信息科技风险自评估表

信息科技风险自评估表一、信息科技治理序号 风险类别 风险点 掌握目标 风险分析 参考依据1 ISO27001：2022治理层职责：建立信息安全方针，确保信息安全目标和打算的建立，进展信息安全治理体系的评审；董事会或高级治理层职责2

对信息科技战略的审查对本行信息科技风险治理现状的把握状况

批准并审查信息科技战略；保证信息科技战略与银行总体业务战略和重大策略相全都；定期评估信息科技及其风险治理工作的总体效力和效率。定期听取信息科技风险治理部门报告；组织进展独立有效的信息科技风险审计；对审计报告和监管意见的整改状况进展监视。

信息风险治理缺乏长期规划，无法指导信息安全工作开展。无法把握现有风险，对存在的信息安全风险针对性的改进无法得到有力的推动。

ISO27001：2022信息安全方针文档：信息安全方针文档应经过治理层的批准，并向全部员工和外部相关方公布和沟通；ISO27001：2022应按筹划的时间间隔或当发生重大变化时，对信息安全方针文档进展评审，以确保其持续的适宜性、充分性和有效性。CorbitIT治理层理解并使用技术根底设施打算；技术根底设施打算上的变化，以确定相关的本钱和风险，这些变化要反映在IT长短期打算的变化中；IT治理层要理解监控和评估正在消灭技术的过程，并要将适当的技术合并到当前的IT根底设施之中；IT治理层要理解系统评估技术打算意外的过程。序号 风险类别 风险点3对信息科技建设的支持4组织信息科技治理委员会的建立5首席信息官的设组织架构置6信息科技部门的职责7信息科技风险治理局部的职责

掌握目标建立合理的人才鼓励体制；确保为信息科技风险治理工作拨付所需资金；建立标准的职业道德行为和廉政标准。由来自高级治理层、信息科技局部和主要业务局部的代表组成；定期向董事会和高级治理层汇报信息科技战略规划的效力、信息科技预算和实际支出、信息科技的整体性能；对信息科技建设及治理状况进展有效的协调。直接参与本银行与信息科技运用有关的业务进展决策；建立切实有效的信息科技局部；确保信息科技风险治理的有效性。岗位设置完整合理；人员具有相应的技能和专业学问，制定有合理的培训打算；重要岗位制定具体完整的工作说明。可直接向CIO或CRO施持续的信息科技风险评估；协调有关信息科技风险治理策略的制定。

风险分析对信息安全风险的改进缺乏有效资源信息安全工作缺乏统一组织进展协调。信息安全工作缺乏统一有效的领导和责任人。缺乏具有专业学问和技能的专职人员；信息安全工作无法有效的协调。

参考依据Corbit信息技术审计指南-治理信息技术投资：高级治理层应执行预算编制过程，依据机构的长期和短期IT的长期和短期打算，保证年度IT运作预算的建立和批准。应调查资金的选择。等级保护-安全治理机构-岗位设置c)应成立指导和治理信息安全工作的委员会或领导小组。等级保护-安全治理机构-岗位设置c)信息安全工作的委员会或领导小组最高领导应由单位主管领导委任或授权。等级保护-安全治理机构-岗位设置应设立信息安全治理工作的职能部门，设立安全主管、安全治理各个方面的负责人岗位，并定义各负责人的职责；应配备专职安全治理员，不行兼任；d)应制定文件明确安全治理机构各个部门和岗位的职责、分工和技能要求。序号 风险类别 风险点 掌握目标 风险分析 参考依据8 等级保护-安全治理机构-审核和检查安全治理员应负责定期进展安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等状况；9制度建设10

信息科技内部审计岗位制度建设流程制度体系

在内审部门内部设立；配备足够的专业人员；制定完整的信息科技审计策略和流程；制定信息科技内审打算并落实。完善的规章制度和治理方法的制定、审批和修订流程。涵盖运行、安全、开发等各重要局部；对关键局部应有具体的治理规定和操作细则。

信息安全工作缺乏有效的监视和评价，信息安全风险治理无法有效的落实和改进。信息安全治理制度混乱，无法形成完整体系，缺乏可操作性且得不到有效改进。关键工作缺乏标准性，工作流程混乱，直接导致信息安全大事。

内容包括现有安全技术措施的有效性、安全配置与安全策略的全都性、安全治理制度的执行状况等；应制定安全检查表格实施安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查结果进展通报；应制定安全审核和安全检查制度标准安全审核和安全检查工作，定期依据程序进展安全审核和安全检查活动。ISO27001：2022总要求组织应依据整体业务活动和风险，建立、实施、运行、监视、评审、保持并改进文件化的信息安全治理体系。ISO27001：2022-掌握目标：1、信息安全方针；2、信息安全组织；3、资产治理；4、人力资源安全；5、物理与环境安全；6、通讯及操作治理；7、访问掌握；8、信息系统的猎取、开发和维护；9、信息安全事故治理；10、业务连续性治理；11、符合性。序号风险类别序号风险类别风险点掌握目标风险分析参考依据序号风险类别风险点 掌握目标11 策略内容应包括：1、信息分级与保护；2、应用系统开发、测试和维护；3、信息科技运行和45、物理

风险分析 参考依据等级保护-掌握项：1、物理安全；2、网络安全；3、主机安全；4、应用安全；安全策略考虑不5、数据安全；6、安全治理制度；7、安全治理机构；8、12信息科技风险治理13

信息科技风险管理策略风险识别和评估流程区域，对这些区域进展具体的独立监控，并建立适当的掌握区域，对这些区域进展具体的独立监控，并建立适当的掌握构造。14范围涵盖全部的重要局部，包风险计量和监测含工程实施、系统性能、事故机制与投诉、问题整改、外包效劳三、信息安全水平、运行操作、外包工程等。

67、业务连续性与应急处置准确定位存在隐患的区域；评价风险对其业务的潜在影响；对风险进展分类排序；确定风险防范活动及必备资源的优先级。1、明确的信息科技风险治理策略、技术标准和操作规程等，并定期公示；2、识别潜在风险

