银行信息系统安全管理办法模版.docx

《银行信息系统安全管理办法模版.docx》由会员分享，可在线阅读，更多相关《银行信息系统安全管理办法模版.docx（17页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、银行信息系统安全管理办法第一章 总 则第一条为加强信息系统的安全管理工作，规范安全管理过程，建立、健全安全控制措施，保证信息系统的机密性、完整性、可用性，依据我行信息及信息系统安全管理的有关制度，特制定本规定。第二章管理对象第二条管理对象是对信息系统的安全定级、基础设施及环境安全、网络及通讯安全、主机及系统安全、软件安全、安全技术与使用、操作与维护安全、项目与工程安全、应用系统开发安全、密码技术及使用、外来人员安全、科技文档安全、安全监督与问题整改的管理过程。第三章术语定义第三条安全策略是指为保护信息及信息系统安全而制定的技术和管理方面的原则性要求。第四条安全措施是指通过防范威胁、减少弱点、限

2、制意外事件造成的影响等途径来削减风险的方法。第五条访问控制是指为防止对资源的未授权使用而采取的安全措施。第六条信息系统密钥资源是指用于通信身份认证、终端设备识别或密码计算的加密解密密钥、我行的加解密算法及其存储介质。第四章信息系统安全定级第七条信息系统的安全等级由系统服务的安全等级和系统数据的安全等级综合确定，分为一级、二级、三级三个级别。第八条科技发展部依照安全等级划分的结果，对系统进行分级保护。第五章基础设施与环境安全第九条物理安全区应具备符合国家相关标准与规范的配电、照明、湿度、防水、防火、防雷及防盗等基本环境条件。第十条关键设施须通过具有专业资质机构的检查和验收，并定期进行维护管理。第

3、十一条应建立机房管理的制度，并按照重要程度和工作性质将机房区域分级管理。第十二条对于高低压供配电系统、发电机、UPS、空调等维持机房运转的各类配机机房环境设施应建立维护规范，并严格按照规范执行。第十三条对机房关键设施应建立巡检的规定，每日至少对机房关键设施进行一次巡检，巡检工作必须进行记录，并可追溯。第十四条应对信息系统的计算机资源和定位状况进行逐项编号登记和跟踪建档，未经批准不得随意改变。第十五条生产环境、测试环境、开发环境相互之间必须有明确的物理安全边界，物理安全区必须有明确的标志。第十六条必须明确不同物理安全区的保护措施，如电子门禁、警卫、密码、门锁等，保证进出安全区人员的身份认证。第十

4、七条应根据各类人员的职责，按照安全区域最小授权原则进行分级、分时授权，并定期进行核对。第十八条对于所有人员和货物进出安全区域的情况应有进出记录，该记录应保留一定时间以备查，外来人员进出需要审批登记。第六章 网络与通信安全第十九条对生产运行网络设备和通信线路应进行定期的检测和维护，确保其处于可用状态。第二十条对MODEM、路由器、交换机等通讯设备必须采取严格的管理措施，未经批准不得随意移动和接入。第二十一条 对计算机网络和数据通信设备的停用、维修、重用和作废环节，应建立安全机制有效清除或销毁敏感信息，防止泄露。第二十二条 网络管理岗位应根据网络功能不同将整个网络系统划分为相对独立的安全域，通过安

5、全域的边界防护和安全域内的统一安全管理，确保安全域内的网络安全。第二十三条 服务器设备的接入不得跨多个安全区域。第二十四条 网络部门人员应制定便携式和移动式设备网络接入的安全策略，核心网络区域应禁止未授权的便携式和移动电脑设备接入网络。第二十五条 网络管理岗位应根据网络安全域的安全级别和通过风险分析确定的安全需求来设计、实施网络安全方案，安全管理员应定期组织对网络安全方案进行回顾，检查与实际系统的符合性。第二十六条 网络管理岗位应按照网络策略实施所负责网络的安全配置，并定期检查与规范的符合性。对网络设备配置命令和响应信息的完整性、合理性及保密性必须进行验证。第二十七条 网络管理岗必须对所有当前

6、使用和备用的网络设备建立清单并定期检查。第二十八条 对访问生产系统的外联网络设备应集中管理，应明确外联网络设备的使用方式并对其使用情况进行详细记录。第二十九条 新建网络、网络改造或变更在投入使用前，网络部门人员应制订相应的网络安全防范措施。网络部门负责组织对新建网络或改造后网络实施安全检验，未通过检验不允许投产使用。第三十条 严禁擅自将我行专用网络与外网直接连接。第三十一条 严格控制对安全域内设备的远程诊断管理端口的访问。第三十二条 按照我行制定的相关网络安全策略要求，对办公用户网、测试网与生产网络实施严格的物理、逻辑隔离措施。第三十三条 因特殊原因需要开通办公用户网、测试网到生产网络的访问权

