ｓｒｎｔｅ ｔｅ ｎｇｍｎ ｏ ｉｆｒａｉｎ ｃｒｔ ， ｄ ａ ｌ ｂｉｄ ｔｅｇｈｎ ｍ ａｅｅｔ ｎｏｍｔｏ ｓ ｕｉｙ ａ ｒ ｌｙ ｌ ａ ｈ ａ ｆ ｅ ｎ ｅ ｕ
ｓ ｉｎ ｉ ｉ ａ ｄ ｆｃ ｉｅ ｏ ｍ ｔｏ ｓｃ ｒ ｔ ｍ ｎ ｇｍ ｎ ｓｓ ｅ ｔ ｇａ ｄ ｃｅｔ ｆｃ ｅ ｅ ｔｖ ｉｆｒ ａｉｎ ｕ ｉｙ ａ ｅ ｅ ｔ ｔｍ ｕ ｒ ｎ ｆ ｎ ｅ ａ ｙ ｏ
ａ ｔｉｅ ｃａｓｆｃｔｏ ｏ ｔｅ ｒａｓ ｖｌｅａ ｉｉｉｓ ｒａ ｒｓ ｄ ａｌｄ ｓｉｉａｉｎ ｈ ｔ ｅｔ， ｎｒｂ ｌｔｅ ｔ ｅｔ ｋ ｅ ｌ ｆ ｈ ｕ ｈ ｉ
ｃ ｅ ｆ ｃ ｅ ｔ ｔ ｉ ａ ｄ ｓ ｔ ａ ｓ ｆ ｃ ｔ ｏ ｒ ｆ ｒ ｎ ｅ ｂ ｅ ． ｏ ｆ ｉ ｉ ｎ ｍ ｒ ｘ ａ ｅ ｃ ｓ ｉ ｉ ａ ｉ ｎ ｅ ｅ ｃ ｔ ｌ ｓ ａ ｎ ｓ ｌ ｅ ａ
ｃｅｔｄ ｓａｎｂｅ ｐｏｅｅｔ ｔｅ ｎｇｍ ｎ ｏ ｉｆｒａｉｎ ｒａｅ ａ ｓ ｔ ｉａ ｌ ｉ ｒ ｖｍｎ ｏ ｈ ｍ ａ ｅｅｔ ｎｏｍｔｏ ｕ ｍ ｆ ａ ｆ ｓｃｒｔ ｅｖ ｒｎｅ ｔ ｒｉｅ ｔｅ ｖ ｌ ｉｆｒ ａ ｉｎ ｓｅ ｓｃｒｔ． ｅｕｉｙ ｉｏｍｎ， ｓｄ ｌ ｅ ｏ ｎｏｍ ｔｏ ｓ ｔｍ ｕ ｉｙ ｎ ａ ｈ ｅ ｆ ｙ ｅ
Ｍａｗｉｅ ｔｅ ａｆ ｓ ｎ ｌ ｔ ｃｎｉｕ ｔ ｒｉｅ ａｅｅｓ ｅｎｈｌ， ｓ ｆ ｈ ｂｅ ａ ｅ ｏｔｎｅ ａｓ ａ ｒｎｓ ｏ ｈ ｔ ａ ｅ ｂ ｏ ｏ ｗ ｆ
ｉｆｒａ ｉｎ ｃｒ ｔ ． ｎｏｍ ｔｏ ｓ ｕ ｉｙ ｅ
Ｋｙｏｄ ： ｆｒａ ｉｎ ｅｕ ｉｙ ｆｎｎ ｉｌ ｎｏｍ ｔｏ ｓｓｅｓ ｅｗｒ ｓ ｉ ｏｍ ｔｏ ｓｃｒ ｔ， ｉａｃａ ｉｆｒａ ｉｎ ｙｔｍ， ｎ ｉｆｒａ ｉｎ ｃｒｔ ｍ ｎｇｍｎ ｓｓｅ， ７９， ｓ ａａｙ ｉ ｎｏｍ ｔｏ ｓ ｕ ｉｙ ａｅｅｔ ｔｍ Ｂ ７９ ｒ ｋ ｌｓｓ ｅ ａ ｙ Ｓ ｉ ｎ
ｔｅ ｏｙ ｒ ｓ ｍｎ ｇｍｎ． ｎｌｓｓ ｔｅ ａｕ ａｄ ｕ ｉｙ ｄ ｈ ｔｅｒ ｏ ｉｋ ａｅｅｔ Ａａｙ ｉ ｏ ｈ ｓ ｔｓ ｓｃｒｔ ｎｅｓ ｈ ｆ ａ ｆ ｔ ｎ ｅ ｅ
ｏ ｔｅ ｔ ｃｎｅ． ｅ ｔｏ ｈｓ ｔ ｒａｄｎ ａｆａ ｉｌ ｍｔｏ ｏ ｆ ｄ ａ ｔｒ Ｔ ａ ｈｒ ｐ ｆ ｗｒｉｇ ｓｂｅ ｈｄ ｈ ａ ｅ ｈ ｕ ａ ｕ ｏ ｅ ｅ ｆ
