从资讯安全与系统效能探讨

《从资讯安全与系统效能探讨》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、從資訊安全與系統效能探討金融資訊系統營運管理趨向97/04簡報大綱一、一天一、一天2424小時全年無休的作業管理小時全年無休的作業管理二、確保系統運作正常三、三、ITIT一般性控制項目一般性控制項目四、確保系統安全管理五、網路資安六、系統效能七、從系統規劃到開發流程控管系統安全八、管理及監控九、九、ITILITIL十、資訊安全面對的限制與挑戰2一、一天24小時全年無休的作業管理(一)分行關機(二)本日作業(三)中心關機(四)中心開機(五)次日作業（排程、紀錄執行情形）(六)分行開機1.連線交易監

2、控（系統運作、連線網路、程式執行）2.交易安全（安控系統檢核及監控）3.緊急應變復原3二、確保系統運作正常(一)檢核各應用系統開啟狀況(自行、跨行、B2B、B2C、SWIFTNet)(二)查核連線網路狀況(三)查核夜間批次作業狀況（執行結果、傳檔情形）(四)查核系統最近運作狀態紀錄（安全係數）4三、IT一般性控制項目(一)電腦機房運作管理1.工作設定及排程2.操作監控及檢核3.資料備份以及回復程序(二)系統軟硬體管理1.系統軟體、資料庫管理、通訊軟體、資訊安全軟體、公用軟體等建置、運作及維護2.

3、排定計劃實施硬體定期保養（周、月、季保養及微碼更新）及軟體維護保養（預防性、修正性保養）5四、確保系統安全管理(1)(一)實體環境安全重要設施及區域限定核准人員進出，並設有適當的識別與驗證機制(二)存取控制與身份驗證安全管理預防不適當及非授權的系統存取：(1)所有使用人員登入系統皆應有適當的身分驗證機制(2)針對網路連線安全，設置防火牆、入侵偵測系統、弱點評估、電腦病毒防禦機制等設施，用以防止非授權的連線與存取6四、確保系統安全管理(2)(三)安全管制1.權限管控2.機密資料取得的流程3.交易安

4、全：(1)防止駭客入侵(2)預防駭客窃取客戶(會員)帳號、密碼等資料(3)預防網路詐欺(4)對異常流量或可疑IP作監控、分析4.應用系統開發及維護管理：(1)系統設計及開發流程步驟(2)應用系統軟體和IT基礎架構的設置及測試(3)文件化需求－政策、規範及程序制定與維護(4)變更管理7五、網路資安(1)(一)網際網路防火牆(二)第二層防火牆(三)入侵偵測系統(四)防火牆負載平衡系統(五)網路流量平衡系統(六)電子郵件過濾系統(垃圾郵件過濾、內容過濾防護)(七)防毒系統8五、網路資安(2)(八)弱點

5、掃描伺服器用的帳號、密碼伺服器開的Port伺服器的Service伺服器Run的OS版本，Patch有無補齊(九)偽冒網站搜尋關鍵字：ＯＯ銀行、Ｏ銀、ＯＯ商業銀行、ＯＯ金控9六、系統效能－揪出藏在細節裡的魔鬼(一)交易量／回應時間．ATM(自行／跨行)－交易逾時(先吐鈔後扣帳)．網路銀行－Linkproof、Fireproof、FirewallⅠ/Ⅱ、DispatchingServer、WebServer、APServer、DBServer、EAIServer、M/F(二)DB結構與重整－計息、大

6、戶大量交易(三)ENQ－Process(I/O)－DEQ．記錄、分析、調校－防微杜漸．找出關鍵性瓶頸／善用軟體工具分析．分散負荷／平行運算．知識、經驗、團隊．細心、耐心、恆心10七、從系統規劃到開發流程控管系統安全(1)(一)強化軟體開發流程1.宣導安全的開發理念與流程，將安全列為開發時的必要條件（系統開發安全準則、原始碼檢測、滲透測試）2.機密性資料加密（安全氣囊）3.監控及維運功能－系統效能及維運監控（儀表板）4.周邊安全防護（防撞設計）(二)透過架構與權限來控管安全1.網站配置（找出不需要

7、的功能，關閉不必要的服務，定期檢查設定檔的內容，確定只有需要用到的功能才開啟）2.身分驗證3.網頁授權4.資料確認5.資料保護11七、從系統規劃到開發流程控管系統安全(2)(三)採用資安防護產品第一時間發現網站漏洞，防堵惡意攻擊(四)將使用者納入網站安全防護圈1.使用者密碼太簡單，多帳號使用相同密碼2.瀏覽惡意網站時，遭植入木馬程式、窃取密碼或成為駭客從內部入侵的跳板12八、管理及監控(一)設備管理(二)效能及負荷量管理(三)品質管理（軟體開發品質）(四)外部法規要求的符合(五)監控管理成效(六

8、)內部稽核與審查13九、ITIL(一)事件管理(二)問題管理(三)變更管理(四)版本上線管理（含上修補程式之管理）(五)服務層級管理(六)容量管理(七)可用性管理(八)IT服務持續運作管理（網路備援設計、系統軟硬體備援機制）(九)組態管理－系統組態及設定管理(十)資料管理－1.敏感性資料的儲存及傳輸保護2.資料及程式的備份及回復14十、資訊系統面對的限制與挑戰(一)成本限制及效益的考量(二)組織暴露于各種風險之中(三)制度中關於「人」的因素(四)內部控制可能無法含概所有流程細節(五)經營環境的日