中小商业银行信息安全标准体系构架思路.doc

中小商业银行信息安全体系构架思绪
-03-24CBSi中国·PC类型: 转载起源: 睿商在线

中小银行所面临信息安全风险

大多数中小商业银行网络系统是于近几年计划建设实施生产、办公、通信综合系统网络。伴随银行业务范围不停扩展，业务应用不停深入，IT 需求不停增加，网络系统逐步显现出可管理性差、攻击防护设备老化等安全隐患，监管部门也进行了信息安全风险相关提醒。为此，结合呼和浩特市商业银行现实状况，谈一谈中小商业银行信息安全体系建设思绪。
一、中小银行所面临信息安全风险
伴随计算机技术和通讯技术飞速发展，网络正逐步改变着大家工作方法和生活方法。伴随网络技术在金融行业全方面应用，大大提升了金融行业业务处理效率和管理水平，促成了各项创新金融业务开展，改善了整个金融行业经营环境，增强了金融信息可靠性，使金融服务于社会手段更趋现代化。不过，同其它任何行业一样，网络安全风险伴伴随网络技术在金融行业全方面应用而全方面笼罩在金融行业每个业务角落。
金融行业IT 系统因为包含信息敏感性自然会成为内部和外部黑客攻击目标，面临网络安全风险叙述以下八类：
1、非法访问：现有网络设备本身含有一定访问控制能力，而这些访问控制强度较弱，攻击者能够在任一终端利用现有大量攻击工具提议攻击；其次金融行业（如银行）开发很多增值业务、代理业务，存在大量和外界互连接口，外部网络可能会经过这些接口攻击银行，造成巨大损失。
2、失密和窃密：利用搭线窃听窃收，使用协议分析仪器窃收计算机系统操作密码，破解系统关键密码，窃取用户帐号、密码等；或利用间谍软件取得敏感金融信息。
3、信息篡改：利用信息篡改攻击手段，非授权改变金融交易传输过程、存放过程中信息。
4、内部人员破坏：内部人员熟悉金融行业网络系统应用业务和微弱步骤，能够比较轻易地篡改系统数据、泄露信息和破坏系统软硬件。
5、黑客入侵：利用黑客技术非法侵入金融行业网络系统，调阅多种资料，篡改她人资料，破坏系统运行，或进行有目标金融犯罪活动。
6、假冒和伪造：假冒和伪造是金融行业网络系统中常常遇见攻击手段。如伪造各类业务信息，未授权篡改数据，改变业务信息流次序、时序、流向，破坏金融信息完整性，假冒正当用户实施金融欺诈等。
7、蠕虫、病毒泛滥：蠕虫、病毒泛滥可能造成金融行业关键信息遭到损坏，或造成金融行业网络系统瘫痪。
8、拒绝服务：拒绝服务攻击使金融行业电子商务网站无法为用户提供正常服务，造成经济损失，同时也使行业形象受到损害。
二、中小银行信息安全体系建设目标
依据上述中小银行所面临信息安全风险，我认为中小银行信息安全体系建设目标是经过建立完善信息安全管理制度和智能、深度安全防御技术手段，构建一个管理手段和技术手段相结合全方位、多层次、可动态发展纵深安全防范体系，来实现信息系统可靠性、保密性、完整性、有效性、不可否认性，为金融业务发展提供一个坚实信息系统基础保障。信息安全防范体系覆盖范围是整个信息系统。
中小银行信息安全建设关键工作内容有：
1、建立银行信息安全管理组织架构，专门负责信息系统安全管理和监督。
2、制订金融安全策略和安全管理制度。安全管理部门结合银行信息系统实际情况，制订合理安全策略，对信息资源进行安全分级，划分不一样安全等级安全域，进行不相同级保护。制订并实施多种安全制度和应急恢复方案，确保信息系统安全运行。这些包含：密码管理制度、数据加密规范、身份认证规范、区域划分标准及访问控制策略、病毒防范制度、安全监控制度、安全审计制度、应急反应机制、安全系统升级制度等。
3、设计并实施技术手段，技术手段要包含外网边界防护、内网区域划分和访问控制、端点准入、内网监控和管理、移动办公接入、拨号安全控制、病毒防范、安全审计、漏洞扫描和补丁管理等很多方面安全方法。
4、建立安全运维管理中心，集中监控安全系统运行情况，集中处理多种安全事件；统一制订安全系统升级策略，并立即对安全系统进行升级，以确保提升安全体系防护能力。

