- 目錄
第1篇 信息科技部-安全管理中心-監(jiān)控規(guī)劃崗工作職責與職位要求
職位描述：
1、負責科技層面監(jiān)控系統(tǒng)的建設和規(guī)劃、保障監(jiān)控系統(tǒng)的正常運行；
2、負責業(yè)務層面監(jiān)控系統(tǒng)的建設和規(guī)劃、保障監(jiān)控系統(tǒng)的正常運行；
3、負責監(jiān)控策略、指標的優(yōu)化和調試；
4、協(xié)助一道防線、二道防線建立自動化監(jiān)控方案，減少人力投入；
5、監(jiān)控、督辦、匯報各類問題，保證相關人員的信息一致性；
職位要求：
1、全日制本科及以上學歷
2、5年及以上相關工作經驗，有銀行相關工作經驗，有監(jiān)控系統(tǒng)部署架構經驗
3、熟悉計算機軟硬件系統(tǒng)的產品設計、開發(fā)、可行性研究及軟件開發(fā)、測試、評估、操作管理；熟悉linu_系統(tǒng)；熟悉oracle數據庫應用開發(fā)；熟悉監(jiān)控系統(tǒng)部署方案以及告警策略及優(yōu)化
第2篇 信息科技部-安全管理中心-安全運營崗工作職責與職位要求
職位描述：
職責描述：
1、參與優(yōu)化安全防御體系，研究和實踐使用有效技術解決銀行業(yè)務系統(tǒng)的安全相關問題。
2、跟蹤和分析各類安全問題和安全事件，如網站入侵調查，病毒木馬，ddos攻擊等。
3、跟蹤和分析新的安全漏洞和技術，定期對系統(tǒng)、應用、網絡進行安全檢測和風險評估。
4、編寫防御工具和分析工具，對新技術、新方法、新軟件進行評估和應用，完成網絡和系統(tǒng)安全加固。
5、協(xié)助各項信息安全相關工作，確保信息安全管控措施有效執(zhí)行。
職位要求：
1、全日制本科及以上學歷，計算機相關專業(yè)優(yōu)先；
2、相關工作經驗3年以上，有銀行相關項目及從業(yè)經驗為佳；
3、責任心強、工作細致、溝通能力強，有良好的團隊協(xié)作及問題解決能力。
第3篇 信息科技部-安全管理中心團隊負責人工作職責與職位要求
職位描述：
工作職責：
1、根據總行審計部、風險管理部和信息科技部的戰(zhàn)略目標，負責全行信息安全中心的整體規(guī)劃和設計；
2、建立信息安全體系，將安全工作標準化、公開化。落實多層級的項目管理機制，確保安全體系落地執(zhí)行；
3、負責研究、分析監(jiān)管動態(tài)、行業(yè)信息安全技術發(fā)展趨勢、同業(yè)信息安全動態(tài)，對行內信息安全管理水平的提升提出建設性意見；
4、通過對安全工作與安全項目信息匯總、分析，為決策層提供可行性建議和支持；
5、協(xié)助開展安全管理工作，對安全工作進行評定，發(fā)現存在的風險，督促落實安全問題的解決工作；
6、負責團隊的組建和培養(yǎng)，帶領團隊完成項目任務。
職位要求：
1、計算機相關專業(yè)本科以上學歷，6年以上安全工作經驗；
2、具備扎實的安全理論基礎，了解各類安全技術原理，精通業(yè)內主流安全趨勢，熟悉業(yè)界安全攻防動態(tài)；
3、具備扎實的信息安全管理理論知識，能把握到監(jiān)管、合規(guī)風向，從而完善信息安全治理方向。
4、具備銀行業(yè)/互聯網企業(yè)安全規(guī)劃和安全系統(tǒng)的建設經驗；
5、具備優(yōu)秀的邏輯思維能力，善于分析問題和解決問題。
6、具備團隊管理經驗，有相同崗位任職者優(yōu)先。
第4篇 信息科技部-安全管理中心-安全架構崗工作職責與職位要求
職位描述：
職位描述：
1.負責對基礎架構、重要業(yè)務進行安全評估，提供可落地的解決方案；
2.負責網絡、系統(tǒng)及應用的檢測與防護的安全研究工作；
3.指導并參與各類安全系統(tǒng)的研發(fā)工作，對現有安全系統(tǒng)進行優(yōu)化和改進；
4.負責對重點項目進行安全評審，識別架構中的安全風險，提出改進建議；