含信息安全各方ISO27001：2022-掌握目标：面，制定的安全策1、信息安全方针；2、信息安全组织；3、资产治理；4、略内容存在疏漏。人力资源安全；5、物理与环境安全；6、通讯及操作治理；7、访问掌握；8、信息系统的猎取、开发和维护；9、信息安全事故治理；10、业务连续性治理；11、符合性。计算机等级保护制度；ISO27001：2022无法了解现有系统存在的风险，无法有效的指导信息安全的改进，提高信息系统安全性。序号 风险类别 风险点 掌握目标 风险分析 参考依据15 ISO27001访问掌握-掌握策略：应建立文件化的访问掌握策略，并依据对访问的业务和安16用户认证和访问掌握

授权机制用户审查认证机制

完整的审批流程；以“必需知道”和“最小授权”为原则；权限收回流程。定期对系统全部用户进展审查；每个系统的全部用户使用唯一ID；用户变化时应准时检查和更。与信息访问级别相匹配的用户认证机制；高风险交易和活动使用增加的认证方法。

用户获得不当权限，有意或者无意的造成系统破坏或信息泄露。用户获得不当权限，有意或者无意的造成系统破坏或信息泄露。用户获得不当权限，有意或者无意的造成系统破坏或信息泄露。

全要求进展评审；ISO27001访问掌握-用户注册：应建立正式的用户注册和解除注册程序，以允许和撤销对于全部信息系统和效劳的访问；ISO27001访问掌握-特权治理：应限制和掌握特权的使用和安排。ISO27001访问掌握-用户访问权限的评审：治理者应依据筹划的时间间隔通过正式的流程对用户的访问权限进展评审。等级保护-应用安全-身份鉴别：应供给专用的登录掌握模块对登录用户进展身份标识和鉴别应对同一用户承受两种或两种以上组合的鉴别技术实现用户身份鉴别应供给用户身份标识唯一性和鉴别信息简单度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用应供给登录失败处理功能，可实行完毕会话、限制非法登录次数和自动退出等措施应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息简单度检查以及登录失败处理功能，并依据安全策略配置相关参数序号 风险类别 风险点 掌握目标 风险分析 参考依据等级保护-安全治理机构-岗位设置应设立信息安全治理工作的职能部门，设立安全主管、19信息安全治理20

信息安全治理信息安全策略安全培训

完善的信息安全治理流程、组织架构和职责安排。信息安全策略包含完整的内容：12、资34、物理和环境安全；5、通信和操作67、身份认证；8、信息系统的猎取、开发和维护；9、信息安全事故治理11、合规性。供给必要的培训，使全部员工都了解信息安全的重要性，并让员工充分了解其职责范围内的信息保护流程。

治理混乱信息安全策略无法正确准时的实施；信息安全责任无法明确。安全策略考虑不完善，没有完整包含信息安全各方面，制定的安全策略内容存在疏漏。一般员工缺乏信息安全意识，造成有意或无意的信息泄露或者破坏。

安全治理各个方面的负责人岗位，并定义各负责人的职责应设立系统治理员、网络治理员、安全治理员岗位，并定义各个工作岗位的职责应成立指导和治理信息安全工作的委员会或领导小组，其最高领导应由单位主管领导委任或授权应制定文件明确安全治理机构各个部门和岗位的职责、分工和技能要求ISO27001：2022-掌握目标：1、信息安全方针；2、信息安全组织；3、资产治理；4、人力资源安全；5、物理与环境安全；6、通讯及操作治理；7、访问掌握；8、信息系统的猎取、开发和维护；9、信息安全事故治理；10、业务连续性治理；11、符合性。等级保护-人员安全治理-安全意识教育和培训：应对各类人员进展安全意识教育、岗位技能培训和相关安全技术培训；应对安全责任和惩戒措施进展书面规定并告知相关人员，对违反违反安全策略和规定的人员进展惩戒；应对定期安全教育和培训进展书面规定，针对不同岗位制定不同的培训打算，对信息安全根底学问、岗位操作规序号 风险类别 风险点 掌握目标 风险分析 参考依据程等进展培训；应对安全教育和培训的状况和结果进展记录并归档保存。2122物理安全

数据中心的地理位置

远离自然灾难地区、危急或有害设施、或繁忙/主要大路；实行有效的物理或环境掌握措施，监控对信息处理设备运行构成威逼的环境出口数量应严格掌握；出入通

ISO27001：2022-物理与环境安全：应设计并实施针对火灾、水灾、地震、爆炸、骚乱和其他物理设施受到台形式的自然或人为灾难的物理保护措施。风、地震、火灾、等级保护-物理安全-物理位置的选择：震惊、灰尘等威a)机房和办公场地应选择在具有防震防风和防雨等力量胁。 的建筑内；b)设备的下层或隔壁。等级保护-物理安全-物理访问掌握：机房出入口应安排专人值守，掌握、鉴别和记录进入的人员；和监控其活动范围；应对机房划分区域进展治理，区域和区域之间设置物理数据中心的安全保卫

道的锁具安全牢靠；配备有录像监控和报警系统；关键位置配备警卫人员；敏感设施及场所的标识隐匿

非法访问者对物理设施进展有意或者无意的破坏。

隔离装置，在重要区域前设置交付或安装等过渡区域；重要区域应配置电子门禁系统，掌握、鉴别和记录进入的人员。等级保护-物理安全-防盗窃和防破坏：应将主要设备放置在机房内的标记应将通信线缆铺设在隐蔽处，可铺设在地下或管道中序号风险类别风险点掌握目标风险分析参考依据应对介质分类标识，存储在介质库或档案室中应利用光、电等技术设置机房防盗报警系统应对机房设置监控报警系统23等级保护-物理安全-防雷击：机房建筑应设置避雷装置应设置防雷保安器，防止感应雷机房应设置沟通电源地线数据中心的运行环境

