新资本金计算对我国银行的影响

精品文档精心整理精品文档可编辑的精品文档新协议资本金计算方法对我国银行业的影响摘要今年年初Basel委员会公布了新资本协议草案，其核心内容是提出了根据信用状况确定资本金的标准法和基于内部评级方法。新协议的实施将对全球银行业信用风险管理产生深远影响。本文对新协议中资本金的计算方法进行了详细的介绍和分析，着重讨论了新协议对我国银行业的影响以及我国实施新协议可能遇到的困难和需要解决的问题。关键词Basel协议资本金标准法基于内部评级方法引言1988年Basel委员会公布的《统一国际银行的资本计算和标准的报告》（即Basel协议）首次提出以资本充足率为核心对银行进行监管，并给出了统一的衡量标准，如表1。虽然Basel协议主要针对国际活跃性银行，但鉴于其科学合理性，已广泛地为各国监管当局采用。我国的资本监管理念和方法也基本采用了Basel资本协议的主要内容[6]。表11988年Basel协议关于银行主要资产的风险加权系数资产的风险权重0%20%50%100%对应的主要资产内容现金、对本国中央银行的债权、由其它OECD国家（或中央银行）主权担保的债权等由多国发展银行担保的债权、由OECD国家的金融机构提供担保的债权、由OECD国家的公共部门、非OECD国家中央银行、银行担保不超过一年的债权、在途现金等有完全资产抵押担保的房地产或者个人零售贷款等其他（如对非公共部门的企业的债权、对非OECD银行、国家的超过一年的债权等）随着金融全球化、一体化的浪潮，金融领域的竞争尤其是国际跨国银行间的竞争日趋激烈，金融创新层出不穷，银行的业务也越来越复杂化和多样化。尽管Basel委员会对协议进行了修正（例如，96年修正案将市场风险的监管统一纳入到资本充足率的框架下），但该协议已经越来越不能适应金融市场的最新发展，遭到了学术界和银行界批评。这些批评主要体现在以下三个方面：第一、风险权重对风险程度不敏感。如表1，协议对所有的企业，无论其信用如何，风险权重都是100%；对国家和银行债权的监管资本风险权重仅按是否为OECD国家划分，而不按真正的信用风险大小划分。第二、经济资本和监管资本不一致，致使银行通过资产证券化进行监管资本套利。如银行通过将信贷资产中高质量的贷款证券化，将这部分资产的监管资本风险权重由100%减少到20%，但实际风险没有任何减少。监管资本套利会导致整个银行系统风险加大以及银行间的不公平竞争。第三、Basel协议的标准虽然方便、简单，但是忽视了对银行管理能力、客户特征的区别，不能激励银行改善风险管理水平。针对上述问题和金融市场的发展，尤其是近年来国际上大型银行在信用风险管理的方法和模型方面取得的巨大进展，Basel委员会于1998年开始着手制定新协议，并于1999年6月公布了新协议征求意见稿。征求意见稿最大创新之处是提出了根据资产的信用状况加权确定银行资本金的标准法和基于内部评级方法。征求意见稿公布后，得到了各国监管当局和银行界、学术界的积极评价和反馈。在综合了各方的意见并经过深入讨论后，Basel委员会于2001年1月16日公布了新资本协议草案，继续征求意见。所有意见应于2001年5月31日前提交给Basel委员会，Basel委员会综合各方意见后将于2001年底公布新协议的正式稿，并预定于2004年正式开始实施。Basel新协议草案以资本充足率、监管部门监督检查和市场纪律为三大支柱，其中又以资本充足率为核心。Basel委员会指出银行面对的风险主要有信用风险、市场风险、其它风险（包括利率、操作、法律风险等）。新协议将明确涵盖这三种风险。新协议草案希望建立一个全面的方法来确定风险，以此来加强金融系统安全和稳固，促进银行间竞争。新Basel协议草案比99年的征求意见稿，在内容上进行了重大修改：1、根据银行界和学术界的意见，对于标准法中的风险加权系数进行了修正；2、给出了按复杂程度逐步上升的三种方法（标准法、基于内部评级的基本法、基于内部评级的高级法），确定资本金的具体操作方法和规定；3、对于信用缓释技术进行确认，并给出了详细规定。