導航:首頁 > 網路安全 > 金融機構必須部署網路安全計劃

金融機構必須部署網路安全計劃

發布時間:2022-07-01 23:22:25

A. 如何落實網路安全法 金融機構 銀行

中小企業在擴大就業、推動經濟增長等方面具有不可替代的作用,支持中小企業發展具有全局和戰略性的重要意義。
一要認真落實並完善對小微企業貸款的差異化金融監管政策。對符合有關條件的小企業貸款進行專項考核,提高對小企業不良貸款比率的容忍度。
二要明確將小微企業作為重點支持對象,支持專為小微企業提供服務的金融機構。要督促各類銀行切實落實國家支持中小企業特別是小微企業發展的信貸政策。完善激勵約束機制,鼓勵各類金融機構改進對小微企業的金融服務,強化銀行特別是大中型銀行的社會責任。按照新的企業劃型標准,明確銀行小微企業貸款比例和增速要求,並加強統計和最終用戶監測,確保政策落實到位。清理銀行不合理收費和保證金存款要求,查處違規行為,切實降低企業信貸資金成本。
三要加大財稅政策對小微企業的支持力度,延長相關稅收優惠政策的期限,研究進一步加大政策優惠力度。
四要切實防範金融風險。對中小企業的金融支持,要遵循市場原則,減少行政干預,降低市場風險和道德風險。要加強對民間借貸的監管,引導其陽光化、規范化發展,發揮其積極作用。大力整頓金融秩序,採取有效措施遏制高利貸化傾向,依法打擊非法集資,妥善處理企業之間擔保、企業資金鏈斷裂問題,努力做到早發現、早處置,防止風險擴散蔓延,防範區域性風險。對已經發生的風險事件,要妥善處置,保護人民群眾的合法權益,增強市場信心。

B. 銀行網路系統的幾種安全策略

摘要:隨著計算機技術和網路的迅速發展,金融機構信息化建設程度越來越高。在金融信息化帶來便利的同時,金融業的信息安全問題日益突出。由於金融這一行業的特殊性,在網路中必將涉及到一些敏感的信息,必須確保數據信息的安全保密,杜絕各種安全漏洞,網路系統的安全性應當作為重點來考慮,採用基於系統、網路、應用的各種安全策略來保證信息的安全。

C. 網路金融風險的控制網路金融風險的對策建議

我國的網路銀行必須有足夠強的安全措施,否則將會影響到金融業的可持續發展。網路安全保障是一個綜合集成的系統,它的規劃、管理要求國家有關部門和金融機構、IT界通力合作,進行科學的、強有力的干預和導向,同時還應開展國際合作,共同打擊網路金融犯罪。
(一)加快電子商務和網路銀行的立法進程。一般來說,網路系統安全問題和網路金融立法的滯後與模糊是造成法律風險的原因之一。針對目前網路金融活動中出現的問題,加快法制建設步伐,盡快出台有關網上交易和網上銀行的法律法規,降低銀行的法律風險,規范網路金融參與者的行為。電子商務立法首先要解決電子交易的合法性、如怎樣取用交易的電子證據,法律是否認可這樣的證據,以及電子貨幣、電子銀行的行為規范,跨國銀行的法律問題。其次,對電子商務的安全保密也必須有法律保障,對計算機犯罪、計算機泄密、竊取商業和金融機密等也都要有相應的法律制裁,以逐步形成有法律許可、法律保障和法律約束的電子商務環境。再次,充分運用政策手段,鼓勵網上銀行按健康的發展方向開展業務。最後,提升整個社會的信用水平,建立和完善我國的信用制度。
(二)銀監會應提高對網路銀行的監管水平。由銀監會牽頭,其他銀行參加,統一制定一套關於網上銀行業務結算、電子設備使用等的規范標准,以便實現與國際金融業的接軌;要建立一套完整的網上銀行業務審批和監管機制,結合我國國情,借鑒國外發展經驗,成立專門機構對網上銀行的設立、管理、具體業務功能的實現及硬體和軟體系統的應用等進行研究,為網上銀行的發展提供技術服務、支持和指導,並利用網路等先進計算機技術進行非現場監管;針對網路銀行的安全問題,選擇安全標准,建立安全認證體系;針對黑客程序和病毒分別著手建立一套行之有效的程序免疫體系;建立金融信息管理分析系統和金融科技風險監測、預警體系;制定有關數字化電子貨幣的發行、支付與管理的規章制度。
(三)大力發展先進的、具有自主知識產權的信息技術,建立網路安全防護體系。網路金融的安全,最終是通過網路技術的應用來實現和支撐的,其關鍵技術有防火牆技術、數據加密技術和智能卡技術等,主要是通過採取物理安全策略、訪問控制策略、構築防火牆、安全介面、數字簽名等高新網路技術來實現。從硬體方面來說,目前我國在金融電子化業務中使用的計算機、路由器等軟、硬體系統大部分由國外引進,而且信息技術相對落後;從軟體方面來說,我國目前的加密技術、密鑰管理技術及數字簽名技術都落後於網路金融發展的要求,增大了我國網路金融發展的安全風險和技術選擇風險。因此,迅速縮小在硬體設備方面與發達國家之間的差距,並開發擁有自主知識產權的信息技術,是防範減少安全風險和技術選擇風險,提高網路安全性能的根本性措施。
(四)建立大型共享型網路銀行資料庫。要保障網路銀行的資產安全,必須要解決信息不對稱以及信息透明度的問題。依靠資料庫技術儲存、管理和分析處理數據,這是現代化管理必須要完成的基礎性工作。網路銀行資料庫的設計應該採用社會化大協作的思路,以客戶為中心進行資產、負債和中間業務的科學管理,不同銀行可實行借款人信用信息共享制度,建立不良借款入的預警名單和「黑名單」制度。對有一定比例的資產控制關系、業務控制關系、人事關聯關系的企業或企業集團,通過資料庫進行歸類整理、分析、統計,統一授信的監控。
(五)建立網路金融統一的技術標准。目前我國金融系統電子化建設存在規劃不統一、商業銀行技術標准不統一、技術規范不統一、商業銀行之間使用的安全協議各不相同的問題。應制定金融業統一的技術標准。中國金融認證中心的成立為此奠定了基礎。確立統一的發展規劃和技術標准,才有利於統一監管,增強網路金融系統內的協調性,減少支付結算風險,並有利於其它風險的監測。我們要盡快熟悉和掌握國際上有關計算機網路安全的標准和規范,如掌握和應用國際ISO對銀行業務交易系統的安全體系結構等,制定一套較為完整的國際標准,以便我國網路銀行在風險防範上與國際接軌。
(六)加強對金融創新的研究、開發和利用。我國對金融創新的研究,特別是其應用目前還處於比較低的水平,許多金融衍生工具尚沒有得到利用,學術界和實務界應聯合攻關,不斷創造、設計、開發出各種新的組合金融工具,使我國金融衍生工具創新和風險控制能得以加強,以期在一定風險度內獲得最佳收益。

