銀行信息安全技術(shù)與管理體系

總序
序
前言
第一篇現(xiàn)狀篇
第1章概述
1.1我國銀行業(yè)取得的豐碩成果
1.1.1資產(chǎn)增長速度迅猛
1.1.2國際化步伐加快
1.1.3銀行業(yè)體制機制改革實現(xiàn)歷史性突破
1.1.4銀行業(yè)風險管控和抵御能力大幅提升
1.1.5銀行業(yè)發(fā)展模式發(fā)生深刻變化
1.2信息技術(shù)在我國銀行業(yè)的發(fā)展
1.2.1商業(yè)銀行信息科技發(fā)展階段
1.2.2信息技術(shù)對銀行發(fā)展的重要意義
1.2.3信息技術(shù)在銀行業(yè)中的應(yīng)用前景
1.2.4信息技術(shù)在銀行業(yè)中的主要作用
1.2.5我國銀行業(yè)信息化建設(shè)發(fā)展進入快車道
1.2.6未來幾年我國銀行業(yè)信息技術(shù)發(fā)展的趨勢
1.3銀行業(yè)信息安全概述
1.3.1信息安全重要性日益凸顯
1.3.2信息安全在銀行業(yè)中的發(fā)展階段
1.3.3信息安全是銀行業(yè)永久性的話題
第2章銀行業(yè)信息安全發(fā)展現(xiàn)狀
2.1信息安全含義及范圍
2.2銀行業(yè)面臨的威脅分析
2.2.1銀行業(yè)面臨的攻擊威脅
2.2.2銀行信息安全風險成因
2.3銀行業(yè)信息安全政策的制定與監(jiān)管趨于完善
2.4銀行業(yè)在信息安全建設(shè)方面取得的卓越成效
2.4.1明確信息安全管理目標和策略，完善信息安全制度體系
2.4.2以國家等級保護要求為指導，構(gòu)建信息安全技術(shù)保障體系
2.4.3借鑒國際標準，完善信息安全開發(fā)和運維
2.4.4持續(xù)開展信息安全管理文化建設(shè)，提高全員安全意識和安全技能
2.4.5全面提升信息科技內(nèi)控水平
2.4.6針對新形勢積極探索信息安全應(yīng)對策略
第二篇管理篇
第3章銀行信息安全管理體系參考框架
3.1信息安全管理體系參考標準和規(guī)范
3.1.1銀行業(yè)信息科技風險管理指引
3.1.2等級保護
3.1.3ISO/IEC 2700
3.1.4COSO
3.1.5COBIT
3.1.6ITIL
3.1.7ISO 3100
3.1.8《巴塞爾協(xié)議》及其操作風險
3.2銀行實際信息安全管理體系參考框架介紹
3.2.1銀行信息安全管理體系參考框架設(shè)計意義
3.2.2銀行信息安全管理體系參考框架設(shè)計方法論
3.2.3銀行信息安全管理體系參考框架
第4章信息安全方針
4.1信息安全方針概述
4.2信息安全方針的原則
4.3信息安全方針的主要內(nèi)容
第5章信息安全組織及人員安全管理
5.1銀行信息安全組織的構(gòu)建原則
5.2銀行信息安全組織的架構(gòu)
5.3信息安全組織相關(guān)崗位及職責設(shè)計
5.3.1信息安全管理類相關(guān)崗位
5.3.2信息安全執(zhí)行類相關(guān)崗位
5.3.3信息安全監(jiān)督類相關(guān)崗位
5.3.4其他信息安全類崗位
5.4安全部門與行內(nèi)其他部門的關(guān)系定位
5.5人員安全管理
第6章信息安全管理制度
6.1文件化的信息安全管理
6.2信息安全管理制度的編寫
6.3體系化的信息安全制度及其框架模型
6.4信息安全制度文件的控制
6.5信息安全制度的貫徹實施
6.6信息安全管理制度集合的組成
6.6.1體系化的信息安全管理制度集合
6.6.2對監(jiān)管要求的整合落實
6.6.3某商業(yè)銀行信息安全制度文件目錄示例
第7章信息安全風險管理
7.1信息安全風險管理的不同含義
7.1.1國際通用標準對風險的定義
7.1.2《巴塞爾協(xié)議》對風險的劃分
7.1.3國際標準ISO/IEC 27005對信息安全風險的描述
7.1.4國家標準GB/Z 24364及GB/T 20984對信息安全風險的定義和說明
7.2銀行信息安全風險管理過程
