1、網(wǎng)上銀行安全與隱私保護管理辦法及策略一、網(wǎng)上銀行業(yè)務風險管理體系及主要內(nèi)容依據(jù)中國銀監(jiān)會內(nèi)部控制評價辦法 、電子銀行業(yè)務管理辦 法、電子銀行安全評估指引得要求,本行網(wǎng)上銀行業(yè)務風險管理 得主要內(nèi)涵包括以下方面內(nèi)容: （一）網(wǎng)上銀行業(yè)務風險管理得主要內(nèi)容根據(jù)網(wǎng)上銀行業(yè)務得自身特點,結合本行實際情況,本行得網(wǎng)上 銀行業(yè)務風險體系得構成包括: 1制定明確得網(wǎng)上銀行業(yè)務風險管理政策本行網(wǎng)上銀行業(yè)務風險涉及得范圍與領域本行網(wǎng)上銀行業(yè)務風險控制得目標與能夠承擔得風險水平網(wǎng)上銀行業(yè)務風險管理得組織結構、權限結構與責任機制網(wǎng)上銀行業(yè)務風險得識別、計量、監(jiān)測與控制程序網(wǎng)上銀行業(yè)務風險得報告體系;網(wǎng)上銀行業(yè)務風險

2、管理信息系統(tǒng)內(nèi)部控制與外部審計;網(wǎng)上銀行業(yè)務風險資本得分配;對重大網(wǎng)上銀行業(yè)務風險情況得應急處理方案。2網(wǎng)上銀行業(yè)務風險得識別、計量、監(jiān)測與控制程序傳統(tǒng)銀行所面臨得各類風險如信用風險、 流動性風險、 利率風險 與市場風險等,這些在網(wǎng)上銀行業(yè)務中仍然存在,但就是其表現(xiàn)形式 上則有所變化,對網(wǎng)上銀行業(yè)務風險進行全面得識別目前還存在一定得困難,還需要不斷摸索規(guī)律、積累經(jīng)驗,因此本行將努力引入有效得方法來識別網(wǎng)上銀行業(yè)務得風險,同時逐步根據(jù)新資本協(xié)議得要求來 計量與監(jiān)測網(wǎng)上銀行業(yè)務風險:加強對防范網(wǎng)上銀行業(yè)務風險得規(guī)章制度建設加強對業(yè)務合規(guī)性得控制;加強對員工管理,防范道德風險;完善信息系統(tǒng),提高通過

3、技術手段防范網(wǎng)上銀行業(yè)務風險得能力研究與引入有效得定性或定量得計量與評估網(wǎng)上銀行業(yè)務風險得模 式或方法;制定應急準備;3實行對網(wǎng)上銀行業(yè)務風險管理得獨立得內(nèi)、外部審計內(nèi)、外部審計應包括:本行組織結構、所有業(yè)務與管理管理流程、 人員得工作狀況、各部門得運行情況、人事變動、客戶投拆、系統(tǒng)運 行狀況等各個環(huán)節(jié)。（二）網(wǎng)上銀行業(yè)務風險管理職能得分布1董事會承擔對網(wǎng)上銀行業(yè)務風險管理實施監(jiān)控得最終責任,確保本行有效 地識別、計量、監(jiān)測與控制業(yè)務所承擔得各類風險,包括:負責審批網(wǎng)上銀行業(yè)務風險管理得戰(zhàn)略、政策與程序,確定本行網(wǎng) 上銀行業(yè)務風險管理得目標;督促高級管理層采取必要得措施識別、計量、監(jiān)測與控制網(wǎng)

4、上銀行 業(yè)務風險;定期獲得關于網(wǎng)上銀行業(yè)務風險性質與水平得報告,以監(jiān)控與評價 網(wǎng)上銀行業(yè)務風險管理得全面性、 有效性以及高級管理層在網(wǎng)上銀行 業(yè)務風險管理方面得履職情況。2監(jiān)事會負責監(jiān)督董事會、高級管理層完善網(wǎng)上銀行業(yè)務管理體系。監(jiān)督董事會與高級管理層在網(wǎng)上銀行業(yè)務風險管理方面得履職情 況。3高級管理層負責制定、定期審查與監(jiān)督執(zhí)行網(wǎng)上銀行業(yè)務風險管理得政策、程 序以及管理目標;確定本行所面對得網(wǎng)上銀行業(yè)務得各種風險在本行建立有效得網(wǎng)上銀行業(yè)務風險管理組織框架,確保組織結構 能有效得體現(xiàn)管理與經(jīng)營相分離得原則確保本行能準確得計量、監(jiān)測與控制網(wǎng)上銀行業(yè)務風險4網(wǎng)上銀行業(yè)務風險管理部門擬定網(wǎng)上銀行業(yè)

