金融行業安全服務解決方案(編輯修改稿)

　

【文章內容簡介】 ；國家標準包括 GB17859， GB18336 等。同時我們將參考 COSO/ERM《企業風險管理一整體框架》、 Cobit 、 ITIL 、Prince2 等 IT 治理模型；這些標準和操作指南目前已經被金融行業風險評估項目和 IT 治理項目中進行了實踐，并得到了用戶的認可和 好評。 除對標準的遵循外，啟明星辰的風險評估過程還緊密結合金融行業的各種業務特征，依據 XXXXX 的業務特點，系統地制定了 XXXXX信息安全風險評估方案。 方案中標準的體現對照 評估過程 參照標準 調查表和問題的設計 《 2021 年度銀行業金融機構信息科技風險評價審計要點》 《 銀行業金融機構信息系統風險管理指引 》 安全源自未雨綢繆，誠信貴在風雨同舟 北京啟明星辰信息技術 股份 有限公司 8 評估過程 參照標準 《電子銀行安全評估指引（征求意見稿）》 《 商業銀行內部控制評價試行辦法 》 ISO ISO/TR 13569《銀行和相關金融服務 信息安全指南》 Cobit 加拿大《威脅和風險評估工作指南》 美國國防部彩虹系列 NCSCTG019 ISO17799/BS7799 資產評估 ISO17799/BS7799 加拿大《威脅和風險評估工作指南》 風險分析方法 ISO13335 風險分析模型 《 AS/NZS 4360: 1999 風險管理標準》 風險計算模型 《 AS/NZS 4360: 1999 風險管理標準》 GAO/AIMD0033《信息安全風險評估》 安全管理評估 《 2021 年度銀行業金融機構信息科技風險評價審計要點》 《 銀行業金融機構信息系統風險管理指引 》 《電子銀行安全評估指引 （征求意見稿）》 《 商業銀行內部控制評價試行辦法 》 ISO ISO/TR 13569《銀行和相關金融服務 信息安全指南》 Cobit ISO17799/BS7799 ISO13335 物理安全評估 《 銀行業金融機構信息系統風險管理指引 》 ISO17799/BS7799 ISO ISO/TR 13569《銀行和相關金融服務 信息安全指南》 網絡設備安全性 ISO15408（ CC） GB17859 解決方案咨詢 《 2021 年度銀行業金融機構信息科技風險評價審計要點》 《 銀行業金融機構信息系統風險管 理指引 》 安全源自未雨綢繆，誠信貴在風雨同舟 北京啟明星辰信息技術 股份 有限公司 9 評估過程 參照標準 《電子銀行安全評估指引（征求意見稿）》 《 商業銀行內部控制評價試行辦法 》 ISO ISO/TR 13569《銀行和相關金融服務 信息安全指南》 Cobit ISO17799/BS7799 相關標準規范介紹 COSO報告《內部控制整體框架》與 ERM《企業風險管理一整體框架》 美國全美反舞弊性財務報告委員會（又稱 COSO 委員會）于 1992 年發布了《內部控制 —— 整體框架》（以下稱 COSO 報告）。 COSO 報告為企事業單位構建起一個三維立體的全面風險防范體系。 安全源自未雨綢繆，誠信貴在風雨同舟 北京啟明星辰信息技術 股份 有限公司 10 COSO 報告提出， COSO 整 體框架包括 3 大運營目標和 5大控制要素。 內部控制 3大運營目標： 運營的效果和效率； 財務報告的可靠性； 遵守適用的法律和法規（合規性） 內部控制由 5個要素：即控制環境、風險評估、控制活動、信息與溝通和監控。五要素中，各個要素有其不同的功能，內部控制并非五個要素的簡單相加，而是由這些相互聯系、相互制約、相輔相成的要素，按照一定的結構組成的完整的、能對變化的環境做出反應的系統。控制環境是整個內控系統的基石，支撐和決定著風險評估、控制活動、信息傳遞和監督，是建立所有事項的基礎；實施風險評估進而管理風險 是建立控制活動的重點；控制活動是內部控制的主要組成部分；信息傳遞貫穿上下，將整個內控結構凝聚在一起，是內部控制的實質；監督位于頂端的重要位置，是內控系統的特殊構成要素，它獨立于各項生產經營活動之外，是對其他內部控制的一種再控制。 2021 年 COSO 又發布了 ERM《企業風險管理一整體框架》，如下圖所示： 說明： COSO 通用內控框架與 ERM 雖是同一個機構所發布，但是 ERM 不是 COSO 總體內控框架的替代品。 