使用全面的环境掌握措施保障系统安全运行，如：不连续电源保护、温湿度掌握、防水防火设施等。

物理设施受到潮湿、断电、火灾等威逼。

等级保护-物理安全-防火：机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；机房及相关的工作房间和关心房应承受具有耐火等级的建筑材料；隔离开。等级保护-物理安全-防水和防潮：水管安装，不得穿过屋顶和活动地板下；应实行措施防止雨水通过机房窗户、屋顶和墙壁渗透；应实行措施防止机房内水蒸气结露和地下积水的转移与渗透；测和报警；等级保护-物理安全-防静电：主要设备应承受必要的接地等防静电措施；机房应承受防静电地板；等级保护-物理安全-温湿度掌握：序号 风险类别 风险点 掌握目标 风险分析 参考依据机房应设置温、湿度自动调整设施，使机房温、湿度的变化在设备运行所允许的范围之内应在机房供电线路上配置稳压器和过电压防护设备状况下的正常运行要求应设置冗余或并行的电力电缆线路为计算机系统供电应建立备用供电系统等级保护-物理安全-电磁防护：应承受接地方式防止外界电磁干扰和设备寄生耦合干扰；电源线和通信线缆应隔离，避开相互干扰应对关键设备和磁介质实施电磁屏蔽24门禁治理制度25网络安全 规律分区

第三方人员进入安全区域应得到适当的批准，并受到亲热监控；对外聘人员和承包商有严格的审查程序，包括身份验证和背景调查，并签署安全、保密协议。依据不同的安全级别，将网络划分为不同的规律安全域。

等级保护-物理安全-物理访问掌握：机房出入口应安排专人值守，掌握、鉴别和记录进入的人员；非法访问者对物和监控其活动范围。理设施进展有意ISO27001：2022信息安全组织-外部组织：或者无意的破坏。应识别来自涉及外部组织的业务过程的信息和信息处理设施的风险，并在允许访问前实施适当的掌握；与第三方签订的协议中应掩盖全部相关的安全要求。这些协议可能涉及对组织的喜讯你或信息处理设施的访问、处理、沟通或治理，或增加信息处理设施的产品和效劳。重要系统得不到等级保护-网络安全-构造安全：应有的安全保护，e)序号风险类别风险点 掌握目标 风险分析非法用户对系统进展非法访问，造成系统破坏或数据中断。26

参考依据程度等因素，划分不同的子网或网段，并依据便利治理和掌握的原则为各子网、网段安排地址段。等级保护-网络安全-构造安全：f)应避开将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间实行牢靠的技术隔离手段。等级保护-网络安全-访问掌握：应在网络边界部署访问掌握设备，启用访问掌握功能；应能依据会话状态信息为数据流供给明确的允许/拒绝访问的力量，掌握粒度为端口级；网络边界防护

不同的网络域之间应实行有效的分隔和访问掌握措施，如部署防火墙和入侵检测设备；对网络的特别敏感域，应承受物理隔离方式。

扁平化的网络使c)应对进出网络的信息内容进展过滤，实现对应用层网络治理更加困、FTP、TELNET、SMTP、POP3等协议命令级的控难，非法访问者更制；加简洁针对重要d)应在会话处于非活泼肯定时间或会话完毕后终止网络设备并进展攻击。连接；应限制网络最大流量数及网络连接数；重要网段应实行技术手段防止地址哄骗用户对受控系统进展资源访问，掌握粒度为单个用户；应限制具有拨号访问权限的用户数量。等级保护-网络安全-边界完整性检查：应能够对非授权设备私自联到内部网络的行为进展检查，准确定出位置，并对其进展有效阻断；序号 风险类别 风险点 掌握目标 风险分析 参考依据应能够对内部网络用户私自联到外部网络的行为进展检测，准确定出位置，并对其进展有效阻断。等级保护-网络安全-入侵防范：应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝效劳攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严峻入侵大事时应供给报警27传输加密28网络监控

敏感数据在网络传输过程中应加密。依据事先定义的性能目标对网络进展持续地监测，以确认任何潜在的瓶颈制约或超负荷运行等任何特别的活动；高强度网络分析工具的使用应有适当的授权或审批流程。

数据被非法窃听，等级保护-数据安全-数据保密性导致重要数据泄a)应承受加密或其他有效措施实现系统治理数据鉴别信露。 息和重要业务数据传输保密性。等级保护-系统运维治理-监控治理：a)网络流量、用户行为等进展监测和报警，形成记录并妥当无法准时觉察网保存；络特别，导致网络b)应组织相关人员定期对监测和报警记录进展分析、评故障或系统宕机。审，觉察可疑行为，形成分析报告，并实行必要的应对措施；a)应指定专人对网络进展治理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作。29网络配置更改

定期审查网络配置；配置更改或设备调整应作为网络变更流程进展操作。

网络配置不当导致消灭安全弱点；错误的配置操作导致网络安全弱点或网络故障出

等级保护-系统运维治理-网络安全治理：应指定专人对网络进展治理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作；应建立网络安全治理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更周期等方面作序号风险类别风险点掌握目标风险分析参考依据现。出规定；c)应依据厂家供给的软件升级版本对网络设备进展更，并在更前对现有的重要文件进展备份；d)全漏洞进展准时的修补；e)应实现设备的最小效劳配置，并对配置文件进展定期离线备份；应保证全部与外部系统的连接均得到授权和批准；应依据安全策略允许或拒绝便携式和移动式设备的网络接入；h)应定期检查违反规定拨号上网或其他违反网络安全策略的行为。30等级保护-系统运维治理-系统安全治理：a)应依据业务需求和系统安全分析确定系统的访问掌握策略；操作系统安全31

安全标准访问权限

制定每种类型操作系统的根本安全要求，确保全部系统满足根本安全要求。明确定义不同用户组的访问权限，包括终端用户、系统开发人员、系统测试人员、计算机

操作系统配置不当导致消灭安全弱点。治理员获得不当权限，系统关键配置被非法修改。

修补；应安装系统的最补丁程序，在安装系统补丁前，首先在测试环境中测试通过，并对重要文件进展备份后，方可实施系统补丁程序的安装；日志治理和日常操作流程等方面作出具体规定。等级保护-系统运维治理-系统安全治理：应指定专人对系统进展治理，划分系统治理员角色，明确各个角色的权限、责任和风险，权限设定应当遵循最小序号 风险类别 风险点 掌握目标操作人员、系统治理员和用户治理员等。