7.2.1基于ISO/IEC 31000的風險管理過程
7.2.2基于操作風險的風險管理過程
7.2.3基于ISO/IEC 27005的風險管理過程
7.2.4銀行信息安全風險管理的關(guān)注重點
7.3銀行信息安全風險評估
7.3.1風險評估基本概念
7.3.2風險評估過程
7.3.3風險評估結(jié)果報告
7.3.4管理風險評估中引入的新風險
7.4風險評估的關(guān)鍵內(nèi)容說明
7.4.1定量與定性的評估方法
7.4.2信息資產(chǎn)的分類和分級
7.4.3威脅的分類和分級
7.4.4資產(chǎn)弱點的嚴重性
7.4.5風險的計算
7.5銀行信息安全風險處置
7.5.1風險處置方式
7.5.2風險處置的針對性
7.5.3風險處置的過程
7.5.4風險處置的成本分析
7.5.5殘余風險管理
第8章信息安全規(guī)劃與建設(shè)
8.1信息安全規(guī)劃
8.1.1信息安全規(guī)劃的意義
8.1.2信息安全規(guī)劃的定位
8.1.3信息安全規(guī)劃的要求
8.1.4信息安全規(guī)劃的主要任務(wù)
8.1.5信息安全規(guī)劃的內(nèi)容、主體與時間
8.1.6信息安全規(guī)劃的形式
8.2信息安全建設(shè)
8.2.1信息安全建設(shè)原則
8.2.2信息安全建設(shè)依據(jù)
8.2.3信息安全建設(shè)包含的內(nèi)容
8.2.4信息安全管理體系建設(shè)
8.2.5信息安全項目建設(shè)
8.3案例介紹：某股份制商業(yè)銀行信息安全規(guī)劃實例
8.3.1概述
8.3.2A行信息安全現(xiàn)狀
8.3.3A行當前面臨的主要風險
8.3.4A行信息安全規(guī)劃內(nèi)容
第9章信息安全監(jiān)控與檢查
9.1信息安全監(jiān)控與檢查概述
9.2信息安全監(jiān)控的開展
9.3信息安全檢查的開展
9.3.1信息安全檢查的組織
9.3.2典型信息安全檢查的開展方式
9.3.3信息安全檢查方式
9.3.4信息安全檢查內(nèi)容
第10章信息安全事件管理
10.1信息安全事件管理概述
10.2信息安全事件分類
10.2.1有害程序事件
10.2.2網(wǎng)絡(luò)攻擊事件
10.2.3信息破壞事件
10.2.4信息內(nèi)容安全事件
10.2.5設(shè)備設(shè)施故障
10.2.6災(zāi)害性事件
10.2.7其他信息安全事件
10.3信息安全事件的分級
10.3.1特別重大事件（Ⅰ級）
10.3.2重大事件（Ⅱ級）
10.3.3較大事件（Ⅲ級）
10.3.4一般事件（Ⅳ級）
10.4銀行業(yè)突發(fā)事件分級管理
10.4.1特別重大突發(fā)事件（Ⅰ級）
10.4.2重大突發(fā)事件（Ⅱ級）
10.4.3較大突發(fā)事件（Ⅲ級）
10.5信息安全事件管理的過程
10.6信息安全事件應(yīng)急處理
10.7案例介紹：某商業(yè)銀行信息安全事件管理辦法
第11章業(yè)務(wù)連續(xù)性與災(zāi)難恢復管理
11.1業(yè)務(wù)連續(xù)性與災(zāi)難恢復概述
11.2我國銀行業(yè)務(wù)連續(xù)性/災(zāi)難恢復管理的現(xiàn)狀與思考
11.2.1我國銀行業(yè)務(wù)連續(xù)性管理的現(xiàn)狀
11.2.2加強銀行業(yè)務(wù)連續(xù)性管理的意義
11.2.3《商業(yè)銀行業(yè)務(wù)連續(xù)性監(jiān)管指引》解讀
11.3災(zāi)難恢復管理的組織結(jié)構(gòu)
11.4災(zāi)難恢復管理流程
11.4.1災(zāi)難恢復需求分析
11.4.2災(zāi)難恢復能力等級及策略的制定
11.4.3災(zāi)難恢復策略的實現(xiàn)
11.4.4災(zāi)難恢復預案的制定和管理
11.5案例介紹：業(yè)務(wù)連續(xù)性與災(zāi)難恢復管理實踐
第12章信息安全審計
