè)：**農(nóng)商行辦公網(wǎng)已經(jīng)部署了網(wǎng)絡(luò)通訊，INTERNET用戶可以連接到內(nèi)部辦公網(wǎng)。采用網(wǎng)絡(luò)通訊技術(shù)，加強(qiáng)信息傳輸過程中的安全防范，可以在公共Internet網(wǎng)絡(luò)上提供安全通信。是企業(yè)遠(yuǎn)程用戶、業(yè)務(wù)合作伙伴和供應(yīng)商盡快實(shí)現(xiàn)通信和共享信息理想的安全性解決方案。根據(jù)業(yè)務(wù)系統(tǒng)的特點(diǎn)選擇對(duì)業(yè)務(wù)數(shù)據(jù)進(jìn)行傳輸加密；對(duì)于網(wǎng)絡(luò)設(shè)備認(rèn)證過程中敏感的信息進(jìn)行加密。
制定了《**農(nóng)村商業(yè)銀行科技部密鑰管理制度》。
�。�4）防火墻的設(shè)置、維護(hù)和管理情況；
在網(wǎng)銀系統(tǒng)設(shè)置兩層物理防火墻，將網(wǎng)絡(luò)分為三個(gè)邏輯區(qū)域，及非授信區(qū)、停火區(qū)及安全區(qū)。非授信區(qū)可理解為Internet，即存在潛在威脅的`區(qū)域；停火區(qū)（DMZ）內(nèi)部署網(wǎng)銀Web服務(wù)器、RA服務(wù)器以及其它直接向外部提供服務(wù)或者進(jìn)行通訊的服務(wù)器，如Mail服務(wù)器、防病毒服務(wù)器等；安全區(qū)用戶部署網(wǎng)銀應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器、通信服務(wù)器等核心部件；
�。�5）、設(shè)置入侵檢測(cè)系統(tǒng)。
入侵檢測(cè)用在網(wǎng)絡(luò)關(guān)鍵節(jié)點(diǎn)設(shè)置探頭以偵測(cè)網(wǎng)絡(luò)數(shù)據(jù)中。
2。 網(wǎng)絡(luò)服務(wù)連續(xù)性、冗余性
1。所有重要通信線路均有備份線路且采用不同運(yùn)營(yíng)商，確保網(wǎng)絡(luò)無斷點(diǎn)。
2。網(wǎng)絡(luò)設(shè)備的冗余性：網(wǎng)絡(luò)設(shè)備均有備份。核心網(wǎng)絡(luò)設(shè)備，核心生產(chǎn)系統(tǒng)設(shè)備均采用雙機(jī)熱備，同城設(shè)有災(zāi)備機(jī)房，確保關(guān)鍵生產(chǎn)設(shè)備運(yùn)行的可靠性
3。訪問線路的帶寬完全能夠滿足各信息系統(tǒng)的帶寬需求，無網(wǎng)絡(luò)擁塞現(xiàn)象。
4。 網(wǎng)絡(luò)設(shè)備管理配置均由專人分管負(fù)責(zé)，確保合理操作，保障網(wǎng)絡(luò)通暢、安全；
5。日志服務(wù)器暫無，有網(wǎng)絡(luò)日志，但無集中審計(jì)，需加強(qiáng)網(wǎng)絡(luò)設(shè)備日志的安全審計(jì)。 3。信息系統(tǒng)可靠性
我行根據(jù)文件要求，對(duì)關(guān)鍵服務(wù)器、存儲(chǔ)器運(yùn)行的可靠性，生產(chǎn)系統(tǒng)資源冗余度等進(jìn)行了全面自查，情況如下：1。系統(tǒng)重要設(shè)備和組件的冗余備份
經(jīng)自查，關(guān)鍵生產(chǎn)設(shè)備均采用雙電源，服務(wù)器有UPS電源支持，且有RAID保護(hù)。系統(tǒng)具備較高的可用性，所有前置系統(tǒng)都有備機(jī)，且定期切換演練，系統(tǒng)重要設(shè)備和組件均有相應(yīng)的定時(shí)備份。
2。制定各系統(tǒng)的應(yīng)急預(yù)案，定期對(duì)預(yù)案修訂和培訓(xùn)，目前，我行針對(duì)世博會(huì)演練了信貸系統(tǒng)切換，中心機(jī)房供電演練，影像支付系統(tǒng)演練，網(wǎng)銀系統(tǒng)惡意攻擊模擬演練。
3。設(shè)備和系統(tǒng)的維護(hù)和升級(jí)管理
設(shè)備、系統(tǒng)均有專人維護(hù)管理，部分設(shè)備、系統(tǒng)聘請(qǐng)專業(yè)公司人員進(jìn)行升級(jí)維護(hù)，崗位人員均具備相關(guān)素質(zhì)，并實(shí)行AB角色。
4。對(duì)外包系統(tǒng)要求開發(fā)商要對(duì)我行技術(shù)人員進(jìn)行詳細(xì)的日常運(yùn)行、維護(hù)培訓(xùn)，把相關(guān)技術(shù)移交給我行技術(shù)人員，對(duì)涉及二次開發(fā)的系統(tǒng)要求開發(fā)商提供完整的二次開發(fā)手冊(cè)，培訓(xùn)我行技術(shù)人員掌握二次開發(fā)技術(shù)
5。系統(tǒng)軟件的用戶授權(quán)及鑒別認(rèn)證措施：系統(tǒng)軟件用戶密碼相關(guān)人員各自保管，重要系統(tǒng)管理密碼實(shí)行分左右手密碼保管原則，系統(tǒng)軟件用戶訪問實(shí)現(xiàn)權(quán)限控制，各級(jí)人員只能進(jìn)行權(quán)限內(nèi)操作。
6。系統(tǒng)變更管理：
制定了變更管理的主要準(zhǔn)則和規(guī)章制度，變更管理的審批授權(quán)機(jī)制和工作流程；對(duì)變更管理進(jìn)行登記、備案和存檔，制定了非計(jì)劃性緊急變更的實(shí)施方案、備份和恢復(fù)。
7。對(duì)系統(tǒng)日志及操作行為日志進(jìn)行監(jiān)察審計(jì)，確保系統(tǒng)穩(wěn)定運(yùn)行
8。系統(tǒng)容量管理計(jì)劃
系統(tǒng)處理容量增長(zhǎng)趨勢(shì)完全滿足增量業(yè)務(wù)需求，并有適度冗余。
9。補(bǔ)丁更新
及時(shí)關(guān)注系統(tǒng)安全漏洞最新情況，及時(shí)對(duì)新發(fā)現(xiàn)的安全漏洞打上相關(guān)的安全補(bǔ)丁。經(jīng)檢查當(dāng)前系統(tǒng)已是最新最完整版本，已安裝了最新補(bǔ)丁
10。病毒、惡意代碼的安全防護(hù)
系統(tǒng)均安裝病毒查殺軟件，對(duì)病毒、惡意代碼進(jìn)行安全防護(hù)。同時(shí)嚴(yán)格控制操作人員在機(jī)器上運(yùn)行可能攜帶惡意代碼、病毒的腳本的外來第三方軟件
11。系統(tǒng)安全配置檢查
定期巡檢，對(duì)系統(tǒng)的安全配置實(shí)行不定期檢測(cè)，對(duì)可能存在的隱患進(jìn)行排除。
4。應(yīng)用安全
1。業(yè)務(wù)應(yīng)用系統(tǒng)的用戶授權(quán)及鑒別認(rèn)證措施
業(yè)務(wù)應(yīng)用系統(tǒng)用戶密碼相關(guān)業(yè)務(wù)人員各自保管，通過操作號(hào)和密碼進(jìn)行身份鑒別認(rèn)證。人員離開時(shí)應(yīng)設(shè)置屏幕密碼保護(hù)或退出到登陸狀態(tài)。
2。業(yè)務(wù)應(yīng)用系統(tǒng)的用戶訪問控制
系統(tǒng)軟件用戶訪問實(shí)現(xiàn)權(quán)限控制，各級(jí)人員只能進(jìn)行權(quán)限內(nèi)操作
4。數(shù)據(jù)安全、備份可用性
1。數(shù)據(jù)備份策略及備份數(shù)據(jù)的可用性
�。�1）對(duì)各應(yīng)用系統(tǒng)指定相應(yīng)備份策略，指定不同級(jí)別的具體備份操作，每次備份完畢應(yīng)檢查備份數(shù)據(jù)的有效性，并異地妥善保管好磁介質(zhì)，重要數(shù)據(jù)永久保存
�。�2）應(yīng)定期執(zhí)行恢復(fù)程序，檢查和測(cè)試備份介質(zhì)的有效性，確�？梢栽诨謴�(fù)程序規(guī)定的時(shí)間內(nèi)完成備份的恢復(fù)。
（3）不定期對(duì)數(shù)據(jù)進(jìn)行抽檢，與業(yè)務(wù)所在日期數(shù)據(jù)進(jìn)行比對(duì)核實(shí)。并有應(yīng)急恢復(fù)預(yù)案，及同城異地災(zāi)備系統(tǒng)確保數(shù)據(jù)恢復(fù)性。
2。數(shù)據(jù)安全性
�。�1）敏感數(shù)據(jù)的傳輸和存儲(chǔ)加密：敏感數(shù)據(jù)傳輸實(shí)行加密管理，存儲(chǔ)的一些敏感數(shù)據(jù)實(shí)行加密亂碼顯示。
