银行网络系统安全管理规定.doc

银行网络
系统安全管理规定
总则
为加强银行(以下简称我行)网络系统安全工作,保障我行网络系统可靠、稳定、连续、高效运行,特制定本规定。
本规定所指的网络系统,是指由计算机(包括相关和配套设备)为终端设备,利用计算机、通信、网络等技术进行信息采集、处理、存储和传输的设备、技术、管理的组合。
本规定适用于银行。
组织和职责
成立网络安全管理员岗位,由分管领导主抓,接受我行相关领导小组的领导,在我行科技部门的具体指导和组织下工作。网络安全管理员工作职责是:
(1)与上级信息系统安全主管部门建立相关工作关系;
(2)组织制定和执行我行网络安全的规划、策略、标准、流程、应急计划、落实宣传教育与培训计划等;
(3)健全并监督执行网络安全规定,定期对所属网络进行安全检查和风险分析,提出相应的对策;
(4)实施我行网络安全系统的建设。
(5)负责网络审计系统的管理和维护,认真记录、检查和保管审计日志。
(6)定期进行总结,并向领导、主管部门汇报安全工作,提交年度报告;
(7)做好我行网络系统的安全运行、维护、管理等工作。
(8)如发生网络系统的重大安全事故、事件,及时向主管领导报告。
管理原则
综合防范原则
以预防为主、综合治理、人员防范与技术防范相结合,逐级建立安全保护体系和责任制,加强制度建设,加强安全建设,全面加强管理,逐步实现信息系统安全管理工作的科学化、规范化。
动态管理原则
网络安全工作要按照系统工程的要求,注意各方面、各层次、各时期的相互协调、匹配和衔接,根据系统环境的变化以及对系统安全认识的深化,及时复查、修改、调整安全策略。
适度投资原则
网络安全管理需要在投资与效益之间加以权衡。安全工作既要充分有效,又要适度投资,力争取得综合最佳的安全效果。
以人为本原则
加强人员的信息安全教育、培训和管理,强化安全意识和法治观念,提升职业道德,掌握安全技术,做好网络安全管理工作。
最小特权原则
为网络资源规定明确的使用权限,对系统的所有人员,按其职责划定必要的最小的授权范围,明确安全责任,通过技术和行政管理措施有效地阻止越权使用行为。
过程和方法
安全管理过程主要包括安全风险分析与评估、安全策略制定、安全需求分析、安全措施实施与监理和生命周期管理等主要环节。
风险分析与评估:网络安全管理员负责我行网络系统的风险分析与评估工作,并提交风险分析与评估报告。
安全策略制定:网络安全管理员负责制定、完善网络安全策略,提出网络安全框架、管理方法,规定各部门要遵守的规范及责任,以调动、协调和组织各方面的资源共同保障网络系统的安全。
安全需求分析:依据安全风险分析与评估报告以及安全策略,网络安全管理员进行系统的安全需求分析,保证网络安全服务和安全机制的有效性和针对性,形成安全需求分析报告。
安全措施实施与监理:依据需求分析报告制定完备的实施方案,从实施的规范、流程、资金、进度等方面进行监督与检查,对实施过程进行严格控制。
生命周期管理:在计划阶段,通过风险分析明确安全需求,确定安全目标,制定安全策略,拟定安全要求的性能指标;在实施阶段,依据安全要求选择相应的安全措施,采购或设计安全系统,根据工程要求实施和部署,并对安全措施进行验证与验收、认证与认可;在运行维护阶段,通过检查、检测、审计和对风险变更的监视和