中小城市商业银行信息安全管理探讨.pdfVIP

2014年·第5期 栏目编辑：罗锦莉E-mail：luol025000163corn R尝嚣器 ■中国人民银行铜陵市中心支行钱继胜 摘 要，我国中小城市商业银行起步晚，但发展迅速，而在发展过程中由于其自身的条件制约与银行业固有 的特点，信息安全面临着巨大考验。本文以国际国内通行信息安全标准为借鉴，结合中小银行自身发展特点，对其 信息安全问题开展了深入研究，并提出相关建议，以期对中小城市商业银行信息安全工作有所裨益。 关键词t金融科技；信息安全；风险管理：中小城商行 一．银行业信息安全概述 先是技术问题，表现为计算机硬件、软件、网络以及相 就银行业而言，几乎所有的业务都运行在IT基础 应业务信息系统所引发的异常情况，包括程序错误、系 设施之上，尤其是新出现的金融产品和服务更加趋于 统宕机、软件缺陷、操作失误、硬件故障、容量不足、网 开放和互联，进一步加强了对信息系统的依赖程度。 络漏洞、故障恢复灾难备份以及应急处理等诸多内容。 信息系统和信息安全已经成为操作风险管理的重要内 其次是管理问题，不仅包括信息系统的管理，而且包括 容。信息的保密性、完整性、有效性以及信息系统可用 中小城市商业银行各种业务数据的管理。本文就信息 性对银行业务的成败起着至关重要的作用。 系统及其产生的数据，结合中小银行的特点，在运维、 美国的金融服务现代化法案(GLBA，Gramm— 日常使用、应急处置过程中由于管理缺陷产生的风险 Act)，要求银行对某些关键信息的保密 Leach—Bliley 隐患等方面的内容展开讨论。 性、完整性等进行保护。巴塞尔银行监管委员会设立 的电子银行小组(EBG)发表了《电子银行风险管理原二．中小城市商业银行信息安全现状 则》，确定了进行电子银行业务风险管理的14条基本原 (一)信息安全意识不强，综合管理能力受限 则，这些大都已经在银行信息安全管理中得到了不同 我国中小城市商业银行规模小、网点少、信息化建 程度的应用。《新巴塞尔协议》强调在进行风险管理的 设起步晚，因此信息安全意识和管理综合能力远落后 时候，不仅仅要重视传统的信用风险，而且要将操作风 于信息系统的发展需求。主要体现在以下几方面。 险放在一个重要的地位。 首先，中小城市商业银行的自身性质使高级管理 在中国，金融监管部门对于信息安全也作出了相应 层更加关心财务报表，而忽视服务这些财务报表的信 的界定。中国银行业监督委员会《商业银行信息科技风 息系统，甚至不能明确信息安全是什么。对于信息安全 的投入大部分限于基础设备和系统，却不知其信息系 险管理指引》(银监发[2009]19号)如此定义：信息安 全风险是指信息系统在规划、研发、建设、运行、维护、 统的可用性、信息资产的保密性、可控性对其业务的重 监控及退出过程中，由于技术和管理缺陷产生的操作、 要作用。 法律和声誉等风险，具有技术性高、涉及范围广、隐蔽 其次，中小城市商业银行员工普遍认为，信息安全 性强等特征。 管理工作的效果取决于信息技术，却不知道用户对信 信息安全管理在中小城市商业银行面临挑战。首 息系统的每个操作都具有威胁的可能，操作不当将转 101 万方数据