■ 文 / 安 生

金融系統(tǒng)或受潛在“黑天鵝”事件影響金融網(wǎng)絡(luò)安全形勢(shì)嚴(yán)峻 各國(guó)加緊防范

■ 文 / 安 生

網(wǎng)絡(luò)安全事件具有系統(tǒng)性影響，將會(huì)是潛在的“黑天鵝”事件，對(duì)金融系統(tǒng)具有非常重要的影響。

網(wǎng)絡(luò)安全事件具有系統(tǒng)性影響，將會(huì)是潛在的“黑天鵝事件”，對(duì)金融系統(tǒng)具有非常重要的影響。

據(jù)英國(guó)廣播公司3月20日?qǐng)?bào)道，英國(guó)政府宣布新的網(wǎng)絡(luò)安全中心成立，其首要任務(wù)將是與英國(guó)央行(Bank of England)合作，針對(duì)整個(gè)英國(guó)金融領(lǐng)域制定新的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)，包括處理應(yīng)對(duì)可能會(huì)影響英國(guó)經(jīng)濟(jì)發(fā)展的網(wǎng)絡(luò)威脅。

2015年英國(guó)總理曾宣布成立該部門(mén)，現(xiàn)已改名為國(guó)家網(wǎng)絡(luò)安全中心。成立目的是為民眾提供英國(guó)專業(yè)的網(wǎng)絡(luò)知識(shí)。任命英國(guó)政府通訊總部的高級(jí)官員查蘭·馬丁(Ciaran Martin)為第一負(fù)責(zé)人，網(wǎng)絡(luò)安全技術(shù)總監(jiān)伊恩·利維博士(Ian Levy)將成為該部門(mén)技術(shù)總監(jiān)。

“我們需要建立一個(gè)一站式的服務(wù)點(diǎn)供政府內(nèi)外的人們咨詢求助。”內(nèi)閣辦公室部長(zhǎng)馬修·漢考克(Matthew Hancock)向BBC新聞透露說(shuō)他們將致力于成為英國(guó)信息安全方面的權(quán)威。

英國(guó)政府通訊總部是網(wǎng)絡(luò)安全方面的領(lǐng)導(dǎo)機(jī)構(gòu)，但因?yàn)樗俏挥谇袪栯{姆市的一個(gè)秘密情報(bào)服務(wù)中心，對(duì)外信息保密。新網(wǎng)絡(luò)安全中心旨在解決這一信息不透明的問(wèn)題，應(yīng)對(duì)當(dāng)前民眾對(duì)于政府暗箱操作的質(zhì)疑。

該中心不僅與監(jiān)管機(jī)構(gòu)如銀行合作，為私營(yíng)部門(mén)提供咨詢服務(wù)。還將與其他政府部門(mén)，國(guó)家基礎(chǔ)設(shè)施部門(mén)，商界以及公眾合作。如果某部門(mén)或某項(xiàng)業(yè)務(wù)對(duì)國(guó)家來(lái)說(shuō)具有潛在風(fēng)險(xiǎn)，信息安全中心更應(yīng)涉身其中，這就是該中心的職能所在。在未來(lái)網(wǎng)絡(luò)漏洞事件處理中，它將成為起到至關(guān)重要作用的關(guān)鍵部門(mén)。

該部門(mén)的工作人員強(qiáng)調(diào)他們的職能就是保護(hù)國(guó)家免受網(wǎng)絡(luò)攻擊，做好準(zhǔn)備應(yīng)對(duì)處理任何網(wǎng)絡(luò)攻擊，并將犯罪人員繩之以法。該部門(mén)總部設(shè)立在倫敦，今年10月面向公眾開(kāi)放。

面對(duì)如此嚴(yán)峻的金融網(wǎng)絡(luò)安全形勢(shì)，世界各國(guó)都在積極地采取防范及應(yīng)對(duì)措施，以保障經(jīng)濟(jì)的穩(wěn)定發(fā)展。

金融網(wǎng)絡(luò)安全受到各國(guó)重視

2013年，韓國(guó)計(jì)劃對(duì)金融部門(mén)的網(wǎng)絡(luò)安全系統(tǒng)進(jìn)行徹底檢查，保障這些部門(mén)在未來(lái)免受網(wǎng)絡(luò)攻擊的困擾，從而避免用戶敏感信息泄露。