5、務風險管理政策與程序,提出風險管理得目標,提交 高級管理層與董事會審查批準;負責網(wǎng)上銀行業(yè)務風險管理制度體系得建設,確保有相應得規(guī)章與程序來控制或緩沖重大得網(wǎng)上銀行業(yè)務風險。對于網(wǎng)上銀行得新產(chǎn)品、新業(yè)務中所包含得風險進行識別與評估 審核相應得風險管理程序;識別、計量與監(jiān)測網(wǎng)上銀行業(yè)務風險設計、實施事后檢驗與壓力測試;及時向董事會與高級管理層提供獨立得網(wǎng)上銀行業(yè)務風險報告。5本行管理與經(jīng)營部門(1)人員管理:完善人力資源政策與程序,確保與有關從業(yè)人員具備相 應得能力與意識,防范可能得人員失誤與內(nèi)部人員欺詐導致得風險。包括:提高員工工作得責任心;防止員工超時工作;提高員工對產(chǎn)品與流程得認識與掌握防

6、止人員欺詐。(2)系統(tǒng)管理:完善本行網(wǎng)上銀行業(yè)務各類信息系統(tǒng),防止因系統(tǒng)失靈 或系統(tǒng)自身存在漏洞而導致得風險。包括維護系統(tǒng)硬件安全;防止信息系統(tǒng)受到侵襲;不同軟件間得銜接;制定系統(tǒng)得應急預案;建立系統(tǒng)數(shù)據(jù)備份機制。保證相關應用系統(tǒng)得有效性;防止使用者使用過程中得風險。(3)程序管理:加強對流程執(zhí)行情況得檢查,包括:保證內(nèi)部管理與操作程序在執(zhí)行過程中得正確性。(4)外部事件管理:建立并保持預案與程序,以防止可能發(fā)生得意外事 件或緊急情況得損失,包括:防止外包服務得風險;防范外部犯罪活動;防范自然災害事件。6資本管理部門根據(jù)對本行網(wǎng)上銀行業(yè)務風險得狀況提出資本安排計劃,并監(jiān)測 與風險相對應得資本水

7、平;7內(nèi)部審計審查與評價各部門對網(wǎng)上銀行業(yè)務風險政策與程序得遵守情況 風險管理目標得實現(xiàn)情況;網(wǎng)上銀行業(yè)務風險管理得組織結構得有效性網(wǎng)上銀行業(yè)務風險管理所涵蓋得范圍與環(huán)節(jié)得完整性風險計量方法得恰當性與計量結果得準確性網(wǎng)上銀行業(yè)務風險資本得計算與內(nèi)部配置情況 二、網(wǎng)上銀行系統(tǒng)得風險管理策略由于網(wǎng)上銀行業(yè)務極大地依賴于承載它得IT系統(tǒng),為了保證網(wǎng) 上銀行系統(tǒng)得正常運行與不斷發(fā)展,需要建立一個完整得風險管理過 程。建立網(wǎng)上銀行系統(tǒng)得風險管理策略,就是保證風險管理過程順利 執(zhí)行得重要保證,將有助于網(wǎng)上銀行系統(tǒng)安全建設得持續(xù)改善。網(wǎng)上銀行系統(tǒng)得風險等級分為三級：即高風險(H):有可能發(fā)生并 會對網(wǎng)上銀行

8、造成重大得損失；中風險(M):有可能發(fā)生并會對網(wǎng)上銀 行會造成一定得損失;低風險(L):有可能發(fā)生但對網(wǎng)上銀行僅造成得 輕微得損失。(一)風險管理過程 風險管理就是一個不斷進行得過程,該過程可以主要分為三個大步 驟:風險評估:風險分析與風險評價得全過程。 通過了解信息資產(chǎn)價值、 威脅、脆弱性與現(xiàn)有安全控制信息來識別、分析風險,找出與安全目 標間得差距,從而明確安全需求；風險處置:根據(jù)安全需求選擇安全控制措施,制定完善得安全計劃并加以實施,從而達到減少、規(guī)避或轉嫁風險得目標；風險接受:接受風險得決策。分析殘留風險、監(jiān)控識別出得風險 如果風險很清晰地滿足組織策略與風險接受標準得要求,就客觀有意 地

