電子銀行安全評估方法研究

余 博

余博/廣東理工職業(yè)學(xué)院教師，碩士（廣東廣州510091）。

商業(yè)銀行的電子化建設(shè)始于20世紀50年代，美國的商業(yè)銀行開始為客戶提供電子支付服務(wù)。70年代開始，隨著全球金融一體化的進程，全球金融機構(gòu)通過SWIFT系統(tǒng)[1]實現(xiàn)通訊連接。經(jīng)過五十多年的發(fā)展，商業(yè)銀行已經(jīng)全面進入真正的電子銀行時代（ebank）。

電子銀行[2]是指商業(yè)銀行等銀行業(yè)金融機構(gòu)利用面向社會公眾開放的通訊通道或開放型公眾網(wǎng)絡(luò)，以及銀行為特定自助服務(wù)設(shè)施或客戶建立的專用網(wǎng)絡(luò)，向客戶提供的銀行服務(wù)。其業(yè)務(wù)主要包括利用網(wǎng)上銀行業(yè)務(wù)，電話銀行業(yè)務(wù)，手機銀行業(yè)務(wù)，以及客戶通過自助服務(wù)方式完成金融交易的業(yè)務(wù)，如自助終端、ATM、POS等。隨著金融創(chuàng)新和通訊技術(shù)的高速發(fā)展，電子銀行已經(jīng)成為商業(yè)銀行運行業(yè)務(wù)的最重要的渠道之一。它可以打破傳統(tǒng)的網(wǎng)點服務(wù)上時間和空間的限制，全天候24小時不間斷為客戶提供金融服務(wù)。然而，隨著電子銀行業(yè)務(wù)的快速發(fā)展，其安全問題也日益突出，短信詐騙、黑客攻擊、病毒入侵、系統(tǒng)漏洞等問題層出不窮，輕則會影響電子銀行業(yè)務(wù)的正常使用，重則會導(dǎo)致商業(yè)銀行出現(xiàn)較大損失。2005年，以色列的一個黑客團伙利用“按鍵記錄”軟件入侵一家日本銀行在英國倫敦的辦事處，竊取賬戶和密碼，企圖非法轉(zhuǎn)移2.2億英鎊(約合2.94億美元)的資金，震驚世界，如果他們得逞，將是歷史上最嚴重的網(wǎng)絡(luò)金融安全事件。2011年，美國花旗銀行被黑客侵入，21萬北美地區(qū)銀行卡客戶的重要信息泄露。2013年，韓國新韓和農(nóng)業(yè)協(xié)同兩家銀行疑遭電腦黑客襲擊，其電腦網(wǎng)絡(luò)癱瘓了三天，數(shù)以萬計的客戶受影響，損失嚴重。

因此，電子銀行風(fēng)險防范與安全管理成為現(xiàn)代金融機構(gòu)亟待解決的重要問題。通常，電子銀行業(yè)務(wù)主要面臨四種風(fēng)險：安全風(fēng)險、管理風(fēng)險、合規(guī)風(fēng)險和聲譽風(fēng)險。其中，安全風(fēng)險涉及客戶和銀行的資金安全，是電子銀行業(yè)務(wù)的核心問題。因此，加強電子銀行安全保障水平是實現(xiàn)金融穩(wěn)定運行、保持國民經(jīng)濟持續(xù)快速健康發(fā)展的重要支撐。電子銀行的安全風(fēng)險主要包括：計算機系統(tǒng)的故障、黑客攻擊造成的服務(wù)中斷、數(shù)據(jù)外泄、應(yīng)用系統(tǒng)差錯、客戶認證和數(shù)字簽名被破譯等。本文主要闡述安全風(fēng)險的評估。

為了有效控制電子銀行安全風(fēng)險，盡快完善電子銀行業(yè)務(wù)的監(jiān)管規(guī)章體系，銀監(jiān)會在認真分析總結(jié)我國商業(yè)銀行電子銀行業(yè)務(wù)發(fā)展的基礎(chǔ)上，結(jié)合我國現(xiàn)有金融法律制度，借鑒了國外有關(guān)機構(gòu)對電子銀行業(yè)務(wù)的監(jiān)管經(jīng)驗，先后發(fā)布了《電子銀行業(yè)務(wù)管理辦法》和《電子銀行安全評估指引》，并于2006年3月1日起開始施行。從此，電子銀行安全評估也有了政策上的支持。在技術(shù)支持方面，商業(yè)銀行除了自身設(shè)立專門的安全風(fēng)險管控和信息技術(shù)部門來防范電子銀行安全風(fēng)險外，更多地把這項業(yè)務(wù)外包給更加專業(yè)的網(wǎng)絡(luò)安全公司。商業(yè)銀行可以通過全面安全評估及安全改進，使電子銀行系統(tǒng)的安全保障能力符合國家的相關(guān)政策法規(guī)和自身業(yè)務(wù)的安全需求，從而增強電子銀行用戶的使用信心，提高銀行的市場競爭力。