关于Basel新协议的基本思想和内容，国内已有文介绍[6]、[7]。本文主要介绍新协议中资本金的具体计算方法，以及目前国际学术界、银行界对这些方法的评论，同时分析新协议对我国银行业的影响以及我国实施新协议可能遇到的困难和需要解决的问题。Basel新协议中计算资本金的标准法2．1标准法的主要内容和评论Basel新协议对于银行的资产，按其是否有外部评级，以及外部评级机构对资产的评级结果给予一定的风险加权比，具体规定如表2。表2Basel新协议标准法关于银行主要资产的风险加权系数对应要求风险加权比率（%）评级对象AAA到A+BBB+到BB+到低于未评级AA-到A-BBB-B-B-主权评级02050100150100银行方法1a和证券方法2b机构205010010015010020505010015050（长期）2020205015020（短期c）其他公司（包括保险公司）AAA到AA-A+到A-BBB+到BB-低于BB-未评级2050100150100d资料来源：BaselCommitteeOnBankSupervision《TheNewBaselCapitalAccord》PP：7-15这种方法下使用的是金融机构所在国家的评级来确定风险权重，在这种情况下金融机构的评级不能超过国家主权评级。这种方法下使用对金融机构本身的评级确定风险权重这里的短期指到期时间小于等于3个月的资产1999年6月的权重AAA到AA—：20%，A—到B—：100%，低于B—：150%，未评级：100%。将表1和表2对比，可以看出新Basel协议标准法关于资本金计算的主要进步在于去掉了对非OECD国家歧视，按外部信用评级的高低进行加权。对于标准法的评论主要集中在使用外部评级是否恰当、如何更好地使用外部评级上。(1)Basel新协议明确指出资本金是用来防范期望损失和非期望损失，而目前评级机构的评级主要反映发行人预期的可能损失。虽然Moody提出其评级越低的客户，级别的波动性越大（也即非期望损失的可能性越大），但是没有经过严格的验证。因此，仅仅靠评级机构的评级能否全面反映信用风险是一个有待实证检验的问题。(2)评级机构的信用评级是领先于被评级人的信用状况变化，还是滞后于被评级人的信用状况变化。Altman[1]通过对Moody和S&P从89年3月到99年3月间对公司债券评级变化的研究发现，外部信用评级机构的评级调整不是领先，而是落后于评级对象信用状况的变化。因此根据外部信用评级来确定资本金，有可能加重经济周期对于银行经营的影响。(3)Basel新协议对信用评级归类的方法是否正确，即Basel协议给出的这种加权比重是否能真正反映信用损失的大小。Altman[2]根据美国81年到2000年非金融机构发行的债券数据，利用蒙特卡洛模拟实证研究后认为Basel新资本协议中的风险层次过少，而且风险权重不合理，高质量资产的风险权重过高，而低质量资产的风险权重过低，这样可能导致银行的逆向选择。Altman提出的风险权重如表3。另外，注意到表2中Basel新协议中对企业加权方法的修正，增加了A+到A—为50%这一个层次，但是将风险权重最大的资产由B—以下改为BB—以下，对于金融机构和主权评级风险最大的资产仍然为B—以下，而金融界目前的共识是B—以下为垃圾债券，Basel协议这样的调整是不太符合金融界的经验，对这一调整的批评较多。(4)由于发展中国家被评级的企业相对很少，Basel协议的执行是否会形成事实上对发展中国家的不公。世界银行的Giovanni[5]通过建立计量经济模型发现，发展中国家企业的评级和主权评级的相关性远大于发达国家企业评级和其主权评级的相关性。如果使用外部评级作为衡量银行资本金的标准，对于发展中国家而言，会使其金融机构和国家在全球资本市场的地位处于更加不利的位置，并在金融危机中因为信用评级的全面下降而加重其危机。