9、接受它們；并對安全政策執(zhí)行進行審計。1風險評估風險評估就是對網(wǎng)上銀行系統(tǒng)信息資產(chǎn)所面臨得威脅、 存在得弱 點、造成得影響,以及三者綜合作用而帶來風險得可能性得評估。風 險評估就是風險管理過程得基礎。(1)風險評估得主要目得包括:識別網(wǎng)上銀行系統(tǒng)面臨得各種風險；評估風險發(fā)生概率與可能給網(wǎng)上銀行系統(tǒng)帶來得負面影響確定本行承受風險得能力;確定風險消減得優(yōu)先等級;明確網(wǎng)上銀行系統(tǒng)得安全需求。(2)風險評估方法風險評估得風險包括兩個部分,一個部分就是識別風險構成要素,即信息資產(chǎn)以及信息相關資產(chǎn)、 威脅方與威脅方可能利用得弱點。 另 一個部分就是評估威脅方利用弱點可能造成得業(yè)務損失。 在進行風險 評估時需

10、要定義風險要素得屬性與風險函數(shù)來完成風險評估。對符合條件得成熟風險評估方法,應該建立實施過程,以保證風險評估得有效性。(3)風險評估類別風險評估包括以下類別:基線風險評估:組織根據(jù)自身實際情況,對信息系統(tǒng)進行安全基線檢查(把現(xiàn)有得安全措施與安全基線規(guī)定得措施進行比較,找出其中得差距),得出基本得安全需求,通過選擇并實施標準得安全措施來消減 與控制風險。詳細風險評估:組織對資產(chǎn)進行詳細識別與評價,對可能引起風險得 威脅與弱點水平進行評估,根據(jù)風險評估得結果來識別與選擇安全措 施。通過這種評估途徑集中體現(xiàn)風險管理得思想,識別資產(chǎn)得風險并 將風險降低到可接受得水平,以此證明所采用得安全控制措施就是恰

11、 當?shù)谩?4)風險評估執(zhí)行本行按照電子銀行安全評估指引得要求,按年度進行信息安 全風險評估,此外根據(jù)網(wǎng)上銀行系統(tǒng)得變化(如業(yè)務變化、業(yè)務環(huán)境變化等)決定啟動信息安全風險變化得評估。2風險處置(1)風險處置風險處置得目標就是基于網(wǎng)上銀行業(yè)務得需求與處置成本。 處置 目標包括風險處置得范圍、 策略與業(yè)務期待得結果。 處置策略包括風 險得降低、規(guī)避、轉嫁與接受等。降低風險:實施有效控制,將風險降低到可接受得程度,實際上就就 是力圖減小威脅發(fā)生得可能性與帶來得影響。規(guī)避風險:有時候,組織可以選擇放棄某些可能引來風險得業(yè)務或資 產(chǎn),以此規(guī)避風險。轉嫁風險:將風險全部或者部分地轉移到其她責任方。接受風險:

12、在實施了其她風險應對措施之后,對于殘留得風險,組織 可以選擇接受。(2)安全政策對風險處置目標確定處置得信息安全風險要制定明確得信息安 全政策。信息安全政策就是風險控制得基線,即只有完全落實信息安 全政策,才能實現(xiàn)風險控制目標。(3)安全控制安全控制就是安全政策落實得手段。安全控制包括物理安全控制、技術安全控制與行政管理安全控制。3風險接受(1)殘留風險對處置得風險進行殘留風險分析,確認殘留風險就是在業(yè)務可接 受得范圍內(nèi)。殘留風險將納入到信息風險綜合評估過程中。(2)風險監(jiān)控對識別出得風險,要進行監(jiān)控。一旦發(fā)現(xiàn)風險出現(xiàn),應按預定得程 序進行處置。風險得監(jiān)控包括對安全政策與安全控制執(zhí)行得監(jiān)控。(

