網(wǎng)上銀行安全與隱私保護(hù)管理辦法及策略

網(wǎng)上銀行安全與隱私保護(hù)管理辦法及策略一、網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理體系及主要內(nèi)容 依據(jù)中國銀監(jiān)會內(nèi)部控制評價辦法、電子銀行業(yè)務(wù)管理辦法、電子銀行安全評估指引的要求，本行網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理的主要內(nèi)涵包括以下方面內(nèi)容： （一）網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理的主要內(nèi)容 根據(jù)網(wǎng)上銀行業(yè)務(wù)的自身特點，結(jié)合本行實際情況，本行的網(wǎng)上銀行業(yè)務(wù)風(fēng)險體系的構(gòu)成包括： 1制定明確的網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理政策 本行網(wǎng)上銀行業(yè)務(wù)風(fēng)險涉及的范圍和領(lǐng)域； 本行網(wǎng)上銀行業(yè)務(wù)風(fēng)險控制的目標(biāo)和能夠承擔(dān)的風(fēng)險水平； 網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理的組織結(jié)構(gòu)、權(quán)限結(jié)構(gòu)和責(zé)任機(jī)制； 網(wǎng)上銀行業(yè)務(wù)風(fēng)險的識別、計量、監(jiān)測和控制程序； 網(wǎng)上銀行業(yè)務(wù)風(fēng)險的報告體系； 網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理信息系統(tǒng) 內(nèi)部控制和外部審計； 網(wǎng)上銀行業(yè)務(wù)風(fēng)險資本的分配； 對重大網(wǎng)上銀行業(yè)務(wù)風(fēng)險情況的應(yīng)急處理方案。 2網(wǎng)上銀行業(yè)務(wù)風(fēng)險的識別、計量、監(jiān)測和控制程序 傳統(tǒng)銀行所面臨的各類風(fēng)險如信用風(fēng)險、流動性風(fēng)險、利率風(fēng)險和市場風(fēng)險等，這些在網(wǎng)上銀行業(yè)務(wù)中仍然存在，但是其表現(xiàn)形式上則有所變化，對網(wǎng)上銀行業(yè)務(wù)風(fēng)險進(jìn)行全面的識別目前還存在一定的困難，還需要不斷摸索規(guī)律、積累經(jīng)驗，因此本行將努力引入有效的方法來識別網(wǎng)上銀行業(yè)務(wù)的風(fēng)險，同時逐步根據(jù)新資本協(xié)議的要求來計量和監(jiān)測網(wǎng)上銀行業(yè)務(wù)風(fēng)險： 加強(qiáng)對防范網(wǎng)上銀行業(yè)務(wù)風(fēng)險的規(guī)章制度建設(shè)； 加強(qiáng)對業(yè)務(wù)合規(guī)性的控制； 加強(qiáng)對員工管理，防范道德風(fēng)險； 完善信息系統(tǒng)，提高通過技術(shù)手段防范網(wǎng)上銀行業(yè)務(wù)風(fēng)險的能力； 研究和引入有效的定性或定量的計量和評估網(wǎng)上銀行業(yè)務(wù)風(fēng)險的模式或方法； 制定應(yīng)急準(zhǔn)備； 3實行對網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理的獨立的內(nèi)、外部審計 內(nèi)、外部審計應(yīng)包括：本行組織結(jié)構(gòu)、所有業(yè)務(wù)和管理管理流程、人員的工作狀況、各部門的運行情況、人事變動、客戶投拆、系統(tǒng)運行狀況等各個環(huán)節(jié)。 （二）網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理職能的分布 1董事會 承擔(dān)對網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理實施監(jiān)控的最終責(zé)任，確保本行有效地識別、計量、監(jiān)測和控制業(yè)務(wù)所承擔(dān)的各類風(fēng)險，包括： 負(fù)責(zé)審批網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理的戰(zhàn)略、政策和程序，確定本行網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理的目標(biāo)； 督促高級管理層采取必要的措施識別、計量、監(jiān)測和控制網(wǎng)上銀行業(yè)務(wù)風(fēng)險； 定期獲得關(guān)于網(wǎng)上銀行業(yè)務(wù)風(fēng)險性質(zhì)和水平的報告，以監(jiān)控和評價網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理的全面性、有效性以及高級管理層在網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理方面的履職情況。 2監(jiān)事會 負(fù)責(zé)監(jiān)督董事會、高級管理層完善網(wǎng)上銀行業(yè)務(wù)管理體系。 監(jiān)督董事會和高級管理層在網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理方面的履職情況。 3高級管理層 負(fù)責(zé)制定、定期審查和監(jiān)督執(zhí)行網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理的政策、程序以及管理目標(biāo)； 確定本行所面對的網(wǎng)上銀行業(yè)務(wù)的各種風(fēng)險； 在本行建立有效的網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理組織框架，確保組織結(jié)構(gòu)能有效的體現(xiàn)管理與經(jīng)營相分離的原則； 確保本行能準(zhǔn)確的計量、監(jiān)測和控制網(wǎng)上銀行業(yè)務(wù)風(fēng)險； 4網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理部門 擬定網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理政策和程序，提出風(fēng)險管理的目標(biāo)，提交高級管理層和董事會審查批準(zhǔn)； 負(fù)責(zé)網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理制度體系的建設(shè)，確保有相應(yīng)的規(guī)章和程序來控制或緩沖重大的網(wǎng)上銀行業(yè)務(wù)風(fēng)險。 對于網(wǎng)上銀行的新產(chǎn)品、新業(yè)務(wù)中所包含的風(fēng)險進(jìn)行識別和評估，審核相應(yīng)的風(fēng)險管理程序； 識別、計量和監(jiān)測網(wǎng)上銀行業(yè)務(wù)風(fēng)險； 設(shè)計、實施事后檢驗和壓力測試； 及時向董事會和高級管理層提供獨立的網(wǎng)上銀行業(yè)務(wù)風(fēng)險報告。 5本行管理與經(jīng)營部門 （1）人員管理：完善人力資源政策和程序，確保與有關(guān)從業(yè)人員具備相應(yīng)的能力和意識，防范可能的人員失誤和內(nèi)部人員欺詐導(dǎo)致的風(fēng)險。包括： 提高員工工作的責(zé)任心； 防止員工超時工作； 提高員工對產(chǎn)品和流程的認(rèn)識和掌握； 防止人員欺詐。 （2）系統(tǒng)管理：完善本行網(wǎng)上銀行業(yè)務(wù)各類信息系統(tǒng)，防止因系統(tǒng)失靈或系統(tǒng)自身存在漏洞而導(dǎo)致的風(fēng)險。包括： 維護(hù)系統(tǒng)硬件安全； 防止信息系統(tǒng)受到侵襲； 不同軟件間的銜接； 制定系統(tǒng)的應(yīng)急預(yù)案； 建立系統(tǒng)數(shù)據(jù)備份機(jī)制。 保證相關(guān)應(yīng)用系統(tǒng)的有效性； 防止使用者使用過程中的風(fēng)險。 （3）程序管理：加強(qiáng)對流程執(zhí)行情況的檢查，包括： 保證內(nèi)部管理和操作程序在執(zhí)行過程中的正確性。 （4）外部事件管理：建立并保持預(yù)案和程序，以防止可能發(fā)生的意外事件或緊急情況的損失，包括： 防止外包服務(wù)的風(fēng)險； 防范外部犯罪活動； 防范自然災(zāi)害事件。 6資本管理部門 根據(jù)對本行網(wǎng)上銀行業(yè)務(wù)風(fēng)險的狀況提出資本安排計劃，并監(jiān)測與風(fēng)險相對應(yīng)的資本水平； 7內(nèi)部審計 審查和評價各部門對網(wǎng)上銀行業(yè)務(wù)風(fēng)險政策和程序的遵守情況，風(fēng)險管理目標(biāo)的實現(xiàn)情況； 網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理的組織結(jié)構(gòu)的有效性； 網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理所涵蓋的范圍和環(huán)節(jié)的完整性； 風(fēng)險計量方法的恰當(dāng)性和計量結(jié)果的準(zhǔn)確性； 網(wǎng)上銀行業(yè)務(wù)風(fēng)險資本的計算和內(nèi)部配置情況 二、網(wǎng)上銀行系統(tǒng)的風(fēng)險管理策略 由于網(wǎng)上銀行業(yè)務(wù)極大地依賴于承載它的IT系統(tǒng)，為了保證網(wǎng)上銀行系統(tǒng)的正常運行和不斷發(fā)展，需要建立一個完整的風(fēng)險管理過程。建立網(wǎng)上銀行系統(tǒng)的風(fēng)險管理策略，是保證風(fēng)險管理過程順利執(zhí)行的重要保證，將有助于網(wǎng)上銀行系統(tǒng)安全建設(shè)的持續(xù)改善。 網(wǎng)上銀行系統(tǒng)的風(fēng)險等級分為三級：即高風(fēng)險(H)：有可能發(fā)生并會對網(wǎng)上銀行造成重大的損失；中風(fēng)險(M)：有可能發(fā)生并會對網(wǎng)上銀行會造成一定的損失；低風(fēng)險(L)：有可能發(fā)生但對網(wǎng)上銀行僅造成的輕微的損失。 （一）風(fēng)險管理過程 風(fēng)險管理是一個不斷進(jìn)行的過程，該過程可以主要分為三個大步驟： 風(fēng)險評估：風(fēng)險分析和風(fēng)險評價的全過程。通過了解信息資產(chǎn)價值、威脅、脆弱性和現(xiàn)有安全控制信息來識別、分析風(fēng)險，找出與安全目標(biāo)間的差距，從而明確安全需求； 風(fēng)險處置：根據(jù)安全需求選擇安全控制措施，制定完善的安全計劃并加以實施，從而達(dá)到減少、規(guī)避或轉(zhuǎn)嫁風(fēng)險的目標(biāo)； 風(fēng)險接受：接受風(fēng)險的決策。分析殘留風(fēng)險、監(jiān)控識別出的風(fēng)險，如果風(fēng)險很清晰地滿足組織策略和風(fēng)險接受標(biāo)準(zhǔn)的要求，就客觀有意地接受它們；并對安全政策執(zhí)行進(jìn)行審計。 1風(fēng)險評估 風(fēng)險評估是對網(wǎng)上銀行系統(tǒng)信息資產(chǎn)所面臨的威脅、存在的弱點、造成的影響，以及三者綜合作用而帶來風(fēng)險的可能性的評估。風(fēng)險評估是風(fēng)險管理過程的基礎(chǔ)。 （1）風(fēng)險評估的主要目的包括： 識別網(wǎng)上銀行系統(tǒng)面臨的各種風(fēng)險； 評估風(fēng)險發(fā)生概率和可能給網(wǎng)上銀行系統(tǒng)帶來的負(fù)面影響； 確定本行承受風(fēng)險的能力； 確定風(fēng)險消減的優(yōu)先等級； 明確網(wǎng)上銀行系統(tǒng)的安全需求。 （2）風(fēng)險評估方法 風(fēng)險評估的風(fēng)險包括兩個部分，一個部分是識別風(fēng)險構(gòu)成要素，即信息資產(chǎn)以及信息相關(guān)資產(chǎn)、威脅方和威脅方可能利用的弱點。另一個部分是評估威脅方利用弱點可能造成的業(yè)務(wù)損失。在進(jìn)行風(fēng)險評估時需要定義風(fēng)險要素的屬性和風(fēng)險函數(shù)來完成風(fēng)險評估。 