�。�2）重要業(yè)務(wù)數(shù)據(jù)的通信完整性檢測(cè)重要業(yè)務(wù)數(shù)據(jù)通信檢測(cè)完整、正常。
（3）重要業(yè)務(wù)數(shù)據(jù)的備份策略及恢復(fù)測(cè)試機(jī)制重要業(yè)務(wù)數(shù)據(jù)定時(shí)備份，專人存儲(chǔ)保管，有完整的應(yīng)急恢復(fù)預(yù)案。
（4）建立了同城異地災(zāi)備中心，并制定了《江蘇**農(nóng)村商業(yè)銀行異地容災(zāi)項(xiàng)目災(zāi)難恢復(fù)計(jì)劃書》，內(nèi)容包括危險(xiǎn)級(jí)別的定義劃分、決策流程、災(zāi)難恢復(fù)團(tuán)隊(duì)、日常備份和恢復(fù)流程、災(zāi)難響應(yīng)和行動(dòng)流程、災(zāi)難切換流程、災(zāi)備系統(tǒng)回切流程、災(zāi)難恢復(fù)計(jì)劃的測(cè)試、維護(hù)等。還包含了涉及系統(tǒng)設(shè)備的具體清單、操作步驟等，預(yù)計(jì)RTO為6小時(shí)以內(nèi)，RPO較低。
5。運(yùn)行維護(hù)監(jiān)控系統(tǒng)
我行根據(jù)文件要求，對(duì)信息系統(tǒng)的監(jiān)測(cè)預(yù)警進(jìn)行了全面自查，情況如下：
1。監(jiān)測(cè)預(yù)警制度、流程及自動(dòng)化監(jiān)控平臺(tái)
已建立完善監(jiān)測(cè)預(yù)警制度、流程，機(jī)房環(huán)境、參數(shù)，系統(tǒng)的運(yùn)行狀況，CPU使用情況、文件系統(tǒng)使用情況等均實(shí)現(xiàn)自動(dòng)化監(jiān)控。
2。監(jiān)測(cè)預(yù)警組織結(jié)構(gòu)及人員設(shè)置
每天有人員24小時(shí)值班，檢查系統(tǒng)及網(wǎng)絡(luò)運(yùn)行狀況，及時(shí)發(fā)現(xiàn)問題，監(jiān)測(cè)預(yù)警專人負(fù)責(zé)，按照警報(bào)級(jí)別逐級(jí)上報(bào)，確保故障的及時(shí)排除。
3。監(jiān)測(cè)預(yù)警日志
設(shè)立監(jiān)控日志，每日由監(jiān)測(cè)預(yù)警人員負(fù)責(zé)記錄。 4。監(jiān)測(cè)預(yù)警文檔的完備性
有監(jiān)測(cè)預(yù)警文檔說明，但不夠完善。
5。與電力供應(yīng)部門、網(wǎng)絡(luò)供應(yīng)商、公安部門等外部機(jī)構(gòu)均有相應(yīng)的應(yīng)急聯(lián)動(dòng)機(jī)制，我行正在實(shí)施保衛(wèi)部網(wǎng)點(diǎn)聲光聯(lián)動(dòng)報(bào)警，做到入侵報(bào)警設(shè)施與照明、視頻安防監(jiān)控及聲音復(fù)核等設(shè)備聯(lián)動(dòng)
三、不足和改進(jìn)方法
1。需將管理與技術(shù)相結(jié)合，進(jìn)一步加強(qiáng)信息安全管理手段
從IT風(fēng)險(xiǎn)管理手段來看，部分系統(tǒng)的風(fēng)險(xiǎn)控制不夠先進(jìn)，缺乏專業(yè)的風(fēng)險(xiǎn)技術(shù)支持，事前預(yù)防作用有限，事中控制不夠。缺乏對(duì)科技風(fēng)險(xiǎn)的集中審計(jì)。本行將引進(jìn)AAA統(tǒng)一認(rèn)證管理系統(tǒng)，加強(qiáng)系統(tǒng)用戶的授權(quán)，權(quán)限控制和賬號(hào)管理。架設(shè)日志服務(wù)器，對(duì)系統(tǒng)日志進(jìn)行集中收集和審計(jì)。
通過平臺(tái)對(duì)所有用戶進(jìn)行統(tǒng)一的授權(quán)。采用基于角色的授權(quán)機(jī)制，按照內(nèi)部的組織結(jié)構(gòu)劃分角色，并為用戶綁定角色。對(duì)于不同的角色分配不同應(yīng)用系統(tǒng)的訪問權(quán)限。平臺(tái)依靠記錄追蹤用戶和管理人員的訪問過程，建立一套全面的、有效的回溯和追查機(jī)制�？梢詫�(shí)時(shí)監(jiān)測(cè)用戶對(duì)各應(yīng)用系統(tǒng)的訪問狀態(tài)，及時(shí)發(fā)現(xiàn)非法訪問事件，對(duì)出現(xiàn)的問題進(jìn)行事后追溯和責(zé)任追究提供實(shí)證。通過對(duì)系統(tǒng)運(yùn)行狀態(tài)實(shí)時(shí)監(jiān)控審計(jì)，增強(qiáng)系統(tǒng)的可維護(hù)性。
2。進(jìn)一步完善計(jì)算機(jī)系統(tǒng)安全管理制度
本行已經(jīng)在內(nèi)部建立并健全了一系列的計(jì)算機(jī)系統(tǒng)安全管理制度，并由稽核部門對(duì)銀行計(jì)算機(jī)系統(tǒng)進(jìn)行專項(xiàng)稽核，但未配備專門的稽核人員，在廣度和深度上不夠，因此對(duì)照新指引的精神，從組織上保證信息風(fēng)險(xiǎn)有具體人員來承擔(dān)責(zé)任，強(qiáng)化執(zhí)行力和合規(guī)性。將日常信息風(fēng)險(xiǎn)管理從傳統(tǒng)的檢查模式逐步過渡到基于評(píng)估、規(guī)劃、執(zhí)行和監(jiān)督全面循環(huán)改進(jìn)的模式。制訂詳細(xì)的IT風(fēng)險(xiǎn)管理架構(gòu)，確立IT服務(wù)管理與IT風(fēng)險(xiǎn)管理的關(guān)系，明確IT風(fēng)險(xiǎn)管理的范圍、職責(zé)，制訂符合銀行實(shí)際情況的管理流程，出臺(tái)可操作性強(qiáng)的安全技術(shù)規(guī)范，加強(qiáng)開發(fā)過程的風(fēng)險(xiǎn)控制。從而有效地防范科技風(fēng)險(xiǎn)。
信息科技風(fēng)險(xiǎn)自查報(bào)告5
按照上級(jí)領(lǐng)導(dǎo)的指示，我行認(rèn)真貫徹《關(guān)于加強(qiáng)20xx年重要時(shí)期金融信息安全保障工作的通知》（銀發(fā)[20xx]57號(hào)文件）精神，為充分做好重要時(shí)期金融網(wǎng)絡(luò)和信息系統(tǒng)安全保障工作，防范我行信息科技風(fēng)險(xiǎn)，保障計(jì)算機(jī)系統(tǒng)運(yùn)行和操作安全，建立和完善信息科技風(fēng)險(xiǎn)管理機(jī)制.對(duì)我行的信息科技工作進(jìn)行了一次全面的自我評(píng)估及審查.現(xiàn)將審查情況報(bào)告如下：
一、組織架構(gòu)、制度建設(shè)及管理情況
1.信息科技治理組織架構(gòu)
�。�1）我行在董事會(huì)下設(shè)科技信息安全管理委員會(huì)，行長(zhǎng)室下設(shè)信息科技管理委員會(huì)，信息安全管理委員會(huì)下設(shè)應(yīng)急處理領(lǐng)導(dǎo)小組.
科技信息安全管理委員會(huì)全面負(fù)責(zé)領(lǐng)導(dǎo)和協(xié)調(diào)本行科技信息安全.
科技管理委員會(huì)負(fù)責(zé)統(tǒng)一規(guī)劃全行的信息化建設(shè)，指導(dǎo)和監(jiān)督科技部門的各項(xiàng)工作，審議全行計(jì)算機(jī)網(wǎng)絡(luò)的設(shè)計(jì)方案、軟件項(xiàng)目招標(biāo)、設(shè)備招標(biāo)和統(tǒng)一采購及日常管理中重大問題的研究和建議.
信息系統(tǒng)應(yīng)急處理領(lǐng)導(dǎo)小組負(fù)責(zé)組織制定全轄?wèi)?yīng)急處置的實(shí)施細(xì)則，統(tǒng)一組織、協(xié)調(diào)、指導(dǎo)、檢查全轄?wèi)?yīng)急處置的管理；負(fù)責(zé)全轄信息系統(tǒng)突發(fā)事件的應(yīng)急指揮、組織協(xié)調(diào)和過程控制
�。�2）我行成立了科技管理部和科技開發(fā)部，做到科技運(yùn)維和科技開發(fā)有效分離，加強(qiáng)了信息科技治理.
�。�3）科技風(fēng)險(xiǎn)審計(jì)工作由我行稽核審計(jì)部完成，信息科技風(fēng)險(xiǎn)管理由風(fēng)險(xiǎn)管理部門完成.
