完善信息安全管理机制防范银行信息科技风险——访中国工商银行信息科技部总经理林晓轩

完善信息安全管理机制防范银行信息科技风险——访中国工商银行信息科技部总经理林晓轩本刊记者程卫李勇近年来，信息化建设在促进金融业提高服务水平、优化业务流程、变革组织架构、提升核心竞争力等方面发挥了重要作用。信息化水平领先的金融企业在应对经济全球化挑战方面具有显著优势。然而，随着信息技术与金融业务的深度融合，金融机构信息安全的重要性日益突出。目前，国内金融企业信息化亟待解决的问题之一是，要加强信息系统的风险管理，确保北京奥运期间业务的连续性。各家金融机构需要根据自身的情况，在完善管理模式、更新观念、提高素质和应急预案的制定、演练等方面做好充分的准备，并对业务流程、组织机构、管理制度等进行合理的调整和优化，以适应金融业务快速发展和树立国际化企业品牌的需要。为此，中１０中国金融电脑２００８・５国工商银行信息科技部林晓轩总经理在接受本刊记者专访时，分析了中国工商银行（以下简称“工行”）信息安全工作所面临的挑战，深入探讨了信息安全策略的新思路和完善应急机制的新举措。记者：随着金融业务的快速发展和信息化建设的深入，信息安全问题已成为金融业关注的焦点。请您介绍一下工行信息安全工作的情况？林晓轩：当前，社会上对银行信息安全的认识有一个误区，即将信息安全等同于信息系统运行（生产运行）的安全，信息安全工作就是保障生产运行不间断和业务连续性。这在一定程度上体现了社会各界对信息系统安全运行这项工作的重视。但是，除了生产运行管理

　万方数据以外，银行信息安全工作还应包括软件开发与测试过程管理、信息系统架构管理和信息数据管理等方面。生产运行安全是信息安全工作中最重要的组成部分。早在２００２年，工商银行的姜建清董事长就强调指出，要求全行各级信息科技部门把７０％以上的精力放在生产运行管理方面。这充分说明了总行高层领导对信息安全的重视，尤其是对生产运行管理的高度重视。近几年来，由于总行信息科技部与数据中心、软件开发中心的密切配合，使信息系统的可用性得到不断提升。自２００５年以来，工行信息系统的可用性保持在９９．９５％以上（剔除计划性停机因素）。相对于工行如此庞大而复杂的信息系统而言，这一成绩的取得已经十分不容易了。近几年来，我们主要在以下几方面开展了信息安全工作。第一，不断完善信息系统的基础设施建设。在数据大集中的基础上，２００５年工行率先完成了异地灾难备份中心的工程建设。自２００５年以来，我们每年都实实在在地组织进行了全行参加的数据中心系统灾备演练，模拟在上海的生产中心发生灾难或信息系统长时间无法得到恢复的情况下，将全行核心业务切换到北京的灾备中心进行处理。２００７年６月，工行又完成了生产中心主机存储系统的同城灾难备份建设。至此，工行建立了可操作的远程灾难备份系统和同城备份系统。在去年组织进行的灾备演练中，我们成功地实施了同城和远程的灾难恢复演练。在我们实施数据大集中的同时，我们也在推进对数据中心主机系统、网络设备和各项应用的集中监控系统平台建设，已建立了问题管理、变更管理等流程管理信息平台。第二，坚持强化生产运行的管理。对于现代商业银行而言，科技水平的领先不取决于数据中心的规模和硬件设施的先进，关键在于管理是否到位。为此，我们在信息系统的生产运行管理上做了大量的工作。首先，建立健全各项制度和规范。从２００１年底开始，工行针对信息系统生产运行工作涉及的领域制定了一套完整的生产运行管理制度，并努力推行实施，认真地考核各级科技部门的制度执行情况。我们在实施的过特别策划・－专＇ｉ／ｉ圆程中，注意收集各方面的意见反馈，每年底坚持集中修订一次。去年底，我们完成了最新的一次集中制度修订，并在今年１月中旬下发全行，对新制度的培训工作也已于３月初完成。截至Ｂ前，我行已经形成了包括２５项管理办法、５９项实施细则和几十项管理手册的一套比较完整的总、分行科技管理制度。近几年来，我们还从主机到开放平台，针对系统、网络、应用、安全等领域，先后制定了将近７０项的技术规范。这些制度和规范适合我行实际，对规范全行科技管理工作起到了重要的基础作用。其次，强化生产运行的日常管理。严格执行制度和规范是生产运行日常管理的重要内容，我们十分强调对数据中心的生产运行日常管理，要求数据中心的管理和技术人员将全部精力投入到生产运行管理上，特别是加强对生产系统的性能、容量的日常管理。结合人民银行，银监会等监管部门对信息系统实施等级保护的要求，我们对全行的各信息系统安全等级进行了划分，并要求对不同安全等级的信息系统分别采取不同强度的管理和应急措施，关注对日常生产中出现问题的分析、解决的跟踪管理。我们在总行层面建立了生产运行例会制度，通过每天的生产运行例会和每周的小结例会来加强总行科技开发，测试和生产运行部门之间的信息沟通，分析和跟踪当前全行生产运行的情况以及存在问题，协调相关资源，督促问题的整改落实。再次，通过信息系统的内部和外部安全检查，不断提升生产运行的稳定性。总行信息科技部每年一般会组织两次面向总行各数据中心、软件开发中心和部分分行的交叉检查。但是，我们更加强调各数据中心和分行自身内部的合规检查和日常工作抽查，强调发挥数据中心内部安全部门的作用，使之根据各信息系统不同的安全等级和重要性程度，对数据中心内部在执行性能容量管理，用户权限管理、问题管理、变更管理等方面的执行情况进行定期抽查，等级越高、越重要的系统抽查强度越大，借此发现可能存在的风险隐患。同时，我们每年都要接受多次外部对工行信息系统风险管理方面的审

