縣域金融機構信息安全管理建議

周國濤

[關鍵詞]? 縣域金融;金融科技;金融信息安全

[作者單位]? 中國人民銀行武漢分行營業管理部科技處

近年來，隨著金融科技的迅速發展，各金融機構的信息化程度普遍提升，工作效率和服務水平得到了大幅提高，但同時信息安全的重要性也進一步凸顯。加強信息安全管理、防范信息安全風險是各金融機構不容忽視的工作，這對縣域金融機構來說無疑是一個考驗。縣域金融機構的信息安全管理是否到位，科技保障能力能否滿足新形勢的要求，信息安全風險能否及時化解等均將直接影響到信貸、支付、財稅、征信等重要業務的順利開展，也將影響縣域經濟的高效發展。本文在對中西部多個縣域金融機構進行調查的基礎上，分析了縣域金融機構信息安全管理存在的問題及風險，并提出了相關建議及對策。

——信息安全風險意識有待增強。在信息安全管理方面，縣域金融機構存在安全意識較為淡薄、重視度不夠等現象。一是對信息安全風險的認識不到位，不能主動分析本單位信息安全現狀和存在的安全隱患，更未制定完善的信息安全防范措施。二是在信息安全管理工作上依賴上級科技部門或外包服務單位，安全管理崗位設置不合理，普遍存在科技管理崗位由業務人員兼任的現象。三是安全隱患長期得不到有效解決，例如：計算機及業務系統口令設置簡單甚至長期使用缺省口令或空口令，手機、相機等具有存儲功能的設備連接到業務計算機上充電，計算機使用者臨時離開辦公室時不關機或鎖屏，工作內容直接存放在互聯網計算機上等。

——信息安全管理制度有待完善。一是縣域金融機構對信息安全制度認識不夠全面，存在對主管部門、上級單位制度要求不清楚、不理解，甚至存在不學習制度的情況。二是未制定適用于本單位的信息安全制度，部分縣域金融機構制定了信息安全制度，但其內容存在照抄上級單位制度、不切實際、操作性差、未及時更新、執行不到位等問題。三是信息安全制度宣傳不到位，業務人員經常不清楚信息安全管理制度要求，在使用計算機及網絡的過程中隨意性較大或過度依賴科技人員，缺乏主動防范意識。

——信息安全管理理念有待更新。縣域金融機構信息安全管理目標不夠明確，科技人員對其職責的重要性認識不到位，對具體工作任務理解不深不透，導致信息安全管理理念滯后，不能主動將信息安全風險消除在萌芽狀態。一是監督檢查存在寬松軟現象，縣域金融機構科技人員日常監督檢查工作經常流于形式，對檢查出來的問題未督促當事人及時解決或由自己幫助解決，未能起到警示作用，導致相同問題重復出現。二是科技人員配備不足，縣域金融機構科技人員普遍較少，部分機構只有一名專業科技人員，在專業科技人員休假或出差時，經常出現科技工作無人接管的現象。

——科技人員知識能力有待提高。一是縣域金融機構科技人員年齡普遍較大，水平有限，難以跟上科技發展節奏，且部分科技人員為兼職，平時以業務工作為主，很少學習新的科技知識。二是近年來，縣域金融機構陸續由新進大學生承擔信息安全管理工作，新進大學生雖然具有基本的科技知識，但少有計算機專業出身，而且對縣域金融機構的信息安全管理制度、工作內容及要求不熟悉。三是主管部門或上級單位對縣域金融機構科技人員培訓較少，而且針對性不足，對其知識能力、信息安全管理水平的提升有限。

——信息安全資金投入有待加大。縣域金融機構信息基礎設施建設薄弱，主要體現在機房環境欠佳，強弱電路老化且施工不規范，無環境監控平臺，視頻監控存在死角，不間斷電源未及時更換，維護保養不到位，支付、財稅、征信等重要業務未建立應急環境等問題。近年來，部分縣域金融機構已經開始實施基礎設施改造，但多數縣域金融機構仍未完成。縣域金融機構經費較緊張，在保障業務正常運轉基礎上，難以在信息基礎設施建設上投入足夠的資金。