（4）在支行層面則設(shè)立合規(guī)員，負(fù)責(zé)各支行科技信息相關(guān)風(fēng)險(xiǎn)監(jiān)控和報(bào)告
2.信息科技管理制度建設(shè)
（1）安全管理
對(duì)安全管理活動(dòng)中的各類管理內(nèi)容建立安全管理制度，制定了由安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理總則《江蘇農(nóng)村商業(yè)銀行計(jì)算機(jī)信息系統(tǒng)安全管理制度》，安全管理制度經(jīng)信息安全領(lǐng)導(dǎo)小組審定，審定周期為一年一次，并且及時(shí)發(fā)現(xiàn)缺漏或不足對(duì)制度進(jìn)行修訂，并有修訂記錄
（2）事件管理
制訂了安全事件報(bào)告和處置管理制度——《信息安全事件管理制度》明確安全事件類型，規(guī)定安全事件的現(xiàn)場(chǎng)處理、事件報(bào)告和后期恢復(fù)的管理職責(zé)，并根據(jù)國(guó)家相關(guān)管理部門對(duì)計(jì)算機(jī)安全事件等級(jí)劃分方法和安全事件對(duì)本系統(tǒng)產(chǎn)生的影響，對(duì)安全事件進(jìn)行等級(jí)劃分，制定安全事件報(bào)告和響應(yīng)處理程序，確定事件的報(bào)告流程，響應(yīng)和處置方法等，并對(duì)發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件有《異常情況上報(bào)規(guī)定》
�。�3）應(yīng)急處理
建立較為完善的信息系統(tǒng)應(yīng)急恢復(fù)策略《江蘇農(nóng)村商業(yè)銀行計(jì)算機(jī)信息系統(tǒng)應(yīng)急處理方案》，對(duì)各業(yè)務(wù)信息系統(tǒng)進(jìn)行分類，按照重要程度，確定保障級(jí)別，制定了各信息系統(tǒng)突發(fā)事件專項(xiàng)應(yīng)急預(yù)案.制定數(shù)據(jù)中心、災(zāi)備中心機(jī)房關(guān)鍵基礎(chǔ)設(shè)施專項(xiàng)應(yīng)急預(yù)案.
�。�4）安全操作規(guī)范及管理流程
我行有完整的信息安全管理流程，控制信息安全管理.包括介質(zhì)管理、網(wǎng)絡(luò)管理、維護(hù)及故障處理制度、軟硬件變更流程、備份管理、ATM安全管理、機(jī)房管理、監(jiān)控管理、密鑰管理、巡檢制度等等科技管理部各項(xiàng)流程.
�。�5）崗位職責(zé)與分工
配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等.每個(gè)崗位設(shè)立2個(gè)以上操作維護(hù)人員.重要系統(tǒng)均配備A/B角，A/B角定期輪換.明確崗位職責(zé)《科技管理部崗位設(shè)置》《科技開發(fā)部工作職責(zé)》《科技管理部崗位百分考核辦法》
（6）密級(jí)管理制度
錄用人員簽署保密協(xié)議；制定人員離崗管理流程規(guī)范，嚴(yán)格規(guī)范人員離崗過程，及時(shí)終止離崗員工的所有訪問權(quán)限；與外包商簽訂保密協(xié)議；有密級(jí)的安全管理制度，注明安全管理制度密級(jí)，并進(jìn)行密級(jí)管理.
二、信息系統(tǒng)的技術(shù)措施情況
1.物理和環(huán)境建設(shè)
（1）機(jī)房的物理訪問控制：機(jī)房實(shí)現(xiàn)門禁控制，嚴(yán)防外部人員進(jìn)入機(jī)房擅自操作.
�。�2）系統(tǒng)密碼均由專門人員掌管，計(jì)算機(jī)終端無人看管時(shí)鎖定；
�。�3）機(jī)房采用集中監(jiān)控，監(jiān)控清晰全面，機(jī)房環(huán)境設(shè)施均有專人崗位值班管理，參數(shù)實(shí)行24小時(shí)不間斷監(jiān)控，崗位人員具備管理監(jiān)控專業(yè)素質(zhì).
�。�4）機(jī)房供電系統(tǒng)均采用雙路UPS供電，線路冗余性好，負(fù)載能力強(qiáng)，完全能夠滿足機(jī)房電力需求.
�。�5）機(jī)房空調(diào)系統(tǒng)的有效性和冗余性，給排風(fēng)系統(tǒng)的有效性：機(jī)房空調(diào)系統(tǒng)安全有效，給排風(fēng)系統(tǒng)工作正常.
（6）中心機(jī)房和災(zāi)備機(jī)房均有配套防盜竊、防雷、防火、防水、防靜電、溫濕度控制、電磁保護(hù)等措施，確保機(jī)房正常運(yùn)轉(zhuǎn).
�。�7）機(jī)房技術(shù)文檔完備、有效：制定了《農(nóng)村商業(yè)銀行計(jì)算機(jī)信息系統(tǒng)安全管理制度》、《科技部信息部中心機(jī)房監(jiān)控制度》，《農(nóng)村商業(yè)銀行計(jì)算機(jī)系統(tǒng)運(yùn)行維護(hù)管理制度》為機(jī)房維護(hù)制定詳細(xì)的規(guī)范文檔.
我行根據(jù)文件要求，對(duì)重要網(wǎng)絡(luò)設(shè)施（包括網(wǎng)絡(luò)傳輸線路、網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)安全設(shè)備）進(jìn)行了詳細(xì)的自查，情況如下：1.網(wǎng)絡(luò)安全策略
�。�1）內(nèi)網(wǎng)的安全管理情況；
內(nèi)網(wǎng)網(wǎng)絡(luò)安全管理：外聯(lián)單位互聯(lián)安全保護(hù)措施：通過兩臺(tái)PIX525防火墻連接外聯(lián)單位，兩臺(tái)防火墻通過FAILOVER形成熱備，在防火墻上配置安全策略，嚴(yán)格控制進(jìn)出生產(chǎn)網(wǎng)的數(shù)據(jù).
在對(duì)外路由器上設(shè)置過濾規(guī)則，形成防護(hù)網(wǎng).使用過濾規(guī)則設(shè)置功能，作過濾防護(hù)，形成銀行網(wǎng)絡(luò)與外聯(lián)單位之間的第一道防護(hù)網(wǎng).正確地配置和使用防火墻.防火墻功能正確實(shí)施的關(guān)鍵是其安全策略的配置和管理，為企業(yè)的重要數(shù)據(jù)和內(nèi)部網(wǎng)絡(luò)系統(tǒng)提供了一層可靠的安全保障.
使用地址轉(zhuǎn)換的通信策略，防火墻對(duì)內(nèi)部地址進(jìn)行轉(zhuǎn)換，對(duì)外映射為一個(gè)虛擬地址.
�。�2）外網(wǎng)的安全管理情況；
辦公網(wǎng)網(wǎng)絡(luò)安全建設(shè)：天融信防火墻安全防護(hù)建設(shè)：在農(nóng)商行辦公網(wǎng)INTERNET出口部署兩臺(tái)天融信防火墻提供了強(qiáng)大的網(wǎng)絡(luò)應(yīng)用控制功能.用戶可以輕松的針對(duì)一些典型網(wǎng)絡(luò)應(yīng)用，如MSN，QQ、Skype、即時(shí)通信應(yīng)用，以及BT、訊雷等p2p應(yīng)用實(shí)行靈活的訪問控制策略，如禁止、限時(shí)、乃至流量控制.還提供了定制功能，可以對(duì)用戶所關(guān)心的網(wǎng)絡(luò)應(yīng)用進(jìn)行全面控制.
能夠在核心網(wǎng)絡(luò)中同所有網(wǎng)絡(luò)設(shè)備一起構(gòu)建高可用性及高安全性的拓?fù)浣Y(jié)構(gòu)，自身能夠?qū)崿F(xiàn)A/A部署和狀態(tài)同步，能夠?qū)崿F(xiàn)動(dòng)態(tài)的鏈路切換，同時(shí)提供了電源冗余功能，最大限度地滿足了網(wǎng)絡(luò)的健壯性及穩(wěn)定性，保證了整個(gè)網(wǎng)絡(luò)的不間斷工作.
�。�3）加密技術(shù)應(yīng)用和私鑰的管理情況；
ARRY設(shè)備遠(yuǎn)程網(wǎng)絡(luò)通訊安全保護(hù)建設(shè)：農(nóng)商行辦公網(wǎng)已經(jīng)部署了網(wǎng)絡(luò)通訊，INTERNET用戶可以連接到內(nèi)部辦公網(wǎng).采用網(wǎng)絡(luò)通訊技術(shù)，加強(qiáng)信息傳輸過程中的安全防范，可以在公共Internet網(wǎng)絡(luò)上提供安全通信.是企業(yè)遠(yuǎn)程用戶、業(yè)務(wù)合作伙伴和供應(yīng)商盡快實(shí)現(xiàn)通信和共享信息理想的安全性解決方案.根據(jù)業(yè)務(wù)系統(tǒng)的特點(diǎn)選擇對(duì)業(yè)務(wù)數(shù)據(jù)進(jìn)行傳輸加密；對(duì)于網(wǎng)絡(luò)設(shè)備認(rèn)證過程中敏感的信息進(jìn)行加密.
制定了《農(nóng)村商業(yè)銀行科技部密鑰管理制度》.
（4）防火墻的設(shè)置、維護(hù)和管理情況；
在網(wǎng)銀系統(tǒng)設(shè)置兩層物理防火墻，將網(wǎng)絡(luò)分為三個(gè)邏輯區(qū)域，及非授信區(qū)、�；饏^(qū)及安全區(qū).非授信區(qū)可理解為Internet，即存在潛在威脅的區(qū)域；停火區(qū)（DMZ）內(nèi)部署網(wǎng)銀Web服務(wù)器、RA服務(wù)器以及其它直接向外部提供服務(wù)或者進(jìn)行通訊的服務(wù)器，如Mail服務(wù)器、防病毒服務(wù)器等；安全區(qū)用戶部署網(wǎng)銀應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器、通信服務(wù)器等核心部件；
�。�5）、設(shè)置入侵檢測(cè)系統(tǒng).
入侵檢測(cè)用在網(wǎng)絡(luò)關(guān)鍵節(jié)點(diǎn)設(shè)置探頭以偵測(cè)網(wǎng)絡(luò)數(shù)據(jù)中.
2. 網(wǎng)絡(luò)服務(wù)連續(xù)性、冗余性
1.所有重要通信線路均有備份線路且采用不同運(yùn)營(yíng)商，確保網(wǎng)絡(luò)無斷點(diǎn).
