銀行信息安全技術與管理體系

總序
序
前言
第一篇現狀篇
第1章概述
1.1我國銀行業(yè)取得的豐碩成果
1.1.1資產增長速度迅猛
1.1.2國際化步伐加快
1.1.3銀行業(yè)體制機制改革實現歷史性突破
1.1.4銀行業(yè)風險管控和抵御能力大幅提升
1.1.5銀行業(yè)發(fā)展模式發(fā)生深刻變化
1.2信息技術在我國銀行業(yè)的發(fā)展
1.2.1商業(yè)銀行信息科技發(fā)展階段
1.2.2信息技術對銀行發(fā)展的重要意義
1.2.3信息技術在銀行業(yè)中的應用前景
1.2.4信息技術在銀行業(yè)中的主要作用
1.2.5我國銀行業(yè)信息化建設發(fā)展進入快車道
1.2.6未來幾年我國銀行業(yè)信息技術發(fā)展的趨勢
1.3銀行業(yè)信息安全概述
1.3.1信息安全重要性日益凸顯
1.3.2信息安全在銀行業(yè)中的發(fā)展階段
1.3.3信息安全是銀行業(yè)永久性的話題
第2章銀行業(yè)信息安全發(fā)展現狀
2.1信息安全含義及范圍
2.2銀行業(yè)面臨的威脅分析
2.2.1銀行業(yè)面臨的攻擊威脅
2.2.2銀行信息安全風險成因
2.3銀行業(yè)信息安全政策的制定與監(jiān)管趨于完善
2.4銀行業(yè)在信息安全建設方面取得的卓越成效
2.4.1明確信息安全管理目標和策略，完善信息安全制度體系
2.4.2以國家等級保護要求為指導，構建信息安全技術保障體系
2.4.3借鑒國際標準，完善信息安全開發(fā)和運維
2.4.4持續(xù)開展信息安全管理文化建設，提高全員安全意識和安全技能
2.4.5全面提升信息科技內控水平
2.4.6針對新形勢積極探索信息安全應對策略
第二篇管理篇
第3章銀行信息安全管理體系參考框架
3.1信息安全管理體系參考標準和規(guī)范
3.1.1銀行業(yè)信息科技風險管理指引
3.1.2等級保護
3.1.3ISO/IEC 2700
3.1.4COSO
3.1.5COBIT
3.1.6ITIL
3.1.7ISO 3100
3.1.8《巴塞爾協議》及其操作風險
3.2銀行實際信息安全管理體系參考框架介紹
3.2.1銀行信息安全管理體系參考框架設計意義
3.2.2銀行信息安全管理體系參考框架設計方法論
3.2.3銀行信息安全管理體系參考框架
第4章信息安全方針
4.1信息安全方針概述
4.2信息安全方針的原則
4.3信息安全方針的主要內容
第5章信息安全組織及人員安全管理
5.1銀行信息安全組織的構建原則
5.2銀行信息安全組織的架構
5.3信息安全組織相關崗位及職責設計
5.3.1信息安全管理類相關崗位
5.3.2信息安全執(zhí)行類相關崗位
5.3.3信息安全監(jiān)督類相關崗位
5.3.4其他信息安全類崗位
5.4安全部門與行內其他部門的關系定位
5.5人員安全管理
第6章信息安全管理制度
6.1文件化的信息安全管理
6.2信息安全管理制度的編寫
6.3體系化的信息安全制度及其框架模型
6.4信息安全制度文件的控制
6.5信息安全制度的貫徹實施
6.6信息安全管理制度集合的組成
6.6.1體系化的信息安全管理制度集合
6.6.2對監(jiān)管要求的整合落實
6.6.3某商業(yè)銀行信息安全制度文件目錄示例
第7章信息安全風險管理
7.1信息安全風險管理的不同含義
7.1.1國際通用標準對風險的定義
7.1.2《巴塞爾協議》對風險的劃分
7.1.3國際標準ISO/IEC 27005對信息安全風險的描述
7.1.4國家標準GB/Z 24364及GB/T 20984對信息安全風險的定義和說明
7.2銀行信息安全風險管理過程
7.2.1基于ISO/IEC 31000的風險管理過程
7.2.2基于操作風險的風險管理過程
7.2.3基于ISO/IEC 27005的風險管理過程
7.2.4銀行信息安全風險管理的關注重點
7.3銀行信息安全風險評估
7.3.1風險評估基本概念
7.3.2風險評估過程
7.3.3風險評估結果報告
7.3.4管理風險評估中引入的新風險
7.4風險評估的關鍵內容說明
7.4.1定量與定性的評估方法
7.4.2信息資產的分類和分級
7.4.3威脅的分類和分級
7.4.4資產弱點的嚴重性
7.4.5風險的計算
7.5銀行信息安全風險處置
7.5.1風險處置方式
7.5.2風險處置的針對性
7.5.3風險處置的過程
7.5.4風險處置的成本分析