對符合條件的成熟風(fēng)險評估方法，應(yīng)該建立實施過程，以保證風(fēng)險評估的有效性。 （3）風(fēng)險評估類別 風(fēng)險評估包括以下類別： 基線風(fēng)險評估：組織根據(jù)自身實際情況，對信息系統(tǒng)進(jìn)行安全基線檢查（把現(xiàn)有的安全措施與安全基線規(guī)定的措施進(jìn)行比較，找出其中的差距），得出基本的安全需求，通過選擇并實施標(biāo)準(zhǔn)的安全措施來消減和控制風(fēng)險。 詳細(xì)風(fēng)險評估：組織對資產(chǎn)進(jìn)行詳細(xì)識別和評價，對可能引起風(fēng)險的威脅和弱點水平進(jìn)行評估，根據(jù)風(fēng)險評估的結(jié)果來識別和選擇安全措施。通過這種評估途徑集中體現(xiàn)風(fēng)險管理的思想，識別資產(chǎn)的風(fēng)險并將風(fēng)險降低到可接受的水平，以此證明所采用的安全控制措施是恰當(dāng)?shù)摹?（4）風(fēng)險評估執(zhí)行 本行按照電子銀行安全評估指引的要求，按年度進(jìn)行信息安全風(fēng)險評估，此外根據(jù)網(wǎng)上銀行系統(tǒng)的變化（如業(yè)務(wù)變化、業(yè)務(wù)環(huán)境變化等）決定啟動信息安全風(fēng)險變化的評估。 2風(fēng)險處置 （1）風(fēng)險處置 風(fēng)險處置的目標(biāo)是基于網(wǎng)上銀行業(yè)務(wù)的需求和處置成本。處置目標(biāo)包括風(fēng)險處置的范圍、策略和業(yè)務(wù)期待的結(jié)果。處置策略包括風(fēng)險的降低、規(guī)避、轉(zhuǎn)嫁和接受等。 降低風(fēng)險：實施有效控制，將風(fēng)險降低到可接受的程度，實際上就是力圖減小威脅發(fā)生的可能性和帶來的影響。規(guī)避風(fēng)險：有時候，組織可以選擇放棄某些可能引來風(fēng)險的業(yè)務(wù)或資產(chǎn)，以此規(guī)避風(fēng)險。 轉(zhuǎn)嫁風(fēng)險：將風(fēng)險全部或者部分地轉(zhuǎn)移到其他責(zé)任方。 接受風(fēng)險：在實施了其他風(fēng)險應(yīng)對措施之后，對于殘留的風(fēng)險，組織可以選擇接受。 （2）安全政策 對風(fēng)險處置目標(biāo)確定處置的信息安全風(fēng)險要制定明確的信息安全政策。信息安全政策是風(fēng)險控制的基線，即只有完全落實信息安全政策，才能實現(xiàn)風(fēng)險控制目標(biāo)。 （3）安全控制 安全控制是安全政策落實的手段。安全控制包括物理安全控制、技術(shù)安全控制和行政管理安全控制。 3風(fēng)險接受 （1）殘留風(fēng)險 對處置的風(fēng)險進(jìn)行殘留風(fēng)險分析，確認(rèn)殘留風(fēng)險是在業(yè)務(wù)可接受的范圍內(nèi)。殘留風(fēng)險將納入到信息風(fēng)險綜合評估過程中。 （2）風(fēng)險監(jiān)控 對識別出的風(fēng)險，要進(jìn)行監(jiān)控。一旦發(fā)現(xiàn)風(fēng)險出現(xiàn)，應(yīng)按預(yù)定的程序進(jìn)行處置。風(fēng)險的監(jiān)控包括對安全政策和安全控制執(zhí)行的監(jiān)控。 （3）安全審計 定期對信息安全政策的實施進(jìn)行審計。審計人員應(yīng)獨立于安全政策制訂和安全控制開發(fā)的人員。信息安全政策審計的結(jié)果應(yīng)作為綜合風(fēng)險評估的輸入之一。 信息安全審計內(nèi)容包括文檔審計、日志審計和行為審計。 文檔審計：安全策略的內(nèi)容每年進(jìn)行一次審核，安全管理制度每三個月進(jìn)行一次審核，業(yè)務(wù)系統(tǒng)操作規(guī)范和流程每六個月進(jìn)行一次審核，應(yīng)急方案每六個月進(jìn)行一次審核，并根據(jù)實際情況進(jìn)行修改。 日志審計：網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、業(yè)務(wù)應(yīng)用系統(tǒng)等系統(tǒng)日志審計功能全部開啟，系統(tǒng)日志每周一次安全審核，及時發(fā)現(xiàn)問題。 