基层央行信息安全应急管理工作中存在的问题及建议

实务・信息安全　栏目编辑粱丽雯Ｅ—ｍａｉｌ：ｌｉｖｅｎ一０１＠１６３　ｃｏｒｎ　基层央行信息安全管理员现状及措施　一中国人民银行酒泉市中心支行陈亮　为强化人民银行计算机系统信息安全管理，防范　计算机信息技术风险，保障人民银行计算机网络与信　息系统安全和稳定运行，基层央行均设立了计算机系　统信息安全管理员岗位，其在组织落实上级行信息安　全规定和本单位及辖内信息安全保障工作，制定信息　安全管理制度，组织实施信息安全项目建设、维护、管　理信息安全专用设施，开展信息安全检查与评估工作中　发挥了积极重要的作用。但由于受各种客观因素的影　响，基层央行计算机系统信息安全管理员发展现状仍　不容忽视。　一．现状及存在的问题　目前，基层央行地（市）级中心支行设有专职计算　机信息安全管理员岗位，实行Ａ，Ｂ角管理，专门负责本　单位及辖内信息安全保障工作，而地（市）级央行各部　门和县（市）级支行仅设立有兼职计算机信息安全管理　员岗位，大多没有Ｂ角，无法有效履行信息安全管理员　职责，主要表现在以下几方面。　（一）缺少专业人才，自身业务技能低　各部门及县（市）级支行内设的计算机信息安全管　理员。由于受人事制度制约以及其他方面因素的影响，　从事科技工作的人员几乎没有计算机专业人　大多信　息安全管理员由于未进行过系统的业务和技能培训，　专业基础知识较为匮乏，应用能力欠缺，与央行业务电　子化的发展相比，基本无力应对和承担日常的计算机信　息系统维护和管理职责。　（二）岗位兼职较多，工作被动消极　一是县（市）级支行和部门的信息安全管理员由于　科技工作是兼职，受其主要岗位工作影响，工作主要时　间大多被本部门其他工作占用，而无法有效开展计算　机信息安全管理工作。二是大多县（市）级支行仅一名　信息安全管理员，要应对全行所有系统的计算机信息　

８４　ｌ　２０１３年・第６期投稿邮箱ｈｎｆｃ＠２ｌｃｎ．ｎｅｔ　系统维护，往往顾此失彼。　三是一人双岗甚至多岗，　而报酬仅１份，工作积极性　不高，加之轮岗交流频繁，　岗位只是一个学习培训基　地，科技工作队伍不稳定。　而做好信息安全管理工作　是一个不断学习和积累经　验的过程，刚刚熟悉能打　开工作局面时又面临人事　变动和调整，而因无Ｂ角，　造成青黄不接，或因公出　差或休假时，因无人顶岗，　县（市）支行的信息安全　管理工作基本处于瘫痪状　

龙源期刊网

地市级人民银行信息安全管理中的问题与对策

作者：雷勇

来源：《信息安全与技术》2012年第08期

【 摘 要 】 随着经济的发展和科技的进步，信息化成为社会发展的一种必然趋势，计算机信息安全问题日益成为各行各业关注的焦点和工作的重点。为了进一步提升基层央行计算机信息安全管理水平，本文结合陕西渭南中支信息安全管理工作的实践，提出信息安全管理方面的一些对策。

【 关键词 】 人民银行；信息安全；对策

1 信息安全工作中存在的主要问题

1.1 信息安全概念宽泛使得管理工作点多面广

信息安全可以归纳为两个层次的含义,即业务数据安全和系统服务安全。业务数据安全是指为防止信息在收集、处理、存储、检索、传输和交换中确保其保密性、完整性、可用性、可控性和抗抵赖性。系统服务安全即运行安全，是防止计算机及网络软硬件设备遭受自然或人为破坏，确保系统的稳定运行。随着人们对信息安全的不断认识，解决安全问题需要建立一个完整的体系，需要统筹考虑。

