中國銀行計算機信息安全策略綱要

1、中國銀行計算機信息安全策略綱要(試行)發(fā)布單位：中國銀行文號：中銀科200238號發(fā)布日期：2002年11月29日生效日期：2002年11月29日1.前言隨著信息技術(shù)的不斷發(fā)展，金融信息安全與我國經(jīng)濟建設(shè)、社會安定和國家安全緊密相連。中國銀行各項業(yè)務已經(jīng)由傳統(tǒng)手工處理轉(zhuǎn)向高科技信息系統(tǒng)處理模式，信息技術(shù)已成為銀行賴以發(fā)展的基礎(chǔ)。中國銀行信息系統(tǒng)是技術(shù)密集、資金密集、大型復雜的網(wǎng)絡(luò)化的人機系統(tǒng)，其安全問題日益突出。金融信息安全的風險來于管理層、技術(shù)層和操作層。銀行信息系統(tǒng)所面臨的主要威脅是：（1）人為的失誤：計算機技術(shù)人員及業(yè)務人員在信息系統(tǒng)的設(shè)計、開發(fā)、安裝、使用過程中，都有機會產(chǎn)生人為的錯誤

2、或失誤。（2）欺詐行為：來自于銀行內(nèi)部員工或銀行外部人員，欺騙性地修改或產(chǎn)生信息系統(tǒng)的數(shù)據(jù)，盜竊銀行資金，進行金融犯罪。（3）內(nèi)部人員破壞行為：由于對工作不滿或其他原因，有意在程序中設(shè)置“后門”或程序炸彈，并對設(shè)備、數(shù)據(jù)、系統(tǒng)進行故意破壞的行為。（4）物理資源服務喪失：設(shè)備故障或物理環(huán)境發(fā)生意外災難（電源斷電、通訊中斷、水災、火災、地震等）而產(chǎn)生系統(tǒng)宕機事件。（5）黑客攻擊：黑客通過非法手段訪問或破壞銀行信息系統(tǒng)。（6）商業(yè)信息泄密：部分員工利用權(quán)限之便而造成信息系統(tǒng)數(shù)據(jù)的外泄。（7）病毒（惡意程序）侵襲：指編制或者在計算機程序中插入破壞計算機功能或者毀壞系統(tǒng)數(shù)據(jù)的計算機指令或者程序代碼。（8

3、）程序系統(tǒng)自身的缺陷：程序設(shè)計開發(fā)時，對系統(tǒng)的安全性考慮不足，留下安全隱患，這是一種來自系統(tǒng)自身的威脅。隨著全行信息大中心的相繼建成，數(shù)據(jù)形成了高度集中，風險也隨之高度集中，因此信息安全問題所形成的現(xiàn)代金融風險，使傳統(tǒng)的金融風險內(nèi)涵發(fā)生了根本性變化。中國銀行信息系統(tǒng)的安全不但涉及國家和金融業(yè)的利益，而且還涉及到廣大客戶的利益，任何不安全因素都可能造成信息的丟失、資金財產(chǎn)的損失和金融市場的混亂，甚至影響到社會的穩(wěn)定。由于信息系統(tǒng)存在著自然或人為等諸多因素的脆弱性和潛在風險，中國銀行在信息化建設(shè)過程中應建立明確的安全策略，加強信息化管理和技術(shù)防范措施，確保信息系統(tǒng)的安全穩(wěn)定。中國銀行的信息安全化建

4、設(shè)是保障自身業(yè)務穩(wěn)定發(fā)展、穩(wěn)定金融市場、增強競爭力和生存力的基礎(chǔ)，信息安全強調(diào)社會責任、強調(diào)合法、合規(guī)經(jīng)營，并對中國銀行穩(wěn)健發(fā)展具有戰(zhàn)略意義。2.安全策略2.1總體目標及原則中國銀行信息系統(tǒng)安全總體目標是保護中國銀行信息系統(tǒng)的硬件、軟件、業(yè)務信息和數(shù)據(jù)、通訊網(wǎng)絡(luò)設(shè)備等資源的安全，有效防范各類安全事故或人為有意的破壞事件，合法、合規(guī)發(fā)展我行各類信息系統(tǒng)，確保中國銀行為社會各界提供安全高效穩(wěn)定的金融服務。實現(xiàn)中國銀行信息系統(tǒng)安全總體目標應本著“安全第一、預防為主、職責明確、綜合治理”的基本原則。建立信息資產(chǎn)所有人機制，明確信息資產(chǎn)所有人（業(yè)務部門）、代管人（信息科技部門）及安全管理人的權(quán)責并對信息

