文档介绍：保险信息安全风险评估指标体系规范
各保监局,保监会机关各部门,国有保险公司监事会,中国保险行业协会,中国保险学会,各保险公司、保险资产管理公司,全国金融标准化技术委员会保险分技术委员会:
全国金融标准化技术委员会保险分技术委员会(以下简称保标委)制定了《保险信息安全风险评估指标体系规范》(标准编号为JR/T0058-2010),并通过了审查,按照《全国金融标准化技术委员会保险分技术委员会章程》,现予以发布,请遵照执行。
中国保险监督管理委员会
二○一○年七月十三日
------------------------------------------------------
保险信息系统安全问题关系保险业发展全局,也关系到社会经济的稳定。目前,在对保险机构的开业审核与常规检查中,由于保险业没有完善的信息安全标准制度体系,仅在《保险公司分支机构开业统计与信息化建设验收指引》中有部分说明。在监管过程中,针对特定信息安全工作发布了如《保险业信息系统灾难恢复管理指引》等规范指引,但尚未形成体系化的要求。因此,保险行业亟需一套科学、合理的信息安全保障能力指标体系,辅助监管部门进行有效监管,引导
保险机构合理建设,促进保险行业长期健康地发展。
一、指标体系与保险安全监管
保险监管机关充分认识到保险业信息安全监管的重要性,在对保险公司进行充分调研的基础上,提出以下新思路:
●通过充分调研及科学的指标选取方法选择信息安全能力指标体系的安全要素、指标,使其客观、合理;
●通过科学规范的指引对信息安全能力进行分级、分类,引导保险机构进行合理建设、适度保障;
●通过设定行业关键能力指标,突出信息安全保障能力的重点;
●通过使用信息安全能力指标的组合,即监管基线,突出监管重点、降低在信息安全检查监管工作中的难度。
二、指标体系模型框架设计
根据上述思路,保险监管机关站在全行业信息安全的战略高度,制订信息安全保障能力指标体系(简称指标体系)。本文通过对国内外信息安全理论、标准和方法的研究,结合对保险行业信息系统的网络现状、业务现状、安全现状、组织机构、管理模式、人员素质、信息流转以及发展战略等相关内容的深入调研;确定适合保险业务信息安全目标和内容的准确要求,采用综合评价法构建合理、可用、完善的指标体系。

本文在设计指标体系时遵循以下基本原则:
●符合国家有关信息与信息系统安全的法律和法规。
●具有导向性。指标体系应能反映保险业信息安全的客观需求以及国家、行业监管部门政策措施的落实。
●具有科学性。科学性原则是通过该指标体系应当能够客观全面地评测保险业信息安全保障能力的现状、发展水平及发展潜力,并可分析、评测保险机构信息安全建设过程中存在的问题,提高信息安全建设的质量,避免建设与应用过程中的盲目性和任意性,为制订有关政策和规划服务。

指标体系框架设计是在遵循上述原则的基础上,参考《信息系统安全保障理论模型和技术框架》、《信息安全管理标准ISO/IEC 17799:2000》、ISO/IEC TR 13335等系列国际标准,以及《信息系统安全保障等级保障要求》、《信息安全风险评估指南》等国家标准作为指标体系的分类标准。
(1)指标体系模型框架构建
由于保险信息安全保障因素众多,相互关系