【深圳平安综合金融服务公司信息安全风险管理的框架研究11000字（论文）】

深圳平安综合金融服务公司信息安全风险管理的框架研究24045摘要 I24685Abstract II166811、综合金融服务公司信息安全管理研究概述 1315741.1综合金融服务公司信息安全监管制度 1317341.2信息安全典型标准 1105741.3信息安全风险管理的方法论 275622、深圳平安综合金融服务有限公司信息安全管理的现状 4282222.1探索式的管理组织模式 4198012.2初具规模的业务连续性保障体系 4286852.3较完备的IT制度体系 4278602.4良好的基础设施建设 564082.5大量的信息安全保护技术措施 5310443、深圳平安综合金融服务公司信息安全风险分析 612103.1组织风险 635253.1.1尚未建立完善的预警信息战略风险的机制 683303.1.2信息安全风险管理组织的履职有待加强 635793.2人员风险 615583.2.1安全意识淡薄 618993.2.2缺少风险管理的专业人才 714523.2.3IT人员流动风险管理薄弱 716963.3技术风险 7187683.3.1物理环境和设备 7180573.3.2网络安全 7320493.3.3系统安全 850413.3.4应用风险 842163.4外部风险 8190043.4.1法律漏洞风险 8311883.4.2客户行为风险 8196663.4.3信誉风险 913344、深圳平安综合金融服务有限公司信息安全风险管理策略 109904.1建立完备的信息安全政策标准体系 1073194.2建立完善的组织人员管理模式 10122374.3建立流畅的信息安全运作管理模式 10193884.4建立有效的信息安全技术体系 1232600参考文献 151、综合金融服务公司信息安全管理研究概述对于综合金融服务公司信息来讲，安全性的保障不应当在防病毒、防火墙等方面徘徊，不能只在单个设备和系统的堆砌层面上，而其发展趋势是利用现有的风险管理理论为思想，构建完善的信息安全风险预警、控制与保障机制，注重整体防护措施的制定。管理策略出发点为综合金融服务公司的业务需求，需借鉴相关标准、法规和制度，避免由此产生的风险，利于核心业务的顺利合法开展。在下文所论述的银监会发布以及安全等级保护等内容中，笔者利用综合金融服务公司当前现行的信息安全管理机制，借助有关法规政策进行课题的论述与研究。其中，国内信息安全等级保护的界定已在评价说明中有所提体现。在我国信息安全的建设中，信息安全等级保护不仅是一项基本国策，同时也是构建信息安全机制的重要途径，是金融行业所有机构必须严格遵循的一项信息安全规章制度。所以，笔者认为，对于该政策，商业信息安全风险必须重视影响力与重要性，进而为提升综合金融服务公司安全保护等级提供保障。1.1综合金融服务公司信息安全监管制度综合金融服务公司信息系统安全性关乎国家与人们的利益和社会和谐。近年来，随着信息安全事故的层出不穷，银监部门不断加大对综合金融服务公司的监管力度，而“被监管”的综合金融服务公司积极贯彻该政策，改善信息技术手段，加强建设自身全面风险管理系统。从2006年起，人民综合金融服务公司、银监会等相继出台了一系列法令加强综合金融服务公司业的电子综合金融服务公司风险的管理与监督，促进电子综合金融服务公司业务迈向规范化、法制化方向发展，2006年中旬，中国银监会制定并颁布了相关政策，标志着我国金融业风险管理正式步入信息化进程，同年，银监会该制定了相关审计工作的指导性措施为综合金融服务公司审计提供参考与帮助。届时，金融业所有综合金融服务公司机构都按照上述两份文件，对信息系统风险管理工作进行外审与内审，审核结果最终统计以书面形式上缴到银监会。