风险分析

授权原则。

参考依据32最高权限账户治理33安全补丁

制定针对使用最高权限系统帐户的审批、验证和监控流程，并确保最高权限用户的操作日志被记录和监察。定期监察可用的安全补丁，经评估和测试后进展安装。

高权限帐号的错误或非法操作造成严峻的故障或损失；无法对故障或损失的缘由进展追溯。对已觉察系统漏洞无法准时修补，导致黑客入侵，木马、病毒植入；不当的安全补丁安装影响系统稳定性或者系统宕机。

等级保护-安全治理机构-授权和审批：应依据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，依据审批程序执行审批过程，对重要活动建立逐级审批制度应定期审查审批事项，准时更需授权和审批的工程、审批部门和审批人等信息应记录审批过程并保存审批文档等级保护-主机安全-安全审计：a)审计范围应掩盖到效劳器和重要客户端上的每个操作系统用户和数据库用户；应保护审计进程，避开受到未预期的中断；应保护审计记录，避开受到未预期的删除、修改或掩盖等。等级保护-系统运维治理-系统安全治理：c)应安装系统的最补丁程序，在安装系统补丁前，首先在测试环境中测试通过，并对重要文件进展备份后，方可实施系统补丁程序的安装；34 重要事项审核 操作人员应对操作系统运行的

对操作系统的非

等级保护-主机安全-安全审计：序号 风险类别 风险点 掌握目标重要事项进展检查和说明，如系统日志中记录的未成功登录，重要系统文件的访问，对用户帐号进展修改等信息，以及系统消灭的任何特别大事。35明确定义终端用户和信息科技技术人员在应用安全中的岗位岗位职责和职责；对关键或敏感职能进行双重掌握。36应用系统安全

风险分析法或错误操作无法记录，对信息安全大事或系统故障无法进展追溯和分析。学问、技能不够造成误操作；重要岗位缺乏监管造成有意的非法操作。

参考依据审计范围应掩盖到效劳器和重要客户端上的每个操作系统用户和数据库用户重要系统命令的使用等系统内重要的安全相关大事审计记录应包括大事的日期、时间、类型、主体标识、客体标识和结果等应能够依据记录数据进展分析，并生成审计报表应保护审计进程，避开受到未预期的中断应保护审计记录，避开受到未预期的删除、修改或掩盖等ISO27001：2022人力资源安全-角色和职责：应依据组织的信息安全方针，规定员工、合同方和第三方用户的安全角色和职责并形成文件。ISO27001：2022应限制和掌握特权的使用和安排等级保护-应用安全-身份鉴别：应供给专用的登录掌握模块对登录用户进展身份标识和鉴别；应对同一用户承受两种或两种以上组合的鉴别技术实身份验证

针对应用系统的重要程序和敏感程度，实行有效的身份验证方法。

非法用户获得访问权限。

现用户身份鉴别；应供给用户身份标识唯一性和鉴别信息简单度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；应供给登录失败处理功能，可实行完毕会话、限制非法登录次数和自动退出等措施；序号风险类别风险点掌握目标风险分析参考依据e)应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息简单度检查以及登录失败处理功能，并依据安全策略配置相关参数。37信息输入和输出38运行状况审核39日志安全 策略和流程

在关键的接合点进展输入验证或输出核对；实行安全的方式处理保密信息的输入和输出，防止信息被盗、篡改、有意或无意泄露。系统能以书面或电子格式保存审计痕迹；能够以预先定义的方式处理例外状况，并向用户供给有意义的信息；治理人员对系统重要事项进展治理和审核。制定了相关策略和流程，掌握全部生产系统的活动日志，以支持有效的审核、安全论证分析和预防欺诈；设置了日志监控和治理岗位；制定了日志资料的安全保护和调阅治理制

关键数据被盗、篡改、有意或无意泄露。对应用系统的非法或错误操作无法记录，对信息安全大事或系统故障无法进展追溯和分析。无法准时觉察信息安全大事，无法对信息安全大事进展分析和预防；日志被篡改或者无意丧失，无法对

ISO27001：2022电子商务效劳-电子商务：合同争议、未授权的泄漏和修改；ISO27001：2022应保护在线交易中的信息，以防止不完整的传输、路由错误、未授权的消息修改、未经授权的泄漏、未经授权的消息复制或回复。等级保护-应用安全-安全审计：全大事进展审计；应保证无法单独中断审计进程，无法删除、修改或掩盖审计记录；审计记录的内容至少应包括日期、时间、发起者信息、类型、描述和结果等；应供给对审计记录数据进展统计、查询、分析及生成审计报表的功能。等级保护-系统运维-监控治理：网络流量、用户行为等进展监测和报警，形成记录并妥当保存；应组织相关人员定期对监测和报警记录进展分析、评审，觉察可疑行为，形成分析报告，并实行必要的应对措序号风险类别风险点掌握目标风险分析参考依据度。历史大事进展追施；溯。c)应建立安全治理中心，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进展集中治理。40交易日志由应用软件和数据库对系统问题，非法等级保护-主机安全-安全审计；治理系统产生，包括身份尝试、操作无法进展记等级保护-应用安全-安全审计；交易日志数据修改、错误信息等；交易录，对消灭问题的等级保护-网络安全-安全审计；日志依据国家会计政策要求予缘由无法进展追等级保护-系统运维治理-网络安全治理；以保存。溯。a)应指定专人对网络进展治理，负责运行日志、网络监控41不完整的日志无法对现有的系统记录的日常维护和报警信息分析和处理工作b)应建立网络安全治理制度，对网络安全配置、日志保存系统日志由操作系统、数据库运行状况进展监时间、安全策略、升级与打补丁、口令更周期等方面作治理系统、防火墙、入侵检测控，无法对消灭的出规定系统和路由器等生成，包括身各类大事的缘由等级保护-系统运维治理-系统安全治理：系统日志份认证尝试、系统大事、网络进展追溯；历史记d)大事、错误信息等；系统和网录不进展合理的日志治理和日常操作流程等方面作出具体规定；络日志保存期限按事先的风险保存导致在消灭g)定级确定，但不能少。问题后对以前的特别行为。操作或者问题进行查找分析。42银行应保证在日志中包含足够不完善的日志记的工程，以便有效地完成内部录无法对审计提保存和复查