三、中小银行信息安全现实状况及需求分析
下面以呼和浩特市商业银行网络及应用现实状况，分析在不一样层次安全需求，大部分中小银行含有共性。
(一) 网络层
为确保网络数据传输可靠性和安全性，网络层存在安全风险关键包含以下多个方面：
1、 网络结构和网络数据流通模式风险：
现相关键网络结构为星形、树形、环形和网状，伴随网络节点间连接密度增加，整个网络提供线路冗余能力也会增加，提供网络数据流动模式会更灵活，整个网络可靠性和可用性也会大大增加。呼和浩特市商业银行现有网络结构，能够满足数据流动模式需求，为了确保网络系统可靠性，能够采取有效可行方法是加强网络设备和线路备份方法实施。
2、 网络设备安全有效配置风险：
网络设备是网络数据传输关键，是整个网络基础设施，多种网络设备本身安全和可靠性和这些设备上应用策略安全全部需要进行合理配置才能够确保。
3、 来自不一样安全域访问控制风险：
网络结构越来越复杂，接入网络用户也越来越多，必需能够在不一样网络区域之间采取一定控制方法，有效控制不一样网络区域之间网络通信，以此来控制网络元素间互访能力，避免网络滥用，同时实现安全风险有效隔离，把安全风险隔离在相对比较独立和比较小网络区域。
4、网络攻击行为检测和防范风险：
基于网络协议缺点，尤其是TCP/IP 协议开放特征，带来了很大安全风险，常见IP 地址窃取、IP 地址假冒，网络端口扫描和危害很大拒绝服务攻击（DOS、DDOS）等，必需能够对这些攻击行为进行有效深度防御。
5、网络数据传输机密性和完整性风险：
网络数据在传输过程中，很可能被经过多种方法窃取，所以确保数据在传输过程中机密性（确保数据传输信息不被第三方取得），完整性（确保数据在传输过程中不被人修改）是很关键，尤其是在传输信息价值不停提升情况下。
二)用户层
1、用户操作系统平台安全漏洞风险：
大部分网络攻击行为和网络病毒传输全部是因为操作系统平台本身存在安全漏洞，微软不停公布系统补丁即是明证，所以必需有效避免系统漏洞造成安全风险，同时对操作系统安全机制进行合理配置。
2、用户主机遭受网络病毒攻击风险：
网络给病毒传输提供了很好路径，网络病毒传输速度之快、危害之大是令人吃惊，尤其是流行部分蠕虫病毒，更是防不胜防，所以必需建设全方面网络防病毒系统，层层设防，逐层把关，堵住病毒传输多种可能路径。
3、针对用户主机网络攻击安全风险：
现在Internet 上有多种完善网络攻击工具，在局域网环境下，这种攻击会愈加有效，针正确目标会愈加明确，据统计，有97％攻击是来自内部攻击，而且内部攻击成功概率要远远高于来自于Internet 攻击，造成后果也严重多。
4、用户网络访问行为有效控制风险：
首先需要对用户接入网络能力进行控制，同时需要更细粒度访问控制，尤其是对Internet 资源访问控制，比如应该能够控制内部用户访问Internet 什么网站。在此基础之上，必需能够进行缜密行为审计管理。
(三)业务层
1、服务器及数据存放系统可用性风险：
业务系统可靠性和可用性是网络安全一个很关键特征，必需确保业务系统硬件平台（关键是大量服务器）和数据硬件平台（关键是存放系统）可靠性。
2、操作系统和网络服务平台安全风险：
经过对多种流行网络攻击行为分析，能够发觉绝大多数攻击是利用多种操作系统和部分网络服务平台存在部分已公开安全漏洞提议，所以，杜绝多种操作系统和网络服务平台已公开安全漏洞，能够在很大程度上防范系统攻击发生。
3、用户身份认证及资源访问权限控制：
因为网络中各个应用系统上有很多信息是提供给不一样权限用户查阅，不一样等级、不一样部门、不一样人员能够访问资源全部不一样，所以需要严格区分用户身份，设置合理访问权限，确保信息能够在被有效控制下共享。
4、用户对业务访问有效统计和审计：
业务系统必需能够对用户多种访问行为进行具体统计，方便进行事后查证。
四、中小银行信息安全体系建设思绪
金融系统网络应用比较复杂，对安全要求也很高，依据中小银行所面临风险和上述安全现实状况和需求，在信息安全体系建设过程中应该关注以下多个方面。
第一、进行网络安全区域设计
网络安全区域设计是网络安全建设基础，其它网络安全建设方法全部全部是基于这个基础设计展开。当然要依据银行实际情况进行划分，比如依据呼和浩特市商业银行网络和应用现实状况，能够进行以下安全区域划分：
数据中心区：由呼和浩特市商业银行生产服务群组成，是呼和浩特市商业银行一切生产活动基础。这个区域安全性要求最高，对业务连续性要求也最高。要求不能随便进行任何可能影响业务操作，包含为服务器打补丁，管理起来也最为复杂。
外联边界区：和外联单位进行中间业务服务器组成安全区域。和外联单位通常采取专线连接，因为业务含有一定保护手段，对业务连续性要求不如数据中心区。
外联服务区：开展对外服务服务器所在安全区域。因为直接和公网连接，同时又是比较敏感金融业务，所以安全性要求很高，对业务连续性要求也较高。同时也最轻易遭受包含DoS/DDoS 攻击在内来自互联网威胁。
内网办公区：办公服务器所在安全区域，关键用于内部OA 系统等应用。对安全要求较前面讲各个安全区域低，业务连续性要求也相对较低。多采取Windows 服务器，比较轻易遭受病毒等威胁影响。
网络管理区：网管业务开展区域，由网管类服务器和网管工作站组成。封闭性较强，这个区域安全是否直接关系到网络稳定运行，一些方面要求可能还要高于内网办公区。
分支机构区：全部分支机构共同组成安全区域，通常采取专线接入数据中心。对数据中心来说这个区域属于外网，通常是另外单独考虑这个区域内各个节点安全。
第二、以安全为关键计划网络
现有网络大多是以连通性作为中心进行设计，而极少考虑安全性。比如最经典网络三层架构模型（关键层、汇聚层、接入层架构）中，网络是向关键层集中而并没有考虑同一层不一样节点之间安全隔离问题。而在网络安全改造中首先需要改变就是将以连通性为中心设计思绪转变为以安全为中心设计思绪。并根据以安全为关键设计思绪要求对网络进行重新设计，这就好比要有好网络贴身保镖。
第三、用防火墙隔离各安全区域
防火墙作为不一样网络或网络安全域之间信息出入口，能依据安全策略控制出入网络信息流，且本身含有较强抗攻击能力。它是提供信息安全服务，实现网络和信息安全基础设施。

