總序
序
前言
基礎篇
第1章商業(yè)銀行信息系統(tǒng)研發(fā)風險管控基礎知識2
1.1信息系統(tǒng)研發(fā)風險管控概述2
1.1.1信息系統(tǒng)和信息系統(tǒng)研發(fā)2
1.1.2信息系統(tǒng)研發(fā)風險6
1.1.3信息系統(tǒng)研發(fā)風險與其他相關領域的關系7
1.1.4信息系統(tǒng)研發(fā)風險管控13
1.2商業(yè)銀行信息系統(tǒng)研發(fā)風險管控概述15
1.2.1商業(yè)銀行的主要業(yè)務和信息系統(tǒng)15
1.2.2商業(yè)銀行信息系統(tǒng)研發(fā)風險22
1.2.3商業(yè)銀行研發(fā)風險在全面風險管理體系中的位置23
1.2.4商業(yè)銀行研發(fā)風險管控策略30
第2章商業(yè)銀行研發(fā)風險管控相關法規(guī)、政策與標準34
2.1信息安全相關法律法規(guī)34
2.1.1世界各國信息安全立法的發(fā)展34
2.1.2我國信息安全法律法規(guī)體系36
2.1.3我國主要法律法規(guī)簡介39
2.2商業(yè)銀行研發(fā)風險管控相關政策和指引42
2.2.1商業(yè)銀行研發(fā)風險監(jiān)管現(xiàn)狀概述42
2.2.2主要監(jiān)管政策和指引45
2.3商業(yè)銀行研發(fā)風險管控相關信息安全標準49
2.3.1信息安全標準的基本概念49
2.3.2信息安全標準化概述51
2.3.3主要信息安全標準介紹54
管理篇
第3章商業(yè)銀行研發(fā)風險管控理論和模型63
3.1研發(fā)風險管控相關理論和模型63
3.1.1安全開發(fā)生命周期63
3.1.2軟件安全接觸點65
3.1.3綜合輕量級應用安全過程67
3.1.4軟件保證成熟度69
3.1.5軟件安全框架70
3.1.6BSI成熟模型71
3.1.7信息安全保障72
3.2商業(yè)銀行研發(fā)風險管控模型74
3.2.1商業(yè)銀行研發(fā)風險管控模型的設計74
3.2.2商業(yè)銀行研發(fā)風險管控模型的內容76
3.2.3商業(yè)銀行研發(fā)風險管控模型的特點77
第4章商業(yè)銀行研發(fā)風險管控體系78
4.1商業(yè)銀行研發(fā)風險管控體系建設78
4.1.1商業(yè)銀行研發(fā)風險管控體系建設思路78
4.1.2商業(yè)銀行研發(fā)風險管控體系總體架構79
4.1.3商業(yè)銀行研發(fā)風險管控體系運行機制80
4.2商業(yè)銀行研發(fā)風險管控組織體系81
4.2.1商業(yè)銀行研發(fā)風險管控組織體系概述81
4.2.2商業(yè)銀行研發(fā)風險管控組織體系建設82
4.3商業(yè)銀行研發(fā)風險管控制度體系84
4.3.1商業(yè)銀行研發(fā)風險管控制度體系概述84
4.3.2商業(yè)銀行研發(fā)風險管控制度體系建設85
4.4商業(yè)銀行研發(fā)風險管控標準體系86
4.4.1安全定級指南87
4.4.2安全需求指南90
4.4.3安全設計指南93
4.4.4安全編碼規(guī)范95
4.5安全技術支持服務體系98
第5章商業(yè)銀行研發(fā)風險管控工作流程102
5.1立項階段研發(fā)風險管控工作流程104
5.2計劃階段研發(fā)風險管控工作流程104
5.2.1安全團隊建設105
5.2.2安全培訓105
5.2.3安全管理計劃制訂106
5.3需求階段研發(fā)風險管控工作流程106
5.3.1安全需求制定107
5.3.2安全需求評審107
5.4設計階段研發(fā)風險管控工作流程107
5.4.1安全設計108
5.4.2安全設計評審108
5.5編碼階段研發(fā)風險管控工作流程109
5.5.1源代碼安全審核109
5.5.2安全需求實現(xiàn)審核109
5.6測試階段研發(fā)風險管控工作流程110
5.6.1安全測試111
5.6.2滲透測試111
5.7投產運維階段研發(fā)風險管控工作流程112
第6章商業(yè)銀行研發(fā)風險管控工作方法113
6.1安全培訓113
