电子银行安全评估.pptVIP

;工程概述背景;掌握电子银行系统的应用及平安状况；

按照银监会相关要求完成电子银行系统的平安评估；

提出改进建议或方案。;工程概述评估参考依据;组织范围

总部

IT部门、业务部门？风险管理部门？审计部门？

分支机构？

系统范围

网上银行

信息网站

交易网站

ATM？

银行?

自助银行

银行？

工作范围

电子银行平安评估

电子银行平安及风险控制体系建议;;实施方案评估总体思路;平安管理评估〔策略、组织架构、制度〕

平安策略〔电子银行系统整个生命周期的策略建设〕；

组织架构与人员安排〔与电子银行系统相关组织建设与人员安排〕；

管理制度建设〔与风险管理、开发与获取、平安管理、运营管理、内部控制、应急响应、业务连续性、外包等〕。

IT根底设施平安评估

支撑平台

物理环境〔物理环境、机房环境、介质与设备平安〕；

网络平台〔网络结构、网络管理、网络平安〕；

系统平台〔业务主机、操作系统平安、数据库平安等〕。

应用系统平安

身份鉴别与访问控制；

交易平安；

数据平安〔传输、处理、存储〕；

密钥平安；

输入输出合法性/异常处理/日志与审计；

系统可用性。

业务风险评估

业务流程建设；

业务应用控制；

业务控制。;实施方案平安管理评估;实施方案平安管理评估〔续〕;实施方案平安管理评估〔续〕;实施方案平安管理评估〔续〕;实施方案平安管理评估〔续〕;实施方案平安管理评估〔续〕;实施方案平安管理评估〔续〕;实施方案平安管理评估〔续〕;实施方案平安管理评估〔续〕;实施方案IT根底设施平安评估;实施方案IT根底设施平安评估〔续〕;目标

根据电子银行的业务特征，建立相关业务模型，深入分析评估业务流程中存在的风险环节。

评估要点

业务流程建设；

业务应用控制；

业务控制。

评估方法

通过人员访谈、文档查阅或现场观测收集业务流程相关信息；

按照评估要点对现有业务流程进行分析；

通过综??分析评价业务流程的风险。;调查

主要用于评估对象现状信息收集。调查包括问卷、远程访谈与现场访谈。

检查

主要用于信息收集及弱点分析。包括文档检查、记录核查、配置检查等。

测试

主要用于弱点分析，包括手工测试、自开工具测试以及综合性的渗透测试。

人工分析

主要用于资产分析、威胁分析、平安措施分析及平安评价。;实施方案评估流程与活动;调查问卷

现场访谈表

评估表或Checklist

自动化测试工具

评价工具;实施方案工程阶段划分;阶段目标

完成工程实施前期工作

主要工作内容

确定工程任务、目标

确定评估范围与内容

成立工程组

制定工程实施方案

收集整理开发各种评估工具

工程背景知识培训

主要阶段成果

?平安评估方案?

?平安评估调查问卷?

?平安评估访谈表?

各种评估表或Checklist

?平安评价表?;阶段目标

通过调研，收集并整理分析评估对象信息，收集内容涵盖电子银行业务类别，以及各种类别业务从规划、建设、运营到终止整个生命周期的相关信息，重点收集整理分析电子银行应用状况与业务流程信息。(业务及IT应用现状)

主要工作内容

填写调查问卷

文档收集与查阅

现场访谈

配置信息/状态信息收集

分析整理与电子银行相关的组织架构、IT根底设施及以及业务类别业务流程

撰写现状报告

主要阶段成果

?电子银行现状报告?;阶段目标

从平安管理、系统平安以及业务风险三个方面对电子银行系统进行全面评估。

主要工作内容

平安管理

平安策略评估

组织架构与人员评估

管理制度评估

IT根底设施平安评估

支撑平台评估

应用系统平安评估

业务风险分析

业务流程要素分析

业务风险评价

阶段成果

?电子银行平安评估报告?(提交银监会)

?电子银行平安管理评估报告?

?电子银行IT根底设施平安评估报告?

?电子银行业务流程风险评估报告?

各种访谈/检测报告;;阶段目标

完善评估成果、进行工程总结。

主要工作内容

完善成果

工程总结

工程汇报

阶段成果

汇报材料