金融行业科技部安全工程师安全演练脚本手册.docxVIP

金融行业科技部安全工程师安全演练脚本手册.docx

金融行业科技部安全工程师安全演练脚本手册

第1章安全意识培训

1.1培训目标

-使从业人员掌握金融行业特有的网络安全风险特征，理解数据分类分级标准（如《金融数据安全管理办法》中规定的核心数据、重要数据、一般数据等级划分）；

-提升对APT攻击、勒索软件变种（如KillNet、Locky2.0）等新型威胁的识别能力，要求员工在模拟攻击场景中准确识别恶意邮件附件或钓鱼的准确率不低于90%；

-建立符合ISO27001标准的操作习惯，例如在处理客户交易数据时自动触发多因素认证（MFA）的使用率提升至100%；

-培养应急响应意识，确保在遭遇可疑登录行为时能在5分钟内完成安全上报流程。

1.2培训内容

培训内容围绕金融科技部的业务场景展开，采用风险场景化教学。核心模块包括：

1.2.1行业安全合规要求

-解读《网络安全法》《数据安全法》与《个人信息保护法》对金融机构的强制性条款，重点讲解《中国人民银行金融科技（FinTech）发展规划》中关于系统安全的12项关键指标；

-案例分析：某证券公司因员工未按规定脱敏测试API接口，导致客户持仓数据泄露的处罚案例（罚款300万元）；

1.2.2常见攻击手法解析

-演示MITREATTCK框架中适用于金融行业的8类典型攻击路径（如“初始访问-发现-执行”链）；