GB/T 42926-2023金融信息系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險評估規(guī)范

ICS03060

CCSA.11

中華人民共和國國家標(biāo)準(zhǔn)

GB/T42926—2023

金融信息系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險評估規(guī)范

Specificationoffinancialinformationsystemcybersecurityriskassessment

2023-08-06發(fā)布2023-12-01實施

國家市場監(jiān)督管理總局發(fā)布

國家標(biāo)準(zhǔn)化管理委員會

GB/T42926—2023

目次

前言

…………………………Ⅰ

引言

…………………………Ⅱ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語和定義

3………………1

縮略語

4……………………1

風(fēng)險評估工作要點和原則

5………………2

工作要點

5.1……………2

工作原則

5.2……………2

風(fēng)險評估要素及原理

6……………………2

風(fēng)險評估要素

6.1………………………2

風(fēng)險評估原理

6.2………………………3

風(fēng)險評估階段性工作

7……………………4

準(zhǔn)備階段

7.1……………4

識別階段

7.2……………5

風(fēng)險計算及處理階段

7.3………………11

附錄資料性評估參考樣例

A()…………15

網(wǎng)絡(luò)安全制度防護脆弱性評估分

A.1(235)…………15

網(wǎng)絡(luò)安全技術(shù)防護脆弱性評估分

A.2(258)…………29

附錄資料性資產(chǎn)識別與賦值表

B()……………………49

附錄資料性信息系統(tǒng)威脅賦值方法

C()………………52

附錄資料性信息系統(tǒng)脆弱性賦值方法

D()……………53

層面脆弱性評估與賦值

D.1……………53

信息系統(tǒng)脆弱性評估與賦值

D.2………………………54

附錄資料性信息系統(tǒng)脆弱性被利用可能性賦值方法

E()……………56

附錄資料性信息系統(tǒng)的資產(chǎn)風(fēng)險列表

F()……………57

參考文獻

……………………58

GB/T42926—2023

前言

本文件按照標(biāo)準(zhǔn)化工作導(dǎo)則第部分標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則的規(guī)定

GB/T1.1—2020《1:》

起草

。

請注意本文件的某些內(nèi)容可能涉及專利本文件的發(fā)布機構(gòu)不承擔(dān)識別專利的責(zé)任

。。

本文件由全國金融標(biāo)準(zhǔn)化技術(shù)委員會歸口

(SAC/TC180)。

本文件起草單位中國金融電子化集團有限公司北京國家金融科技認證中心有限公司北京天融

:、、

信網(wǎng)絡(luò)安全技術(shù)有限公司中國工商銀行股份有限公司亞信科技成都有限公司

、、()。

本文件主要起草人張海燕唐輝高強裔潘麗揚張璐張澍楊劍孟憲哲李吉金紅月李者龍

:、、、、、、、、、、。

Ⅰ

GB/T42926—2023

引言

隨著金融與科技融合成為新趨勢云計算大數(shù)據(jù)物聯(lián)網(wǎng)移動互聯(lián)人工智能等新型金融科技應(yīng)

,、、、、

用場景呈爆發(fā)式增長金融信息系統(tǒng)面臨復(fù)雜多變的網(wǎng)絡(luò)安全威脅和日趨嚴峻的網(wǎng)絡(luò)安全形勢開展金

,,

融信息系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險評估有助于全面分析金融信息系統(tǒng)面臨的威脅存在的脆弱性以及風(fēng)險等

、

級并基于風(fēng)險評估結(jié)果開展風(fēng)險處理工作為了更好地適應(yīng)金融科技變革金融信息系統(tǒng)網(wǎng)絡(luò)安全風(fēng)

,。,

險評估體系也需進一步完善

。

本文件在成熟的風(fēng)險評估方法論基礎(chǔ)上結(jié)合金融信息系統(tǒng)特點以及信息系統(tǒng)安全建設(shè)需求提出

,,

面向金融業(yè)務(wù)和金融信息系統(tǒng)共性的網(wǎng)絡(luò)安全風(fēng)險評估模型流程和風(fēng)險分析方法為金融信息系統(tǒng)網(wǎng)

、,

絡(luò)安全風(fēng)險評估提供指導(dǎo)

。

Ⅱ

GB/T42926—2023

金融信息系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險評估規(guī)范

1范圍

本文件確立了風(fēng)險評估工作的要點原則要素和原理規(guī)定了風(fēng)險評估準(zhǔn)備階段識別階段風(fēng)險

、、,、、

計算及處理階段工作的要求

。

本文件適用于金融管理部門金融業(yè)機構(gòu)和網(wǎng)絡(luò)安全風(fēng)險評估服務(wù)機構(gòu)開展金融信息系統(tǒng)網(wǎng)絡(luò)安

、

全風(fēng)險評估工作

。

注本文件條款中的風(fēng)險評估均指金融信息系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險評估

:“”“”。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款其中注日期的引用文

。,

件僅該日期對應(yīng)的版本適用于本文件不注日期的引用文件其最新版本包括所有的修改單適用于

,;,()

本文件

。

信息安全技術(shù)信息系統(tǒng)安全管理要求

GB/T20269—2006

信息安全技術(shù)信息安全風(fēng)險評估方法

GB/T20984—2022

信息安全技術(shù)網(wǎng)絡(luò)安全等級保護定級指南

GB/T22240—2020

信息安全技術(shù)術(shù)語

GB/T25069—2022

信息安全技術(shù)信息安全風(fēng)險評估實施指南

GB/T31509—2015

3術(shù)語和定義