安全源自未雨綢繆，誠信貴在風雨同舟 北京啟明星辰信息技術 股份 有限公司 11 COBIT《信息及相關技術的控制目標》 1996 年，作為一項 IT 安全與控制的實踐標準， COBIT 由信 息系統審計與控制組織和 IT管理協會共同開發。它為 IT、安全、審計經理和用戶提供了一套完整的參考框架。目前， COBIT 已經發布了第四版，它正在成為控制數據、系統和相關風險的優秀實踐法則，并逐漸被越來越多的用戶所接受。它將幫助企業部署對系統和網絡的有效管理。 COBIT 框架具有以業務為關注焦點、以過程為導向、基于控制和測量驅動的特點。為實現業務目標， COBIT 定義了七個獨立但又有所重疊的信息準則 : ? 有效性：應以及時、正確、一致和可用的方式來交付與業務過程有關的信息； ? 效率 2：通過優化（生產率最高且經濟合理）資 源使用來交付信息； ? 保密性：保護敏感信息免受未授權泄漏； ? 完整性：信息的正確和完整，并根據業務價值和期望進行驗證； ? 可用性：若業務過程現在或將來需要時，信息是可用的。可關注于保護所需的資源及相關的能力； ? 符合性：符合業務過程必須遵循的法律法規要求和合同約定，即外部的強制性要求和內部策略； ? 可靠性：為管理者提供適當的信息，以管理組織并檢驗其可信和治理職責。 COBIT 將 IT 資源定義為： ? 應用系統：用戶處理信息的自動化用戶系統及手冊程序； ? 信息：信息系統輸入、處理和輸出的所有形式的數據，可以被業務以任何形式所使 用； ? 基礎設施：保障應用系統處理信息所需的技術和設施（硬件、操作系統、數據庫管理系統、網絡、多媒體等，以及放置、支持上述技術和設施的環境）； ? 人員：策劃、組織、采購、實施、交付、支持、監視和評價信息系統和服務所需的人員。 COBIT 在四個域內采用過程模型的方式定義 IT活動，四個域分別是：策劃與組織、獲取與實施、交付與支持、監視與評價。這些域映射到傳統的 IT 職責域：計劃、建設、運營和監視。即 PDCA 管理模型。管理指導方針的部件由衡量企業在 34 種 IT 流程中能力的工具所組成。這些工具包括了性能測量組件、為每種 安全源自未雨綢繆，誠信貴在風雨同舟 北京啟明星辰信息技術 股份 有限公司 12 IT 流程提供最佳實踐的關鍵成功因素清單，以及幫助進行基準測試的成熟度模型。 Cobit 的三維模型如下圖所示： Cobit 整體架構如下圖所示： 安全源自未雨綢繆，誠信貴在風雨同舟 北京啟明星辰信息技術 股份 有限公司 13 ITIL《 IT 基礎架構庫》 80 年代中期，英國政府部門發現提供給其的 IT 服務質量不佳，于是要求當時的政府計算機和電信局（ CCTA）（后來并入英國政府商務部（ OGC）），啟動一個 安全源自未雨綢繆，誠信貴在風雨同舟 北京啟明星辰信息技術 股份 有限公司 14 項目對此進行調查，并開發一套有效的和可進行財務計量的 IT 資源使用方法以供本國的政府部門和私有部門使用。同時，這種方法還應該是獨立于廠商的并且可適用于不同規模、不同技術和業務需求的組織。這個項 目的最終成果是一套公開出版的 IT管理指南，這就是 ITIL（ Information Technology Infrastructure Library）。 到 90 年代中期， ITIL 成為了事實上的歐洲 IT服務管理標準。 90年代后期，ITIL 又被引入到美國、南非和澳大利亞等國家和地區。 2021 年英國標準協會（ BSI）在國際 IT 服務管理論壇（ itSMF）年會上正式發布了以 ITIL 為基礎的IT 服務管理英國國家標準 BS15000。 2021 年 BS15000 被提交給國際標準化組織（ ISO），申請成為了 IT 服務管理國際標準 ISO 20210。 ITIL 是有關 IT 服務管理流程的最佳實踐，事實上，經過近 20 多年的發展，以流程為主線，進行了全面的擴充，最終形成了如圖 1所示的框架。這個框架現在成為了事實上的 IT服務管理知識框架體系。 上圖顯示了引入模塊所處的整體環境和結構。它顯示了每個模塊同業務和技 術的關系。從圖中可見，業務視野模塊是如何更緊密地同業務相聯系而信息和通 信技術（ ICT）基礎設施管理模塊是如何更緊密地同技術本身相聯系。