《中国银行贵州省分行信息系统风险评估研究1》由会员分享，可在线阅读，更多相关《中国银行贵州省分行信息系统风险评估研究1（31页珍藏版）》请在金锄头文库上搜索。
1、中同银行贵州省分行信息系统风险评估研究 第3 章贵州中行信息系统风险具体评估 中国银行贵州省分行的电子化建设工作是在中国银行总行的统一领导下开展 的。中国银行总行设立了总行信息科技部，负责全辖海内外各分行的信息科技工 作的发展战略，信息科技部下设信息中心、系统测试中心、软件研发中心，其中 信息中心负责具体牵头实施全行信息科技的发展工作，并对全国五大信息中心履 行管理职能，实现全辖集中运行的系统也在其管辖范围内；软件研发中心负责组 织开发中国银行的各种应用系统，并提交给测试中心；测试中心负责对软件研发 中心提供的产品进行全面的适应性及正确性进行测试，与软件研发中心几经反复， 最后将产品提交给信息
2、中心投入实际运营。 中国银行将全国各家省级分行按照区域分别归属于五大信息中心，贵州省分 行属于西南信息中心。贵州省分行信息系统承担着上联总行、西南信息中心信息 系统的纽带作用，担负了贵州省全辖范围内各应用系统的信息安全保障职责，是 贵州省分行电子化建设工作的关键所在，也是信息系统风险防范工作的核心所在。 本文根据信息风险评估原理，按照前述风险评估实施流程对贵州省分行的信息系 统进行风险评估。 3 1 风险评估前的准备工作 3 1 1 明确风险评估范围 贵州省分行信息系统涵盖了银行内部的各种业务处理需求，考虑到中国银行 贵州省分行信息系统的复杂性，此次进行的风险评估范围只限定于直接服务于客 户的
3、综合业务前置系统、客户服务平台系统，这是中国银行贵州省分行非常重要 的两套应用系统。与此相关联的资产涉及中国银行贵州省分行的机房环境系统、 网络通讯系统、技术人员的配备等，对这两个应用系统进行全面风险评估具有很 强的代表性。 3 1 2 开展调查工作 为了确定风险评估要素的量化表达，本文针对综合业务前置系统、客户服务 平台系统及其相关资产设计了不同类型的调查表。事实上，这些调查表以及后面 将讲述的风险评估过程完全可以适用于对其它业务系统的调查工作，从而为在更 大的范围内对中国银行贵州省分行的信息系统进行风险评估提供了一个具有普遍 意义的实用评估方法。 表3 1 到表3 4 是资产识别调查表，按
4、照业务系统信息、物理资产、软件资 T 商管理硕t 学位论丈 曼曼曼曼曼曼曼皇曼! 曼曼! 曼曼曼曼曼曼曼鼍曼曼皇曼曼曼曼鼍I 一1 ；I ；I 曼曼曼曼鼍曼! 曼曼曼! 曼! 曼曼曼曼! 曼皇曼曼曼! 曼! 曼曼曼曼曼曼曼曼曼曼曼曼曼曼曼 产、数据资产分类，进行资产识别，在资产识别过程中，注重识别资产的安全属 性，明确资产的安全管理策略，重点识别出资产在遭受泄密、中断、损害等破坏 时所遭受的影响，为资产影响分析及最后的综合分析提供参考数据。 表3 1业务系统信息调查表 系统名称 部门负责人维护人员 应用功能描述 主机配置 硬件环境存储设备 基础信息 网络通讯 操作系统 数据库 软件环境 通讯协
5、议 中间件应用 人员其它 服务能力丧失经济损失法律纠纷信任丧失 伤害 不良影响 系统处理的信 是否是否是否是否是否是否 息泄漏 系统的完整性 是否是否是否是否是否是否 受损坏 系统丧失可用 性 是否是否是否 是否是否 是否 公众：低( )中( ) 高( ) 极高( ) 系统的重要性 部门：低( )中( ) 高( ) 极高( ) 业务连续性要 求 7 * 2 4 小时( ) 5 * 8 小时( )无要求( ) 允许系统中断 服务时限 l h ( ) 2 h O 4 h O 不间断电源是否实现双机热备是( )否( ) 不间断电源功率是否满足设备需要是( )否( ) 资料来源同上表 表3 7 机房安