5.負責對各類疑難安全問題、安全事件的分析及應急響應。
6.負責信息安全體系與架構落地推進。
職位要求：
1.計算機相關專業(yè)本科以上學歷，五年以上安全工作經驗；
2.具備扎實的安全理論基礎，精通主流安全漏洞原理，熟悉業(yè)界安全攻防動態(tài)；
3.熟悉主流的安全技術與產品，如：ids、siem、waf、日志分析、db審計等；
4.具備互聯網企業(yè)安全規(guī)劃和安全系統(tǒng)的建設經驗；
5.至少熟悉一種編程語言（如：java、python、php等），有一定的開發(fā)能力；
6.具備優(yōu)秀的邏輯思維能力，善于解決問題和分析問題。
第5篇 信息科技物理環(huán)境安全管理辦法
第一章 總則
第一條 目的:為了適應__農村商業(yè)銀行(以下簡稱我行)物理與環(huán)境安全管理的需要,保障我行生產和辦公系統(tǒng)的正常運行,特制定本管理辦法。
第二條 依據:本管理辦法依據《__農村商業(yè)銀行信息安全管理策略》制定。
第三條 范圍:本管理辦法適用于我行及所轄分支行。
第二章 基本要求
第四條 我行員工應根據我行運營需要對資產進行保護。我行的資產保護要求通過以下目標來實現:
(一)確保所有資產的物理和環(huán)境保護能得到我行的有效控制。
(二)減少擅自訪問或損壞影響我行控制的資產的風險。
(三)防止我行控制的資產被人擅自刪除或移動。
第五條 安全控制措施包括以下各項:
(一)我行的場地(機房、辦公室)的信息處理設施周圍設置實際安全隔離措施,如門禁系統(tǒng)等。
(二)我行的大樓入口安全防范措施。
(三)防護設備避免發(fā)生火、水、極端溫度/濕度、灰塵和電產生的危害。
(四)設備維護。
(五)清理資產。
第三章 安全區(qū)域
第六條 我行的安全區(qū)域包括中心機房、檔案室、終端設備存放室、網絡設備存放室、領導辦公室、公共辦公區(qū)、來訪接待區(qū)。
第七條 物理安全邊界 所有進入我行安全區(qū)域的人員都需經過授權,我行員工之外的人員進入我行安全區(qū)域必須登記換取不同的授權卡或訪客證才能進入(持有效證件,得到被訪者允許)。
第八條 安全區(qū)域出入控制措施:
(一)物理控制措施
1、機房的門禁系統(tǒng)必須啟用,任何人都必須刷卡后才可進入機房;
2、出入機房必須登記《機房出入登記表》,記錄姓名、出入時間、事由等;
3、一段時間內不會頻繁進入的機房應上鎖,需要時由運維人員開啟進入工作,并確保辦公完成后鎖好;
4、機房應安裝閉路電視監(jiān)控。在所有安全區(qū)域的工作均應接受監(jiān)督或監(jiān)控。
(二)合同方及第三方
1、要在主要出入口處填寫《來訪人員登記表》;
2、在顯眼處佩戴我行發(fā)出的臨時出入卡或訪客證。
(三)我行工作人員的控制措施
1、我行工作人員都必須在顯眼處佩帶胸卡;
2、我行工作人員調離我行時,其實際進入權也同時相應取消;
(四)審查訪問
科技信息部應定期(每三個月)審查訪問我行中心機房的人員名單并將進出權過期或作廢的人員從名單上劃掉。
(五)外部和環(huán)境威脅的安全防護
1、機房建設應符合gb 9361中a類安全機房的要求;
2、危險或易燃材料應在離安全區(qū)域安全距離以外的地方存放大批供應品(例如文具等)不應存放于安全區(qū)域內;
3、恢復設備和備份介質的存放地點應與主場地有一段安全的距離,以避免影響主場地的災難產生的破壞;
4、應提供適當的滅火設備,并應放在合適的地點。
第九條 交接區(qū)安全
(一)我行應設立交接區(qū),同時:
1、向我行發(fā)送貨物必須預先通知貨物資產所屬部門的資產管理員和信息安全管理員;
2、送貨公司名稱和交貨時間應當在接收貨物之前由貨物資產所屬部門的資產管理員和信息安全管理員確認;
3、送貨公司在進入安全區(qū)域之前要經過物理環(huán)境主管部門有關人員的鑒別確認;
4、貨物資產所屬部門的資產管理員和信息安全管理員應檢驗貨物,以保證沒有潛在危害。
