余 博

余博/廣東理工職業(yè)學(xué)院教師，碩士（廣東廣州510091）。

商業(yè)銀行的電子化建設(shè)始于20世紀(jì)50年代，美國(guó)的商業(yè)銀行開(kāi)始為客戶(hù)提供電子支付服務(wù)。70年代開(kāi)始，隨著全球金融一體化的進(jìn)程，全球金融機(jī)構(gòu)通過(guò)SWIFT系統(tǒng)[1]實(shí)現(xiàn)通訊連接。經(jīng)過(guò)五十多年的發(fā)展，商業(yè)銀行已經(jīng)全面進(jìn)入真正的電子銀行時(shí)代（ebank）。

電子銀行[2]是指商業(yè)銀行等銀行業(yè)金融機(jī)構(gòu)利用面向社會(huì)公眾開(kāi)放的通訊通道或開(kāi)放型公眾網(wǎng)絡(luò)，以及銀行為特定自助服務(wù)設(shè)施或客戶(hù)建立的專(zhuān)用網(wǎng)絡(luò)，向客戶(hù)提供的銀行服務(wù)。其業(yè)務(wù)主要包括利用網(wǎng)上銀行業(yè)務(wù)，電話銀行業(yè)務(wù)，手機(jī)銀行業(yè)務(wù)，以及客戶(hù)通過(guò)自助服務(wù)方式完成金融交易的業(yè)務(wù)，如自助終端、ATM、POS等。隨著金融創(chuàng)新和通訊技術(shù)的高速發(fā)展，電子銀行已經(jīng)成為商業(yè)銀行運(yùn)行業(yè)務(wù)的最重要的渠道之一。它可以打破傳統(tǒng)的網(wǎng)點(diǎn)服務(wù)上時(shí)間和空間的限制，全天候24小時(shí)不間斷為客戶(hù)提供金融服務(wù)。然而，隨著電子銀行業(yè)務(wù)的快速發(fā)展，其安全問(wèn)題也日益突出，短信詐騙、黑客攻擊、病毒入侵、系統(tǒng)漏洞等問(wèn)題層出不窮，輕則會(huì)影響電子銀行業(yè)務(wù)的正常使用，重則會(huì)導(dǎo)致商業(yè)銀行出現(xiàn)較大損失。2005年，以色列的一個(gè)黑客團(tuán)伙利用“按鍵記錄”軟件入侵一家日本銀行在英國(guó)倫敦的辦事處，竊取賬戶(hù)和密碼，企圖非法轉(zhuǎn)移2.2億英鎊(約合2.94億美元)的資金，震驚世界，如果他們得逞，將是歷史上最嚴(yán)重的網(wǎng)絡(luò)金融安全事件。2011年，美國(guó)花旗銀行被黑客侵入，21萬(wàn)北美地區(qū)銀行卡客戶(hù)的重要信息泄露。2013年，韓國(guó)新韓和農(nóng)業(yè)協(xié)同兩家銀行疑遭電腦黑客襲擊，其電腦網(wǎng)絡(luò)癱瘓了三天，數(shù)以萬(wàn)計(jì)的客戶(hù)受影響，損失嚴(yán)重。

因此，電子銀行風(fēng)險(xiǎn)防范與安全管理成為現(xiàn)代金融機(jī)構(gòu)亟待解決的重要問(wèn)題。通常，電子銀行業(yè)務(wù)主要面臨四種風(fēng)險(xiǎn)：安全風(fēng)險(xiǎn)、管理風(fēng)險(xiǎn)、合規(guī)風(fēng)險(xiǎn)和聲譽(yù)風(fēng)險(xiǎn)。其中，安全風(fēng)險(xiǎn)涉及客戶(hù)和銀行的資金安全，是電子銀行業(yè)務(wù)的核心問(wèn)題。因此，加強(qiáng)電子銀行安全保障水平是實(shí)現(xiàn)金融穩(wěn)定運(yùn)行、保持國(guó)民經(jīng)濟(jì)持續(xù)快速健康發(fā)展的重要支撐。電子銀行的安全風(fēng)險(xiǎn)主要包括：計(jì)算機(jī)系統(tǒng)的故障、黑客攻擊造成的服務(wù)中斷、數(shù)據(jù)外泄、應(yīng)用系統(tǒng)差錯(cuò)、客戶(hù)認(rèn)證和數(shù)字簽名被破譯等。本文主要闡述安全風(fēng)險(xiǎn)的評(píng)估。