2.網(wǎng)絡(luò)設(shè)備的冗余性：網(wǎng)絡(luò)設(shè)備均有備份.核心網(wǎng)絡(luò)設(shè)備，核心生產(chǎn)系統(tǒng)設(shè)備均采用雙機(jī)熱備，同城設(shè)有災(zāi)備機(jī)房，確保關(guān)鍵生產(chǎn)設(shè)備運(yùn)行的可靠性
3.訪問線路的帶寬完全能夠滿足各信息系統(tǒng)的帶寬需求，無網(wǎng)絡(luò)擁塞現(xiàn)象.
4. 網(wǎng)絡(luò)設(shè)備管理配置均由專人分管負(fù)責(zé)，確保合理操作，保障網(wǎng)絡(luò)通暢、安全；
5.日志服務(wù)器暫無，有網(wǎng)絡(luò)日志，但無集中審計(jì)，需加強(qiáng)網(wǎng)絡(luò)設(shè)備日志的安全審計(jì). 3.信息系統(tǒng)可靠性
我行根據(jù)文件要求，對(duì)關(guān)鍵服務(wù)器、存儲(chǔ)器運(yùn)行的可靠性，生產(chǎn)系統(tǒng)資源冗余度等進(jìn)行了全面自查，情況如下：1.系統(tǒng)重要設(shè)備和組件的冗余備份
經(jīng)自查，關(guān)鍵生產(chǎn)設(shè)備均采用雙電源，服務(wù)器有UPS電源支持，且有RAID保護(hù).系統(tǒng)具備較高的.可用性，所有前置系統(tǒng)都有備機(jī)，且定期切換演練，系統(tǒng)重要設(shè)備和組件均有相應(yīng)的定時(shí)備份.
2.制定各系統(tǒng)的應(yīng)急預(yù)案，定期對(duì)預(yù)案修訂和培訓(xùn)，目前，我行針對(duì)世博會(huì)演練了信貸系統(tǒng)切換，中心機(jī)房供電演練，影像支付系統(tǒng)演練，網(wǎng)銀系統(tǒng)惡意攻擊模擬演練.
3.設(shè)備和系統(tǒng)的維護(hù)和升級(jí)管理
設(shè)備、系統(tǒng)均有專人維護(hù)管理，部分設(shè)備、系統(tǒng)聘請(qǐng)專業(yè)公司人員進(jìn)行升級(jí)維護(hù)，崗位人員均具備相關(guān)素質(zhì)，并實(shí)行AB角色.
4.對(duì)外包系統(tǒng)要求開發(fā)商要對(duì)我行技術(shù)人員進(jìn)行詳細(xì)的日常運(yùn)行、維護(hù)培訓(xùn)，把相關(guān)技術(shù)移交給我行技術(shù)人員，對(duì)涉及二次開發(fā)的系統(tǒng)要求開發(fā)商提供完整的二次開發(fā)手冊(cè)，培訓(xùn)我行技術(shù)人員掌握二次開發(fā)技術(shù)
5.系統(tǒng)軟件的用戶授權(quán)及鑒別認(rèn)證措施：系統(tǒng)軟件用戶密碼相關(guān)人員各自保管，重要系統(tǒng)管理密碼實(shí)行分左右手密碼保管原則，系統(tǒng)軟件用戶訪問實(shí)現(xiàn)權(quán)限控制，各級(jí)人員只能進(jìn)行權(quán)限內(nèi)操作.
6.系統(tǒng)變更管理：
制定了變更管理的主要準(zhǔn)則和規(guī)章制度，變更管理的審批授權(quán)機(jī)制和工作流程；對(duì)變更管理進(jìn)行登記、備案和存檔，制定了非計(jì)劃性緊急變更的實(shí)施方案、備份和恢復(fù).
7.對(duì)系統(tǒng)日志及操作行為日志進(jìn)行監(jiān)察審計(jì)，確保系統(tǒng)穩(wěn)定運(yùn)行
8.系統(tǒng)容量管理計(jì)劃
系統(tǒng)處理容量增長(zhǎng)趨勢(shì)完全滿足增量業(yè)務(wù)需求，并有適度冗余.
9.補(bǔ)丁更新
及時(shí)關(guān)注系統(tǒng)安全漏洞最新情況，及時(shí)對(duì)新發(fā)現(xiàn)的安全漏洞打上相關(guān)的安全補(bǔ)丁.經(jīng)檢查當(dāng)前系統(tǒng)已是最新最完整版本，已安裝了最新補(bǔ)丁
10.病毒、惡意代碼的安全防護(hù)
系統(tǒng)均安裝病毒查殺軟件，對(duì)病毒、惡意代碼進(jìn)行安全防護(hù).同時(shí)嚴(yán)格控制操作人員在機(jī)器上運(yùn)行可能攜帶惡意代碼、病毒的腳本的外來第三方軟件
11.系統(tǒng)安全配置檢查
定期巡檢，對(duì)系統(tǒng)的安全配置實(shí)行不定期檢測(cè)，對(duì)可能存在的隱患進(jìn)行排除.
4.應(yīng)用安全
1.業(yè)務(wù)應(yīng)用系統(tǒng)的用戶授權(quán)及鑒別認(rèn)證措施
業(yè)務(wù)應(yīng)用系統(tǒng)用戶密碼相關(guān)業(yè)務(wù)人員各自保管，通過操作號(hào)和密碼進(jìn)行身份鑒別認(rèn)證.人員離開時(shí)應(yīng)設(shè)置屏幕密碼保護(hù)或退出到登陸狀態(tài).
2.業(yè)務(wù)應(yīng)用系統(tǒng)的用戶訪問控制
系統(tǒng)軟件用戶訪問實(shí)現(xiàn)權(quán)限控制，各級(jí)人員只能進(jìn)行權(quán)限內(nèi)操作
4.數(shù)據(jù)安全、備份可用性
1.數(shù)據(jù)備份策略及備份數(shù)據(jù)的可用性
�。�1）對(duì)各應(yīng)用系統(tǒng)指定相應(yīng)備份策略，指定不同級(jí)別的具體備份操作，每次備份完畢應(yīng)檢查備份數(shù)據(jù)的有效性，并異地妥善保管好磁介質(zhì)，重要數(shù)據(jù)永久保存
�。�2）應(yīng)定期執(zhí)行恢復(fù)程序，檢查和測(cè)試備份介質(zhì)的有效性，確保可以在恢復(fù)程序規(guī)定的時(shí)間內(nèi)完成備份的恢復(fù).
�。�3）不定期對(duì)數(shù)據(jù)進(jìn)行抽檢，與業(yè)務(wù)所在日期數(shù)據(jù)進(jìn)行比對(duì)核實(shí).并有應(yīng)急恢復(fù)預(yù)案，及同城異地災(zāi)備系統(tǒng)確保數(shù)據(jù)恢復(fù)性.
2.數(shù)據(jù)安全性
（1）敏感數(shù)據(jù)的傳輸和存儲(chǔ)加密：敏感數(shù)據(jù)傳輸實(shí)行加密管理，存儲(chǔ)的一些敏感數(shù)據(jù)實(shí)行加密亂碼顯示.
�。�2）重要業(yè)務(wù)數(shù)據(jù)的通信完整性檢測(cè)重要業(yè)務(wù)數(shù)據(jù)通信檢測(cè)完整、正常.
�。�3）重要業(yè)務(wù)數(shù)據(jù)的備份策略及恢復(fù)測(cè)試機(jī)制重要業(yè)務(wù)數(shù)據(jù)定時(shí)備份，專人存儲(chǔ)保管，有完整的應(yīng)急恢復(fù)預(yù)案.
�。�4）建立了同城異地災(zāi)備中心，并制定了《江蘇農(nóng)村商業(yè)銀行異地容災(zāi)項(xiàng)目災(zāi)難恢復(fù)計(jì)劃書》，內(nèi)容包括危險(xiǎn)級(jí)別的定義劃分、決策流程、災(zāi)難恢復(fù)團(tuán)隊(duì)、日常備份和恢復(fù)流程、災(zāi)難響應(yīng)和行動(dòng)流程、災(zāi)難切換流程、災(zāi)備系統(tǒng)回切流程、災(zāi)難恢復(fù)計(jì)劃的測(cè)試、維護(hù)等.還包含了涉及系統(tǒng)設(shè)備的具體清單、操作步驟等，預(yù)計(jì)RTO為6小時(shí)以內(nèi)，RPO較低.
5.運(yùn)行維護(hù)監(jiān)控系統(tǒng)
我行根據(jù)文件要求，對(duì)信息系統(tǒng)的監(jiān)測(cè)預(yù)警進(jìn)行了全面自查，情況如下：
1.監(jiān)測(cè)預(yù)警制度、流程及自動(dòng)化監(jiān)控平臺(tái)
已建立完善監(jiān)測(cè)預(yù)警制度、流程，機(jī)房環(huán)境、參數(shù)，系統(tǒng)的運(yùn)行狀況，CPU使用情況、文件系統(tǒng)使用情況等均實(shí)現(xiàn)自動(dòng)化監(jiān)控.
2.監(jiān)測(cè)預(yù)警組織結(jié)構(gòu)及人員設(shè)置
每天有人員24小時(shí)值班，檢查系統(tǒng)及網(wǎng)絡(luò)運(yùn)行狀況，及時(shí)發(fā)現(xiàn)問題，監(jiān)測(cè)預(yù)警專人負(fù)責(zé)，按照警報(bào)級(jí)別逐級(jí)上報(bào)，確保故障的及時(shí)排除.
3.監(jiān)測(cè)預(yù)警日志
設(shè)立監(jiān)控日志，每日由監(jiān)測(cè)預(yù)警人員負(fù)責(zé)記錄. 4.監(jiān)測(cè)預(yù)警文檔的完備性
有監(jiān)測(cè)預(yù)警文檔說明，但不夠完善.
