劉鐵斌

《期貨公司信息技術管理指引》(以下簡稱《指引》)到底有哪些主要要求?大部分期貨公司在這方面的現(xiàn)狀怎樣?中國期貨行業(yè)協(xié)會(以下簡稱中期協(xié))2008年底對期貨公司進行了一次行業(yè)摸底調(diào)查,全國所有期貨公司網(wǎng)上填報了500項問題選項,形成了5份調(diào)查報告。

調(diào)查結果不容樂觀

技術管理 《指引》對期貨公司在組織結構、人員素質(zhì)、培訓、信息技術服務提供商管理和IT投入等方面提出了基本要求和分級要求。以IT投入為例,《指引》要求期貨公司最近3個財政年度IT投入平均數(shù)額應不少于最近3個財政年度平均凈利潤的6%或不少于最近3個財政年度平均營業(yè)收入的3%,取二者數(shù)額較大者。而根據(jù)調(diào)查,截至2008年底,有11家公司最近3個財政年度的IT投入平均數(shù)額占平均凈利潤的比例仍未達到《指引》規(guī)定的6%;12家公司最近3個財政年度的IT投入平均數(shù)額占平均營業(yè)收入的比例未達到《指引》規(guī)定的3%。

《指引》一類中要求期貨公司IT工作人員總數(shù)原則上應不少于公司員工總?cè)藬?shù)的6%,總數(shù)應不少于3人。調(diào)查結果顯示,截至2008年底,32家公司的IT工作人員比例仍低于6%,12家公司的IT工作人員總數(shù)仍未達到3人。

機房建設 《指引》對機房承重、消防、防雷、監(jiān)控、供電、空調(diào)、布線和維護等方面提出了基本要求和分級要求。其中承重的2、3類要求分別為每平方米300公斤和每平方米500公斤。2008年底統(tǒng)計顯示,9家公司的機房承重能力在每平方米300公斤以下;46家公司為每平方米300至500公斤;67家公司達到每平方米500公斤以上。防盜報警方面,54%的期貨公司在機房內(nèi)安裝了防盜報警設施,達到了指引的要求。從調(diào)查數(shù)據(jù)中還可以看出,81%的期貨公司機房已具備了雙路供電;92%的公司指定了專人對機房供配電系統(tǒng)進行定期維護。此外,為更好地應對突發(fā)事故,還有72%的公司在機房出入口處或值班室設置了應急斷電裝置,87%的公司在機房內(nèi)安裝了應急照明設施和安全口指示燈。空調(diào)方面,僅有57%的公司配備了精密空調(diào), 86%的公司配備了備用空調(diào),其中備用空調(diào)為精密空調(diào)的公司約占40%。在機房監(jiān)控方面, 93%的期貨公司已建立了完整的機房監(jiān)控機制,85%的公司安排了機房值班人員,而能夠?qū)崿F(xiàn)7×24小時值班的公司只占全部公司的29%。

核心業(yè)務系統(tǒng) 《指引》對核心業(yè)務系統(tǒng)功能、性能、容量、交易系統(tǒng)冗余、行情冗余和銀期系統(tǒng)冗余等方面提出了基本要求和分級要求。指引要求,交易系統(tǒng)應實現(xiàn)與應用分離,并具備對客戶進行實時風險控制的能力;交易系統(tǒng)的性能和容量應能達到會員交易要求;應對交易系統(tǒng)的主要業(yè)務指標進行實時監(jiān)控,并對所有接入交易所的交易通信鏈路和所有網(wǎng)上交易通信鏈路進行監(jiān)控等。對于連接各交易所的交易鏈路,多數(shù)公司選擇SDH、DDN或幀中繼等直連鏈路作為主鏈路,并以三所聯(lián)網(wǎng)等方式作為備份鏈路。

安全 《指引》對網(wǎng)絡隔離、防病毒、補丁及安全加固、網(wǎng)站安全、網(wǎng)上交易安全、賬號與權限、密碼管理和安全審計等方面提出了基本要求和分級要求。從實際使用情況來看,期貨公司的網(wǎng)絡主要包括生產(chǎn)網(wǎng)、辦公網(wǎng)和互聯(lián)網(wǎng),此外還包括公司與交易所、銀行等單位的連接。調(diào)查結果顯示,目前多數(shù)期貨公司都采取了相應措施對不同網(wǎng)絡進行隔離,從而更好地保障業(yè)務信息和客戶信息的安全。

在入侵檢測方面,目前76%的公司制定了對抗入侵的計劃;86%的公司能夠在網(wǎng)絡邊界處監(jiān)視端口掃描及緩沖區(qū)溢出等攻擊行為,其中超過50%的公司在所有外部網(wǎng)絡接口處都安裝了入侵檢測設備。

在系統(tǒng)權限和密碼管理方面,96%的公司實現(xiàn)了操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權用戶的權限分離;99%的公司限制了默認賬戶的訪問權限;95%的公司制定了相應的制度更換和保存口令,92%的公司都采取了有效的物理保護措施對口令進行保護。在防病毒管理方面,超過96%的公司對所有Windows平臺均部署了木馬、病毒防護軟件,及時更新,定期進行木馬、病毒檢測。

