突破信息安全的瓶頸

劉琦琳

網絡的發展極大的增加了銀行信息系統的不安全因素。如何從內部和外部提升銀行信息系統的安全性，如何在擴展業務的同時將安全的服務放到同等重要位置上，是銀行亟待解決的問題。

不得不承認，如果沒有包括互聯網在內的網絡系統，就沒有如今豐富而便捷的各種銀行服務，同時，也就沒有“常換常新”、防不勝防的各種使銀行和用戶遭受信息安全威脅的各種手段。網絡提升了銀行的服務，便利人們的生活，也在一定程度上抹平了銀行的區域差異，不過帶來的信息安全問題成為目前銀行系統的重要問題，并將在未來銀行發展中扮演強烈的制約因素。

提到銀行的信息安全問題，我們最容易想到的便是面向用戶的帳戶信息安全問題。除此之外，銀行本身的信息系統也是金融信息安全的重要方面，并且更多時候，后者的安全性提升對銀行的激勵作用更加明顯，也對銀行的業務質量有直接的影響。如何解決這些信息安全的瓶頸，需要技術，需要管理，需要監管，也需要責任心。

用“麻煩”換安全

看看來自第三方支付機構支付寶的數據就可了解，目前，網銀的使用增長兇猛。截至2008年8月28日，使用支付寶的用戶已經超過1億，支付寶日交易總額超過4.5億元人民幣。而支付寶一類的第三方機構還只是網銀使用的一部分，可見整個網絡銀行使用的廣泛程度。

與此相對的，3月19日，金山毒霸云安全中心監測到今年全國遭遇木馬攻擊的計算機累計超過3800萬臺／次，其中專門針對網銀的木馬暴漲近10倍。銀行卡密碼被破解，甚至出現在卡未被盜的情況下卡中余額被取走或信用卡被透支，這些現象的出現使得網絡銀行的安全性不斷被質疑：網銀還能用嗎?

“很不幸，現在的網絡世界中，黑名單比白名單還要長，所以用戶保持警惕是非常重要的。”賽門鐵克中國安全技術與響應中心經理白帆透露，僅僅美國的惡意軟件產業每年收入超過1000億美元，豐厚的地下利潤促使惡意軟件的更新更加系統和頻繁。賽門鐵克中國安全技術與響應中心曾檢測到兩家國內大型商業銀行網站被掛馬，因此個人用戶最好為自己的網銀賬戶設置額度限制，比如超過100元的資金轉賬要短信提醒；另外，白帆建議用戶設置強密碼策略，“像123456這樣的簡易密碼，一秒鐘就能被密碼生成器猜出來了；盡量將娛樂和工作分開，要玩游戲、上QQ就用家里的電腦。”

與柜臺交易、ATM交易不同，網絡銀行的安全問題更多的是用戶使用環境帶來的，如存在于用戶電腦上的木馬、蠕蟲病毒等。對以網絡銀行為代表的信息安全問題，很多從事數據安全的廠商的觀點認為，用“麻煩”換安全是處于交易弱勢的個人用戶最實際的解決方法。

金山毒霸高級副總裁葛珂在接受本刊記者采訪時給出了三條對策：一是盡量使用銀行提供的專業解決方案，比如加裝專業版防盜號功能控件，二是使用正版殺毒軟件；三是盡量不上可疑網站。

同時，“遠端”的銀行也并不是對網銀安全問題愛莫能助：從事數字安全領域金雅拓認為，金融機構需引進強有力身份鑒別解決方案以確保客戶信息安全以及在線業務的成功。許多亞洲國家，包括馬來西亞，新加坡以及印度尼西亞都正在或者已經完成了磁條信用卡(很多時候，信用卡等安全事故的發生正是由于磁條卡的強可復制性)向EMV信用卡的遷移。除了能夠防御欺詐的優勢外，安全性更強的EMV信用卡使得銀行和用戶更加安心，并有助于諸如網上銀行以及在線購買等：無卡交易(Card not present)的推廣。這也是亞洲的一些銀行防止欺詐以及減少安全漏洞的方法。