7、限时，必须做好严格的审批、登记和撤销工作，并按照有关网络安全技术规范要求做好相关的网络安全控制策略。第三十四条 应对TELNET、PC ANYWHERE、WINDOWS终端服务、X-WINDOWS等远程访问生产系统方式的使用，限制在只可以从安全的网络进行访问并对系统进行安全配置和记录日志，且使用前需经安全岗人员审批。第三十五条 严禁通过无线网络访问业务运行类系统，无线网络的应用开通范围需由本单位网络安全管理员审核。第三十六条 VPN网络必须采用认证和加密传输等安全技术，并严格按照相关网络技术规范进行建设。第三十七条 网络设备用户访问网络资源应经过安全认证、合理授权和日志记录。第三十八条 防火墙

8、策略的制定要严格按照相关网络技术规范进行，防火墙策略的变更应经过科技发展部负责人审批。防火墙日志要定期进行备份，网络管理员对防火墙策略及日志进行检查。第三十九条 利用防火墙、防病毒、安全漏洞扫描、网络入侵检测等软件和工具对获得的信息进行分析时，如发现安全事件，必须按照规定及时处理和报告，并对其日志进行保存和审计。第四十条 严禁外单位（包括供应商和服务商等）通过专线或拨号方式对我行信息系统进行远程维护和技术支持。第四十一条 严禁将含有涉及国家秘密的计算机与互联网连接，严禁用于上网的计算机（包括移动电脑和台式电脑）保留涉及国家秘密的数据和信息。第七章 主机及系统安全第四十二条主机及系统的命名应符合

9、系统命名规范。科技发展部应按照主机及系统安全策略对所负责的主机及系统进行安全配置。第四十三条主机及系统安装时应采用最小安装方式，只安装必须的授权软件，只开启必须的系统服务和功能。第四十四条用户登录主机及系统没有完全成功时，终端不应显示任何系统标识的信息；主机及系统只显示验证结果，不应对登录数据进行任何提示性输出。第四十五条对于运行关键业务的主机及系统只允许通过安全的客户端登录程序从安全的网络节点进行访问，用户口令不能采用明文方式在认证请求端和验证端之间传输。第四十六条用户密码管理应遵循如下原则：（一）应开启主机及系统的用户密码复杂度功能，设置安全的用户密码；（二）限制登录程序所允许的时限，如果

10、超时系统将终止登录过程；（三）当操作人员离开时，操作系统应自动启动屏幕保护程序，或由操作人员手工锁定或签退系统（不允许中止屏幕显示的系统除外）。第四十七条各单位应指定专人对系统进行管理，明确各角色的权限、责任和风险。第四十八条主机及系统必须在合理的访问控制机制下运行，用户对主机及系统资源的访问，必须进行身份认证和授权，用户的权限分配应该遵循最小授权原则并做到角色分离和相互制约。第四十九条应严格管理生产主机及系统特权用户的使用，使用前应经过审批，系统安全员应定期对特权用户的使用情况进行检查。第五十条应保持准确的系统时间，生产系统应建立时钟同步机制，由系统管理员每季度检查一次，检测时钟偏差，发现问

11、题经科技发展部总经理授权进行调整。第五十一条应对主机及系统的用户活动、未成功登陆等异常事件、安全相关事件等进行日志记录。第五十二条对于生产网和办公网，必须使用全行统一的防病毒软件，及时进行防病毒软件的升级工作。第五十三条应及时进行操作系统安全补丁程序的测试、发布和安装工作。第五十四条系统安全员应定期进行主机及系统的安全漏洞扫描工作，及时发现安全漏洞并督促整改。第五十五条必须对主机及系统的日志进行安全有效的管理。并按照规定的保留期限进行保留。有证据收集方面需求的日志或其他重要日志必须记录归档，必须安全地存储在介质中并定期备份。第五十六条 各单位应使用适当的系统实用程序或审计工具对日志进行查询，或

12、者对日志的副本进行处理，并定期进行日志检查工作。第八章软件安全第五十七条 必须对软件进行清单登记管理，登记内容主要包括：来源、使用范围、软件版本、版权、使用情况等。第五十八条 各单位的计算机必须使用我行授权的操作系统、数据库、应用软件和工具软件。第五十九条 对于总行下发的各类应用软件和工具软件，严禁向软件产品发布范围以外的单位或个人提供。第六十条应严格禁止各类非授权软件在我行的使用和传播。第九章安全技术及使用第六十一条 安全技术包括防病毒、漏洞扫描、入侵检测防护、集中用户管理等。第六十二条 对生产系统可能造成影响的安全技术，在使用前应经过严格的审批，并与相关部门共同确定影响最小的时间段和安全使