在系統(tǒng)補丁管理和安全加固方面,96%的公司建立了定期掃描并修補漏洞的工作制度,并在評估后安裝必要的Windows系統(tǒng)補丁程序。在安全審計和評估方面,72%以上的公司能夠確保安全審計范圍覆蓋服務器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶,68%的公司有對交易業(yè)務系統(tǒng)的可靠性和安全性進行定期評估的制度。

日常運維 《指引》對技術人員崗位、制度、巡檢和機房進出等日常運行管理提出了基本要求和分級要求。目前,90%的期貨公司在機房出入口安排了專人值守,控制、鑒別和記錄出入的人員;77%的公司安裝了機房門禁系統(tǒng);約95%的公司具有機房來訪人員申請和審批流程,能夠限制并全程監(jiān)控機房來訪人員的活動范圍。

災備 《指引》對數(shù)據(jù)備份和災難備份提出了基本要求和分級要求。在設備和介質(zhì)管理方面,93%的期貨公司對所使用的介質(zhì)進行了分類標識和存儲;對于需要送出維修或銷毀的介質(zhì),99%的公司能夠清除其中的敏感數(shù)據(jù),以防止信息的非法泄漏。對于生產(chǎn)所用的應用系統(tǒng)、硬件設備和系統(tǒng)軟件,所有期貨公司都使用了正規(guī)廠商的產(chǎn)品,其中95%的公司購買了相應的維護服務。

由于期貨公司目前的實力和IT現(xiàn)狀,很難做到投入大量資金建立災備中心,因此我們把災難備份作為可選項。未來的發(fā)展方向還是倡導建立災備中心的。

系統(tǒng)管理 《指引》對系統(tǒng)變更管理、配置管理、容量管理、應急演練和技術事故管理等方面提出了基本要求和分級要求。

據(jù)調(diào)查,98%的期貨公司制定了詳細的系統(tǒng)配置文檔和完整、規(guī)范的系統(tǒng)測試操作流程,93%的公司能夠在每次上線前進行影響分析或評估,97%以上的公司能夠針對每次上線制定明確的上線計劃,上線前充分測試,對上線情況進行精確的跟蹤,并記錄上線的操作過程和發(fā)生的問題。

營業(yè)部 《指引》對營業(yè)部技術管理和技術系統(tǒng)提出了基本要求,對有現(xiàn)場交易的營業(yè)部提出了交易保障的高級要求。

調(diào)查顯示,約72%的期貨公司營業(yè)部建設了滿足安全要求的機房,用于放置業(yè)務開展所需要的網(wǎng)絡、通信和主機設備。約62%的期貨公司營業(yè)部所在場所具備雙路供電;在提供現(xiàn)場交易的期貨營業(yè)部中,78%已使用了不間斷供電設備。

23%的期貨公司營業(yè)部已建立了連接總部中心機房的直連鏈路。在系統(tǒng)安全方面,81%的期貨公司營業(yè)部重要網(wǎng)絡設備、服務器能夠抗單點故障;76%的期貨公司營業(yè)部對現(xiàn)場辦公網(wǎng)絡與客戶交易網(wǎng)絡進行了隔離。

一場持久戰(zhàn)

雖然期貨公司在準備股指期貨上市的這幾年里,在信息技術方面增大了投入,加強了技術人才引進,提升了技術管理水平,但還是距監(jiān)管部門的要求和未來發(fā)展的需要有不小的差距。上面的調(diào)查數(shù)據(jù)看似不錯,但是真正檢查就不一樣了。通過試檢查我們發(fā)現(xiàn),在信息技術方面實力最強的幾家公司都仍然存在著很多問題,對他們進行的187項檢查中,平均67項不合格。原因何在?

我認為,一是他們對《指引》本身和《指引》制定的初衷,仍有不同程度的理解偏差,存在理解不到位的情況;二是檢查時指引尚未公布,公司沒有足夠的時間準備;三是公司認為最容易達到的軟要求往往是最不易達到的。相反,硬件投入在某種意義上來說更容易達到。比如說,存儲容量不夠、UPS不夠、空調(diào)不是精密空調(diào),期貨公司增加相應投入就可以了。而技術管理、日常運行、系統(tǒng)維護等幾類要求主要是在IT管理上的要求。比如IT制度建設、巡檢、機房進出管理、日志記錄、變更管理、配置管理和容量管理等方面的軟要求,就不是簡單靠IT投入能夠達到的,而是要靠合理規(guī)范的制度、責任心和良好的工作習慣。而這些都不是一朝一夕能夠?qū)崿F(xiàn)的。

所以說,期貨公司要想達到技術改造要求,首先要認真研讀指引的每一個條款,然后根據(jù)本單位的實際情況制定切實可行的整改方案,抓重點,摳細節(jié)。在整改完成時應積極開展自查活動。