前言：中文期刊網精心挑選了信息安全風險管理制度范文供你參考和學習，希望我們的參考范文能激發你的文章創作靈感，歡迎閱讀。
信息安全風險管理制度范文1
關鍵詞:集中運營；服務外包；風險管理
隨著金融服務貿易自由化的深化和服務外包業務的迅猛發展，在競爭日益激烈的市場環境下，金融服務外包以其降低經營成本、規避經營風險和強化核心競爭力的優勢受到越來越多國內商業銀行的青睞和采用。但是，服務外包也是一把“雙刃劍”，在成為競爭利器的同時，給商業銀行的經營帶來市場失效、連續性斷裂、信息泄露、外包失敗等潛在風險，對商業銀行自身的風險管理也構成一系列的挑戰。因此，商業銀行如何對經營活動中的服務外包活動進行有效的風險管控，成為金融服務外包領域的研究熱點。
一、文獻綜述
近年來，國內外學者針對金融服務外包過程中不同的風險問題，從風險分類、識別、度量、控制、規避、治理和監管等方面，進行了相關的研究。在風險分類研究方面，以巴塞爾銀行監管委員會為主導的“聯合論壇”出臺的《金融服務外包》（2005）文件中分析了金融業務外包存在的10項風險，這為以后的研究提供了參考標準。吳更仁（2007）將金融服務外包風險分為6個類別，在此基礎上提出風險防范和控制措施。唐柳等（2009）進一步把《金融服務外包》中的10項風險歸納，將戰略決策、財務、人力和管理風險歸為內部風險，而系統、市場、技術和外包商風險歸為外部風險，并進一步得出金融服務外包風險是一種項目風險的結論。在風險識別研究方面，王瀛和趙鵬等（2008）認為金融服務外包風險來源于機構本身、外包服務商和市場環境等方面。吳更仁（2007）提出識別風險因素的手段，并分析了風險因素的作用機制。吳國新（2010）認為交易的雙方在獲得收益的同事也面臨著各種風險，分別從服務提供商、客戶和交易風險的視覺提出風險識別與規避的方法和相應的對策。在風險度量研究方面，唐柳等（2009）在分析金融服務外包風險治理特性和治理機制的基礎上，構建了風險管理框架。唐柳等（2010）在基于風險矩陣法的風險重要性度量基礎上，進一步設計了銀行業服務外包的風險模糊綜合評價指標體系。吳國新等（2010）采用因子分析法對金融服務外包影響因素進行了因子綜合評價，系統分析了28個變量，得出影響金融服務外包風險的主要8個因素的結論。在風險控制、規避、治理和監管研究方面，唐柳等（2009）認為治理的主要目標是保證金融機構的安全和穩健經營，治理機制設計應兼顧外部和內部，更多地協調和關注利益相關者。曹淑艷（2009）以金融服務外包理論與國內外實踐為切入點，對金融服務外包中的常見業務和風險進行分析，并對風險控制及監管進行了探討。國內相關文獻對金融服務外包風險的類型、成因、管控等方面都進行了詳細的研究，但沒有針對某一具體類型的金融外包服務提出風險管理對策，本文將針對運營集中后的風險特點，提出在運營集中過程中實施金融服務外包常見的風險管理問題和對策，對國內商業銀行開展業務具有一定的借鑒意義。
二、金融服務外包概述
服務外包是指企業將價值鏈中原本由其自身提供的具有基礎性的、共性的、非核心的業務或環節剝離出來，委托給企業外部的專業服務提供商來完成的經濟活動。2005年2月，巴塞爾銀行監管委員會公布了《金融服務外包》，將金融服務外包定義為“受監管實體持續地利用外包服務商來完成以前由自身承擔的業務活動”。從第三方來看，金融服務外包供應商不僅包括外部供應商，還包括集團內部其他子公司；從外包的方式來看，金融服務外包不僅包括進行初始轉移，還包括服務的再次轉移，即所謂“分包”，由承接金融機構服務的直接供應商，將服務事務再外包給其他供應商；從外包內容來看，金融服務外包可分為金融信息技術外包、金融業務流程外包、金融知識處理共三大類.商業銀行集中運營外包服務屬于金融業務流程外包的其中一部分內容，是將非核心業務流程和經過評估的部分核心業務流程委托給外部專業服務提供商來完成，包括數據錄入、業務審核、信息核查、呼叫查復等。
三、商業銀行集中運營風險特點
(一)集中運營概述
商業銀行運營業務主要包括柜面交易處理、財務會計核算、資金交易與清算、中間業務受理等，在銀行業務開展的過程中，起到重要的服務支撐和保障作用。近十年來，“以客戶為中心”和“流程銀行”的創新思路不斷沖擊著國內商業銀行現有的經營模式，在借鑒國際先進理論研究成果和同業的實踐經驗的基礎上，國內商業銀行逐步從傳統的分散運營模式向為集中運營模式發展。所謂商業銀行集中運營，是將銀行柜臺或其他渠道受理的客戶提交的指令或憑證，運用電子影像和網絡傳輸等技術，把數據傳送到后臺進行流水線、集約化處理，并由系統自動完成數據校驗、賬務核算、資金清算等步驟，最后將結果信息反饋給客戶的運營模式。
(二)集中運營風險特點
隨著集中運營模式的建立和業務處理方式的調整，原有運營體系中的風險特點也隨之轉變，出現不同的變化和產生新的風險。一是總體風險趨于集中，業務集中處理后，原業務的風險點也隨著處理層級上移而集中，同時，處理筆數大、交易金額大、涉及范圍廣等，也形成了多種風險的聚集區域；二是系統運行風險提升，電子化的處理流程對系統的安全和穩定具有極強的依賴性。系統功能、運行穩定、網絡連通、系統間交換等多方面因素都會影響到系統安全和穩定的運行，如果出現通訊異常、系統故障等無法及時修復的情況，對全行的業務正常運行產生巨大的影響，嚴重時甚至引起業務中斷、引發資金風險；三是信息安全風險，后臺集中處理的交易含有大量客戶賬號、印章、支票號碼等信息和票據影像，如果未能對這些電子數據進行必要的保管、訪問控制和銷毀，極易造成客戶重要信息泄露；四是業務連續性，業務集中處理后，一旦出現系統運行故障、外包公司單方毀約等因素導致業務中斷，對全行員業務正常運行造成極大的影響，甚至造成客戶資金損失、賠付等。
(三)集中運營主要的外包風險
結合運營模式轉變后的風險特點，根據巴塞爾的《金融服務外包》的外包風險分類，可將集中運營各階段的服務外包風險細化為六大類，具體風險分類、原因和發生階段.決策階段，是服務外包的第一步，極易產生外包責任風險和運營質量風險，對后續服務外包的實施造成影響，甚至由此引發簽約、執行階段的一系列風險。因此，在決策階段，銀行需要對自身業務進行合理評估，根據風險承擔能力和相關法律、法規要求，明確可實行外包的業務范圍。確定外包業務范圍后，對市場的服務外包商經營能力、資信狀況、服務水平等進行充分的調研，據此制定相應的外包計劃和方案。簽約階段，是銀行和選定外商進行商務談判和合同簽訂的環節，易產生法律風險。因此，在簽約階段，銀行應在合同中明確信息安全、質量控制、連續性管理、人事管理等責任條款、服務標準和賠付要求，同時，考慮到經營環境的不確定性，銀行應具有一定的前瞻性，預計未來可能發生的變化，將相關契約也一并列入合同內，避免因合同條款不明確而對銀行、外包商、客戶造成損失，或增加溝通、訴訟成本。執行階段，是服務外包的具體實施過程，外包商按照合同條款向銀行提供服務，并進行項目管理。此階段易產生數據安全、運營質量、準時交付、經驗技能等風險。因此，在執行階段，銀行應對外包商制定考核方案，根據考核方案做好外包商的服務質量和交付時限控制，監控外包公司信息安全、業務連續性、質量控制等管理制度是否執行到位，同時，銀行應做好外包成本的控制，避免對某一外包商進行專項投資，使銀行、外包商在服務外包過程中達到“雙贏”。結束階段，是銀行和外包商合作完成，外包商退出項目的階段，易產生經營成本風險。如果銀行對外包商過渡依賴，會造成銀行無法擺脫與外包商的服務關系，外包商無法安全退出項目，迫使銀行在接受不利的條款的情況下繼續與其合作，甚至在后續服務外包過程中處于非常被動的地位，使銀行成為被控制的一方。因此，銀行在服務外包實施過程中，還需要密切留意市場其他外包商的情況，避免或減少對單一外包商的專項投資，做好外包商突然中斷服務的應急預案，減少對單一外包商的依賴程度。