6、全保障情况调查表 机房是否配备门禁系统 是( )否( ) 机房是否配备监控系统 是( )否( ) 机房是否配备消防系统 是( )否( ) 机房是否配备报警系统 是( )否( ) 机房温度是否得到有效控制 是( )否( ) 机房湿度是否得剑有效控制 是( )否( ) 机房防雷措施是否有效是( )否( ) 资料来源同上表 T 商管理硕l j 学何论文 为了解中国银行贵州省分行在控制措施的建立、执行、控制效果等方面的情 况，编制了表3 8 ，通过对此表调查结果的分析，可以对现有安全控制措施的有 效性进行评估。 表3 8 控制措施实施情况调查表 是否规定了职责并有效实施是( )否( ) 是否对员J =
7、 进行了有效的培训是( )否( ) 是否规定了明确的过程并有效实施是( )否( ) 现有的技术或控制是否有效地减少了威胁 是( )否( ) 在用的审核措施是否可以有效地检测到控制缺陷是( )否( ) 资料来源同上表 任何控制过程都离不开人员这个关键性的因素，科技人员对安全管理方面知 识的掌握及相关安全管理规定的执行程度，决定了安全控制措施能否得到有效的 执行，表3 9 主要用于分析这方面的信息。 表3 9I T 部门员工调查表 员工是否了解其安全角色与责任是( )否( )不知道( ) 安全 是否对员工进行了安全教育与培训，并定期检 是( )否( )不知道( ) 查其遵守情况 教育 是否有内部专
8、家提供切实有效的安全策略供 与培 是( )否( )不知道( ) 员工执行 训 是否记录了安全策略与目标，并定期对其进行 是( )否( )不知道( ) 评审、更新以及在员工内部交流 管理部门是否为安全工作提供足够的资金与 是( )否( )不知道( ) 资产 是否进行了风险评估，并采取相应措施降低安 安全 是( )否( )不知道( ) 全风险 管理 在员工的上岗与离岗时是否考虑了安全问题是( )否( )不知道( ) 是否搜集了相关的安全信息加以分析，并提出 是( )否( )不知道( ) 预警报告，采取相应措施 资料来源同上表 风险管理是一个动态的过程，风险评估也必须根据银行内部资产情况的变化 或风
9、险防范措施的落实情况进行相应的调整，表3 1 到表3 9 的调查结果能够及 中同银行贵州省分行信息系统风险评估研究 时地反映出资产变化、措施落实所带来对银行信息系统安全运行的影响。 3 1 3 各业务系统功能分析 中国银行的综合业务前置系统是中国银行会计、零售、信用卡、管理等各种 应用系统的柜台发起平台，这个系统吸收了大量海外银行的应用经验及思想，充 分利用前端平台的处理机制，使用了大量柜员业务控制及辅助功能，如复合交易、 嵌套联动、本地复核、本异地授权等，实现了前端柜员通过柜台终端就可办理中 国银行的各种业务。 客户服务平台系统整合了中国银行原有的信用卡、会计、储蓄等各种应用的 前端服务功能
10、，客户通过客户服务平台支持的多种前端服务系统，如声讯平台、 短信息平台、W E BS E R V E R 、无人自助系统和柜台前置服务器，可以为客户提供 电话、手机、I N T E R N E T 、自助终端和柜台等多种服务手段，达到任何一个服务 平台均能处理银行各种业务的功能，为企业和个人理财带来极大的方便。客户服 务平台还提供了联接银行外应用系统的接口，可以同证券系统、代收费系统如移 动通信、电力系统的系统实时连接，一方面为拓展银行业务提供了技术上强有力 的支持；另一方面作为银行后台应用系统的前置机，起到了同银行外系统进行隔 离和屏障的作用，有着很高的安全性和可靠性。 表3 1 0 业务系
11、统功能表 资料米源：根据中国银行应州系统功能说明- 1 5 整理 2 4 T 商管珲硕f j 学位论文 曼曼曼! 曼! 曼曼曼曼! ! 曼曼曼! 曼曼! 曼曼笪曼皇曼! ! ! 皇曼曼曼曼! ! 曼! 曼曼曼曼曼曼曼曼I 曼曼曼曼! ! ! 曼曼曼曼曼曼曼! 曼曼曼曼曼曼! 曼! 曼曼曼曼曼曼曼! ! 曼 3 1 4 业务系统结构框图 西南信息中心 总行信息中心 柜台终端柜台终端柜台终端柜台终端 图3 1综合业务前置系统结构框图 资料来源：根据中国银行综合业务前置系统资料整理 综合业务前置系统通过网络与银行各网点中的柜台终端相联接，银行通过综 合业务前置系统从银行柜台处获取银行交易所需要的各种