5.與電力供應(yīng)部門、網(wǎng)絡(luò)供應(yīng)商、公安部門等外部機(jī)構(gòu)均有相應(yīng)的應(yīng)急聯(lián)動(dòng)機(jī)制，我行正在實(shí)施保衛(wèi)部網(wǎng)點(diǎn)聲光聯(lián)動(dòng)報(bào)警，做到入侵報(bào)警設(shè)施與照明、視頻安防監(jiān)控及聲音復(fù)核等設(shè)備聯(lián)動(dòng)
三、不足和改進(jìn)方法
1.需將管理與技術(shù)相結(jié)合，進(jìn)一步加強(qiáng)信息安全管理手段
從IT風(fēng)險(xiǎn)管理手段來看，部分系統(tǒng)的風(fēng)險(xiǎn)控制不夠先進(jìn)，缺乏專業(yè)的風(fēng)險(xiǎn)技術(shù)支持，事前預(yù)防作用有限，事中控制不夠.缺乏對(duì)科技風(fēng)險(xiǎn)的集中審計(jì).本行將引進(jìn)AAA統(tǒng)一認(rèn)證管理系統(tǒng)，加強(qiáng)系統(tǒng)用戶的授權(quán)，權(quán)限控制和賬號(hào)管理.架設(shè)日志服務(wù)器，對(duì)系統(tǒng)日志進(jìn)行集中收集和審計(jì).
通過平臺(tái)對(duì)所有用戶進(jìn)行統(tǒng)一的授權(quán).采用基于角色的授權(quán)機(jī)制，按照內(nèi)部的組織結(jié)構(gòu)劃分角色，并為用戶綁定角色.對(duì)于不同的角色分配不同應(yīng)用系統(tǒng)的訪問權(quán)限.平臺(tái)依靠記錄追蹤用戶和管理人員的訪問過程，建立一套全面的、有效的回溯和追查機(jī)制.可以實(shí)時(shí)監(jiān)測(cè)用戶對(duì)各應(yīng)用系統(tǒng)的訪問狀態(tài)，及時(shí)發(fā)現(xiàn)非法訪問事件，對(duì)出現(xiàn)的問題進(jìn)行事后追溯和責(zé)任追究提供實(shí)證.通過對(duì)系統(tǒng)運(yùn)行狀態(tài)實(shí)時(shí)監(jiān)控審計(jì)，增強(qiáng)系統(tǒng)的可維護(hù)性.
2.進(jìn)一步完善計(jì)算機(jī)系統(tǒng)安全管理制度
本行已經(jīng)在內(nèi)部建立并健全了一系列的計(jì)算機(jī)系統(tǒng)安全管理制度，并由稽核部門對(duì)銀行計(jì)算機(jī)系統(tǒng)進(jìn)行專項(xiàng)稽核，但未配備專門的稽核人員，在廣度和深度上不夠，因此對(duì)照新指引的精神，從組織上保證信息風(fēng)險(xiǎn)有具體人員來承擔(dān)責(zé)任，強(qiáng)化執(zhí)行力和合規(guī)性.將日常信息風(fēng)險(xiǎn)管理從傳統(tǒng)的檢查模式逐步過渡到基于評(píng)估、規(guī)劃、執(zhí)行和監(jiān)督全面循環(huán)改進(jìn)的模式.制訂詳細(xì)的IT風(fēng)險(xiǎn)管理架構(gòu)，確立IT服務(wù)管理與IT風(fēng)險(xiǎn)管理的關(guān)系，明確IT風(fēng)險(xiǎn)管理的范圍、職責(zé)，制訂符合銀行實(shí)際情況的管理流程，出臺(tái)可操作性強(qiáng)的安全技術(shù)規(guī)范，加強(qiáng)開發(fā)過程的風(fēng)險(xiǎn)控制.從而有效地防范科技風(fēng)險(xiǎn).
信息科技風(fēng)險(xiǎn)自查報(bào)告6
按照上級(jí)領(lǐng)導(dǎo)的指示，我行認(rèn)真貫徹《關(guān)于加強(qiáng)20xx年重要時(shí)期金融信息安全保障工作的通知》（銀發(fā)[20xx]57號(hào)文件）精神，為充分做好重要時(shí)期金融網(wǎng)絡(luò)和信息系統(tǒng)安全保障工作，防范我行信息科技風(fēng)險(xiǎn)，保障計(jì)算機(jī)系統(tǒng)運(yùn)行和操作安全，建立和完善信息科技風(fēng)險(xiǎn)管理機(jī)制.對(duì)我行的信息科技工作進(jìn)行了一次全面的自我評(píng)估及審查.現(xiàn)將審查情況報(bào)告如下：
一、組織架構(gòu)、制度建設(shè)及管理情況
1.信息科技治理組織架構(gòu)
�。�1）我行在董事會(huì)下設(shè)科技信息安全管理委員會(huì)，行長(zhǎng)室下設(shè)信息科技管理委員會(huì)，信息安全管理委員會(huì)下設(shè)應(yīng)急處理領(lǐng)導(dǎo)小組.
科技信息安全管理委員會(huì)全面負(fù)責(zé)領(lǐng)導(dǎo)和協(xié)調(diào)本行科技信息安全.
科技管理委員會(huì)負(fù)責(zé)統(tǒng)一規(guī)劃全行的信息化建設(shè)，指導(dǎo)和監(jiān)督科技部門的各項(xiàng)工作，審議全行計(jì)算機(jī)網(wǎng)絡(luò)的設(shè)計(jì)方案、軟件項(xiàng)目招標(biāo)、設(shè)備招標(biāo)和統(tǒng)一采購及日常管理中重大問題的研究和建議.
信息系統(tǒng)應(yīng)急處理領(lǐng)導(dǎo)小組負(fù)責(zé)組織制定全轄?wèi)?yīng)急處置的實(shí)施細(xì)則，統(tǒng)一組織、協(xié)調(diào)、指導(dǎo)、檢查全轄?wèi)?yīng)急處置的管理；負(fù)責(zé)全轄信息系統(tǒng)突發(fā)事件的應(yīng)急指揮、組織協(xié)調(diào)和過程控制
�。�2）我行成立了科技管理部和科技開發(fā)部，做到科技運(yùn)維和科技開發(fā)有效分離，加強(qiáng)了信息科技治理.
�。�3）科技風(fēng)險(xiǎn)審計(jì)工作由我行稽核審計(jì)部完成，信息科技風(fēng)險(xiǎn)管理由風(fēng)險(xiǎn)管理部門完成.
（4）在支行層面則設(shè)立合規(guī)員，負(fù)責(zé)各支行科技信息相關(guān)風(fēng)險(xiǎn)監(jiān)控和報(bào)告
2.信息科技管理制度建設(shè)
�。�1）安全管理
對(duì)安全管理活動(dòng)中的各類管理內(nèi)容建立安全管理制度，制定了由安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理總則《江蘇農(nóng)村商業(yè)銀行計(jì)算機(jī)信息系統(tǒng)安全管理制度》，安全管理制度經(jīng)信息安全領(lǐng)導(dǎo)小組審定，審定周期為一年一次，并且及時(shí)發(fā)現(xiàn)缺漏或不足對(duì)制度進(jìn)行修訂，并有修訂記錄
�。�2）事件管理
制訂了安全事件報(bào)告和處置管理制度——《信息安全事件管理制度》明確安全事件類型，規(guī)定安全事件的現(xiàn)場(chǎng)處理、事件報(bào)告和后期恢復(fù)的管理職責(zé)，并根據(jù)國(guó)家相關(guān)管理部門對(duì)計(jì)算機(jī)安全事件等級(jí)劃分方法和安全事件對(duì)本系統(tǒng)產(chǎn)生的影響，對(duì)安全事件進(jìn)行等級(jí)劃分，制定安全事件報(bào)告和響應(yīng)處理程序，確定事件的報(bào)告流程，響應(yīng)和處置方法等，并對(duì)發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件有《異常情況上報(bào)規(guī)定》
（3）應(yīng)急處理
建立較為完善的信息系統(tǒng)應(yīng)急恢復(fù)策略《江蘇農(nóng)村商業(yè)銀行計(jì)算機(jī)信息系統(tǒng)應(yīng)急處理方案》，對(duì)各業(yè)務(wù)信息系統(tǒng)進(jìn)行分類，按照重要程度，確定保障級(jí)別，制定了各信息系統(tǒng)突發(fā)事件專項(xiàng)應(yīng)急預(yù)案.制定數(shù)據(jù)中心、災(zāi)備中心機(jī)房關(guān)鍵基礎(chǔ)設(shè)施專項(xiàng)應(yīng)急預(yù)案.
（4）安全操作規(guī)范及管理流程
我行有完整的信息安全管理流程，控制信息安全管理.包括介質(zhì)管理、網(wǎng)絡(luò)管理、維護(hù)及故障處理制度、軟硬件變更流程、備份管理、ATM安全管理、機(jī)房管理、監(jiān)控管理、密鑰管理、巡檢制度等等科技管理部各項(xiàng)流程.
�。�5）崗位職責(zé)與分工
配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等.每個(gè)崗位設(shè)立2個(gè)以上操作維護(hù)人員.重要系統(tǒng)均配備A/B角，A/B角定期輪換.明確崗位職責(zé)《科技管理部崗位設(shè)置》《科技開發(fā)部工作職責(zé)》《科技管理部崗位百分考核辦法》
（6）密級(jí)管理制度
錄用人員簽署保密協(xié)議；制定人員離崗管理流程規(guī)范，嚴(yán)格規(guī)范人員離崗過程，及時(shí)終止離崗員工的所有訪問權(quán)限；與外包商簽訂保密協(xié)議；有密級(jí)的安全管理制度，注明安全管理制度密級(jí)，并進(jìn)行密級(jí)管理.
