●總序
序
前言
第一篇現狀篇
第1章概述
1.1我國銀行業取得的豐碩成果
1.1.1資產增長速度迅猛
1.1.2國際化步伐加快
1.1.3銀行業體制機制改革實現歷史性突破
1.1.4銀行業風險管控和抵御能力大幅提升
1.1.5銀行業發展模式發生深刻變化
1.2信息技術在我國銀行業的發展
1.2.1商業銀行信息科技發展階段
1.2.2信息技術對銀行發展的重要意義
1.2.3信息技術在銀行業中的應用前景
1.2.4信息技術在銀行業中的主要作用
1.2.5我國銀行業信息化建設發展進入快車道
1.2.6未來幾年我國銀行業信息技術發展的趨勢
1.3銀行業信息安全概述
1.3.1信息安全重要性日益凸顯
1.3.2信息安全在銀行業中的發展階段
1.3.3信息安全是銀行業較為性的話題
第2章銀行業信息安全發展現狀
2.1信息安全含義及範圍
2.2銀行業面臨的威脅分析
2.2.1銀行業面臨的攻擊威脅
2.2.2銀行信息安全風險成因
2.3銀行業信息安全政策的制定與監管趨於完善
2.4銀行業在信息安全建設方面取得的很好成效
2.4.1明確信息安全管理目標和策略，完善信息安全制度體繫
2.4.2以國家等級保護要求為指導，構建信息安全技術保障體繫
2.4.3借鋻國際標準，完善信息安全開發和運維
2.4.4持續開展信息安全管理文化建設，提高全員安全意識和安全技能
2.4.5全面提升信息科技內控水平
2.4.6針對新形勢積極探索信息安全應對策略
第二篇管理篇
第3章銀行信息安全管理體繫參考框架
3.1信息安全管理體繫參考標準和規範
3.1.1銀行業信息科技風險管理指引
3.1.2等級保護
3.1.3ISO/IEC 2700
3.1.4COSO
3.1.5COBIT
3.1.6ITIL
3.1.7ISO 3100
3.1.8《巴塞爾協議》及其操作風險
3.2銀行實際信息安全管理體繫參考框架介紹
3.2.1銀行信息安全管理體繫參考框架設計意義
3.2.2銀行信息安全管理體繫參考框架設計方法論
3.2.3銀行信息安全管理體繫參考框架
第4章信息安全方針
4.1信息安全方針概述
4.2信息安全方針的原則
4.3信息安全方針的主要內容
第5章信息安全組織及人員安全管理
5.1銀行信息安全組織的構建原則
5.2銀行信息安全組織的架構
5.3信息安全組織相關崗位及職責設計
5.3.1信息安全管理類相關崗位
5.3.2信息安全執行類相關崗位
5.3.3信息安全監督類相關崗位
5.3.4其他信息安全類崗位
5.4安全部門與行內其他部門的關繫定位
5.5人員安全管理
第6章信息安全管理制度
6.1文件化的信息安全管理
6.2信息安全管理制度的編寫
6.3體繫化的信息安全制度及其框架模型
6.4信息安全制度文件的控制
6.5信息安全制度的貫徹實施
6.6信息安全管理制度集合的組成
6.6.1體繫化的信息安全管理制度集合
6.6.2對監管要求的整合落實
6.6.3某商業銀行信息安全制度文件目錄示例
第7章信息安全風險管理
7.1信息安全風險管理的不同含義
7.1.1國際通用標準對風險的定義
7.1.2《巴塞爾協議》對風險的劃分
7.1.3國際標準ISO/IEC 27005對信息安全風險的描述
7.1.4國家標準GB/Z 24364及GB/T 20984對信息安全風險的定義和說明
7.2銀行信息安全風險管理過程
7.2.1基於ISO/IEC 31000的風險管理過程
7.2.2基於操作風險的風險管理過程
7.2.3基於ISO/IEC 27005的風險管理過程
7.2.4銀行信息安全風險管理的關注重點
7.3銀行信息安全風險評估
7.3.1風險評估基本概念
7.3.2風險評估過程
7.3.3風險評估結果報告
7.3.4管理風險評估中引入的新風險
7.4風險評估的關鍵內容說明
7.4.1定量與定性的評估方法
7.4.2信息資產的分類和分級
7.4.3威脅的分類和分級
7.4.4資產弱點的嚴重性
7.4.5風險的計算
7.5銀行信息安全風險處置
7.5.1風險處置方式
7.5.2風險處置的針對性
7.5.3風險處置的過程
7.5.4風險處置的成本分析
7.5.5殘餘風險管理
第8章信息安全規劃與建設
8.1信息安全規劃
8.1.1信息安全規劃的意義
8.1.2信息安全規劃的定位
8.1.3信息安全規劃的要求
8.1.4信息安全規劃的主要任務
8.1.5信息安全規劃的內容、主體與時間
8.1.6信息安全規劃的形式
8.2信息安全建設
8.2.1信息安全建設原則
8.2.2信息安全建設依據
8.2.3信息安全建設包含的內容
8.2.4信息安全管理體繫建設
8.2.5信息安全項目建設