(5)中央银行在标准法中的主要作用是选择外部评级机构和对外部评级机构的评级结果进行评判。如何保证中央银行选择的公正，不同国家间中央银行选择的可比较性值得研究。尽管对于Basel新协议有如上的一些批评和质疑，学术界和银行界还是充分肯定Basel新协议提出的按信用风险大小加权计算资本充足率的框架，并认为新框架能较好地避免银行通过证券化逃避监管资本，只是对具体的操作方法和过程提出了不同的意见和批评。表3Altman提出的非银行企业的风险权重信用级别AAA到AA-A+到BBB-BB+到B-低于B-非银行企业权重10%30%100%150%资料来源：参考文献Altman[2]2.2标准法对我国银行业的影响和含义我国银行体系主要由四大国有商业银行、九个股份制商业银行以及90家城市银行、69家财务公司、47000多家信用合作社以及100多家国外银行的分支机构构成。目前我国使用的资本监管方法基本上是按1988年Basel协议制定的框架。Basel新协议将对我国银行业产生深远影响。表4：Moody公司2001年2月对我国国家和主要银行的信用评级中国主权评级工商银行中国银行建设银行农业银行交通银行中信实业A-BBB+BBB+BBB+BBB+BBB+BBB-光大银行广东发展浦东发展深圳发展招商银行福建兴业民生银行BB+B+BBBB-BBCCC-无评级资料来源：BankCreditResearchMonthlyRatingsList2001.2首先，分析标准法对我国以及我国银行业的对外业务和筹资成本的影响。比较表1和表2中各种资产对应的资本金权重，按我国目前的主权评级，新协议标准法对国外银行持有我国政府债券的监管资本金将由100%8%=8%降低为20%8%=1.6%，降低的比例非常大，提供了国外银行在其资产组合中增加我国政府债券的比例的激励，有利于我国政府在海外的筹资。但是正如Giovanni指出的，一旦我国发生金融动荡，会引发对我国主权和金融机构信用评级的连锁反应，加重我国的金融危机，必须对此进行对策研究。对于我国银行而言，四大国有商业银行和交通银行因为其规模、人力、历史方面的优势，评级都在BBB级以上，国外银行对于其所拥有的长期债权相应的资产加权系数由100%降低为50%，因此有利于它们在海外融资和开展业务。对于股份制商业银行而言，绝大多数银行的评级在BB+到B—之间，其长期债务对应的资产加权系数没有减少，都为100%，而短期债务对应的资产系数由20%上升到50%，可能会提高其海外业务的成本。另外，如果选择标准法，外部评级将在银行监管中占据核心地位。这有利于促进我国银行提高透明度、加强管理以提高自己的信用评级，从而最终提高我国银行业的竞争水平。其次，分析在我国银行监管应用标准法存在的问题。根据Moody的统计，1999年底中国在Moody有评级的企业为银行15家，非银行2家；到2001年2月中国在Moody有评级的企业也不过24家，可见中国有国际承认的外部评级的企业数目很少，而且主要集中在银行业，因此无法使用国际上的外部评级作为标准法的基准。国内的信用评级机构主要有中诚信和大公信用评级两家，评级的企业主要是发行长期或短期债券的企业，评级企业数目在100~200家左右。如果采用目前外部信用评级，银行的资产绝大多数都是未评级资产，计算出来的资本金不能真正反映银行资产的信用风险。即使在美国，有评级的企业也是资产规模较大、风险相对较小的企业。而在我国，大型企业相对较少，中小企业很多。而以劳动密集为主要特征的中小企业符合我国目前的比较优势，是我国银行业的主要客户群体。我们在中国银行的初步实证研究也发现中小企业是银行呆坏帐的主要群体。如何控制中小企业带来的信用风险是我国银行面对的主要问题。因此，在目前的外部评级条件下，使用标准法并不能真实地反映我国银行面对的风险，同时也不是一个能够促使银行改进风险管理水平和提高大多数客户信用程度的激励政策。Basel新协议中计算资本金的基于内部评级方法新Basel协议草案对于1999年6月征求意见稿最大的改动，在于提出了一整套完善的基于内部信用评级的资本金计算方法。