银行业应对信息安全威胁高危的三大原则

简介:

金融系统一直是安全威胁的高危地带,典型案例就是2013年2月VISA、万事达卡、运通卡三家信用卡组织约800万张信用卡资料为黑客所盗取。针对网上银行(网上支付)的木马及其它攻击方式更是层出不穷。据统计,目前全球的黑客攻击事件,40%是针对金融系统的,在中国这个比例更高达60%以上。

按照我国相关信息安全标准,银行业金融机构的网上业务产品要达到三级以上安全标准,但目前大多数金融机构尤其是中小银行的安全状况都未达到这一要求,其自行开发、应用的网上交易系统安全防控措施不到位、抵御攻击能力弱、事件应急响应滞后、客户地址及邮箱等资源保护不力,暴露出系统虚假信息泛滥、账户密码被黑客破译、数据资料和交易指令被篡改、资金被盗取、股票债券基金等金融资产被盗卖等风险,信息的安全传递所要求的严格私密性、真实性、完整性、不可否认性等安全要素缺位。

银行应对信息安全威胁高危的三大原则

中国民生银行资深安全专家李吉慧

针对银行业信息安全面临的挑战,在ZDNet的采访中,中国民生银行资深安全专家李吉慧补充到,目前,数据大集中已成为银行业金融机构业内潮流,随之而来的信息安全风险也急剧集中。一旦数据中心发生灾难,将导致一家金融机构的所有分支机构、营业网点和全部业务处理陷于停顿,或造成客户重要数据的丢失,不但影响业务正常进行,同时造成重大的声誉风险等灾难性后果。近年发生过数起不同银行数据中心故障造成的大范围业务中断的现象,造成了国际国内重大不利影响。

并且,目前在我国银行业信息系统和网络中,虽然防病毒、网络设备、安全设施用的国产软硬件比重越来越大,但核心软硬件设施还是以国外为主,大多来自于Cisco、IBM、Oracle等国际IT巨头。这种依赖导致我们的自主控制能力不足,核心关键领域还是依赖于国外厂家的产品和服务,用户缺乏判断设备是否存在“后门”、“软件陷阱”、“软件炸弹”等安全隐患的能力。

李吉慧指出,银行业应对信息安全威胁首先要建立健全信息安全管理体系,并严格执行信息安全的报告机制和应急协调机制。

李吉慧重点从三个方面阐述了银行应该做好的安全保障规划:

建立安全可控的生产运行维护机制:自动化监控系统应包括网络自动监控、应用系统自动监控、物理环境智能化监控等方面。为了提高自动化监控系统的相应速度,应尽可能采取可视化界面设计,告警信息能够声光提示。以缺乏网络监控的系统为例,网络连接都采用主备两条线路,当一条线路中断自动切换到另一条线路时,虽然业务未受影响,但单点故障的问题却被掩盖,直到另一条线路因为故障使得网络全部中断时问题才暴露,而通过自动化监控就能早期发现问题和及时响应。

进一步提高系统自主创新能力:监管机构应协调督促金融机构,加强系统自主创新,加大对国产软硬件采购力度,减少和降低一些关键领域的对外技术依赖。对采购或使用的信息技术和产品,能自主的就要尽其所能推进自主,不能自主的,也必须保障其可知可控,要对信息技术产品的风险和隐患、漏洞和问题做到“心中有底、手中有招、控制有术”。对确需引进的技术和产品实行市场准入制度,并邀请权威机构对其产品进行安全风险和实效性评估。

加强业务连续性管理:想要在特殊时期短时间内恢复业务运行,有赖于远程灾备中心的数据备份,快速恢复业务运营。为了达到“最快恢复生产”目标,商业银行还需做好以下工作:

