XX農(nóng)商年行信息科技報(bào)告

信息科技自查報(bào)告橫山農(nóng)商銀行按照上級領(lǐng)導(dǎo)的指示，我行認(rèn)真貫徹《關(guān)于加強(qiáng)2014年重要時(shí)期金融信息安全保障工作的通知》為充分做好重要時(shí)期金融網(wǎng)絡(luò)和信息系統(tǒng)安全保障工作，防范我行信息科技風(fēng)險(xiǎn)，保障計(jì)算機(jī)系統(tǒng)運(yùn)行和操作安全，建立和完善信息科技風(fēng)險(xiǎn)管理機(jī)制。對我行的信息科技工作進(jìn)行了一次全面的自我評估及審查。現(xiàn)將審查情況報(bào)告如下：一、組織架構(gòu)、制度建設(shè)及管理情況1.信息科技治理組織架構(gòu)（1）我行在董事會下設(shè)科技信息安全管理委員會，行長室下設(shè)信息科技管理委員會，信息安全管理委員會下設(shè)應(yīng)急處理領(lǐng)導(dǎo)小組?？萍夹畔踩芾砦瘑T會全面負(fù)責(zé)領(lǐng)導(dǎo)和協(xié)調(diào)本行科技信息安全?？萍脊芾砦瘑T會負(fù)責(zé)統(tǒng)一規(guī)劃全行的信息化建設(shè)，指導(dǎo)和監(jiān)督科技部門的各項(xiàng)工作，審議全行計(jì)算機(jī)網(wǎng)絡(luò)的設(shè)計(jì)方案、軟件項(xiàng)目招標(biāo)、設(shè)備招標(biāo)和統(tǒng)一采購及日常管理中重大問題的研究和建議。信息系統(tǒng)應(yīng)急處理領(lǐng)導(dǎo)小組負(fù)責(zé)組織制定全轄?wèi)?yīng)急處置的實(shí)施細(xì)則，統(tǒng)一組織、協(xié)調(diào)、指導(dǎo)、檢查全轄?wèi)?yīng)急處置的管理；負(fù)責(zé)全轄信息系統(tǒng)突發(fā)事件的應(yīng)急指揮、組織協(xié)調(diào)和過程控制（2）我行成立了科技管理部和科技開發(fā)部，做到科技運(yùn)維和科技開發(fā)有效分離，加強(qiáng)了信息科技治理。（3）科技風(fēng)險(xiǎn)審計(jì)工作由我行稽核審計(jì)部完成，信息科技風(fēng)險(xiǎn)管理由風(fēng)險(xiǎn)管理部門完成。（4）在支行層面則設(shè)立合規(guī)員，負(fù)責(zé)各支行科技信息相關(guān)風(fēng)險(xiǎn)監(jiān)控和報(bào)告2.信息科技管理制度建設(shè)（1）安全管理對安全管理活動中的各類管理內(nèi)容建立安全管理制度，制定了由安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理總則《陜西信用社聯(lián)合社計(jì)算機(jī)信息系統(tǒng)安全管理制度》，安全管理制度經(jīng)信息安全領(lǐng)導(dǎo)小組審定，審定周期為一年一次，并且及時(shí)發(fā)現(xiàn)缺漏或不足對制度進(jìn)行修訂，并有修訂記錄（2）事件管理制訂了安全事件報(bào)告和處置管理制度——《信息安全事件管理制度》明確安全事件類型，規(guī)定安全事件的現(xiàn)場處理、事件報(bào)告和后期恢復(fù)的管理職責(zé)，并根據(jù)國家相關(guān)管理部門錄用人員簽署保密協(xié)議；制定人員離崗管理流程規(guī)范，嚴(yán)格規(guī)范人員離崗過程，及時(shí)終止離崗員工的所有訪問權(quán)限；與外包商簽訂保密協(xié)議；有密級的安全管理制度，注明安全管理制度密級，并進(jìn)行密級管理。二、信息系統(tǒng)的技術(shù)措施情況1.物理和環(huán)境建設(shè)（1）機(jī)房的物理訪問控制：機(jī)房實(shí)現(xiàn)門禁控制，嚴(yán)防外部人員進(jìn)入機(jī)房擅自操作。