基層央行信息安全面臨的風(fēng)險與對策建議

1、基層央行信息安全面臨的風(fēng)險與對策建議隨著大額支付系統(tǒng)（ABS、TBS）、貨幣金銀管理信息系統(tǒng)、人民幣結(jié)算賬戶管理系統(tǒng)及辦公自動化等重要業(yè)務(wù)系統(tǒng)的陸續(xù)上線運(yùn)行，計算機(jī)和計算機(jī)網(wǎng)絡(luò)正發(fā)揮著越來越重要的作用。當(dāng)信息系統(tǒng)帶來更高效能、便捷服務(wù)的同時，也使計算機(jī)信息系統(tǒng)面臨著較大的安全風(fēng)險，一定程度上制約著中央銀行的電子化建設(shè)。 一、基層央行計算機(jī)信息安全工作現(xiàn)狀及存在的問題。 1、網(wǎng)絡(luò)安全存在的主要問題：一是硬件問題：內(nèi)聯(lián)網(wǎng)二期工程實施后，中心支行和縣支行已完成路由器和交換機(jī)布設(shè)和更新工作。但是從實際情況看，硬件設(shè)備備份嚴(yán)重不足。一是縣支行根本沒有配備網(wǎng)絡(luò)備份設(shè)備。二是備份線路問題：內(nèi)聯(lián)網(wǎng)二期工程完成

2、后，完成了縣支行到中心支行，中心支行到省會的2M光纖接入工作。但是，縣支行到中心支行的備份線路使用的128KDDN專線方式。在實際應(yīng)用中，我們注意備份線路的連通測試，目的是當(dāng)主線路出現(xiàn)故障時恢復(fù)網(wǎng)絡(luò)及時聯(lián)通。三是網(wǎng)絡(luò)漏洞與病毒防治：網(wǎng)絡(luò)漏洞掃描系統(tǒng)和入侵檢測系統(tǒng)以及反病毒系統(tǒng)和防火墻的安全運(yùn)行，為網(wǎng)絡(luò)系統(tǒng)的安全打下了良好的基礎(chǔ)。但是，網(wǎng)絡(luò)的安全運(yùn)行依然存在著一些問題，主要表現(xiàn)在：不能按照總、分行的要求，強(qiáng)化對網(wǎng)絡(luò)設(shè)備的安全使用和管理，比如對口令的設(shè)置和定期修改、軟件版本升級等問題。安全檢測系統(tǒng)采用的都是“已知漏洞”和“已知攻擊”，并且檢測策略由總行安全中心下發(fā)到各地市中心支行需一段時間，所以造

3、成了檢查系統(tǒng)的滯后性，使病毒在網(wǎng)絡(luò)中迅速傳播，網(wǎng)絡(luò)安全隱患隨時存在。 2、計算機(jī)安全存在的問題：一是操作系統(tǒng)問題：隨著業(yè)務(wù)系統(tǒng)的不斷推出，使得基層行操作系統(tǒng)存在著各種操作系統(tǒng)并存的局面。目前常見的操作系統(tǒng)有WIN98、WIN ME、WIN2000、WINXP、WIN2003、SCO等，沒有一個統(tǒng)一的操作平臺，出現(xiàn)問題只有科技人員到現(xiàn)場才能解決，對計算機(jī)的普及造成無形的障礙。二是系統(tǒng)補(bǔ)丁問題：如上所述，由于操作系統(tǒng)的多樣性，增加了系統(tǒng)補(bǔ)丁及時安裝的難度。同時，各級補(bǔ)丁的公布或下載的滯后性，給計算機(jī)的安全運(yùn)行帶來一定影響。三是反病毒問題：由于反病毒軟件總是落后于病毒，加之反病毒代碼升級包由開發(fā)商到