5、資產(chǎn)進行分類。2.2組織管理體系組織管理體系建立的目標是建立中國銀行自上而下的信息安全工作管理體系，確立安全管理組織機構(gòu)的職責，統(tǒng)籌規(guī)劃、專家決策，以推動中國銀行全轄信息安全工作的開展。組織管理機構(gòu)由中國銀行計算機安全工作委員會、計算機安全工作機構(gòu)（包含計算機安全專家小組、計算機安全檢查機構(gòu)、計算機技術(shù)保障機構(gòu)）、利用計算機信息系統(tǒng)提供業(yè)務服務的計算機綜合應用機 構(gòu)共同組成。 計算機安全工作委員會計算機安全工作機構(gòu)計算機綜計計計合算算算應機機機用安技安機全術(shù)全構(gòu)專保檢家障查小機機組構(gòu)構(gòu) 安全管理組織架構(gòu)計算機安全工作委員會：總行主管科技的行領(lǐng)導及計算機信息安全相關(guān)部門（信科部、保衛(wèi)部、監(jiān)察室、

6、人力資源部、稽核部、財會部、零售業(yè)務部、銀行卡中心等部門）的一名總經(jīng)理室成員組成，責任是貫徹落實國家和人民銀行關(guān)于計算機安全工作的方針和政策；研究決定我行計算機安全的重大事項；制定我行計算機安全措施的實施策略和原則；組織開展中國銀行計算機安全普及教育；研究我行計算機安全工作的重大事項；組織領(lǐng)導計算機安全相關(guān)部門工作。計算機安全專家小組：由行內(nèi)外金融計算機安全專家組成，在我行計算機安全工作委員會辦公室的領(lǐng)導下，從理論上、技術(shù)上指導我行計算機安全技術(shù)體系建立，對我行目前安全體系的風險進行評估和鑒定。計算機技術(shù)保障機構(gòu)：由中國銀行總行信息科技部、全轄計算機運行中心、軟件開發(fā)中心人員組成，負責制定我行

7、全轄信息安全建設(shè)規(guī)劃、組織實施有效的技術(shù)措施、協(xié)調(diào)落實全轄信息安全工作的開展，實現(xiàn)信息系統(tǒng)的建設(shè)和維護支持工作。計算機安全檢查機構(gòu)：由信科部、保衛(wèi)部、稽核部、監(jiān)察部等部門組成，在計算機安全工作委員會的領(lǐng)導下，監(jiān)督檢查我行信息系統(tǒng)建設(shè)過程中安全制度的執(zhí)行情況，協(xié)調(diào)解決計算機安全問題。計算機綜合應用機構(gòu)：由中國銀行業(yè)務部門及管理部門組成，在計算機安全工作委員會的指引下，安全合規(guī)地使用信息系統(tǒng)，為客戶提供服務。2.3人員安全管理人員安全管理的目標是通過設(shè)立銀行安全管理制度及崗位責任制，為保證最大程度地降低信息化建設(shè)過程中由于人為失誤或錯誤所造成的風險。人員是銀行信息系統(tǒng)安全的決定性因素。與信息安全相

