银行IT风险管理的体系.ppt

年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * GB 信息系统安全等级保护基本要求 * * 37 ，212 * PAFIRC银行IT风险管理体系 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * 银行IT风险管理体系 2007-04-11 北京大学ACOM金融信息化研究中心 报告主题 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * PAFIRC 报告提纲 银行IT风险管理实际应用 风险管理框架 银行IT 风险管理背景 Q A 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * 911事件后 摩根银行 在几小时内 迅速恢复营业 注重 IT风险管理 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * PAFIRC 银行风险框架 市场风险 银行 风险 操作风险 信用风险 IT 风险 银行IT风险 的类型 IT风险管理的必要性 IT风险管理与IT治理 银行监管 的要求 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * PAFIRC 银行IT风险的类型 IT运行风险 IT资产脆弱性风险 误操作风险 计算机欺诈风险 信息披露风险 系统中断风险 银行IT风险 基于IT的金融产品或服务风险 IT环境风险 法律遵循性风险 战略风险 组织风险 物理环境风险 外包风险 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * 银行监管的要求 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * IT风险管理 IT风险管理的动机 信息技术的双刃性 新巴塞尔协议、 萨班斯法案以及银监会的要求 银行内控的要求 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * IT风险管理的三维模型 在银行信息系统生命周期各阶段，依照IT风险管理流程，以风险控制目标为驱动，实施IT风险管理，抵减银行IT风险。 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * 银行IT风险管理流程 IT风险 管理流程 国际知名金融机构IT风险管理案例 国际标准 AS-NZS 4360 NIST SP800-60 国内标准 GB 信息安全 风险评估规范 GB 信息安全等级保护系列标准 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * 资产登记表 检查表 风险值=R（A，T，V，M）= R(C(A，T，V，M)，L(T，V，M )) 风险权重 确定信息系统安全保护等级 GB信息 安全等级保护 Basel II和萨班斯法案的要求 Basel II的要求 萨班斯法案的要求 制定详细的风险处理计划 输出表格 Basel II的要求 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * 信息系统安全等级保护调查表 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * 信息系统对象确立报告 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * 资产登记表 安全-责任矩阵 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * 安全-责任矩阵 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * PAFIRC checklist 由风险控制目标导出 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * 计算各风险的权重:应用AHP、群决策及聚类分析法 应用AHP理论，建立银行IT风险层次结构模型 应用群决策思想和AHP理论，多个专家决策群体给出各自的风险判断矩阵 应用群决策思想、AHP理论和最短距离聚类分析法，计算专家的权值 计算判断矩阵可信度权值 计算各风险的权重 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * PAFIRC 国际知名金融机构IT风险管理案例 年度报告 投资策略 行业分析 ●▂●不做研究就投资，和玩扑克牌不看牌面一样盲目 * * PAFIRC 信息系统生命周期 计划与组织 设计与获取 交付与实施 运行与维护 废弃与终止 系统生命周期 年度报告 投资策略 行业分析 ●▂●