Basel委员会认为使用基于内部评级方法，是真正风险敏感和激励相容的，能减少20%~30%的监管资本[6]，因此将会为大多数国际化的商业银行采用。Basel委员会也希望以此鼓励有条件的大银行发展先进的内部评级系统，以此作为信用风险管理的核心。3.1基于内部评级方法的主要内容新协议的基于内部评级方法将债项按借款人的类型分为：公司、零售、国家、银行、股票、项目融资等六种类型，分别采用不用的方法处理，但是计算方法的区别并不大。我们以计算公司类型债项的风险资本金的方法为例介绍基于内部评级方法的主要计算方法。利用基于内部评级方法计算资本金需要四个输入参数，它们是债务人的违约概率PD（probabilityofdefault）、违约后债项的损失LGD（lossgivedefault）、违约时的风险暴露EAD（exposureatdefault）以及债项的到期时间M(remainingmaturity)。基于内部评级方法分基本法和高级法，其主要区别在于在基本法中LGD、EAD、M由监管机构确定，而在高级法中允许采用银行内部评级系统的结果计算。新协议中计算银行的风险资本金分为如下两步，第一步，对每一个债项计算其风险权重。风险权重规定为：RWC=min{（LGD/50）BRWC（PD）[1+b(PD)(M-3)],12.5LGD}（1）在高级法中，由银行自己通过对债项的未来现金流加权计算得到M的数值，但协议规定计算出来的M值不能超过7年。在内部评级的基本法中因为所有债项的持有时间都被认为是3年，带入到(1)式得到公式如下：RWC=min{（LGD/50）BRWC（PD）,12.5LGD}（2）其中：RWC指对应于这个债权的资产权重；LGD指预期这个债权发生违约后不能收回的百分比；b(PD)是对M的一个调整函数，依赖于PD，Basel委员会正在研究函数的形式，将在正式稿中公布。BRWC（PD）由下式确定：BRWC（PD）=976.5（1.118G(PD)+1.288）（1+0.0470（1—PD）/PD0.44）28（3）其中PD为债务人的一年违约概率；N(x)=，为标准正态分布的分布函数，G(x)为N(x)的逆函数。通过这样的规定，风险权重与违约率呈指数关系而不是线性关系，这是因为Basel协议指出资本金用来同时防范预期和非预期损失。第二步，确定每个债项对应的监管资本金，然后将所有资产的资本金加总，得到银行的监管资本金.每一个债项对应的资本金为：Capitalc=RWCEAD8%（4）在基于内部评级方法中，关键是如何根据内部评级系统确定四个输入参数。Basel委员会定义PD为债项所在信用评级一年的平均违约率，PD的确定必须是通过对这个级别的历史数据进行统计分析，实证研究得到的，而且为保守的、前瞻的估计。基本法中，对于无担保和抵押的债项，按照其为优先和非优先贷款分别规定LGD为50%和75%，对于有抵押担保的债项，协议将债项按其抵押品的性质分类，通过计算其抵押品的折扣比例，并相应归类得到对应的LGD；高级法中LGD可以根据对银行评级系统的内部数据的分析得到。对于表内业务，所有债项的EAD被定为资产负债表上名义未清偿值；对于表外业务，基本法中对各种工具规定了一定的转换因子，而高级法中则允许银行使用自己的内部评级系统确定各种债项的EAD。有必要指出，风险权重公式(3)和银行使用内部评级基本法中关于LGD的规定，是Basel委员会根据西方国家的经验数据，进行统计分析得到的。这些函数的参数是否适合我国实际，如果不适合如何对其进行调整，是中央银行必须和商业银行合作研究加以解决的。内部信用评级系统必须满足一定的条件，银行必须经过中央银行监管部门批准，才能使用基于内部评级方法。监管部门还应对银行的内部评级系统实行经常性的检查以保证银行的系统符合Basel协议的要求。Basel新协议对银行内部评级系统的要求主要有如下几点：(1)银行的内部评级系统必须为两维的.