（2）系統(tǒng)密碼均由專門人員掌管，計(jì)算機(jī)終端無人看管時(shí)鎖定；（3）機(jī)房采用集中監(jiān)控，監(jiān)控清晰全面，機(jī)房環(huán)境設(shè)施均有專人崗位值班管理，參數(shù)實(shí)行24小時(shí)不間斷監(jiān)控，崗位人員具備管理監(jiān)控專業(yè)素質(zhì)。（4）機(jī)房供電系統(tǒng)均采用雙路UPS供電，線路冗余性好，負(fù)載能力強(qiáng)，完全能夠滿足機(jī)房電力需求。（5）機(jī)房空調(diào)系統(tǒng)的有效性和冗余性，給排風(fēng)系統(tǒng)的有效性：機(jī)房空調(diào)系統(tǒng)安全有效，給排風(fēng)系統(tǒng)工作正常。（6）中心機(jī)房和災(zāi)備機(jī)房均有配套防盜竊、防雷、防火、防水、防靜電、溫濕度控制、電磁保護(hù)等措施，確保機(jī)房正常運(yùn)轉(zhuǎn)。（7）機(jī)房技術(shù)文檔完備、有效：制定了《橫山農(nóng)村商業(yè)銀行計(jì)算機(jī)信息系統(tǒng)安全管理制度》、《科技部信息部中心機(jī)房監(jiān)控制度》，《橫山農(nóng)村商業(yè)銀行計(jì)算機(jī)系統(tǒng)運(yùn)行維護(hù)管理制度》為機(jī)房維護(hù)制定詳細(xì)的規(guī)范文檔。2.網(wǎng)絡(luò)安全劃分我行根據(jù)文件要求，對重要網(wǎng)絡(luò)設(shè)施(包括網(wǎng)絡(luò)傳輸線路、網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)安全設(shè)備)進(jìn)行了詳細(xì)的自查，情況如下:網(wǎng)絡(luò)安全策略根據(jù)網(wǎng)絡(luò)安全準(zhǔn)則，以及網(wǎng)絡(luò)安全的章程，我行嚴(yán)格的按照要求，將網(wǎng)絡(luò)分為，核心生產(chǎn)網(wǎng)，信貸網(wǎng)，核心生產(chǎn)網(wǎng)，信貸網(wǎng)：按照省聯(lián)社的要求，我行將核心生產(chǎn)網(wǎng)和信貸網(wǎng)同時(shí)配置在一臺H3C-MSR-2102的路由器上，使用電信的2M光網(wǎng)絡(luò)將各個(gè)支行同中心機(jī)房核心路由器MSR5060連接，中心機(jī)房在使用電信4M，廣電4M采用雙鏈路備份的方式連接榆林辦事處中心機(jī)房。網(wǎng)點(diǎn)網(wǎng)絡(luò)設(shè)備匯總及用途設(shè)備名稱品牌數(shù)量用途路由器H3C-MSR21021路徑選擇、數(shù)據(jù)轉(zhuǎn)發(fā)，負(fù)責(zé)核心業(yè)務(wù)的數(shù)據(jù)轉(zhuǎn)發(fā)和連接縣核心機(jī)房，保證網(wǎng)絡(luò)的不間斷交換機(jī)H3C-S1024R1交換機(jī)下聯(lián)業(yè)務(wù)終端，上聯(lián)路由器，主要負(fù)責(zé)數(shù)據(jù)的轉(zhuǎn)發(fā)，和鏈路的連接，光端機(jī)彪騎佳迅PDH1遠(yuǎn)端將模擬信號轉(zhuǎn)換成數(shù)字信號，然后數(shù)字信號轉(zhuǎn)換成光信號，進(jìn)而通過光纖傳輸；在中心端剛好相反：光信號轉(zhuǎn)換成數(shù)字信號，數(shù)字信號轉(zhuǎn)換成模擬信號，并負(fù)責(zé)和縣中心核心機(jī)房連接(3)辦公網(wǎng)網(wǎng)絡(luò)安全建設(shè)：天融信防火墻安全防護(hù)建設(shè)：在橫山農(nóng)商行辦公網(wǎng)INTERNET出口部署兩臺天融信防火墻提供了強(qiáng)大的網(wǎng)絡(luò)應(yīng)用控制功能。