[经管营销]第2章 金融信息风险.ppt

第2章 金融信息风险 主要内容 2.1 金融信息风险概念 2.2 风险分类 2.3 风险的模型 2.4 风险识别 2.5 风险的评估 2.6 风险的处置 2.1 金融信息风险概述 金融信息风险 威胁利用我们的漏洞，引起一些事故，对我们的资产造成一些不良影响的可能性。 资产 对组织具有价值的信息或资源，安全策略保护的对象。 资产价值 资产重要程度或敏感程度表征； 资产的属重要性； 进行资产识别的主要依据和内容。 信息资产 有形资产：人、场地、计算机硬件、软件、文档、网络通信设备、各种银行终端设备（如ATM、POS、电话、手机） 无形财产：系统数据、声誉、友好关系、员工的生产力和IT服务等。 信息资产重要性 给定环境中对它们所支持系统能力的价值和临界值的意义（斧头对鲁班的重要性以及鲁班失去斧子可能造成的影响），需要考虑财务成本，更需要考虑系统对组织业务发展的重要性。 评判重要性借助成本效益分析（学习过财务管理就应该有这样的思维，就像生物学家看人与化学家看人不一样，这就是“专业目光”） 成本：获取、开发、维护和保护该资产所需投入。 效益：该资产对所有者、用户和竞争对手所具有的价值。 风险：该资产不可用或丧失情况下所造成的损失。 2.2 风险分类 金融信息安全可能的威胁 威胁：可能导致资产对象出现安全问题的活动或者能力，可能造成对我们的系统、组织和财富的不良影响。 威胁可以通过 作用形式 动机 来源 等多种属性来描述。 威 胁 安全学家Shirey将威胁按动机分为四大类： 泄露（破坏系统的机密性）：对信息的非授权访问。途径是一个非授权方系统进行攻击，破坏保密性。非授权方可以是一个人、一个程序、一台微机。攻击手段:搭线窃听、文件或程序的不正当拷贝。 破坏(破坏系统的可用性)：中断或妨碍正常操作。这包括机具、硬盘等硬件的毁坏、通信线路的切断、文件管理系统的瘫痪等。 篡夺：对系统某些部分非授权控制。在篡夺攻击中，一个非授权方不仅介入系统而且在系统中进行非法操作，如改变数据文件，改变程序使之不能正确执行，修改信件内容等。 欺骗：接受虚假数据，一个非授权方将伪造的“客体”植入系统中，如在网络中插入假信件，或者在文件中追加记录等。 威胁按来源划分 环境因素（天灾） 断电、灰尘、静电自然灾害……(有不可抗拒因素) 人为因素（人“祸”） 心怀恶意者：心怀不满者内贼、觊觎财富的外鬼，二者沆瀣一气…… 无心之过者：责任心不强、工作马虎、有章不循、有法不依…… 脆 弱 性 脆弱性是系统（对象）的一种固有属性 蛇有“七寸” 人有“软肋” 使用信用卡可以透支消费，给用户带来了方便，但同时也给银行带来了恶意透支的问题。 以磁条卡为卡基作支付工具，无论是传统的卡交易或是在互联网上交易（不使用数字证书），持卡人的卡号和PIN都极易被人盗窃。可透支和易复制性就是信用卡业务的弱点。 “脆弱性”没有被“威胁”所利用就不会产生危害（谦谦君子不会攻击别人） 导致脆弱性的原因： 信息安全策略本身存在漏洞 信息安全策略没有得到很好的贯彻执行，尤其是缺乏相应的技术保障措施。 脆弱性分类 金融信息风险： 人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。 金融信息风险涵盖了规划、研发、建设、运行、维护、监控及退出与信息技术相关的产品、服务、传递渠道、系统等时，所产生或引发的银行经营的不确定性或对银行管理的不利因素。 2.3 金融信息风险模型 模型：实际对象或情境或系统的反映 形象模型 数学模型 实体关系模型 描述系统的因果关系或相互关系的过程称之为建模。 2.2 金融信息风险模型 用以描述（说明）金融信息系统风险、威胁、脆弱性、价值等等…….各要素以及要素间关系的图、表、表达式等称之为金融信息系统风险模型。 2.4 金融信息风险之识别 Neumann列举了9种计算机系统安全问题的来源： 需求定义的错误或者遗漏（智者千虑必有一失）； 系统设计的错误； 硬件的错误，如跳线或者芯片的缺陷； 软件实现错误，如编程或者编译的错误、缓冲区溢出 系统使用、操作的错误和不经意的失误； 系统滥用； 系统硬件和通信部件的失常； 环境因素的影响，包括自然原因和非自然原因； 系统的升级、更新以及停止运转。 金融信息系统风险事件种类： 灾难事件致使业务中断：关键资源不可控（电力电信）、自然灾害、应用系统、数据库系统缺陷、新系统上线…… 内部欺诈: 内部欺诈是指有机构内部人员参与的诈骗、盗用资产、违犯法律以及公司的规章制度的行为，如内部人员虚报头寸、内部人员偷盗、在职员的账户上进行内部交易等。 手段：内部职员超越自己权限访问本来无权访问的资源，非法修改信息，破坏信息的完整性从而使系统的安全性降低或信息不可用，或泄露秘密信息。 原因：组织内部