金融业数据中心信息安全管理体系建设实例.pdfVIP

摘要 银行业信息化的飞速发展，已经成为推动金融业务创新、体制创新乃至企 业再造的重要推动力。而随着银行业对信息技术的依赖度越来越高，由此而导 致的金融信息风险也变得越来越突出。如何加强银行信息安全管理，真正形成 一个科学有效的信息安全管理体系来防范金融信息风险，已成为金融业当前面 临的重大课题。 作者对BS7799理论、风险管理理论做了大量的研究，研究分析了数据中心 的现状和安全需求，提出了可行的风险评估方法，设计了风险评估的流程，并 参与了IS027001认证项目的全过程。 在大量研究BS7799、信息安全管理体系及风险管理等理论的基础上，结合 数据中心信息资产特点以及信息安全需求，设计了定性与定量相结合的风险分 析方法，将风险量化。采用了以威胁为主线、基于资产的威胁薄弱点识别的方 式，以获得丰富的风险信息。制定了详细的威胁分类表、脆弱性列表、威胁风 险系数矩阵以及资产分类参考表，使得对威胁和脆弱性的分析具有普遍性，保 证各填写人员尺度和理解的一致性，提高了项目实施的效率。在数据中心成功 搭建了信息安全管理体系。 该信息安全管理系统在运行中收到良好的效果，首次在数据中心成功实施 了风险管理，提高了风险控制水平，降低了面临的风险，提高了中心信息安全 的保密性、完整性和可用性，形成了一套可持续改进的信息安全管理环境，提 升信息系统安全等级。同时，全体员工信息安全意识得以不断提高。 关键词信息安全、金融信息系统、信息安全管理体系、BS7799、风险分析 中图分类号 TP309 Therapiddevelopmentofbankinginformationhasbecomethefinancial andbusinessinnovationinstitutionalinnovationsaswellasamajor forceintherecyclingbusiness.Andwiththebankingindustrys dependenceoninformationtechnologyisgrowing,theresultingriskof financialinformationarebecoming increasinglyprominent.How to strengthenthemanagementofinformationsecurity,andreallybuilda scientificandeffectiveinformationsecuritymanagementsystemtoguard againstfinancialrisks,hasbecomeamajorissuecurrentlyfacingthe financialservicesindustry. TheauthorhasdonealotofresearchabouttheBS7799theory,and thetheoryofriskmanagement. Analysisofthestatusandsecurityneeds ofthedatacenter.Theauthorhasputforwardingafeasiblemethodof riskassessment,designedariskassessmentprocessandinputandoutput files,andparticipatedintheIS027001certificationprogramsinthe entireprocess. DoneagreatdealofresearchabouttheBS7799theory,information securitymanagementsystemandthetheoryofriskmanagement.Taking intoconsiderationthe characteristicsofdatacenters、 information securityneeds,andthepracticalfeasibility,designedofasetof qualitativeandquantitativeriskanalysisandcalculationmethodsto quantifytherisk,andtoensurethegranularityandaccuracy ofrisk control.Designedthemet