安全風(fēng)險評估中最關(guān)鍵的步驟就是要找到一種合適的評估方法，這樣既可以提高效率，又可以節(jié)約人力和時間成本。本文將闡述幾種在不同的信息系統(tǒng)環(huán)境下經(jīng)常采用的評估方法供電子銀行在選擇安全風(fēng)險評估方法時進行參考。

一、問卷調(diào)查

問卷調(diào)查是一種最簡單，成本較低的安全評估方法。問卷的對象主要是使用電子銀行的業(yè)務(wù)操作人員和客戶。它由一組關(guān)聯(lián)的封閉式或開放式問題組成。用于在評估過程中獲取信息系統(tǒng)的安全策略、信息安全組織、人力資源管理、資產(chǎn)管理、物理和環(huán)境安全、訪問控制、通訊與運維管理、系統(tǒng)開發(fā)和維護、業(yè)務(wù)連續(xù)性計劃、安全事件管理、符合性等11個方面。

二、文件分析

由評估人員查閱被評估銀行的電子銀行安全體系的相關(guān)文件，主要從安全策略、規(guī)范、制度、表單的匯總、檢查與分析這幾方面入手，梳理文件的邏輯結(jié)構(gòu)，從中發(fā)現(xiàn)錯誤、遺漏、陳舊、可改進項等問題。它和問卷調(diào)查都屬于較初級的安全評估方法，不能完成整個安全評估體系的構(gòu)成，只能為佐證成果的客觀性和全面性提供有力的證據(jù)。

三、顧問訪談

顧問訪談是結(jié)合問卷調(diào)查和文件分析有效的管理評估方式。通過對不同對象的訪談，包括銀行相關(guān)領(lǐng)導(dǎo)、風(fēng)險管理人員、審計管理員、網(wǎng)絡(luò)系統(tǒng)管理員、普通員工和最終用戶，可以對絕大部分的安全管理實現(xiàn)細節(jié)進行了解，并對上述的管理問卷調(diào)查結(jié)果和體系文件進行分析確認，訪談結(jié)果將直接影響組織各項安全控制的評估結(jié)果。審核的內(nèi)容是根據(jù)《商業(yè)銀行信息科技風(fēng)險管理指引》、《電子銀行業(yè)務(wù)管理辦法》、《電子銀行安全評估指引》、《網(wǎng)上銀行信息系統(tǒng)通用規(guī)范（試行）》等相關(guān)國家和行業(yè)標準問卷的問題。

四、安全漏洞掃描

在電子銀行安全體系的建設(shè)中，運用安全掃描軟件是一種進行風(fēng)險分析的有力工具，它可以大規(guī)模減少安全管理員的手工勞動，有利于保持整個系統(tǒng)安全政策的穩(wěn)定。安全掃描主要是通過評估工具以本地掃描的方式對電子銀行的系統(tǒng)和網(wǎng)絡(luò)進行安全掃描，對隔離區(qū)服務(wù)器、應(yīng)用區(qū)服務(wù)器、網(wǎng)絡(luò)設(shè)備三大區(qū)域的主機系統(tǒng)、中間件、數(shù)據(jù)庫系統(tǒng)等的漏洞情況進行全面的評估。

我們從網(wǎng)絡(luò)層次的角度將安全掃描分為以下三個方面：

（1）系統(tǒng)層。這一層的安全問題來自網(wǎng)絡(luò)運行的操作系統(tǒng)，比如UNIX系列、Linux系列、Windows NT系列以及專用服務(wù)器操作系統(tǒng)等。系統(tǒng)層安全評估主要是通過安全漏洞掃描方式對網(wǎng)上銀行系統(tǒng)中，承載電子銀行業(yè)務(wù)的應(yīng)用主機服務(wù)器的操作系統(tǒng)進行安全性評估。

