金融机构设备安保方案.docxVIP

金融机构设备安保方案

一、设备风险识别与分级

本方案针对银行、证券、第三方支付等持牌金融机构全场景在用设备，基于金融行业《商业银行信息科技风险管理指引》《金融数据安全数据安全分级指南》（JR/T0197-2020）要求，结合设备资产属性、业务影响等级完成风险识别与分级：

（一）核心风险分类

1.信息科技类设备风险：包括核心交易服务器、存储设备、网络交换设备、身份认证终端、POS机具、移动办公设备的四类风险：一是硬件故障导致业务中断，据银保监会2023年金融机构风险通报，全年因核心硬件故障引发的业务中断事件占比达21.7%，单事件平均影响客户规模超12万人次；二是硬件被篡改植入后门，2022-2023年金融行业钓鱼植入事件中，63%来源于替换办公终端、ATM核心配件的物理攻击；三是废弃设备数据残留，据第三方检测机构2023年对120台退役金融办公硬盘检测，未完成彻底消磁的设备占比达41.2%，其中37%残留客户身份、交易敏感信息；四是非授权接入，未备案的物联网设备接入内网引发的横向渗透事件占金融内网攻击事件的38.9%。

2.物理营业类设备风险：包括自助柜员机（ATM/CRS）、智慧柜员机（STM）、营业网点监控设备、金库门/保险柜、印鉴设备的风险：一是撬盗破坏，2023年全国金融网点自助设备盗抢事件共117起，其中未安装防撬报警装置的设备发案率是安装设备的3.2倍；二是读卡