12、交易信息，然后由综合 业务前置系统根据业务实现目标自动向后台银行系统分发，直至交易全部完成， 成功信息返回到综合业务前置系统后，自动打印出交易凭证，完成银行客户的业 务需求。 耋垦篓堡茎些至兰至呈呈垂錾墨氅錾錾竺至 巴 。“。Y 墓 。，蒜 I 7 固L 哟 惯“ “ 圈3 2 客户服务平台系统结构框图 资料来潭：根据中国银行客户服务平台系统资料整理 客户服务平台是银行系统同客户服务之间的中间处理平台。用户的服务请求 通过前端的服务器如声讯平台由网络送到客户服务平台进行处理，客户服务平台 根据交易的种类，将请求转发到上级的应用系统如银行的储蓄系统，信用卡系 统进行处理，从上一级应用系统处理得到
13、结果，同样由客户服务平台转发到发起 请求的前端服务器。 如果用户的交易请求涉及到银行以外的系统如证券公司或移动公司的相关 系统，这样的请求同样必须通过客户服务平台进行转发处理。客户服务平台同相 关系统之问的通讯目前主要是通过S O C K E T 方式进行，也支持主流的通讯中间产 警舞 羔肾 黔 飚 111一冀 T 商管理硕f 学位论文 品如M QS E R I E S 等。 3 2 风险评估要素的确定 3 2 1 资产识别 信息资产的机密性、完整性和可用性是公认的能够反映资产安全特性的三个 要素。在一般的评估体中，资产大多属于不同的信息系统，如O A 系统、网管系 统、业务生产系统等，而且对
14、于提供多种业务的机构，业务生产系统的数量还可 能会很多。这时首先需要将信息系统及其中的信息资产进行恰当的分类，才能在 此基础上进行下一步的风险评估工作。在本项目中，按照表3 1 l 对两个业务生产 系统的具体资产进行分类，按照物理资产、软件资产、数据与文档、人员资产进 行详细分类，有利于分析资产所面临的威胁与资产的脆弱性。 表3 1 1 资产结构 资料来源：根据银行内部资料研究整理产生 资产赋值是对资产安全价值的估价，不是以资产的账面价格来衡量的。在对 资产进行估价时，不仅要考虑资产的成本价格，更重要的是要考虑资产对于银行 业务的安全重要性，即由资产损失所引发的潜在的影响来决定。 中国银行贵州
15、省分行信息系统风险评什研究 资产估价的过程也就是对资产机密性、完整性和可用性影响分析的过程。影 响就是由人为或突发性引起的安全事件对资产破坏的后果。这一后果可能毁灭某 些资产，危及信息系统并使其丧失机密性、完整性和可用性，最终还会导致财务 损失、市场份额或银行形象的损失。特别重要的是，即使每一次影响引起的损失 并不大，但长期积累的众多意外事件的影响总和则可造成严重损失【2 1 1 。一般情况 下，主要从以下几方面来考虑影响所带来的后果： 违反了有关法律或规章制度；影响了业务执行；造成了信誉、声誉损失；侵 犯了个人隐私；造成了人身伤害；对法律实施造成了负面影响；侵犯了商业机密； 违反了社会公共准
16、则；造成了经济损失；破坏了业务活动；危害了公共安全【3 引。 通过考查三种不同安全属性，可以基本反映资产的价值。因此，资产赋值是 在三性赋值基础上的一个综合考虑。 1 机密性赋值 根据资产机密性属性的不同，将它分为5 个不同的等级，分别对应资产在机 密性方面的价值或者在机密性方面受到损失时对整个机构的影响，等级划分标准 详见表3 1 2 。 表3 1 2 资产机密性赋值 资料来源：G B T2 0 9 8 4 2 0 0 7 t 1 6 1 标准中的资产保密性赋值表 2 完整性赋值 根据资产完整性属性的不同，将它分为5 个不同的等级，分别对应资产在完 整性方面的价值或者在完整性方面受到损失时对整个评估的影响。表3 1 3 可做参 考。 T 商管理硕l 学位论文 表3 1 3 资产完整性赋值 资料米源：G B 厂r2 0 9 8 4 2 0 0 7 1 6 】标准中的资产完整性赋值表 3 可用性赋值 根据资产可用性属性的不同，将它分为5 个