ｍｎｇｍｎ ｅｈｎｅ ｒ ｓ ｃｎｒｌ ｔｅ ｗｒ ｅ ｓ ａｄ ｐｏｅ ｅ ａａｅｅｔ ａｃｄ ｋ ｔｏ， ｌ ｅ ｔ ｒ ｋ ｉ ｒｖ ｔ ｎ ｉ ｏ ｈ ｏ ｈ ｉ ｎ ｍ ｈ ｓｆｔ ｏ ｃｎ ｉｅｔａ ｉｆｒａ ｉｎ ｔｒ ｉｔｇ ｉｙ ａａｌｂｌｔ， ａｅｙ ｏｆｄｎｉｌ ｏｍ ｔｏ ｃｎｅ ， ｅｒｔ ａｄ ｉａｉｉｙ ｆ ｎ ｅ ｎ ｎ ｖ
ｅｔｒ ｐ ｏ ｅ ｓ ｎ ｉｅ ｃ ｓ． ｒ
Ｄｎ ａｇ ａ ｄ ｌ ｅ ｅｒｈ ｕ ｔ Ｂ ７９ ｏｙ ｉ ｏｍｔｏ ｅｔ ａ ｏ ｒｓａ ｃ ａｏｔ ｅ ７９ ｔｅｒ ， ｆｒａｉｎ ｏｅ ｒ ｅ ｆ ｂ ｈ Ｓ ｈ ｎ
ｓｃｒｔ ｍｎｇｍｎ ｓｓｅ ａｄ ｅ ｅｒ ｏ ｒ ｓ ｍｎｇｍｎ． ａｉｇ ｅｕｉｙ ａｅｅｔ ｔｍ ｔ ｔ ｏｙ ｉｋ ａｅｅｔ Ｔｋｎ ａ ｙ ｎ ｈ ｈ ｆ ａ
Ｃ ａ ｓ ｆ ｃ ｔ ｏ Ｃ ｄ ：Ｔ ３ ９ ｌ ｓ ｉ ｉ ａ ｉ ｎ ｅ ｏ Ｐ０
第一章 绪论
１１ 选题背景 ． 在信息化浪潮席卷全球的今天，我国的经济、社会信息化建设全面加快，
信息技术在提高企业服务水平、促进业务创新、提升核心竞争力方面发挥着越 来越显著的作用。对于中国经济发展的支柱行业— 金融服务业来说，应对全 球化和信息化的机遇与挑战， 通过金融信息化和信息网络化实现金融服务创新， 服务于中国经济快速发展的需要，其任务尤为艰巨和迫切。 为此，我国金融企业信息化建设如火如茶。一方面为了实现金融信息的集 中有效管理，各大金融企业投入巨资进行数据集中整合工程，实现账务数据与 营业机构的分离；另一方面企业借助信息技术加快了金融服务产品的开发和应
ｄｐｎｅｃ ｏ ｉｆｒａ ｉｎ ｃｎ ｌｇ ｉ ｇｏ ｉｇ ｔｅ ｓｌｉｇ ｓ ｏ ｅｅｄｎｅ ｎｏｍ ｔｏ ｔ ｈｏｏ ｙ ｒｗ ｎ ， ｒ ｕｔｎ ｒ ｋ ｎ ｅ ｓ ｈ ｅ ｉ ｆ
ｆｎｎ ｉｌ ｆｒ ａ ｉｎ ｅ ｃｍ ｎ ｉｃ ｅ ｓ ｎ ｌ ｐｏ ｉｅ ｔ Ｈｗ ｉａｃａ ｉ ｏｍ ｔ ｏ ａ ｂ ｏ ｉｇ ｒａ ｉｇ ｙ ｍ ｎ ｎ． ｔ ｎ ｒ ｅ ｎ ｒ ｏ ｏ
Ｔｅ ｏ ａｉｎ ｕｉｙ ａｅｅｔ ｔｍ ｉ ｐｒｔｏ ｇｏ ｒｓｌｓ ｍｔｏ ｓｃｒｔ ｍｎｇｍｎ ｓｓｅｓ ｏｅａｉｎ ｄ ｕｔ， ｈ ｉｆｒ ｎ ｅ ａ ｙ ｎ ｏ ｅ
ｔｅ ｒｔ ｔ ｃｎ ｅ ｉ ｔｅ ｃｅｓｕ ｉ ｅ ｅｔｔｏ ｏ ｔｅ ｓ ｈ ｆ ｓ ｄ ａ ｔｒ ｈ ｓ ｃｓｆｌ ｉ ａ ｅ ｎ ｕ 呻ｌｍ ｎａ ｉｎ ｈ ｒ ｋ ｆ ｉ