8.3案例介紹：某股份制商業銀行信息安全規劃實例
8.3.1概述
8.3.2A行信息安全現狀
8.3.3A行當前面臨的主要風險
8.3.4A行信息安全規劃內容
第9章信息安全監控與檢查
9.1信息安全監控與檢查概述
9.2信息安全監控的開展
9.3信息安全檢查的開展
9.3.1信息安全檢查的組織
9.3.2典型信息安全檢查的開展方式
9.3.3信息安全檢查方式
9.3.4信息安全檢查內容
第10章信息安全事件管理
10.1信息安全事件管理概述
10.2信息安全事件分類
10.2.1有害程序事件
10.2.2網絡攻擊事件
10.2.3信息破壞事件
10.2.4信息內容安全事件
10.2.5設備設施故障
10.2.6災害性事件
10.2.7其他信息安全事件
10.3信息安全事件的分級
10.3.1特別重大事件（Ⅰ級）
10.3.2重大事件（Ⅱ級）
10.3.3較大事件（Ⅲ級）
10.3.4一般事件（Ⅳ級）
10.4銀行業突發事件分級管理
10.4.1特別重大突發事件（Ⅰ級）
10.4.2重大突發事件（Ⅱ級）
10.4.3較大突發事件（Ⅲ級）
10.5信息安全事件管理的過程
10.6信息安全事件應急處理
10.7案例介紹：某商業銀行信息安全事件管理辦法
第11章業務連續性與災難恢復管理
11.1業務連續性與災難恢復概述
11.2我國銀行業務連續性/災難恢復管理的現狀與思考
11.2.1我國銀行業務連續性管理的現狀
11.2.2加強銀行業務連續性管理的意義
11.2.3《商業銀行業務連續性監管指引》解讀
11.3災難恢復管理的組織結構
11.4災難恢復管理流程
11.4.1災難恢復需求分析
11.4.2災難恢復能力等級及策略的制定
11.4.3災難恢復策略的實現
11.4.4災難恢復預案的制定和管理
11.5案例介紹：業務連續性與災難恢復管理實踐
第12章信息安全審計
12.1.1信息安全審計簡介
12.1.2信息安全審計組織
12.1.3信息安全審計內容
12.1.4信息安全審計流程
第三篇技術篇
第13章信息安全技術模型
13.1WPDRRC介紹
13.2安全技術的層次結構模型
13.3基於WPDRRC的層次技術模型
第14章物理安全
14.1物理安全概述
14.2物理安全要素
14.2.1物理資產分類
14.2.2物理安全威脅
14.2.3物理安全脆弱性
14.3物理安全的要求及內容
14.3.1物理位置的選擇
14.3.2物理訪問的控制
14.3.3防盜竊和防破壞
14.3.4防雷擊
14.3.5防火
14.3.6防水和防潮
14.3.7電力供應
14.3.8電磁防護
14.4案例介紹：物理安全建設實例
第15章網絡安全
15.1典型的銀行網絡安全設計實例
15.2防火牆技術
15.2.1防火牆概述
15.2.2防火牆的作用
15.2.3防火牆的功能
15.2.4防火牆的分類
15.2.5防火牆應用場景分析
15.3網絡威脅檢測與防護技術
15.3.1IDS概念
15.3.2入侵檢測繫統的功能和作用
15.3.3入侵檢測繫統的分類
15.3.4入侵檢測的過程
15.3.5入侵檢測繫統的部署與應用
15.3.6入侵防御繫統與WEB應用防火牆
15.3.7入侵防御繫統與WEB應用防火牆的部署與應用
15.4虛擬專用網絡（ ）技術
15.4.1 基本概念
15.4.2 應用場景
15.5無線局域網安全技術
15.5.1無線局域網簡介
15.5.2無線局域網面臨的威脅
15.5.3無線局域網的應用
15.6網絡設備安全防護
15.6.1VLAN劃分
15.6.2網絡設備的訪問控制
15.6.3網絡設備安全配置
15.7案例介紹：某股份制商業銀行網上銀行繫統網絡安全建設實例
第16章主機安全
16.1主機安全概述
16.2主機安全保護要求
16.3操作繫統安全機制
16.3.1標識與鋻別
16.3.2訪問控制
16.3.3最小特權原則
16.4操作繫統安全加固
16.5數據庫安全配置
16.6PC終端安全
16.6.1內部PC終端安全
16.6.2客戶PC終端安全
16.7智能終端安全
16.8案例介紹：銀行移動智能終端安全
第17章應用安全
17.1應用安全概述
17.2應用安全通用要求
17.3WEB應用安全面臨的主要威脅
17.4WEB安全加固
17.5應用架構安全
17.5.1WEB應用安全的現狀及重要性
17.5.2常見的WEB應用漏洞及解決方案
17.5.3應用安全開發
17.6案例分析：應用安全防護案例
第18章密碼和身份鋻別技術
18.1密碼技術概述
18.2國產密碼算法的介紹
18.2.1SM2非對稱算法
18.2.2SM3雜湊算法
18.2.3SM4對稱算法