用戶可以輕松的針對一些典型網(wǎng)絡(luò)應(yīng)用，如MSN，QQ、Skype、即時(shí)通信應(yīng)用，以及BT、訊雷等p2p應(yīng)用實(shí)行靈活的訪問控制策略，如禁止、限時(shí)、乃至流量控制。還提供了定制功能，可以對用戶所關(guān)心的網(wǎng)絡(luò)應(yīng)用進(jìn)行全面控制。能夠在核心網(wǎng)絡(luò)中同所有網(wǎng)絡(luò)設(shè)備一起構(gòu)建高可用性及高安全性的拓?fù)浣Y(jié)構(gòu)，自身能夠?qū)崿F(xiàn)A/A部署和狀態(tài)同步，能夠?qū)崿F(xiàn)動態(tài)的鏈路切換，同時(shí)提供了電源冗余功能，最大限度地滿足了網(wǎng)絡(luò)的健壯性及穩(wěn)定性，保證了整個(gè)網(wǎng)絡(luò)的不間斷工作。（3）加密技術(shù)應(yīng)用和私鑰的管理情況；ARRY設(shè)備遠(yuǎn)程VPN安全保護(hù)建設(shè)：橫山農(nóng)商行辦公網(wǎng)已經(jīng)部署了VPN，INTERNET用戶可以連接到內(nèi)部辦公網(wǎng)。采用VPN技術(shù)，加強(qiáng)信息傳輸過程中的安全防范，可以在公共Internet網(wǎng)絡(luò)上提供安全通信。是企業(yè)遠(yuǎn)程用戶、業(yè)務(wù)合作伙伴和供應(yīng)商盡快實(shí)現(xiàn)通信和共享信息理想的安全性解決方案。根據(jù)業(yè)務(wù)系統(tǒng)的特點(diǎn)選擇對業(yè)務(wù)數(shù)據(jù)進(jìn)行傳輸加密；對于網(wǎng)絡(luò)設(shè)備認(rèn)證過程中敏感的信息進(jìn)行加密。制定了《**農(nóng)村商業(yè)銀行科技部密鑰管理制度》。（4）防火墻的設(shè)置、維護(hù)和管理情況；在網(wǎng)銀系統(tǒng)設(shè)置兩層物理防火墻，將網(wǎng)絡(luò)分為三個(gè)邏輯區(qū)域，及非授信區(qū)、?；饏^(qū)及安全區(qū)。非授信區(qū)可理解為Internet，即存在潛在威脅的區(qū)域；?；饏^(qū)（DMZ）內(nèi)部署網(wǎng)銀Web服務(wù)器、RA服務(wù)器以及其它直接向外部提供服務(wù)或者進(jìn)行通訊的服務(wù)器，如Mail服務(wù)器、防病毒服務(wù)器等；安全區(qū)用戶部署網(wǎng)銀應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器、通信服務(wù)器等核心部件；（5）、設(shè)置入侵檢測系統(tǒng)。入侵檢測用在網(wǎng)絡(luò)關(guān)鍵節(jié)點(diǎn)設(shè)置探頭以偵測網(wǎng)絡(luò)數(shù)據(jù)中。2.網(wǎng)絡(luò)服務(wù)連續(xù)性、冗余性1.所有重要通信線路均有備份線路且采用不同運(yùn)營商，確保網(wǎng)絡(luò)無斷點(diǎn)。2.網(wǎng)絡(luò)設(shè)備的冗余性：網(wǎng)絡(luò)設(shè)備均有備份。核心網(wǎng)絡(luò)設(shè)備，核心生產(chǎn)系統(tǒng)設(shè)備均采用雙機(jī)熱備，同城設(shè)有災(zāi)備機(jī)房，確保關(guān)鍵生產(chǎn)設(shè)備運(yùn)行的可靠性3.訪問線路的帶寬完全能夠滿足各信息系統(tǒng)的帶寬需求，無網(wǎng)絡(luò)擁塞現(xiàn)象。4.網(wǎng)絡(luò)設(shè)備管理配置均由專人分管負(fù)責(zé)，確保合理操作，保障網(wǎng)絡(luò)通暢、安全；5.