D. 銀行網路安全要注意哪些在線等

在線支付、賬戶信息、證券交易等等這類吧

E. 銀行業金融機構信息系統風險管理指引的主要要求是什麼

機構職責
第六條 銀行業金融機構應建立有效的信息系統風險管理架構,完善內部組織結構和工作機制,防範和控制信息系統風險。
第七條 銀行業金融機構應認真履行下列信息系統管理職責:
(一)貫徹執行國家有關信息系統管理的法律、法規和技術標准,落實銀監會相關監管要求;
(二)建立有效的信息安全保障體系和內部控制規程,明確信息系統風險管理崗位責任制度,並監督落實;
(三)負責組織對本機構信息系統風險進行檢查、評估、分析,及時向本機構專門委員會和銀監會及其派出機構報送相關的管理信息;
(四)及時向銀監會及其派出機構報告本機構發生的重大信息系統事故或突發事件,並按有關預案快速響應;
(五)每年經董事會或其他決策機構審查後向銀監會及其派出機構報送信息系統風險管理的年度報告;
(六)做好本機構信息系統審計工作;
(七)配合銀監會及其派出機構做好信息系統風險監督檢查工作,並按照監管意見進行整改;
(八)組織本機構信息系統從業人員進行信息系統有關的業務、技術和安全培訓;
(九)開展與信息系統風險管理相關的其他工作。
第八條 銀行業金融機構的董事會或其他決策機構負責信息系統的戰略規劃、重大項目和風險監督管理;信息科技管理委員會、風險管理委員會或其他負責風險監督的專業委員會應制定信息系統總體策略,統籌信息系統項目建設,定期評估、報告本機構信息系統風險狀況,為決策層提供建議,採取相應的風險控制措施。
第九條 銀行業金融機構法定代表人或主要負責人是本機構信息系統風險管理責任人。
第十條 銀行業金融機構應設立信息科技部門,統一負責本機構信息系統的規劃、研發、建設、運行、維護和監控,提供日常科技服務和運行技術支持;建立或明確專門信息系統風險管理部門,建立、健全信息系統風險管理規章、制度,並協助業務部門及信息科技部門嚴格執行,提供相關的監管信息;設立審計部門或專門審計崗位,建立健全信息系統風險審計制度,配備適量的合格人員進行信息系統風險審計。
第十一條 銀行業金融機構從事與信息系統相關工作的人員應符合以下要求:
(一)具備良好的職業道德,掌握履行信息系統相關崗位職責所需的專業知識和技能;
(二)未經崗前培訓或培訓不合格者不得上崗;經考核不適宜的工作人員,應及時進行調整。
第十二條 銀行業金融機構應加強信息系統風險管理的專業隊伍建設,建立人才激勵機制,適應信息技術的發展。
第十三條 銀行業金融機構應依據有關法律法規及時和規范地披露信息系統風險狀況。
總體風險控制
第十四條 總體風險是指信息系統在策略、制度、機房、軟體、硬體、網路、數據、文檔等方面影響全局或共有的風險。
第十五條 銀行業金融機構應根據信息系統總體規劃,制定明確、持續的風險管理策略,按照信息系統的敏感程度對各個集成要素進行分析和評估,並實施有效控制。
第十六條 銀行業金融機構應採取措施防範自然災害、運行環境變化等產生的安全威脅,防止各類突發事故和惡意攻擊。
第十七條 銀行業金融機構應建立健全信息系統相關的規章制度、技術規范、操作規程等;明確與信息系統相關人員的職責許可權,建立制約機制,實行最小授權。
第十八條 在境外設立的我國銀行業金融機構或在境內設立的境外銀行業金融機構,應防範由於境內外信息系統監管制度差異等造成的跨境風險。
第十九條 銀行業金融機構應嚴格執行國家信息安全相關標准,參照有關國際准則,積極推進信息安全標准化,實行信息安全等級保護。
第二十條 銀行業金融機構應加強對信息系統的評估和測試,及時進行修補和更新,以保證信息系統的安全性、完整性。
第二十一條 銀行業金融機構信息系統數據中心機房應符合國家有關計算機場地、環境、供配電等技術標准。全國性數據中心至少應達到國家A類機房標准,省域數據中心至少應達到國家B類機房標准,省域以下數據中心至少應達到C類機房標准。數據中心機房應實行嚴格的門禁管理措施,未經授權不得進入。
