网上银行业务的安全规划和实施.PDF

网上银行业务的安全规 划和实施 招商银行周天虹 网上银行安全规划工作的思路 • 制定整体安全策略 – 整体安全策略为网上银行系统建设提供安全方 面的政策性指导、确定安全建设的宏观方向、 确定有关管理制度的制定原则、确定有关管理 机构的框架。 • 技术安全 • 管理安全 • 运行安全 整体安全策略 • 整体安全策略中重要的内容之一是规定网 上银行安全运营的总原则，包括： – 用户身份鉴别机制； – 网上银行相关信息的保密性、完整性、不可否 认性、可用性的基本要求； – 网上银行的INTERNET安全策略； – 业务持续性计划； – 灾难恢复计划。 网上银行的管理安全工作 • 网上银行提供的业务功能基本都是银行传 统的柜面业务。网上银行没有创造新的银 行业务，但是提供了办理银行业务的新的 渠道。 • 管理安全工作面对的风险主要来自于新渠 道带来的新的业务办理过程、新的管理办 法、新的岗位、新的角色。 网上银行的管理安全工作 • （1）建立和健全网上银行的各项管理制度 • （2 ）建立网上银行的相关管理机构和岗 位，明确相关职责。 • （3 ）加强安全管理制度和操作制度的执行 力度，完善各项制度的执行监督和审计机 制。 • 4 ）对网银业务管理关键岗位和专业安全管 理人员定期培训 • （5 ）网上银行的安全管理以银行内控为核 心。 网上银行的运行安全工作 • 网上银行的运行存在着一系列的风险，运 行风险主要来源于INTERNET这样一个公 共网络以及组成网上银行的各类设备和软 件系统，主要有： – 黑客攻击 – 病毒 – 互联网网络故障 – 网银设备故障 – 网银系统软件故障（OS、WEB 、DB、中间 件） 网上银行的运行安全工作 • 面向互联网的运行安全保障体系 – 网段隔离 – 双防火墙（不同厂家） – 入侵监测系统 – 漏洞扫描系统 – 病毒防护系统 – 基于加密机的内网加密体系 – 加强运行管理 – 网银安全测评 网上银行的技术安全工作 • 技术安全工作的主要目标是预防、控制和 侦破以盗取用户资金为目的的各种网络攻 击和网络欺诈行为，降低网银案件发生 率，保障用户资金安全。 • 技术安全工作涉及大量操作系统、网络、 信息安全基础技术，难度很大。 背景 • 安全技术形势（１） – 病毒数量呈上升趋势 – 病毒的开发工具化、 简单化 – 多种攻击技术的融合 – 70 ％以上带有明显的 利益特征，比如：窃 取个人资料、各种帐 号密码等 – 典型：“熊猫烧香”、 “网银大盗”、“灰鸽子” 背景 • 安全技术形势（2 ） – 攻击工具和攻击行为 有组织化、产业化运 作的倾向，有些是集 团化犯罪组织 – 针对金融网站的目标 攻击上升，趋利性明 显，假网站、网络欺 诈、网银大盗攻击等 技术安全措施 • 设计时充分考虑整体