信息资产分级管理.doc

新疆汇和银行信息资产分级管理1. 信息资产分类鉴别为达到及维护组织资产的保护，应明确识别所有资产，并制作与维持所有重要资产的清单，与信息处理设施相关的所有信息及资产由信息科技管理小组指定管理者。与信息处理设施相关的信息与资产。计算机管理中心和会计核心算中心具体负责做好信息资产定期更新与维护信息资产清单，由信息科技管理小组统一控管，确保信息资产列表完整性。信息资产依其性质不同，分为5类：人员、硬件、软件、电子数据、书面文件依序如下： 人员：系指业务主管、承办人员、委外厂商、契约人员等。 硬件：系指网络设备、主机设备、通讯设备、环境设备等相关硬件设施。例如：服务器主机、个人计算机、不断电设备等。 软件：系指自行开发或委外开发之应用系统程序、外购之软件包等。例如：应用系统、操作系统、软件包、工具程序等。 电子数据：系指以电子形式存在之信息数据。例如：网络设定数据、备份文件等。 书面文件：系指以纸本形式存在之文书数据、报表等相关信息。例如：合同、规范、系统文件、用户手册、训练教材等。所有资产经由资产分类，制成信息资产列表。2. 信息资产价值鉴别为信息依其对组织的价值、法律要求、敏感性及重要性加以分类，价值鉴别准则依信息资产分类分别针对机密性、可用性、完整性，其评估标准如下：表1 人员类评估标准项目价值 价值描述机密性3可取存各类数据(含机密、内部限阅、内部使用及公开数据)2可取存内部使用及公开数据1可取存公开类资料可用性3为维系正常运作，在该人员无法持续提供服务时，可容忍替换时间为最短2为维系正常运作，在该人员无法持续提供服务时，可容忍替换时间为适中1为维系正常运作，在该人员无法持续提供服务时，可容忍替换时间为最长表2 硬件类评估标准项目价值 价值描述可用性3可容许连续中断的时间4个小时以下2可容许连续中断的时间在4个小时以上，8个小时以下1可容许连续中断的时间在8个小时以上表3 软件类评估标准项目价值 价值描述机密性3其知识产权属或所有权为银行所有，且该软件处理之数据内容或设计规格涉及银行经营秘密2其知识产权属或所有权为机关所有，且该软件处理之数据内容或设计规格，未经书面同意，不得由第三方使用1其软件处理之数据内容或设计规格不具机密性完整性3软件设计规格之不完整，可能造成业务运行之全面性中断或违反法令之遵循2软件设计规格之不完整，可能造成应用上之不便，须改以人工操作1软件设计规格之不完整，并不影响日常运作可用性3可容许连续中断的时间2个小时以下2可容许连续中断的时间在2个小时以上，8个小时以下1可容许连续中断的时间在8个小时以上表4 电子数据、书面文件类评估标准项目价值 价值描述机密性3除工作职责之所须外，须经拥有者同意后始可使用或阅读2仅签有保密协议之人员或总行可以使用1为公开信息，不具机密性完整性3其完整性可能影响法令之遵循，且会对该信息资产有重大影响且可能导致严重的业务中断2其完整性可能影响业务导致效能低，但不致对业务造成停顿1其完整性对该信息资产的影响极低，且不会对业务运作的效能造成任何影响或影响极低可用性3该数据若未及时取得，可能直接影响运作业务或法令之遵循2该数据若未及时取得，可能导致作业上之不便1该资料并无时效性之问题各资产价值为资产之机密性、完整性及可用性评估值取最大值；如以下式子：资产价值 = 机密性评估值 + 完整性评估值 + 可用性评估值。各资产依资产价值数值分级；详如资产价值等级表表5 资产价值等级表别 数值 等级描述人员类6高资产价值(3)45中资产价值(2)23低资产价值(1)硬件类3高资产价值(3)2中资产价值(2)1低资产价值(1)软件类电子数据类书面文件类9高资产价值(3)68中资产价值(2)35低资产价值(1)3. 信息资产标示与处理依照组织所采用的分类法，发展与实作一套适当的信息标示与处置程序 。资产标示必须明确。资产标示含资产风险等级并以颜色卷标区分。硬件类资产标示依其价值等级并以颜色卷标区分。高资产价值：指该资产价值最高，贴红色卷标。中资产价值：指该资产价值中等，贴黄色标签。低资产价值：指该资产价值最低，不贴卷标。资产在保存过程中，应依适当程序作妥善保存。资产的生命周期包含产生、使用、维护与销毁。在整个生命周期中，每项资产皆由信息科技管理小组指派资产管理人。资产管理人必须妥善运用与保存该资产。其他同事使用资产需经由管理人授权，方可使用该资产。其使用过程需纪录于该资产之使用记录。资产之私密信息由管理人维护，采用仅知原则，授权给其他同事使用时，以最小量之信息提供给使用人得知。为掌握信息设备状况，对于信息室有价值之信息设备之增置、转移、报废应予确实登录。资产借用应予登记，以控管资产现况。资产于报废时应循相关报废程序进行报废。4、鉴别风险弱点与威胁脆弱性，亦称弱点。脆弱性是组织信息安全的弱点或漏。基本上，脆弱性本身不会造成伤害，而是威胁利用这些脆弱性对系统进行伤害。