第二十二條 銀行業金融機構應重視知識產權保護,使用正版軟體,加強軟體版本管理,優先使用具有中國自主知識產權的軟、硬體產品;積極研發具有自主知識產權的信息系統和相關金融產品,並採取有效措施保護本機構信息化成果。
第二十三條 銀行業金融機構與信息系統相關的電子設備的選型、購置、登記、保養、維修、報廢等應嚴格執行相關規程,選用的設備應經過技術論證,測試性能應符合國家有關標准。信息系統所用的伺服器等關鍵設備應具有較高的可靠性、充足的容量和一定的容錯特性,並配置適當的備品備件。
第二十四條 信息系統的網路應參照相關的標准和規范設計、建設;網路設備應兼備技術先進性和產品成熟性;網路設備和線路應有冗餘備份;嚴格線路租用合同管理,按照業務和交易流量要求保證傳輸帶寬;建立完善的網管中心,監測和管理通信線路及網路設備,保障網路安全穩定運行。
第二十五條 銀行業金融機構應加強網路安全管理。生產網路與開發測試網路、業務網路與辦公網路、內部網路與外部網路應實施隔離;加強無線網、互聯網接入邊界控制;使用內容過濾、身份認證、防火牆、病毒防範、入侵檢測、漏洞掃描、數據加密等技術手段,有效降低外部攻擊、信息泄漏等風險。
第二十六條 銀行業金融機構應加強信息系統加密機、密鑰、密碼、加解密程序等安全要素的管理,使用符合國家安全標準的密碼設備,完善安全要素生成、領取、使用、修改、保管和銷毀等環節管理制度。密鑰、密碼應定期更改。
第二十七條 銀行業金融機構應加強數據採集、存貯、傳輸、使用、備份、恢復、抽檢、清理、銷毀等環節的有效管理,不得脫離系統採集加工、傳輸、存取數據;優化系統和資料庫安全設置,嚴格按授權使用系統和資料庫,採用適當的數據加密技術以保護敏感數據的傳輸和存取,保證數據的完整性、保密性。
第二十八條 銀行業金融機構應對信息系統配置參數實施嚴格的安全與保密管理,防止非法生成、變更、泄漏、丟失與破壞。根據敏感程度和用途,確定存取許可權、方式和授權使用范圍,嚴格審批和登記手續。

第二十九條 銀行業金融機構應制定信息系統應急預案,並定期演練、評審和修訂。省域以下數據中心至少實現數據備份異地保存,省域數據中心至少實現異地數據實時備份,全國性數據中心實現異地災備。
第三十條 銀行業金融機構應加強對技術文檔資料和重要數據的備份管理;技術文檔資料和重要數據應保留副本並異地存放,按規定年限保存,調用時應嚴格授權。信息系統的技術文檔資料包括:系統環境說明文件、源程序以及系統研發、運行、維護過程中形成的各類技術資料。重要數據包括:交易數據、賬務數據、客戶數據,以及產生的報表數據等。
第三十一條 銀行業金融機構在信息系統可能影響客戶服務時,應以適當方式告知客戶。
研發風險控制
第三十二條 研發風險是指信息系統在研發過程中組織、規劃、需求、分析、設計、編程、測試和投產等環節產生的風險。
第三十三條 銀行業金融機構信息系統研發前應成立項目工作小組,重大項目還應成立項目領導小組,並指定負責人。項目領導小組負責項目的組織、協調、檢查、監督工作。項目工作小組由業務人員、技術人員和管理人員組成,具體負責整個項目的開發工作。
第三十四條 項目工作小組人員應具備與項目要求相適應的業務經驗與專業技術知識,小組負責人需具備組織領導能力,保證信息系統研發質量和進度。
第三十五條 銀行業金融機構業務部門根據本機構業務發展戰略,在充分進行市場調查、產品效益分析的基礎上制定信息系統研發項目可行性報告。
第三十六條 銀行業金融機構業務部門編寫項目需求說明書,提出風險控制要求,信息科技部門根據項目需求編制項目功能說明書。
第三十七條 銀行業金融機構信息科技部門依據項目功能說明書分別編寫項目總體技術框架、項目設計說明書,設計和編碼應符合項目功能說明書的要求。
第三十八條 銀行業金融機構應建立獨立的測試環境,以保證測試的完整性和准確性。測試至少應包括功能測試、安全性測試、壓力測試、驗收測試、適應性測試。測試不得直接使用生產數據。
第三十九條 銀行業金融機構信息科技部門應根據測試結果修補系統的功能和缺陷,提高系統的整體質量。
第四十條 銀行業金融機構業務人員、技術人員應根據職責范圍分別編寫操作說明書、技術應急方案、業務連續性計劃、投產計劃、應急回退計劃,並進行演練。