8、關(guān)的崗位職責分配的基本原則為：職責分離原則：在人員崗位建立時，相關(guān)的信息系統(tǒng)訪問的安全責任應該確定，不相容的職責應分離。接觸信息系統(tǒng)的人員應承擔與其工作性質(zhì)相應的安全責任，各類人員不得從事超越自己職責以外的任何工作。有限授權(quán)原則：任何人員對信息資源的訪問權(quán)利應受到限制，應對超越職責的訪問進行控制。相互制約原則：安全環(huán)節(jié)的管理應采取相互制約原則，做到職責分明，各司其職，相互配合和制約。任期審計原則：應記錄并監(jiān)控員工在任職期內(nèi)的信息資源訪問活動。信息系統(tǒng)關(guān)鍵崗位員工（是指計算機系統(tǒng)運行過程中直接從事生產(chǎn)系統(tǒng)或周圍設(shè)施管理的人員）必須是我行正式簽訂勞動合同的員工，上崗前要對其進行培訓，并使其充分了解

9、信息系統(tǒng)安全的至關(guān)重要性。對各類計算機系統(tǒng)的相關(guān)人員應實施有針對性、有計劃的計算機安全教育和培訓。員工通過培訓應明確與本職工作有關(guān)的計算機安全知識和責任。定期考核員工的工作表現(xiàn)，調(diào)整與其崗位不符的安全職責權(quán)限或調(diào)離違反崗位安全規(guī)則的員工。員工離職前，應交還手中持有的與信息系統(tǒng)相關(guān)的文檔、物品，應交接其負責的工作。一經(jīng)離職，銀行人力資源部門要立即通知信息資源控制部門，相應的信息系統(tǒng)合法身份及權(quán)限應立即注銷，視調(diào)離保密崗位人員的重要程度，及時調(diào)整系統(tǒng)的安全保密措施。所有員工必須定期簽訂信息安全及保密承諾。相關(guān)安全教育由人力資源部門統(tǒng)一安排。2.4標準化和規(guī)范化管理標準化和規(guī)范化安全的目標是通過建立

10、中國銀行內(nèi)部業(yè)務處理、操作流程、信息系統(tǒng)管理和技術(shù)等一系列標準化和規(guī)范化的過程，奠定中國銀行信息系統(tǒng)安全的基礎(chǔ)。標準化、規(guī)范化是信息系統(tǒng)安全的基礎(chǔ)。 中國銀行綜合業(yè)務管理部門應該根據(jù)各業(yè)務對銀行資產(chǎn)保護的需要，制訂應用系統(tǒng)的安全等級，建立我行各項業(yè)務的標準、規(guī)范化處理流程和業(yè)務數(shù)據(jù)標準，以及確定各級員工對信息資源訪問的權(quán)限標準。中國銀行信息技術(shù)管理部門應該規(guī)范信息系統(tǒng)的工程建設(shè)，依照國家或銀行業(yè)的安全管理政策和標準，逐步建立中國銀行信息系統(tǒng)安全的各項管理規(guī)范和相關(guān)技術(shù)標準，規(guī)范基礎(chǔ)設(shè)施建設(shè)、系統(tǒng)和網(wǎng)絡(luò)平臺建立、應用系統(tǒng)開發(fā)、運行管理等重要環(huán)節(jié)，創(chuàng)建中國銀行信息系統(tǒng)安全的基礎(chǔ)。2.5設(shè)備與物理環(huán)

11、境安全設(shè)備與物理環(huán)境安全的目標是保護中國銀行計算機設(shè)備、設(shè)施（含網(wǎng)絡(luò)）以及信息系統(tǒng)的物理環(huán)境免遭自然災害和其他形式的破壞，保證信息系統(tǒng)的實體安全。安全計劃和安全管理必須實施于信息系統(tǒng)基礎(chǔ)設(shè)施建設(shè)的需求計劃、部署實現(xiàn)、安裝啟用、終止結(jié)束等完整工程生命周期的各個階段。信息系統(tǒng)有關(guān)物理環(huán)境的選址及建設(shè)應遵照國家計算機場地安全標準和有關(guān)主管部門的場地環(huán)境設(shè)施標準，配備防火、防雷、防水、防靜電、防鼠等機房安全設(shè)施，有效防止數(shù)據(jù)泄密，維持系統(tǒng)不間斷的運行能力，確保信息系統(tǒng)運行的安全可靠。應對突發(fā)事故，實體安全建立應急計劃，配備應急電源，實施系統(tǒng)主機及重要設(shè)備的備份、冗余技術(shù)保護措施；對數(shù)據(jù)應做到異地備份或