12.1.1信息安全審計簡介
12.1.2信息安全審計組織
12.1.3信息安全審計內(nèi)容
12.1.4信息安全審計流程
第三篇技術(shù)篇
第13章信息安全技術(shù)模型
13.1WPDRRC介紹
13.2安全技術(shù)的層次結(jié)構(gòu)模型
13.3基于WPDRRC的層次技術(shù)模型
第14章物理安全
14.1物理安全概述
14.2物理安全要素
14.2.1物理資產(chǎn)分類
14.2.2物理安全威脅
14.2.3物理安全脆弱性
14.3物理安全的要求及內(nèi)容
14.3.1物理位置的選擇
14.3.2物理訪問的控制
14.3.3防盜竊和防破壞
14.3.4防雷擊
14.3.5防火
14.3.6防水和防潮
14.3.7電力供應(yīng)
14.3.8電磁防護
14.4案例介紹：物理安全建設(shè)實例
第15章網(wǎng)絡(luò)安全
15.1典型的銀行網(wǎng)絡(luò)安全設(shè)計實例
15.2防火墻技術(shù)
15.2.1防火墻概述
15.2.2防火墻的作用
15.2.3防火墻的功能
15.2.4防火墻的分類
15.2.5防火墻應(yīng)用場景分析
15.3網(wǎng)絡(luò)威脅檢測與防護技術(shù)
15.3.1IDS概念
15.3.2入侵檢測系統(tǒng)的功能和作用
15.3.3入侵檢測系統(tǒng)的分類
15.3.4入侵檢測的過程
15.3.5入侵檢測系統(tǒng)的部署與應(yīng)用
15.3.6入侵防御系統(tǒng)與WEB應(yīng)用防火墻
15.3.7入侵防御系統(tǒng)與WEB應(yīng)用防火墻的部署與應(yīng)用
15.4虛擬專用網(wǎng)絡(luò)（VPN）技術(shù)
15.4.1VPN基本概念
15.4.2VPN應(yīng)用場景
15.5無線局域網(wǎng)安全技術(shù)
15.5.1無線局域網(wǎng)簡介
15.5.2無線局域網(wǎng)面臨的威脅
15.5.3無線局域網(wǎng)的應(yīng)用
15.6網(wǎng)絡(luò)設(shè)備安全防護
15.6.1VLAN劃分
15.6.2網(wǎng)絡(luò)設(shè)備的訪問控制
15.6.3網(wǎng)絡(luò)設(shè)備安全配置
15.7案例介紹：某股份制商業(yè)銀行網(wǎng)上銀行系統(tǒng)網(wǎng)絡(luò)安全建設(shè)實例
第16章主機安全
16.1主機安全概述
16.2主機安全保護要求
16.3操作系統(tǒng)安全機制
16.3.1標識與鑒別
16.3.2訪問控制
16.3.3最小特權(quán)原則
16.4操作系統(tǒng)安全加固
16.5數(shù)據(jù)庫安全配置
16.6PC終端安全
16.6.1內(nèi)部PC終端安全
16.6.2客戶PC終端安全
16.7智能終端安全
16.8案例介紹：銀行移動智能終端安全
第17章應(yīng)用安全
17.1應(yīng)用安全概述
17.2應(yīng)用安全通用要求
17.3WEB應(yīng)用安全面臨的主要威脅
17.4WEB安全加固
17.5應(yīng)用架構(gòu)安全
17.5.1WEB應(yīng)用安全的現(xiàn)狀及重要性
17.5.2常見的WEB應(yīng)用漏洞及解決方案
17.5.3應(yīng)用安全開發(fā)
17.6案例分析：應(yīng)用安全防護案例
第18章密碼和身份鑒別技術(shù)
18.1密碼技術(shù)概述
18.2國產(chǎn)密碼算法的介紹
18.2.1SM2非對稱算法
18.2.2SM3雜湊算法
18.2.3SM4對稱算法
18.3身份鑒別技術(shù)
18.3.1業(yè)務(wù)交易中的身份認證
18.3.2身份鑒別中常用的安全工具
18.3.3身份鑒別中的生物識別技術(shù)
18.3.4應(yīng)用范圍
18.4案例介紹：密碼技術(shù)在銀行系統(tǒng)的應(yīng)用實踐