13、用的方法。第六十三条 严格保管安全技术的硬件设备、软件介质、使用记录和问题报告，未经批准严禁扩散使用范围和泄露敏感信息。第十章 操作与维护安全第六十四条在正常的生产运行中，所有对生产系统的实质性操作必须按照经过审批的操作手册，由操作员按权限控制要求执行并进行双人复核。第六十五条应根据数据管理的策略建立完整的数据备份、恢复、清理、转存、抽检的策略，并建立相应的操作手册，定期评估其实用性。第六十六条 严格管理各类数据及其存储介质，不得擅自阅读、复制、修改和外泄数据的内容。第六十七条生产系统中不得保留与生产业务无关的程序或数据。第六十八条 安全管理岗位应对生产管理流程进行安全性检查，对可能引起安全问

14、题的生产活动，具有一票否决权。第六十九条 要定期查看系统日志和运行日志，对操作系统和数据库进行日常监测，遇异常情况要及时向管理层汇报，并根据审批结果进行处理，保障操作系统和数据库的安全。第七十条 必须对软件和数据制作备份，重要软件和数据的备份必须实行异地备份。第七十一条 必须对主机及系统中特权分配及使用、账号管理、密码长度及复杂度进行严格的限制和控制，防止系统特权的滥用。第七十二条 备份介质上具有高度保密性要求的信息必须保证物理环境的安全，防止窃取。第十一章 项目与工程安全第七十三条 在项目立项前，根据项目所涉及的信息资产的安全等级、项目范围及项目类别，定义项目的安全目标。第七十四条根据项目的

15、安全目标，从安全风险管理的角度对项目进行安全风险分析，识别项目所面临的威胁、评估项目的脆弱性、确定发生风险的可能性、明确风险的影响程度，确定风险等级，形成风险分析报告，以确定项目的安全需求。第七十五条 根据安全需求分析，综合考虑实现成本、技术成熟性、可操作性、实用性等，制定安全设计方案，明确安全控制措施及所采取的安全技术。第七十六条 在编制实施方案时，方案必须考虑到实施过程中的风险，必须包含详细的实施步骤、应急方案、测试方案和项目实施计划。第七十七条 在项目实施过程中如需变更，必须制定明确的变更方案提交相关部门审批后，严格按照变更方案实施变更，确保项目变更的安全。第七十八条 项目实施过程中必须

16、由独立部门根据工程安全要求监控项目实施过程，降低实施风险。第七十九条 项目实施完成后，必须根据项目验收流程，对项目进行必要的测试和评定并形成验收报告。第八十条 在项目进行过程中，当项目的需求不再存在或被新的方案、产品所替代时，经相关部门审批，在确保不对全行的安全生产和业务持续性产生影响的条件下可废止项目。第十二章 应用系统开发安全第八十一条 软件产品开发必须符合软件工程规范，软件开发整个过程都必须在严密的监督下进行，保证软件产品的安全。所采用的技术和方案，必须保护其信息资产的安全。第八十二条 在应用需求调研阶段，应依据风险分析的结果明确所有的安全需求并形成文档，已确定的安全需求应体现在应用系统

17、设计中。第八十三条 在应用系统编码阶段，应规范编码，并加强代码安全检查（在程序或作业中不得嵌入用户名及其密码等），以避免由于编码不规范给系统带来安全隐患。第八十四条 必须建立代码安全管理机制，做好代码的登记、备份、存放、访问、变更、作废等整个生命周期的安全管理。第十三章 密码技术及使用第八十五条 信息系统安全设计和安全管理过程中，应充分使用现代密码技术提供的安全功能来保护信息资产安全并降低信息系统风险。第八十六条所有密钥资源必须登记造册，严格保管，不得以任何形式非法复制、修改和外泄。在条件许可的情况下应定期验证，以确保其可用性和完整性。第八十七条密钥资源的管理、保管、制作和使用都应遵循多重控制

18、、角色分离的原则。第八十八条密钥资源的领用应严格审批，制作、加载、更换和验证维护必须按照变更管理流程执行。第一百三条灾备和生产环节的密钥资源移交应经各相关单位审批，并指定专人办理移交手续。第八十九条密钥资源设备需由外单位人员进行现场维护与维修时，必须有行内相关人员全程监督；需送外单位维护、维修或接受厂商升级服务时，应事先清除其相应的涉密内容；报废时也应彻底清除或销毁其相应的密钥资源内容。第十四章 外来人员安全第九十条针对不同的外来人员，制定相应的安全策略，严格控制外来人员对我行信息系统的访问，外来人员对敏感的信息资产进行访问时，应与其签订安全保密协议，明确安全责任和义务。第九十一条必须做好外来