第四十一條 開發過程中所涉及的各種文檔資料應經相關部門、人員的簽字確認並歸檔保存。
第四十二條 項目驗收應出具由相關負責人簽字的項目驗收報告,驗收不合格不得投產使用。
第五章運行維護風險控制
第四十三條 運行維護風險是指信息系統在運行與維護過程中操作管理、變更管理、機房管理和事件管理等環節產生的風險。
第四十四條 銀行業金融機構信息系統運行與維護應實行職責分離,運行人員應實行專職,不得由其他人員兼任。運行人員應按操作規程巡檢和操作。維護人員應按授權和維護規程要求對生產狀態的軟硬體、數據進行維護,除應急外,其他維護應在非工作時間進行。
第四十五條 銀行業金融機構信息系統的運行應符合以下要求:
(一)制定詳細的運行值班操作表,包括規定巡檢時間,操作范圍、內容、辦法、命令以及負責人員等信息;
(二)提供常見和簡便的操作菜單或命令,如信息系統的啟動或停止、運行日誌的查詢等;
(三)提供機房環境、設備使用、網路運行、系統運行等監控信息;
(四)記錄運行值班過程中所有現象、操作過程等信息。
第四十六條 銀行業金融機構信息系統的維護應符合以下要求:
(一)除對信息系統設備和系統環境的維護外,對軟體或數據的維護必須通過特定的應用程序進行,添加、刪除和修改數據應通過櫃員終端,不得對資料庫進行直接操作;
(二)具備各種詳細的日誌信息,包括交易日誌和審計日誌等,以便維護和審計;
(三)提供維護的統計和報表列印功能。
第四十七條 銀行業金融機構信息系統的變更應符合以下要求:
(一)制訂嚴密的變更處理流程,明確變更控制中各崗位的職責,並遵循流程實施控制和管理;變更前應明確應急和回退方案,無授權不得進行變更操作;
(二)根據變更需求、變更方案、變更內容核實清單等相關文檔審核變更的正確性、安全性和合法性;
(三)應採用軟體工具精確判斷變更的真實位置和內容,形成變更內容核實清單,實現真實、有效、全面的檢驗;
(四)軟體版本變更後應保留初始版本和所有歷史版本,保留所有歷史的變更內容核實清單。
第四十八條 銀行業金融機構在信息系統投產後一定時期內,應組織對系統的後評價,並根據評價及時對系統功能進行調整和優化。
第四十九條 銀行業金融機構應對機房環境設施實行日常巡檢,明確信息系統及機房環境設施出現故障時的應急處理流程和預案,有實時交易服務的數據中心應實行24小時值班。
第五十條 銀行業金融機構應實行事件報告制度,發生信息系統造成重大經濟、聲譽損失和重大影響事件,應即時上報並處理,必要時啟動應急處理預案。
外包風險控制
第五十一條 外包風險是指銀行業金融機構將信息系統的規劃、研發、建設、運行、維護、監控等委託給業務合作夥伴或外部技術供應商時形成的風險。
第五十二條 銀行業金融機構在進行信息系統外包時,應根據風險控制和實際需要,合理確定外包的原則和范圍,認真分析和評估外包存在的潛在風險,建立健全有關規章制度,制定相應的風險防範措施。
第五十三條 銀行業金融機構應建立健全外包承包方評估機制,充分審查、評估承包方的經營狀況、財務實力、誠信歷史、安全資質、技術服務能力和實際風險控制與責任承擔水平,並進行必要的盡職調查。評估工作可委託經國家相應監管部門認定資質,具有相關專業經驗的獨立機構完成。
第五十四條 銀行業金融機構應當與承包方簽訂書面合同,明確雙方的權利、義務,並規定承包方在安全、保密、知識產權方面的義務和責任。
第五十五條 銀行業金融機構應充分認識外包服務對信息系統風險控制的直接和間接影響,並將其納入總體安全策略和風險控制之中。
第五十六條 銀行業金融機構應建立完整的信息系統外包風險評估與監測程序,審慎管理外包產生的風險,提高本機構對外包管理的能力。
第五十七條 銀行業金融機構的信息系統外包風險管理應當符合風險管理標准和策略,並應建立針對外包風險的應急計劃。
第五十八條 銀行業金融機構應與外包承包方建立有效的聯絡、溝通和信息交流機制,並制定在意外情況下能夠實現承包方的順利變更,保證外包服務不間斷的應急預案。
第五十九條 銀行業金融機構將敏感的信息系統,以及其他涉及國家秘密、商業秘密和客戶隱私數據的管理與傳遞等內容進行外包時,應遵守國家有關法律法規,符合銀監會的有關規定,經過董事會或其他決策機構批准,並在實施外包前報銀監會及其派出機構和法律法規規定需要報告的機構備案。