7.5.5殘余風險管理
第8章信息安全規(guī)劃與建設
8.1信息安全規(guī)劃
8.1.1信息安全規(guī)劃的意義
8.1.2信息安全規(guī)劃的定位
8.1.3信息安全規(guī)劃的要求
8.1.4信息安全規(guī)劃的主要任務
8.1.5信息安全規(guī)劃的內容、主體與時間
8.1.6信息安全規(guī)劃的形式
8.2信息安全建設
8.2.1信息安全建設原則
8.2.2信息安全建設依據
8.2.3信息安全建設包含的內容
8.2.4信息安全管理體系建設
8.2.5信息安全項目建設
8.3案例介紹：某股份制商業(yè)銀行信息安全規(guī)劃實例
8.3.1概述
8.3.2A行信息安全現狀
8.3.3A行當前面臨的主要風險
8.3.4A行信息安全規(guī)劃內容
第9章信息安全監(jiān)控與檢查
9.1信息安全監(jiān)控與檢查概述
9.2信息安全監(jiān)控的開展
9.3信息安全檢查的開展
9.3.1信息安全檢查的組織
9.3.2典型信息安全檢查的開展方式
9.3.3信息安全檢查方式
9.3.4信息安全檢查內容
第10章信息安全事件管理
10.1信息安全事件管理概述
10.2信息安全事件分類
10.2.1有害程序事件
10.2.2網絡攻擊事件
10.2.3信息破壞事件
10.2.4信息內容安全事件
10.2.5設備設施故障
10.2.6災害性事件
10.2.7其他信息安全事件
10.3信息安全事件的分級
10.3.1特別重大事件（Ⅰ級）
10.3.2重大事件（Ⅱ級）
10.3.3較大事件（Ⅲ級）
10.3.4一般事件（Ⅳ級）
10.4銀行業(yè)突發(fā)事件分級管理
10.4.1特別重大突發(fā)事件（Ⅰ級）
10.4.2重大突發(fā)事件（Ⅱ級）
10.4.3較大突發(fā)事件（Ⅲ級）
10.5信息安全事件管理的過程
10.6信息安全事件應急處理
10.7案例介紹：某商業(yè)銀行信息安全事件管理辦法
第11章業(yè)務連續(xù)性與災難恢復管理
11.1業(yè)務連續(xù)性與災難恢復概述
11.2我國銀行業(yè)務連續(xù)性/災難恢復管理的現狀與思考
11.2.1我國銀行業(yè)務連續(xù)性管理的現狀
11.2.2加強銀行業(yè)務連續(xù)性管理的意義
11.2.3《商業(yè)銀行業(yè)務連續(xù)性監(jiān)管指引》解讀
11.3災難恢復管理的組織結構
11.4災難恢復管理流程
11.4.1災難恢復需求分析
11.4.2災難恢復能力等級及策略的制定
11.4.3災難恢復策略的實現
11.4.4災難恢復預案的制定和管理
11.5案例介紹：業(yè)務連續(xù)性與災難恢復管理實踐
第12章信息安全審計
12.1.1信息安全審計簡介
12.1.2信息安全審計組織
12.1.3信息安全審計內容
12.1.4信息安全審計流程
第三篇技術篇
第13章信息安全技術模型
13.1WPDRRC介紹
13.2安全技術的層次結構模型
13.3基于WPDRRC的層次技術模型
第14章物理安全
14.1物理安全概述
14.2物理安全要素
14.2.1物理資產分類
14.2.2物理安全威脅
14.2.3物理安全脆弱性
14.3物理安全的要求及內容
14.3.1物理位置的選擇
14.3.2物理訪問的控制
14.3.3防盜竊和防破壞
14.3.4防雷擊
14.3.5防火
14.3.6防水和防潮
14.3.7電力供應
14.3.8電磁防護
14.4案例介紹：物理安全建設實例
第15章網絡安全
15.1典型的銀行網絡安全設計實例
15.2防火墻技術
15.2.1防火墻概述
15.2.2防火墻的作用
15.2.3防火墻的功能
15.2.4防火墻的分類
15.2.5防火墻應用場景分析
15.3網絡威脅檢測與防護技術
15.3.1IDS概念
15.3.2入侵檢測系統(tǒng)的功能和作用
15.3.3入侵檢測系統(tǒng)的分類
15.3.4入侵檢測的過程
15.3.5入侵檢測系統(tǒng)的部署與應用
15.3.6入侵防御系統(tǒng)與WEB應用防火墻
15.3.7入侵防御系統(tǒng)與WEB應用防火墻的部署與應用
15.4虛擬專用網絡（VPN）技術
15.4.1VPN基本概念
15.4.2VPN應用場景
15.5無線局域網安全技術
15.5.1無線局域網簡介
15.5.2無線局域網面臨的威脅
15.5.3無線局域網的應用