19、人员的出入管理和陪同工作。第九十二条 严禁外来人员通过办公网访问生产网络。第九十三条 对需要长期进入我行工作的外公司人员，必须报科技发展部审批，做好其工作区域的隔离和访问控制，并对访问过程进行全程监控、详细记录和及时审计。第九十四条 严格控制外人员调阅我行文档资料，使用我行各种信息资产，针对不同外来人员制定相应的提供文档的安全要求。第十五章 数据安全第九十五条 依据我行各项有关商业秘密保护及信息科技专业保密信息的密级及保密期限划分的制度和文件要求，对科技数据准确划分保密级别并明确安全要求，实施分级安全管理。第九十六条 科技发展部要负责审核科技数据的密级定级并按各级别保密要求对涉密文件进行保管和

20、使用管理。对未达到商密级别的文档，也要建立必要的管理措施。第九十七条 确定为商业秘密的科技文档应在其载体上以显著方式注明商业秘密密级、保密期限、知悉范围和确定部门，且标注不可与信息内容分离。第九十八条 对科技数据要采取适当的访问控制措施，防止信息的丢失和泄露。第九十九条 禁止在未采取保密措施的情况下使用公用通讯手段发送商密文档。第一百条 各单位对存放有信息的磁盘、光盘、磁带等各类物理文档必须建立清单并定期复核检查，不同安全级别的物理文档应采用不同的使用和存储要求。第一百一条 要建立科技文档存储介质的转移、销毁及重用的安全机制，有效清除或销毁敏感信息，防止信息泄露。（一）对于存储敏感信息的介质，

21、在将其销毁时，应该确保存储在其上的所有敏感信息被不可恢复地彻底销毁；（二）对于存储敏感信息的介质，在停止使用后或重用前，应确保所有敏感信息已被彻底删除或覆盖；（三）对于已毁坏的包含敏感信息的介质，应对其进行风险评估，以确定是否应该销毁、修理或弃置。第一百二条 在未经授权的情况下，各类科技文档和各单位的内部文档，以及在科技项目研发、测试、生产运行、综合管理等工作中产生的一些过程文档，任何人不能作为个人成果发表和应用。第一百三条 科技文档形成部门要定期对科技文档进行归类收集和整理，建立清单。第一百四条 对于反映本单位科技工作，具有保存价值的文档，都必须进行归档，并建立归档资料清单。第一百五条 使用

22、计算机系统对科技文档进行管理的，系统必须具备用户和权限管理的功能。通过用户和权限设置，可以确定文档使用范围，记录文档查阅情况，并限制重要文档的下载和复制。第十六章 风险评估第一百六条应对外部检查审计单位所要访问的信息资产进行风险评估并采取有效控制措施，确保检查审计过程不影响信息资产的安全。第一百七条 要不定期对操作系统和数据库进行可用性和健康性检查，并对检查结果进行记录，对发现的问题要及时处理，为风险评估提供依据。第一百八条 科技发展部要对信息系统各个组成部分，即系统软件、应用软件、服务器、前置机、路由器、交换机、通讯线路、电力供应以及数据中心环境等，都必须有专人负责，定期对操作系统和数据库等

23、进行风险评估，判定其故障发生的概率事件的大小，为预防和预警及其风险评估提供依据。第一百九条 风险评估报告均需提交管理层，根据管理层的要求进行风险处置。第十七章 安全监督与问题整改第一百一十条 安全管理员应根据安全监督需求及安全监督技术方案明确安全监督的对象、监督内容、执行周期、实施岗位、相关配合部门，形成各监督对象的监督实施方案，并以此为依据具体实施安全监督工作。第一百一十一条 安全管理员在实施安全监督工作过程中，要保留必要的工作记录，整理安全监督检查报告，并落实整改。第一百一十二条 安全监督工作应选择对信息系统运行影响最小的方式和时间进行，相关部门应做好配合。第一百一十三条 必须对安全监督工

24、具的使用进行控制，防止滥用。第一百一十四条 对于安全性要求高的信息系统应由独立的第三方安全服务机构进行专业安全测试，促进信息系统安全体系进一步完善。第一百一十五条 安全管理员应从问题发现、问题分类、问题报告、整改实施、追踪反馈、再回顾等方面建立健全安全问题整改工作机制，督促责任部门采取整改和防范措施，消除问题直接和潜在风险隐患。第一百一十六条 安全管理岗位人员在进行各类安全问题的整改时，必须在确认整改方案有效后才能实施。第一百一十七条 各单位安全管理员通过定期组织生产、测试、研发等环节事件、问题的责任分析和鉴定，以查找安全管理中的漏洞和薄弱环节，不断提高各级部门和人员的安全控制意识，防范问题的再次发生。