2009年初，银监会在2006年所颁布的指引上做了新的调整，并用新的指引取代了旧版。新版指引大分类完全参照了ISO27001。综合金融服务公司业信息科技风险管理工作迈上了一个新台阶。1.2信息安全典型标准ISO27000系列标准、COBIT，ISO13335，IATF均是信息安全管理的最佳实践标准，通过分析这些标准，探讨其对综合金融服务公司信息安全风险管理的实际借鉴价值。(1)ISO27000系列是标准的集合，各类组织在其基础上建立各自的信息安全管理体系，待安全管理体系构建后申请认证。措施是充分利用PDCA循环，构建完善的信息管理机制，将企业面临的风险最低化。(2)COBIT是当前全球金融业所认可的一种信息技术管理模型，在众多的大型组织中得到广泛的应用，指导这些组织借助信息技术的使用实现收益最大化，与此同时，帮助企业预防、管理与控制信息相关的各种风险，它是信息技术与业务产生交互的媒介，是内审与外审工作的行动指南，帮助企业不断完善信息系统内控机制。在已经形成的综合体系实践中，深圳平安综合金融服务有限公司可考虑将信息安全管理与信息系统审计、内控体系、技术服务体系纵深结合。(3)ISO13335为信息安全管理提供行为指导。包含IT安全的概念和模型、IT安全的管理和计划等五个部分。在ISO13335规范中，它对安全的六大要点论述，是对以往的三点的延伸升华，其细致性对信息安全属性的阐述和建立风险管理关系对深圳平安综合金融服务有限公司风险管理策略实施具有指导意义。(4)信息保障技术框架IATF立足于整体与过程的维度，采取深度防护战略，强调操作、技术与人三者间协调的重要性，进一步认识信息安全保障的四个基本点，一是边界，二是网络，三是基础设施，四是计算环境。其中信息系统安全工程相关的方法论可指引综合金融服务公司业建设信息保障体系。1.3信息安全风险管理的方法论基于风险管理方法学角度着手笔者认为，普通领域的风险管理可应用到信息安全管理中，过程包括四个环节，识别，评估，评价，控制，前三者皆属于风险评估范畴。风险评估是管理措施开展的基础。之后进入风险控制阶段，即针对不可接受风险确定适当的控制措施，对残留风险进一步控制与管理。如果环境发生改变，那么就需要进行重新评估，最终保障整个管理过程是持续的、长久的、稳定的。信息安全风险管理的实施可参照PDCA模型，即对风险的控制主要是采用1种可不断循环的系统来实现，这类螺旋式循环过程类似于动态变化过程：(1)Plan策划和准备：整个管理过程的开端，定义体系范围，并全面识别与评估风险；(2)Do部署和执行：落实与控制得到批准后的风险防止措施，包括安全战略、意识和培训程序等；(3)Check检查与监控：监控控制措施实施的效果，审查变化的风险因素，预测未来的变化；检查过程的主要参考凭据就是根据现有的法律法规、计划目标等.(4)Action改进和评价：为进一步完善信息、安全管理制定不同的改良方案，若方案取得了实际效果不符合计划一阶段要求，则根据实际风险控制进行改进。在特殊情况下，还需直接进行全新的信息、安全管理周期，进而实现信息、安全的发展与完善。图1综合金融服务公司信息安全风险管理架构图图1为综合金融服务公司信息安全风险管理架构图。外环部分所代表的内容为管理方案，内环为管理流程。其中，执行的前提与基础是过程，在循序渐进的过程指导下，可以进一步理解信息安全风险管理构建的相关内容，此外，过程的实现必须依赖于执行，只有通过各种方案的执行，才能确保组织资源得到整合、优化与配置、实现组织全方位、多层次的信息风险管理。