行為審計：采取人員監(jiān)督、績效考核、技術(shù)監(jiān)控等手段，對安全管理員、網(wǎng)絡(luò)管理員、系統(tǒng)管理員、應(yīng)用管理員等的日常工作行為進(jìn)行審核，保證行為的正確性和合法性。 （二）網(wǎng)上銀行系統(tǒng)安全策略體系 1人事策略 人員安全策略的目標(biāo)為覆蓋工作相關(guān)的安全責(zé)任。 人員安全策略與過程：雇傭前，人力資源部必須實施詳細(xì)的背景調(diào)查，確保雇用人員的簡歷是真實的。雇用期間，所有員工必須接收安全指導(dǎo)培訓(xùn)。員工離開自身職位必須完成所有的手續(xù)和移交他們的信息安全責(zé)任。 2訪問控制策略 訪問控制策略的目標(biāo)是阻止從公眾網(wǎng)未被授權(quán)訪問銀行的內(nèi)部網(wǎng)絡(luò)。這一策略同時也保證只有受控的訪問和建立銀行內(nèi)部網(wǎng)絡(luò)中的驗證機(jī)制，以驗證訪問公眾網(wǎng)必須經(jīng)過允許。 為用戶創(chuàng)建訪問權(quán)限：一個具體的訪問控制模塊，針對用戶及其對網(wǎng)絡(luò)和應(yīng)用程序的訪問控制，應(yīng)當(dāng)被定期維護(hù)及更新；訪問控制的授權(quán)應(yīng)基于業(yè)務(wù)需求而非某個人的要求；在使用程序及服務(wù)時，用戶應(yīng)嚴(yán)格遵守密碼管理方針。 管理特權(quán)：最少特權(quán)原則確保最低限度的訪問權(quán)限批準(zhǔn)。 廢除訪問權(quán)限：當(dāng)用戶不再需要訪問，應(yīng)及時廢除訪問權(quán)限。 訪問記錄與監(jiān)控：所有通過防火墻的網(wǎng)絡(luò)連接都應(yīng)受到監(jiān)控并且應(yīng)為全部設(shè)備保存通信記錄。同樣的，通過記錄及監(jiān)控程序記下的全部應(yīng)用程序及操作系統(tǒng)的訪問嘗試。 3通信和運行管理策略 （1）建立計算機(jī)系統(tǒng)和網(wǎng)絡(luò)各個部分的管理和操作所有計算機(jī)和網(wǎng)絡(luò)的職責(zé)和流程來指導(dǎo)正確和安全的操作。這些流程包括： 業(yè)務(wù)或第三方的職能所需的有計劃的服務(wù)活動； 數(shù)據(jù)文件處理，包括驗證網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)； 對所有計劃的系統(tǒng)開發(fā)、維護(hù)和測試工作的變更管理流程； 為意外事件準(zhǔn)備的錯誤處理和意外事件處理過程； 問題管理流程，包括登錄所有網(wǎng)絡(luò)問題和解決辦法； 事件管理流程； 為所有新的或變更的硬件或軟件包括性能、可用性、可靠性、可控性、可恢復(fù)性和錯誤處理能力的方面的測試/評估流程； 日常管理活動，例如啟動和關(guān)閉流程，數(shù)據(jù)備份，設(shè)備維護(hù)，計算機(jī)和網(wǎng)絡(luò)管理，安全方法或需求。 （2）軟件和信息保護(hù) 采取措施預(yù)防和檢測對軟件和信息非授權(quán)的更改。 （3）介質(zhì)的處理和安全性 控制計算機(jī)介質(zhì)并進(jìn)行必要的物理保護(hù)。包括控制可移動的計算機(jī)介質(zhì)，制定并遵守處理包含機(jī)密或關(guān)鍵數(shù)據(jù)的介質(zhì)的流程，介質(zhì)應(yīng)在不再需要時被妥善廢棄，系統(tǒng)文檔分秘級保護(hù)并防非授權(quán)訪問或刪除。 （4）維護(hù)完整性和可用性 采取措施維護(hù)服務(wù)的完整性和可用性，建立控制備份計算機(jī)和網(wǎng)絡(luò)資產(chǎn)的流程，定期檢查廣域網(wǎng)絡(luò)的網(wǎng)絡(luò)管理中心和節(jié)點的通訊軟件和數(shù)據(jù)的完整性，保護(hù)所有網(wǎng)絡(luò)設(shè)備以避免物理攻擊，采取物理保護(hù)措施以防止線纜中斷、被偵聽和非授權(quán)訪問等。 （5）數(shù)據(jù)交換 控制銀行內(nèi)部或與外界組織的數(shù)據(jù)和軟件交換。4物理及環(huán)境安全策略 物理安全邊界控制管理