18.3身份鋻別技術
18.3.1業務交易中的身份認證
18.3.2身份鋻別中常用的安全工具
18.3.3身份鋻別中的生物識別技術
18.3.4應用範圍
18.4案例介紹：密碼技術在銀行繫統的應用實踐
18.4.1密碼技術中的身份鋻別
18.4.2密碼通信數據完整性保護的應用
18.4.3銀行國密算法改造實例
18.4.4加密機在銀行中的應用
18.4.5密鑰管理平臺
18.5案例介紹：身份鋻別技術在銀行繫統中的應用實踐
18.5.1身份鋻別技術在網銀中的應用
18.5.2身份鋻別技術在手機銀行繫統中的使用
第19章數據安全
19.1數據安全概述
19.2數據生命周期
19.3數據安全技術
19.3.1數據加密技術
19.3.2數據存儲安全技術
19.4數據防洩密技術（DLP）
19.5案例介紹：數據防洩密技術在銀行的實踐
ⅩⅦⅩⅧ19.5.1數據安全分析
19.5.2安全桌面功能框架
19.5.3安全桌面技術說明
19.5.4防數據洩漏平臺介紹
第20章安全檢測與滲透測試技術
20.1繫統安全檢測及滲透技術
20.1.1繫統安全檢測方法概述
20.1.2主流檢測技術介紹
20.2案例分析：銀行滲透測試方案
20.2.1滲透目標和範圍
20.2.2測試內容
20.2.3測試流程
20.2.4測試工具
20.2.5測試的風險規避
第21章安全運營技術
21.1繫統安全運營技術
21.1.1深度包檢測技術（DPI）
21.1.2大數據技術
21.1.3數據融合技術
21.1.4數據挖掘技術
21.1.5可視化技術
21.2繫統安全態勢感知技術
21.3繫統安全運營的內容與流程
21.3.1安全運營的內容
21.3.2安全運營流程
第22章災難備份與恢復技術
22.1技術與發展趨勢
22.1.1數據存儲技術
22.1.2數據復制技術
22.1.3技術發展趨勢
22.2災難備份繫統技術方案的實現
22.2.1技術方案的設計
22.2.2技術方案的驗證、確認和繫統開發
22.2.3繫統安裝和測試
22.3災難恢復策略的制定
22.3.1災難恢復資源的獲取方式
22.3.2災難恢復資源的要求
第四篇實踐篇
第23章銀行信息安全風險管理實踐與案例
23.1某股份制商業銀行安保平臺建設實例
23.1.1安保平臺建設背景
23.1.2安保平臺建設基本思路
23.1.3安保平臺建設過程
23.2基於大數據的網絡安全態勢實踐
23.2.1當時的狀況和問題
23.2.2解決問題的思路
23.2.3具體方案
23.2.4實際達到的效果
23.3同城雙中心災備建設實例
23.3.1生產中心信息技術架構整合實踐
23.3.2同城一體化數據中心實踐
23.3.3同城雙中心一體化網絡實踐
23.3.4應用繫統雙活實踐
23.3.5數據庫容災技術實踐
23.3.6災備指揮與自動化切換平臺實踐
23.3.7同城雙中心一體化運維管理體繫實踐
23.3.8信息技術服務連續性管理體繫建設實踐
參考文獻

本書力圖通過對我國銀行業信息安全近期新實踐的介紹，讓讀者對我國銀行業在信息安全的管理思路、管理方法、管理內容及使用技術等方面有一個清晰和全面的認識。全書分為四篇，分別介紹了我國銀行業信息安全的發展現狀，分析了銀行業面臨的威脅，總結了我國銀行業在信息安全建設上取得的巨大成就。從信息安全管理角度出發，將銀行信息安全管理體繫作為一個整體，繫統地分析它所包含的相關內容，並給出了銀行業信息安全管理體繫參考的框架結構；從技術的角度出發，從作用方式和作用層次兩個維度對我國銀行業采用的各種信息安全技術進行了梳理和總結。通過具體的案例，使讀者更加深刻地理解銀行業信息安全技術與管理體繫，對我國銀行業信息安全實踐有一個直觀的認識。

前言本書作為“銀行業信息化叢書”中的一本，對我國銀行業信息安全技術與管理體繫進行了分析和探討，力圖通過對我國銀行業信息安全近期新實踐的介紹，讓讀者對我國銀行業在信息安全的管理思路、管理方法、管理內容及使用的信息安全技術等方面有一個清晰和全面的認識。 為了與我國銀行業當前的實際情況緊密結合，本書在編寫過程中，分別調研了大型股份制銀行、城市商業銀行及農村商業銀行等幾種不同類型的典型銀行。本書編寫組從2014年11月開始，經過準備、調研、編寫、完善、評審、修訂等階段，歷經7個月的時間，最終於2015年5月完成了本書。全書共分為四篇： 第一篇為現狀篇，主要介紹了我國銀行業信息安全的發展現狀，分析了銀行業面臨的威脅，總結了我國銀行業在信息安全建設上取得的巨大成就。 第二篇為管理篇，從信息安全管理角度出發，將銀行業信息安全管理體繫作為一個整體，繫統地分析了銀行信息安全管理體繫所等