4、人總行，再經(jīng)過層層下發(fā)，造成了基層行反病毒代碼總是要滯后開發(fā)商一個多周左右。同時，有的用戶重新安裝操作系統(tǒng)而未通知科技部門，致使反病毒軟件未安裝、系統(tǒng)補(bǔ)丁未及時補(bǔ)充。更有極個別用戶不遵守規(guī)章制度，私自使用外來磁盤、程序，造成病毒在本機(jī)、網(wǎng)間傳播，給計算機(jī)、網(wǎng)絡(luò)的安全運(yùn)行帶來致命打擊。 3、機(jī)房和電源潛在的風(fēng)險 基層人行機(jī)房和電源建設(shè)時間都比較早，有的機(jī)房使用已達(dá)10多年之久。供電線路已嚴(yán)重老化，電源地線阻值增大，大部分縣支行機(jī)房沒有安全防火報警設(shè)備，消防設(shè)備也只是簡單的滅火器等設(shè)施，機(jī)房的整體性能嚴(yán)重滯后于央行信息化的發(fā)展。 縣支行的UPS后備電源設(shè)備大部分是在電子聯(lián)行上線運(yùn)行時的配套設(shè)備，以

5、后新上線運(yùn)行的業(yè)務(wù)均沒有UPS電源配套設(shè)備。由于設(shè)備比較陳舊落后，有的電源主機(jī)已無法進(jìn)行正常維修。各種新業(yè)務(wù)的上線運(yùn)行，使得原有電源功率已嚴(yán)重超載，加之這幾年全國用電比較緊張，縣支行一到夏、冬兩季經(jīng)常停電，給基層央行業(yè)務(wù)的正常運(yùn)行帶來很大隱患。 4、計算機(jī)安全管理機(jī)制問題：一是計算機(jī)安全管理的基本組織框架、管理框架、管理機(jī)制、策略方法、工作流程還在初步探索之中。內(nèi)部缺乏信息安全監(jiān)督機(jī)制，各單位、各部門、各崗位的信息安全管理職責(zé)及相互間的協(xié)作和制約關(guān)系未系統(tǒng)化地建立起來。二是制度不完整、不健全、沒有形成系統(tǒng)化的制度體系，特別是沒有形成適合基層人民銀行的安全制度，難以實施對計算機(jī)的安全管理。三是基

6、層行的計算機(jī)安全管理組織有名無實，沒有明確的職責(zé)，更談不上履行職責(zé)，有章不遵，有法不依，制度不落實。四是從事信息安全管理的人員數(shù)量過少，有些基層行沒有信息安全管理機(jī)構(gòu)和專業(yè)人員。加之人事部門的崗位交流，使得本來就有限的信息安全人員調(diào)整到別的崗位，使基層行的信息安全管理流于形式。 二、做好基層央行信息安全科技保障工作的對策建議1、加強(qiáng)網(wǎng)絡(luò)安全建設(shè)，確保網(wǎng)絡(luò)正常運(yùn)轉(zhuǎn)為保證網(wǎng)絡(luò)安全、穩(wěn)定地運(yùn)行，應(yīng)適當(dāng)增加必要的網(wǎng)絡(luò)硬件備份設(shè)備。同時各中心支行的硬件配置信息應(yīng)及時上報上級主管部門，以便出現(xiàn)問題時能夠及時將配置信息導(dǎo)入。以此保證備用設(shè)備接入后立即進(jìn)入正常的工作狀態(tài)。 2、規(guī)范操作系統(tǒng)選型，保證系統(tǒng)安全運(yùn)

