金融机构网上交易安全管理6大原则

工银瑞信基金管理公司信息科技部  李震

        随着电子商务的发展，基金公司网上交易已经逐渐成为基金销售的重要渠道，交易费用的降低、操作的便利性更是吸引了越来越多的客户通过网络来完成基金的申赎。对于广大客户来说，网上交易是否安全，如何确保自己财产不受损失，也成为大家关心的话题。

        网上交易安全风险来源

        对于金融机构来说，每当谈到网上交易系统安全的时候，人们往往首先想到的是如何预防病毒、木马，以及部署各种复杂的加密技术、身份认证技术、继而采用了诸如防火墙、IPS、IDS等各种各样的技术防范手段，而忽略了安全管理的重要性。诚然，现在网络安全技术发展很快，在很大程度上确保了交易的安全性，然而技术发展是无止境的，新的安全漏洞、病毒、木马层出不穷，近几年暴露出来的大量安全事件表明，风险事件的发生大多是由于管理疏漏造成的，因此为了最大限度的确保网上交易安全，我们既要加强技术防范，同时也要加强安全管理。

        交易安全涉及到客户自身和金融机构两端的管理，以及他们之间链路的安全技术问题。就客户端而言主要是预防病毒、木马、钓鱼网站等以确保客户信息不被窃取，链路安全主要通过加密的技术手段实现，目前已经比较成熟。对于服务器端而言，涉及范围较广，从管理角度来说需要引入全面的信息安全管理体系。

        信息安全管理体系的价值信息安全管理体系的引入，可以协调与安全相关的各个方面信息管理，从而使管理更为有效。从宏观上看，安全管理依赖于明确的安全目标，而且建立在配置管理、变更管理、时间管理、故障管理、可靠性管理等之上，而不是孤立存在的。从微观上看，要在统一的安全策略指导下，利用分布式的网络应用环境构建系统以及网络安全运营管理平台，对来自于防火墙、入侵检测系统、防病毒系统、主机及网络设备各个节点的信息和安全审计数据进行综合分析，实施有效的信息共享和综合处理，这样才能更为准确地判断各种行为的性质，提供及时有效的安全动态预警能力。基于以上方式，将不再是简单的安全设备的堆砌，而是一个全面的综合管理。

        目前国际公认的比较成熟的体系标准主要有ISO/IEC 27001及ITIL等。ISO/IEC 27001:2005标准适用于所有类型的组织，而不管组织的性质和规模如何。该新标准的特点之一是基于组织的资产风险评估。也就是说，该标准要求组织通过业务风险评估的方法，来建立、实施、运行、监视、评审、保持和改进其ISMS，确保其信息资产的保密性、可用性和完整性。ITIL即IT基础架构库(Information Technology Infrastructure Library, ITIL，信息技术基础架构库)由英国政府部门在20世纪80年代末制订，现由英国商务部OGC(Office of Government Commerce)负责管理，主要适用于IT服务管理（ITSM）。20世纪90年代后期，ITIL的思想和方法被广泛引用，并进一步发展。 ITIL v2 囊括了ISO20000 中的所有管理流程，并增加了服务台这个流程。ITIL v3 则是在v2 的基础上发展起来的，它用生命周期的概念将v2 中设计的各个管理流程有机地贯穿在了一起，以服务战略为指导，从服务设计开始，通过服务转换，直至服务运营，整个过程井然有序，同时伴随着持续服务改进，用以提高各个模块的服务水平。可以说，v3 是用一种全新的视角对ISO2000 中的管理流程进行了整合，根据各个流程的特性及所处的阶段，将它们归纳到不同的服务生命周期过程中。

        网上交易安全管理6步走

        第一步，实践表明要做好网上交易系统的安全管理，首先要制定切实可行的服务级别和安全级别（如附表一）。制定了服务及安全级别，我们所有的工作就有了明确的目标，后续工作就可以根据目标制定相符合的维护及实施方案，就可以依照目标去评估风险，随后要通过不断改进完善以消除风险达成目标。目标达成后，又可以对安全服务目录进行调整，设定更高的安全管理目标，这也是一个PDCA的往复过程。

（附表一）

        第二步，要制定好配置管理、变更管理、发布管理的相关制度及流程，确保系统版本的稳定性，减少因为版本混淆、频繁变更以及不规范发布所带来的风险隐患。特别是在发布阶段，不仅要做好功能性测试工作，还要进行全面的安全性测试，避免带入病毒、木马及产生新的安全漏洞。

        第三步，我们还要做好问题管理、事件管理、事故管理等，明确事件或是事故发生时的处理流程，制定切实可行的应急预案，当有事件发生的时候可以立即启动预案，按照既定的方法措施及时处理降低损失。同时在发现问题后要及时记录，做好知识库的建设，避免相同事件的重复发生。

        第四步，为了确保网上交易数据安全，我们还要做好权限管理、连续性管理、可靠性管理等。良好的安全策略及权限机制，可以避免数据泄露的内部安全隐患。而连续性管理、可靠性管理则要求做好备份、归档以及通过镜像等手段所带来的可靠性保障。

        第五步，我们要依照ISO20000中业务风险评估的方法，正确恰当的评估网上交易安全风险，既不要掩盖风险也不要夸大风险。我们要依据安全服务目录做好风险的识别、风险的评估工作。对确定的风险点要根据影响范围来安排优先级别，及时进行改进。

        第六步，要做好信息安全管理，我们还要加强培训并时刻保持高度的安全意识。只有不断提高安全管理的理论知识水平，学习新的管理理念和新的技术，才能够不断地改进完善我们的工作，推动安全管理工作持续进行。

        信息安全管理是针对所有 IT 安全问题的焦点，确保制定、维护和覆盖所有IT 系统和服务的信息安全政策。信息安全管理需要理解整个IT 和业务安全环境，这将使信息安全管理能够确保所有当前和未来的安全，以及业务风险都是合理的成本管理。为了达到有效的信息安全治理和管理，组织必须建立和维护信息安全管理系统，以指导全面的信息安全程序的开发和管理，从而支持业务目标。

        总结

        网上交易的安全管理不是一朝一夕的工作，需要通过长时间的积累完善，制定切实可行的制度流程才能逐步实现。我们在加强技术手段的同时，也需要管理水平的提高。两者相辅相成缺一不可。（本文由国家科技支撑计划资助，课题号：2009BAH47B04）