人民银行系统安全保障体系非常庞大，主要内容包括了内联网的安全、重要应用系统的安全、机房环境及设施的安全以及对人员、技术资料、客户端和应急等方面的管理工作。具体到系统部署上，包括了诺顿防病毒系统、非法外联系统、补丁分发系统、中安源可信网络平台，以及科技资源管理与运维监控系统等安全系统。基层行计算机硬件配置相对较低，安全系统对计算机硬件资源的消耗又比较大，导致经常出现安全系统之间冲突、操作系统崩溃等现象，增加了安全管理的纷繁复杂。目前总、分行两级数据中心还在建设之中，对架构的管控还不完善，信息安全等级保护尚待建立。因此，基层央行的信息安全管理工作头绪很多，事务烦杂，涉及面广，随着数据集中、业务整合的深入发展，应该逐步调整，突出重点，主动防御，通过使用更加严格、有效的技术手段加强客户端的管理，维护内联网的安全。

２０１０年１０月　总第１５８期第ｌ０期　黑河学刊　Ｈｅｉｈｅ　Ｊｏｕｒｎａｌ　Ｏｃｔ．２０１０　Ｓｅｒｉａｌ　Ｎｏ．１５８　Ｎｏ．１０　基层央行计算机系统突发事件　应急管理体系建设存在的问题及建议　⑨韩东录　（中国人民银行黑河市中心支行，黑龙江黑河１６４３００）　【摘要】计算机和通讯网络系统在金融业广泛应用，并存在现代金融风险。预防和化解风险，应完善计算　机和通讯网络系统应急预案，建立严格的规章制度加强学习、演练不断完善预案体系，加强沟通共同推动突发事　件应急管理。　【关键词】计算机和通讯网络系统；应急管理；建议　【中图分类号】Ｆ８３２．７【文献标识码】Ａ【文章编号】１００９－３０３６（２０１０）１０－００１３－０１　随着计算机和通讯网络技术的高速发展和广泛应用，　银行业对计算机和通讯网络系统的依赖程度越来越高，计　算机系统自身的脆弱性及其面临的各种攻击和威胁形成　了现代金融风险。因此，做好计算机应用系统的应急处理　就成为防范和化解现代金融风险的关键环节。　一、应急工作现状　目前随着金融业数据大集中的推进，人民银行的业务　计算机应用系统已逐步由批量处理模式向实时处理方式　转换。从２００３年起大额支付系统投入运行开始，后续的账　户管理系统、国库核算系统、人民币发行系统、事后监督系　统等等，都因其实时性特征对系统运行的设备和网络提出　了极高的要求。为确保各应用系统的高效正常安全运转，　人民银行在推广上述实时系统时都作了一系列应急安排。　一是，对所有系统的设备都配置了备份设备。二是，对通讯　网络进行了慎密改造。通讯网络设备全部采用双机热备，　物理上双通讯线路由不同的运营商提供，通讯网络采用划　分虚拟网和访问控制，以阻止相互访问。三是，各单位都成　立了由一把手任组长的应急领导小组，并成立了相应的组　织机构。对每个应用系统都制定了详尽的规章制度、操作　规程和应急方案。多数单位都进行了风险评估和分析，对　计算机应用系统进行安全等级划分。总之，为应急处理打　下了坚实的基础。　二、存在问题　一是，制定的预案不够科学。由于长期以来较少遇到　突发事件，且对处置各类突发事件没有进行过系统的总　结。因此，在制定相关应急预案时缺乏必要的经验和可借　鉴资料，导致已制定的各类预案缺乏科学性。　二是。预案体系有待完善。应急预案的制定，经历了综　合预案一单项预案一总分类预案体系的演变，也是由笼统　到专一，再到综合类的发展过程。在此过程中，预案制定不　断规范，涉及的领域也不断扩大。但从演练及业务处理的　实际操作中来看，所制定的预案还很不完善。一方面表现　在现有预案所涉及的事件仅局限于部分被长期作为安全　工作重点的业务方面，对一些诸如重要凭证毁损、丢失，密　级文档丢失等突发事件，没有制定相应的应急处置预案；　另一方面表现在，现有的预案对突发事件的处置还缺乏全　面性，对部分环节的处置没有作出明确表述。　三是，预案修订存在滞后。当前业务的发展速度非常　快，各种操作系统的更新也是三天一小“补”，五天一大　“补”，甚至完全改头换面。现有的针对各类核算系统所制　定的应急预案，均以业务系统处理程序为基础，当系统更　新后，预案的修订、完善工作不能及时跟上，使预案对突发　事件的处置措施与新系统不能吻合。　四是，预案检验不够全面。由于上述实时系统的涉及　面大、应用层次高以及不间断工作等复杂性，所制定的应　急和备份方案一直都难以在部门或地区的小范围进行演　练。预案，顾名思义，是对事件的预先判断与拟处置方法的　先期确定。因此，通过演练等方式对预案的科学性、可行性　进行检验，就成了当事件发生时，应急预案是否实用，事件　能否得到妥善处置的必然要求。但目前多数基层机构对制　定的应急预案没有进行演练，或演练时没有对全部程序进　行对照检验，从而对应急处置组织机构工作效率是否高　效，应急指挥是否正确，指令的执行是否到位，处置程序是　否正确等预案内容不能通过实战演习进行（下转第１ｓ页）　【作者简介】韩东录（１９５８一），男，黑龙江黑河人，中国人民银行黑河市中心支行科技科科长，经济师。　・１３・