一维针对客户的信用情况，用以测量违约率（PD），另外一维反映债项的一些特殊性质，用以测量清偿率（LGD）。(2)数据质量和时间的要求。对于使用基本法的银行，Basel协议要求银行必须有5年以上的历史数据来估计违约率；对于使用高级法的银行，必须有7年以上的历史数据来估计LGD。Basel协议同时要求银行评级的历史数据必须保留，作为系统完善的基础。(3)Basel协议要求银行内部评级的方法经过严格的统计检验，不仅仅要求样本内一致，而且要求样本外预测精度高，并最终经中央银行监管机构批准才能使用。(4)Basel协议要求银行对自己的内部评级系统必须进行经常的检查和更新，并进行后评估，以保证系统的实时性和正确性。国际上学术界和银行界的评论认为，基于内部评级方法利用银行自己的内部评级数据确定资本金的做法，有助于提高银行提高自己的内部风险管理水平，使监管资本和银行经济资本趋于一致，防止银行通过证券化和监管资本套利，从而保证金融体系的稳定。对基于内部评级方法的批评主要集中在：(1)协议中对各种债项类型（公司、零售等6种）的分类是否恰当、可操作性不强。(2)风险权重函数是Basel委员会利用G10国家的历史数据建模得到的，有待实际数据的检验和国际银行业的认可，其对非G10国家是否适用值得怀疑。(3)新协议主要是从单个债项而不是整个资产组合的角度来计算资本金，忽视了债项间的违约相关性。虽然新协议对于资产在某个行业和地区过于集中的银行做了追加资本金的规定。但是这样仍然会导致监管资本和经济资本的不一致，使得银行有监管资本套利的可能。3.2我国目前内部评级系统的差距虽然我国大多数商业银行已经建立了自己的内部评级体系，但是距离Basel委员会对内部信用评级系统的要求存在着一定的差距。(1)由于我国整个社会的信用文化缺乏，加之信用评级未在贷款决策、定价中起核心作用，基层认识不足，没有积极性去核准企业财务数据，导致企业财务数据不准确、不全面。再者，企业信用评级调整不及时，不能真正反映企业目前的真实经营状况。(2)信用评级方法过于简单，主要手段是“打分”法。即选取一些有关的财务指标和定性指标根据事先确定的分值表分别打分，然后加总。这种方法，缺乏对历史数据进行统计分析，得不到新协议要求的PD和LGD的估计值。(3)历史数据过短，而且我国处于经济转轨时期，整个经济机构和法律制度都在发生巨大的变化，历史数据的可用性也不强，建立定量模型困难很大。距离正式实施Basel新协议还有4年的过渡时间，我国银行业应该在这段时间里，按照国际大银行的经验和标准建立起符合协议的内部评级系统，才能迎接加入WTO后外资银行进入中国的挑战。4政策建议目前困扰我国银行业的最大问题是银行资产的巨额呆坏帐，最大风险是信用风险。学习先进风险管理技术，加强信用风险的管理，可以说是我国银行业的当务之急。采取Basel协议，按照国际通行的准则进行银行监管，是我们的自然选择。在我国实施Basel协议，首先要做好基础建设。第一，新协议中资本金的计算，需要坚实的数据基础。S&P建立的CompuStat数据系统，从1962年开始收集美国和加拿大的上市公司的相关数据，目前已经有2万多个公司的历史数据，而且保持每月更新。Moody联合北美15家大银行收集了从1989年开始的信贷客户数据3万多个，并基于此开发了评级系统RiskCalc。欧洲大多数国家以立法的形式要求本国的商业银行将自己的客户信息登录入中央信用注册系统CCR（centralcreditregisters）和中央财务数据系统CFSD（centralfinancialstatementsdatabases）。这些数据从60年代开始收集，90年代欧洲各国中央银行基本都开发出基于这些数据库的先进的信用评估系统[4]。这些系统的存在使得G10国家有了使用外部信用评级的数据基础和检验本国内部评级系统的基准，这些正是我国所欠缺的。建议人民银行仿照欧洲的模式，联合各大商业银行开发出自己的评级方法和标准，作为外部评级的参照和评估商业银行内部评级系统的基准。