為了有效控制電子銀行安全風(fēng)險(xiǎn)，盡快完善電子銀行業(yè)務(wù)的監(jiān)管規(guī)章體系，銀監(jiān)會(huì)在認(rèn)真分析總結(jié)我國(guó)商業(yè)銀行電子銀行業(yè)務(wù)發(fā)展的基礎(chǔ)上，結(jié)合我國(guó)現(xiàn)有金融法律制度，借鑒了國(guó)外有關(guān)機(jī)構(gòu)對(duì)電子銀行業(yè)務(wù)的監(jiān)管經(jīng)驗(yàn)，先后發(fā)布了《電子銀行業(yè)務(wù)管理辦法》和《電子銀行安全評(píng)估指引》，并于2006年3月1日起開(kāi)始施行。從此，電子銀行安全評(píng)估也有了政策上的支持。在技術(shù)支持方面，商業(yè)銀行除了自身設(shè)立專(zhuān)門(mén)的安全風(fēng)險(xiǎn)管控和信息技術(shù)部門(mén)來(lái)防范電子銀行安全風(fēng)險(xiǎn)外，更多地把這項(xiàng)業(yè)務(wù)外包給更加專(zhuān)業(yè)的網(wǎng)絡(luò)安全公司。商業(yè)銀行可以通過(guò)全面安全評(píng)估及安全改進(jìn)，使電子銀行系統(tǒng)的安全保障能力符合國(guó)家的相關(guān)政策法規(guī)和自身業(yè)務(wù)的安全需求，從而增強(qiáng)電子銀行用戶(hù)的使用信心，提高銀行的市場(chǎng)競(jìng)爭(zhēng)力。

安全風(fēng)險(xiǎn)評(píng)估中最關(guān)鍵的步驟就是要找到一種合適的評(píng)估方法，這樣既可以提高效率，又可以節(jié)約人力和時(shí)間成本。本文將闡述幾種在不同的信息系統(tǒng)環(huán)境下經(jīng)常采用的評(píng)估方法供電子銀行在選擇安全風(fēng)險(xiǎn)評(píng)估方法時(shí)進(jìn)行參考。

一、問(wèn)卷調(diào)查

問(wèn)卷調(diào)查是一種最簡(jiǎn)單，成本較低的安全評(píng)估方法。問(wèn)卷的對(duì)象主要是使用電子銀行的業(yè)務(wù)操作人員和客戶(hù)。它由一組關(guān)聯(lián)的封閉式或開(kāi)放式問(wèn)題組成。用于在評(píng)估過(guò)程中獲取信息系統(tǒng)的安全策略、信息安全組織、人力資源管理、資產(chǎn)管理、物理和環(huán)境安全、訪問(wèn)控制、通訊與運(yùn)維管理、系統(tǒng)開(kāi)發(fā)和維護(hù)、業(yè)務(wù)連續(xù)性計(jì)劃、安全事件管理、符合性等11個(gè)方面。

二、文件分析

由評(píng)估人員查閱被評(píng)估銀行的電子銀行安全體系的相關(guān)文件，主要從安全策略、規(guī)范、制度、表單的匯總、檢查與分析這幾方面入手，梳理文件的邏輯結(jié)構(gòu)，從中發(fā)現(xiàn)錯(cuò)誤、遺漏、陳舊、可改進(jìn)項(xiàng)等問(wèn)題。它和問(wèn)卷調(diào)查都屬于較初級(jí)的安全評(píng)估方法，不能完成整個(gè)安全評(píng)估體系的構(gòu)成，只能為佐證成果的客觀性和全面性提供有力的證據(jù)。

三、顧問(wèn)訪談

顧問(wèn)訪談是結(jié)合問(wèn)卷調(diào)查和文件分析有效的管理評(píng)估方式。通過(guò)對(duì)不同對(duì)象的訪談，包括銀行相關(guān)領(lǐng)導(dǎo)、風(fēng)險(xiǎn)管理人員、審計(jì)管理員、網(wǎng)絡(luò)系統(tǒng)管理員、普通員工和最終用戶(hù)，可以對(duì)絕大部分的安全管理實(shí)現(xiàn)細(xì)節(jié)進(jìn)行了解，并對(duì)上述的管理問(wèn)卷調(diào)查結(jié)果和體系文件進(jìn)行分析確認(rèn)，訪談結(jié)果將直接影響組織各項(xiàng)安全控制的評(píng)估結(jié)果。審核的內(nèi)容是根據(jù)《商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引》、《電子銀行業(yè)務(wù)管理辦法》、《電子銀行安全評(píng)估指引》、《網(wǎng)上銀行信息系統(tǒng)通用規(guī)范（試行）》等相關(guān)國(guó)家和行業(yè)標(biāo)準(zhǔn)問(wèn)卷的問(wèn)題。