金融信息化论坛　２００７年１０月１０日第１０期　坪岛金骷电肛　基层央行信息安全工作存在的问题与对策　◆　中国人民银行宿州市中心支行孟真刘帆　随着信息技术的快速发展，计算机及网络技术　已逐渐深入到金融系统的各项业务活动中，在带给　银行发展机遇、人们带来便利的同时，也带来了巨　大的信息安全风险。　一、基层央行信息安全存在的问题　研究信息安全必须进行信息风险分析，对银行　业来说，信息风险是指金融业在进行技术创新和实　现金融电子化过程中广泛使用计算机技术、网络通　信技术时，由于计算机本身（包括硬件、软件、操作　系统等）和涉及计算机安全管理的制度缺乏有效的　科学性、规范性和完善性，潜伏着许多不安全因素　而造成的潜在的或已发生的风险。　（一）、机房安全设施不完善　基层人民银行（特别是县支行）由于受资金、技　术等因素的困扰，机房装修往往达不到标准，普遍　存在的现象是机房铺上防静电地板、安装上普通空　调、放上几瓶手动灭火器。缺少防电磁干扰、电磁泄　漏、机房专用空调、防鼠患等安全设施。再加上机房　装修间隔时间较长，存在设备老化问题，特别是电　源、电线老化和腐蚀问题。　（二）、安全管理制度不健全　由于信息安全工作在人民银行系统开展较晚，　现行的管理制度仅针对某一单位，各部ｆ－１针对某一　岗位的安全管理制度并没有明确，起不到应有的约　束作用，而一些重要岗位正是容易出现计算机安全　问题的地方。　（三）、安全管理制度执行不严　尽管基层行信息安全管理制度不健全，但仅有　的安全管理制度在执行上也大打折扣，由于缺少相　应的配套奖惩制度，致使许多管理制度只是流于形　式和应付上级检查。　（四）、病毒防治措施不到位　近些年来，随着金融电子化的迅速发展，计算机　病毒对业务系统的危害越来越大。分析造成这些病　毒在内联网传播的原因主要有以下几方面原因：一　是部分干部职工安全意识不强，随便打开陌生人传　来的邮件，并将从互联网上下载的带毒文件直接拷　入内联网机器，致使病毒侵入内联网；二是杀毒软件　病毒代码升级滞后，一般情况下，总行从赛门铁克公　司网站上下载病毒升级代码，并对总行服务器进行　升级，分行和省会中　ｔ２，支行病毒服务器在检测到总　行服务器上新的升级代码后自动进行病毒代码更　新，依此类推中心支行服务器再从分行或省会中心　支行病毒服务器进行更新。　（五）、网络安全存在漏洞　现在人民银行运行的网络系统是基于Ｗｉｎｄｏｗｓ　ＮＴ上的Ｎｏｔｅｓ系统，由于Ｗｉｎｄｏｗｓ　ＮＴ系统本身存　在漏洞，部分基层行网络维护人员不能及时下载安　全补丁、有的一些端口没有及时关闭，最直接的例　子就是“冲击波”蠕虫病毒在内联网上传播就是利　用了微软公司的Ｗｉｎｄｏｗｓ　ＮＴ、Ｗｉｎｄｏｗｓ　２０００、Ｗｉｎ—　ｄｏｗｓ　ＸＰ操作系统的“ＲＰＣ”漏洞。　（六）、系统风险形势严峻　除操作系统本身的风险外，还存在防病毒软件