四、商業銀行集中運營外包風險管理存在的主要問題
目前，中行、建行、工行、農行、招行等大型全國性商業銀行已基本實施后臺集中運營，并在集中運營過程中引入外包商。運營服務外包業務的蓬勃發展，使商業銀行可以借鑒國外同行的成功經驗，選擇合適的外包商，將非核心業務剝離，提高自身經營效率，降低運營成本，因此，運營服務外包是商業銀行來經營轉型的一個強有力的“推進器”，有利于銀行將更多的財力、物力和人力等資源投入到客戶渠道拓展、新產品研發等核心業務中，但是，在成為“推進器”的同時，運營服務外包也可能給商業銀行的運營帶來連續性斷裂、信息泄露、外包失敗等潛在風險，對運營業務的風險管理也構成一系列的挑戰。
(一)風險管理制度不完善
部分商業銀行在實施集中運營外包前，缺乏風險管理意識，沒有制定相應的準入條件、質量管理、過程監控、安全檢查、資料保管等風險控制制度，或有相關的風險管理制度但不完善，例如，服務標準不明確或不清晰、監控內容未涵蓋外包商的服務內容等，而且，在實施集中運營外包時，也沒有根據實際情況對相應風險管理制度進行調整，使銀行無法全面掌控外包商的執行情況，出現客戶信息泄露、高峰期無法滿足業務需求、作業質量無法達到服務標準等情況，給銀行帶來風險。
(二)風險評價體系不健全
部分商業銀行在實施集中運營外包時，沒有建立外包風險評價體系，或建立的評價體系但評價標準不合理，或評價內容未能覆蓋風險管理范圍，例如，只對外包商的經營狀況、財務能力進行評價，沒有對其資信、服務狀況進行評價；只對外包商進行評價，沒有對業務外包合理性進行評價等，出現將不能外包的業務外包，或把業務外包給無承接能力的外包商處理等情況，從源頭上給銀行帶來風險。
(三)風險防范措施執行不到位
部分商業銀行制定了相應的風險管理制度和防范措施，但是，沒有落實制定要求或執行不到位，例如，實施運營集中外包前，需要對外包商和業務進行風險評價，但銀行只對外包商進行評價，沒有對業務外包的可行性進行評價；在實施過程中，沒有按照制度要求進行質量管理、過程監控，或執行不到位等，出現本可以通過落實制度要求和執行防范措施進行控制的風險仍然出現，風險管理制度成為“一紙空文”或流于形式。
五、商業銀行集中運營外包風險管理的對策
外包風險管理的目標是在充分利用外包降低經營成本、規避經營風險和強化核心競爭力的優勢下，將外包對商業銀行可能帶來的不良影響降務求降到最低，即以最小的經濟成本獲得最大的安全保障效益。因此，實施集中運營外包后，商業銀行需從根本上轉變風險管理觀念，對原有和新增的風險進行重新識別、分析和評估，制定相應的管理機制并嚴格執行。
(一)提高外包風險識別能力
風險管理的前提是對風險進行識別，同時，由于風險具有可變性，風險識別是一項持續性和系統性的工作，提高風險識別能力，有利于商業銀行正確、有效的開展后續風險管理工作。商業銀行集中運營和原有分散式運營模式的風險特征不同，而且，在實施集中運營的過程中引入外包商，使得風險動因更為復雜多變，例如，一般情況下，人員穩定性對操作熟練程度有影響，而操作熟練程度對作業質量有影響。在原分散模式下，銀行正式員工流失率較低，人員流動性對業務質量的影響微乎其微，人員穩定性基本不構成風險。實施集中運營外包后，外包人員流失率遠遠高于行員，使得人員流動性的風險成為重要風險管理內容之一。因此，作為發外包的商業銀行應該樹立正確的外包風險管理意識，根據集中運營的風險特性調險識別方式，通過對各種客觀的資料和風險事故的記錄來分析、歸納和整理，必要時進行專家訪談等，再利用頭腦風暴法、德爾菲法、面談、訪談、流程圖等科學方法，區分外包項目的不同階段，找出明顯或潛在的風險規律，做出定性或者定量評估，提高外包風險的識別能力。
(二)完善外包風險度量和評價體系
在對集中運營的外包風險進行有效識別后，商業銀行應結合業務外包的可行性、外包商的資質、服務后評價等方面內容，建立風險評價體系，并根據監管機構政策調整、市場環境變化、商業銀行制度或修訂等內外部風險動因，適時調整評價系統指標內容和標準。風險評價體系可分為決策準入和監控預警兩部分，決策準入主要是評估外包商財務狀況、經營情況、管理能力、企業規模等條件是否滿足業務承接要求，合同內容和責任條款是否清晰明確，以及商業銀行的業務是否可以外包等；監控預警主要是評估集中運營外包運行情況，監測可能發生的風險動向和侯征，例如外包商的履約情況、作業質量、生熟手比例等指標，對指標的定量計算和監控變動情況，啟動不同的風險管理措施，將風險管理由被動變為主動。對于風險評價體系內的各項內容，利用風險矩陣法、波爾達序值法、多因素層次分析法等方法構建指標體系，并進行準確度量，以區分不同的風險等級，使商業銀行根據不同風險等級做出相應決策或有針對性的執行各種外包風險管理措施。
(三)落實外包風險管理制度
商業銀行建立集中運營外包風險識別、度量、評價、預警、監控等管理體系后，讓這些措施落實到位才是關鍵，制度執行不到位，風險管理工作將大打折扣或偏離原有效果。如何提高執行力，加強風險控制，商業銀行可從主觀和客觀兩方面入手。從主觀方面，商業銀行運營條線須從意識入手，潛移默化，且持之以恒，通過培訓、宣講、場景演示等手段，提高全員的風險防范意識，同時，明確獎懲，建立良好的約束與激勵機制，使員工“不敢為不作為”；從客觀方面，通過一定的外部力量來監督執行情況，避免風險管理制度成為“紙上規章”，例如，定期與不定期的檢查執行情況，現場檢查與飛行檢查相結合等。只有落實到位，才能檢驗風險管理制度的有效性，才能據此對計量標準、風險評級、預警機制等進行調整，使機制運營外包風險管理更全面、更可行、更完善。
六、結束語
綜上所述，國內大型商業銀行基本已實現外集中運營外包，中、小型銀行也在快速發展，但外包風險管理仍處于探索階段，隨著我國金融體制改革的不斷深入，商業銀行為了跟上改革步伐，將會進一步提高核心競爭力、降低經營成本，金融服務外包勢必成為重要的“推進器”，服務外包范圍也會不斷擴大，特別是占用經營成本較大的運營業務。因此，通過分析集中運營的風險特征，探討銀行實施集中運營外包過程中主要存在的外包風險管理問題，提出加強風險識別、完善評價體系和預警機制、嚴格落實管理制度等措施，對商業銀行集中運營外包的風險管理有一定的借鑒意義。
作者:蔚藍 單位:廣州廣發銀行股份有限公司
參考文獻：
[1]閆海峰.金融服務外包風險管理[M].經濟管理出版社,2013
[2]吳國新,郭崢嶸.金融服務外包提供商選擇及風險管理[M].清華大學出版社,2013
[3]王玉輝.商業銀行營運業務集中處理模式的特點及風險分析[J].金融經濟,2014
[4]張娜,江暢,田劍.商業銀行服務外包風險管理的問題與對策研究[J].金融在線,2012
[5]唐柳,李志銘,王軍.銀行業服務外包風險重要性度量的指標體系研究[J].經濟理論與經濟管理,2010
信息安全風險管理制度范文2
企業經營信息對于企業來說是一種資源，對于企業自身來說具有重要意義，企業需要妥善管理自身企業的信息。近年來，企業的各項經營活動都逐漸開始通過計算機，網絡開展，因此，企業的信息安全管理對于企業越來越重要。許多企業開始通過各種技術手段以及制度改革，把更多的注意力放在企業內部的信息安全管理工作，同時將企業信息安全管理與風險控制結合起來，這是一個正確的選擇，能夠幫助企業實現穩定經營。在介紹企業信息安全管理以及風險控制前必須厘清企業信息安全管理的概念與企業風險控制定義，因此，本節將著重介紹企業信息安全管理的概念以及企業風險控制的定義。
