信息科技風(fēng)險(xiǎn)安全評估標(biāo)準(zhǔn)及實(shí)踐范文

本站小編為你精心準(zhǔn)備了信息科技風(fēng)險(xiǎn)安全評估標(biāo)準(zhǔn)及實(shí)踐參考范文，愿這些范文能點(diǎn)燃您思維的火花，激發(fā)您的寫作靈感。歡迎深入閱讀并收藏。

1銀行業(yè)安全評估現(xiàn)狀及存在問題分析

一是安全評估體系不健全。大部分商行銀行未明確安全評估管理的組織機(jī)構(gòu)，缺少安全評估管理制度，未建立符合本行風(fēng)險(xiǎn)管理需要的安全評估體系。二是安全評估流程不規(guī)范。很多商業(yè)銀行安全評估尤其是自評估缺少標(biāo)準(zhǔn)的流程控制，安全評估工作隨意性強(qiáng)，大部分評估流于形式或依賴于個(gè)人經(jīng)驗(yàn)，安全評估的結(jié)果不能真實(shí)的反映客觀存在的風(fēng)險(xiǎn)。三是安全評估人才匱乏。安全評估工作具有較強(qiáng)的專業(yè)性，對評估人員的能力要求較高，而很多商業(yè)銀行評估人員未經(jīng)過相應(yīng)的培訓(xùn)，缺少經(jīng)驗(yàn)，并不真正具備安全評估的能力。四是安全評估方法不科學(xué)。商業(yè)銀行評估尤其是自評估主要依據(jù)制度列表或個(gè)人經(jīng)驗(yàn)，很難發(fā)現(xiàn)深層次問題并對風(fēng)險(xiǎn)準(zhǔn)確定性，評估結(jié)果對風(fēng)險(xiǎn)處置的指導(dǎo)意見有限。五是安全評估數(shù)據(jù)積累不足。國內(nèi)外主要的安全評估方法，需要根據(jù)歷史事件統(tǒng)計(jì)事件發(fā)生概率，目前，很多商業(yè)銀行尚未建立事件統(tǒng)計(jì)分析機(jī)制。

2安全評估管理的主要思路

通過研究國內(nèi)外信息科技風(fēng)險(xiǎn)安全評估標(biāo)準(zhǔn)、規(guī)范及實(shí)踐，提出了商業(yè)銀行信息科技風(fēng)險(xiǎn)安全評估管理思路。

2.1建立安全評估組織體系

信息安全風(fēng)險(xiǎn)評估組織體系建設(shè)應(yīng)充分考慮安全評估自身特點(diǎn)，并應(yīng)結(jié)合商業(yè)銀行的風(fēng)險(xiǎn)管理體系，安全評估的組織體系應(yīng)包括兩個(gè)方面：一是建立安全評估日常管理體系。該部分體系應(yīng)在信息科技風(fēng)險(xiǎn)管理體系的基礎(chǔ)上，明確高管層、信息科技風(fēng)險(xiǎn)管理部門、信息科技管理部門及其它相關(guān)部門的安全評估職責(zé)；二是建立安全評估項(xiàng)目管理機(jī)制。商業(yè)銀行組織安全評估時(shí)應(yīng)成立項(xiàng)目管理組織，并嚴(yán)格按照項(xiàng)目管理的流程對安全評估進(jìn)行有效控制。

2.2建立信息安全風(fēng)險(xiǎn)評估標(biāo)準(zhǔn)流程

安全評估流程是安全評估標(biāo)準(zhǔn)化的控制手段，能夠有效的控制安全評估的目標(biāo)、范圍、過程及質(zhì)量，安全評估需要建立以下標(biāo)準(zhǔn)流程：一是安全評估的組織流程，即安全評估審批、總結(jié)、匯報(bào)等流程；二是安全評估的項(xiàng)目管理流程，安全評估應(yīng)采用項(xiàng)目的管理方式進(jìn)行組織，并按項(xiàng)目管理流程組織評估并形成項(xiàng)目階段成果；三是安全評估的評估方法流程。安全評估根據(jù)標(biāo)準(zhǔn)的評估方法，并結(jié)合評估對象的特點(diǎn)，從資產(chǎn)識(shí)別、威脅識(shí)別、脆弱性識(shí)別、風(fēng)險(xiǎn)評估、已有措施確認(rèn)等方面，建立明確的評估方法流程并明確流程各階段主要工作成果及輸出文檔。