12、做到異地存放；應對災難事故，實體安全建立災難中心，實現(xiàn)物理實體的恢復機制。根據(jù)實際情況定期實施主備機的切換和應急方案的演練。限制和規(guī)定計算中心、重要信息設(shè)備所在地的人員進出活動。對重要安全設(shè)備產(chǎn)品的選擇，必須符合國家有關(guān)技術(shù)規(guī)范或經(jīng)過專業(yè)測評機構(gòu)檢測不低于本行業(yè)計算機安全管理技術(shù)規(guī)范中的最低安全要求，并核實是否具備安全部門的設(shè)備準用證或國家有關(guān)部門的安全產(chǎn)品許可證書。嚴格確定信息設(shè)備的合法使用人。建立詳細的設(shè)備使用運行日志及故障維修記錄，實施定期的設(shè)備維護、保養(yǎng)操作。2.6應用系統(tǒng)安全應用系統(tǒng)安全的目標是保證中國銀行各業(yè)務應用系統(tǒng)開發(fā)過程以及最終產(chǎn)品的安全性，安全建設(shè)必須與應用系統(tǒng)建設(shè)同步進行

13、。應用系統(tǒng)安全決定了銀行資金的安全，應用系統(tǒng)安全化建設(shè)是中國銀行業(yè)務發(fā)展的重要組成部分。質(zhì)量管理和安全監(jiān)控必須實施于應用系統(tǒng)從計劃到運行全周期的各階段（即需求計劃階段、系統(tǒng)設(shè)計階段、技術(shù)實現(xiàn)階段、安裝測試以及投產(chǎn)運行階段）。應用系統(tǒng)的總體需求計劃階段，應全面評估系統(tǒng)的安全風險，分析系統(tǒng)的潛在威脅，根據(jù)銀行信息資源的保護等級策略，確立系統(tǒng)的訪問控制、身份認證、信息加密、審計跟蹤、稽核檢查等安全需求，并征求保衛(wèi)部、監(jiān)察部、稽核部意見，確立應用系統(tǒng)的安全策略。在應用系統(tǒng)的總體架構(gòu)設(shè)計的過程中，應實施安全需求設(shè)計，并確立安全服務機制、項目開發(fā)人員安全技術(shù)要求和操作規(guī)程。應用系統(tǒng)的實現(xiàn)階段，應根據(jù)安全需

14、求設(shè)計實施安全技術(shù)，對應用系統(tǒng)技術(shù)實現(xiàn)過程進行質(zhì)量管理，防止技術(shù)開發(fā)人員故意保留“后門”，保證系統(tǒng)最終產(chǎn)品的安全性質(zhì)量。在應用系統(tǒng)建設(shè)的各階段，必須保證中國銀行應用軟件的完整性，即確保軟件的變更是經(jīng)過授權(quán)及合法性的驗證；必須形成各階段相應的系統(tǒng)功能設(shè)計及技術(shù)實施的規(guī)范性文檔，以及重要的系統(tǒng)安全策略，安全規(guī)劃、應急計劃、風險分析、安全服務機制等安全性文檔，并隨著系統(tǒng)實現(xiàn)的進程應保持文檔變更的同步及準確。應用系統(tǒng)投產(chǎn)運行之前，必須充分進行局部功能、整體功能、壓力測試，以及與安全需求目標一致的系統(tǒng)安全性能、操作流程、應急方案等重要安全性測試，測試的結(jié)果應記錄文檔。只有正式經(jīng)過管理、操作、技術(shù)控制等安