企業的信息安全管理包含十分豐富的內容，簡單來說是指企業通過各種手段來保護企業硬件和軟件，保護網絡存儲中的各種數據不受偶然因素的破壞或者惡意的原因被攻擊。對于信息安全的認定通過包括4個指標，即保證信息數據的完整，保證信息數據不被泄露，保證信息數據能夠正常使用，保證信息數據能夠控制管理。要想做好企業的信息安全管理，首先需要了解的是關于信息的傳輸方式。隨著信息技術的不斷普及，信息傳遞的方式越來越多，常見的信息傳遞方式主要有互聯網傳播，局域網傳播，硬件傳播等等。要想實現企業的信息安全管理，其中很重要的一項工作在于保護信源、信號以及信息。信息安全管理是一項需要綜合學科知識基礎的工作，從事企業信息安全管理工作的人員通過需要具有網絡安全技術、計算機技術、密碼技術、通信技術。從企業的信息安全管理來講，最為關鍵的一項工作時保護企業內部經營信息數據的完整。經過近十年來的企業信息安全管理工作經驗總結，企業信息安全不僅僅需要信息技術的支持，更需要通過建立完善的企業風險控制體系來幫助企業實現更好地保護企業信息安全的目標。
所以，怎樣把企業信息安全管理與風險控制融合起來就是擺在企業經營管理者面前的一道難題。企業的信息安全風險控制必須通過企業建立完善的企業信息安全風險體系實現。企業的信息安全風險控制是指企業在企業信息安全遭遇威脅之前，提前對企業的信息進行風險預估，并采取一系列的有針對性的活動降低企業面臨的信息安全風險，從而盡可能減少因為企業本身信息安全管理中存在漏洞給企業帶來不必要的損失。常見的企業信息安全風險體系建立主要包含以下幾個方面的內容。第一，建立企業信息安全風險管理制度，明確企業信息安全管理的責任分配機制，明確企業各個部門對各自信息安全所應承擔的責任，并建立相應的問責機制。第二，設置規范的企業信息安全風險管理指標，對企業存在的可能威脅企業信息安全管理的漏洞予以風險定級，方便企業管理者對不同的信息安全管理漏洞采取有區別的對策。第三，企業要加強對信息安全管理人員的培訓，提高企業信息安全管理工作人員的風險意識，讓企業內部從事信息安全管理工作人員認識到自身工作的重要性，讓企業內部從事信息安全管理工作人員了解到規范自身行為，正確履行職責的重要性。第四，將企業信息安全管理與風險控制有效融合，重視企業信息安全管理工作，通過風險控制對企業內部信息安全的管理方式進行正確評估，找出現行的企業內部信息安全管理手段中存在容易忽視的地方。
二、企業信息安全管理與風險控制存在的不足
1.企業信息安全管理工作人員素質不高
對于企業來說，企業信息安全管理工作是一項極為重要而隱秘的工作，因此，必須增強對企業信息安全管理工作人員的素質要求。但是根據調查統計，目前很多企業對信息安全工作的管理僅僅停留在對企業信息安全管理工作人員的技術要求上，對企業信息安全管理工作人員的道德素養，職業素養，風險意識并沒有嚴格要求。此外，絕大多數企業并沒有意識開展對企業信息安全管理工作的道德素質的教育培訓，并沒有通過建立相關管理制度以及問責機制對企業信息安全管理工作人員實行監督，這無疑給別有用心或者立場不堅定的企業信息安全管理工作人員留下了危害企業信息安全的可乘之機。
2.企業信息安全管理技術不過關
企業信息安全管理工作涉及多許多技術，包括信息技術，計算機技術，密碼技術，網絡應用技術等等，應當說成熟的計算機應用技術是做好企業信息安全管理的基礎，但是，現實是許多企業的信息安全管理技術并不過關，一方面企業的信息安全管理硬件并不過關，在物理層面對企業信息缺乏保護，另一方面，企業信息安全管理工作的專業技術沒有及時更新，一些企業信息安全管理工作人員缺乏企業信息安全管理的實踐經驗，企業信息安全管理的知識也并沒有及時更新，從而導致企業的信息安全管理理論嚴重滯后，這種技術的落后很容易讓企業成為不法分子的攻擊對象。近年來網絡病毒的傳播越來越猖狂，很多服務器、系統提示安全補丁的下載更新以及客戶端的時常更新成為一個惱人的問題。作為一個行業中的大中型企業，企業內部設備數量比較多，尤其是客戶端數量占了較大比重，僅僅靠少數幾個管理員進行管理是難以承擔如此大量的工作量。另外，企業信息安全管理系統不成熟也是一個重大的隱患。
3.企業信息安全管理制度不健全
企業信息安全管理制度不僅僅需要理論制度的完善，更加需要一系列配套監督機制保障企業信息安全管理的有效執行。通過調查分析，許多企業雖然建立了企業信息安全管理制度，但是通常情況下，這些制度只能流于形式，企業信息安全管理工作缺少有效的制約和監督，企業信息安全管理工作人員缺乏執行力。企業信息安全管理制度不健全，企業信息安全管理工作缺乏執行力常常體現在以下幾個方面。第一，企業員工對于信息安全管理的認識嚴重不足，對企業信息安全管理工作不重視。企業內部計算機系統安全的計算機防病毒軟件并沒有及時更新，使用，甚至企業內部計算機的防病毒軟件還被企業員工卸載了。部分企業員工認為自己的工作與企業信息安全管理不相關，認為做好企業信息安全管理工作僅僅是企業信息安全部門的事。第二，企業內部信息安全管理制度并沒有形成聯動機制，企業信息安全管理工作僅僅由企業信息安全部門“一人包干”，企業信息安全反映的問題并沒有得到積極的反饋，一些企業領導對企業信息安全現狀所了解的少之又少。
三、企業信息安全管理常見的技術手段
1.OSI安全體系結構
OSI概念化的安全體系結構是一個多層次的結構，它的設計初衷是面向客戶的，提供給客戶各種安全應用，安全應用必須依靠安全服務來實現，而安全服務又是由各種安全機制來保障的。所以，安全服務標志著一個安全系統的抗風險的能力，安全服務數量越多，系統就越安全。
2.P2DR模型
P2DR模型包含四個部分：響應、安全策略、檢測、防護。安全策略是信息安全的重點，為安全管理提供管理途徑和保障手段。因此，要想實施動態網絡安全循環過程，必須制定一個企業的安全模式。在安全策略的指導下實施所有的檢測、防護、響應，防護通常是通過采用一些傳統的靜態安全技術或者方法來突破的，比如有防火墻、訪問控制、加密、認證等方法，檢測是動態響應的判斷依據，同時也是有力落實安全策略的實施工具，通過監視來自網絡的入侵行為，可以檢測出騷擾行為或錯誤程序導致的網絡不安全因素；經過不斷地監測網絡和系統來發現新的隱患和弱點。在安全系統中，應急響應占有重要的地位，它是解決危險潛在性的最有效的辦法。
3.HTP模型
HTP最為強調企業信息安全管理工作人員在整個系統中的價值。企業信息安全工作人員企業信息安全最為關鍵的參與者，企業信息安全工作人員直接主導企業信息安全管理工作，企業信息安全工作人員不僅僅是企業信息安全的保障者，也是企業信息安全管理的威脅者。因此，HTP模型最為強調對企業信息安全管理工作人員的管理與監督。另外，HTP模式同樣是建立在企業信心安全體系，信息安全技術防范的基礎上，HTP模式采取了豐富的安全技術手段確保企業的信息安全。最后，HTP強調動態管理，動態監督，對于企業信息安全管理工作始終保持高強度的監督與管理，在實際工作中，通過HTP模型的應用，找出HTP模型中的漏洞并不斷完善。
四、完善企業信息安全管理與降低風險的建議
1.建設企業信息安全管理系統
（1）充分調查和分析企業的安全系統，建立一個全面合理的系統模型，安全系統被劃分成各個子系統，明確實施步驟和功能摸塊，將企業常規管理工作和安全管理聯動協議相融合，實現信息安全監控的有效性和高效性。
（2）成立一個中央數據庫，整合分布式數據庫里的數據，把企業的所有數據上傳到中央數據庫，實現企業數據信息的集中管理與有效運用。
（3）設計優良的人機界面，通過對企業數據信息進行有效的運用，為企業管理階層人員、各級領導及時提供各種信息，為企業領導的正確決策提供數據支持，根本上提高信息數據的管理水平。
（4）簡化企業內部的信息傳輸通道，對應用程序和數據庫進行程序化設計，加強對提高企業內部信息處理的規范性和準確性。
2.設計企業信息安全管理風險體系
（1）確定信息安全風險評估的目標
在企業信息安全管理風險體系的設計過程中，首要工作是設計企業信息安全風險評估的目標，只有明確了企業信息安全管理的目標，明確了企業信息安全管理的要求和工作能容，才能建立相關圍繞信息安全風險控制為目標的信息安全管理工作制度，才能順利通過對風險控制的結果的定量考核，檢測企業信息安全管理的風險，定性定量地企業信息安全管理工作進行分析，找準企業信息安全管理的工作辦法。