第二，要加强社会信用文化的建设，尽快实施破产法，对企业的违约、清偿从法律上给出清晰的界定，做到有法可依，执法到位。第三，改善市场的微观结构，使得企业的财务数据、股票价格能真实反映企业实际经营状况，从而使信用评级有可靠的依据。第四，加快市场化步伐，特别是实现利率市场化，使得信用评级系统能够在贷款决策与定价得到广泛的应用，提高银行建立信用评级系统的积极性。其次，在选择Basel协议资本金计算方法上，建议采取基于内部评级方法。第一，不论是标准法还是基于内部评级方法，对我国来说都是从头打造。而基于内部评级方法是发展趋势，有必要高起点直接入手，尽快缩短差距。第二，银行监管的主要目的在于建立起一个既能有效配置资本资源，又能保持运行稳定的银行体系。从Basel协议的变迁中可以看出，国际银行业监管的趋势是通过激励相容的制度安排以及市场压力，使金融机构自发地加强内部的风险管理制度。其具体的做法是：以资本充足率为主要评价指标，允许符合条件的商业银行采取内部模型来确定资本充足率，但是辅以严格的事前检查和事后惩罚措施，同时要求银行提高透明度，提高信息披露标准，增强市场利益相关者在促使银行拥有充足资本方面的作用。我国银行监管也应该从这个原则出发，在严格控制的前提下，允许银行选择与实际业务和发展战略相适合的方法来确定资本金，而不是规定银行必须选择什么方法来确定资本金。对商业银行而言，最迫切的是按照国际规范建立起符合自己客户特征和业务特点的内部评级体系和基于内部评级的信用风险管理系统。目前我国商业银行的客户评级和贷款五级分类体系虽然都已经初步建立，但缺乏信息的有效收集和反馈渠道，对于信用评级执行情况和结果缺乏基于具体数据的实证检验和统计分析，因此建立有效的信息收集和处理系统是实施Basel基于内部评级方法的第一步。第二，我国商业银行内部评级方法比较简单，和目前国际大型商业银行的先进评级方法有很大差距，评级结果不能得到和Basel协议要求的参数PD、LGD。商业银行应结合实际数据，借鉴国际上比较成熟的评级模型，通过严格的统计分析找出能真正能解释中国违约率和清偿率相关的变量，并建立起定量化的内部评级模型，在此基础上结合企业的行业地位、管理水平等定性因素，制定出有效的内部评级方法。第三，以内部评级方法为核心，建立银行信用风险管理系统，进一步量化风险，使它们落实在银行的贷款决策、资产定价、贷后管理、业绩的考核评估等各项业务之中。通过应用，激励内部评级系统的改善。第四，应该强调的是，一个良好的信用风险管理系统除了好的信息系统和评级方法以外，还必须通过良好的信用文化和政策得以贯彻和实施，商业银行的高层必须有决心利用多种渠道推动信用文化的建设。最后，我国商业银行不仅仅应该从满足Basel新协议的要求来看待和建设内部信用评级系统，而应认识到信用评级系统将在市场开拓、风险管理和机构评估中起到核心作用，是银行未来竞争中的核心优势。去年下半年以来，中国银行、中国科学院管理决策与信息系统开放研究实验室、北京金高科技研究院联合开展了中国银行信用风险管理系统的研究开发。我们在数据建设、信用风险特征分析和信用风险度量模型等方面，取得了较好的进展。这些工作，将为在我国实施Basel协议提供有益的探索和铺垫。结论Basel新资本协议的实施将对全球银行业信用风险管理产生深远影响。随着我国商业银行现代化进程的深入以及伴随入世而来的金融服务业的对外开放，按照Basel新资本协议进行资本监管势在必行。由于基础薄弱，在我国无论是采取标准法还是基于内部评级方法，都存在很大的困难。为尽快缩短我国商业银行风险管理水平与国际先进水平的差距，应着力开展基于内部评级方法的研究与应用。另外，Basel新协议资本计算方法，设立的原则和各种参数都是针对西方发达国家制定的。国内金融界和学术界应针对我国情况进行相应的研究，并通过中央银行与Basel委员会交涉，争取能够在其框架下进行一定的调整，使之能够更好地体现新兴经济国家商业银行的风险水平。