掌握、系统故障解决和审计，同时应实行适当措施保证全部日志的计时同步，并确保其完整性，有任何的例外状况发生

供足够的参考；缺乏日志审核对隐蔽的操作问题无法准时觉察。序号风险类别风险点 掌握目标都应当复查系统日志。交易日志或数据库日志的复查频率和保存周期应由信息科技部门和有关业务局部共同打算，并报信息科技治理委员会批准。43

风险分析 参考依据ISO27001：2022资产治理-分类指南：对重要信息无法44信息安全

信息分类

制定信息分类操作指南和信息供给足够有效的保护工作流程；信息依据敏感保护，造成重要信程度进展分类，并指定全部人。息被破坏、篡改、泄露。对不同类别信息承受相应的加

应依据信息的价值、法律要求及对组织的敏感程度和关键程度进展分类；ISO27001：2022资产治理-信息标识和处置：应制定一套与组织所承受的分类方案全都的信息标识和处置的程序，并实施。等级保护-数据安全-数据完整性：应能够检测到系统治理数据、鉴别信息和用户数据在传输过程中完整性受到破坏，并在检测到完整性错误时实行必要的恢复措施在存储过程中完整性受到破坏，并在监测到完整性错误时信息加密

密技术或密码设备；建立密码设备治理标准制度；治理使用密码系统设备的员工经过专业培训和严格审核。

没有加密的信息o易被泄露、破坏、篡改。

实行必要的恢复措施等级保护-数据安全-数据保密性：息和重要业务数据传输保密性息和重要业务数据存储保密性等级保护-系统运维治理-密码治理：a)序号 风险类别 风险点 掌握目标

风险分析

的密码技术和产品。

参考依据45密钥治理46机密信息安全47

实施有效的密钥治理流程，尤其是密钥生命周期治理和证书周期治理。机密信息的加密使用符合国家密码治理局要求的加密技术和加密设备，加密强度和加密效率满足信息机密性和可用性要求。制定相关策略和程序，治理客

密钥泄露，造成严峻信息安全大事。机密信息泄露，造成严峻信息安全大事。

等级保护-系统运维治理-密码治理：a)的密码技术和产品。等级保护-数据安全-数据完整性；等级保护-数据安全-数据保密性；等级保护-系统运维治理-密码治理：a)的密码技术和产品。ISO27001：2022客户敏感信息安全

户信息的采集、处理、存贮、传输、传播、备份、恢复、清理和销毁。

客户数据被泄露，合同争议、未授权的泄漏和修改；破坏和篡改，直接ISO27001：2022造成经济损失。应保护在线交易中的信息，以防止不完整的传输、路由错误、未授权的消息修改、未经授权的泄漏、未经授权的消息复制或回复。序号风险类别序号风险类别风险点掌握目标风险分析参考依据工程治理50

系统开发方法

划、关键人员或供给商的决策以及主要费用依据信息科技工程的规模、性质和简单性承受适当的系统开发方法，掌握信息系统的生命周期；典型的系统生命周期包括系统分析、设计、开发或选购、测试、试运行、部署、维护或报废。

工程缺乏统一的打算和安排序号风险类别风险点掌握目标风险分析序号风险类别风险点掌握目标风险分析参考依据48应制定策略和流程，治理信息科技工程的立项、优先排序、工程治理混乱，项等级保护-安全治理制度-治理制度：b)应对安全治理活动中的各类治理内容建立安全治理制审批和掌握；重大工程必需建目本钱无法掌握，度；制度建设立工程治理框架和工作方案，进度无法把握，项d)应形成由安全策略、治理制度、操作规程等构成的全面包括：职责的划分、时间进度、目质量无法度量，的信息安全治理制度体系。财务预算治理、质量检测、风导致工程失败。险评估等。49定期向信息科技治理委员会提等级保护-系统建设治理-工程实施：交重大信息科技工程的进度报 b)应制定具体的工程实施方案掌握实施过程并要求工程进度报告告；进度报告包括更改时间计 实施单位能正式地执行安全工程过程；

c)掌握方法和人员行为准则。等级保护-系统建设治理-自行软件开发：b)法和人员行为准则。ISO27001运营设施的分别：应分别开发、测试和运营设施，以降低未授权访问或对操作系统变更的风险；ISO27001-通讯及操作治理-系统规划与验收-系统验收：应建立的信息系统、系统升级和版本的验收准则，并在开发过程中及接收前进展适当的系统测试。序号 风险类别 风险点 掌握目标 风险分析 参考依据51 等级保护-系统建设治理-自行软件开发：测试人员分别，测试数据和测试结果受到掌握不严格的开发过法和人员行为准则程使应用系统存c)风险治理或者内部审计的参与52

商业银行在进展大规模和大范围的系统开发时，应要求内部审计部门或信息科技风险治理局部的参与，保证系统开发符合商业银行信息科技风险标准。标准并明确工程资料文档的管

在安全弱点，应用代码系统问题无法在d)工程建设过程中负责保管准时觉察，直接导e)应确保对程序资源库的修改、更、公布进展授权和批致系统运行失败、准系统中重要数据等级保护-系统建设治理-测试验收：被破坏、丧失。 b)在测试验收前依据设计方案或合同要求等制定测试验收方案，在测试验收过程中应具体记录测试验收结果，并形成测试验收报告；应对系统测试验收的掌握方法和人员行为准则进展书面规定。等级保护-系统建设治理-自行软件开发：软件质量无法保文档治理 格式标准