日志服務(wù)器暫無，有網(wǎng)絡(luò)日志，但無集中審計(jì)，需加強(qiáng)網(wǎng)絡(luò)設(shè)備日志的安全審計(jì)。3.信息系統(tǒng)可靠性我行根據(jù)文件要求，對關(guān)鍵服務(wù)器、存儲器運(yùn)行的可靠性，生產(chǎn)系統(tǒng)資源冗余度等進(jìn)行了全面自查，情況如下:1.系統(tǒng)重要設(shè)備和組件的冗余備份經(jīng)自查，關(guān)鍵生產(chǎn)設(shè)備均采用雙電源，服務(wù)器有UPS電源支持，且有RAID保護(hù)。系統(tǒng)具備較高的可用性，所有前置系統(tǒng)都有備機(jī)，且定期切換演練，系統(tǒng)重要設(shè)備和組件均有相應(yīng)的定時(shí)備份。2.制定各系統(tǒng)的應(yīng)急預(yù)案，定期對預(yù)案修訂和培訓(xùn)，目前，我行針對世博會演練了信貸系統(tǒng)切換，中心機(jī)房供電演練，影像支付系統(tǒng)演練，網(wǎng)銀系統(tǒng)惡意攻擊模擬演練。3.設(shè)備和系統(tǒng)的維護(hù)和升級管理設(shè)備、系統(tǒng)均有專人維護(hù)管理，部分設(shè)備、系統(tǒng)聘請專業(yè)公司人員進(jìn)行升級維護(hù)，崗位人員均具備相關(guān)素質(zhì)，并實(shí)行AB角色。4.對外包系統(tǒng)要求開發(fā)商要對我行技術(shù)人員進(jìn)行詳細(xì)的日常運(yùn)行、維護(hù)培訓(xùn)，把相關(guān)技術(shù)移交給我行技術(shù)人員，對涉及二次開發(fā)的系統(tǒng)要求開發(fā)商提供完整的二次開發(fā)手冊，培訓(xùn)我行技術(shù)人員掌握二次開發(fā)技術(shù)5.系統(tǒng)軟件的用戶授權(quán)及鑒別認(rèn)證措施：系統(tǒng)軟件用戶密碼相關(guān)人員各自保管，重要系統(tǒng)管理密碼實(shí)行分左右手密碼保管原則，系統(tǒng)軟件用戶訪問實(shí)現(xiàn)權(quán)限控制，各級人員只能進(jìn)行權(quán)限內(nèi)操作。6.系統(tǒng)變更管理:制定了變更管理的主要準(zhǔn)則和規(guī)章制度，變更管理的審批授權(quán)機(jī)制和工作流程；對變更管理進(jìn)行登記、備案和存檔，制定了非計(jì)劃性緊急變更的實(shí)施方案、備份和恢復(fù)。7.對系統(tǒng)日志及操作行為日志進(jìn)行監(jiān)察審計(jì)，確保系統(tǒng)穩(wěn)定運(yùn)行8.系統(tǒng)容量管理計(jì)劃系統(tǒng)處理容量增長趨勢完全滿足增量業(yè)務(wù)需求，并有適度冗余。9.補(bǔ)丁更新及時(shí)關(guān)注系統(tǒng)安全漏洞最新情況，及時(shí)對新發(fā)現(xiàn)的安全漏洞打上相關(guān)的安全補(bǔ)丁。經(jīng)檢查當(dāng)前系統(tǒng)已是最新最完整版本，已安裝了最新補(bǔ)丁10.病毒、惡意代碼的安全防護(hù)系統(tǒng)均安裝病毒查殺軟件，對病毒、惡意代碼進(jìn)行安全防護(hù)。同時(shí)嚴(yán)格控制操作人員在機(jī)器上運(yùn)行可能攜帶惡意代碼、病毒的腳本的外來第三方軟件11.系統(tǒng)安全配置檢查定期巡檢，對系統(tǒng)的安全配置實(shí)行不定期檢測，對可能存在的隱患進(jìn)行排除。4.應(yīng)用安全1.業(yè)務(wù)應(yīng)用系統(tǒng)的用戶授權(quán)及鑒別認(rèn)證措施業(yè)務(wù)應(yīng)用系統(tǒng)用戶密碼相關(guān)業(yè)務(wù)人員各自保管，通過操作號和密碼進(jìn)行身份鑒別認(rèn)證。