韓國(guó)金融監(jiān)督管理局(FSS)和其監(jiān)督管理機(jī)構(gòu)韓國(guó)金融服務(wù)委員會(huì)(FSC)，將為銀行、保險(xiǎn)公司以及其他金融行業(yè)機(jī)構(gòu)的在線網(wǎng)絡(luò)系統(tǒng)引入更為嚴(yán)格的監(jiān)管規(guī)則。FSS和FSC計(jì)劃于2013年6月發(fā)布綜合措施，出臺(tái)的新措施會(huì)特別加大對(duì)金融行業(yè)機(jī)構(gòu)最高層管理人員的監(jiān)管力度。

根據(jù)相關(guān)法律，這些金融機(jī)構(gòu)應(yīng)將5%的員工名額分配到IT部門(mén)，并將這5%的員工中的5%用于網(wǎng)絡(luò)安全相關(guān)的工作崗位。同時(shí)，金融公司應(yīng)將預(yù)算的7%用于在線網(wǎng)絡(luò)安全建設(shè)。韓國(guó)政府認(rèn)為，金融機(jī)構(gòu)普遍不遵守上述法律要求的原因是支出成本高昂。

2015年，外匯行業(yè)連續(xù)遭遇了幾起網(wǎng)絡(luò)攻擊事件。10月初，據(jù)相關(guān)媒體報(bào)道，美國(guó)領(lǐng)先外匯經(jīng)紀(jì)商福匯（FXCM）成功處置了一起黑客攻擊事件，澳大利亞外匯經(jīng)紀(jì)商IC Markets中招。接連的網(wǎng)絡(luò)安全問(wèn)題讓投資者不安，對(duì)此，美國(guó)金融監(jiān)管機(jī)構(gòu)為提高信息系統(tǒng)安全發(fā)布了新監(jiān)管規(guī)定。

美國(guó)全國(guó)期貨委員會(huì)（NFA）宣布將收緊所有成員，包括期貨傭金商、掉期交易商、介紹經(jīng)紀(jì)商、外匯交易商成員、商品池運(yùn)營(yíng)商和商品交易顧問(wèn)等的網(wǎng)絡(luò)安全要求。美國(guó)商品期貨交易委員會(huì)（CFTC）已經(jīng)同意了NFA提交的信息系統(tǒng)安全項(xiàng)目（ISSP）。新規(guī)于2016年3月1日正式生效。

NFA列出了ISSP的部分要求如：使用復(fù)雜密碼和防火墻，安裝反病毒和反惡意程序的軟件等。新規(guī)要求，NFA成員必須采用并執(zhí)行書(shū)面政策和流程，以確?？蛻魯?shù)據(jù)安全。書(shū)面ISSP政策必須獲得公司執(zhí)行高管同意，其中要包括安全和風(fēng)險(xiǎn)分析、對(duì)已識(shí)別威脅和漏洞采取的保護(hù)措施、對(duì)安全性能的評(píng)估流程、對(duì)相關(guān)適用員工的信息系統(tǒng)安全教育和培訓(xùn)工作等等。NFA還要求成員定期對(duì)信息系統(tǒng)安全進(jìn)行監(jiān)管和評(píng)審，以確保ISSP的有效性。

NFA表示，部分成員在2016年3月1日開(kāi)始執(zhí)行ISSP會(huì)感到很大的壓力，因此NFA將提供如額外的指導(dǎo)等資源上的幫助，以幫助成員盡快建立并實(shí)施ISSP。

2016年3月，針對(duì)互聯(lián)網(wǎng)快速突破帶動(dòng)金融科技發(fā)展的現(xiàn)狀，中國(guó)香港金管局總裁陳德霖表示，網(wǎng)絡(luò)安全是金融科技發(fā)展的基石，中國(guó)香港金管局為此新成立“金融科技促進(jìn)辦公室”，未來(lái)工作重點(diǎn)將包括為銀行制定網(wǎng)絡(luò)風(fēng)險(xiǎn)框架及模型、從業(yè)員培訓(xùn)認(rèn)證計(jì)劃，還將與銀行合作建立全新的情報(bào)共享平臺(tái)，同時(shí)推動(dòng)有關(guān)“區(qū)塊鏈” (Block Chain)的技術(shù)應(yīng)用研究。他強(qiáng)調(diào)，希望金融科技促進(jìn)辦公室可推動(dòng)業(yè)界發(fā)掘金融科技的應(yīng)用潛力及風(fēng)險(xiǎn)，并將扮演業(yè)界與監(jiān)管機(jī)構(gòu)的溝通平臺(tái)，按照“風(fēng)險(xiǎn)為本，科技中立”的原則推動(dòng)發(fā)展。