（2）確定信息安全風險評估的范圍
不同企業對于風險的承受能力是有區別的，因此，對于不同的企業的特殊性應該采取不同的風險控制辦法，其中，不同企業對于能夠承受的信息安全風范圍有所不同，企業的信息安全風險承受范圍需要根據企業的實際能力來制定。不僅如此，企業的信息安全風險評估范圍也應當根據企業的實際經營情況變化采取有針對性的辦法。
信息安全風險管理制度范文3
【 關鍵詞 】 高校；科研機構；信息安全；對策
Discussion on Scientific Research Institution of Universities in
Information Security Management and Measures
Zhang Jian-hua
(President Office, Beijing University of Aeronautics and Astronautics Beijing 100191)
【 Abstract 】 In the light of the information security management problems of scientific research institution of universities, the measures are put forward to enhance the construction of information security level strategy from management and technology two respects.
【 Keywords 】 universities; scientific research institution; information security; measures
1 引言
隨著信息技術的發展和信息化應用的日趨深入，信息安全建設及其應用正在成為教育科研單位日常教育管理和科研生產不可或缺的一環。高校等科研單位對信息安全管理的認識程度越來越高，研究院等單位的信息系統規模和水平也在不斷攀升，然而隨著高校各系統建設程度的不斷完善，以高校為代表的科研機構的信息安全管理問題也愈加突出。
2 高?？蒲袡C構存在的信息安全管理問題
近年來，高校等科研機構逐步認識到信息安全對于自身的重要性，于是不少單位成立了“信息管理部門”來推行統一的管理規范和進行信息安全知識普及，其主要目的是為了從安全技術和管理兩個方面來解決高校中科研機構的信息安全問題，充分提高機構人員的信息安全管理意識和保密工作的能力。當下，雖然有一些高校的科研單位在信息安全和管理建設方面已經取得了長足的進步，但其科研單位內部仍然存在著很多問題。
(1)首先，在以往長期封閉的科研環境影響下，相關科研人員目前依然不具備良好的安全意識，對于信息安全的認識水平不高。同時高校等相關管理部門較容易忽視信息安全在其科研系統中的發展戰略和計劃，這些都間接導致了信息安全管理制度推行力度不夠，實施安全教育的硬性條件有限。其次，由于學科建設和專業水平所限，也使得國內技術過硬的信息安全專業人才供應不足，間接影響了相關單位的人才儲備水平。
(2)當下許多高校等科研單位在信息系統不斷增加的情況下，對以往基礎設施配備水平存在著一定的依賴性，不能夠很好的適應新環境。在信息系統運作業務的安全風險和意識提升上，又缺乏有效性驗證與評估辦法?，F實中的任何信息系統都是一連串復雜的環節，信息安全措施必須滲透到信息系統的每一個部位，其中一些問題的解決方案，需要信息系統的設計人員、測試人員和使用人員都熟知并能夠成為規范來遵守。
(3)不安全因素對于信息系統而言總是存在的，沒有任何一個信息管理方法能提供絕對的保障。因此，高校等科研單位在認識和進行信息系統安全管理教育的時候，應該著重加強基層人員的信息安全管理實踐教育，應讓相關人員充分意識到，雖然信息安全建設并非意在建設一個創收的平臺，但它是一個保障科研成果和提升工作效率的平臺。管理者有必要做出適合科研單位進行教育實施的信息安全教育發展戰略和計劃，充分加強信息安全教育在管理實踐上的投入，嚴格有效地執行相應的安全策略、安全措施和安全管理制度，以最大限度避免使用和管理信息系統時的固有風險。
(4)近年來，我國大型科研單位相繼出現過不同程度的泄密事件，這些事件的直接后果是不僅導致了科研成果的流失，還造成了較大程度的經濟損失和不良的社會影響。雖然各大信息系統工程和信息化程度要求非常高的相關行業，也都出臺了對信息安全技術產品的應用標準和規范，但只有建立一個嚴格的信息安全管理策略，才能全面的保障其安全性。
3 解決高?？蒲袡C構存在的信息安全的對策
3.1 技術層面
在技術層面上：高?？蒲泄芾硐到y是以計算機和數據庫通信網絡為基礎的應用管理系統，是一個開放式的互聯網絡系統，與網絡系統連接的任何終端用戶都可以進人和訪問網絡中的資源。作為信息通訊數據平臺，其所受到的安全威脅主要存在于信息通信傳輸、存儲和加工的各個階段。因此在制定技術對策方面就需要制定統一全面的安全策略，同時也注重建設統一認證和授權管理系統，通過硬件接入設備和定制化管理軟件的配合部署，加強網絡層面和應用層面的安全資源整合，形成覆蓋全網的科研信息化安全保障能力，并充分利用自主創新的科研信息化安全技術，不斷增強基礎運行平臺的網絡安全能力，為科研信息化基礎環境和應用系統提供有力的安全保障。
在保障網絡基礎設施和重要應用系統的安全方面，一方面需要構建身份認證管理系統、網絡安全管理平臺、惡意代碼防護系統、安全審計平臺等面向全網用戶的網絡安全基礎設施，實現實時預警、事件分析、決策支持、資源調度等功能；另一方面需要建立起包括安全咨詢、安全規劃、安全檢測、安全培訓等環節在內的安全服務體系，引入除技術體系和管理體系以外的第三方服務支持，實現安全事件的及時發現。
3.2 管理和教育層面
在管理和教育層面上：以企業為參考標度，對高校科研機構工作人員進行信息安全意識以及管理實踐知識的普及，將信息安全管理理念提到戰略高度來看待。充分遵循信息安全流程制定相應管理制度，除技術保障外，將人員、網絡、環境有關的技術和管理規程的有機集合充分納入其中。充分認識到信息安全管理實踐是保障信息實現有效管理與控制的重要途徑。所在部門應客觀評估實現信息安全管理的需求水平，落實安全的組織和管理人員，明確每個人的角色與職責；制定并開發安全規劃和策略，定期開展培訓和工作會議；實施風險管理制度，制定業務持續性計劃和災難環境下恢復計劃；選擇實施安全措施；保證配置、變更的正確與安全；進行安全審計；保證維護支持；進行監控、檢查、處理安全事件。針對專業人員的培訓和績效需要有效結合目標管理和信息安全管理兩方面來展開。
3.3 管理政策層面
在整個管理策略的制定上：建議采用分級策略，如果高校對于自身科研信息安全風險水平認定為較高，而自身建設能力有限，則可以考慮與相關專業咨詢機構合作，引入專家機制來完成相關工作，提升建設效率。
4 結束語
在國家大力推行科教興國與自主創新發展戰略的今天，信息安全建設對于保障科技創新自有成果，確保自主知識產權的創造價值，都有著極其重要的作用。而如何確保其信息安全能夠實現自主可控的目標，也是以高校為代表的科研機構行使和保障自身合法權益的重要途徑。因此我們必須綜合多方因素，系統考量，盡可能提供全面的、多方位的信息安全建設策略和信息安全管理與教育規范，以切實滿足高校等科研單位對信息安全保障體系的需求，降低科研成果的安全風險，發揮高效的科研效率，保障科研生產的安全順利進行。
參考文獻
[1] 張廣欽．信息管理教程[M]．北京：北京大學出版社，2005.