——高度重視信息安全管理。縣域金融機構要增強信息安全管理及風險防范意識，充分認識到信息安全風險可能帶來的嚴重后果，同時上級單位要營造信息安全管理高壓態勢，切實引導縣域金融機構將信息安全管理工作由被動轉變為主動。縣域金融機構要與各部門簽訂信息安全責任狀，明確各部門信息安全責任。科技人員要定期向縣域金融機構領導匯報所面臨的信息安全風險，得到領導的足夠重視，并在主管部門及上級單位科技部門的指導下切實落實好信息安全管理工作各項規定，消除信息安全隱患，杜絕信息安全事件發生。

——加強制度建設并嚴格執行。一是強化信息安全管理指導，由上級單位科技部門組織縣域金融機構科技人員學習并充分理解有關信息安全管理制度，在廣泛調研的基礎上制定適用于縣域金融機構實際情況的管理制度，用制度規范工作行為，提升工作實效。二是加強制度學習與宣傳，通過信息安全制度學習與宣傳，使整個單位清楚信息安全要求，培養良好的安全意識及工作習慣。三是加大信息安全檢查力度，主管單位或上級單位可將信息安全管理納入考核范圍，并定期開展安全檢查，對發現的問題限時整改，拒不整改的要追究責任。

——強化科技隊伍建設。一是縣域金融機構在招錄員工時，可考慮適當引進部分計算機專業人才充實科技力量。二是上級單位科技部門對縣域金融機構科技人員加大培訓力度，具體可采取跟班學習、有針對性的培訓、建立多渠道的溝通機制、在實踐中指導等方式。三是建立A、B角制度，配備名副其實的B角，將B角納入跟班學習、培訓、考核的對象范圍。四是加強激勵與考核，重視科技人員的工作，激發科技人員的工作熱情，促使不斷學習提高，成為新型復合人才，同時科技人員的考核要以科技工作為主，兼職業務工作為輔。

——加大基礎設施投入。一是按照相關規范對縣域金融機構信息基礎設施進行改造，主要對強弱電路、不間斷電源、空調、消防、視頻監控、通信設施等進行標準化建設。二是建立統一的環境監控平臺，按省或地市集中進行環境監控統一管理，縣域金融機構可監控本單位的情況，上級單位可監控全轄的情況，異常情況發生時通過短信、郵件、聲音等多種方式及時通知科技人員。三是加大信息基礎設施維護保養力度，選擇可靠的第三方專業公司并簽署維保合同及保密協議，嚴格按照相關制度要求進行巡檢和保養，發現隱患及時排除。

——探索新技術運用。嘗試運用虛擬技術，建設以省或市為中心的桌面云系統，實現對虛擬計算機的統一集中管控，可實施強制使用高強度密碼、統一安裝安全軟件、規范移動存儲設備等管理措施，縣域金融機構通過終端設備與網絡使用虛擬計算機。一方面可以有效提高計算機客戶端的安全性，另一方面可以緩解縣域金融機構科技人員在計算機客戶端部署、維護、升級等方面的壓力。

縣域金融機構無論從地理位置還是服務區域來說都與農村、農業、小微企業等有著緊密的聯系，是城鄉金融服務的前沿陣地，更是實施鄉村振興戰略的主力軍，不間斷地開展金融服務是推動縣域經濟可持續發展的必然要求。在信息化時代里，信息基礎設施可靠，網絡及業務系統平穩等是縣域金融機構持續提供金融服務的基本保障。因此，需要高度重視縣域金融機構信息安全工作，嚴防信息安全風險，為各項業務平穩開展、金融服務不間斷保駕護航。