2、深圳平安综合金融服务有限公司信息安全管理的现状根据国家行业的总体规划和当前信息化发展策略，深圳平安综合金融服务有限公司己从多方面采取办法对全行的信息安全风险进行相应管理。从建立探索式的信启、安全管理组织模式切入，初步建设了业务连续性保障体系，建立了较完备体制机制，奖励了良好的实验与数据分析环境，采取了大量数据进行分析，以下做出具体说明。2.1探索式的管理组织模式目前深圳平安综合金融服务有限公司的信息安全管理组织模式如下：(1)已经成立了专业的信息安全管理小组，由IT部门主管担仟组长，成员集合了总行内各个关键的业务部门主管，从整体上负责行内的信息安全管理工作，下设安全风险管理部、审计部门等，负责对安全风险进行统一管理和审计；(2)总行设置了信息科技部门，下设信息、开发、测试、运行、风险管理等科，其中信息风险管理科主要职能是对行内的日常信息管理工作进行协调；(3)各分行、支行根据实际情况，可分别设置信息科技部或电脑科及信息科技管理员，承担辖区内分行或网点的信息安全风险的日常管理。2.2初具规模的业务连续性保障体系综合金融服务公司业务保障体系由如下各层面构成：(1)各级综合金融服务公司已建立应急执行和应急保障组构成的管理机构，由管理机构的领导牵头带队，成员包括各重要业务部门的负责任，负责指挥、解决和协调行内信窟、安全应急事件的处置和应急所需各方面的资源配备；(2)为了核心业务的连续性充分得到保障，行方经过资源整合及较合理分配，在离总行较远的X城市建立异地数据备份站，便于各种高风险灾难事件处理；在距总行较近的Y市建立数据灾难备份处理中心站，便于处理各种高概率、低风险的IT灾难事件；(3)为了消除业务正常运行时可能发生的临时状况，如系统崩溃、数据库损坏、通讯中断、供电系统失效、网络故障等事件，按照信息中心的硬件工作环境和系统运行情况制定了健全的应急方案，确定了突发事件的应对办法和措施。而且，对于关键信息系统采取周期性的应急演练，形成相应的报告，汇总可能的各种突发事件及问题，以备参考。2.3较完备的IT制度体系经过多年的建设，深圳平安综合金融服务有限公司已经建立了纵横两向并行的IT制度体系：(1)纵向层面包括相关的实施细则和操作规范；(2)横向科技制度主要包括开发、测试、安全和运行等几个层面的管理，基本涉及到各个方面的IT风险管理内容，包括开发、测试、运行、数据、网络安全和管理等。2.4良好的基础设施建设金融行业数据中心机房建设应达到国家机房建设A标，深圳平安综合金融服务有限公司总行的数据系统物理环境和设施基本符合：(1)采用市电双路供电，接入不间断UPS系统，备有应急发电系统；(2)机房建设标准严格，尽量避免火水灾、雷电等自然灾害和盗抢等人为灾害，监控系统能够及时发现并预警各种设施和环境的突发事件；(3)机房空调为专用精密空调，可达到核心区域环境的对于温度和湿度的恒定基本要求；(4)利用不同运营商的不同线路进行关键网络线路备份；(5)对重要设备系统和设备采用双机热备份，确保信息数据的可恢复性和安全性。2.5大量的信息安全保护技术措施(1)网络访问控制方面，为严格控制安全访问，综合金融服务公司采用不同商家的防火墙构建了多层防火墙系统，采用了内网访问控制策略，利用核心交换机的不同VLAN列表，隔离内网中的各个网段。由于可将总行内部网络逻辑上划分成多个业务区域，这样就可通过上述措施实现不同区域的网段隔离和访问控制。而每个计算机个体通过独立的物理途径与互联网连通，从而与其他办公网络隔离开来。(2)在网络的防病毒管理方面，行内整体保持统一，所有计算机都配备有极为强大的病毒库和杀毒功能，基本形成较为稳定的病毒防范体系；在重要区域设有安全监测和防护报警系统，并设置专业人员进行实时监控，对非法入侵的数据进行管理和控制。(3)在系统软环境的安全上，不仅是系统软件，包括应用软件都应该对补丁安装和升级进行严格测试，经严格的审批之后才可以升级；用户只有合法登录才能对系统进行访问，且经授权后的用户才可进行操作，而操作过程将被全程记录，便于后期的审计；系统变更加严格程序，严格审批、监控、并双人符合，保证变更的正确性、合规性。(4)数据信息、安全通信保障方面，采用金融业主流的加密技术进行数据传输和储存加密，保障了两层面的安全性，采用数字签名、数字证书等技术解决通信过程中的数据加解密、数据完整性、身份认证和抗否认性等等。

