银行信息系统安全的策略分析.docVIP

银行信息系统安全的策略分析 　　数据，作为银行系统最宝贵的资产，关系着整个银行的发展与生存。信息系统就像银行的血脉，贯穿到每一笔业务活动中。客户数据的风险越来越多，使得同时存在各种各样的隐藏风险。本文将主要通过数据保护安全策略和用户安全策略来探索客户数据保护的安全性。 　　首先，遇到黑客攻击时，信息主管应该保持冷静，积极应对。然后再采取一系列应对措施，而不是想怎样避免责任。如果任由事情持续发展下去，结果将会是不可想象的。信息管理层首先应该及时的对外公开客户数据被盗的信息。作为那些被盗取信息的客户，赔偿是必要的，因为这是唯一能够留住客户忠诚度的方法。同时，通过网页，电话或者其他渠道及时的和客户沟通，从而获得第一手信息并最小化损失。此外，信息管理层应该从各个方面检查整个信息系统，观察任何不正常的或者可疑的情况，然后寻找专业的专家或者团队来商讨数据盗窃的问题。 　　数据安全主要有两方面：一个是数据本身的安全性，也就是通过现代加密算法保护数据；另一个就是数据保护的安全，即使用现代信息方法来维护数据安全。通常情况下，数据泄露也分三类：黑客或者外部非法人员入侵系统盗取敏感信息；内部授权员工故意泄露数据；不健全的机制，比如丢失数据存储介质或者不完整的维护等（Aldridge et al 1997）。 　　1 数据安全策略 　　1.1 漏洞管理 　　大部分黑客成功攻击的案例目标都是在网络或者系统中已知的漏洞。脆弱的系统也是病毒散播的基础。因此，漏洞管理与病毒管理结合是很有必要的。漏洞扫描设备应该安装在核心交换机上，用来检查银行的系统服务器。这个设备能够及时给系统管理者报告日常的情况，找到已经发现的漏洞和异常。 　　1.2 病毒保护 　　病毒是隐藏在文件或者程序中来不断复制的。众所周知，它们可能通过网络，磁盘或者电子邮件摧毁计算机程序。 　　反病毒软件能够实时的测试系统的内部以及外部网络，并且及时处理解决从而防止病毒复制。如果被感染的或者未受保护的设备访问网络，已感染的部分将会被隔离且清除。此外，管理员应该制定相关的防病毒策略，收集日常的数据并且使用网络来控制。为了避免病毒入侵，应该结合系统的类型和配置来选择合适的防病毒系统（Pfleeger 1997）。 　　1.3 防火墙 　　防火墙是网络安全的基础设施，能够划分不同的安全等级和不同的区域。一般来说，防火墙在网络的内外之间，用来隔离内网和外网，严格控制和监督通信。此外，防火墙作为网络系统的一部分，其本身是安全的。由于银行网络系统的复杂性，防火墙的管理也不可忽视。不良操作，运营，配置等都是导致黑客攻击的原因，在这些情况下，管理员应该通过一系列的机在整个网络上的机器控制来进行远程管理，从而实现开机、启动、关机、备份和恢复等。 　　1.4 入侵检测系统 　　仅仅使用防火墙来控制由于访问而造成的攻击是不够的，因为其属于静态安全保护系统。因此，银行必须配备入侵检测系统。入侵检测系统能够收集计算机和网络系统上的信息进行分析（Patel et al 2010）。在此过程中，当发现可疑行为的时候，能够监控信息传递且发出报警。一般来说，入侵检测系统是一项安全的技术，能够解决网络内外出现的问题。 　　1.5 加密技术 　　数据加密指的是通过相关数学算法对数据进行加密然后在传递的过程。即使黑客入侵到系统中，他们也不能够获得有用的数据，从而有效的保证了系统的安全性。整个过程由密钥控制，相对应的逆过程被称作解密。目前，有两种加密方式：一个是软件加密，也就是在主机上运行相关的加密软件然后执行此功能；另一个就是硬件加密，其通过主机系统外的独立设备运行（O’Brien and Marakas 2008）。在加密操作的过程中，密钥是一个重要的因素，算法的复杂程度直接决定了信息的安全性。因此，在银行系统中，密钥管理是核心也是最复杂的方面。 　　1.6 系统备份和恢复 　　银行系统备份和恢复的关键是：尽可能完整的恢复某一点的数据；最小化数据损失的可能性；尽可能有效的进行备份程序。管理员应该进行日常备份，硬件升级替代备份，用户数据备份等等。当系统遭受攻击或者崩溃时，立即执行数据恢复（Mcdowall 2001）。 　　2 用户安全策略 　　2.1 访问控制 　　访问控制是为了保护敏感数据和加密数据。Ma （2012） 认为访问控制能够确保合法的用户访问，避免非法使用网络资源，防止未授权的合法用户访问从而保护网络资源。访问控制能够在一开始验证用户身份的合法性，同时选择并且管理控制策略。当测试到用户身份和访问验证后，未授权操作能够被控制监督起来。 　　2.2 身份验证 　　在银行信息系统中，数据中心包含着各种被管理员授权的有效用户并允许他们登陆到系统中。银行数据库需要一个统一的标准化的管理