银行IT风险管理体系.pptVIP

PAFIRC银行IT风险管理体系***根据新巴塞尔协议对操作风险的定义：“操作风险是指由于不完善或有问题的内部程序、人员、计算机系统或外部事件所造成损失的风险。其中，与计算机系统相关的操作风险国际上称之为ITRisks，即IT风险。所谓IT风险，就是威胁利用IT资产的脆弱性对IT资产造成负面影响，从而对企业经营造成负面影响的可能性，**GB信息系统安全等级保护基本要求**37，212**银行IT风险管理体系2007-04-11北京大学ACOM金融信息化研究中心报告主题**PAFIRC报告提纲银行IT风险管理实际应用风险管理框架银行IT风险管理背景QA**911事件后摩根银行在几小时内迅速恢复营业注重IT风险管理银行风险框架**PAFIRC市场风险银行风险操作风险信用风险IT风险银行IT风险的类型IT风险管理的必要性IT风险管理与IT治理银行监管的要求银行IT风险的类型**PAFIRCIT运行风险IT资产脆弱性风险误操作风险计算机欺诈风险信息披露风险系统中断风险银行IT风险基于IT的金融产品或服务风险IT环境风险法律遵循性风险战略风险组织风险物理环境风险外包风险银行监管的要求**IT风险管理的动机**IT风险管理信息技术的双刃性新巴塞尔协议、萨班斯法案以及银监会的要求银行内控的要求IT风险管理的三维模型**Z轴Y轴返回X轴在银行信息系统生命周期各阶段，依照IT风险管理流程，以风险控制目标为驱动，实施IT风险管理，抵减银行IT风险。银行IT风险管理流程**国际标准国内标准返回AS-NZS4360IT风险管理流程GB信息安全风险评估规范国际知名金融机构IT风险管理案例GB信息安全等级保护系列标准NISTSP800-60**资产登记表检查表风险值=R（A，T，V，M）=R(C(A，T，V，M)，L(T，V，M))风险权重确定信息系统安全保护等级GB信息安全等级保护BaselII和萨班斯法案的要求BaselII的要求萨班斯法案的要求制定详细的风险处理计划输出表格BaselII的要求信息系统安全等级保护调查表**返回信息系统对象确立报告**返回资产登记表**安全-责任矩阵返回安全-责任矩阵**返回checklist**PAFIRC返回由风险控制目标导出计算各风险的权重:

应用AHP、群决策及聚类分析法返回国际知名金融机构IT风险管理案例**PAFIRC返回信息系统生命周期**PAFIRC计划与组织01设计与获取02交付与实施03运行与维护04废弃与终止05系统生命周期06返回07控制目标的产生**PAFIRC返回01COBIT4.002ISO1779903NISTSP800-5304IT风险控制目标05WorldBankChecklist06信息系统安全等级保护07现有几个标准比较表**PAFIRC返回PAFIRC银行IT风险管理体系***根据新巴塞尔协议对操作风险的定义：“操作风险是指由于不完善或有问题的内部程序、人员、计算机系统或外部事件所造成损失的风险。其中，与计算机系统相关的操作风险国际上称之为ITRisks，即IT风险。所谓IT风险，就是威胁利用IT资产的脆弱性对IT资产造成负面影响，从而对企业经营造成负面影响的可能性，**GB信息系统安全等级保护基本要求**37，212