提升IT軟實力 檢查不是走過場

劉鐵斌

《期貨公司信息技術管理指引》(以下簡稱《指引》)到底有哪些主要要求?大部分期貨公司在這方面的現(xiàn)狀怎樣?中國期貨行業(yè)協(xié)會(以下簡稱中期協(xié))2008年底對期貨公司進行了一次行業(yè)摸底調查,全國所有期貨公司網上填報了500項問題選項,形成了5份調查報告。

調查結果不容樂觀

技術管理 《指引》對期貨公司在組織結構、人員素質、培訓、信息技術服務提供商管理和IT投入等方面提出了基本要求和分級要求。以IT投入為例,《指引》要求期貨公司最近3個財政年度IT投入平均數額應不少于最近3個財政年度平均凈利潤的6%或不少于最近3個財政年度平均營業(yè)收入的3%,取二者數額較大者。而根據調查,截至2008年底,有11家公司最近3個財政年度的IT投入平均數額占平均凈利潤的比例仍未達到《指引》規(guī)定的6%;12家公司最近3個財政年度的IT投入平均數額占平均營業(yè)收入的比例未達到《指引》規(guī)定的3%。

《指引》一類中要求期貨公司IT工作人員總數原則上應不少于公司員工總人數的6%,總數應不少于3人。調查結果顯示,截至2008年底,32家公司的IT工作人員比例仍低于6%,12家公司的IT工作人員總數仍未達到3人。

機房建設 《指引》對機房承重、消防、防雷、監(jiān)控、供電、空調、布線和維護等方面提出了基本要求和分級要求。其中承重的2、3類要求分別為每平方米300公斤和每平方米500公斤。2008年底統(tǒng)計顯示,9家公司的機房承重能力在每平方米300公斤以下;46家公司為每平方米300至500公斤;67家公司達到每平方米500公斤以上。防盜報警方面,54%的期貨公司在機房內安裝了防盜報警設施,達到了指引的要求。從調查數據中還可以看出,81%的期貨公司機房已具備了雙路供電;92%的公司指定了專人對機房供配電系統(tǒng)進行定期維護。此外,為更好地應對突發(fā)事故,還有72%的公司在機房出入口處或值班室設置了應急斷電裝置,87%的公司在機房內安裝了應急照明設施和安全口指示燈。空調方面,僅有57%的公司配備了精密空調, 86%的公司配備了備用空調,其中備用空調為精密空調的公司約占40%。在機房監(jiān)控方面, 93%的期貨公司已建立了完整的機房監(jiān)控機制,85%的公司安排了機房值班人員,而能夠實現(xiàn)7×24小時值班的公司只占全部公司的29%。

核心業(yè)務系統(tǒng) 《指引》對核心業(yè)務系統(tǒng)功能、性能、容量、交易系統(tǒng)冗余、行情冗余和銀期系統(tǒng)冗余等方面提出了基本要求和分級要求。指引要求,交易系統(tǒng)應實現(xiàn)與應用分離,并具備對客戶進行實時風險控制的能力;交易系統(tǒng)的性能和容量應能達到會員交易要求;應對交易系統(tǒng)的主要業(yè)務指標進行實時監(jiān)控,并對所有接入交易所的交易通信鏈路和所有網上交易通信鏈路進行監(jiān)控等。對于連接各交易所的交易鏈路,多數公司選擇SDH、DDN或幀中繼等直連鏈路作為主鏈路,并以三所聯(lián)網等方式作為備份鏈路。

安全 《指引》對網絡隔離、防病毒、補丁及安全加固、網站安全、網上交易安全、賬號與權限、密碼管理和安全審計等方面提出了基本要求和分級要求。從實際使用情況來看,期貨公司的網絡主要包括生產網、辦公網和互聯(lián)網,此外還包括公司與交易所、銀行等單位的連接。調查結果顯示,目前多數期貨公司都采取了相應措施對不同網絡進行隔離,從而更好地保障業(yè)務信息和客戶信息的安全。

在入侵檢測方面,目前76%的公司制定了對抗入侵的計劃;86%的公司能夠在網絡邊界處監(jiān)視端口掃描及緩沖區(qū)溢出等攻擊行為,其中超過50%的公司在所有外部網絡接口處都安裝了入侵檢測設備。

在系統(tǒng)權限和密碼管理方面,96%的公司實現(xiàn)了操作系統(tǒng)和數據庫系統(tǒng)特權用戶的權限分離;99%的公司限制了默認賬戶的訪問權限;95%的公司制定了相應的制度更換和保存口令,92%的公司都采取了有效的物理保護措施對口令進行保護。在防病毒管理方面,超過96%的公司對所有Windows平臺均部署了木馬、病毒防護軟件,及時更新,定期進行木馬、病毒檢測。