一是建立业务连续性管理制度。建立业务连续性管理制度,规范机构内的管理流程,明确各级机构、部门在体系中的职责。制定专业的突发事件应急预案,做到预案的标准化、流程化,一旦发生突发事件,员工能够按照预案进行业务恢复。
二是加强业务连续性日常管理。定期组织各层次的培训,组织业务连续性演练,必须组织业务级的演练而不仅是IT演练,通过演练检验各业务部门以及机构内外的联动,优化和改进业务连续性管理工作。
三是明确业务连续性牵头管理部门。因为业务连续性管理对于及时恢复系统对外服务十分重要,且涉及多个部门,因此,业务连续性管理需要专门的部门(这一职责一般是由内部审计或承担内部审计职责的部门承担)来牵头组织,督促各相关部门定期开展检查和评价。

原文发布时间为:2015年4月30日
本文作者:陈广成
本文来自云栖社区合作伙伴至顶网,了解相关信息可以关注至顶网。
目录
相关文章
|
11天前
|
存储 人工智能 安全
网络安全与信息安全:防御前线的构筑与维护
【4月更文挑战第14天】在数字化时代,网络安全与信息安全已成为个人和企业不可忽视的重要议题。本文将深入探讨网络安全漏洞的概念、加密技术的进展以及提升安全意识的必要性。通过对网络攻击手段的分析,我们揭示了安全漏洞的本质及其对信息系统的潜在威胁。继而,文中细述了从古典到现代的加密技术,强调了它们在保护数据传输和存储中的核心地位。此外,文章还讨论了培养安全意识的有效途径,包括教育培训、模拟演练和安全政策的制定。通过全方位的分析和建议,旨在为读者提供一个关于如何构筑和维护网络安全防线的清晰蓝图。
|
18天前
|
存储 安全 网络安全
网络安全与信息安全:保护数据,防范风险
【4月更文挑战第8天】 在数字化时代,随着网络技术的飞速发展及其在日常生活和工作中的广泛应用,网络安全与信息安全成为了公众、企业乃至国家安全的重要组成部分。本文将深入探讨网络安全漏洞的概念、加密技术的应用以及提升安全意识的重要性,旨在为读者提供全面的安全防护知识,帮助构建更为坚固的数据保护屏障。
|
25天前
|
安全 算法 网络安全
网络安全与信息安全:保护数据,从了解漏洞到强化安全意识
在数字化时代,网络安全与信息安全成为维护数据完整性、确保信息传输安全的关键。本文深入探讨网络安全漏洞的概念、产生原因及其对个人和企业的潜在威胁,同时介绍加密技术的种类和应用场景,最后强调提升个人和组织的安全意识在防御网络攻击中的重要性。通过全面分析,旨在为读者提供一系列实用的网络安全知识,帮助他们在日益复杂的网络环境中保持警觉,采取有效措施保护自己的数据不受侵害。
15 1
|
8月前
|
存储 监控 安全
网络安全:保护企业与个人的重要措施
网络安全问题对企业和个人来说都是一个严峻的挑战。保护网络安全需要多层次的防御策略,包括强化防御、加强身份验证、定期漏洞扫描等。个人也应该保护好自己的隐私和个人信息,谨慎对待网络活动。未来,网络威胁将不断变化,我们需要不断学习和更新安全策略,以应对不断演化的威胁。只有通过合作和创新,我们才能建立更加安全的网络环境。
100 1
|
存储 安全
信息系统面临的安全风险
信息系统面临各种各样的安全风险,主要的安全威胁有:信息泄露、破坏信息的完整性、拒绝服务、非授权访问、授权侵犯......
|
安全 网络安全 数据安全/隐私保护
化解SaaS安全问题的三大措施
在面临云计算应用中的安全性问题时(特别是在软件即服务SaaS级别),密码管理不当和不安全协议威胁都将会对您的系统保密造成破坏或数据泄露,同时可能需要由您的企业来承担法律责任。在本文中,我们将探讨SaaS所带来的三大威胁,以及能够预先采取措施减轻这些威胁的战略。
1192 0
|
运维 安全 大数据
网络运维团队如何应对最新的黑客威胁?
本文讲的是网络运维团队如何应对最新的黑客威胁?,企业网络上的数据存在极高的价值,因此成为恶意黑客觊觎的目标。重大安全事件几乎已经成为了日常新闻,而网络团队对现状负有的责任越来越重。
961 0
|
安全 数据库 数据安全/隐私保护