13、3)安全審計定期對信息安全政策得實施進行審計。 審計人員應獨立于安全政 策制訂與安全控制開發(fā)得人員。 信息安全政策審計得結果應作為綜合 風險評估得輸入之一。信息安全審計內(nèi)容包括文檔審計、日志審計與行為審計。文檔審計:安全策略得內(nèi)容每年進行一次審核,安全管理制度每 三個月進行一次審核,業(yè)務系統(tǒng)操作規(guī)范與流程每六個月進行一次審 核,應急方案每六個月進行一次審核,并根據(jù)實際情況進行修改。日志審計:網(wǎng)絡設備、操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、業(yè)務應用系統(tǒng)等系日志審計功能全部開啟,系統(tǒng)日志每周一次安全審核,及時發(fā)現(xiàn)問 題。行為審計:采取人員監(jiān)督、績效考核、技術監(jiān)控等手段,對安全管理員、網(wǎng)絡管理員、系統(tǒng)管理員、應用管

14、理員等得日常工作行為進行審核,保證行為得正確性與合法性。（二）網(wǎng)上銀行系統(tǒng)安全策略體系1人事策略人員安全策略得目標為覆蓋工作相關得安全責任。人員安全策略與過程:雇傭前,人力資源部必須實施詳細得背景調(diào)查,確保雇用人員得簡歷就是真實得。 雇用期間,所有員工必須接收安全指導培訓。員工離開自身職位必須完成所有得手續(xù)與移交她們得 信息安全責任。2訪問控制策略訪問控制策略得目標就是阻止從公眾網(wǎng)未被授權訪問銀行得內(nèi) 部網(wǎng)絡。這一策略同時也保證只有受控得訪問與建立銀行內(nèi)部網(wǎng)絡中 得驗證機制,以驗證訪問公眾網(wǎng)必須經(jīng)過允許。為用戶創(chuàng)建訪問權限:一個具體得訪問控制模塊,針對用戶及其對網(wǎng) 絡與應用程序得訪問控制,應當

15、被定期維護及更新;訪問控制得授權 應基于業(yè)務需求而非某個人得要求;在使用程序及服務時,用戶應嚴格遵守密碼管理方針。管理特權:最少特權原則確保最低限度得訪問權限批準。廢除訪問權限:當用戶不再需要訪問,應及時廢除訪問權限。訪問記錄與監(jiān)控:所有通過防火墻得網(wǎng)絡連接都應受到監(jiān)控并且應 為全部設備保存通信記錄。同樣得,通過記錄及監(jiān)控程序記下得全部 應用程序及操作系統(tǒng)得訪問嘗試。3通信與運行管理策略(1)建立計算機系統(tǒng)與網(wǎng)絡各個部分得管理與操作所有計算機與網(wǎng)絡 得職責與流程來指導正確與安全得操作。這些流程包括業(yè)務或第三方得職能所需得有計劃得服務活動數(shù)據(jù)文件處理,包括驗證網(wǎng)絡傳輸?shù)脭?shù)據(jù);對所有計劃得系統(tǒng)開發(fā)

16、、維護與測試工作得變更管理流程為意外事件準備得錯誤處理與意外事件處理過程問題管理流程,包括登錄所有網(wǎng)絡問題與解決辦法;事件管理流程;為所有新得或變更得硬件或軟件包括性能、可用性、可靠性、可控 性、可恢復性與錯誤處理能力得方面得測試/評估流程;日常管理活動,例如啟動與關閉流程,數(shù)據(jù)備份,設備維護,計算機與 網(wǎng)絡管理,安全方法或需求。(2)軟件與信息保護采取措施預防與檢測對軟件與信息非授權得更改。(3)介質得處理與安全性控制計算機介質并進行必要得物理保護。 包括控制可移動得計算 機介質,制定并遵守處理包含機密或關鍵數(shù)據(jù)得介質得流程,介質應 在不再需要時被妥善廢棄,系統(tǒng)文檔分秘級保護并防非授權訪問或刪 除。(4)維護完整性與可用性采取措施維護服務得完整性與可用性,建立控制備份計算機與網(wǎng) 絡資產(chǎn)得流程,定期檢查廣域網(wǎng)絡得網(wǎng)絡管理中心與節(jié)點得通訊軟件與數(shù)據(jù)得完整性,保護所有網(wǎng)絡設備以避免物理攻擊,采取物理保護措施以防止線纜中斷、被偵聽與非授權訪問等。(5)數(shù)據(jù)交換控制銀行內(nèi)部或與外界組織得數(shù)據(jù)與軟件交換。4物理及環(huán)境安全策略物理安全邊界控制管理:制定適