四、安全漏洞掃描

在電子銀行安全體系的建設(shè)中，運(yùn)用安全掃描軟件是一種進(jìn)行風(fēng)險(xiǎn)分析的有力工具，它可以大規(guī)模減少安全管理員的手工勞動(dòng)，有利于保持整個(gè)系統(tǒng)安全政策的穩(wěn)定。安全掃描主要是通過(guò)評(píng)估工具以本地掃描的方式對(duì)電子銀行的系統(tǒng)和網(wǎng)絡(luò)進(jìn)行安全掃描，對(duì)隔離區(qū)服務(wù)器、應(yīng)用區(qū)服務(wù)器、網(wǎng)絡(luò)設(shè)備三大區(qū)域的主機(jī)系統(tǒng)、中間件、數(shù)據(jù)庫(kù)系統(tǒng)等的漏洞情況進(jìn)行全面的評(píng)估。

我們從網(wǎng)絡(luò)層次的角度將安全掃描分為以下三個(gè)方面：

（1）系統(tǒng)層。這一層的安全問(wèn)題來(lái)自網(wǎng)絡(luò)運(yùn)行的操作系統(tǒng)，比如UNIX系列、Linux系列、Windows NT系列以及專(zhuān)用服務(wù)器操作系統(tǒng)等。系統(tǒng)層安全評(píng)估主要是通過(guò)安全漏洞掃描方式對(duì)網(wǎng)上銀行系統(tǒng)中，承載電子銀行業(yè)務(wù)的應(yīng)用主機(jī)服務(wù)器的操作系統(tǒng)進(jìn)行安全性評(píng)估。

（2）網(wǎng)絡(luò)層。網(wǎng)絡(luò)層安全評(píng)估主要是通過(guò)網(wǎng)上銀行系統(tǒng)進(jìn)行網(wǎng)絡(luò)架構(gòu)分析評(píng)估方法對(duì)網(wǎng)上銀行系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)出口、Cisco路由器和交換機(jī)以及防火墻等網(wǎng)絡(luò)設(shè)備的安全性進(jìn)行評(píng)估。

（3）應(yīng)用層。這一層的安全問(wèn)題是考慮網(wǎng)絡(luò)對(duì)用戶(hù)提供服務(wù)所采用的應(yīng)用軟件和數(shù)據(jù)的安全性，包括網(wǎng)上銀行客戶(hù)端、電子支付系統(tǒng)、信用卡系統(tǒng)、基于Android系統(tǒng)的手機(jī)銀行客戶(hù)端、動(dòng)態(tài)電子口令以及其他網(wǎng)絡(luò)服務(wù)系統(tǒng)等。

五、在線分析

為了給電子銀行業(yè)務(wù)做更全面的安全風(fēng)險(xiǎn)評(píng)估，需要利用入侵檢測(cè)系統(tǒng)[3]對(duì)可能存在的安全威脅進(jìn)行實(shí)時(shí)采樣收集。入侵檢測(cè)正是為保證計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的安全而設(shè)計(jì)的一種能夠及時(shí)發(fā)現(xiàn)并報(bào)告網(wǎng)絡(luò)系統(tǒng)中未授權(quán)或異?，F(xiàn)象的技術(shù)，是一種用于檢測(cè)計(jì)算機(jī)網(wǎng)絡(luò)中違反安全策略行為的技術(shù)。主要的入侵檢測(cè)技術(shù)有兩種，即特征檢測(cè)和異常檢測(cè)。

入侵檢測(cè)系統(tǒng)相比較一些傳統(tǒng)靜態(tài)的安全評(píng)估方法，能夠動(dòng)態(tài)地為電子銀行業(yè)務(wù)提供內(nèi)外部攻擊和錯(cuò)誤操作的保護(hù)，成為防火墻之后又一道安全防線，也是目前電子銀行安全風(fēng)險(xiǎn)評(píng)估必不可少的評(píng)估方法。