（2）網(wǎng)絡(luò)層。網(wǎng)絡(luò)層安全評估主要是通過網(wǎng)上銀行系統(tǒng)進行網(wǎng)絡(luò)架構(gòu)分析評估方法對網(wǎng)上銀行系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)出口、Cisco路由器和交換機以及防火墻等網(wǎng)絡(luò)設(shè)備的安全性進行評估。

（3）應(yīng)用層。這一層的安全問題是考慮網(wǎng)絡(luò)對用戶提供服務(wù)所采用的應(yīng)用軟件和數(shù)據(jù)的安全性，包括網(wǎng)上銀行客戶端、電子支付系統(tǒng)、信用卡系統(tǒng)、基于Android系統(tǒng)的手機銀行客戶端、動態(tài)電子口令以及其他網(wǎng)絡(luò)服務(wù)系統(tǒng)等。

五、在線分析

為了給電子銀行業(yè)務(wù)做更全面的安全風(fēng)險評估，需要利用入侵檢測系統(tǒng)[3]對可能存在的安全威脅進行實時采樣收集。入侵檢測正是為保證計算機網(wǎng)絡(luò)系統(tǒng)的安全而設(shè)計的一種能夠及時發(fā)現(xiàn)并報告網(wǎng)絡(luò)系統(tǒng)中未授權(quán)或異常現(xiàn)象的技術(shù)，是一種用于檢測計算機網(wǎng)絡(luò)中違反安全策略行為的技術(shù)。主要的入侵檢測技術(shù)有兩種，即特征檢測和異常檢測。

入侵檢測系統(tǒng)相比較一些傳統(tǒng)靜態(tài)的安全評估方法，能夠動態(tài)地為電子銀行業(yè)務(wù)提供內(nèi)外部攻擊和錯誤操作的保護，成為防火墻之后又一道安全防線，也是目前電子銀行安全風(fēng)險評估必不可少的評估方法。

六、人工安全掃描

針對商業(yè)銀行電子銀行的網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫、服務(wù)器、操作系統(tǒng)、應(yīng)用系統(tǒng)等軟硬件設(shè)備，安全評估人員利用安全評估軟件掃描其存在的安全漏洞，找出潛在的風(fēng)險，并給出相應(yīng)的整改措施。然而，由于安全評估軟件的科技水平有限，并不能全方位地檢測出全部評估范圍內(nèi)硬件和系統(tǒng)的全部漏洞，因此，為了彌補這一不足，安全評估人員的手工檢測就顯得尤為重要，當(dāng)然這樣會增加安全評估的人力成本和時間成本。

另外，許多安全設(shè)備如防火墻、入侵檢測等設(shè)備也是人工評估的主要對象。因為這些安全系統(tǒng)的作用是為網(wǎng)絡(luò)和應(yīng)用系統(tǒng)提供必要的保護，其安全性也必然關(guān)系到網(wǎng)絡(luò)和應(yīng)用系統(tǒng)的安全性是否可用、可控和可信。目前還沒有針對安全系統(tǒng)進行安全評估的系統(tǒng)和工具，只能通過手工的方式進行安全評估。

七、遠程滲透測試

滲透測試借鑒了黑客攻擊的手法和技巧，通過內(nèi)網(wǎng)滲透測試和外網(wǎng)滲透測試兩種方式充分暴露和發(fā)掘潛在的漏洞，高度精確地反映客戶系統(tǒng)面臨的風(fēng)險。這種測試方法耗時短、效率高，在網(wǎng)絡(luò)安全評估方法中是一種發(fā)現(xiàn)嚴重安全漏洞的最有效的方法。通常情況下，考慮到電子銀行的使用環(huán)境，這一類滲透測試都是在電子銀行業(yè)務(wù)應(yīng)用較為空閑01:00-07:00時段進行，或者構(gòu)建一個仿真模擬的系統(tǒng)測試環(huán)境下進行。另外，滲透測試軟件和黑客攻擊手段都必須通過銀行嚴格的審核同意，并準備充分完善的系統(tǒng)恢復(fù)方案，在測試之前必須提前網(wǎng)站公示，及時通知客戶，將對電子銀行業(yè)務(wù)的影響程度降到最低。