服務提供 和服務支持模塊提供了過程框架和核心。 這七個模塊組成了 ITIL 的核心。下面將對其中各 個模塊的新的范圍、內容及其關系進行介紹。 安全源自未雨綢繆，誠信貴在風雨同舟 北京啟明星辰信息技術 股份 有限公司 15 ? 服務提供： 覆蓋了規劃和提供高質量 IT 服務所需的過程，并且著眼于改進所提供的 IT 服務的質量相關的長期過程。 ? 服務支持： 服務支持描述了同所提供的 IT 服務日常支持和維護活動相關的過程。 ? 信息和通信技術基礎設施管理（ ICT IM)： 信息和通信技術基礎設施管理覆蓋了從標識業務需求到招投標過程、到信息和通信技術組件和 IT 服務的測試、安裝、部署以及后續運行和優化的信息和通信技術基礎設施管理的所有方面。 ? 規劃實施服務管理： 檢查組織機構內規劃、實施和改進服務管理過程中所涉及的 問題和任務。它也考慮同解決文化和組織機構變更、開發遠景和戰略以及方案的最合適方法等相關的問題。 ? 應用管理： 描述了如何管理應用從最初的業務需求直至和包括應用廢棄的應用生命周期的所有階段。它將重點放在在應用的整個生命周期內確保 IT 項目和戰略同業務建立緊密的聯系，以確保業務從其投資中獲得最佳價值。 ? 業務視野： 提供了建議和指南，以幫助 IT 人員理解他們如何才能為業務目標作出貢獻以及如何更好地聯系和挖掘其角色和服務以最大化其貢獻。 ? 安全管理： 詳細描述了規劃和管理用于信息和 IT 服務的給定級別安全的過程，包括同響應安 全事故相關的所有方面。它也包括了風險和脆弱性的評估和管理，以及成本有效的對策的實施 ITIL 的 IT 服務流程可供我們在做安全咨詢及安全解決方案設計時作參考。 ISO27001《信息安全管理規范》 ISO 27001:2021 由 11 個大的控制方面、 39 個控制目標、 133 個控制措施構成。 ISO/IEC 27001:2021 要求組織應根據整體業務活動及其面臨的風險通過制定信息安全方針、制定體系范圍、明確管理職責，通過風險評估確定控制目標與控制措施等活動建立信息安全管理體系（ ISMS）；體系一旦建立組織應按體 系規定的要求進行運作，保持體系運作的有效性；信息安全管理體系應形成一定的文件，如方針、適用性聲明文件和實施安全控制所必須的程序文件。 通過建立、實施、運作、監視、評審、保持并改進文件化的信息安全管理體 安全源自未雨綢繆，誠信貴在風雨同舟 北京啟明星辰信息技術 股份 有限公司 16 系，使組織擁有持續改進的信息安全保障能力，為實現業務目標提供支撐。 ISO/IEC 27001:2021 規定了建立、實施和文件化信息安全管理體系得要求。它規定了組織根據其需求實施安全控制的要求。體系規范的結構如下圖所示： 圖 . ISO/IEC 27001:2021 結構 信息安全管理體系作為一個管理標準，也遵 循了 PDCA（ PlanDoCheckAction，策劃 實施 檢查 行動）的持續改進的管理模式，這也反映在整個標準的架構上，整個標準的重心在建立 ISMS 系統，如下圖所示： 圖 . ISMS 框架 規劃（建立 ISMS） 根據組織的整體策略和目標，建立安全策略、目標以及與管理風險和改進信息安全相關的過程和程序，以獲得結果。 執行（實施和運作 實施和運作安全策略、控制、過程和程序。 安全源自未雨綢繆，誠信貴在風雨同舟 北京啟明星辰信息技術 股份 有限公司 17 ISMS） 控制（監視和評審ISMS） 適用時，根據 ISMS 策略、目標和慣有經驗評估行，并向管理層報告結果，進行評審。 改進（保持和改進 ISMS） 根據內部 ISMS 審計和管理評審或其他信息施，以實現ISMS 的持續改進。 ISO/IEC 27001:2021 采用 PDCA“規劃 執行 控制 改進”（ PDCA）過程模式。該模型適用于建立 ISMS 的所有過程。 ISMS 框架圖描述了 ISMS 如何輸入相關方的信息安全要求和期望，經過必需的活動和過程，產生滿足這些需求和期望的信息安全輸出。 采用 PDCA 模型也反應了 OECD 指南（ 2021）《信息系統和網絡的安全治理》中所陳述的準則。 ISO/IEC 27001:2021 為在風險評估、安 全