6.1.1安全培訓概述113
6.1.2安全培訓體系114
6.1.3安全培訓的實施116
6.2安全評審116
6.2.1安全評審概述116
6.2.2安全評審的內容117
6.2.3安全評審的方法118
6.3風險評估118
6.3.1風險評估的概念118
6.3.2風險評估的方法120
6.3.3風險評估的工具124
6.3.4風險評估的實施124
6.4安全后評價127
6.4.1安全后評價概述127
6.4.2安全后評價的要素127
6.4.3安全后評價的實施128
第7章商業(yè)銀行研發(fā)外包風險管控131
7.1商業(yè)銀行研發(fā)外包風險概述131
7.1.1IT外包的基本概念131
7.1.2商業(yè)銀行IT外包風險概述133
7.1.3商業(yè)銀行研發(fā)外包風險135
7.2商業(yè)銀行研發(fā)外包風險管控措施135
7.2.1商業(yè)銀行研發(fā)外包風險管控相關監(jiān)管要求135
7.2.2商業(yè)銀行研發(fā)外包風險管控工作方法136
第8章商業(yè)銀行研發(fā)風險管控案例140
8.1商業(yè)銀行研發(fā)風險管控項目案例140
8.1.1項目背景140
8.1.2項目研發(fā)風險管控工作實施情況141
8.2商業(yè)銀行研發(fā)外包風險管控項目案例145
8.2.1項目背景145
8.2.2項目研發(fā)外包風險管控工作實施情況146
技術篇
第9章信息系統(tǒng)安全研發(fā)策略和方法150
9.1安全研發(fā)策略和原則150
9.1.1安全研發(fā)策略150
9.1.2安全設計原則151
9.2威脅建模154
9.2.1威脅建模的定義154
9.2.2威脅建模的對象154
9.2.3威脅建模的過程155
9.3攻擊面最小化分析157
9.3.1攻擊面最小化分析的概念157
9.3.2攻擊面最小化分析過程158
9.4安全架構和組件159
9.4.1安全架構159
9.4.2安全組件160
9.5源代碼安全審核163
9.5.1源代碼安全審核的概念163
9.5.2源代碼安全審核原理163
9.5.3源代碼安全審核工具164
9.6滲透測試165
9.6.1滲透測試的概念165
9.6.2滲透測試步驟與方法166
第10章信息系統(tǒng)安全研發(fā)技術168
10.1身份認證169
10.1.1身份認證的基本概念169
10.1.2身份認證模式的分類169
10.1.3身份認證技術171
10.2訪問控制174
10.2.1訪問控制概述174
10.2.2訪問控制策略175
10.2.3訪問控制模型176
10.3安全審計179
10.3.1安全審計概述179
10.3.2安全審計的內容180
10.3.3安全審計的實施180
10.4密碼技術181
10.4.1密碼技術概述181
10.4.2加密算法概述184
10.4.3密碼技術應用185
10.5網絡安全188
10.5.1網絡安全基礎188
10.5.2網絡安全協(xié)議191
10.5.3常見網絡安全威脅194
10.5.4常見網絡安全技術198
10.6漏洞防護207
10.6.1安全漏洞的概念208
10.6.2安全漏洞的分類和分級209
10.6.3常見安全漏洞及防護210
10.7操作系統(tǒng)安全220
10.7.1操作系統(tǒng)概述220
10.7.2操作系統(tǒng)安全概述222
10.7.3操作系統(tǒng)安全的實現(xiàn)223
10.8數(shù)據(jù)庫系統(tǒng)安全225
10.8.1數(shù)據(jù)庫系統(tǒng)概述225
10.8.2數(shù)據(jù)庫系統(tǒng)安全概述228
10.8.3數(shù)據(jù)庫系統(tǒng)安全的實現(xiàn)230
10.9數(shù)據(jù)安全234
10.9.1數(shù)據(jù)安全的概念234
10.9.2數(shù)據(jù)安全保護措施236
10.10其他安全技術238
10.10.1互聯(lián)網金融安全238
10.10.2大數(shù)據(jù)安全242
10.10.3云計算安全246
10.10.4物聯(lián)網安全251
參考文獻257