3、深圳平安综合金融服务公司信息安全风险分析3.1组织风险3.1.1尚未建立完善的预警信息战略风险的机制随着现代计算机技术的发展，金融业的科技创新日益加快，从而产生了越来越多的金融产品，如电子综合金融服务公司、信用卡、第三方支付平台等电子类业务，这些业务的产生更加剧了综合金融服务公司业信息、风险的产生。如果综合金融服务公司在制定新的产品和服务战略时，与既定的规划目标偏离，且对新产品或服务的信息、监控不够健全，都可能导致体系运行失控，引发风险。综合金融服务公司的新型业务是由各业务主管处分别规划实施的，因而在信息、技术时机把握方面的准确性不够，产生一些综合金融服务公司战略风险的威胁。其一，为开拓和占领某业务的市场，过于跃进式地充当此方面的先锋，因此快速的技术更迭可能引起重大的战略风险；其二，在拓宽某一业务市场时，过度担忧风险，采取保守跟随新技术的战术，由此会时机先失而尽失。综上，深圳平安综合金融服务公司在新技术战略风险把控上还未建立较成熟完善的机制。3.1.2信息安全风险管理组织的履职有待加强深圳平安综合金融服务公司虽然已经建立信息安全风险管理组织，但尚未形成由决策、执行和监督三个层面为一体的信息、安全风险监督体系。在各个层面之间仍然存在对接间断的问题，内控机制不够完善，未真正达到相互联系、相互依赖、相互制约的工作状态。就目前来看，深圳平安综合金融服务公司的IT规则主要由信息科技部门进行制定，综合金融服务公司的决策层面对此的管理控制严重不足，形成了较为严重的IT战略风险；在深圳平安综合金融服务公司中，各个部门分别负责不同类型的操作风险，这使得各部门之间的协调不够统一，虽然设有专业的部门，但这些部门仅与授信业务相关联，与其他的操作风险特别是IT风险的管理没有较强的关联，而设置在信息科技部门内部的IT风险管理科对IT风险的管理难免受到制约，难以充分发挥相应的监督作用，特别是跨部门协调职能较难实现。3.2人员风险3.2.1安全意识淡薄总行的多数业务部门和各基层行(分行和支行)往往仅考察业务人员岗位操作技能，而对其风险防范意识和自控意识要求不高。例如在综合金融服务公司信息保密性方面，深圳平安综合金融服务有限公司实施了各种防范，包括U盘的使用、互联网权限访问限制等。但还仍有不在少数的员工无意间外泄综合金融服务公司重要信息，原因是其并未了解行内的IT安全策略，不够明确信息的保密程度，这也正是人员安全意识淡薄的体现。风险意识是人员安全素质的关键，若企业制定了科学的安全培训、教育机制，则全体员工安全素质才能提高。3.2.2缺少风险管理的专业人才“七分管理，三分技术”，风险管理中“人”处在主导地位，深圳平安综合金融服务有限公司目前最缺乏的就是专业技术人才，但这部分人才的缺口依然庞大。虽然现阶段深圳平安综合金融服务有限公司的信息科技部门设有专业的工作人员，但大多对信息技术或综合金融服务公司专业的知识较为缺乏，很难系统、准确的识别出企业的资产、威胁以及弱点；加之对于信息安全管理的策略掌握较少，则很难正确判断全行IT风险整体状况。另外，其他IT技术人员仅仅掌握各自专业领域的知识，对信息安全中资产、威胁、脆弱性、事件发生可能性等缺乏深刻认识。在下属各级别行中，信息安全风险管理专业人员则更少，一般由科技部门负责人兼任。