对基层央行IT系统应急管理工作的思考

运维管理・实务　栏目编辑：梁丽雯Ｅ—ｍａｉｌ：ｌｉｖｅｎ一０１＠１　６３　ｃｏｍ　

基于ＩＴＩ　Ｌ的逞维体系在　

基层央行应用的探讨　

■中国人民银行榆林市中心支行耿显龙　

随着基层央行信息化建设的发展，如何维护日益　

复杂的ＩＴ系统，确保已建成ＩＴ系统的稳定运行，充分发　挥已有ＩＴ资源的使用效率，为基层央行的业务发展提　供有力的支撑和保障，已成为基层央行在信息化发展　

进程中重点关注和亟需解决的问题。统计表明，基层央　

行科技工作大约８５％的时间与ＩＴ系统的运行维护有关，　

因而很有必要采用先进的ＩＴ运维体系来提高运维质量　和运维效率。从许多大型组织的探索和实践来看，基于　

ＩＴＩＬ（Ｉｎｆｏｒｍａｔｉｏｎ　Ｔｅｃｈｎｏｌｏｇｙ　Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ　Ｌｉｂｒａｒｙ，信息　技术基础架构库）的运维体系作为比较先进的运维体　系，已成功得到广泛应用，基层央行引入基于ＩＴＩＬ的运　