7、行 目前基層人行系統(tǒng)運(yùn)行的操作系統(tǒng)種類多，建議上級主管部門在開發(fā)新系統(tǒng)時應(yīng)充分考慮到操作系統(tǒng)平臺選型問題，逐漸將操作系統(tǒng)統(tǒng)一到一兩種為宜。這樣，既可減少系統(tǒng)的維護(hù)量，又可以解決系統(tǒng)補(bǔ)丁升級的問題，為防范系統(tǒng)漏洞，抗擊病毒入侵提供有力保護(hù)。 3、完善措施，防范病毒入侵建立健全計算機(jī)病毒通報制度，包括近期病毒易發(fā)種類、本單位病毒“感染”情況、處理結(jié)果等信息。同時應(yīng)向有關(guān)部門報告病毒入侵情況，以利于有關(guān)部門及時追查病毒源頭；截斷傳播途徑：在日常工作中，應(yīng)嚴(yán)格按照有關(guān)規(guī)章制度辦事，做好外來光（磁）盤的病毒檢測工作。同時充分發(fā)揮反病毒服務(wù)器、防火墻、網(wǎng)絡(luò)漏洞掃描系統(tǒng)、入侵檢查系統(tǒng)等系統(tǒng)功能，斬斷病毒傳播

8、路徑；及時查補(bǔ)充系統(tǒng)漏洞，提升系統(tǒng)抗病毒能力。上級有關(guān)部門采取必要措施，縮短反病毒代碼包升級時間，使反病毒代碼升級工作能及時在系統(tǒng)內(nèi)下發(fā)。4、加強(qiáng)信息安全保障，強(qiáng)化信息安全管理措施：一是適應(yīng)金融業(yè)發(fā)展的需要，制定完善信息安全管理制度，為央行業(yè)務(wù)的正常開展和金融服務(wù)提供優(yōu)質(zhì)的科技服務(wù)。特別是要制定出適應(yīng)履行新職能且具有很強(qiáng)針對性的計算機(jī)安全制度。如計算機(jī)安全崗位制度；計算機(jī)信息系統(tǒng)運(yùn)行安全管理制度；計算機(jī)應(yīng)用系統(tǒng)安全管理制度；計算機(jī)網(wǎng)絡(luò)安全管理制度；機(jī)房安全管理制度等。二是加強(qiáng)對計算機(jī)設(shè)備的管理。對信息系統(tǒng)所在環(huán)境進(jìn)行安全保護(hù)，如區(qū)域保護(hù)和災(zāi)難保護(hù)；對設(shè)備的保護(hù)主要包括設(shè)備的防盜、防毀、防電磁信

9、息輻射泄露、防止線路截獲、抗電磁干擾，電源保護(hù)和設(shè)備冗余備份等。三是相互配合，團(tuán)結(jié)協(xié)作。信息安全工作，既需要人才的投入，又需要設(shè)備的投入。因此，要想做好信息安全工作，首先就應(yīng)該做好和各有關(guān)部門的配合工作。如：網(wǎng)絡(luò)安全設(shè)備的增加，UPS電源的更換，人才的投入等，即需要人事部門的配合，又需要財務(wù)會計部門的配合。隨著財務(wù)制度和人事制度的改革，不但應(yīng)做好橫向配合，還應(yīng)做好縱向配合。同時，上級有關(guān)部門在推廣新系統(tǒng)時，應(yīng)注意配套設(shè)備的投入，以解決由于配套設(shè)備跟不上而影響基層行信息安全工作的問題。 5、以人為本，加強(qiáng)科技隊伍建設(shè) 任何安全技術(shù)都不是十全十美的。因此，加強(qiáng)科技培訓(xùn)，提高人員素質(zhì)是必要的。在金融現(xiàn)代化“一日千里”的今天，加強(qiáng)計算機(jī)知識學(xué)習(xí)和技能培訓(xùn)，不僅僅是金融電子化發(fā)展的客觀需要，也是確保計算機(jī)安全運(yùn)行的內(nèi)在要求。一是上級行應(yīng)定期組織科技人員參加業(yè)務(wù)、專業(yè)知識的培訓(xùn)，及時更新基層科技人員的知識結(jié)構(gòu)，提高綜合素質(zhì)；二是做好思想政治工作，增強(qiáng)責(zé)任意識，不斷提高科技人員敬業(yè)愛崗