由此，深圳平安综合金融服务有限公司的信息安全风险管理团队专业化程度还远远不够。3.2.3IT人员流动风险管理薄弱任何企业都有有着合理的人员流动，但综合金融服务公司的IT人员流动是比较特殊的。多数都可能接触或了解一些内部机密信息、监控盲区等，而且信息泄密取证较困难，故保密协议某种程度上成为“看木”，执行也有一定难度。而深圳平安综合金融服务有限公司恰在IT人员离岗监管方面缺乏制度和流程的明确化，因此需要完善此方面的人员流动管理机制。3.3技术风险技术风险主要是指由于技术不妥或相对落后而导致的风险，主要包括设备、网络、主机、数据及应用中的风险。3.3.1物理环境和设备在信息安全管理中，物理安全是极其重要的一项工作。近年来，随着我国银监会等外部监管部门不断敦促综合金融服务公司在此方面加强建设。深圳平安综合金融服务有限公司当前的硬件环境建设安全标准较高，但仍存一些问题：机房出入控制登记流于“形式化”，关门随意性使门禁系统作用削弱：新项目的接连更新上线，常调网络使得网线和电缆走线由多致乱等。3.3.2网络安全近年深圳平安综合金融服务有限公司在网络建设上基于较高起点，大力投入，较合理规划了全行网络，充分考虑了故障恢复、承载能力及安全配置，网络的可用、可靠和安全性能大幅提高。随着新业务的不断拓展，对外接口越来越多，但也暴露出了安全措施缺乏的问题。在网络保密处理方面也不够健全，如链路加密不够严密，重要业务数据的加密过于简便，存在安全隐患。对网络日志的管理不够规范，现阶段的网络设备基本都具有日志功能，但人员不足导致无人定期核查日志信息等。此外，网络安全配置未形成同一标准，访问控制管理不足，致使网络配置存在安全隐患。3.3.3系统安全在数据库和操作系统等软件方面，深圳平安综合金融服务有限公司主要存在以下安全问题：（1）未遵循最小化原则。系统集成商制定的系统软件默认最大化安装，，遗留一些安全隐患；（2）未遵循安全策略配置系统。没有指定系统的安全策略配置和安装系统，安装之后对系统安全监测不够重视，未及时安装安全补丁，简单或默认口令用时忘更改；（3）未及时更新系统补丁。在日常运行过程中，对系统的维护升级较少，虽然实行了网段隔离，但仍对系统造成严重的威胁。3.3.4应用风险应用系统与综合金融服务公司具体使用关联紧密，深圳平安综合金融服务有限公司的应用系统较多，范围也很广泛，因此风险不少。由于深圳平安综合金融服务有限公司的应用系统大多是自主研发或合作研发，更注重应用的功能和效率，弱化了安全性考虑，未建立全面覆盖开发周期的控制机制，导致上线后的诸多安全隐患。类似安全隐患尚未根本消除，也增加了管理的难度。3.4外部风险综合金融服务公司外部风险指的主要是由于经营环境引发的风险，处于综合金融服务公司的内控范围之外，却常常极大影响着综合金融服务公司的正常业务经营，主要体现在三个方面：3.4.1法律漏洞风险在综合金融服务公司的一些如电子综合金融服务公司等新型业务运营过程中发现，网络上某些操作或交易属投机行为，钻了监管制度的空子，这是由于此方面的法律法规相对滞后，这样就有效避免了纠纷的发生。除此之外，目前相关部门受理电子综合金融服务公司案件的能力限制也在某种程度上诱发了网络犯罪，最终使得综合金融服务公司信誉和客户经济受损。3.4.2客户行为风险通过调查研究，很多客户对网络安全认识不清，假如处于危险情况下进行电子交易，罪犯则有可趁之机，非法解密登陆客户账号，造成客户的损失，综合金融服务公司则可能要承受由此带来的多方面损失。而综合金融服务公司如果对客户的恶意行为未能识别，则潜在经济名誉受损风险更大，甚至有助推犯罪之嫌。3.4.3信誉风险当综合金融服务公司的金融产品服务未能达到公众预期水准，且产生了较大范围的不利舆论影响，综合金融服务公司则有着严重的信誉风险。这种风险的来源是多方面的，如电子运营系统存在故障，对客户的服务不能保障，综合金融服务公司客户对多家综合金融服务公司某项金融业务间的纵向比较和单家综合金融服务公司安全事故引发的行业内部信任危机等等。因此，深圳平安综合金融服务有限公司应关注这些外部风险构成因素，定期总结并对类似事件做以风险评估，从而制定相应的防范机制和采取应对措施，做到外部风险防患于未然。