在系統(tǒng)補丁管理和安全加固方面,96%的公司建立了定期掃描并修補漏洞的工作制度,并在評估后安裝必要的Windows系統(tǒng)補丁程序。在安全審計和評估方面,72%以上的公司能夠確保安全審計范圍覆蓋服務器上的每個操作系統(tǒng)用戶和數據庫用戶,68%的公司有對交易業(yè)務系統(tǒng)的可靠性和安全性進行定期評估的制度。

日常運維 《指引》對技術人員崗位、制度、巡檢和機房進出等日常運行管理提出了基本要求和分級要求。目前,90%的期貨公司在機房出入口安排了專人值守,控制、鑒別和記錄出入的人員;77%的公司安裝了機房門禁系統(tǒng);約95%的公司具有機房來訪人員申請和審批流程,能夠限制并全程監(jiān)控機房來訪人員的活動范圍。

災備 《指引》對數據備份和災難備份提出了基本要求和分級要求。在設備和介質管理方面,93%的期貨公司對所使用的介質進行了分類標識和存儲;對于需要送出維修或銷毀的介質,99%的公司能夠清除其中的敏感數據,以防止信息的非法泄漏。對于生產所用的應用系統(tǒng)、硬件設備和系統(tǒng)軟件,所有期貨公司都使用了正規(guī)廠商的產品,其中95%的公司購買了相應的維護服務。

由于期貨公司目前的實力和IT現(xiàn)狀,很難做到投入大量資金建立災備中心,因此我們把災難備份作為可選項。未來的發(fā)展方向還是倡導建立災備中心的。

系統(tǒng)管理 《指引》對系統(tǒng)變更管理、配置管理、容量管理、應急演練和技術事故管理等方面提出了基本要求和分級要求。

據調查,98%的期貨公司制定了詳細的系統(tǒng)配置文檔和完整、規(guī)范的系統(tǒng)測試操作流程,93%的公司能夠在每次上線前進行影響分析或評估,97%以上的公司能夠針對每次上線制定明確的上線計劃,上線前充分測試,對上線情況進行精確的跟蹤,并記錄上線的操作過程和發(fā)生的問題。

營業(yè)部 《指引》對營業(yè)部技術管理和技術系統(tǒng)提出了基本要求,對有現(xiàn)場交易的營業(yè)部提出了交易保障的高級要求。

調查顯示,約72%的期貨公司營業(yè)部建設了滿足安全要求的機房,用于放置業(yè)務開展所需要的網絡、通信和主機設備。約62%的期貨公司營業(yè)部所在場所具備雙路供電;在提供現(xiàn)場交易的期貨營業(yè)部中,78%已使用了不間斷供電設備。

23%的期貨公司營業(yè)部已建立了連接總部中心機房的直連鏈路。在系統(tǒng)安全方面,81%的期貨公司營業(yè)部重要網絡設備、服務器能夠抗單點故障;76%的期貨公司營業(yè)部對現(xiàn)場辦公網絡與客戶交易網絡進行了隔離。

一場持久戰(zhàn)

雖然期貨公司在準備股指期貨上市的這幾年里,在信息技術方面增大了投入,加強了技術人才引進,提升了技術管理水平,但還是距監(jiān)管部門的要求和未來發(fā)展的需要有不小的差距。上面的調查數據看似不錯,但是真正檢查就不一樣了。通過試檢查我們發(fā)現(xiàn),在信息技術方面實力最強的幾家公司都仍然存在著很多問題,對他們進行的187項檢查中,平均67項不合格。原因何在?

我認為,一是他們對《指引》本身和《指引》制定的初衷,仍有不同程度的理解偏差,存在理解不到位的情況;二是檢查時指引尚未公布,公司沒有足夠的時間準備;三是公司認為最容易達到的軟要求往往是最不易達到的。相反,硬件投入在某種意義上來說更容易達到。比如說,存儲容量不夠、UPS不夠、空調不是精密空調,期貨公司增加相應投入就可以了。而技術管理、日常運行、系統(tǒng)維護等幾類要求主要是在IT管理上的要求。比如IT制度建設、巡檢、機房進出管理、日志記錄、變更管理、配置管理和容量管理等方面的軟要求,就不是簡單靠IT投入能夠達到的,而是要靠合理規(guī)范的制度、責任心和良好的工作習慣。而這些都不是一朝一夕能夠實現(xiàn)的。

所以說,期貨公司要想達到技術改造要求,首先要認真研讀指引的每一個條款,然后根據本單位的實際情況制定切實可行的整改方案,抓重點,摳細節(jié)。在整改完成時應積極開展自查活動。