金融網(wǎng)絡(luò)安全是當(dāng)前金融行業(yè)非常核心重要的問(wèn)題。

陳德霖指出，隨著網(wǎng)絡(luò)科技的迅速發(fā)展，金融服務(wù)的方式發(fā)生了改變，例如：銀行服務(wù)由過(guò)去在分行內(nèi)變?yōu)榫W(wǎng)絡(luò)銀行甚至手機(jī)的移動(dòng)銀行，眾籌平臺(tái)甚至取代了銀行的中介角色，為小企業(yè)提供融資，不過(guò)，一再發(fā)生通過(guò)眾籌集資的公司清盤(pán)或不當(dāng)使用資金，這表明面對(duì)金融科技發(fā)展，不能凡事都“管到盡”或“完全 不管”，必須有適當(dāng)?shù)谋O(jiān)管。

2016年3月19日，中國(guó)人民銀行副行長(zhǎng)易綱在“中國(guó)發(fā)展高層論壇2016年會(huì)”上，透露了G20國(guó)際金融架構(gòu)工作組一致同意推進(jìn)的五項(xiàng)改革內(nèi)容，其中一項(xiàng)就是完善全球的金融安全網(wǎng)；包括各國(guó)在外匯儲(chǔ)備、雙邊互換、區(qū)域安排、全球安排四個(gè)層面加強(qiáng)協(xié)調(diào)，降低金融風(fēng)險(xiǎn)事件發(fā)生。

國(guó)內(nèi)外金融機(jī)構(gòu)主要面臨的網(wǎng)絡(luò)攻擊威脅

一是拒絕服務(wù)攻擊。這種攻擊使金融行業(yè)的門(mén)戶網(wǎng)站、交易網(wǎng)站無(wú)法為客戶提供正常服務(wù)，造成經(jīng)濟(jì)損失，同時(shí)也使行業(yè)形象受到損害。

二是黑客入侵。一般是攻擊者利用黑客技術(shù)非法侵入機(jī)構(gòu)的網(wǎng)絡(luò)系統(tǒng)，竊取、篡改各種數(shù)據(jù)、破壞系統(tǒng)運(yùn)行，或進(jìn)行有目的的金融犯罪活動(dòng)。常見(jiàn)的攻擊場(chǎng)景舉例如下，(1)黑客利用對(duì)網(wǎng)站影響較大的漏洞，如，Stuts2命令執(zhí)行漏洞，輕易攻陷網(wǎng)站服務(wù)器，獲取網(wǎng)站注冊(cè)用戶的帳號(hào)密碼和個(gè)人資料。(2)機(jī)構(gòu)平臺(tái)受到大規(guī)模釣魚(yú)攻擊，大量客戶誘騙錄入用戶名、賬號(hào)、轉(zhuǎn)賬密碼等敏感信息造成資金損失。

三是蠕蟲(chóng)、病毒攻擊。蠕蟲(chóng)、病毒泛濫可能導(dǎo)致機(jī)構(gòu)重要信息遭到損壞，或者導(dǎo)致機(jī)構(gòu)網(wǎng)絡(luò)和信息系統(tǒng)癱瘓。以移動(dòng)智能終端病毒為例，典型的攻擊場(chǎng)景舉例如下：(1)手機(jī)支付病毒植入機(jī)構(gòu)手機(jī)客戶端再通過(guò)二次打包的方式把惡意代碼嵌入機(jī)構(gòu)的APP程序，一旦被該病毒感染，會(huì)不經(jīng)用戶允許私自下載軟件并安裝，危及用戶的帳號(hào)安全。(2) 攻擊者欺騙買(mǎi)家或賣(mài)家在手機(jī)上掃描二維碼查看訂單詳情或者打折優(yōu)惠，被植入“驗(yàn)證碼”大盜病毒，攻擊者會(huì)通過(guò)“驗(yàn)證碼”大盜病毒截獲某些電商官方發(fā)送的相關(guān)驗(yàn)證碼信息，通過(guò)重置電商支付帳號(hào)密碼，盜取資金。

金融網(wǎng)絡(luò)安全不容忽視，各部門(mén)要不斷加強(qiáng)在金融網(wǎng)絡(luò)方面的聯(lián)合審查和協(xié)同管理，從而保障廣大用戶的切身利益，推動(dòng)金融行業(yè)以及全球經(jīng)濟(jì)的健康有序發(fā)展。