15、全鑒定獲準的應用項目，可以投入生產(chǎn)運行。2.7通信網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全的目標是有效防范網(wǎng)絡(luò)體系的安全風險，為中國銀行應用系統(tǒng)發(fā)展提供安全、可靠、穩(wěn)定的網(wǎng)絡(luò)管理和技術(shù)平臺。通信網(wǎng)絡(luò)安全建設(shè)是中國銀行業(yè)務發(fā)展的基礎(chǔ)，通信網(wǎng)絡(luò)安全管理和網(wǎng)絡(luò)安全技術(shù)的配合是獲得網(wǎng)絡(luò)整體安全的基本保障。通信網(wǎng)絡(luò)架構(gòu)的安全可靠性設(shè)計、網(wǎng)絡(luò)建設(shè)的安全投入應依照國家或銀行業(yè)制定的各項安全管理規(guī)定和安全產(chǎn)品技術(shù)標準，充分考慮銀行應用的發(fā)展規(guī)劃和安全保護等級。對于依賴網(wǎng)絡(luò)架構(gòu)安全性的業(yè)務和應用系統(tǒng)，必須視其安全級別，實施相應的訪問控制、身份認證、抗抵賴、加密、審計等信息安全服務機制，以提高業(yè)務和應用系統(tǒng)的安全防護能力。在中國銀行內(nèi)部

16、網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的接入口、內(nèi)部區(qū)域網(wǎng)的接入口、重要業(yè)務系統(tǒng)的外聯(lián)接入口，必須視信息資源的保護等級，實施相應安全級別的隔離防火墻、認證、審計、動態(tài)檢測等安全技術(shù)措施，防范銀行信息資源被非法訪問、篡改和破壞。任何員工不得在未經(jīng)銀行安全管理認可的情況下，擅自從銀行內(nèi)部網(wǎng)絡(luò)的計算機直接訪問銀行外部網(wǎng)絡(luò)。 2.8運行安全運行安全的目標是保證中國銀行的信息系統(tǒng)日常運行的安全穩(wěn)定，對信息系統(tǒng)的運行環(huán)境、技術(shù)支持、操作使用、病毒防范、備份措施、文檔建立等方面實施安全性管理。對信息系統(tǒng)運行階段的任何變化，數(shù)據(jù)、軟件、物理設(shè)置等，都應實施技術(shù)監(jiān)控和管理手段以確保其完整性，即防止信息被非法復制、非授權(quán)的修改及破壞，確

17、保信息系統(tǒng)的任何查詢和變更操作是經(jīng)過授權(quán)及合法性驗證。軟件是計算機系統(tǒng)運行的核心。軟件的安全保護及正確運行至關(guān)重要，應嚴格控制計算機系統(tǒng)中軟件的使用。軟件的隨意下載及運行，將使銀行計算機網(wǎng)絡(luò)系統(tǒng)容易產(chǎn)生病毒侵入，干擾系統(tǒng)正常運行及系統(tǒng)安全防護的失效。新版軟件、版本升級過程要實施投產(chǎn)前必要的軟件檢驗和測試。中國銀行應確保銀行所用軟件的版本合法。銀行技術(shù)支持人員、軟硬件供應商、第三方技術(shù)提供商都有可能從事技術(shù)維護服務。銀行必須實施嚴格的訪問控制機制和制度，確保只有合法的人員才能進入系統(tǒng)從事維護活動。銀行應建立多層次、立體式病毒防護體系，維持病毒采集、匯總、上報、升級的渠道順暢，提高病毒檢殺的響應能

18、力，從網(wǎng)絡(luò)、服務器、單機的各個環(huán)節(jié)有效防范病毒侵入。信息系統(tǒng)的程序和數(shù)據(jù)備份至關(guān)重要。備份的周期取決于數(shù)據(jù)的變動頻度及變動的重要程度，重要的系統(tǒng)和數(shù)據(jù)必須做到異地備份，確定備份的工作流程。要經(jīng)常檢測備份以保證其可用性。備份應安全存放。對各種信息媒介應實施物理環(huán)境保護及其他各種控制措施，確保磁帶、磁碟、光盤、打印數(shù)據(jù)等重要媒介不失密、不被破壞、不被篡改和不失效，維護其完整性和可用性，并授權(quán)專人負責介質(zhì)的登記、存放、檢驗等維護工作。計算機技術(shù)維護和操作都應有相應的文檔，以確保支持的連續(xù)性和一致性。正確的操作描述文檔有助于防止對安全的忽視、減少操作的失誤。當數(shù)據(jù)信息、硬件設(shè)備、軟件程序結(jié)束運行使用時