不只是技術的事

銀行的信息系統安全涉及有硬件系統、軟件以及網絡的問題。目前來看，硬件系統方面，銀行要選擇適合自己的服務器硬件系統，充分利用服務器系統的可擴展性，軟件方面，要加強銀行災備系統的建設，而對于網絡的帶寬問題而造成的堵塞等，“可以應對的辦法是劃分應用的優先級，保證關鍵業務應用的可持續性，再有就是配置好網絡的負載均衡。如果是網絡攻擊所導致，就應該做好防火墻、防病毒等安全措施”。

但是，就銀行自身來說，提升系統的安全性不能將其理解為技術的不斷升級就能帶來安全的不斷提升。我們認為，在信息安全尤其是銀行自身的信息系統方面，除了技術，還有重要的因素制約信息的安全性：管理、監管甚至責任心。

在與IBM等解決方案提供商的溝通中，記者了解到，改革開放三十年來尤其是近十年來中國銀行系統的發展，已經讓很多國內的大型商業銀行具備了世界一流的系統，這些銀行試圖再實現技術升級、向國外學習時，甚至“找不到例子”。在這種情況下，管理的改進或說與先進技術匹配的管理模式的貫徹和實行，才能較大幅度的提高銀行效率、增進安全性。而目前多數商業銀行關于信息安全的管理現狀是：安全工作局限與個別部門或崗位，沒有在管理架構上覆蓋全面的安全保障體系。

德勤會計事務所在2007年的全球金融信息安全調查中發現，“在安全破壞上，人(包括雇員)仍然是最薄弱的環節”，銀行在對信息安全問題上態度自相矛盾：“一方面，董事會及高管已意識到解決安全問題迫在眉睫，另一方面，他們卻并不認為這些問題‘屬于他們，反而認為‘實施解決方案是信息技術人員的事”。

拋開銀行不論，有專家認為，在銀行信息安全方面，還缺少一個在銀行之外之上的監管機構。目前我國面向銀行的監管機構，多針對銀行業務的合規性，對信息安全考慮較少。并且，“我國銀行信息化系統需要監管的風險資產如此之大，如果沒有基本的專業化信息資產風險監管隊伍和組織，價值與風險之間的關系也就不可能平衡”。

除了管理和監管因素，還有專家認為，銀行的責任心也是信息安全升級的要素。中科院研究生院金融科技研究中心主任潘辛平認為，且就網銀安全來講，擁有登錄密碼、支付密碼分離、登錄驗證碼、預留信息提示、帳戶變動短信提示、動態密碼等功能而用戶仍然處于被動防護甚至不知曉是否存在這項業務，說明銀行和監管機構沒有負起責任。

3月15日，央視“3·15”晚會報道了一系列由于個人身份信息泄露而給用戶資金安全帶來威脅的事件，讓個人信息泄露問題再次成為關注焦點。

看來，如何在缺乏激勵和動力的情況下仍然確保從用戶到自身系統的信息安全，如何在發展業務的同時保證信息安全，這一必將在銀行未來發展中發揮制約作用的元素，是銀行、銀行監管機構都需要踏實去做的功課。

今年2月28日，十一屆全國人大常委會第七次會議表決通過刑法修正案(七)。修正案中，對網絡犯罪的界定更加實用和人性化，修正案規定，“違反國家規定，侵入前款規定以外的計算機信息系統或者采用其他技術手段，獲取該計算機信息系統中存儲、處理或者傳輸的數據，或者對該計算機信息系統實施非法控制，情節嚴重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節特別嚴重的，處三年以上七年以下有期徒刑，并處罰金。”這對非法入侵、木馬程序的編寫，傳播、黑客工具的開發均會造成一定壓力，打擊網絡犯罪不再無法可依，某些攻擊工具的開發者也將由此承擔連帶責任，修正案對保護網民打擊犯罪是有益的。