ＦＩＮＡＮＣＩＡＬＣＯＭＰＵＴＥＲＯＦＣＨＩＮＡ２００８・５１１　万方数据圆特别策划・专访计，我行内部审计部门每年也会组织多次针对信息系统风险管理某一领域的专项审计。一直以来，我们都以积极、开放的态度主动配合内部、外部的审计工作，认真对待各审计机构的审计发现，对于存在的问题积极组织整改。这些审计机构在帮助我们及时消除可能存在的风险隐患、不断改进科技风险管理方法上起到了重要的作用。这里还需要说明一点，任何制度、规范和技术平台的完善最后都还是需要依靠人。前面我已经说过，我行的高层领导十分重视信息系统安全运行工作，在资金和人员队伍建设上舍得投入。我们最早就是在生产运行领域开始引进外部管理和技术团队，并派出我们的管理和技术人员到国外大型数据中心进行较长时间地学习和工作。我们的目标就是努力建立专业化的数据中心管理团队和技术团队。第三，完善软件开发和测试过程的风险管理。软件开发和测试过程管理的目的是为生产环境提交合格可靠的产品，既要满足业务部门的功能需求，还要保证产品的性能和质量经得起生产环境的压力考验。为加强对应用软件的质量管理，工行组建了独立的软件测试队伍，按照专业方法、应用技术工具对软件的质量进行测试。从软件开发、测试到生产运行，我们逐步建立了一套衡量软件版本开发测试和生产质量的量化评价指标。这项工作已逐步走上健康发展的轨道，为保障工行日益复杂庞大的信息系统的稳定起到了重要的作用。第四，确保工行业务数据和客户信息的安全。这项工作目前已经受到各方面的重视，我们按照监管部门的要求，从系统开发到生产运行，逐步完善对信息访问的安全控制、对研发和测试环境使用的业务数据的安全管理，建立了网络安全防护、防止病毒入侵和系统漏洞等管理和工作机制。在我行内部员工的用户端信息安全管理上，我们正在部署一系列的技术产品，加强对重要信息访问的安全管理，实现对用户端信息的下载、打印、转发等过程的可跟踪管理。此外。为了积极应对日益增强的内外部网络技术攻击，避免可能造成的资金和信１２中国金融电脑２００８・５誉损失，我们建立了专门的信息安全防护小组，主动跟踪、研究我行和社会同业发生的各类信息安全事件，研究应急应对措施，及时发现我行信息系统可能存在的安全漏洞，并提出对策。记者：去年以来，国内几家比较先进的金融机构先后发生了ＩＴ风险事件。请您谈一下如何正确认识ＩＴ风险管理？林晓轩：对于信息系统风险管理的认识是一个循