[2] 徐茂智．信息安全概論[M]．北京：人民郵電出版社，2007.
[3] 彭盛宏.淺析校園網存在的安全隱患及其對策[J].信息安全與技術，2012，(1).
信息安全風險管理制度范文4
一、信息化建設基本情況
（一）系統應用和研發模式
目前，XX市信合建成了以核心業務、信貸管理、財務總賬管理三大業務處理系統為基礎，以ATM、POS、電話銀行、網上銀行等自助銀行服務為觸角的集中式業務處理平臺，同時提供人民銀行大小額支付、農信銀支付結算等柜面服務。投入運行的業務系統11大類50余種，核心業務平臺是信合和中聯公司（香港）聯合開發，版權共同所有。布放特約商戶POS設備210臺，布放助農取款POS設備155臺，自助設備45臺。
（二）安全管理和制度建設
2009年XX省聯社為加強綜合業務網絡系統生產運行安全管理，明確省聯社科技信息部、各地市信息科、各聯社運行管理部在安全管理中的職責范圍，規范安全運行管理工作流程，建立了科學有效的安全運行問題響應解決機制，保證了XX省農信社綜合業務網絡系統安全、高效、穩定地運行，更好地為各級聯社的業務發展和經營管理服務。省聯社根據人民銀行《銀行類金融機構網絡與信息安全防范工作指引》和中國銀監會《銀行業金融機構信息系統風險管理指引》的相關要求，結合省聯社自身實際情況，制訂了《XX省農村合作金融機構綜合業務網絡系統安全運行管理辦法》。XX市信合在轄內對該辦法進行了轉發，并將其作為日常管理的依據。
（三）組織管理和人員配備
XX市信合營業網點20家，其中，10家信用社，1家直管分設，9家分社。信息科技從業人員9人，其中，中心機房工作人員3人，辦事處1人，網點5人，計算機專業畢業4人。主要負責全市信息科技系統日常運行維護、故障處理及安全管理。
二、存在風險分析
（一）技術依賴于外部，底層技術難以掌握，存在安全隱患
目前，我國金融業信息系統和網絡中，大量使用國外廠商生產的設備，這些設備使用的操作系統、數據庫、芯片也大多數是由國外廠商生產。外方不可能提供設備的核心技術和專利，我方很難判斷設備是否存在“后門”、“軟件陷阱”、“系統漏洞”、“軟件炸彈”等安全漏洞。據調查，一些重要網絡系統中使用的信息技術產品，都不可避免地存在一定的安全漏洞。這些漏洞可能是開發過程中有意預留，也可能是無意疏忽造成的。特殊情況下，特定安全漏洞可能被利用實施入侵，修改或破壞設備程序，或從設備中竊取機密數據和信息。曾經有段時間國外炒作的IC卡安全問題以及近年來出現的微軟“黑屏事件”，已經為我們敲響了警鐘。
銀行IT外包能夠幫助銀行全面提高信息產品的科技含量，縮短新產品的開發周期，全面提升IT服務水平，使銀行能夠專注于核心業務。但是，IT外包并非十全十美，而是一柄雙刃劍，它在幫助銀行提升服務水平的同時，也可能會帶來一系列的不確定因素，從而使銀行面臨著長期的潛在風險。IT外包風險首先在于服務商能否長期穩定地為銀行提供高質量服務，對于信息系統故障能否及時響應并修復，以保障銀行業務的連續性。其次，外包服務商在和銀行密切往來過程中會獲取一些銀行的內部機密信息，給銀行帶來商業秘密泄露的風險。再次，銀行對于外包服務商的過度依賴性也是一種風險，將導致銀行在合同談判中處于不利地位，同時也會造成銀行自身員工IT服務水平和創新能力受到限制。此外，外包公司人員長期和銀行來往甚至常駐銀行，但對銀行規章制度的理解與執行上和銀行員工相比存在一定差距，也可能會帶來風險隱患等。
（二）制度局限于省聯社制訂的制度，與實際業務發展有不適應之處，執行力不夠
目前，XX市信合在信息管理方面使用的《XX省農村合作金融機構綜合業務網絡系統安全運行管理辦法》涵蓋了系統運行管理、機房設備管理、通信網絡及相關設備管理、信息系統變更管理、應急管理、信息系統問題管理等，對全省各社來說具有普遍性和指導性，但具體到各社，還需要結合自身的實際情況制訂針對性、操作性較強的辦法、規定。如：該制度應急管理部分，指導性的明確應急管理中部門職責，并沒有明確應急領導小組成員和組織應急演練的內容、流程，這需要各社自己制定應急演練內容、流程、頻度，并通過應急演練和生產實際環境的變化不斷地進行補充和完善。
（三）科技人才不足，與實際業務需要不匹配，存在安全隱患
科技人才是信息化核心力量，是信息系統、網絡系統安全運行的保障。XX市某區縣信用聯社科技人員1人，既是部門負責人，又是具體工作人員，天長日久從心理上會厭煩此項工作，不利于人才的穩定，不利于調動工作的積極性，不利于各項工作的開展，大大地降低了制度的執行力和落實力，從而造成一定的安全隱患。
三、對策建議
（一）提高政府部門對銀行業信息化建設統籌指導的力度
一是目前國內沒有哪個科技企業能“通吃”一個銀行的所有業務系統，建議國家扶持幾個具有一定基礎且綜合實力相對雄厚的民族企業，解決業務系統由不同IT企業建設帶來的系統之間不能很好的整合和數據難以深度利用的問題；二是四大國有商業銀行具有龐大的開發團隊，國家應鼓勵四大國有商業銀行在信息化建設方面幫扶中小商業銀行，在政策上給予優惠；三是人民銀行、銀監會要從國家的宏觀方面出發，提升對銀行業的信息化建設統籌指導能力；四是政府鼓勵信息科技風險防范技術創新性研究。加強金融技術創新性研究，用新技術裝備信息系統，以提高信息系統的自我風險抵御能力，是中小商業銀行提高信息科技風險防御能力的一個重要方法。只有不斷通過創新性技術完善信息系統，抵御新的風險，才能有效提高信息系統的安全性。由于電子支付系統直接面向客戶，其脆弱點更容易為外界所熟悉并利用，因此，各中小商業銀行應重點關注電子銀行系統的風險防范創新性技術。一方面是通過智力投入并輔以激勵機制提高內部員工的創新能力；另一方面，中小商業銀行可以借鑒大行做法，借助科研機構力量，提供業務需求，而由科研機構完成具體的研發工作。比如，中國工商銀行率先在網上銀行中引入預留信息方法，可以有效防范釣魚網站的欺騙。中小商業銀行可以利用模式識別、圖像處理技術開發自助設備的實時監控系統，利用生物特征開發虹膜認證和指紋認證等產品，從而有效提高電子銀行系統的安全性能。
（二）提高IT外包管理服務精度