全四个方面：
１ ）实体安全是指保护计算机设备、网络设施以及其他通信与存储介质免 遭地震、 火灾、有害 水灾、 气体和其他环境事故破坏的措施、 过程。 ２ ）运行安全是指为保障系统功能的安全实现，提供一套安全措施 （ 如风 险分析、审计跟踪、备份与恢复、 应急措施）来保护信息处理过程的
用， 包括网 络银行、中间业务等金融新型业务和产品不断涌现，使得金融信息 服务系统迅速渗透到社会生活的各个方面。 金融行业信息化的飞速发展，已经成为推动金融业务创新、体制创新乃至 企业再造的重要推动力。可是随着金融企业对信息技术的依赖度越来越高，由
此而导致的金融信息风险也变得越来越突出，这也成为近年来国内外金融企业
搭建了信息安全管理体系。
该信息安全管理系统在运行中收到良 好的效果，首次在数据中心成功实施 了 风险管理，提高了 风险控制水平，降低了面临的风险， 提高了中心信息安全 的保密性、完整性和可用性，形成了一套可持续改进的信息安全管理环境， 提
升信息系统安全等级。同时，全体员工信息安全意识得以不断提高。
ｑａ ｉａ ｉｅ ｄ ａ ｔｔｔｖ ｒ ｓ ａ ａｙ ｉ ａ ｄ ｌｕａ ｉｎ ｔｏｓ ｕ ｌｔｔｖ ａ ｑ ｎ ｉａ ｉｅ ｋ ｌｓｓ ｃ ｃ ｌｔｏ ｍ ｈｄ ｔ ｎ ｕ ｉ ｎ ｎ ａ ｅ ｏ ｑａｔｆ ｔｅ ｓ ， ｄ ｅｓｒ ｔｅ ａ ｕａ ｉｙ ｄ ｃｒｃ ｏ ｒｓ ｕｎｉｙ ｒ ｋ ａ ｔ ｎｕｅ ｇ ｎ ｌｒｔ ａ ａ ｕａ ｙ ｆ ｋ ｈ ｉ ｎ ｏ ｈ ｒ ｎ ｃ ｉ
ｒ ｓ ａ ｓ ｓｍ ｎ ， ｓ ｇｅ ａ ｓ ａ ｓｓｍ ｎ ｐ ｏ ｅ ｓ ｄ ｐ ｔ ｄ ｔｕ ｉｋ ｅ ｓ ｅ ｔ ｄ ｉｎｄ ｉｋ ｅ ｓｅ ｔ ｃ ｓ ａ ｉ ｕ ａ ｏ ｐ ｔ ｓ ｅ ｒ ｓ ｒ ｎ ｎ ｎ ｕ
ｆｌｓ ａｄ ｒ ｉｉａｅ ｉ ｔｅ ０７０ ｃｒｉｉａ ｉｎ ｏｒｍ ｉ ｔｅ ｉｅ， ｐ ｔｃｐｔｄ ｈ Ｉ ２０ １ ｔｆｃｔｏ ｐ ｇａｓ ｈ ｎ ａ ｎ Ｓ ｅ ｒ ｎ
ａａｎｔ ｎｎ ｉｌ ｓｓ ｈ ｓ ｃｍ ａ ｊｒ ｓｅ ｒ ｅｔｙ ｃｎ ｔｅ ｇｉｓ ｆ ａｃａ ｒ ｋ， ｂ ｏｅ ａｏ ｉ ｕ ｃ ｒｎ ｌ ｆ ｉｇ ｉ ｉ ａ ｅ ｍ ｓ ｕ ａ ｈ
ｆｎｎ ｉ ｌ ｒ ｉｅ ｉｄｓｒ ． ｉａｃ ａ ｓ ｖ ｃ ｓ ｕ ｔｙ ｅ ｎ
Ｔｅ ｔｏ ｈ ｄ ｅ ｌ ｏ ｅｅｒｈ ｕ ｔ Ｂ ７９ ｏｙ ａ ｒ ｓ ｎ ａ ｔ ｒｓａｃ ａｏｔ ｅ ７９ ｔｅｒ， ｄ ｈａ ｈ ａ ｏ ｕ ｏ ｆ ｂ ｈ Ｓ ｈ ｎ
