金融行业信息安全等级保护建设研究.doc

金融行业信息安全等级保护建设研究
摘要
信息安全等级保护制度是我国信息安全保障工作的基本制度。本文从信息安全等级保护的概念入手,结合金融行业的实际情况阐述了信息安全等级保护实施的必要性。
【关键词】信息安全等级保护建设
随着全球信息化程度的不断提高,人类生活对信息网络的依赖程度不断提高,信息网络科技已经逐步渗透到人们生活的方方面面,对国家安全、社会秩序和公众权益的影响日益突出,各国在信息安全方面的重视程度也日趋提高。我国为了保障国家安全,维护社会秩序和公众利益不受侵害,在2007年制定了信息安全等级保护制度。实施信息安全等级保护工作不仅是提升信息化安全防护水平的重要手段,更是落实国家信息安全保障要求的重要内容。
1 信息安全等级保护综述
“信息安全等级保护”是国家制定的信息安全管理规范和技术标准,是保障和促进信息化建设健康发展的一项基本制度。具体地说,就是对基础信息网络和重要信息系统按其重要程度及实际安全需求,分等级进行保护,按标准进行建设,按要求进行管理和监督,确保信息系统安全正常运行,提高信息系统安全综合防护能力,维护国家安全、社会稳定和公共利益。
2 信息安全等级保护的现状
各主要行业信息安全等级保护工作开展程度不一
电力、电信、铁路、税务等一些重要行业等级保护工作进展较快,在进行信息安全等级保护工作中结合各行业特点和行业的特殊安全需求制定了行业的等级保护规范或细则。相对而言,银行、交通、文化等行业目前等级保护工作进展缓慢。中国电力财务有限公司(以下简称“公司”)作为电力行业直属的非银行金融机构,按照国家电网公司要求很早已经开展相关工作,但由于公司业务与机构设置对于电力行业主业有很大区别,在信息安全等级保护的建设上只涉及公司总部,对于各分支机构的相关工作并未开展。直到2012年7月中国人民银行正式发布了《金融行业信息系统信息安全等级保护实施指引》、《金融行业信息系统信息安全等级保护测评指南》、《金融行业信息安全等级保护测评服务安全指引》三个文件,对金融行业信息系统信息安全等级保护建设提出了具体要求,为等级保护实施、测评、整改工作提供了强大的政策支持,并明确了区域性金融机构信息系统安全等级保护工作的具体要求。金融行业等级保护标准依据国家要求和行业特点,细化、补充了大量内容,保留国家等级保护基本要求二级要求、三级要求、四级要求项590项,补充细化要求项193项,新增金融行业特色要求项269项。
金融机构对信息安全等级保护的认识不足
由于对信息安全的理解不够,在对于信息安全的资金投入,往往用于购买硬件安全设备,认为有了这些看得见摸得着的安全产品就可以确保安全了。但是根据人民银行颁布的《金融行业信息系统信息安全等级保护实施指引》中以国家等级保护要求为原则,以金融行业特点为基础,提出了构建
“两项要求”和“两个体系”的金融行业信息安全保障总体框架。
该框架通过技术要求与管理要求的交融以及技术体系与管理体系的互补,从安全保障要求和安全保障方法两方面体现技术与管理并重的基本思想。也就是说必须是管理制度体系和技术防护体系互相融合,仅仅靠技术防护体系是无法构建完善的安全保障体系。同时,管理体系是遵照“建立、实施、执行、监控、审计、保持、改进”的过程进行类似生命周期的思路形成生命环的管理方法,而公司