F. 急求我國法律在對銀行網路安全的相關規定

我國對網路銀行和網上交易缺乏相應的法規。如:如何徵收與管理網上稅收、數字簽名是否具有法律效力、交易的跨國界問題、知識產權問題、電子合同問題、電子貨幣問題、電子轉賬問題。應充分利用和執行《網路銀行業務管理暫行辦法》,應充分利用《合同法》、《會計法》、《票據法》、《支付結算辦法》等法律擬訂網路銀行相關協議,制定有關業務流程和業務處理規定,應充分利用目前執行的關於網路安全方面的行政法規,如《計算機信息系統安全保護條例》、《計算機信息網路國際聯網管理暫行規定》等,充分利用中國金融認證中心在認證技術方面的權威性和第三方認證的合理性。網路銀行應注重交易數據的保管,為可能的糾紛或訴訟過程做好證據准備。
建立網路銀行法律監管體系,制定網路銀行的外部懲罰措施以及網路銀行的市場退出機制。建立網路銀行業務運營法律體系,如建立《電子銀行法》、《電子簽名法》、《電子資金劃撥法》等法律法規,同時對已有法律法規進行充實、修改。完善網路銀行配套法律法規建設,主要有稅收征管法、國際稅收法、電子商務法、刑法、訴訟法、票據法、證券法、商業銀行法、消費者權益保護法、反不正當競爭法等相關法律法規。加強與國際立法、司法實踐的交流與合作,加大打擊網上洗錢、網上盜竊等電子犯罪的力度。

G. 數據安全有哪些案例

「大數據時代,在充分挖掘和發揮大數據價值同時,解決好數據安全與個人信息保護等問題刻不容緩。」中國互聯網協會副秘書長石現升在貴陽參會時指出。

員工監守自盜數億條用戶信息

今年初,公安部破獲了一起特大竊取販賣公民個人信息案。

被竊取的用戶信息主要涉及交通、物流、醫療、社交和銀行等領域數億條,隨後這些用戶個人信息被通過各種方式在網路黑市進行販賣。警方發現,幕後主要犯罪嫌疑人是發生信息泄漏的這家公司員工。

業內數據安全專家評價稱,這起案件泄露數億條公民個人信息,其中主要問題,就在於內部數據安全管理缺陷。

國外情況也不容樂觀。2016年9月22日,全球互聯網巨頭雅虎證實,在2014年至少有5億用戶的賬戶信息被人竊取。竊取的內容涉及用戶姓名、電子郵箱、電話號碼、出生日期和部分登陸密碼。

企業數據信息泄露後,很容易被不法分子用於網路黑灰產運作牟利,內中危害輕則竊財重則取命,去年8月,山東高考生徐玉玉被電信詐騙9900元學費致死案等數據安全事件,就可見一斑。
去年7月,微軟Window10也因未遵守歐盟「安全港」法規,過度搜集用戶數據而遭到法國數據保護監管機構CNIL的發函警告。

上海社會科學院互聯網研究中心發布的《報告》指出,隨著數據資源商業價值凸顯,針對數據的攻擊、竊取、濫用和劫持等活動持續泛濫,並呈現出產業化、高科技化和跨國化等特性,對國家和數據生態治理水平,以及組織的數據安全能力都提出了全新挑戰。

當前,重要商業網站海量用戶數據是企業核心資產,也是民間黑客甚至國家級攻擊的重要對象,重點企業數據安全管理更是面臨嚴峻壓力。

企業、組織機構等如何提升自身數據安全能力?

企業機構亟待提升數據安全管理能力

「大數據安全威脅滲透在數據生產、流通和消費等大數據產業的各個環節,包括數據源、大數據加工平台和大數據分析服務等環節的各類主體都是威脅源。」上海社科院信息所主任惠志斌向記者分析稱,大數據安全事件風險成因復雜交織,既有外部攻擊,也有內部泄密,既有技術漏洞,也有管理缺陷,既有新技術新模式觸發的新風險,也有傳統安全問題的持續觸發。

5月27日,中國互聯網協會副秘書長石現升稱,互聯網日益成為經濟社會運行基礎,網路數據安全意識、能力和保護手段正面臨新挑戰。

今年6月1日即將施行的《網路安全法》針對企業機構泄露數據的相關問題,重點做了強調。法案要求各類組織應切實承擔保障數據安全的責任,即保密性、完整性和可用性。另外需保障個人對其個人信息的安全可控。

