城市商业银行网络安全浅述.docVIP

城市商业银行网络安全浅述 　　摘要：在当今信息高度发达的社会，网络安全也越来越显得重要。而作为城市商业银行，如何保证网络系统安全与业务的正常开展，日渐成为科技部门的首要任务。本文首先从城市商业银行的网络安全建设现状出发，然后指出了银行网络安全重点关注的方面，同时从安全风险进行分析，最后提出了网络安全的总体设计方案。 　　关键词：商业银行　网络安全　网络风险 　　1　城市商业银行网络安全建设现状 　　银行的信息与网络安全建设与银行的整个电子化、信息化和网络化密切相关，把金融风险监管现代化和金融电子化、信息化和网络化风险的监管密切结合起来，是搞好银行与阿络安全建设的根本思路。目前城市商业银行信息化安全的观念对于网络与系统的虚拟世界的“行为与内容的监管”和“大范围的网络环境的安全问题”，考虑较少。 　　1.1银行网络行为和内容的安全情况 　　银行网络的安全问题实际是银行风险监管的问题，银行风险监管既要检查银行和客户人员在现实世界中的人与银行业务相关的行为结果，又要检查网络虚拟世界中用户、系统和代理的行为，实际上要对银行监管实行监管现代化的建设和银行信息化实行监管。 　　1.2银行业务运营信息化安全情况 　　主要涉及银行价值管理信息系统、资源管理信息系统、银行产品服务管理信息系统等。对于这些业务信息系统，由于银行系统有高度的安全意识银行系统的安全工作开展的较早，制定了相关的标准和规范，进行了安全规划与实施等。 　　1.3银行网络系统安全情况 　　当前银行网络系统安全问题重要表现在数据大集中后的安全，其特点是数据服务大集中，前置通信中心强大的和众多本地与远端终端的中心体系结构。 　　应该看到，电子化在给银行带来利益的同时，也给银行带来了新的安全问题。原因主要有三个：伴随金融体制改革的深入、对外开放的扩大，金融风险迅速增大；当前计算机应用日益广泛、日趋网络化，系统的安全性漏洞也随之增加；计算机知识日益普及，金融网络向国际化发展，计算机犯罪技术在不断提高。 　　2　银行网络安全重点关注的方面 　　目前银行用户关注的信息化安全问题主要是客户隐私、用户权益、信息内容安全和客户可信接入银行网等问题： 　　全面整合银行信息化安全建设，在此基础上建立银行信息安全保障、应急和监管系统。 　　以安全观点再度审核银行应用数据大集中的安全建设问题、专网与公网的隔离安全建设、银行外包服务安全建设、安全检测、监控、审计、追踪和定位系统建设、制定安全应急标准与安全应急培训。 　　3　安全风险分析 　　我们可以参考国际标准化组织ISO开放系统互联(OSI)模型，将整个银行系统的安全风险统一划分成五个层次，即物理层安全、网络层安全、操作系统层安全、应用层安全以及管理层安全。 　　3.1物理层安全风险分析。物理层安全包括通信线路的安全，物理设备的安全，机房的安全等。 　　3.2网络层安全风险分析。网络层安全包括网络层身份认证，网络资源的访问控制，数据传输的保密和完整性，远程接入的安全，路由系统的安全等。 　　a数据传输风险分析。表现在重要业务数据泄漏、重要数据被破坏等，如果没有专门的软件或硬件对数据进行控制，所有的广域网通信都将不受限制地进行传输，因此任何一个对通信进行监测的人都可以对通信数据进行截取 　　b网络边界风险分析。主要表现于银行代理业务系统安全和互联网出口的安全。 　　c网络设备的安全风险。由于银行专用网络系统中使用大量的网络设备，如交换机、路由器等，使得这些设备的自身安全性也会直接关系的银行系统和各种网络应用的正常运转。 　　3.3系统层的安全风险。主要表现在两方面：一是操作系统本身的安全漏洞和隐患；二是对操作系统的错误配置。 　　3.4应用层安全风险分析。应用层安全是用户采用的应用软件和数据库的安全性，包括数据库软件、Web服务、电子邮件系统、域名服务系统、业务应用软件，以及其他网络服务系统(如Telnet、FTP等)。 　　3.5管理层安全风险分析 　　管理层安全包括安全技术和设备的管理，安全管理制度的制定，部门和人员的组织规划等。要建立完备的安全网络最终要靠人来实现，因此管理是整个网络安全中最为重要的一环。因此我们有必要认真的分析管理所带来的安全风险，并采取相应的安全措施。 　　4　安全方案总体设计 　　4.1网络安全建设原则 　　网络安全建设是一个系统工程，银行网络安全体系建设应按照“统一规划、统筹安排，统一标准、相互配套”的原则进行，采用先进的“平台化”建设思想，避免重复投入、建设，充分考虑整体和局部的利益，坚持近期目标与远期目标相结合。 　　在实际实施中还要按照系列基本原则进行：系统性原则；简单性原则；实时、连续、安全统一原则；需求、风险、代价平衡原则；实用与先进相互结合的原则；方便与安全相互统一原则；全面防护、突出重点原则；分层、分区原则