IT外包的本質是銀行與外包服務商的一種商業合作，與銀行內部的其他信息科技風險相比，它所產生的風險雖不直接影響到銀行業務，卻關系到商業銀行能否保持信息服務的競爭力，進而影響到商業銀行的市場地位，具有一定的特殊性。IT外包風險存在于外包服務過程中的每一個環節，需要對外包服務進行全程的精細化管理。一是通過對外包服務商所提供的服務作全面準確的評估，選擇一個值得信賴、具有相當資質、能夠長期合作的IT服務商，這是對技術外包服務進行精細化管理的前提條件。二是簽署詳細、具體的外包合同，包括外包服務的內容和服務范圍、雙方在合同中的權利和義務、產權轉移方式、后續維護方案、安全性和保密性的要求等。三是在IT外包合同執行期間，銀行要對服務商進行持續、有效的監督，IT專家、風險管理專家、審計專家要定期和不定期地對服務商進行檢查，及時掌握合同的履行情況，并督促服務商按期保質地完成合同規定的各項任務。四是在外包服務中，商業銀行要積極主動地學習，積累經驗，盡可能地掌握技術要點，以降低依賴性風險，并爭取開發和生產具有完全自主知識產權的信息系統。
（三）建立完善的信息科技風險管理制度
制度是安全生產的生命線，要有效防控信息科技風險，首要是建立完善的信息科技安全管理制度，以制度約束人的行為，以制度明確人的責任，以制度指導人的思想。中小商業銀行務必高度重視信息科技安全管理制度的建立與完善，以安全生產為主線，深入分析信息系統風險點，有的放矢，從快、從嚴建立內部管理制度。同時還應積極跟蹤信息系統運行狀況，及時發現新問題、新風險點，并及時完善制度，從源頭上盡可能地排除隱患。信息科技工作者必須不折不扣地執行制度，或者提出合理化建議來修訂制度，使制度成為一切工作的基本準則，人人“重制度，守制度”，真正給安全生產拉起一道難以跨越的防御線。中小商業銀行的董事會、監事會和高級管理層要切實監督信息科技安全管理制度的執行情況，對整個信息科技風險的防控工作全盤把握，其責任覆蓋商業銀行自上而下的信息科技風險管理體系。
（四）培養和選拔優秀的科技人才
信息安全風險管理制度范文5
0引言
隨著光纖寬帶、移動電話、移動互聯網的普及，通信服務在我們的日常生活中發揮了越來越重要的作用。伴隨社會的信息化推進，通信技術也得到了快速發展。通信得到了社會的廣泛認可。近年來，伴隨著互聯網技術在全球迅猛發展，信息化給人們提供了極大的便利，然而，同時我們也正受到日益嚴重的來自網絡的安全威脅，比如黑客攻擊、重要信息被盜等，網絡安全事件頻發，給人們的財產和精神帶來很大損失。但是，在世界范圍內，黑客活動越來越猖狂，黑客攻擊者無孔不入，對信息系統的安全造成了很大的威脅，對社會造成了嚴重的危害。除此之外，互聯網上黑客網站還在不斷增加，這就給黑客更多的學習攻擊的信息，在黑客網站上，學習黑客技術、獲得黑客攻擊工具變得輕而易舉，更是加大了對互聯網的威脅。如何才能保障信息系統的信息安全，怎樣才能確保網絡信息的安全性，尤其是網絡上重要的數據的安全性。
在通信領域，信息安全尤為重要，它是通信安全的重要環節。在通信組織運作時，信息安全是維護通信安全的重要內容。通信涉及到我們生活的許多方面，小到人與人之間聯系的紐帶，大到國與國之間的信息交流。因此，研究信息安全和防護具有重要的現實意義。
一、通信運用中加強信息安全和防護的必要性
1.1搞好信息安全防護是確保國家安全的重要前提
眾所周知，未來的社會是信息化的社會，網絡空間的爭奪尤其激烈。信息化成為國家之間競爭的焦點，如果信息安全防護工作跟不上，一個國家可能面臨信息被竊、網絡被毀、指揮系統癱瘓、制信息權喪失的嚴重后果。因此，信息安全防護不僅是未來戰爭勝利的重要保障，而且將作為交戰雙方信息攻防的重要手段，貫穿戰爭的全過程。一旦信息安全出現問題，可能導致整個國家的經濟癱瘓，戰爭和軍事領域是這樣，政治、經濟、文化、科技等領域也不例外。信息安全關系到國家的生死存亡，關系到世界的安定和平。比如，美國加利弗尼亞州銀行協會的曾經發出一份報告，稱如果該銀行的數據庫系統遭到網絡“黑客”的破壞，造成的后果將是致命的，3天就會影響加州的經濟，5天就能波及全美經濟，7天會使全世界經濟遭受損失。鑒于信息安全如此重要，美國國家委員會早在2000年初的《國家安全戰備報告》里就強調：執行國家安全政策時把信息安全放在重要位置。俄羅斯于2000年通過的《國家信息安全學說》，第一次把信息安全擺在戰略地位。并從理論和時間中加強信息安全的防護。近年來，我國也越來越重視信息安全問題，相關的研究層出不窮，為我國信息安全的發展奠定了基礎。
1.2我國信息安全面臨的形勢十分嚴峻
信息安全是國家安全的重要組成部分，它不僅體現在軍事信息安全上，同時也涉及到政治、經濟、文化等各方面。當今社會，由于國家活動對信息和信息網絡的依賴性越來越大，所以一旦信息系統遭到破壞，就可能導致整個國家能源供應的中斷、經濟活動的癱瘓、國防力量的削弱和社會秩序的混亂，其后果不堪設想。由于我國信息化起步較晚，目前信息化系統大多數還處在“不設防’，的狀態下，國防信息安全的形勢十分嚴峻。具體體現在以卜幾個方面：首先，全社會對信息安全的認識還比較模糊。很多人對信息安全缺乏足夠的了解，對因忽視信息安全而可能造成的重大危害還認識不足，信息安全觀念還十分淡薄。因此，在研究開發信息系統過程中對信息安全問題不夠重視，許多應用系統處在不設防狀態，具有極大的風險性和危險性。其次，我國的信息化系統還嚴重依賴大量的信息技術及設備極有可能對我國信息系統埋下不安全的隱患。無論是在計算機硬件上，還是在計算機軟件上，我國信息化系統的國產率還較低，而在引進國外技術和設備的過程中，又缺乏必要的信息安全檢測和改造。再次，在軍事領域，通過網絡泄密的事故屢有發生，敵對勢力“黑客”攻擊對我軍事信息安全危害極大。最后，我國國家信息安全防護管理機構缺乏權威，協調不夠，對信息系統的監督管理還不夠有力。各信息系統條塊分割、相互隔離，管理混亂，缺乏與信息化進程相一致的國家信息安全總體規劃，妨礙了信息安全管理的方針、原則和國家有關法規的貫徹執行。
二、通信中存在的信息安全問題
2.1信息網絡安全意識有待加強
我國的信息在傳輸的過程中，特別是軍事信息，由于存在擴散和較為敏感的特征，有的人利用了這一特點采取種種手段截獲信息，以便了解和掌握對方的新措施。更有甚者，在信息網絡運行管理和使用中，更多的是考慮效益、速度和便捷。而把安全、保密等置之度外。因此，我們更要深層次地加強網絡安全方面的觀念，認識到信息安全防護工作不僅僅是操作人員的“專利”，它更需要所有相關人員來共同防護。
2.2信息網絡安全核心技術貧乏
目前，我國在信息安全技術領域自主知識產權產品少采用的基礎硬件操作系統和數據庫等系統軟件大部分依賴國外產品。有些設備更是拿來就用，忽略了一定的安全隱患。技術上的落后，使得設備受制于人。因此，我們要加大對信息網絡安全關鍵技術的研發，避免出現信息泄露的“后門”。