二、信息系統(tǒng)的技術(shù)措施情況
1.物理和環(huán)境建設(shè)
�。�1）機(jī)房的物理訪問控制：機(jī)房實(shí)現(xiàn)門禁控制，嚴(yán)防外部人員進(jìn)入機(jī)房擅自操作.
�。�2）系統(tǒng)密碼均由專門人員掌管，計(jì)算機(jī)終端無人看管時(shí)鎖定；
�。�3）機(jī)房采用集中監(jiān)控，監(jiān)控清晰全面，機(jī)房環(huán)境設(shè)施均有專人崗位值班管理，參數(shù)實(shí)行24小時(shí)不間斷監(jiān)控，崗位人員具備管理監(jiān)控專業(yè)素質(zhì).
（4）機(jī)房供電系統(tǒng)均采用雙路UPS供電，線路冗余性好，負(fù)載能力強(qiáng)，完全能夠滿足機(jī)房電力需求.
�。�5）機(jī)房空調(diào)系統(tǒng)的有效性和冗余性，給排風(fēng)系統(tǒng)的有效性：機(jī)房空調(diào)系統(tǒng)安全有效，給排風(fēng)系統(tǒng)工作正常.
�。�6）中心機(jī)房和災(zāi)備機(jī)房均有配套防盜竊、防雷、防火、防水、防靜電、溫濕度控制、電磁保護(hù)等措施，確保機(jī)房正常運(yùn)轉(zhuǎn).
�。�7）機(jī)房技術(shù)文檔完備、有效：制定了《農(nóng)村商業(yè)銀行計(jì)算機(jī)信息系統(tǒng)安全管理制度》、《科技部信息部中心機(jī)房監(jiān)控制度》，《農(nóng)村商業(yè)銀行計(jì)算機(jī)系統(tǒng)運(yùn)行維護(hù)管理制度》為機(jī)房維護(hù)制定詳細(xì)的規(guī)范文檔. 2. 網(wǎng)絡(luò)管理
我行根據(jù)文件要求，對(duì)重要網(wǎng)絡(luò)設(shè)施(包括網(wǎng)絡(luò)傳輸線路、網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)安全設(shè)備)進(jìn)行了詳細(xì)的自查，情況如下: 1. 網(wǎng)絡(luò)安全策略
（1）內(nèi)網(wǎng)的安全管理情況；
內(nèi)網(wǎng)網(wǎng)絡(luò)安全管理：外聯(lián)單位互聯(lián)安全保護(hù)措施：通過兩臺(tái)PIX525防火墻連接外聯(lián)單位，兩臺(tái)防火墻通過FAILOVER形成熱備，在防火墻上配置安全策略，嚴(yán)格控制進(jìn)出生產(chǎn)網(wǎng)的數(shù)據(jù).
在對(duì)外路由器上設(shè)置過濾規(guī)則，形成防護(hù)網(wǎng).使用過濾規(guī)則設(shè)置功能，作過濾防護(hù)，形成銀行網(wǎng)絡(luò)與外聯(lián)單位之間的第一道防護(hù)網(wǎng).正確地配置和使用防火墻.防火墻功能正確實(shí)施的關(guān)鍵是其安全策略的配置和管理，為企業(yè)的重要數(shù)據(jù)和內(nèi)部網(wǎng)絡(luò)系統(tǒng)提供了一層可靠的安全保障.
使用地址轉(zhuǎn)換的通信策略，防火墻對(duì)內(nèi)部地址進(jìn)行轉(zhuǎn)換，對(duì)外映射為一個(gè)虛擬地址.
�。�2）外網(wǎng)的安全管理情況；
辦公網(wǎng)網(wǎng)絡(luò)安全建設(shè)：天融信防火墻安全防護(hù)建設(shè)：在農(nóng)商行辦公網(wǎng)INTERNET出口部署兩臺(tái)天融信防火墻提供了強(qiáng)大的網(wǎng)絡(luò)應(yīng)用控制功能.用戶可以輕松的針對(duì)一些典型網(wǎng)絡(luò)應(yīng)用，如MSN，QQ、Skype、即時(shí)通信應(yīng)用，以及BT、訊雷等p2p應(yīng)用實(shí)行靈活的訪問控制策略，如禁止、限時(shí)、乃至流量控制.還提供了定制功能，可以對(duì)用戶所關(guān)心的網(wǎng)絡(luò)應(yīng)用進(jìn)行全面控制.
能夠在核心網(wǎng)絡(luò)中同所有網(wǎng)絡(luò)設(shè)備一起構(gòu)建高可用性及高安全性的拓?fù)浣Y(jié)構(gòu)，自身能夠?qū)崿F(xiàn)A/A部署和狀態(tài)同步，能夠?qū)崿F(xiàn)動(dòng)態(tài)的鏈路切換，同時(shí)提供了電源冗余功能，最大限度地滿足了網(wǎng)絡(luò)的健壯性及穩(wěn)定性，保證了整個(gè)網(wǎng)絡(luò)的不間斷工作.
�。�3）加密技術(shù)應(yīng)用和私鑰的管理情況；
ARRY設(shè)備遠(yuǎn)程網(wǎng)絡(luò)通訊安全保護(hù)建設(shè)：農(nóng)商行辦公網(wǎng)已經(jīng)部署了網(wǎng)絡(luò)通訊，INTERNET用戶可以連接到內(nèi)部辦公網(wǎng).采用網(wǎng)絡(luò)通訊技術(shù)，加強(qiáng)信息傳輸過程中的安全防范，可以在公共Internet網(wǎng)絡(luò)上提供安全通信.是企業(yè)遠(yuǎn)程用戶、業(yè)務(wù)合作伙伴和供應(yīng)商盡快實(shí)現(xiàn)通信和共享信息理想的安全性解決方案.根據(jù)業(yè)務(wù)系統(tǒng)的特點(diǎn)選擇對(duì)業(yè)務(wù)數(shù)據(jù)進(jìn)行傳輸加密；對(duì)于網(wǎng)絡(luò)設(shè)備認(rèn)證過程中敏感的信息進(jìn)行加密.
制定了《農(nóng)村商業(yè)銀行科技部密鑰管理制度》.
�。�4）防火墻的設(shè)置、維護(hù)和管理情況；
在網(wǎng)銀系統(tǒng)設(shè)置兩層物理防火墻，將網(wǎng)絡(luò)分為三個(gè)邏輯區(qū)域，及非授信區(qū)、停火區(qū)及安全區(qū).非授信區(qū)可理解為Internet，即存在潛在威脅的區(qū)域；停火區(qū)（DMZ）內(nèi)部署網(wǎng)銀Web服務(wù)器、RA服務(wù)器以及其它直接向外部提供服務(wù)或者進(jìn)行通訊的服務(wù)器，如Mail服務(wù)器、防病毒服務(wù)器等；安全區(qū)用戶部署網(wǎng)銀應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器、通信服務(wù)器等核心部件；
�。�5）、設(shè)置入侵檢測(cè)系統(tǒng).
入侵檢測(cè)用在網(wǎng)絡(luò)關(guān)鍵節(jié)點(diǎn)設(shè)置探頭以偵測(cè)網(wǎng)絡(luò)數(shù)據(jù)中.
2. 網(wǎng)絡(luò)服務(wù)連續(xù)性、冗余性
1.所有重要通信線路均有備份線路且采用不同運(yùn)營(yíng)商，確保網(wǎng)絡(luò)無斷點(diǎn).
2.網(wǎng)絡(luò)設(shè)備的冗余性：網(wǎng)絡(luò)設(shè)備均有備份.核心網(wǎng)絡(luò)設(shè)備，核心生產(chǎn)系統(tǒng)設(shè)備均采用雙機(jī)熱備，同城設(shè)有災(zāi)備機(jī)房，確保關(guān)鍵生產(chǎn)設(shè)備運(yùn)行的可靠性
3.訪問線路的帶寬完全能夠滿足各信息系統(tǒng)的帶寬需求，無網(wǎng)絡(luò)擁塞現(xiàn)象.
4. 網(wǎng)絡(luò)設(shè)備管理配置均由專人分管負(fù)責(zé)，確保合理操作，保障網(wǎng)絡(luò)通暢、安全；
5.日志服務(wù)器暫無，有網(wǎng)絡(luò)日志，但無集中審計(jì)，需加強(qiáng)網(wǎng)絡(luò)設(shè)備日志的安全審計(jì). 3.信息系統(tǒng)可靠性
我行根據(jù)文件要求，對(duì)關(guān)鍵服務(wù)器、存儲(chǔ)器運(yùn)行的可靠性，生產(chǎn)系統(tǒng)資源冗余度等進(jìn)行了全面自查，情況如下: 1.系統(tǒng)重要設(shè)備和組件的冗余備份
經(jīng)自查，關(guān)鍵生產(chǎn)設(shè)備均采用雙電源，服務(wù)器有UPS電源支持，且有RAID保護(hù).系統(tǒng)具備較高的可用性，所有前置系統(tǒng)都有備機(jī)，且定期切換演練，系統(tǒng)重要設(shè)備和組件均有相應(yīng)的定時(shí)備份.
2.制定各系統(tǒng)的應(yīng)急預(yù)案，定期對(duì)預(yù)案修訂和培訓(xùn)，目前，我行針對(duì)世博會(huì)演練了信貸系統(tǒng)切換，中心機(jī)房供電演練，影像支付系統(tǒng)演練，網(wǎng)銀系統(tǒng)惡意攻擊模擬演練.
3.設(shè)備和系統(tǒng)的維護(hù)和升級(jí)管理
設(shè)備、系統(tǒng)均有專人維護(hù)管理，部分設(shè)備、系統(tǒng)聘請(qǐng)專業(yè)公司人員進(jìn)行升級(jí)維護(hù)，崗位人員均具備相關(guān)素質(zhì)，并實(shí)行AB角色.
