一级分行信息科技风险点分析及防范策略

·11随着信息技术与金融业务的深度融合，信息技术已经渗透到商业银行经营管理的各个领域。

作为商业银行重要组成部分的一级分行，其经营管理高度依赖信息技术。

信息科技风险现已成为影响一级分行业务发展的重要因素。

新《巴塞尔资本协议》将信息科技风险作为操作风险中的重点进行防控，并把信息科技风险纳入银行总体风险监管框架中，因此商业银行一级分行信息科技风险防范的重要性日益凸显。

一级分行在做好信息科技风险点分析工作的基础上，必须合理配置人力资源，构建信息科技风险监测和保障体系，规范生产运行管理过程，有效防范信息科技风险。

一、信息科技的主要风险点1.信息系统本身固有的风险信息系统软硬件本身存在着脆弱性，在这些脆弱性被触发和利用时，就会产生风险，从而对信息系统的机密性、完整性和可用性产生损害。

信息化程度越高，这种固有的风险就越大。

一级分行主要面临三个方面的风险。

(1)业务中断风险。

保障业务连续性运行是商业银行信息科技安全工作最重要的目标。

目前一级分行的信息科技系统基础建设普遍滞后于高速增长的业务，而且一级分行各级组织的信息科技风险防范意识还没有上升到应有的高度，科技系统的健壮性还远远不够，潜在着诸多风险隐患。

一旦发生软硬件故障、系统超负荷运行、网络瘫痪、病毒传播、应用系统及版本投产异常、人为不按照流程操作等现象，极易造成银行业务中断或某个交易失败。

近几年，国内银行机构因机房基础设施运行出现异常、通信线路发生中断等问题造成系统服务中断等情况时有发生。

这些软硬件故障不仅阻碍了银行业务的顺利开展，导致银行声誉受损、客户满意度下降，而且由于银行业务对信息系统的高依赖性，使其造成的不良后果被进一步放大。

(2)版本投产及管理风险。

版本投产及管理风险主要包括：投产的系统版本自身存在缺陷，投产后影响正常的生产运行；测试环境与投产环境存在一定的差异，投产版本能够在测试环境运行而不能够在正常的生产环境运行；投产版本比较多，一级分行没有专人或专门部门管理版本，大部分由技术人员根据自己分担的任务自行下载保管，一旦遗漏某个投产版本或为了解决问题需要恢复以前版本时出现缺少的问题等，都存在潜在风险。

(3)系统漏洞风险。

潜在的系统漏洞风险包括：系统运行的访问控制机制不合理，用户权限分配未做到最小授权，超级用户和一般用户的使用和管理不规范；未及时了解开放平台系统软件产品补丁清单，在新装系统时无法做到对照补丁清单进行安装，对于已安装的系统无参照补丁清单进行查漏补缺，及时升级补丁；擅自对安全域内设备的远程诊断管理端口访问等方面。

多数的网络攻击行为和网络病毒传播都是由于系统平台本身存在安全漏洞所致。

2.人的风险人是信息系统安全稳定运行的决定性因素，有了科技人员的精心维护和规范管理，信息系统才能正常运行。

正因为如此，科技人员也有可能成为信息系统最大一级分行信息科技风险点分析及防范策略中国工商银行股份有限公司甘肃省分行信息科技部 宋春燕的潜在风险。

调查表明，大多数信息系统风险事件是由于内部人员错误操作或工作失误造成的。

目前，一级分行由于科技人员数量偏少，诸多关键岗位还没有落实相互制约的管理机制，如：动力环境维护、安全审计和检查、数据管理、系统管理等关键岗位未能落实备份人员；软件开发岗和维护岗未严格分离；生产系统容量和性能未定期进行分析等。

其结果是技术人员一人兼多岗或常年固定在一个岗位工作，众多系统维护工作集于一人之身，易造成技术人员没有时间精力思考和探索信息技术应用管理工作，更没有精力组织对业务部门员工开展信息安全和应用系统功能的培训。

同时，有些岗位的A/B角制度难以真正有效落实，使制度监督和制约措施很难执行到位。

长期以往，就可能发生生产运行事故，且容易发生金融信息风险和道德风险，一定程度上给系统的安全稳定运行带来风险隐患。

3.数据安全风险(1)数据窃取。

数据窃取指数据在存储介质或传输过程中遭到窃取甚至恶意篡改，或者在测试和开发系统中使用存有生产数据的存储介质时，未按要求使用专用的处理流程对恢复后的数据进行适当的变形处理；由于权限控制不严导致无关人员接触到核心数据并导致机密数据外泄等。

一旦数据被不法分子窃取，不仅会导致客户信息资料外泄，更严重的是引发客户不满，甚至诉诸法律对簿公堂，产生不良影响，影响到企业竞争力。

(2)数据缺失。

未按转存方案进行数据转存、抽检、清理、恢复，导致存储介质过期失效，或未将操作系统文件、参数、版本、中间业务平台等相关数据的备份纳入数据管理范畴，造成某个系统出现异常后，不能在短时间内得到正常恢复，影响业务的连续性。

(3)数据丢失。

由于没有按照相关规定将数据资料及时做到异地备份，当遇到自然灾害、房屋倒塌等突发事件造成存储介质毁坏，导致存储介质中数据部分或全部丢失，从而导致银行业务完全无法开展，造成严重后果。