石現升介紹,實際早在2015年國務院就發布過《促進大數據發展行動綱要》,就明確要「健全大數據安全保障體系」、「強化安全支撐,提升基礎設施關鍵設備安全可靠水平」。

「目前,很多企業和機構還並不知道該如何提升自己的數據安全管理能力,也不知道依據什麼標准作為衡量。」一位業內人士分析稱,問題的症結在於國內數據安全管理尚處起步階段,很多企業機構都沒有設立數據安全評估體系,或者沒有完整的評估參考標准。

「大數據安全能力成熟度模型」已提國標申請

數博會期間,記者從「大數據安全產業實踐高峰論壇」上了解到,為解決此問題,全國信息安全標准化技術委員會等職能部門與數據安全領域的標准化專家學者和產業代表企業協同,著手制定一套用於組織機構數據安全能力的評估標准——《大數據安全能力成熟度模型》,該標準是基於阿里巴巴提出的數據安全成熟度模型(Data Security Maturity Model, DSMM)進行制訂。

阿里巴巴集團安全部總監鄭斌介紹DSMM。

作為此標准項目的牽頭起草方,阿里巴巴集團安全部總監鄭斌介紹說,該標準是阿里巴巴基於自身數據安全管理實踐經驗成果DSMM擬定初稿,旨在與同行業分享阿里經驗,提升行業整體安全能力。

「互聯網用戶的信息安全從來都不是某一家公司企業的事。」鄭斌稱,《大數據安全能力成熟度模型》的制訂還由中國電子技術標准化研究院、國家信息安全工程技術研究中心、中國信息安全測評中心、公安三所、清華大學和阿里雲計算有限公司等業內權威數據安全機構、學術單位企業等共同合作提出意見。