第四章 設備安全
第十條 設備安置與保護
(一)我行中應考慮以下控制措施:
1、設備應進行適當安置,以盡量減少不必要的對工作區(qū)域的訪問;
2、應把處理敏感數據的信息處理設施放在適當的限制觀測的位置,以減少在其使用期間信息被窺視的風險,還應保護儲存設施以防止未授權訪問;
3、要求專門保護的部件要予以隔離,以降低所要求的總體保護等級;
4、應采取控制措施以減小潛在的物理威脅的風險,例如偷竊、火災、爆炸、煙霧、水(或供水故障)、塵埃、振動、化學影響、電源干擾、通信干擾、電磁輻射和故意破壞;
5、應建立在信息處理設施附近進食、喝飲料和抽煙的指南;
6、對于可能對信息處理設施運行狀態(tài)產生負面影響的環(huán)境條件(例如溫度和濕度)要予以監(jiān)視;
7、所有建筑物都應采用避雷保護,所有進入的電源和通信線路都應裝配雷電保護過濾器;
8、對于工業(yè)環(huán)境中的設備,要考慮使用專門的保護方法,例如鍵盤保護膜;
9、應保護處理敏感信息的設備,以減少由于輻射而導致信息泄露的風險;極其重要設備應部署在不同位置。
第十一條 支持性設施
(一)應有足夠的支持性設施(例如電、供水、排污、加熱/通風和空調)來支持系統(tǒng)。支持性設施應定期檢查并適當的測試以確保他們的功能,減少由于他們的故障或失效帶來的風險。應按照設備制造商的說明提供合適的供電。
(二)對支持關鍵業(yè)務操作的設備,推薦使用支持有序關機或連續(xù)運行的不間斷電源 (ups)。電源應急計劃要包括ups 故障時要采取的措施。如果電源故障延長,而處理要繼續(xù)進行,則要考慮備份發(fā)電機。應提供足夠的燃料供給,以確保在延長的時間內發(fā)電機可以進行工作。ups 設備和發(fā)電機要定期地檢查,以確保它們擁有足夠能力,并按照制造商的建議予以測試。另外,如果辦公場所很大,則應考慮使用多來源電源或一個單獨變電站。 (三)另外,應急電源開關應位于設備房間應急出口附近,以便緊急情況時快速切斷電源。萬一主電源出現故障時要提供應急照明。
(四)要有穩(wěn)定足夠的供水以支持空調、加濕設備和滅火系統(tǒng)(當使用時),供水系統(tǒng)的故障可能破壞設備或阻止有效的滅火。如果需要還應有告警系統(tǒng)來指示水壓的降低。
(五)連接到公共提供商的通信設備應至少有兩條不同線路以防止在一條連接路徑發(fā)生故障時語音服務失效。要有足夠的語音服務以滿足地方法規(guī)對于應急通信的要求。
(六)實現連續(xù)供電的選項包括多路供電,以避免供電的單一故障點。
第十二條 電纜安全
(一)敷設到我行內各個區(qū)域的電纜線的保護方式如下:
1、進入信息處理設施的電源和通信線路宜在地下,若可能,應提供足夠的可替換的保護;
2、網絡布纜要免受未授權竊聽或損壞,例如,利用電纜管道或使路由避開公眾區(qū)域;
3、為了防止干擾,電源電纜要與通信電纜分開;
4、使用清晰的可識別的電纜和設備記號,以使處理失誤最小化,例如,錯誤網絡電纜的意外配線;
5、使用文件化配線列表減少失誤的可能性;
6、對于敏感的或關鍵的系統(tǒng),更進一步的控制考慮應包括: (1)在檢查點和終接點處安裝鎧裝電纜管道和上鎖的房間或盒子; (2)使用可替換的路由選擇和/或傳輸介質,以提供適當的安全措施; (3)使用纖維光纜; (4)使用電磁防輻射裝置保護電纜; (5)對于電纜連接的未授權裝置要主動實施技術清除、物理檢查; (6)控制對配線盤和電纜室的訪問;
第十三條 設備維護
(一)應按照供應商推薦的服務時間間隔和規(guī)范對設備進行維護。
(二)由供貨商維護的設備。各種維護活動要按照合同協(xié)議或設備購買時的維護計劃進行。 (三)只有已授權的維護人員才可對設備進行修理和服務
(四)原則上應保存所有維護記錄
(五)要保證所有可疑的或實際的故障以及所有預防和糾正維護的記錄;
(六)設備資產的管理部門和行政服務公司應當向外包維護單位索取維護計劃和記錄。