序渐进的过程。虽然一直以来工行上下都很重视信息系统的风险管理，制定和实施了一系列的制度来保障生产运行的安全，但是无法绝对保证信息系统不发生运行故障。去年以来，包括工行在内的几家商业银行都发生了一些生产事件。事件发生后，我行组织数据中心、软件开发中心一起进行了严肃认真的整改。去年发生的生产事件的技术原因很复杂，在外部业务量快速增长的情况下，引发了我们使用的主机系统和应用软件上的问题。信息系统风险管理的主要工作是防止生产事件的发生，正如前面所讲的，虽然我们做了很多工作，但是谁也无法保证不发生生产事件，关键是在发生生产事件之后，我们的应急预案在哪里？这些应急预案是否合理？相关人员是否掌握？应急预案的启动条件和人员职责是否明确？等等一系列问题都暴露出来了。对这些问题，我们不能回避，只能认真总结，并组织各级管理人员、技术人员在思想上和行动上进行整改。因此，在去年的生产事件发生后，我们在各方面查找问题、提出了将近６０项整改措施。当然，信息系统发生了生产事件后，我们科技部门首先要尽快恢复生产。其次，业务部门也要组织启动业务应急预案，包括通过营业网点和社会媒体向客户做好解释说明。在生产恢复期间，我们要主动与业务部门保持密切的信息沟通。记者：为了保障北京奥运期间信息系统的安全运行。工行做了哪些部署？林晓轩：今年年初以来，人民银行、银监会等上级主管和监管部门陆续下发通知和召开会议，（下转第１５页）

　万方数据全保障，数字证书是ＰＫＩ的核心元素，是一个权威的电子文档，是公钥的载体。公钥必须对应一个唯一的私钥，用私钥加密的文件可用公钥解密，用作数字签名，用公钥加密的文件可用私钥解密，用作通信。ＰＫＩ证书机制利用ＣＡ公钥，可以实现单向或双向认证。银行通过服务器验证用户的真实身份，用户也可以借此检查银行证书的有效性，从而验证登录的网站是否是自己的真实开户行。由于能很好地解决网上支付各方身份的真实性、交易数据的保密和完整性、交易的不可抵赖性，因而，数字证书机制能有效防范假网站，杜绝“网上钓鱼”，成为目前网上银行、电子支付和电子商务中安全交易的保证，也是国内外较为安全的网上交易安全解决方案。需要引起注意的是，有些银行自己向用户发放数字证书，提供认证服务，但根据《电子签名法》、（（电子特别策划・专题圆认证服务管理办法》，必须由依法设立的第三方安全认证机构（经国家主管部门批准，为网上交易双方提供安全认证服务，处于交易双方之外，不涉及交易双方的利益）提供认证服务。暂且抛开合法性不谈，商业银行自发证书缺乏公信力和权威性，一旦出现纠纷，银行无法证明自己无过错，这样就必须承担赔偿责任。而由合法的第三方安全认证机构发放证书，当客户和银行出现纠纷时，第三方安全认证机构会提供证据。ＣＦＣＡ就是由中国人民银行牵头、组织全国各商业银行建立的金融行业第三方安全认证机构。目前，我国境内绝大部分网上银行都已纳入１统一的金融安全认证体系”。随着法律，法规、政策环境的完善，以及银行自身依法合规经营意识的增强，“统一的金融安全认证体系”建设的步伐正在不断加快，将逐步实现客户。一证在手，跨行通用”。圆