2.3信息網絡安全防護體系不完善
防護體系是系統頂層設計的一個重要組成部分，是保證各系統之間可集成、可互操作的關鍵。以前信息網絡安全防護主要是進行一對一的攻防，技術單一?，F代化的信息網絡安全防護體系已經成為一個規模龐大、技術復雜、獨具特色的重要信息子系統，并擔負著網絡攻防對抗的重任。因此，現代化信息網絡安全防護體系的建立應具有多效地安全防護機制、安全防護服務和相應的安全防護管理措施等內容。
2.4信息網絡安全管理人才缺乏
高級系統管理人才缺乏，已成為影響我軍信息網絡安全防護的因素之一。信息網絡安全管理人才不僅要精通計算機網絡技術，還要熟悉安全技術。既要具有豐富的網絡工程建設經驗，又要具備管理知識。顯然，加大信息安全人才的培養任重而道遠。
三、通信組織運用中的網絡安全防護
網絡安全是通信系統安全的重要環節。保障通信組織的安全主要是保障網絡安全。網絡安全備受關注，如何防范病毒入侵、保護信息安全是人們關心的問題，筆者總結了幾點常用的防范措施，遵循這些措施可以降低風險發生的概率，進而降低通信組織中信息安全事故發生的概率。
3.1數據備份
對重要信息資料要及時備份，或預存影像資料，保證資料的安全和完整。設置口令，定期更換，以防止人為因素導致重要資料的泄露和丟失。利用鏡像技術，在磁盤子系統中有兩個系統進行同樣的工作，當其中一個系統故障時，另一個系統仍然能正常工作。加密對網絡通信加密，以防止網絡被竊聽和截取，尤其是絕密文件更要加密處理，并定期更換密碼。另外，文件廢棄處理時對重要文件粉碎處理，并確保文件不可識別。
3.2防治病毒
保障信息系統安全的另一個重要措施是病毒防治。安裝殺毒軟件，定期檢查病毒。嚴格檢查引入的軟盤或下載的軟件和文檔的安全性，保證在使用前對軟盤進行病毒檢查，殺毒軟件應及時更新版本。一旦發現正在流行的病毒，要及時采取相應的措施，保障信息資料的安全。
3.3提高物理安全
物理安全是保障網絡和信息系統安全的基本保障，機房的安全尤為重要，要嚴格監管機房人員的出入，堅決執行出入管理制度，對機房工作人員要嚴格審查，做到專人專職、專職專責。另外，可以在機房安裝許多裝置以確保計算機和計算機設備的安全，例如用高強度電纜在計算機的機箱穿過。但是，所有其他裝置的安裝，都要確保不損害或者妨礙計算機的操作。
3.4安裝補丁軟件
為避免人為因素(如黑客攻擊)對計算機造成威脅，要及時安裝各種安全補丁程序，不要給入侵者以可乘之機。一旦系統存在安全漏洞，將會迅速傳播，若不及時修正，可能導致無法預料的結果。為了保障系統的安全運行，可以及時關注一些大公司的網站上的系統安全漏洞說明，根據其附有的解決方法，及時安裝補丁軟件。用戶可以經常訪問這些站點以獲取有用的信息。
3.5構筑防火墻
構筑系統防火墻是一種很有效的防御措施。防火墻是有經驗豐富的專業技術人員設置的，能阻止一般性病毒入侵系統。防火墻的不足之處是很難防止來自內部的攻擊，也不能阻止惡意代碼的入侵，如病毒和特洛伊木馬。
四、加強通信運用中的信息安全與防護的幾點建議
為了應付信息安全所面臨的嚴峻挑戰，我們有必要從以下幾個方面著手，加強國防信息安全建設。
4.1要加強宣傳教育，切實增強全民的國防信息安全意識
在全社會范圍內普及信息安全知識，樹立敵情觀念、紀律觀念和法制觀念，強化社會各界的信息安全意識，營造一個良好的信息安全防護環境。各級領導要充分認識自己在信息安全防護工作中的重大責仟‘一方而要經常分析新形勢卜信息安全工作形勢，自覺針對存在的薄弱環節，采取各種措施，把這項工作做好;另一方面要結合工作實際，進行以安全防護知識、理論、技術以及有關法規為內容的自我學習和教育。
4.2要建立完備的信息安全法律法規
信息安全需要建立完備的法律法規保護。自國家《保密法》頒布實施以來，我國先后制定和頒布了《關于維護互聯網安全的決定》、《計算機信息網絡國際聯網安全保護管理辦法》、《中華人民共和國計算機信息系統安全保護條例》、《計算機信息系統國際聯網保密管理規定》、《計算機信息系統安全專用產品檢測和銷售許可證管理辦法》、《計算機信息系統安全專用產品分類原則》、《金融機構計算機信息系統安全保護工作暫行規定》等一系列信息安全方面的法律法規，但從整體上看，我國信息安全法規建設尚處在起步階段，層次不高，具備完整性、適用性和針對性的信息安全法律體系尚未完全形成。因此，我們應當加快信息安全有關法律法規的研究，及早建立我國信息安全法律法規體系。
4.3要加強信息管理
要成立國家信息安全機構，研究確立國家信息安全的重大決策，制定和國家信息安全政策。在此基礎上，成立地方各部門的信息安全管理機構，建立相應的信息安全管理制度，對其所屬地區和部門內的信息安全實行統一管理。
4.4要加強信息安全技術開發，提高信息安全防護技術水平
沒有先進、有效的信息安全技術，國家信息安全就是一句空話。因此，我們必須借鑒國外先進技術，自主進行信息安全關鍵技術的研發和運用。大力發展防火墻技術，開發出高度安全性、高度透明性和高度網絡化的國產自主知識產權的防火墻。積極發展計算機網絡病毒防治技術，加強計算機網絡安全管理，為保護國家信息安全打卜一個良好的基礎。
4.5加強計算機系統網絡風險的防范加強網絡安全防范是風險防范的重要環節
首先，可以采取更新技術、更新設備的方式。并且要加強工作人員風險意識，加大網絡安全教育的投入。其次，重要數據和信息要及時備份，也可采用影像技術提高資料的完整性。第三，及時更新殺毒軟件版本，殺毒軟件可將部分病毒拒之門外，殺毒軟件更新提高了防御病毒攻擊的能力。第五，對重要信息采取加密技術，密碼設置應包含數字、字母和其他字符。加密處理可以防止內部信息在網絡上被非授權用戶攔截。第六，嚴格執行權限控制，做好信息安全管理工作?！叭旨夹g，七分管理”，可見信息安全管理在預防風險時的重要性，只有加強監管和管理，才能使信息安全更上一個臺階。
4.6建立和完善計算機系統風險防范的管理制度
建立完善的防范風險的制度是預防風險的基礎，是進行信息安全管理和防護的標準。首先，要高度重視安全問題。隨著信息技術的發展，攻擊者的攻擊手段也在不斷進化，面對高智商的入侵者，我們必須不惜投入大量人力、物力、財力來研究和防范風險。在研究安全技術和防范風險的策略時，可以借鑒國外相關研究，尤其是一些發達國家，他們信息技術起步早，風險評估研究也很成熟，我們可以借鑒他們的管理措施，結合我們的實際，應用到風險防范中，形成風險管理制度，嚴格執行。