ａｄ ｓ ｎ ｓ ｉｎｖ ｔｏ ｉｓ ｉｕ ｉｎ ｌ ｎ ｖ ｔｏ ｓ ｗ ｌ ａ ａ ｊｒ ｎ ｂ ｉｅ ｓ ｏ ａ ｉｎ ｔ ｔ ｔｏａ ｉ ｏ ａ ｉｎ ａ ｅ ｌ ｍ ｏ ｕ ｎ ｎ ｎ ｓ ｓ ａ
ｆｒｅ ｔｅ ｃｃｉｇ ｓｎｓ． ｄ ｔ ｔｅ ｎ ｉｇ ｄｓｒ＇ ｏｃ ｉ ｈ ｒ ｙｌｎ ｂ ｉｅｓ Ａ ｗ ｈ ｂ ｋｎ ｉ ｕｔｙｓ ｎ ｅ ｕ ｎ ｉ ｈ ａ ｎ
的重大经营风险之一。金融企业的信息安全受到威胁， 将严重影响金融企业信
誉， 丧失客户信任，影响金融企业的发展。更重要的是， 解决不好信息安全问 题，将使企业和个人资产蒙受损失，导致社会金融服务功能中断，影响国家经 济的正常运转及社会稳定。如何加强金融信息安全管理，已 成为金融业当前面 临的重大课题。 １２ 建立信息安全管理体系的重大意义 ． 所谓信息安全，是指在技术和管理上为信息处理系统建立的安全保护， 保 护计算机硬件、软件和信息内容不因偶然和恶意的原因而遭到破坏、更改和泄 漏。 信息安全包括实体安全、运行安全、信息 （ 针对信息内容）安全和管理安
ｉ ｔ ｃ ｎ ｉ ｅ ａ ｉ ｎ ｅ ｈ ｒ ｃ ｅ ｉ ｔ ｃ ｏ ｄ ｔ ｃ ｎ ｅ ｓ 、 ｉ ｆ ｒ ａ ｉ ｎ ｎ ｏ ｓ ｄ ｒ ｔ ｏ ｔ ｏ ｈ ｃ ａ ａ ｔ ｒ ｓ ｉ ｓ ａ ａ ｔ ｒ ｆ ｅ ｎｏ ｍ ｔ ｏ
ｓｃｒ ｔ ｎ ｅ ｓ ａ ｄ ｅ ａ ｔｃ ｌ ａ ｉ ｉｉｙ ｄ ｓｇ ｅ ｏ ａ ｔ ｅｕ ｉｙ ｄ ， ｔ ｐ ｃ ｉａ ｆ ｓｂ ｌｔ ， ｉｎ ｄ ｅ ｎ ｈ ｒ ｅ ｅ ｆ ｓ ｏ ｅ ｆ
数据中心信息资产特点以 及信息安全需求，设计了定性与定量相结合的风险分 析方法， 将风险量化。采用了以威胁为主线、 基于资产的威胁薄弱点识别的方 式，以获得丰富的风险信息。制定了详细的威胁分类表、脆弱性列表、 威胁风 险系数矩阵以及资产分类参考表， 使得对威胁和脆弱性的分析具有普遍性，保 证各填写人员尺度和理解的一致性， 提高了 项目 实施的效率。在数据中心成功
关键词 信息安全、金融信息系统、 信息安全管理体系、Ｂ７９ 、 Ｓ７９ 风险分析
中图分类号 Ｔ ３９ Ｐ０
Ｔｅ ｉ ｄ ｅｏｍ ｎ ｏ ａｋｎ ｉ ｏｍ ｔｏ ｈ ｂ ｏ ｅ ｆｎｎ ｉｌ ｒｐｄ ｖｌｐ ｅｔ ｂ ｎ ｉｇ ｆｒａ ｉｎ ｓ ｃｍ ｔｅ ａｃａ ｈ ａ ｅ ｆ ｎ ａ ｅ ｈ ｉ