15.6網絡設備安全防護
15.6.1VLAN劃分
15.6.2網絡設備的訪問控制
15.6.3網絡設備安全配置
15.7案例介紹：某股份制商業(yè)銀行網上銀行系統(tǒng)網絡安全建設實例
第16章主機安全
16.1主機安全概述
16.2主機安全保護要求
16.3操作系統(tǒng)安全機制
16.3.1標識與鑒別
16.3.2訪問控制
16.3.3最小特權原則
16.4操作系統(tǒng)安全加固
16.5數據庫安全配置
16.6PC終端安全
16.6.1內部PC終端安全
16.6.2客戶PC終端安全
16.7智能終端安全
16.8案例介紹：銀行移動智能終端安全
第17章應用安全
17.1應用安全概述
17.2應用安全通用要求
17.3WEB應用安全面臨的主要威脅
17.4WEB安全加固
17.5應用架構安全
17.5.1WEB應用安全的現狀及重要性
17.5.2常見的WEB應用漏洞及解決方案
17.5.3應用安全開發(fā)
17.6案例分析：應用安全防護案例
第18章密碼和身份鑒別技術
18.1密碼技術概述
18.2國產密碼算法的介紹
18.2.1SM2非對稱算法
18.2.2SM3雜湊算法
18.2.3SM4對稱算法
18.3身份鑒別技術
18.3.1業(yè)務交易中的身份認證
18.3.2身份鑒別中常用的安全工具
18.3.3身份鑒別中的生物識別技術
18.3.4應用范圍
18.4案例介紹：密碼技術在銀行系統(tǒng)的應用實踐
18.4.1密碼技術中的身份鑒別
18.4.2密碼通信數據完整性保護的應用
18.4.3銀行國密算法改造實例
18.4.4加密機在銀行中的應用
18.4.5密鑰管理平臺
18.5案例介紹：身份鑒別技術在銀行系統(tǒng)中的應用實踐
18.5.1身份鑒別技術在網銀中的應用
18.5.2身份鑒別技術在手機銀行系統(tǒng)中的使用
第19章數據安全
19.1數據安全概述
19.2數據生命周期
19.3數據安全技術
19.3.1數據加密技術
19.3.2數據存儲安全技術
19.4數據防泄密技術（DLP）
19.5案例介紹：數據防泄密技術在銀行的實踐
ⅩⅦⅩⅧ19.5.1數據安全分析
19.5.2安全桌面功能框架
19.5.3安全桌面技術說明
19.5.4防數據泄漏平臺介紹
第20章安全檢測與滲透測試技術
20.1系統(tǒng)安全檢測及滲透技術
20.1.1系統(tǒng)安全檢測方法概述
20.1.2主流檢測技術介紹
20.2案例分析：銀行滲透測試方案
20.2.1滲透目標和范圍
20.2.2測試內容
20.2.3測試流程
20.2.4測試工具
20.2.5測試的風險規(guī)避
第21章安全運營技術
21.1系統(tǒng)安全運營技術
21.1.1深度包檢測技術（DPI）
21.1.2大數據技術
21.1.3數據融合技術
21.1.4數據挖掘技術
21.1.5可視化技術
21.2系統(tǒng)安全態(tài)勢感知技術
21.3系統(tǒng)安全運營的內容與流程
21.3.1安全運營的內容
21.3.2安全運營流程
第22章災難備份與恢復技術
22.1技術與發(fā)展趨勢
22.1.1數據存儲技術
22.1.2數據復制技術
22.1.3技術發(fā)展趨勢
22.2災難備份系統(tǒng)技術方案的實現
22.2.1技術方案的設計
22.2.2技術方案的驗證、確認和系統(tǒng)開發(fā)
22.2.3系統(tǒng)安裝和測試
22.3災難恢復策略的制定
22.3.1災難恢復資源的獲取方式
22.3.2災難恢復資源的要求
第四篇實踐篇
第23章銀行信息安全風險管理實踐與案例
23.1某股份制商業(yè)銀行安保平臺建設實例
23.1.1安保平臺建設背景
23.1.2安保平臺建設基本思路
23.1.3安保平臺建設過程
23.2基于大數據的網絡安全態(tài)勢實踐
23.2.1當時的狀況和問題
23.2.2解決問題的思路
23.2.3具體方案
23.2.4實際達到的效果
23.3同城雙中心災備建設實例
23.3.1生產中心信息技術架構整合實踐
23.3.2同城一體化數據中心實踐
23.3.3同城雙中心一體化網絡實踐
23.3.4應用系統(tǒng)雙活實踐
23.3.5數據庫容災技術實踐
23.3.6災備指揮與自動化切換平臺實踐
23.3.7同城雙中心一體化運維管理體系實踐
23.3.8信息技術服務連續(xù)性管理體系建設實踐
參考文獻