• 关键字:
     

中化财务企业通过信息安全等保三级测评

时间:2013-11-29 浏览量:2710 来源:澳门新萄京赌场网址 字号:[ ]

近日,中化财务企业核心业务系统安全建设接受了公安部进行的信息安全等级保护现场测评,测评机构认为包括电票系统、网上金融系统在内的核心业务系统安全保护能力“基本符合等级保护三级基本要求”。这一测评结果标志着中化财务企业根据集团信息技术部的统一部署,已经建成较为完备的信息安全保护体系,信息安全跻身国内企业集团财务企业行业的领先水平,达到了与商业银行的信息安全等级相同的水平,可为金融业务信息系统提供全方位的严密保护。

我国自2001年开始尝试推行信息安全等级保护制度,并于2009年颁布了国家标准GB/T 22239-2008,旨在对可能会影响国家安全和公共利益的信息系统分等级实行安全保护和监管,对重要信息系统进行集中备案、统一管理。信息系统安全共分为五个等级,其中最高等级为五级;在金融机构中,国有大型商业银行通常为四级;多数商业银行为三级。信息系统安全第三级标准是指信息系统受到破坏后,会对社会秩序和公共利益造成严重损害,或者对国家安全造成损害;相应的,GB/T 22239-2008中也给出了每一等级系统的安全建设要求,以等保三级为例,其标准共包括技术和管理两大类别的多达290项内容,形成了一个全面的安全体系,因此也有人把等保三级称为是中国的ISO27001

中化财务企业高度重视信息系统安全,将其视为信息系统建设的第一要务,按照“高起点、高目标、高标准、成体系”的建设思路,早在2009年就明确了以等保三级为抓手,统一规划,全面推进信息安全体系建设。2010年按照公安部信息安全等级保护的要求,完成了自主定级,进行了网络和系统安全评估,制定了等级保护整改方案,并通过了专家组评审,向公安机关完成了报备,根据方案,从多个层面扎实推进信息安全体系建设,确保金融业务的稳定、安全运行。

一是在机房基础设施层面,建设了主备两个机房,主机房按照国家A类机房标准建设,建立了消防、灾备、防盗等全方位监控安保系统,对温度、湿度等环境指标进行24小时自动控制;同时与外部安保企业监控中心、物业中控室和预警短信平台联动,确保IT人员可在第一时间发现异常情况。

二是在网络层面,实现了生产网、办公网及灾备网的安全隔离,并针对网络和业务的功能特点,设置了多个功能区域,通过防火墙访问控制等技术手段,实现了各区域边界的访问控制和安全隔离、重要链路和节点的冗余备份,部署了IDS入侵检测系统、数据库审计系统、运维安全堡垒主机系统等专业安全管理设备和系统。以技术手段确保了网络安全稳定。

三是在应用系统层面,对核心业务系统采用了基于CA数字证书的身份认证、访问控制和SSL数据加密传输。从流程上对业务操作进行强制复核。对密码强度、密码修改周期、密码试错次数、长时间误操作强制退出等进行了系统层面的限制,确保密码泄露等风险得到严格控制。2012年,部署了两台性能优越的IBM P750服务器,并采用LPAR虚拟技术将两台服务器虚拟为四台,实现CB系统应用服务器和数据库服务器的双机热备,可有效解决单点故障风险,极大提高了系统的连续可用性和运行处理效率。

四是在管理层面,每日进行机房巡检,每季度请专业企业进行一次机房和系统网络安全大排查,重要节假日制定专门的安全方案、安排专人值班值守。每年至少举行一次灾备恢复演练、进行一次安全评估和安全加固,所有相关操作实现了表单级审批及记录,在管理举措上确保持续跟踪、严密防范。

五是在制度层面,先后针对机房管理、信息化管理、安全管理、应用系统运维管理、网上金融服务、灾备系统管理等一系列信息安全相关事项制定了规章制度,形成了完整而严密的信息安全制度框架体系,为规范信息系统建设与运维、防范信息系统风险奠定了制度基础。

六是在数据备份方面,采用了业内先进的“RAID磁盘阵列—双机热备—磁带机自动备份—灾备系统ERM镜像备份—异地灾备—人工离线备份”六级备份体系。建有核心业务系统的灾备系统,实现了核心业务系统数据与应用的同城异地实时镜像备份。2013年,开始按照集团统一部署,实施异地灾备项目,项目上线后,将实现CB、电票、网银系统重要数据和日志每日自动备份到上海数据中心,形成“两地三中心”的技术管理架构。

在全方位的信息安全保障下,中化财务企业金融业务运行稳定,未出现因信息系统发生故障或遭到入侵而导致的业务中断、数据泄漏等安全事故。

信息安全建设是一个持续的过程,通过等保三级安全认证后,中化财务企业将继续深入推进异地灾备、系统加固排查等措施,以安全高效的信息系统为成员单位提供可靠的金融服务。

上一篇:
下一篇:
XML 地图 | Sitemap 地图