银行信息资产管理办法模版.docx

银行信息资产管理办法第一章总则第一条为了加强对cc银行（以下简称我行）内部重要的信息资产进行分类分级，以便对信息的分发和流转进行恰当的控制，确保信息资产的保密性、完整性和可用性，特制订本管理办法。第二条本管理办法适用于我行总部及所辖支行。第三条基本定义：本管理办法所称信息资产是指任何对我行具有价值的信息的存在形式或者载体，包括计算机硬件、通信设施、IT环境、数据库、软件、文档资料、信息服务和人员等，所有这些资产都需要妥善保护。第二章组织与管理第四条科技发展部总经理是本部门信息资产管理的第一责任人，负责组织本管理办法的贯彻落实。第五条全体员工理解并遵守本管理办法定义的内容。第三章资产管理要求第六条信息资产分类信息资产依其性质不同，分为5类：人员、硬件、软件、电子数据、书面文件，依序如下：人员：系指科技人员、外包服务人员、契约人员等。硬件：系指网络设备、主机设备、通讯设备、环境设备等相关硬件设施，例如：服务器主机、个人计算机、不断电设备等。软件：系指自行开发或委托外部单位开发的应用系统程序、外购的软件包等，例如：应用系统、操作系统、软件包、工具程序等。电子数据：系指以电子形式存在的信息数据，例如：网络设定数据、备份文件等。书面文件：系指以纸本形式存在的文书数据、报表等相关信息，例如：规范、系统文件、用户手册、训练教材等。第七条信息资产登记根据业务流程列出信息资产清单并将每项资产的名称，资产编号，所处位置，资产价值，资产负责人等相关信息记录在《信息资产登记表》。第八条信息资产分级保密性、完整性和可用性是评价资产的三个安全属性。风险评估中资产的价值不是以资产的经济价值来衡量，而是由资产在这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。第四章信息资产安全管理第九条安全属性达成程度的不同将使资产具有不同的价值，而资产面临的威胁、存在的脆弱性以及已采用的安全措施都将对资产安全属性的达成程度产生影响。第十条威胁是指对组织意图造成伤害或损失，不论是意外或是蓄意，人为或是天灾。资产容易受到许多威胁，这些威胁来自利于脆弱性。威胁可区分为天然灾害、人为的威胁、非人为的威胁；针对要鉴别的每项资产分类，依序相对应的威胁如下：人员：无知、贪念、胁迫、惰性、人力不足、恶意、疏失、传染病。硬件：毁损、窃取、灾害、故障、破坏。软件：不法使用、错误、窜改、延迟、失效、损毁、伪造。电子数据：盗卖、泄漏、错误、窜改、损毁、伪造。书面文件：泄漏、窃取、窜改、伪造、遗失、损毁。第十一条脆弱性亦称弱点，是组织信息安全的弱点或漏洞。基本上脆弱性本身不会造成伤害，而是威胁利用这些脆弱性对系统进行伤害。针对要鉴别的每项资产分类，依序相对应的弱点如下：人员：包括缺乏对外部团体与信息安全相关的规范、缺乏一般办公环境的安全控管、缺乏对人员的安全管理、缺乏对人员认知的倡导及教育训练、缺乏工作权责划分与人员代理机制、缺乏信息安全事件通报及处理程序。硬件：缺乏对外部团体与信息安全相关的规范、缺乏一般办公环境的安全控管、缺乏书面化操作程序的控管、缺乏网络安全管理、缺乏数据交换的安全管理、缺乏对储存媒体的安全控管、缺乏系统监视、记录与相关的系统稽核轨迹、缺乏对实体资产的保护与管理、缺乏取得信息系统规划及验收程序、缺乏对取得服务的安全控管、缺乏对管制区域的安全管理、缺乏信息安全事件通报及处理程序、缺乏对场外工作的安全控管。软件：缺乏对外部团体与信息安全相关的规范、缺乏一般办公环境的安全控管、缺乏书面化操作程序的控管、缺乏网络的安全管理、缺乏数据交换的安全管理、缺乏系统监视、记录与相关的系统稽核轨迹、缺乏数据的安全管理、缺乏取得资讯系统规划及验收程序、缺乏对信息系统存取的安全管理、缺乏系统联机的安全管理、缺乏信息系统开发的安全管理、缺乏对取得服务的安全控管、缺乏信息系统安全防护机制、缺乏信息安全事件通报及处理程序、缺乏对电子商务的安全控管、缺乏对场外工作的安全控管。电子数据：缺乏对外部团体与信息安全相关的规范、缺乏一般办公环境的安全控管、缺乏书面化操作程序的控管、缺乏网络的安全管理、缺乏数据交换的安全管理、缺乏系统监视、记录与相关的系统稽核轨迹、缺乏数据的安全管理、缺乏对实体资产的保护与管理、缺乏取得信息系统规划及验收程序、缺乏对信息系统存取的安全管理、缺乏信息系统开发的安全管理、缺乏对取得服务的安全控管、缺乏信息安全事件通报及处理程序、缺乏对电子商务的安全控管。书面文件：缺乏对外部团体与信息安全相关的规范、缺乏一般办公环境的安全控管、缺乏书面化操作程序的控管、缺乏数据交换的安全管理、缺乏系统监视、记录与相关的系统稽核轨迹、缺乏数据的安全管理、缺乏对实体资产的保护与管理、缺乏对取得服务的安全控管、缺乏对管制区域之安全管理、缺乏信息安全事件通报及处理程序。第十二条针对可能存在