理职责、资料文档的起草和审批职责、资料文档格式标准化标准。

证，对软件质量的改进等无法有效实施。

法和人员行为准则d)负责保管。序号 风险类别 风险点 掌握目标 风险分析 参考依据53 等级保护-系统建设治理-自行软件开发：d)负责保管。5455系统测试

程序文档完整性工程文档完整性开发环境与测试环境的分别

程序文档内容包括：程序设计和代码标准、程序描述、程序设计资料、代码清单、源代码命名规章、系统操作指南等。工程文档内容包括：工程需求、〔启动、打算、设计、开发、测试、实施、后评价等。保证生产系统与开发系统、测试系统相分别；生产系统与开发系统、测试系统的治理职能相分别。

工程程序文档的缺失，可能会致使整个工程维护困难、升级困难等问题工程文档的不完善，增加了工程失败的可能性影响生产系统的稳定性，导致数据泄漏等安全大事的发生。

等级保护-系统建设治理-外包软件开发：应要求开发单位供给软件设计的相关文档和使用指南。等级保护-系统建设治理-系统交付：a)的设备、软件和文档等进展清点；c)应确保供给系统建设过程中的文档和指导用户进展系统运行维护的文档。等级保护-系统建设治理-工程实施：b)实施单位能正式地执行安全工程过程。等级保护-系统建设治理-外包软件开发：a)应依据开发需求检测软件质量；c)应要求开发单位供给软件设计的相关文档和使用指南。等级保护-系统建设治理-自行软件开发：测试人员分别，测试数据和测试结果受到掌握。ISO27001运营设施的分别：应分别开发、测试和运营设施，以降低未授权访问或对操作系统变更的风险。序号 风险类别 风险点 掌握目标 风险分析 参考依据56 等级保护-系统建设治理-测试验收：在测试验收前依据设计方案或合同要求等制定测试验测试数据57系统验收 独立方验收58系统维护 系统变更

敏感的生产数据应当降低或消退敏感性，在运用到测试环境前必需得到预先的批准。较大的与技术相关工程应当由独立的一方实施质量品质审查。应用程序开发和维护人员经治理层授权才能进入生产系统；全部的紧急修复活动马上进展记录和审核。

生产数据丧失或泄漏系统的质量无法得到有效的验证和度量关键操作缺乏监管和掌握，导致消灭有意或无意的非法操作。

收方案，在测试验收过程中应具体记录测试验收结果，并形成测试验收报告。ISO27001-信息系统的猎取、开发和维护-系统文档安全-系统测试数据的保护：应慎重选择测试数据，并加以保护和掌握。等级保护-系统建设治理-测试验收：应托付公正的第三方测试单位对系统进展安全性测试，并出具安全性测试报告。ISO27001-通讯及操作治理-系统规划与验收-系统验收：应建立的信息系统、系统升级和版本的验收准则，并在开发过程中及接收前进展适当的系统测试。等级保护-系统运维治理-变更治理：应建立变更治理制度，系统变更前，向主管领导申请，变更方案经过评审、审批前方可实施变更，并在实施后将变更状况向相关人员通告；析应文档化，记录变更实施过程，并妥当保存全部文档和记录。ISO27001-通讯及操作治理-操作程序及职责-变更治理：应掌握信息处理设施及系统的变更；ISO27001-信息系统的猎取、开发和维护-开发和支持过程的安全-变更掌握程序：应通过正式的变更掌握程序，掌握变更的实施。序号风险类别风险点掌握目标风险分析参考依据59等级保护-系统运维治理-网络安全治理：c)应依据厂家供给的软件升级版本对网络设备进展更，并在更前对现有的重要文件进展备份。制定相关策略和流程，掌握系等级保护-系统运维治理-系统安全治理：统升级过程；系统升级应被视升级过程中错误c)应安装系统的最补丁程序，在安装系统补丁前，首先系统升级为工程对待，承受全部相关项操作导致系统错在测试环境中测试通过，并对重要文件进展备份后，方可目治理掌握，包括用户验收测误或者崩溃。实施系统补丁程序的安装。试。ISO27001-信息系统的猎取、开发和维护-信息系统安全要求-安全要求分析和标准：的信息系统或对现有信息系统的更的业务要求声明中应规定安全掌握的要求。60等级保护-系统运维治理-安全大事处置：b)问题治理

建立并完善有效的问题治理流程；建立问题学问库，进展记录、分类和编制索引；重要责任和指令集，应进展清楚地描述说明，并通知全部相关人员。

对觉察的问题无法快速有效进展推断和处理，导致问题影响时间延长，问题范围扩大。

类型，规定安全大事的现场处理、大事报告和后期恢复的治理职责。等级保护-人员安全治理-安全意识教育和培训：b)应对安全责任和惩戒措施进展书面规定并告知相关人员，对违反违反安全策略和规定的人员进展惩戒。ISO27001-信息安全事故治理-信息安全事故的治理和改进-从信息安全事故中学习：应建立能够量化和监控信息安全事故的类型、数量、本钱的机制。序号风险类别序号风险类别风险点掌握目标风险分析参考依据序号 风险类别 风险点 掌握目标 风险分析 参考依据61 等级保护-主机安全-访问掌握：b)分别，仅授予治理用户所需的最小权限。运行体系建设62

岗位设置

合理的岗位设置；明确的岗位职责；不相容岗位的分别设置，如系统运行与系统开发维护分离；岗位职权的中止。信息系统运行体系的总体规

岗位设置不合理，等级保护-应用安全-访问掌握：权限缺乏制约，容d)应授予不同帐户为完成各自担当任务所需的最小权限，易引起越权操作。并在它们之间形成相互制约的关系。ISO27001-信息安全组织-内部组织-信息安全治理委员会：信息安全职责沟通在组织内乐观支持安全。等级保护-安全治理制度-治理制度：治理制度不完善，治理制度

