证券公司信息系统权限管理.pdf

案例库 中国证券业协会培训中心版权所有 第一届证券行业案例大赛 参赛案例 2016 年 9 月 证券公司信息系统权限管理 案例概述——密码管理、权限管理风险案例 2016 年，*欣泰因欺诈发行及信息披露违法受到证监会处罚，成为创业板退市第一股。7 月 12 日复牌后，其毫无悬念跌停，封单逾47 万手之多。但是明知道该股无法恢复上市，该股盘中竟 然成交超过 4000 万元，换手率超过 3% 。其中有媒体报道有券商的客户收到短信内容为要申购 新股 “300372 ”，实为即将退市股欣泰电气，已经有客户受骗。最后证实是有不法分子通过伪 基站发垃圾短信诱导客户*欣泰为新股买入；细思极恐，如果证券公司的短信平台被不法分子利 用，有组织的发布虚假短信，后果不堪设想。 2016 年，某证券公司短信平台系统被不法分子从外部攻入，不法分子破解了密码强度较低的用 户账户，进而使用该账户登陆短信平台后，向该公司的85 万客户发送诈骗类的短消息，造成不 良的社会影响。 2015 年，某期货公司操作人员在远程登录认证服务器发生异常后，尝试直接输入服务器登录口 令以进行开盘操作，但连续多次输入错误口令，导致系统自动锁定，该公司交易开盘延迟达 36 分钟，对公司及客户造成了严重的影响。 2014 年，某证券公司短信平台的月费用突然大幅增加，该公司负责短信发送的工作人员感觉蹊 跷，就根据自己工作日志的短信发送记录与短信平台的每日发送量核对，经过多方验证，最后发 现是短信平台供应商用曾经在项目实施时候的账户发送大量的短信以骗取费用。 案例行业背景及趋势——密码管理、权限管理的重要性及难点 证券期货经营机构的信息系统是资本市场的重要基础设施。上述事件表明密码管理、权限管理工 作不到位，可能引发不良的信息安全事件。因此密码管理、权限管理工作不仅关系到证券期货市 场平稳运行，又关系到投资者合法权益的保护，一旦发生风险事件，影响面非常大。 目前国内大部分证券期货公司在信息系统建设方面更多的依赖金融软件提供商的软件及外包服 务，这就造成系统建设管理的复杂，同时证券期货公司及金融软件供应商的人员流动性较高，这 就造成人员管理的复杂。 随着行业的发展，未来证券期货行业的信息化程度会更高，譬如高盛已经宣称自己是科技公司， 技术作为安全保障和基础设施对于现代金融公司的重要性不言而喻，也意味着金融服务业在发展 的过程中更要精细化的管理好信息技术带来的改变。 教学目标——扎实做好信息系统的密码、权限管理体系工作 通过案例介绍，结合证券期货行业目前的信息系统建设复杂情况及人员流动性特点、未来行业信 息技术的发展趋势分析，扎实做好最为基础的密码管理、权限管理工作是能有效降低未来在更为 1 案例库 中国证券业协会培训中心版权所有 复杂的信息技术环境下发生风险的概率。 实操经验介绍 信息系统定义 明确哪些系统需要纳入权限管理和密码密钥管理的范畴。信息系统是指收集、统计分析、存储、 传递、提供运营和管理信息，实现证券期货公司各项经营和管理活动运行所需的计算机应用软件 系统、计算机操作系统、数据库系统以及相关网络设备等。 对信息系统分类 根据信息系统的权限来源分类。信息系统依据其授权管理体系的完整性分为三类，包括自主应用 信息系统、外部应用信息系统和后台技术环境支持信息系统。自主应用信息系统是指证券期货公 司具有该信息系统用户完整的权限管理体系的系统；外部应用信息系统是指证券期货公司不具有 该信息系统最高用户管理权限，而由外部权限管理员对公司的最高权限用户或普通用户进行赋权 的系统；后台技术环境支持信息系统，是指证券期货公司具有该信息系统后台技术权限的应用软 件系统、计算机操作系统、数据库系统、计算机或网络通讯设备等。 对信息系统风险分级 将信息系统风险分级以便分清主要矛盾和次要矛盾，以便权限管理工作有的放矢。证券期货公司 的自主应用信息系统按其所运营的管理信息和业务信息的风险状况由高至低分为三个级别，包括 I 级风险