其次，應當設立信息安全管理的專門機構，并配備專業技術人才，選拔防范風險的技術骨干，開展對信息安全技術的研究，對系統弱點進行風險評估，及時采取補救措施。完善信息安全措施，并落實到信息安全管理中去。
五、結論
通信在生活中有著廣泛的應用，涉及到人們生活的方方面面。它構建安全的通信系統是進行通信組織運用中信息安全防護的前提。通信系統網絡安全防護體系應以一個良好的安全策略為起點，建立在安全的網絡中，保障通信系統的安全，維護信息安全。
信息安全風險管理制度范文6
關鍵詞：銀行卡業務 風險 控制
一、銀行卡業務發展現狀
據央行的《2008年第四季度支付體系運行總體情況》顯示,截至2008年底,全國累計發行銀行卡180038.92萬張。其中,借記卡發卡量為165806.02萬張;信用卡發卡量為14232.9萬張。銀行卡滲透率(銀行卡滲透率是指剔除房地產、大宗批發等交易類型,銀行卡消費金額占社會消費品零售總額的比例)從2001年的2.1%上升到24.2%。與此同時,各類銀行卡犯罪也向高科技、集團化、專業化、規模化發展,手法不斷翻新,實施過程更為隱蔽,信用卡套現、偽卡欺詐、ATM資金詐騙、短信和電話轉賬等風險案件日益增加。2008年4月,在整治銀行卡違法犯罪專項行動期間,全國公安機關關于銀行卡犯罪立案3672起,涉案金額1.76億元;破案2388起,抓獲犯罪嫌疑人1420人,挽回經濟損失6161萬余元。
二、銀行卡風險現狀
中國人民銀行副行長蘇寧透露,截至2005年底,中國銀行卡發卡機構175家,發卡量9.6億張,特約商戶39萬家,POS機具61萬臺,ATM終端8萬臺。2005年銀行卡交易金額47萬億元,其中消費交易額9600億元,分別是2000年銀行卡總交易金額的10.4倍和8.5倍。剔除批發性的大宗交易和房地產交易,消費交易額占全國社會消費品零售總額的比重從五年前的2.1%上升至10%。當前銀行卡風險問題比較突出,風險管理水平有待提高,有關部門要高度重視開展銀行卡風險管理工作,加強風險防控體系的建設,建立防范與處置銀行卡風險的長期機制,確保銀行卡信息安全和使用安全。
目前銀行卡主要存在四大風險:欺詐風險、中介風險、操作風險和信用風險。
1.外部欺詐風險
在各類銀行卡風險中,外部欺詐風險是目前最嚴重、危害最大的一類風險。欺詐目的的實現渠道主要有三種:ATM機取現、POS機套現(消費)或網絡(電話)轉賬。從欺詐的手段看,主要是偽卡欺詐、直接騙取客戶資金和利用ATM機騙卡三類。
2.中介機構交易風險
中介機構交易風險主要是指特約商戶非法交易或違章操作引起持卡人或發卡機構資金損失的風險。中介機構的交易風險主要體現為兩類:一類是部分不法商戶提供信用卡套現交易,為犯罪目的的實現提供了渠道,引發交易風險;另一類是中介機構或者個人不規范(甚至是非法)的信用卡營銷行為引發的風險。
3.內部操作風險
內部操作風險是指銀行工作人員違規操作或操作失誤造成銀行資金損失,或者工作人員利用職務之便,與不法分子勾結、串通作案,引起發卡行或客戶資金損失的風險。與外部欺詐風險和中介機構交易風險相比,此類案件不具有普遍性,但是由于是內部專業人員作案,手段更加隱蔽,對銀行聲譽的影響也更嚴重。
4.持卡人信用風險
當前各行在信用卡業務的發展上,重規模、輕質量,不能有效區分潛在客戶,對客戶授信未予以嚴格把關,發卡對象有向高風險群體擴展的現象,過度消費、透支炒股等高風險事件時有發生。另外,不少銀行向收入不穩定人群發放信用卡,也埋下了較大的風險隱患。這些均反映出部分商業銀行盲目追求發卡量而對申請人狀況審查不嚴或者降低門檻的問題。
三、銀行卡業務風險管理工作存在的主要問題
1.對風險管理的認識不全面。一是部分發卡機構對風險管理重要性認識不足,存在“重市場、輕風險”傾向。把精力主要用在擴張市場上,在面臨市場、發卡等指標考核壓力時,風險往往被淡化、回避甚至擱置。二是部分機構對風險管理認識片面,將風險管理等同于應急處置,沒能真正從事前、事中、事后三個環節防范和控制風險。三是部分機構僅僅講求防范自身風險,尚未站在業界和社會責任高度看待風險管理問題。
2.金融生態環境與銀行卡產業發展要求存在一定差距,不平衡的矛盾日益凸現。一是現行法律政策在對非法中介、商戶套現、網上支付欺詐等新型不法行為的規范不夠完善,懲戒制度不到位。已有的銀行卡法律政策在實際適用中的具體標準有待明確。二是社會誠信體系建設尚處于初級階段,一些持卡人、商戶及相關機構誠信意識談薄,為謀取利益不擇手段。三是銀行卡產業內部各經營主體的規范經營水平參差不齊,破壞了公平競爭的市場規則,破壞了風險管理的基礎環境和制度。
3.未建立健全銀行卡風險管理制度與風險聯合防范機制。在風險管理工作中,各發卡機構各自為政,缺乏聯動效應,溝通不及時,以至于面對風險案件的連鎖效應,不能及時有效予以處置。隨著受理市場的擴大,以及社會上不法分子、欺詐團體謀取非法利益手段的不斷成熟,聯合防范和處置風險問題就顯得尤為重要。
四、銀行卡業務風險管理措施
對于銀行卡業務諸多的風險乃至發生的案件,銀行內部往往存在機構延伸管理有缺失與疏忽、臨柜人員合規操作意識淡薄、授信風險控制機制不完善、操作人員培訓工作不到位、網點人員配備不足等管理上的漏洞。銀行理應通過以下幾個方面加強銀行卡業務的風險管理。
1.加強持卡人安全用卡知識的宣傳。銀行要通過柜面指導、發送宣傳手冊、用卡指南小卡片,加強對持卡人安全用卡知識的宣傳,并發揮大堂經理、保安和引導員的作用。
2.提高人員素質,強化內控管理,規范操作流程。加大受理、審查、授信、催收等業務的培訓力度,提高業務素質,將風險防范重心從事中監督和事后監督轉移到事前防范。在風險可控、合法合規的情況下,不斷創新和完善產品功能,滿足客戶需要。
3.加大對銀行卡不良透支的催收力度。打擊違規套現行為,建立系統模型,通過數據挖掘技術,分析數據特征,鎖定違規套現商戶,取消其特約商戶資格,并追究法律責任。同時,通過系統性、針對性催收不良透支方法,提高催收工作的效率,降低催收成本。
4.完善銀行卡風險管理平臺和機制。加大科技投入,提高系統識別風險和控制風險的能力。建立和完善銀行的數據分析能力,通過對客戶群體、還款能力、消費信息、消費習慣的分析、動態分析客戶風險狀況,提高信用額度調整的針對性和有效性。建立對客戶群體、高風險客戶的系統跟蹤功能,提高銀行卡風險預警能力。
參考文獻:
[1]中國銀行業監督管理委員會.當前銀行卡業務風險及其防范.