划、治理方法、技术标准和信息系统运行体系各组成局部的治理细则。

操作缺乏有效的指导和约束，易导致非法操作。

a)应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等；d)应形成由安全策略、治理制度、操作规程等构成的全面的信息安全治理制度体系。序号 风险类别 风险点 掌握目标 风险分析 参考依据63 等级保护-系统运维治理-备份与恢复治理：c)据的备份策略和恢复策略，备份策略须指明备份数据的放置场所、文件命名规章、介质替换频率和将数据离站运输依据有关法律法规要求的年限重要生产数据丢的方法；保存交易记录；实行必要的程失或泄漏，破坏数d)交易记录64

序和技术确保存档数据的完整 据的完整性和可行记录，全部文件和记录应妥当保存；性，满足安全保存和恢复要求。用性。 e)应定期执行恢复程序，检查和测试备份介质的有效性，确保可以在恢复程序规定的时间内完成备份的恢复。ISO27001-通讯及操作治理-备份-信息备份：应依据既定的备份策略对信息和软件进展备份并定期测试。等级保护-系统运维治理-备份与恢复治理：操作规程

运行治理各局部制定有具体的操作规程，包括操作人员的任务、工作日程安排和执行过程；信息科技运行手册包括生产和开发环境中数据和软件的现场及非现场备份〔即备份的频率、范围和保存周期〕的程序和要求。

操作失误，维护错误，造成业务中断。

据的备份策略和恢复策略，备份策略须指明备份数据的放置场所、文件命名规章、介质替换频率和将数据离站运输的方法。ISO27001-访问掌握-访问掌握的业务要求-访问掌握策略：全要求进展评审。序号风险类别风险点序号风险类别风险点掌握目标风险分析65建立大事治理系统及处理机制，准时响应信息系统运行事故，逐级向相关的信息科技管无法准时有效解大事治理大事治理系统理人员汇报事故的发生，记录、分析和跟踪全部大事，直到对大事进展彻底的改正并完成根本缘由的分析。决安全大事；对安全隐患无法铲除。等级保护-系统运维治理-安全大事处置：类型，规定安全大事的现场处理、大事报告和后期恢复的治理职责；e)应在安全大事报告和响应处理过程中，分析和鉴定大事产生的缘由，收集证据，记录处理过程，总结阅历教训，制定防止再次发生的补救措施，过程形成的全部文件和记录均应妥当保存。ISO27001-信息安全事故治理-报告信息安全大事和弱点：报告信息安全大事，应通过适当的治理途径尽快报告信息安全大事；报告信息安全弱点，应要求全部的员工、合同方和第三方用户留意并报告系统或效劳中已觉察或疑似的安全弱点。ISO27001-信息安全事故治理-信息安全事故的治理和改进：职责和程序，应建立治理职责和程序，以快速、有效和有序的响应信息安全事故；从信息安全事故中学习，应建立能够量化和监控信息安全事故的类型、数量、本钱的机制；收集证据，事故发生后，应依据相关法律的规定〔无论是民法还是刑法〕跟踪个人或组织的行动，应收集、保存证据，并以符合法律规定的形式提交。序号 风险类别 风险点 掌握目标 风险分析 参考依据66 等级保护-系统运维治理-安全大事处置：d)流程，响应和处置的范围、程度，以及处理方法等。ISO27001-信息系统的猎取、开发和维护-开发和支持过程的安全：67系统监控

效劳支持系统核心业务系统监控

为用户供给全部技术相关大事的前线支持，并将大事提交给相关信息科技职能局部进展调查和解决。对核心业务系统的持续性或阶段性监测，包括响应时间和处理量、系统承载力量、任务处理失败的次数、比例、类型和缘由、系统使用的峰值和均值，系统使用趋向和容量等。

故障后无法准时响应各类安全大事，造成业务中断。对安全大事无法事前预防，系统可用性得不到保障。

变更掌握程序，应通过正式的变更掌握程序，掌握变更的实施；营或安全产生负面影响；改严格掌握；信息泄漏，防止信息泄漏的时机；软件委外开发，组织应对软件委外开发进展监控。等级保护-主机安全-资源掌握：CPU盘、内存、网络等资源的使用状况。ISO27001-通讯及操作治理-监视-监视系统的使用：应建立监视信息处理系统使用的程序，并定期评审监视活动的结果。序号 风险类别 风险点 掌握目标 风险分析 参考依据68 等级保护-主机安全-资源掌握：e)应能够对系统的效劳水平降低到预先规定的最小值进监控程序69容量规划 掩盖范围70

落实监控程序，确保应用系统的性能受到连续监控，准时完整地报告例外状况；性能监控程序供给预警功能，在问题对系统性能造成影响前对其进展识别和修正。建立容量规划以适应由于经济金融环境变化产生的业务进展和交易量非打算性增加；容量规划应涵盖与生产环境有关的备份系统。已制定并实施了书面的变更管

安全大事无法准时遏制，造成系统可用性下降，甚至中断。系统性能无法满足业务需求。

行检测和报警。ISO27001-通讯及操作治理-监视-监视系统的使用：应建立监视信息处理系统使用的程序，并定期评审监视活动的结果。ISO27001-通讯及操作治理-监视-审计日志：应产生记录用户活动、以外和信息安全大事的日志，并依据商定的期限进展保存，以支持将来的调查和访问掌握监视。ISO27001-通讯及操作治理-系统规划与验收-容量治理：应监视、调整资源的使用状况，并反响将来容量的要求，以确保系统的性能。等级保护-系统运维治理-变更治理：应建立变更治理制度，系统变更前，向主管领导申请，变更方案经过评审、审批前方可实施变更，并在实施后将变更治理 治理规程

理规程，包括过程记录、变更优先级确实定、程序的版本掌握和审计跟踪、打算和实施变更、在必要时变更的恢复和实施的后评价。

错误的变更直接变更状况向相关人员通告；导致业务系统中c)断，重要数据被篡析应文档化，记录变更实施过程，并妥当保存全部文档和改、泄露和破坏。记录。ISO27001-信息系统的猎取、开发和维护-开发和支持过程的安全-变更掌握程序：应通过正式的变更掌握程序，掌握变更的实施。序号 风险类别 风险点 掌握目标 风险分析 参考依据71 等级保护-系统运维治理-变更治理：授权机制72实施过程73