H. 電子銀行:網路安全如何保障

編者按:隨著銀行業的競爭加劇,「錢庄多於米鋪」的情景可能會再次重演。作為客戶關心的要點,安全性再次引起了銀行的關注。在電子銀行大行其道的今天,銀行的安全已經不能只從物理層面實施了,我們需要從機制、內部、外部等多方面加以考慮。新環境,新挑戰:銀行安全的標准升級 銀行和客戶之間最重要的合作條款是安全性。銀行的業務就是要為客戶提供一個安全可靠的環境,使他們可以把貴重資產交由銀行保管。不久前,安全意味著銀行要在其辦公場所採取一級防範禁閉,選用堡壘式的建築、配置報警設施、安排保安人員把守等。不過,近十年來,全球性數字化革命從根本上改變了銀行開展業務的方式,既為他們帶來新的商機,也為他們提出了新的挑戰。 當前,電子網路不僅構成銀行與客戶進行合作的主要環境,同時也成為銀行開展金融業務的主要管道和保存客戶資產和敏感數據的中央倉庫。銀行通過部署外聯網、內聯網和基於網際網路的其他系統,加快了運營速度,實現了相互通信,為客戶提供了史無前例的服務和便利。為了適應安全和規章條令的要求[如,美國的Gramm-Leach-Bliley法案],銀行正在著手採取各種措施來保護網路不受攻擊。 然而,金融業在不斷發展。為了進一步加強競爭優勢,銀行正在實現先進的網路應用,為客戶提供從保險合同到票據和工資發放等新的業務。而且,隨著經濟全球化的不斷發展,銀行將越來越多地在世界范圍內與客戶進行溝通,無論是使用自動櫃員機(ATM)卡的旅遊者,還是跨境劃撥資金的公司。除此之外,銀行還必須遵守國內外關於跟蹤和保護國際資金流及客戶信息的相關法令,以及保證不拒絕大宗金融交易及賠付的相關規章制度。因此,隨著銀行不斷拓展市場范圍,其網路基礎架構也將超越他們的物理地點被擴展到客戶或第三方來執行交易,或訪問保密信息所需要的任何地方。 新的保障機制:銀行安全的基礎架構 電子銀行的不斷發展增加了IT部門的壓力。他們既要保障安全性和保密性,又要設法減輕IT人員高度緊張的管理負擔。隨著銀行不斷增加物理設施來加強防範措施外,IT管理人員也必須加大他們的安全防範工作,全方位的保障網路安全。 這意味著IT管理員需要設計行之有效的驗證和授權機制,以便只允許授權用戶,包括員工、客戶和夥伴,在網上訪問授權他們訪問的特定資源。例如,通過部署防火牆,銀行能夠控制通過企業的網際網路門戶進入網路進行訪問的人員。而對於入侵者而言,門戶往往是誘人的目標。防火牆只允許合法用戶進入,入侵者和外部人員將被拒之門外。 銀行還需要其他安全機制,包括數字簽名和證書支持功能。驗證必須擴展到網路設備,特別是伺服器。例如,竊賊有可能把缺乏控制的伺服器和網路相連接,以便非法處理各種交易和轉移資金,從而給銀行造成嚴重後果。 保護內部安全:實施企業級安全政策 一旦加強了基礎架構邊緣的安全保障,銀行還必須控制網路內部可能發生的情況,對象應包括銀行員工和承包商。因為銀行的威脅既可能來自網路外部,又可能來自網路內部。如果未經授權的人員可以擅自訪問關鍵金融應用,他們就可能隨意拒絕或竄改交易,由此給銀行帶來風險。 因此,銀行需要實施企業級安全政策。這些政策能夠進行集中管理,只允許獲得授權的員工訪問規定的應用和資料庫。一旦某人進入網路,常規邊緣防火牆就不能保護金融數據,所以銀行應考慮採用先進防火牆技術,以便把防竄改安全特性嵌入到桌面系統和伺服器,只允許每個機器訪問用戶獲得授權的那部分網路資源。另外,銀行還可以部署虛擬LAN/VLAN,把網路分割成各種不同的用戶組。VLAN允許管理員組織和控制通信流,因此有利於對網路內部資源實行隔離。 傳送不容出錯:VPN+防火牆 當客戶訪問銀行外聯網查看帳戶信息或執行交易時,請求將始發於客戶的遠程地點,然後通過網際網路或其他公用網路傳至銀行網路。在無法約束的網際網路空間內,這類敏感通信容易成為窺視的目標,甚至可能被竄改。 為了保障基於網際網路和基於Web交易的保密性和完整性,銀行可以實現虛擬專用網(VPN)。就像裝甲車一樣,VPN在金融資源從銀行傳到其他位置的途中能為它們提供保駕護航作用。在遠程用戶和金融機構之間,VPN提供安全可靠的加密式端對端"隧道"。即使是最狡猾的無賴之徒,VPN的強勁安全性也能防止他們截取隧道傳輸的內容,使他們的陰謀不能得逞。VPN的創建宗旨就是要在每個遠程訪問會話期間保障其安全性,它對用戶是透明的。一般而言,具有VPN功能的防火牆和客戶計算機配置的許多操作系統都支持VPN。 在內部台式系統、伺服器和筆記本電腦內可以部署基於防竄改硬體的防火牆來加強保護,防止入侵者通過遠程訪問VPN進入銀行網路,同時嚴防在銀行非軍事區內(DMZ)從事破壞安全的活動。通常,DMZ包括允許公開訪問的Web伺服器和其它外聯網伺服器。 外包安全也要考慮:銀行安全的外部延伸 當前,銀行在保護企業的同時,又要為客戶、供應商和合作夥伴提供安全可靠的通信,這是銀行在全球連接的經濟環境中保持贏利的關鍵因素。銀行需要整體網路保護方案,而不僅僅是為其網路基礎設施增加一些零碎的安全部件。他們必須從獨立的邊緣防火牆,跨越所有的有線和無線埠,擴展到基於埠的網路登錄和安全可靠的網路管理等領域。 顯然,有效的安全性設計來源於網路本身。網路基礎架構必須具有嵌入式防火牆、驗證和VPN等安全功能。不僅設計安全的網路很重要,而且設計網路時所採用的方法同樣也重要,不能使企業的日常運營脫離正常軌道。當超負荷網路發生故障或崩潰時,將會給銀行業務造成令人可怕的後果。 要建設一種能夠提供銀行安全特性的基礎架構,就需要IT資源和技術。正是由於這個原因,越來越多的銀行對其網路安全實行外包,雖然外包網路安全能夠帶來某種好處,但這並非適用於所有情況。如果銀行考慮採用這種選擇,就應該依靠那些了解他們特定的嚴格安全要求的供應商。 銀行需要通過與可信賴的供應商建立合作夥伴關系,並以此作為安全決策要求的一部分,採取經濟有效的方式,並適應相關規章條例的要求。在一個瞬息萬變的世界,這種夥伴關系有利於金融機構應對當前和今後的所有安全問題,保證使客戶永不放棄對銀行的信任度和滿意度。
還有什麼問題,問問網路專家 3Com公司的業務專長就是為客戶提供安全可靠的網路解決方案。3Com公司的技術開發策略是建立在一種實用方法基礎之上,宗旨是把安全性擴展到整個網路的各個層面,設計原理就是要像高性能和高可用性那樣,把安全性作為網路解決方案的內在特性來對待,從而滿足客戶的需要。3Com公司認為,企業網路的安全性必須作為公司策略來加以實施。而3Com公司能夠提供性能強勁和可靠的系統,並支持幾乎所有級別的安全保護要求。
除此之外,3Com公司創建產品的先決條件就是為企業提供分層式和分布式安全解決方案,用以滿足他們的各種業務需求。如果銀行安裝了易於部署、易於管理和易於擴展的系統,就能夠減輕其IT部門的壓力,減少網路總擁有成本。