fdcew精品文档精心整理精品文档可编辑的精品文档XX单位信息安全事件应急处理报告XXX公司2017年X月XX日目录一、 概述 11.1应急处理服务背景 11.2应急处理服务目的 11.3应急处理服务范围 11.4应急处理服务依据 21.4.1应急处理服务委托协议 21.4.2基础标准与法律文件 21.4.3参考文件 2二、 应急处理服务流程 3三、 应急处理服务内容和方法 53.1准备阶段 53.1.1准备阶段工作流程 53.1.2准备阶段处理过程 53.1.3准备阶段现场处理记录表 63.2检测阶段 73.2.1检测阶段工作流程 73.2.2检测阶段处理过程 73.2.3检测阶段现场处理记录表 83.3抑制阶段 93.3.1抑制阶段工作流程 93.3.2抑制阶段处理过程 93.3.3抑制阶段现场处理记录表 103.4根除阶段 113.4.1根除阶段工作流程 113.4.2根除阶段处理过程 113.5恢复阶段 133.5.1恢复阶段工作流程 133.5.2恢复阶段处理过程 133.5.3恢复阶段现场记录表 133.6总结阶段 143.6.1总结阶段工作流程 143.6.2总结阶段现场记录表 15四、 结论与建议 16

信息安全事件应急处理报告应急处理单位委托单位XX单位服务类别委托应急处理受理日期2017年X月XX日处理日期2017年X月XX日服务成员监督人处理结论：通过本次应急处理服务，解决了XX单位存在的网站漏洞，修补后，经测试有效。建议委托单位针对报告中提出的建议，增强安全控制措施，切实提高信息安全水平，降低相关风险。XX公司2017年X月XX日批准人：应急处理服务人员：审核人：概述1.1应急处理服务背景XX单位与XX公司签订应急服务合同。XX公司根据合同协议中规定的范围和工作内容为XX单位提供应急服务。2017年6月25日XX单位网站服务器发现存在恶意文件，直接威胁网站的正常运营与使用，XX单位立即拨通XX公司的应急服务热线，请求应急处理服务。我方应急处理服务人员,对相关信息进行登记记录,并按作业指导书要求启动相关过程。1.2应急处理服务目的尽快确认和修复漏洞，恢复信息系统的正常运行，使信息系统所遭受的破坏最小化，并在应急处理后提供准确有效的法律证据、分析统计报告和有价值的建议，在应急处理服务工作结束后对系统管理进行完善。1.3应急处理服务范围序号资产编号名称型号/操作系统位置1SDFDA-SE-006网站服务器（主）NF5270/Centos6.4药监机房2SDFDA-SE-007网站服务器（备）NF5270/Centos6.4药监机房3SDFDA-SE-011数据库服务器（主）IBM/AIX4.2药监机房4SDFDA-SE-012数据库服务器（备）IBM/AIX4.2药监机房1.4应急处理服务依据1.4.1应急处理服务委托协议《XX单位应急处理服务委托书》1.4.2基础标准与法律文件《中华人民共和国突发事件应对法》《网络与信息安全应急处理服务资质评估方法》（YD/T1799-2008）《信息技术安全技术信息安全事件管理指南》（GB/Z20985-2007）《信息安全技术信息安全事件分类指南》（GB/Z20986-2007）1.4.3参考文件《信息安全技术信息安全风险评估规范》（GB/T20984-2007）《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）《信息技术服务运行维护第一部分通用要求》（GB/T28827.1-2012）《信息技术服务运行维护第二部分交付规范》（GB/T28827.1-2012）《信息技术服务运行维护第三部分应急响应规范》（GB/T28827.1-2012）