第四、对关键路径进行深度检测防护
深度检测防御是为了检测计算机网络中违反安全策略行为。通常认为违反安全策略行为有入侵和滥用，深度检测防御能够识别出任何不期望有活动，从而限制这些活动，以保护系统安全。深度检测防御应用目标是在入侵攻击对系统发生危害前，检测到入侵攻击，并利用报警和防护系统驱逐入侵攻击。在入侵攻击过程中，能降低入侵攻击所造成损失。
第五、对终端进行安全访问控制
现在，针对病毒、蠕虫防御体系还是以孤立单点防御为主，并不能有效应对病毒和蠕虫威胁，关键表现在被动防御、单点防御、分散管理。只有从用户接入终端进行安全控制，才能够从源头上防御威胁，而分散管理安全体系无法根本处理病毒和操作系统漏洞带来网络安全威胁，只有集中管理、强制终端用户实施，才能够起到统一策略、全局防范效果。
第六、全网布署防病毒系统
在全部计算机安全威胁中，计算机病毒是最为严重，它发生频率高、损失大、潜伏性强、覆盖面广。因为Internet 技术及信息技术普及和发展，病毒传染速度越来越快。在银行内部办公系统、协同系统使用，使得病毒在银行内部传染速度加紧，各个职员在共享信息同时，有可能共享病毒。所以全网布署防病毒系统就显得很关键。
第七、依据实际需要布署其它安全系统
以上安全系统布署基础能够涵盖通常性网络安全需求，不过很多特殊应用也需要尤其应用保护系统。比如：移动办公VPN 系统、补丁管理系统、反垃圾邮件系统、漏洞扫描工具、网络流量监测和审计等等。
第八、建立科学安全管理机制
前面七个方面是从技术手段上考虑思绪，而信息安全体系建设必需管理、技术两手抓。从管理方面考虑，首先要提升意识，时时刻刻含有防微杜渐意识；其次要完善制度，“三份技术七分管理”，完善信息安全管理制度是IT 系统安全基础确保。因为本身能力制约，中小银行能够考虑聘用第三方教授和银行相关人员组成联合小组，借鉴相关企业管理经验，进行信息安全咨询服务，共同制订银行信息安全管理制度；同时信息安全建设并不是一蹴而就建设完成，是分步实施、循序渐进过程，应该定时进行相关安全评定，为不一样阶段信息安全建设提供参考。