人員離開時(shí)應(yīng)設(shè)置屏幕密碼保護(hù)或退出到登陸狀態(tài)。2.業(yè)務(wù)應(yīng)用系統(tǒng)的用戶訪問控制系統(tǒng)軟件用戶訪問實(shí)現(xiàn)權(quán)限控制，各級人員只能進(jìn)行權(quán)限內(nèi)操作4.機(jī)房電力系統(tǒng)1.機(jī)房電力系統(tǒng)的可用性和不間斷性（1）2.5.運(yùn)行維護(hù)監(jiān)控系統(tǒng)我行根據(jù)文件要求，對信息系統(tǒng)的監(jiān)測預(yù)警進(jìn)行了全面自查，情況如下:1.監(jiān)測預(yù)警制度、流程及自動化監(jiān)控平臺已建立完善監(jiān)測預(yù)警制度、流程，機(jī)房環(huán)境、參數(shù)，系統(tǒng)的運(yùn)行狀況，CPU使用情況、文件系統(tǒng)使用情況等均實(shí)現(xiàn)自動化監(jiān)控。2.監(jiān)測預(yù)警組織結(jié)構(gòu)及人員設(shè)置每天有人員24小時(shí)值班，檢查系統(tǒng)及網(wǎng)絡(luò)運(yùn)行狀況，及時(shí)發(fā)現(xiàn)問題，監(jiān)測預(yù)警專人負(fù)責(zé)，按照警報(bào)級別逐級上報(bào)，確保故障的及時(shí)排除。3.監(jiān)測預(yù)警日志設(shè)立監(jiān)控日志，每日由監(jiān)測預(yù)警人員負(fù)責(zé)記錄。4.監(jiān)測預(yù)警文檔的完備性有監(jiān)測預(yù)警文檔說明，但不夠完善。5.與電力供應(yīng)部門、網(wǎng)絡(luò)供應(yīng)商、公安部門等外部機(jī)構(gòu)均有相應(yīng)的應(yīng)急聯(lián)動機(jī)制，我行正在實(shí)施保衛(wèi)部網(wǎng)點(diǎn)聲光聯(lián)動報(bào)警，做到入侵報(bào)警設(shè)施與照明、視頻安防監(jiān)控及聲音復(fù)核等設(shè)備聯(lián)動三、不足和改進(jìn)方法1.需將管理與技術(shù)相結(jié)合，進(jìn)一步加強(qiáng)信息安全管理手段從IT風(fēng)險(xiǎn)管理手段來看，部分系統(tǒng)的風(fēng)險(xiǎn)控制不夠先進(jìn)，缺乏專業(yè)的風(fēng)險(xiǎn)技術(shù)支持，事前預(yù)防作用有限，事中控制不夠。缺乏對科技風(fēng)險(xiǎn)的集中審計(jì)。本行將引進(jìn)AAA統(tǒng)一認(rèn)證管理系統(tǒng)，加強(qiáng)系統(tǒng)用戶的授權(quán)，權(quán)限控制和賬號管理。架設(shè)日志服務(wù)器，對系統(tǒng)日志進(jìn)行集中收集和審計(jì)。通過平臺對所有用戶進(jìn)行統(tǒng)一的授權(quán)。采用基于角色的授權(quán)機(jī)制，按照內(nèi)部的組織結(jié)構(gòu)劃分角色，并為用戶綁定角色。對于不同的角色分配不同應(yīng)用系統(tǒng)的訪問權(quán)限。平臺依靠記錄追蹤用戶和管理人員的訪問過程，建立一套全面的、有效的回溯和追查機(jī)制。可以實(shí)時(shí)監(jiān)測用戶對各應(yīng)用系統(tǒng)的訪問狀態(tài)，及時(shí)發(fā)現(xiàn)非法訪問事件，對出現(xiàn)的問題進(jìn)行事后追溯和責(zé)任追究提供實(shí)證。通過對系統(tǒng)運(yùn)行狀態(tài)實(shí)時(shí)監(jiān)控審計(jì)，增強(qiáng)系統(tǒng)的可維護(hù)性。2.進(jìn)一步完善計(jì)算機(jī)系統(tǒng)安全管理制度本行已經(jīng)在內(nèi)部建立并健全了一系列的計(jì)算機(jī)系統(tǒng)安全管理制度