证券期货业信息安全度量指标.pdfVIP

JR/T XXXXX—XXXX 附 录 A （资料性） 信息安全度量指标 A.1 安全管理度量指标 安全管理相关度量指标可参考以下： a) 安全运营总体目标完成情况，如考核期内重大安全事件数量、安全事件带来的经济损失等; b) 年度内审及外审符合情况，如高风险不符合项的数量、上期审计问题的关闭率; c) 员工安全教育的效果，如钓鱼邮件测试的中招人数比例、安全培训考试通过率、安全培训 参与率等。 A.2 基础安全管理度量指标 基础安全管理相关度量指标可参考以下： d) 安全软件客户端相关，如防病毒客户端安装覆盖率及客户端离线率、病毒感染和处置数量; e) 准入产品的有效性，如准入产品造成的可用性事件，同一台机器上多个账号的准入，同一 个账号在多台机器上准入等重点关注异常事件数量和处置情况等; f) 补丁管理及处置相关，如补丁的更新率、及时率; g) 安全基线管理有效性，如安全基线符合率。 A.3 资产管理度量指标 资产管理相关度量指标，如资产纳管率、准确性，资产总量、资产分类数量、无主资产数量、新增 资产数量、下线回收资产数量。 A.4 漏洞管理度量指标 漏洞管理相关度量指标，如扫描发现的高危漏洞数量、漏洞平均修复时长、漏洞修复率等。 A.5 开发安全管理度量指标 开发安全管理相关度量指标可参考以下： a) 安全测试能力，如全量测试应用数量/应用总数，上线前安全测试发现的漏洞数量，上线后 安全测试发现的漏洞数量，监管部门发现的安全漏洞数量，自动化检测平台发现的漏洞总 量、每应用的测试时间等; b) 开发人员安全能力，如高危漏洞数量最多的应用，发现最多的漏洞类型，开发安全培训通 过率，漏洞修复最长时间，漏洞修复时间最长的应用，超时未修复应用总量等; 26 JT/T XXXXX—XXXX c) 安全模块化程度，如安全团队提供的安全组件数量，安全组件被调用数量等。 A.6 数据安全管理度量指标 数据安全管理度量指标，如敏感信息监测的覆盖率、敏感信息被非法篡改的次数、年度外部单位通 报的数据安全事件、年度内部发现的数据安全事件等。 A.7 集中监控与响应度量指标 集中监控与响应相关度量指标可参考以下： a) 预警及处置能力，如安全事件发现数量、安全事件平均发现时间、安全事件平均响应时间、 安全事件平均处置时间、紧急安全事件数量 （监管通报等）、 红蓝对抗中未发现的安全事 件数量、安全事件处置率等; b) 风险暴露面，如问题最多的安全风险、问题最多的主机和应用、监控发现问题与渗透测试 发现问题重合数量等; c) 人员绩效情况，如一线跟进安全告警、事件处理平均时间，二线分析安全事件平均时间、 升级到二线/三线的安全事件数量占比、二线人员有效分析/分析总量等; d) 平台及规则的有效性，如规则误报率、一个月内未触发告警规则总数/规则总数、新增内部 威胁情报数量等。 27