针对要鉴别的每项资产分类，依序寻找出所有相对应的弱点如下： 人员：包括缺乏对外部团体与信息安全相关之规范、缺乏一般办公环境的安全控管、缺乏对人员之安全管理、缺乏对人员认知之倡导及教育训练、缺乏工作之权责划分与人员代理机制、缺乏信息安全事件通报及处理程序。 硬件：缺乏对外部团体与信息安全相关之规范、缺乏一般办公环境的安全控管、缺乏书面化操作程序之控管、缺乏网络之安全管理、缺乏数据交换之安全管理、缺乏对储存媒体的安全控管、缺乏系统监视、记录与相关的系统稽核轨迹、缺乏对实体资产之保护与管理、缺乏取得信息系统之规划及验收程序、缺乏对取得服务的安全控管、缺乏对管制区域之安全管理、缺乏信息安全事件通报及处理程序、缺乏对场外工作之安全控管。 软件：缺乏对外部团体与信息安全相关之规范、缺乏一般办公环境的安全控管、缺乏书面化操作程序之控管、缺乏网络之安全管理、缺乏数据交换之安全管理、缺乏系统监视、记录与相关的系统稽核轨迹、缺乏数据的安全管理、缺乏取得资讯系统之规划及验收程序、缺乏对信息系统存取之安全管理、缺乏系统联机之安全管理、缺乏信息系统开发之安全管理、缺乏对取得服务的安全控管、缺乏信息系统安全防护机制、缺乏信息安全事件通报及处理程序、缺乏对电子商务之安全控管、缺乏对场外工作之安全控管。 电子数据：缺乏对外部团体与信息安全相关之规范、缺乏一般办公环境的安全控管、缺乏书面化操作程序之控管、缺乏网络之安全管理、乏数据交换之安全管理、缺乏系统监视、记录与相关的系统稽核轨迹、缺乏数据的安全管理、缺乏对实体资产之保护与管理、缺乏取得信息系统之规划及验收程序、缺乏对信息系统存取之安全管理、缺乏信息系统开发之安全管理、缺乏对取得服务的安全控管、缺乏信息安全事件通报及处理程序、缺乏对电子商务之安全控管。 书面文件：缺乏对外部团体与信息安全相关之规范、缺乏一般办公环境的安全控管、缺乏书面化操作程序之控管、缺乏数据交换之安全管理、缺乏系统监视、记录与相关的系统稽核轨迹、缺乏数据的安全管理、缺乏对实体资产之保护与管理、缺乏对取得服务的安全控管、缺乏对管制区域之安全管理、缺乏信息安全事件通报及处理程序。威胁的鉴别威胁是指对组织意图造成伤害或损失，不论是意外或是蓄意，人为或是天灾。资产容易受到许多威胁，这些威胁来自利用脆弱性。威胁可区分为天然灾害、人为的威胁、非人为的威胁；威胁的鉴别，须针对每项资产，列出可能的威胁。针对要鉴别的每项资产分，依序寻找出所有相对应的威胁如下： 人员：无知、贪念、胁迫、惰性、人不足、恶意、疏失、传染病。 硬件：毁损、窃取、灾害、故障、破坏。 软件：不法使用、错误、窜改、延迟、失效、损毁、伪造。 电子数据：盗卖、泄漏、错误、窜改、损毁、伪造。 书面文件：泄漏、窃取、窜改、伪造、遗失、损毁。计算信息资产风险权值综合信息资产价值(如表5资产价值等级表)、弱点(如表6 电子数据类弱点值判定表)、威胁等因素(如表7威胁值判定表)，透过信息资产之风险评鉴，可得知该项信息资产所面临之风险程并予以量化，作为选择控制措施之依据。计算风险权值之公式为：信息资产风险权值 = 信息资产价值 弱点权值 威胁权值根据此一计算模型，风险权值最低为1，最高为27。表6 电子数据类弱点值判定表弱点项目风险值判断原则缺乏对外部团体与信息安全之规范1以与外部团体订有信息安全相关之权利与义务契约2仅与部分外部团体订定委任之权利义务契约3尚无与外部团体订定权力与义务契约之机制缺乏一般办公环境的安全控管1已制定完善之办公环境控管政策并妥为遵循2已有办公环境控管政策但未完备或未确实遵循3尚未对办公环境制定控管政策缺乏书面化操作程序之控管1已有详尽的书面处理程序，即时更新，且妥善遵循2处理程序不明3尚无操作程序控管之机制缺乏网络之安全管理1已为网络设置完善的安全管理机制2网络安全管理机制未完备或未确实遵循3尚未有网络安全管理机制缺乏数据交换之安全管理1未与外部交换数据或管控已完善2与外部数据交换，但数据不具机密性，或管控措施部完善3与外部数据交换，且为高价值的机密数据，未设置控管缺乏系统监视、记录与相关的审计轨迹1有完善的使用记录及监控设备留存完整审计轨迹2有部分的使用记录，或监控设备留存部分审计轨迹3没有任何使用记录，或监控设备未留存部分审计轨迹表7 威胁值判定表考虑现有控管机制及资产特性，进行以下定义：冲击机率每年不超过一次每年超过一次每季超过一次高（价值=3）233中（价值=2）123低（价值=1）112资产风险处理的评估在汇整完风险评鉴结果之后应召开管理阶层审查会议，由会议讨论决定可接受风险之风险值。低于此风险值之资产，视为低风险，也就是可接受之风险。风险值高于可接受风险之信息资产，应采取风险处理。风险处理的方法主要分成以下四种： 低风险：设置有效的内部控制措施，针对不同的领域进行管控，以达到风险值低之目的。 转移风险：利用转嫁的方式低风险，例如购买保险以补偿方式低风险。 避免风险：利用取代方案或其他之资产以替代此资产所带来之风险，不过若采取此方法，需再评估替代方案之可行性，以及带来的风险值。前提是替代方案能带来低的风险。 接受风险：在以上三个方式无法采用时，管理阶层可以决定接受此风险，也就是接受此风险。