应急处理服务流程XX单位应急处理服务过程主要包括六个阶段：准备阶段、检测阶段、抑制阶段、根除阶段、恢复阶段、总结阶段。应急处理服务流程如图所示。应急处理服务内容和方法3.1准备阶段3.1.1准备阶段工作流程3.1.2准备阶段处理过程我公司与XX单位进行信息安全事件应急处理详情进行沟通，分别对客户应急服务所包含的具体需求和客户实际信息系统环境进行了详细了解，在达成一致的基础上签订了应急处理服务合同；随后我公司立即成立针对该项目的应急处理小组，立刻着手服务方案编写和工具准备工作，同时协助客户对应急范围内的信息系统进行评估和备份快照。3.1.3准备阶段现场处理记录表工具准备清单时间2017年X月XX日服务单位名称XX公司服务单位联系人联系方式响应服务人员联系方式工具使用原因目的描述辅助快速准确发现问题，解决问题。应急工具准备清单:绿盟远程安全评估系统北京安信通数据库扫描系统Nessus漏洞扫描Wireshark抓包工具WVS企业版WEB应用安全测试工具批准人（签字）：3.2检测阶段3.2.1检测阶段工作流程3.2.2检测阶段处理过程我公司技术支持热线客服人员接到用户的应急响应服务电话请求后，通过电话了解基本情况，并检查我公司是否有该类安全事件的应急预案，发现并没有该类安全事件的应急预案；随后我公司立刻派遣应急处理小组携带应急工具、技术规范、现场记录表在服务协议规定的1小时内准备完毕到达现场。到达客户现场后，项目组负责人立即与客户方负责人进行方案沟通，由客户负责人书面授权后，根据实际客户情况建议对网站进行切换和数据备份，随后开始进行检测处理。检测内容如下：事件沟通与应急准备。方案沟通与应急授权。网站切换与快照备份。漏洞发现与验证。确定漏洞产生原因，沟通抑制措施。准备备份文件数据以备随时回退。经过以上检测，项目组确定漏洞根源并确认成功。3.2.3检测阶段现场处理记录表检测结果记录时间2017年X月XX日服务单位名称XX服务单位联系人联系方式响应服务人员联系方式检测原因或检测目的描述确认漏洞存在并评估安全事件等级检测过程及结果记录：（1）首先发现任意下载漏洞，可以下载敏感信息文件：tomcat路径：/data/tomcat6_8081/（2）然后根据敏感文件信息，并通过任意读取漏洞获取到关键信息：网站结构、网站数据库账户密码等：（3）确定上传点，上传木马获取系统权限：安全事件等级确定：该事故发生后将导致网站服务器被非法接管，使其公共服务受到严重损坏，系统受到严重损失，数据被非法窃取；该网站系统中断或非法篡改，可能影响到国家安全，扰乱社会秩序，对经济建设、公众利益有一定的负面影响。该事故安全事件等级为：Ⅱ级。检测阶段确认（签字）3.3抑制阶段3.3.1抑制阶段工作流程3.3.2抑制阶段处理过程通过检查阶段的详细调查，我们判断是文件下载访问权限不合理，上传未做过滤产生的漏洞。在与客户沟通后，客户接受我们的方案并授权我们对该系统进行抑制处理。（1）针对敏感文件设置读取严格的读取和下载权限，禁止访问用户可以读取和下载。（2）暂时关闭非法上传点模块。（3）抑制措施验证并准备备份数据随时回退。3.3.3抑制阶段现场处理记录表抑制处理记录表时间2017年X月XX日服务单位名称XX服务单位联系人联系方式响应服务人员联系方式抑制处理原因针对主要文件信息泄露和非法上传漏洞进行抑制抑制处理目的给予最快速的漏洞基本解决方案，初步抵御攻击抑制处理方案：（1）针对敏感文件设置读取严格的读取和下载权限，禁止访问用户可以读取和下载。（2）暂时关闭非法上传点模块。（3）抑制措施验证并准备备份数据随时回退。抑制方案产生的风险及应对措施：关闭非法上传点模块后，可能对日常管理，合法上传存在一定的影响。应对措施：当需要上传时，采取使用介质本地服务器拷贝上传方式。抑制方案确认（签字）：抑制效果：抑制成功3.4根除阶段3.4.1根除阶段工作流程检测阶段检测阶段3.4.2根除阶段处理过程抑制阶段可以解决外网用户对网站系统的威胁，但是还没有从根本上解决网站漏洞问题。在与客户沟通后，我们进行了如下操作：与客户沟通抑制措施达到的安全防护效果并协商厂商沟通事宜。联系厂商，与厂商说明目前网站存在的非法下载、读取和上传的漏洞，建议采用添加文件校验和文件权限模块，实