I. 公安部、中國人民銀行關於印發《金融機構計算機信息系統安全保護工作暫行規定》的通知

第一章總則第一條為加強金融機構計算機信息系統安全保護工作,保障國家財產的安全,保證金融事業的順利發展,根據《中華人民共和國中國人民銀行法》《中華人民共和國計算機信息系統安全保護條例》等有關法律、法規制定本暫行規定。第二條金融機構計算機信息系統安全保護工作實行誰主管、誰負責、預防為主、綜合治理、人員防範和技術防範相結合的原則,逐級建立安全保護責任制,加強制度建設,逐步實現科學化、規范化管理。第三條金融機構計算機信息系統安全保護工作的基本任務是:預防、打擊利用或者針對金融機構計算機信息系統進行的違法犯罪活動,預防、處理各種安全事故,提高金融機構計算機信息系統的整體安全水平,保障國家集體和個人財產的安全。第四條金融機構的主要負責人為本單位計算機信息系統安全保護工作的第一責任人。金融機構的計算機信息系統安全保護領導小組、專職部門和專(兼)職安全管理人員以及其他有關人員應當協助第一責任人組織落實有關規定。第五條金融機構應當建立同公安機關計算機管理監察部門的通報聯系制度,及時通報有關計算機信息系統案件和事故情況,協助公安機關查處與本單位有關的案件和事故。第六條公安機關計算機管理監察部門應當加強對金融機構計算機信息系統安全保護工作實施的指導和監督,及時查處金融機構計算機信息系統發生的案件和事故。第二章安全防範設施第七條本暫行規定所稱金融機構計算機信息系統安全防範設施包括計算機主機房的構築防護設施和計算機信息系統及其相關的配套設備的技術防護設施。第八條金融機構的數據處理中心計算機主機房應當符合下列基本要求:
(一)主機房在建築內應為獨立區域。
(二)主機房周圍100米內不得有危險建築,如:加油站、煤氣站等。
(三)主機房必須按照有關標准配置防火、防水、防盜設施並和當地公安機關110聯網,以便報警。
(四)對不能停機的主機房必須採用雙迴路供電,或者配置發電機、持續工作八小時以上的UPS等設施。第九條計算機設備必須有可靠接地,接地電阻不大於相應設備的技術要求,並裝置必要的防雷電設施。第十條金融機構應當在主機房、櫃面等要害部位安裝監控設備,落實值班監視制度。第十一條對不能停機的計算機信息系統,金融機構應當配置必要的備份機,以便故障時切換使用。第十二條重要的通訊控制裝置及通訊線必須要有備份。第十三條網路通訊設施要有安全技術措施。第三章安全防範管理第十四條中國人民銀行和各政策性銀行、商業銀行應當加強信息科技管理部門,並設立專職的計算機信息系統安全管理人員。第十五條縣級以上金融機構必須成立計算機信息系統安全保護領導小組,由分管領導任組長,並確定專職部門負責日常的計算機信息系統安全保護工作。領導小組名單應當報同級人民銀行計算機信息系統安全保護領導小組和公安機關計算機管理監察部門備案。其專職部門應當接受公安機關計算機管理監察部門的工作指導和監督。第十六條金融基層單位應當設立專職或者兼職計算機信息系統安全管理人員。第十七條各級金融機構應當將計算機信息系統安全防範工作納入職工的崗位責任制,並與其他工作同時進行檢查考核。定期對職工進行法制教育、安全意識教育和防範技能訓練。第十八條計算機信息系統安全保護領導小組負責本單位內各部門計算機信息系統安全管理和檢查,並積極配合和支持公安機關計算機管理監察部門開展安全監察和查處案件。第十九條計算機信息系統安全保護專職部門或者安全管理人員應當對本單位的主要計算機信息系統資源配置、技術人員構成進行登記,報同級公安機關計算機管理監察部門備案。第二十條金融機構應當加強主要崗位工作人員的錄用、考核制度,不適宜的人員必須及時調離。對重要崗位計算機信息系統的安全情況經常進行檢查,及時整改不安全隱患。第二十一條計算機工作人員調離時,必須移交全部技術手冊及有關資料,並更換計算機的有關口令和密鑰。涉及銀行業務核心部分開發的技術人員調離本系統時,應當確認對本系統安全不會造成危害後方可調離。第二十二條金融機構應當對與計算機有關的衛星天線、電源介面、通信介面等設備進行定期檢查維護。

J. 金融機構需要哪些網路安全產品

金融機構需要具備網路安全產品。
1、數據中心:高端設施(如防火牆);
2、信息系統:伺服器/存儲,包括各類操作系統,開發工具以及應用軟體等
3、雲計算服務:虛擬化和雲平台

閱讀全文

與金融機構必須部署網路安全計劃相關的資料

熱點內容
openstack怎麼設置網路 瀏覽:500
上海陶蕊網路是什麼 瀏覽:702
網路誠信什麼意思 瀏覽:552
網路機頂盒是連接哪個位置 瀏覽:890
電信寬頻網路盒子哪個好 瀏覽:118
哪個運營商網路信號要好些 瀏覽:242
益陽網路安全技能 瀏覽:176
為什麼手機的網路不可用啊 瀏覽:794
教育部網路安全攻防演練 瀏覽:911
蘋果手機騰訊新聞鏈接不了網路 瀏覽:519
蘋果設備能互傳應用不用網路 瀏覽:801
淺城網路是什麼軟體 瀏覽:831
計算機網路通信復習題答案 瀏覽:222
阿巴丁手錶網路哪裡開 瀏覽:869
網路界面翻譯軟體 瀏覽:47
醫院安全網路信息庫包括哪些 瀏覽:849
網路監督舉報機制不健全如何整改 瀏覽:164
如何找到網路機頂盒的wifi密碼 瀏覽:368
雙代號網路圖製作軟體 瀏覽:472
下載中國網路紅視頻軟體 瀏覽:726