(七)設備資產的管理部門和行政服務公司定期審核維護記錄和計劃。
(八)當對設備安排維護時,應實施適當的控制,要考慮維護是由內部人員執(zhí)行還是由外部人員執(zhí)行;當需要時,敏感信息需要從設備中刪除或者維護人員應該是足夠可靠的;
(九)應遵守由保險策略所施加的所有要求。
第十四條 場外設備的安全
(一)離開辦公場所的設備的保護應考慮下列措施:
1、離開建筑物的設備和介質在公共場所不應無人看管。在旅行時便攜式計算機要作為手提行李攜帶,若可能宜偽裝起來;
2、制造商的設備保護說明要始終加以遵守,例如,防止暴露于強電磁場內;
3、家庭工作的控制措施應根據風險評估確定,當適合時,要施加合適的控制措施,例如,可上鎖的存檔柜、清理桌面策略、對計算機的訪問控制以及與辦公室的安全通信;
4、足夠的安全保障掩蔽物宜到位,以保護離開辦公場所的設備。安全風險在不同場所可能有顯著不同,例如,損壞、盜竊和截取,要考慮確定最合適的控制措施。其它信息用于家庭工作或從正常工作地點運走的信息存儲和處理設備包括所有形式的個人計算機、管理設備、移動電話、智能卡、紙張及其他形式的設備。
第十五條 設備的安全處置與重新使用
(一)設備報廢處置時,存有敏感信息的存儲設備要從物理上加以銷毀,或用安全方式對信息加以覆蓋,而不能采用常用的標準刪除功能來刪除。
(二)所有帶有諸如硬盤等儲存媒介的設備在報廢前都要對其檢查,以確保其內存儲的敏感信息和授權專用軟件已被清除或覆蓋。存有敏感數據的已損壞的存儲設備要對其進行風險評估,以決定是否對其銷毀、修理或遺棄。
(三)為保證信息安全,必須在處理介質前擦除有關的敏感信息: 1、用碎紙機銷毀所有的敏感紙質記錄。廢紙可在碎紙后立即處置掉。 2、我行內部不應積累過量紙質記錄。所有的紙質記錄都必須在處置前銷毀。 3、磁帶和磁盤必須在處置前實際銷毀和核對。 4、數據存儲光盤應在處置前實際銷毀。
(四)凡敏感性介質的處置都必須填寫《信息介質處置申請表》,經部門負責人同意后,方可進行處置。并記錄在《信息介質處置記錄表》,留待審計時備查。
第十六條 設備的移動
(一)應考慮如下措施: 1、在未經事先授權的情況下,不應讓設備、信息或軟件離開辦公場所; 2、明確識別有權允許資產移動,離開辦公場所的雇員、承包方人員和第三方人員; 3、應設置設備移動的時間限制,并在返還時執(zhí)行符合性檢查; 4、若需要并合適,要對設備作出移出記錄,當返回時,要作出送回記錄。
(二)應執(zhí)行檢測未授權資產移動的抽查,以檢測未授權的記錄裝置、武器等等,防止他們進入辦公場所。這樣的抽查應按照相關規(guī)章制度執(zhí)行。應讓每個人都知道將進行抽查,并且只能在法律法規(guī)要求的適當授權下執(zhí)行檢查。
第五章 附則
第十七條 本管理辦法由電子銀行部負責解釋和修訂。
第十八條 本管理辦法自發(fā)布之日起施行。
第6篇 信息科技部-安全管理中心-安全規(guī)劃崗工作職責與職位要求
職位描述：
1、負責信息安全策略（制度、流程、運行機制）的建設和維護，并組織落實
2、負責信息科技風險的識別與評估，制定風險控制方案，針對信息系統(tǒng)開展風險評估
3、配合監(jiān)管及內外部安全審計，了解常見安全漏洞、熟悉安全評估、熟悉各類安全控制手段，完善運維環(huán)境安全系統(tǒng)建設和管理
4、負責全行信息科技安全檢查的各項工作，跟進并落實相關問題的整改
5、定期組織信息安全培訓，及全員的安全意識教育
職位要求：
1、全日制本科及以上學歷
2、5年及以上相關工作經驗，了解iso27001、iso20000，對信息安全以及it服務管理體系有深入理解；
掌握信息安全、it開發(fā)、運維等專業(yè)知識，
3、熟悉銀行業(yè)信息科技監(jiān)管要求和標準
4、熟悉計算機軟硬件系統(tǒng)的產品設計、開發(fā)、可行性研究及軟件開發(fā)、測試、評估、操作管理；熟悉linu_系統(tǒng)；熟悉oracle數據庫應用開發(fā)。