4.机房建设风险稳健的动力环境系统是保障信息系统安全稳定运行的基础。

目前，一级分行和二级分行中心机房正在按照总行的机房建设标准实施改造，但大多是基于原机房或办公楼的基础。

虽然机房基础设备(UPS电源、空调等)是按照标准配置，但由于受制于办公楼基础条件的限制，以及机房基础设备维护人员知识更新的滞后，可能存在一些不可预知的风险。

如电信运营商进入一级分行的通信总线是通过同一个管道进入办公大楼，一旦该管道损坏或遭到破坏，将造成全辖所有业务中断。

另外，一级分行缺少具有供配电或高低压相关专业技能，具备相应职业资格证书、特种作业操作证的操作人员，一旦出现电力系统故障，难以在短时间内解决问题。

5.安全管理风险目前，在一级分行信息科技管理体系中，信息科技部门制定了相关的制度，也设置了相关的部门、岗位和对应的人员去完成信息科技安全的日常管理(包括安全检查、防病毒、非授权软件清理等)，但对制度的建设、岗位的设置、信息分类和保护体系缺少整体风险管理概念，缺少一套完整的信息安全管理体系进行指导。

由于信息科技管理体系不够完善，因此对增加设备、人员安全管理、特色业务系统开发与维护、员工信息科技风险管理制度和流程的培训等实施目标表现得不够具体；在监控方面，也是针对某个单独的系统(UPS、网络)进行监控，缺乏统一的监控管理平台对这些设备进行统一的监控和安全事件的关联分析。

二、进一步加强信息科技风险管理的一些思考1.人力资源合理配置是加强信息科技风险管理的基础工程目前，一级分行信息科技部及其管理维护的信息系统已成为一个高度集中的信息化平台。

其主要表现是生产运行集中、信息科技风险集中、特色研发集中、全行科技管理集中。

“四个集中”产生的主要问题是技术密集、管理精细与科技人员的数量及素质不相适应。

科技人员缺口较大、素质不高已成为信息科技风险的主要风险点之一。

为此，一级分行要针对信息科技风险的实际51FINANCIAL COMPUTER OF CHINA 2009·11·11需求，制定人力资源合理配置规划方案。

(1)科学设岗，因岗定人。

根据“四个集中”的技术需求和管理需要，科学、合理地配置岗位及科技人员的数量和素质要求(年龄、学历、职称)。

(2)以人为本，岗责分明。

建立健全明确的岗位职责、人员分工和岗位制衡的管理机制，使每位科技人员都明确自己的岗位职责，包括清晰的工作流程，保障业务的连续性、管理的有效性，增强控制人员风险的实效性。

(3)加大培训力度，提高科技人员整体素质。

制定科技人员信息科技风险管理培训制度，造就一支复合型人才队伍，建立信息科技风险防范的长效机制。

(4)加强科技人员道德风险控制。

制定道德风险控制实施细则，在科技人员中树立法制意识和道德规范，减少道德领域的风险。

2.构建信息科技风险监测和保障体系是加强信息科技风险管理的主要保障商业银行信息科技风险管理的目标是通过建立有效的机制，实现对信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

为此，一级分行在对应用版本的推广、信息系统的运行、科技管理等风险识别和风险监测进行综合分析的前提下，构建信息科技风险监测和保障体系，给信息科技风险管理的事前控制建立第一道防线。

(1)构建信息科技风险目标责任管理体系，明确信息科技风险管理的责任人，指定一个特定部门或岗位负责信息科技风险管理工作；明确风险管理部门、信息科技部门以及内部审计部门在信息科技风险管理中承担的角色和职责，互相协作共同完善信息科技风险管理的架构。

(2)构建科技风险监测和预警目标管理体系。

通过技术平台对信息系统的运行状况进行全程监控。

一、二级骨干网是否畅通、网点终端和自助设备是否运行正常、应用系统是否正常服务、是否有异常交易、网络是否遭到非法入侵等必须纳入实时监控范围，以确保在第一时间发现问题和风险点。

(3)构建信息科技安全检查和督导的组织体系。

一级分行应落实信息安全管理职能，建立信息安全计划，制定相关信息安全策略和流程，管理所有生产系统的活动日志，以支持有效的审核、安全取证分析和预防欺诈。

(4)构建应对突发事件目标管理体系。

在做好总行每年安排的一次的灾难恢复应急演练的同时，制定一级分行的灾难应急预案，做好业务连续性运作计划、业务恢复方案，风险化解和转移措施，数据备份策略等多方面的工作，以保障在一级分行中心机房受到突如其来的灾难性事故面前，能从容应对，迅速恢复生产，尽可能降低事故造成的损失。

3.规范生产运行管理过程是加强信息科技风险管理的根本任务据统计，银行业大约50%的生产运行风险都是由操作原因引起的。

因此，一级分行必须规范生产运行管理的全过程，从运行管理、技术管理、项目管理、综合管理等层面，细化管理运作规程，强化过程管理，发挥现有的网管、UPS、ECC等监控平台的作用，有效地防范和化解风险，堵住漏洞，增强整体防范能力。

同时，针对信息系统的重要性和敏感程度，建立以有效身份验证为基础的管理机制，加强网络系统访问的控制和安全管理，防止金融犯罪；落实全面检查，运用安全检查的自动化技术手段，制定相关的策略和流程，管理所有生产系统活动日志，以支持有效的审核、安全取证分析和预防欺诈；强化员工的安全风险意识，真正认识到计算机病毒感染、使用非正常交易、群发与工作无关的娱乐邮件及过大邮件等问题，将会使系统压力增大，导致网络堵塞或系统瘫痪；建立信息安全保障和沟通机制，认真落实安全责任制，切实保障信息化服务体系安全、平稳、高效运行；建立完善的信息安全应急处置机制和信息通报机制，制定应急预案并进行演练，提升金融信息系统预警、应急处置和恢复能力，最大限度地降低系统技术风险，以保障信息系统稳定安全运行及各项业务的持续开展。

FCC。