4、深圳平安综合金融服务有限公司信息安全风险管理策略4.1建立完备的信息安全政策标准体系根据深圳平安综合金融服务公司自身实际，科学制定，尽可能全面覆盖安全规范的要求，同时根据情况的变化要及时科学修订完善，其具有一定强制效力。管理规定涉及的面广，故这里强调深圳平安综合金融服务公司应基于自身条件，如可在信息系统获取和维护方面制订信息系统硬件设备引进管理规定、硬件设备质量测试管理规定、后台技术维护更新管理规定等，规范信息系统硬件方面立项的管理细节和流程。深圳平安综合金融服务有限公司应出台综合金融服务公司信息安全技术的指导性文件，即信息安全技术标准，至少考虑综合金融服务公司IT下述要点：用户身份认证、访问管理权限控制、操作工具式加密、防恶意代码功能、系统安全性加固的全过程、审计监控系统、备份恢复。各个系统安全性要点的实现都需要一系列技术手段实施，因此此过程中每一步都应遵循行内制定的相应技术标准和规范，才能有效保证信息系统的正常工作和持续的改进。如身份认证技术标准中就应当明确要求描述访问者身份的信息式样和内容、系统同步响应的方式和过程，否则认证成功与否的用户提示和反馈就无标准可言。4.2建立完善的组织人员管理模式当前深圳平安综合金融服务公司IT风险管理机构履职仍存在一些问题，应借鉴业界最佳实践，针对深圳平安综合金融服务公司现状来完善信息安全组织体系。体系应包括参与全行信息安全立项工作的所有部门，可设立各种形式的信息安全组织机构，而且需明确各安全组织、部门和人员的权利和责任。目前，深圳平安综合金融服务公司的信息安全决策人员明确表示，从综合金融服务公司高层战略角度来指导信息安全工作，全面分配协调信息安全工作所需要的各种资源，审批专项立项；从信息安全管理层面来讲，每个下属行都应与总行信息安全管理设置对接的机构，履行信息安全政策标准评审制定、规划提请申报信息安全项目等职能；从信息安全执行层面来讲，需要在全行各部门进一步明确，并需要加强执行能力，对综合金融服务公司信息安全工作常态化操作；信息安全监督方面，深圳平安综合金融服务公司应在已有的专职审核和风险管理处内设二级专职审计科室或专员，从而增强行内监管机构履职能力，达到对全行信息安全状况正确评估和监控。4.3建立流畅的信息安全运作管理模式深圳平安综合金融服务公司还未建立完整的信息安全运作模式，本文提出适合深圳平安综合金融服务公司信息安全风险管理的信息安全运作示意图：图2深圳平安综合金融服务公司信息安全运作管理框架如图所示，该框架的流程主要分为四个步骤。参照ISO27001标准，信息安全的具体对象包括：信息资产、物理安全、运营安全、访问控制、应用开发与维护、信息安全事件和业务连续性等方面。深圳平安综合金融服务有限公司依据这一运作管理框架，管理常见的或有特殊要求的具体层面上的信息安全事务。(1)信息资产安全管理从资产管理的角度进行深圳平安综合金融服务有限公司信息资产安全管理，包括对确定的信息资产进行评估、归类、分等级，明确资产所有者和责任者，建立并能够更新信息资产清单，根据资产评估结果进行标识。(2)物理安全管理综合金融服务公司不同保护区域的内部信息资产应设置保护措施。物理安全管理主要包括物理环境和门禁系统的安全[42]。