4.對(duì)外包系統(tǒng)要求開發(fā)商要對(duì)我行技術(shù)人員進(jìn)行詳細(xì)的日常運(yùn)行、維護(hù)培訓(xùn)，把相關(guān)技術(shù)移交給我行技術(shù)人員，對(duì)涉及二次開發(fā)的系統(tǒng)要求開發(fā)商提供完整的二次開發(fā)手冊(cè)，培訓(xùn)我行技術(shù)人員掌握二次開發(fā)技術(shù)
5.系統(tǒng)軟件的用戶授權(quán)及鑒別認(rèn)證措施：系統(tǒng)軟件用戶密碼相關(guān)人員各自保管，重要系統(tǒng)管理密碼實(shí)行分左右手密碼保管原則，系統(tǒng)軟件用戶訪問實(shí)現(xiàn)權(quán)限控制，各級(jí)人員只能進(jìn)行權(quán)限內(nèi)操作.
6.系統(tǒng)變更管理:
制定了變更管理的主要準(zhǔn)則和規(guī)章制度，變更管理的審批授權(quán)機(jī)制和工作流程；對(duì)變更管理進(jìn)行登記、備案和存檔，制定了非計(jì)劃性緊急變更的實(shí)施方案、備份和恢復(fù).
7.對(duì)系統(tǒng)日志及操作行為日志進(jìn)行監(jiān)察審計(jì)，確保系統(tǒng)穩(wěn)定運(yùn)行
8.系統(tǒng)容量管理計(jì)劃
系統(tǒng)處理容量增長(zhǎng)趨勢(shì)完全滿足增量業(yè)務(wù)需求，并有適度冗余.
9.補(bǔ)丁更新
及時(shí)關(guān)注系統(tǒng)安全漏洞最新情況，及時(shí)對(duì)新發(fā)現(xiàn)的安全漏洞打上相關(guān)的安全補(bǔ)丁.經(jīng)檢查當(dāng)前系統(tǒng)已是最新最完整版本，已安裝了最新補(bǔ)丁
10.病毒、惡意代碼的安全防護(hù)
系統(tǒng)均安裝病毒查殺軟件，對(duì)病毒、惡意代碼進(jìn)行安全防護(hù).同時(shí)嚴(yán)格控制操作人員在機(jī)器上運(yùn)行可能攜帶惡意代碼、病毒的腳本的外來第三方軟件
11.系統(tǒng)安全配置檢查
定期巡檢，對(duì)系統(tǒng)的安全配置實(shí)行不定期檢測(cè)，對(duì)可能存在的隱患進(jìn)行排除.
4.應(yīng)用安全
1.業(yè)務(wù)應(yīng)用系統(tǒng)的用戶授權(quán)及鑒別認(rèn)證措施
業(yè)務(wù)應(yīng)用系統(tǒng)用戶密碼相關(guān)業(yè)務(wù)人員各自保管，通過操作號(hào)和密碼進(jìn)行身份鑒別認(rèn)證.人員離開時(shí)應(yīng)設(shè)置屏幕密碼保護(hù)或退出到登陸狀態(tài).
2.業(yè)務(wù)應(yīng)用系統(tǒng)的用戶訪問控制
系統(tǒng)軟件用戶訪問實(shí)現(xiàn)權(quán)限控制，各級(jí)人員只能進(jìn)行權(quán)限內(nèi)操作
4.數(shù)據(jù)安全、備份可用性
1.數(shù)據(jù)備份策略及備份數(shù)據(jù)的可用性
（1）對(duì)各應(yīng)用系統(tǒng)指定相應(yīng)備份策略，指定不同級(jí)別的具體備份操作，每次備份完畢應(yīng)檢查備份數(shù)據(jù)的有效性，并異地妥善保管好磁介質(zhì)，重要數(shù)據(jù)永久保存
（2）應(yīng)定期執(zhí)行恢復(fù)程序，檢查和測(cè)試備份介質(zhì)的有效性，確�？梢栽诨謴�(fù)程序規(guī)定的時(shí)間內(nèi)完成備份的恢復(fù).
（3）不定期對(duì)數(shù)據(jù)進(jìn)行抽檢，與業(yè)務(wù)所在日期數(shù)據(jù)進(jìn)行比對(duì)核實(shí).并有應(yīng)急恢復(fù)預(yù)案，及同城異地災(zāi)備系統(tǒng)確保數(shù)據(jù)恢復(fù)性.
2.數(shù)據(jù)安全性
�。�1）敏感數(shù)據(jù)的傳輸和存儲(chǔ)加密：敏感數(shù)據(jù)傳輸實(shí)行加密管理，存儲(chǔ)的一些敏感數(shù)據(jù)實(shí)行加密亂碼顯示.
�。�2）重要業(yè)務(wù)數(shù)據(jù)的通信完整性檢測(cè)重要業(yè)務(wù)數(shù)據(jù)通信檢測(cè)完整、正常.
�。�3）重要業(yè)務(wù)數(shù)據(jù)的備份策略及恢復(fù)測(cè)試機(jī)制重要業(yè)務(wù)數(shù)據(jù)定時(shí)備份，專人存儲(chǔ)保管，有完整的應(yīng)急恢復(fù)預(yù)案.
（4）建立了同城異地災(zāi)備中心，并制定了《江蘇農(nóng)村商業(yè)銀行異地容災(zāi)項(xiàng)目災(zāi)難恢復(fù)計(jì)劃書》，內(nèi)容包括危險(xiǎn)級(jí)別的定義劃分、決策流程、災(zāi)難恢復(fù)團(tuán)隊(duì)、日常備份和恢復(fù)流程、災(zāi)難響應(yīng)和行動(dòng)流程、災(zāi)難切換流程、災(zāi)備系統(tǒng)回切流程、災(zāi)難恢復(fù)計(jì)劃的測(cè)試、維護(hù)等.還包含了涉及系統(tǒng)設(shè)備的具體清單、操作步驟等，預(yù)計(jì)RTO為6小時(shí)以內(nèi)，RPO較低.
5.運(yùn)行維護(hù)監(jiān)控系統(tǒng)
我行根據(jù)文件要求，對(duì)信息系統(tǒng)的監(jiān)測(cè)預(yù)警進(jìn)行了全面自查，情況如下:
1.監(jiān)測(cè)預(yù)警制度、流程及自動(dòng)化監(jiān)控平臺(tái)
已建立完善監(jiān)測(cè)預(yù)警制度、流程，機(jī)房環(huán)境、參數(shù)，系統(tǒng)的運(yùn)行狀況，CPU使用情況、文件系統(tǒng)使用情況等均實(shí)現(xiàn)自動(dòng)化監(jiān)控.
2.監(jiān)測(cè)預(yù)警組織結(jié)構(gòu)及人員設(shè)置
每天有人員24小時(shí)值班，檢查系統(tǒng)及網(wǎng)絡(luò)運(yùn)行狀況，及時(shí)發(fā)現(xiàn)問題，監(jiān)測(cè)預(yù)警專人負(fù)責(zé)，按照警報(bào)級(jí)別逐級(jí)上報(bào)，確保故障的及時(shí)排除.
3.監(jiān)測(cè)預(yù)警日志
設(shè)立監(jiān)控日志，每日由監(jiān)測(cè)預(yù)警人員負(fù)責(zé)記錄. 4.監(jiān)測(cè)預(yù)警文檔的`完備性
有監(jiān)測(cè)預(yù)警文檔說明，但不夠完善.
5.與電力供應(yīng)部門、網(wǎng)絡(luò)供應(yīng)商、公安部門等外部機(jī)構(gòu)均有相應(yīng)的應(yīng)急聯(lián)動(dòng)機(jī)制，我行正在實(shí)施保衛(wèi)部網(wǎng)點(diǎn)聲光聯(lián)動(dòng)報(bào)警，做到入侵報(bào)警設(shè)施與照明、視頻安防監(jiān)控及聲音復(fù)核等設(shè)備聯(lián)動(dòng)
三、不足和改進(jìn)方法
1.需將管理與技術(shù)相結(jié)合，進(jìn)一步加強(qiáng)信息安全管理手段
從IT風(fēng)險(xiǎn)管理手段來看，部分系統(tǒng)的風(fēng)險(xiǎn)控制不夠先進(jìn)，缺乏專業(yè)的風(fēng)險(xiǎn)技術(shù)支持，事前預(yù)防作用有限，事中控制不夠.缺乏對(duì)科技風(fēng)險(xiǎn)的集中審計(jì).本行將引進(jìn)AAA統(tǒng)一認(rèn)證管理系統(tǒng)，加強(qiáng)系統(tǒng)用戶的授權(quán)，權(quán)限控制和賬號(hào)管理.架設(shè)日志服務(wù)器，對(duì)系統(tǒng)日志進(jìn)行集中收集和審計(jì).
通過平臺(tái)對(duì)所有用戶進(jìn)行統(tǒng)一的授權(quán).采用基于角色的授權(quán)機(jī)制，按照內(nèi)部的組織結(jié)構(gòu)劃分角色，并為用戶綁定角色.對(duì)于不同的角色分配不同應(yīng)用系統(tǒng)的訪問權(quán)限.平臺(tái)依靠記錄追蹤用戶和管理人員的訪問過程，建立一套全面的、有效的回溯和追查機(jī)制.可以實(shí)時(shí)監(jiān)測(cè)用戶對(duì)各應(yīng)用系統(tǒng)的訪問狀態(tài)，及時(shí)發(fā)現(xiàn)非法訪問事件，對(duì)出現(xiàn)的問題進(jìn)行事后追溯和責(zé)任追究提供實(shí)證.通過對(duì)系統(tǒng)運(yùn)行狀態(tài)實(shí)時(shí)監(jiān)控審計(jì)，增強(qiáng)系統(tǒng)的可維護(hù)性.