系统变更应建立合理的审批流程；涉及业务系统或数据的变更应由科技部门和业务部门共同签准。变更前对变更程序进展测试；变更前对系统进展备份；变更实施后进展验收测试。

未经审批的操作导致越权，直接对系统安全造成威逼。没有经过测试的变更可能导致系统中断；缺乏验证的变更无法准确的评估其有效性和安全性。

析应文档化，记录变更实施过程，并妥当保存全部文档和记录。ISO27001-信息系统的猎取、开发和维护-开发和支持过程的安全-操作系统变更后的技术评审：当操作系统变更后，应评审并测试关键的业务应用系统，以确保变更不会对组织的运营或安全产生负面影响。ISO27001-信息系统的猎取、开发和维护-开发和支持过程的安全-变更掌握程序：应通过正式的变更掌握程序，掌握变更的实施。等级保护-系统运维治理-变更治理：回滚打算

全部变更都应建立失败后的恢复打算。

变更前的系统状ISO27001-业务连续性治理-业务连续性治理的信息安全方态无法准时恢复。面-开发并实施包括信息安全的连续性打算：能够在要求的时间内和要求的等级上保持和恢复运营并确保信息的可用性。序号序号74风险类别风险点掌握目标风险分析全部的应急变更都应当记录和备份，包括变更前后的程序版本与数据。应急变更应当由独紧急变更立的人员马上审核，以确保所有的变更都是适当的。且不会对生产环境产生不良影响。参考依据等级保护-系统运维治理-变更治理：c)应建立变更掌握的申报和审批文件化程序，变更影响分应急需求得不到析应文档化，记录变更实施过程，并妥当保存全部文档和准时响应；变更造记录。成系统故障和业ISO27001-信息安全组织-内部组织-信息安全的独立评审：务中断问题，且无应按打算的时间间隔或当发生重大的信息安全变化时，对法准时恢复。组织的信息安全治理方法及其实施状况〔如，信息安全控制目标、掌握措施、策略、过程和程序〕进展独立评审。序号75序号75风险类别风险点掌握目标业务连续性策略经董事会或高管层批准的业务连续性策略、标准和流程。高管层的治理76风险分析对重大灾难缺乏足够的预备，导致业务因火灾、台风、地震等不行抗因素造成消灭性的损失，直接威逼企业的生存。缺乏有效的组织者和领导者，在业务中断后无法准时的组织业务恢复工作。参考依据ISO27001-业务连续性治理-业务连续性治理的信息安全方面-在业务连续性治理过程中包含信息安全：应在组织内开发并保持业务连续性治理过程，该过程说明了组织的业务连续性对信息安全的要求。ISO27001-信息安全组织-内部组织-信息安全职责安排：应明确规定全部的信息安全职责。治理组织明确设立部门负责业务连续性规划的整体流程治理。序号 风险类别 风险点 掌握目标77 独立部门对定期对业务连续性打算进展评估；评估内容包含

风险分析不当的业务连续性打算无法对业

参考依据ISO27001-业务连续性治理-业务连续性治理的信息安全方面-业务连续性和风险评估：7879规划分析80

独立的评估机制业务影响分析业务恢复最低要求业务恢复的优先级

业务连续性规划的有效性，以及是否与本机构的策略和标准相全都。意外大事发生的场景和几率；准确评估业务运行中断的可能性及其影响。重要的业务和后台部门已制定业务连续性规划最低要求，以保证根本的业务和技术效劳力量。启动业务连续性打算时不同业务有明确的恢复挨次。

务中断状况下的恢复进展有效指导。对风险的估量错误，导致投入与保障失衡。业务中断后，无法快速的构铸业务运行环境，无法快速恢复业务系统运行。重要业务的恢复的延迟导致更大的损失。

应识别可能导致业务过程中断的事故，以及这类中断放射并更BCP，以确保BCP的更和有效ISO27001-业务连续性治理-业务连续性治理的信息安全方面-业务连续性和风险评估：应识别可能导致业务过程中断的事故，以及这类中断放射ISO27001-业务连续性治理-业务连续性治理的信息安全方面-开发并实施包括信息安全的连续性打算：能够在要求的时间内和要求的等级上保持和恢复运营并确保信息的可用性。ISO27001-业务连续性治理-业务连续性治理的信息安全方面-业务连续性打算框架：应保持一个单一的业务连续性打算框架，以确保全部打算持的优先级。ISO27002-业务连续性治理：1〕了解机构所面临的风险、风险发生的概率及影响，包括定出哪些是重要的业务进程，并分出先后；序号 风险类别 风险点 掌握目标81针对不同类型风险以及影响的

风险分析对风险的估量错

参考依据等级保护-系统运维治理-应急预案治理a)应在统一的应急预案框架下制定不同大事的应急预案，8283内容完整性

处理措施分类资源保障联系沟通机制

期限分别制定不同的处理措施。人员、系统、财务和后勤等资源的充分保障；有明确的猎取资源的渠道和方式，并评估灾难对资源猎取环节的影响。与重要外部机构建立了正式的联络沟通机制〔如：监管部门、投资者、客户、交易对手、商业合作伙伴、效劳供给商、闻媒体和其他股东等，对内部机构的沟通联系机制〔如：内部员工、母公司、总部、分支构造等。业务连续性规划应明确指定灾难期间的对外闻发言人，重要外部机构的号码和电子邮件地址应被妥当管理。

误，导致投入与保障失衡。业务恢复打算无法实施。沟通不畅导致安全大事无法准时协调及处理，无法得到内部和外部的有效支持。

系统恢复流程和事后教育和培训等内容。GBT20988-2022数据备份系统；备用数据处理系统；备用网络系统；备用根底设施等。等级保护-安全治理机构-沟通和合作：共同帮助处理信息安全问题应加强与兄弟单位、公安机关、电信公司的合作与沟通应加强与供给商、业界专家、专业的安全公司、安全组织的合作与沟通应建立外联单位联系列表，包括外联单位名称、合作内容、联系人和联系方式