六、人工安全掃描

針對(duì)商業(yè)銀行電子銀行的網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)、服務(wù)器、操作系統(tǒng)、應(yīng)用系統(tǒng)等軟硬件設(shè)備，安全評(píng)估人員利用安全評(píng)估軟件掃描其存在的安全漏洞，找出潛在的風(fēng)險(xiǎn)，并給出相應(yīng)的整改措施。然而，由于安全評(píng)估軟件的科技水平有限，并不能全方位地檢測(cè)出全部評(píng)估范圍內(nèi)硬件和系統(tǒng)的全部漏洞，因此，為了彌補(bǔ)這一不足，安全評(píng)估人員的手工檢測(cè)就顯得尤為重要，當(dāng)然這樣會(huì)增加安全評(píng)估的人力成本和時(shí)間成本。

另外，許多安全設(shè)備如防火墻、入侵檢測(cè)等設(shè)備也是人工評(píng)估的主要對(duì)象。因?yàn)檫@些安全系統(tǒng)的作用是為網(wǎng)絡(luò)和應(yīng)用系統(tǒng)提供必要的保護(hù)，其安全性也必然關(guān)系到網(wǎng)絡(luò)和應(yīng)用系統(tǒng)的安全性是否可用、可控和可信。目前還沒(méi)有針對(duì)安全系統(tǒng)進(jìn)行安全評(píng)估的系統(tǒng)和工具，只能通過(guò)手工的方式進(jìn)行安全評(píng)估。

七、遠(yuǎn)程滲透測(cè)試

滲透測(cè)試借鑒了黑客攻擊的手法和技巧，通過(guò)內(nèi)網(wǎng)滲透測(cè)試和外網(wǎng)滲透測(cè)試兩種方式充分暴露和發(fā)掘潛在的漏洞，高度精確地反映客戶(hù)系統(tǒng)面臨的風(fēng)險(xiǎn)。這種測(cè)試方法耗時(shí)短、效率高，在網(wǎng)絡(luò)安全評(píng)估方法中是一種發(fā)現(xiàn)嚴(yán)重安全漏洞的最有效的方法。通常情況下，考慮到電子銀行的使用環(huán)境，這一類(lèi)滲透測(cè)試都是在電子銀行業(yè)務(wù)應(yīng)用較為空閑01:00-07:00時(shí)段進(jìn)行，或者構(gòu)建一個(gè)仿真模擬的系統(tǒng)測(cè)試環(huán)境下進(jìn)行。另外，滲透測(cè)試軟件和黑客攻擊手段都必須通過(guò)銀行嚴(yán)格的審核同意，并準(zhǔn)備充分完善的系統(tǒng)恢復(fù)方案，在測(cè)試之前必須提前網(wǎng)站公示，及時(shí)通知客戶(hù)，將對(duì)電子銀行業(yè)務(wù)的影響程度降到最低。

在遠(yuǎn)程滲透測(cè)試過(guò)程中，商業(yè)銀行可以根據(jù)自身情況，選擇測(cè)試的強(qiáng)度和范圍，例如不準(zhǔn)許測(cè)試人員對(duì)某些重要的服務(wù)器和應(yīng)用程序進(jìn)行測(cè)試以影響其正常運(yùn)行；嚴(yán)格控制滲透測(cè)試的時(shí)間，一般選擇電子銀行業(yè)務(wù)相對(duì)空閑時(shí)段，不能長(zhǎng)時(shí)間測(cè)試而影響業(yè)務(wù)正常運(yùn)作。

八、安全策略評(píng)估

安全策略評(píng)估目前是公認(rèn)的最全面、最有效、最詳細(xì)的電子銀行安全評(píng)估方法，它對(duì)整個(gè)電子銀行的網(wǎng)絡(luò)設(shè)備和系統(tǒng)在安全控制、風(fēng)險(xiǎn)管理、客戶(hù)保護(hù)、安全交易結(jié)算等方面進(jìn)行綜述及建議。這一種綜合性的電子銀行安全評(píng)估方法，是從整體網(wǎng)絡(luò)安全的角度對(duì)現(xiàn)有的電子銀行網(wǎng)絡(luò)安全策略進(jìn)行全局性的評(píng)估，它包含了技術(shù)和管理方面的內(nèi)容，具體包括：安全策略評(píng)估是否能全面覆蓋了電子銀行網(wǎng)絡(luò)系統(tǒng)的安全性描述；在安全策略中描述的所有安全控制、風(fēng)險(xiǎn)管理、客戶(hù)保護(hù)、交易結(jié)算的措施是否正確和有效；安全策略評(píng)估中的每一項(xiàng)內(nèi)容是否在相應(yīng)的部門(mén)得到確認(rèn)和具體落實(shí)。