2.3培養(yǎng)專業(yè)信息安全風(fēng)險(xiǎn)評估人員

專業(yè)的安全評估人員是安全評估的基本保證，應(yīng)加大對信息安全風(fēng)險(xiǎn)評估人員的培訓(xùn)力度，培訓(xùn)主要從以下幾個(gè)方面進(jìn)行：一是加大評估管理要求、評估流程的培訓(xùn)力度，讓評估人員能夠了解信息科技安全管理的要求，掌握安全評估組織、項(xiàng)目及方法流程；二是加大信息安全知識(shí)培訓(xùn)力度，評估人員應(yīng)全面學(xué)習(xí)信息安全的相關(guān)知識(shí)，了解目前信息安全面臨的主要威脅及存在風(fēng)險(xiǎn)；三是加大安全評估技術(shù)培訓(xùn)力度，評估人員應(yīng)了解安全評估相關(guān)技術(shù)，熟練掌握常用的安全評估工具；四是加大信息系統(tǒng)相關(guān)技術(shù)培訓(xùn)力度，安全評估要求評估人員應(yīng)了解主機(jī)、網(wǎng)絡(luò)及應(yīng)系統(tǒng)等相關(guān)技術(shù)細(xì)節(jié)，應(yīng)組織相應(yīng)的技術(shù)培訓(xùn)，擴(kuò)大評估人員的知識(shí)范圍，并使評估人員深入了解各系統(tǒng)的技術(shù)細(xì)節(jié)。

2.4引入安全評估工具

為實(shí)現(xiàn)安全評估的專業(yè)化，商業(yè)銀行應(yīng)逐步引入和使用風(fēng)險(xiǎn)評估工具，風(fēng)險(xiǎn)評估工具包括以下三類：一是專業(yè)安全評估設(shè)備及軟件，如漏洞掃描設(shè)備、安全審計(jì)平臺(tái)等。二是專門的風(fēng)險(xiǎn)計(jì)算工具，如風(fēng)險(xiǎn)統(tǒng)計(jì)及計(jì)算表格，該類表格根據(jù)標(biāo)準(zhǔn)的計(jì)算方式，能夠給出相對準(zhǔn)確的風(fēng)險(xiǎn)量化值。二是風(fēng)險(xiǎn)管理系統(tǒng)，對風(fēng)險(xiǎn)進(jìn)行匯總、統(tǒng)計(jì)及處置跟蹤。

2.5建立風(fēng)險(xiǎn)評估數(shù)據(jù)積累機(jī)制

安全風(fēng)險(xiǎn)評估的準(zhǔn)確與否依賴于大量信息安全相關(guān)數(shù)據(jù)，因此，需要建立風(fēng)險(xiǎn)評估數(shù)據(jù)積累機(jī)制：一是確定信息安全事件的收集、整理及匯總機(jī)制，信息安全事件統(tǒng)計(jì)來源分為外部和內(nèi)部兩個(gè)渠道，外部事件應(yīng)根據(jù)安全部門、監(jiān)管部門的通報(bào)進(jìn)行收集，內(nèi)部事件通過安全事件報(bào)告匯總。二是建立信息系統(tǒng)數(shù)據(jù)積累機(jī)制，統(tǒng)計(jì)和匯總不同設(shè)備及系統(tǒng)的安全要求，按標(biāo)準(zhǔn)格式形成評估要點(diǎn)文檔，作為相關(guān)評估的主要依據(jù)。

作者：田雷年   單位：山東省農(nóng)村信用社聯(lián)合社