维体系的时机也相对成熟。　

一，ＩＴＩＬ简介　

ＩＴ运维绝非易事。上世纪８０年代，英国有关部门把　

信息技术的相关方法归纳起来，变成规范，为ＩＴ部门提　

供了一套从计划、研发、实施到运维的标准方法，ＩＴＩＬ　

由此诞生。其主要思想就是把经验做成流程，将服务与　管理规范化和标准化，并最终通过规范化和标准化达　

到服务与管理的简单化和高效化。　

二、基层央行ＩＴ运维现状　对基层央行科技部门来说，ＩＴ运维普遍缺乏标准　

化、规范化和流程化，因而往往会出现运维质量不高、　

运维效率低下的问题，有时甚至会导致业务部门的不　满。对基层央行科技人员来说，对这种已经造成影响的　

故障处理是疲于应付、被动响应，大多靠经验解决，且　

不—定能立即取得实效。由于时间紧、任务重、人手少、　技术要求高，基层央行ＩＴ运维任务有时很难依靠自身的　

力量独立完成，必将引入ＩＴ运维外包，这又将产生外包　成本，且外包的服务质量和安全保密问题又会引发新　

的担忧。　

三、基层央行ＩＴ运维面临的主要问题　

金融视线Financial View

随着国库系统功能不断增加，国库业务对计算机和网络的依

赖程度越来越高，伴随而来的国库突发事件也屡屡出现。虽然上

级行在国库应急机制建设方面做了大量工作，但对人民银行基层

行来说，国库业务应急管理机制还存在一些实际性问题亟待完善。

一、基层国库应急机制建设中存在的问题

1.缺乏完善的应急处置预案

一是按照国库“垂直领导、分级管理”的原则，基层国库执

行的应急预案都是由上级中心支库制定的，与当地实际情况并不

相符，缺乏针对性，而且预案几乎都是围绕本部门进行的，没有

制定跨部门的应急预案。二是国库信息化程度不断提高，国库业

务系统不断完善，功能也逐渐增多，当前的应急处置预案基本上

局限于国库会计核算系统（TBS），较少涉及国库会计数据集中系

统（TCBS），此外国库统计分析系统（TMIS）、国库集中支付系统

和财税库银横向联网系统(TIPS)等并未纳入应急预案。

2.缺乏切可借鉴性的应急演练

一是就基层国库来说，国库业务应急演练通常都是在上级行

的部署下统一开展，很少结合本地实际情况进行演练。二是过去

开展的国库应急演练，多数都是模拟“在国库会计数据集中系统

（TCBS）生产机出现故障和灾难且会计核算账务已日终的情况下与

备用生产机进行的较为简单的应急切换演练”，此种模式缺乏可借

鉴性，现在国库系统涵盖内容逐渐增多，与财政、税务及各商业

银行等部门并未配合开展过应急演练，缺乏具体的可借鉴性操作。

3.缺乏熟练的应急处置能力

一是基层国库人员培训机会较少，对国库业务系统应急知识

知之甚少，平时工作中也只是将国库资金安全放在首要地位，对

应急处置工作的学习演练投入精力较少，重视程度不够。二是目

前国库业务基本都是通过计算机处理，加之基层国库岗位基本都

是由新入行大学生担任，对传统手工账务处理基本上处于纸上谈

兵，假如真正遇到突发事件，手工账务处理将很难开展。

4.缺乏可靠的应急设施配置

一是基层国库业务用机都放置在普通工作场所，灰尘、温度

墨　金融信息化论坛　２００６年７月１０日第７期　人民银行基层行重要业务系统计算机　安全管理存在的问题及建议　◆　中国人民银行黔西南州中心支行　肖永兴　基层央行计算机运用已有近二十多年的历史，　讫今为止大部分业务系统已逐步实现资源整合、数　据集中、有关资源实现共享，与此同时，各级机构根　据实际建立了各方面的管理规章制度，在物防、技防　方面，相继建设了各种安全防范系统（防病毒、非法　外联监控、非法入侵监测等）。这些在给我们的业务　操作带来便利、高效的同时，由于运行过程中的种种　因素也带来了资金、信息、设备等一系列的安全问　题。因此，我们的计算机安全管理模式也应与时俱　进，要不断地更新观念，跟上新形势的步伐。　一、主要问题和隐患　（一）、计算机安全管理制度的建设和更新严重　滞后。随着会计集中核算ＡＢＳ、国库ＴＢＳ、货币金　银、账户结算管理、信贷咨询、即将上线运行的小额　支付、办公自动化等系统的上线运行，尤其是前六　个重要系统，迄今为止还没有一个系统有比较完善　的管理制度，各地都是根据自己的实际情况制订了　一些相应的管理制度（系统运行管理办法、操作规　程等），这些制度在防范计算机安全风险方面发挥　了一定的积极作用。但由于各地基层人员素质参差　不齐，制定出来的有关制度五花八门，缺少系统性、　权威性，运行管理上存在的安全漏洞还很多。　（二）、重要系统的应急演练未形成制度，没有　一套较完善的管理办法。《中国人民银行信息安全　管理规定》第一百零一条中规定“各单位应建立健　全灾难恢复计划，定期开展灾难恢复培训及演　练”。但目前的情况是：基层行至今还没有一个较完　善的实施方案可依，如果要靠有关业务部门自己制　定实施方案，对从未开展过此项工作的基层行来　讲，确有一定的难度，搭建一个模拟系统要耗费大　量的人力、物力和精力，更重要的是开展此项工作　要承担相当的风险。　（三）、一些监控系统（如非法入４＃－监测系统）有　关重要部位的管理严重滞后。按规定该系统一些重　要的文件要求计算机安全员做备份妥善保管，但相　当部分基层行对这些一无所知，直到上级有关部门　来检查出问题了才知晓：　（四）、县支行产生的麻痹思想。会计核算集中　系统的推广应用，县支行的数据集中到地市中心支　行管理，加大　Ｔ地市中心支行的责任，县支行只作　为中心支行的业务网点，认为数据上收ｒ，责任减　轻了，于是放松管理，容易忽视计算机安全，形成管　理上的漏洞。　（五）、网络的迅猛发展及其进一步在银行业务　中的应用带来了安全控制的新问题，现代网络技术　无疑给银行各业务系统带来方便、快捷，同时这些系　统的安全运行也离不开通讯网络系统的正常运行，　对通讯网络的依赖程度提高了。由此对通讯网络提　出了更高的要求，一是网络安全策略；二是如何保证　网络传输通道的安全，使信息在传输过程中不会被　非法截取；三是如何保证网络的畅通无阻等　（六）、科技人员底子薄弱，自我学习不够，从而　导致了科技维护工作的“先天不足”。一方面，在经　济欠发达地区，相当部分县支行科技人员都没有经　ＪＵＬ．１０，２００６　ＮＯ．７　

龙源期刊网

基层央行计算机信息安全管理工作存在的问题与建议

作者：张秉海

来源：《柴达木开发研究》2008年第05期

2008年历史罕见的暴风雪、5.12汶川8级地震、水灾等自然灾害以及“熊猫烧香”、“AV终结者”等影响较大的计算机病毒事件相继发生，利用病毒、木马技术进行网络犯罪活动猖獗，这些事件所引发的安全应急响应、灾难恢复和连续性管理等安全防护问题令人深思。面对日益严峻的安全形势，计算机信息安全正经受着越来越多的挑战，尤其是人民银行大小额支付系统、国库会计核算系统、征信系统、货币金银信息系统、人民币结算账户管理系统等核心业务系统的高可用性越来越受到人们的关注。做好计算机信息安全工作，确保人民银行支付系统等核心业务系统以及网络系统的安全，防范有组织和个体的恶意攻击是我们长期面临的一项艰巨和紧迫的任务。

一、问题分析

应该说，目前基层央行计算机信息安全工作形势比较好，硬件设施配备基本满足业务发展的需要，安全管理比较扎实，防范措施也比较得力，但从长远的计算机信息安全工作的角度来分析，仍然还存在诸多问题。

1.重视安全工具投资而轻视管理投资

从基层央行的情况来看，信息安全系统主要由防火墙、入侵检测、非法外联和病毒防范等组成。这些手段只能是在外围对非法用户和越权访问者进行封堵，而对访问的源端（客户端）防范不够。操作系统的不完善导致各种漏洞层出不穷，不能从根本上解决外部攻击，更无法防止内部人员作案。这些问题导致信息安全系统越做越复杂，误报率增多，安全投入不断增加，维护和管理更加困难。这就不得不使我们反思：在当前信息安全的形式下，使用“老三样”采用“防外攻、堵漏洞、防火墙”等手段，往往是防不胜防。

这些观念的形成有诸多原因，但最根本的原因在于对计算机安全知识了解不多，对安全管理内涵认识不够。计算机安全管理的目的：一是保障业务系统稳定运行；二是防止涉密信息泄漏；三是预防犯罪分子利用系统作案。这需要集责任感、科技知识和管理能力于一体，更需要安全管理部门和各业务运行部门间的通力协作和配合，还少不了强有力的政策支持。偏颇的安全观念使计算机安全管理工作定位不准、目标不明、步调难统一、合力难形成。 龙源期刊网