18.4.1密碼技術(shù)中的身份鑒別
18.4.2密碼通信數(shù)據(jù)完整性保護的應(yīng)用
18.4.3銀行國密算法改造實例
18.4.4加密機在銀行中的應(yīng)用
18.4.5密鑰管理平臺
18.5案例介紹：身份鑒別技術(shù)在銀行系統(tǒng)中的應(yīng)用實踐
18.5.1身份鑒別技術(shù)在網(wǎng)銀中的應(yīng)用
18.5.2身份鑒別技術(shù)在手機銀行系統(tǒng)中的使用
第19章數(shù)據(jù)安全
19.1數(shù)據(jù)安全概述
19.2數(shù)據(jù)生命周期
19.3數(shù)據(jù)安全技術(shù)
19.3.1數(shù)據(jù)加密技術(shù)
19.3.2數(shù)據(jù)存儲安全技術(shù)
19.4數(shù)據(jù)防泄密技術(shù)（DLP）
19.5案例介紹：數(shù)據(jù)防泄密技術(shù)在銀行的實踐
ⅩⅦⅩⅧ19.5.1數(shù)據(jù)安全分析
19.5.2安全桌面功能框架
19.5.3安全桌面技術(shù)說明
19.5.4防數(shù)據(jù)泄漏平臺介紹
第20章安全檢測與滲透測試技術(shù)
20.1系統(tǒng)安全檢測及滲透技術(shù)
20.1.1系統(tǒng)安全檢測方法概述
20.1.2主流檢測技術(shù)介紹
20.2案例分析：銀行滲透測試方案
20.2.1滲透目標和范圍
20.2.2測試內(nèi)容
20.2.3測試流程
20.2.4測試工具
20.2.5測試的風險規(guī)避
第21章安全運營技術(shù)
21.1系統(tǒng)安全運營技術(shù)
21.1.1深度包檢測技術(shù)（DPI）
21.1.2大數(shù)據(jù)技術(shù)
21.1.3數(shù)據(jù)融合技術(shù)
21.1.4數(shù)據(jù)挖掘技術(shù)
21.1.5可視化技術(shù)
21.2系統(tǒng)安全態(tài)勢感知技術(shù)
21.3系統(tǒng)安全運營的內(nèi)容與流程
21.3.1安全運營的內(nèi)容
21.3.2安全運營流程
第22章災(zāi)難備份與恢復技術(shù)
22.1技術(shù)與發(fā)展趨勢
22.1.1數(shù)據(jù)存儲技術(shù)
22.1.2數(shù)據(jù)復制技術(shù)
22.1.3技術(shù)發(fā)展趨勢
22.2災(zāi)難備份系統(tǒng)技術(shù)方案的實現(xiàn)
22.2.1技術(shù)方案的設(shè)計
22.2.2技術(shù)方案的驗證、確認和系統(tǒng)開發(fā)
22.2.3系統(tǒng)安裝和測試
22.3災(zāi)難恢復策略的制定
22.3.1災(zāi)難恢復資源的獲取方式
22.3.2災(zāi)難恢復資源的要求
第四篇實踐篇
第23章銀行信息安全風險管理實踐與案例
23.1某股份制商業(yè)銀行安保平臺建設(shè)實例
23.1.1安保平臺建設(shè)背景
23.1.2安保平臺建設(shè)基本思路
23.1.3安保平臺建設(shè)過程
23.2基于大數(shù)據(jù)的網(wǎng)絡(luò)安全態(tài)勢實踐
23.2.1當時的狀況和問題
23.2.2解決問題的思路
23.2.3具體方案
23.2.4實際達到的效果
23.3同城雙中心災(zāi)備建設(shè)實例
23.3.1生產(chǎn)中心信息技術(shù)架構(gòu)整合實踐
23.3.2同城一體化數(shù)據(jù)中心實踐
23.3.3同城雙中心一體化網(wǎng)絡(luò)實踐
23.3.4應(yīng)用系統(tǒng)雙活實踐
23.3.5數(shù)據(jù)庫容災(zāi)技術(shù)實踐
23.3.6災(zāi)備指揮與自動化切換平臺實踐
23.3.7同城雙中心一體化運維管理體系實踐
23.3.8信息技術(shù)服務(wù)連續(xù)性管理體系建設(shè)實踐
參考文獻