考虑物理环境的控制、电气技术安全、自然灾害等的防御；考虑身份识别、区域出入授权和区域出入日志审核管理等的安全。深圳平安综合金融服务有限公司可通过对保护区域的环境控制和物理隔离实现上述两方面的安全性管理。(3)运营安全管理为加强深圳平安综合金融服务有限公司当前系统运营安全管理，应严格执行所制定的各项操作规定和流程，采取相关措施防范恶意程序；严格依据各项相关的规范和标准，确保信息安全传输，保证信息分析的准确性。依据系统规划和验收标准，降低系统故障风险到最小程度。(4)访问控制管理为确保深圳平安综合金融服务有限公司现有服务器系统或用户端的安全，应严格执行访问全过程管理流程，避免各种未授权访问，包括访问信息系统、网络操作系统、应用系统的访问，保证信息的控制、网络和计算机的正常服务，应监视系统的所有访问和操作，检测控制未授权的行为，保证信息交换、移动的安全性。(5)应用开发与维护安全管理依据深圳平安综合金融服务有限公司应用系统安全管理策略，在设计、开发和维护的不同阶段采取必要的安全控制措施，建立一个安全可靠的应用环境，使应用系统满足不断发展的综合金融服务公司业务和安全管理上的两方面要求。(6)信息安全事件管理深圳平安综合金融服务有限公司在信息安全事件的分类、识别、报告、响应、恢复等方面的管理规范有待加强，应建立一套科学合理的信息安全事件处理流程，包括联络员的公开部署，其初期识别和报告程序，事件过程监督分析汇总机制，确保信息系统故障及时排除，降低损失。(7)业务连续性管理业务连续性管理高于信息安全事件响应恢复，完善的整体业务连续性管理流程包括风险预测、风险控制，保证综合金融服务公司平常业务平稳运行。应当从战略上建立实施业务连续性管理规划，将其理念融入到综合金融服务公司的日常管理和企业文化中，才能得到较好的效果，从而真正减少因业务运行中断导致的重大影响或损失。4.4建立有效的信息安全技术体系如前所述，深圳平安综合金融服务有限公司已采取了大量技术措施保障信息安全，但还未形成有效的全局信息安全技术体系，因此，深圳平安综合金融服务有限公司应根据业务发展和更新，综合优化运用各种信息技术手段，保护综合金融服务公司信息系统安全，降低相应技术风险。本文提出的深圳平安综合金融服务有限公司的信息安全七类相关技术保护手段，如图5.2。为实现用户对综合金融服务公司信息系统的安全访问保护，需要审计和监控访问全过程，对意外事件需进行数据备份，对应急事件及时响应和恢复。图3深圳平安综合金融服务公司信息技术管理体系(1)身份认证系统访问者需要正确的标志、标签、证书等才能通过身份认证。深圳平安综合金融服务有限公司应规范控制功能实现模块：目录服务方面应采用系统升级期间的主流技术协议；用户身份管理方面，随着用户规模化渐强，平衡系统中心统一管理和就近管理员分权管理的状态，以期达到系统的高扩展和可持续应用性；认证管理方面，应随技术革新强化身份认证要求，逐步实现更加高级安全的认证模式，如某些生物特征转换技术模式。(2)访问控制从业务便捷和安全角度考虑，深圳平安综合金融服务有限公司可根据业界最佳实践，采用单点登录系统的统一角色定义和控制，当用户通过一次登录识别，即可获得授权访问进行特定的操作，管理员不再需要多次干涉用户登录。(3)加密服务深圳平安综合金融服务有限公司可通过对系统中数据的加解密、消息认证码、数字签名、密钥交换和随机数生成等技术环节，来保证数据的保密性、完整性。但标准和方法各系统不同，因此，应遵循适度保护原则，兼顾关键资产的完整性价值和信息传输效率，统一制定全面的加密策略，并在全行内采用一个信息安全服务平台，执行一致的密码支持服务和密钥管理机制等标准。(4)防恶意代码同加密服务管理一样，深圳平安综合金融服务有限公司在恶意代码的防范技术方面