19、，視需求分別進行存檔、廢棄和銷毀處理。存檔的信息應充分考慮將來查找和檢索的需要；電子信息的存檔要考慮到數(shù)據(jù)生成技術(shù)的未來可用性；為滿足加密信息的查詢需要，應對加密密鑰采取有效的存放保管措施。重要信息的銷毀應在相關(guān)人員的監(jiān)督下完成。2.9應急計劃銀行信息系統(tǒng)應急計劃的目標是分析銀行信息系統(tǒng)可能出現(xiàn)的緊急事件或者災難事故，技術(shù)支持和業(yè)務部門應建立一整套應急措施，以保障銀行關(guān)鍵核心業(yè)務的連續(xù)服務。一旦發(fā)生重大的或災難性事故時，計算機安全工作機構(gòu)應迅速進行災情分析，并上報計算機安全工作委員會，各信息中心或省行計算機安全工作領(lǐng)導小組即成為應急領(lǐng)導小組，負責指揮執(zhí)行緊急應變計劃，排除災難事故。同時應急領(lǐng)導

20、小組還要組織相關(guān)的部門做好對外的解釋、宣傳和公告以及保衛(wèi)工作，防止事態(tài)的擴大。應急計劃要充分考慮到信息系統(tǒng)可能面臨的由于系統(tǒng)設(shè)備、軟件、網(wǎng)絡(luò)通訊而造成的緊急故障，地震、火災等自然災難事故，以及由計算機病毒、惡性程序代碼和來自行內(nèi)、外部人員非法侵入產(chǎn)生的安全事件。銀行應建立對安全事件的快速反應機制，并使之成為應急計劃的一部分。根據(jù)銀行業(yè)務服務的要求以及對事故的恢復能力，銀行應確定應急措施所維持的核心業(yè)務及優(yōu)先級別。應急措施的建立將維持關(guān)鍵核心業(yè)務服務，銀行應對構(gòu)成核心業(yè)務的全部資源進行分析，明確相關(guān)的人員、設(shè)備處理能力、基礎(chǔ)服務支持、數(shù)據(jù)和應用系統(tǒng)、文檔及文件等資源。銀行應急方案的設(shè)立應充分考慮

21、可能發(fā)生的事故，同時應本著實用、靈活、低成本原則。根據(jù)各核心業(yè)務的資源，確定應急方案的人員指揮架構(gòu)及工作流程。應急計劃要明確描述緊急事故發(fā)生、核心業(yè)務的應急處理、正常業(yè)務的恢復等各環(huán)節(jié)的流程及操作步驟。為確保應急計劃的正確啟用，應確保編寫正確的應急手冊及對人員的培訓。為保證應急計劃的有效，銀行應針對不同業(yè)務系統(tǒng)要求，定期進行應急方案的測試演練，并適應當前系統(tǒng)資源的變化，及時調(diào)整、完善應急計劃。針對惡性安全事件，銀行信息系統(tǒng)應具備相應的技術(shù)措施，提供對安全事件的快速反應機制，并及時中斷安全事件對其他系統(tǒng)的危害，迅速搞清本系統(tǒng)存在的漏洞，有效防范未來事故的再次出現(xiàn)。2.10信息保密安全 信息保密安全的目標是建立信息安全保密管理制度，實施有效安全技術(shù)，保護中國銀行的各種密級信息，防止外泄和失密。銀行必須依照國家有關(guān)政策法規(guī)，不得將涉及國家秘密的信息系統(tǒng)，直接或間接地聯(lián)入國際互聯(lián)網(wǎng)或其他公共信息網(wǎng)絡(luò)，必須采取有效隔離。員工必須遵守國家有關(guān)保密規(guī)定，不得利用電子函件傳遞、轉(zhuǎn)發(fā)或抄送