在遠程滲透測試過程中，商業(yè)銀行可以根據(jù)自身情況，選擇測試的強度和范圍，例如不準許測試人員對某些重要的服務(wù)器和應(yīng)用程序進行測試以影響其正常運行；嚴格控制滲透測試的時間，一般選擇電子銀行業(yè)務(wù)相對空閑時段，不能長時間測試而影響業(yè)務(wù)正常運作。

八、安全策略評估

安全策略評估目前是公認的最全面、最有效、最詳細的電子銀行安全評估方法，它對整個電子銀行的網(wǎng)絡(luò)設(shè)備和系統(tǒng)在安全控制、風(fēng)險管理、客戶保護、安全交易結(jié)算等方面進行綜述及建議。這一種綜合性的電子銀行安全評估方法，是從整體網(wǎng)絡(luò)安全的角度對現(xiàn)有的電子銀行網(wǎng)絡(luò)安全策略進行全局性的評估，它包含了技術(shù)和管理方面的內(nèi)容，具體包括：安全策略評估是否能全面覆蓋了電子銀行網(wǎng)絡(luò)系統(tǒng)的安全性描述；在安全策略中描述的所有安全控制、風(fēng)險管理、客戶保護、交易結(jié)算的措施是否正確和有效；安全策略評估中的每一項內(nèi)容是否在相應(yīng)的部門得到確認和具體落實。

在整個評估過程中，要求安全評估人員要“量體裁衣”，根據(jù)不同的網(wǎng)絡(luò)系統(tǒng)給出相應(yīng)的安全策略，要涵蓋對整個網(wǎng)絡(luò)系統(tǒng)有關(guān)安全的所有問題，例如如何確保用戶客戶端密碼輸入安全，如何實現(xiàn)數(shù)據(jù)傳輸?shù)谋Ｃ苄院屯暾裕M建應(yīng)急響應(yīng)小組的成員和制定完善的應(yīng)急響應(yīng)程序，災(zāi)難恢復(fù)計劃的制定等問題。對所有問題有相應(yīng)的制定計劃和解決方案，就相當(dāng)于針對整個網(wǎng)絡(luò)系統(tǒng)的一份完整的安全策略。策略一旦制定，將成為整個網(wǎng)絡(luò)安全行為的準則，商業(yè)銀行的每一個部門的工作人員都必須嚴格遵守。

總而言之，在具體的實踐過程中，針對不同的商業(yè)銀行的電子銀行系統(tǒng)，分析其安全風(fēng)險的應(yīng)用需求，一般不會單一地使用某種安全評估方法，而是結(jié)合多種策略，行程一套行之有效的安全風(fēng)險評估報告，對被評估商業(yè)銀行的網(wǎng)絡(luò)系統(tǒng)改進和監(jiān)管機構(gòu)的政策制定都有深遠的意義。

注釋：

[1]SWIFT 是 society for worldwide interbank financial telecommunications（環(huán)球同業(yè)銀行金融電信協(xié)會或環(huán)球銀行間金融通信協(xié)會）的縮寫，是國際銀行同業(yè)間的國際合作組織，目前全球大多數(shù)國家大多數(shù)銀行已使用SWIFT系統(tǒng)。

[2]《電子銀行業(yè)務(wù)管理辦法》(中國銀行業(yè)監(jiān)督管理委員會2006年3月1日實施)中的有關(guān)定義。

[3]入侵檢測系統(tǒng)（intrusion detection system，簡稱“IDS”）是一種對網(wǎng)絡(luò)傳輸進行即時監(jiān)視，在發(fā)現(xiàn)可疑傳輸時發(fā)出警報或者采取主動反應(yīng)措施的網(wǎng)絡(luò)安全設(shè)備。

[1]徐杰.電子銀行安全評估方法探討[J].中國金融電腦，2012，(11)

[2]李歡.淺談電子銀行安全風(fēng)險及防范[J].新財經(jīng)，2010，(12)

[3]胡曉荷.電子銀行安全評估:讓防范更精準[J].信息安全與通信保密，2009，(3)

[4]狄衛(wèi)平，梁洪澤.網(wǎng)絡(luò)金融研究[J].金融研究，2000，(11)

[5]牟冰.我國電子銀行業(yè)務(wù)創(chuàng)新及其風(fēng)險防范研究[D].對外經(jīng)濟貿(mào)易大學(xué)，2006

[6]中國工商銀行教育部杭州金融研修學(xué)院.電子銀行[M].北京：中國金融出版社，2003