2.進(jìn)一步完善計(jì)算機(jī)系統(tǒng)安全管理制度
本行已經(jīng)在內(nèi)部建立并健全了一系列的計(jì)算機(jī)系統(tǒng)安全管理制度，并由稽核部門對(duì)銀行計(jì)算機(jī)系統(tǒng)進(jìn)行專項(xiàng)稽核，但未配備專門的稽核人員，在廣度和深度上不夠，因此對(duì)照新指引的精神，從組織上保證信息風(fēng)險(xiǎn)有具體人員來承擔(dān)責(zé)任，強(qiáng)化執(zhí)行力和合規(guī)性.將日常信息風(fēng)險(xiǎn)管理從傳統(tǒng)的檢查模式逐步過渡到基于評(píng)估、規(guī)劃、執(zhí)行和監(jiān)督全面循環(huán)改進(jìn)的模式.制訂詳細(xì)的IT風(fēng)險(xiǎn)管理架構(gòu)，確立IT服務(wù)管理與IT風(fēng)險(xiǎn)管理的關(guān)系，明確IT風(fēng)險(xiǎn)管理的范圍、職責(zé)，制訂符合銀行實(shí)際情況的管理流程，出臺(tái)可操作性強(qiáng)的安全技術(shù)規(guī)范，加強(qiáng)開發(fā)過程的風(fēng)險(xiǎn)控制.從而有效地防范科技風(fēng)險(xiǎn).
信息科技風(fēng)險(xiǎn)自查報(bào)告7
一、網(wǎng)絡(luò)運(yùn)行風(fēng)險(xiǎn)
來自互聯(lián)網(wǎng)和移動(dòng)磁介質(zhì)上病毒的攻擊。隨著我區(qū)農(nóng)村信用社電子化建設(shè)的發(fā)展，計(jì)算機(jī)技術(shù)在農(nóng)村信用社各項(xiàng)業(yè)務(wù)中的廣泛應(yīng)用，部分員工因病毒防范意識(shí)較為薄弱，加上計(jì)算機(jī)水平又是參差不齊，有的員工很難主動(dòng)發(fā)現(xiàn)客戶端系統(tǒng)出現(xiàn)的漏洞從而實(shí)施補(bǔ)丁升級(jí)，U盤濫用且從不進(jìn)行病毒掃描，這樣就容易造成內(nèi)部信息泄漏或網(wǎng)絡(luò)阻塞，中斷重要業(yè)務(wù)的正常運(yùn)行。
二、操作流程風(fēng)險(xiǎn)
隨著業(yè)務(wù)的更新和科技步伐的加快，員工的計(jì)算機(jī)操作業(yè)務(wù)能力與嚴(yán)格執(zhí)行規(guī)范程序不適應(yīng),綜合柜員制未能全面落實(shí),不能夠完全掌握農(nóng)信社的各項(xiàng)業(yè)務(wù)操作流程及處置程序,必然會(huì)造成操作失誤而導(dǎo)致風(fēng)險(xiǎn)。操作風(fēng)險(xiǎn)大致分為以下幾方面:
1、操作行為不規(guī)范,安全防范意識(shí)差。目前，我區(qū)農(nóng)村信用社計(jì)算機(jī)操作員一般只通過了短期輔導(dǎo)培訓(xùn)，未能全面掌握計(jì)算機(jī)理論知識(shí)及運(yùn)用技術(shù)，主要表現(xiàn)在：
一是一些操作人員對(duì)計(jì)算機(jī)知識(shí)的缺乏，經(jīng)常出現(xiàn)操作性錯(cuò)誤；
二是操作人員基本安全意識(shí)不強(qiáng)，缺乏安全防范意識(shí)；
三是人員調(diào)離或崗位變動(dòng)時(shí)不及時(shí)注銷操作員，導(dǎo)致操作員不便于管理；
四是人離機(jī)不退，個(gè)別人隨意離開工作崗位，也不簽退，給他人可乘之機(jī)，造成了嚴(yán)重的信息安全隱患。
2、不嚴(yán)格執(zhí)行操作流程，造成安全隱患。由于部分員工跟不上當(dāng)前農(nóng)村信用社電子化建設(shè)步伐，對(duì)推出的硬件設(shè)備以及電子化產(chǎn)品及功能不熟悉或風(fēng)險(xiǎn)意識(shí)不強(qiáng)等原因造成了在操作過程中出現(xiàn)系列風(fēng)險(xiǎn)。
一是操作人員不嚴(yán)格執(zhí)行硬件設(shè)備的操作流程，造成設(shè)備損壞，致使重要業(yè)務(wù)中斷的.風(fēng)險(xiǎn)；
二是沒有定期對(duì)機(jī)器除塵、保養(yǎng)，使微機(jī)在較惡劣環(huán)境下帶“病”工作，計(jì)算機(jī)運(yùn)行報(bào)錯(cuò)或元器件損壞時(shí)有發(fā)生，影響了信用社窗口的服務(wù)效率和形象；
三是不嚴(yán)格按照業(yè)務(wù)操作流程操作業(yè)務(wù)系統(tǒng)程序，給他人或科技結(jié)算中心造成不必要的負(fù)擔(dān)。
為此我們將嚴(yán)格按照省市聯(lián)社關(guān)于計(jì)算機(jī)管理的一系列相關(guān)要求，對(duì)日常計(jì)算機(jī)信息管理中存在的問題經(jīng)行重點(diǎn)監(jiān)督和整改：
1、嚴(yán)格業(yè)務(wù)系統(tǒng)、辦公系統(tǒng)與因特網(wǎng)等公眾系統(tǒng)的隔離，無法隔離的要隨時(shí)升級(jí)殺毒程序，同時(shí)嚴(yán)格移動(dòng)磁介質(zhì)的使用范圍、殺毒流程。加強(qiáng)員工計(jì)算機(jī)知識(shí)培訓(xùn)，提高員工的電腦操作技能，制定防毒策略，養(yǎng)成良好的上網(wǎng)習(xí)慣，嚴(yán)防病毒侵害。
2、加強(qiáng)對(duì)一線人員的操作流程、各項(xiàng)基本規(guī)定的培訓(xùn)，加強(qiáng)對(duì)信息專管員的培訓(xùn)，提高其處理計(jì)算機(jī)及網(wǎng)絡(luò)故障、防范計(jì)算機(jī)及網(wǎng)絡(luò)風(fēng)險(xiǎn)的能力；對(duì)業(yè)務(wù)操作人員要重點(diǎn)抓好計(jì)算機(jī)知識(shí)的普及培訓(xùn)工作，建立各種形式的崗位培訓(xùn)和定期輪訓(xùn)制度，提高職工的政治素質(zhì)、業(yè)務(wù)技能、敬業(yè)精神、計(jì)算機(jī)業(yè)務(wù)操作水平和安全防范綜合能力。一線人員的操作和授權(quán)不能流于形式，堅(jiān)決杜絕各種混崗現(xiàn)象，嚴(yán)格遵循管理制度。
3、嚴(yán)格操作規(guī)范及操作權(quán)限管理
隨著農(nóng)村信用社的發(fā)展，信貸系統(tǒng)，財(cái)務(wù)系統(tǒng)，OA系統(tǒng)的成功上線并投入使用，操作人員必須學(xué)習(xí)和掌握農(nóng)村信用社的操作流程和各項(xiàng)規(guī)章制度,加強(qiáng)制度執(zhí)行力的管理。操作員密碼必須定期不定期修改，并嚴(yán)格按規(guī)定設(shè)置操作員及操作員密碼，還需定期修改密碼，多用字母或符號(hào)，嚴(yán)禁使用6位相同數(shù)字或電話號(hào)碼或生日號(hào)碼等，嚴(yán)禁口頭或電話告知操作密碼。
4、加強(qiáng)內(nèi)控建設(shè)，強(qiáng)化監(jiān)督，完善防范機(jī)制。首先，建立柜員崗位制約為主，做到責(zé)任到崗、落實(shí)到人、相互制約、互相監(jiān)督。其次，全面落實(shí)以主任、內(nèi)勤主任為主的監(jiān)管體系，確保做到實(shí)時(shí)監(jiān)管，及時(shí)發(fā)現(xiàn)問題，及時(shí)進(jìn)行整改，消除風(fēng)險(xiǎn)隱患。再則，加強(qiáng)會(huì)計(jì)事后監(jiān)督和電視監(jiān)控系統(tǒng)管理，加大查處力度，重點(diǎn)是督促基層社各項(xiàng)計(jì)算機(jī)制度執(zhí)行與落實(shí)，提升基層執(zhí)行力，以此推進(jìn)和完善防范制度，切實(shí)做到防患于未然。
5、日常維護(hù)方面，由基社信息專管員負(fù)責(zé)每周一次對(duì)機(jī)房衛(wèi)生清理和設(shè)備故障排查，發(fā)現(xiàn)問題及時(shí)上報(bào)科技信息部處理；每月在各基社網(wǎng)點(diǎn)信息專管員的配合下，對(duì)網(wǎng)絡(luò)設(shè)備的運(yùn)行和管理進(jìn)行維護(hù)和檢查至少一次，全轄的ATM和POS機(jī)由科技信息部統(tǒng)一管理，落實(shí)基社網(wǎng)點(diǎn)專人負(fù)責(zé)，加大專管人員的培訓(xùn)，使日常操作、維護(hù)工作和安全防范措施得以落實(shí)。
【信息科技風(fēng)險(xiǎn)自查報(bào)告】相關(guān)文章：
信息科技自查報(bào)告03-25
銀行信息保護(hù)風(fēng)險(xiǎn)自查報(bào)告11-23
信息安全風(fēng)險(xiǎn)排查報(bào)告03-25
網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)評(píng)估報(bào)告02-24
科技創(chuàng)業(yè)公司面對(duì)的風(fēng)險(xiǎn)有哪些07-31
聲譽(yù)風(fēng)險(xiǎn)自查報(bào)告04-21