在整個(gè)評(píng)估過(guò)程中，要求安全評(píng)估人員要“量體裁衣”，根據(jù)不同的網(wǎng)絡(luò)系統(tǒng)給出相應(yīng)的安全策略，要涵蓋對(duì)整個(gè)網(wǎng)絡(luò)系統(tǒng)有關(guān)安全的所有問(wèn)題，例如如何確保用戶(hù)客戶(hù)端密碼輸入安全，如何實(shí)現(xiàn)數(shù)據(jù)傳輸?shù)谋Ｃ苄院屯暾?，組建應(yīng)急響應(yīng)小組的成員和制定完善的應(yīng)急響應(yīng)程序，災(zāi)難恢復(fù)計(jì)劃的制定等問(wèn)題。對(duì)所有問(wèn)題有相應(yīng)的制定計(jì)劃和解決方案，就相當(dāng)于針對(duì)整個(gè)網(wǎng)絡(luò)系統(tǒng)的一份完整的安全策略。策略一旦制定，將成為整個(gè)網(wǎng)絡(luò)安全行為的準(zhǔn)則，商業(yè)銀行的每一個(gè)部門(mén)的工作人員都必須嚴(yán)格遵守。

總而言之，在具體的實(shí)踐過(guò)程中，針對(duì)不同的商業(yè)銀行的電子銀行系統(tǒng)，分析其安全風(fēng)險(xiǎn)的應(yīng)用需求，一般不會(huì)單一地使用某種安全評(píng)估方法，而是結(jié)合多種策略，行程一套行之有效的安全風(fēng)險(xiǎn)評(píng)估報(bào)告，對(duì)被評(píng)估商業(yè)銀行的網(wǎng)絡(luò)系統(tǒng)改進(jìn)和監(jiān)管機(jī)構(gòu)的政策制定都有深遠(yuǎn)的意義。

注釋?zhuān)?/p>

[1]SWIFT 是 society for worldwide interbank financial telecommunications（環(huán)球同業(yè)銀行金融電信協(xié)會(huì)或環(huán)球銀行間金融通信協(xié)會(huì)）的縮寫(xiě)，是國(guó)際銀行同業(yè)間的國(guó)際合作組織，目前全球大多數(shù)國(guó)家大多數(shù)銀行已使用SWIFT系統(tǒng)。

[2]《電子銀行業(yè)務(wù)管理辦法》(中國(guó)銀行業(yè)監(jiān)督管理委員會(huì)2006年3月1日實(shí)施)中的有關(guān)定義。

[3]入侵檢測(cè)系統(tǒng)（intrusion detection system，簡(jiǎn)稱(chēng)“IDS”）是一種對(duì)網(wǎng)絡(luò)傳輸進(jìn)行即時(shí)監(jiān)視，在發(fā)現(xiàn)可疑傳輸時(shí)發(fā)出警報(bào)或者采取主動(dòng)反應(yīng)措施的網(wǎng)絡(luò)安全設(shè)備。

[1]徐杰.電子銀行安全評(píng)估方法探討[J].中國(guó)金融電腦，2012，(11)

[2]李歡.淺談電子銀行安全風(fēng)險(xiǎn)及防范[J].新財(cái)經(jīng)，2010，(12)

[3]胡曉荷.電子銀行安全評(píng)估:讓防范更精準(zhǔn)[J].信息安全與通信保密，2009，(3)

[4]狄衛(wèi)平，梁洪澤.網(wǎng)絡(luò)金融研究[J].金融研究，2000，(11)

[5]牟冰.我國(guó)電子銀行業(yè)務(wù)創(chuàng)新及其風(fēng)險(xiǎn)防范研究[D].對(duì)外經(jīng)濟(jì)貿(mào)易大學(xué)，2006

[6]中國(guó)工商銀行教育部杭州金融研修學(xué)院.電子銀行[M].北京：中國(guó)金融出版社，2003