基層商業(yè)銀行信息安全管理工作探討

李艷

隨著信息化在銀行業(yè)業(yè)務系統(tǒng)中的深入應用，銀行業(yè)金融電子化進程進一步加快步伐，信息化程度越來越高。網(wǎng)上銀行、手機銀行、電話銀行、POS/ATM終端服務在給廣大人民群眾帶來支付便利的同時，也給金融機構信息安全管理提出了更高的要求。隨著人民銀行信息安全職能的進一步調整，指導、協(xié)調金融業(yè)信息安全工作成為央行科技工作職能的重要組成部分，在履行金融業(yè)信息安全屬地協(xié)調管理職責的過程中，發(fā)現(xiàn)商業(yè)銀行市縣部分機構存在信息安全管理重視程度不夠、制度建設缺位、硬件設備運行環(huán)境不達標、科技力量薄弱等方面的問題，對商業(yè)銀行的業(yè)務發(fā)展埋下信息安全隱患。本文探討基層商業(yè)銀行在信息安全管理問題上存在的一些隱患和應對的方法。

一、基層商業(yè)銀行存在的信息安全問題

本文所指基層商業(yè)銀行是指在三四線城市及其縣支行地域存在的商業(yè)銀行分支機構或規(guī)模較小的地方法人商業(yè)銀行。隨著對商業(yè)銀行的安全檢查和業(yè)務往來的了解，我們發(fā)現(xiàn)了一些普遍存在的信息安全管理問題：

（一）重視程度不夠

有話說，“誰掌握領了信息，控制了網(wǎng)絡，誰將擁有整個世界?！边@句話不完全對，不過可見信息安全是何等的重要。尤其金融行業(yè)是國家經(jīng)濟發(fā)展的大動脈，肩負著重要的社會責任，是信息安全防范的重中之重。商業(yè)銀行對信息安全管理的重要性認識不足，沒有把信息安全管理工作作為日常工作的重點，安全意識與信息化發(fā)展的要求有相當大的差距，特別是一些人員不能正確認識信息安全的重要性與緊迫性，嚴重制約了工作的有效開展；信息安全管理體制還需要進一步完善，組織機構不健全，監(jiān)督管理不到位，規(guī)章制度不完善，應急體系不完整，人員配備緊缺等突出問題需要得到根本解決；信息安全基礎設施投入不足，資金投入、建設力度與日常運維跟不上發(fā)展的需要。這些問題給信息安全管理工作帶來了前所未有的威脅和挑戰(zhàn)。

（二）制度建設缺位

制度建設對商業(yè)銀行的改革、管理和發(fā)展起到了巨大的推動作用，但是，制度建設仍然存在一些問題，制度建設須要進一步深化。雖然各商業(yè)銀行也制定了信息安全管理制度，但基本上都是套用上級行各類制度，甚至將上級行的制度不做任何修改直接照搬，真正結合本單位、本部門、制定細責的很少，與工作實際脫節(jié)，執(zhí)行起來可行性不高。制度建設形同虛設，擺“花架子”應付檢查機構的檢查，或者制度體系建設不完整，責任落實不到位，信息安全工作開展缺乏有力的依據(jù)和規(guī)范。

（三）硬件設備運行環(huán)境不達標

近年來，商業(yè)銀行擴疆辟土，新的網(wǎng)點不斷涌現(xiàn)。但是對營業(yè)場所信息安全設備的投入相對于他們的規(guī)模和利潤水平是巨大的，在看不到眼前效益的情況下，勢必對投入有所保留。設備更新速度較慢，運行環(huán)境不達標。雖然商業(yè)銀行的網(wǎng)點都有獨立的機房，但無論機房選址、裝修配置、出入登記都存在問題。有得機房距離衛(wèi)生間僅僅不到五米，切沒有做防水處理；機房內沒有安裝空調，設備溫度較高；機房內線纜凌亂，業(yè)務網(wǎng)絡和互聯(lián)網(wǎng)絡設備隨意放置在一起；甚至將機房作為雜物間使用，出入機房沒有嚴格例行登記。這些問題的存在，都給業(yè)務運行帶來很大的安全隱患。

（四）科技力量薄弱

近年來由于商業(yè)銀行業(yè)務處理數(shù)據(jù)大集中的發(fā)展模式，在地市級及以下縣級配備科技人員數(shù)量較少，有的行或者不配備專業(yè)的科技人員，科技人才匱乏且均為兼職。隨著各項業(yè)務系統(tǒng)上線數(shù)量的增多，科技任務越來越重，及時基層機構只設客戶端，但一名兼職的科技人員面對如此多的客戶端和網(wǎng)點，也只能充當“救火隊員”的角色，運維保障質量將大打折扣。以某縣域轄區(qū)為例：沒有一家商業(yè)銀行的科技人員為計算機專業(yè)畢業(yè)，另外，科技人員年齡普遍偏大，平均年齡為40.1歲，且知識結構單一，新知識、新技術掌握不多，很難適應當前飛速發(fā)展的信息安全工作需要。日常疲于應付各項業(yè)務工作，根本無暇顧及較深層次的應用學習，除了某村鎮(zhèn)銀行每月會通過網(wǎng)絡對科技人員進行培訓外，其他金融機構的科技人員只是在新系統(tǒng)上線的時候才會進行相應的培訓，因此只能簡單的對系統(tǒng)進行操做和維護，業(yè)務素質跟不上金融電子化的發(fā)展。各商業(yè)銀行缺乏有關信息安全管理教育培訓的環(huán)境和氛圍，每年對員工進行計算機知識方面的培訓平均不到一次，而且質量很難得到保證，科技人員如果不在，一旦計算機出現(xiàn)問題，業(yè)務很可能停滯。

（五）信息安全管理缺乏有力監(jiān)督

央行近幾年明確了金融業(yè)信息安全屬地化管理職責，也對商業(yè)發(fā)布了一系列的信息安全工作規(guī)范，但對商業(yè)銀行信息安全的監(jiān)督管理與指導卻沒有明確的標準，使得央行基層行在實際管理工作中缺乏依據(jù)和標桿，從而加大了管理難度。科技部門對外工作往往面臨沒有管理、檢查依據(jù)的尷尬狀況。但對金融機構來說，這些制度規(guī)定并沒有一定的針對性和強制性，工作開展難度較大，成效并不明顯。

二、解決基層商業(yè)銀行信息安全問題的思路

（一）充分發(fā)揮協(xié)調聯(lián)席會議的職能作用

建立信息安全管理工作聯(lián)席會議制度，有利于提高各成員單位處置突發(fā)事件的能力，鞏固轄區(qū)信息安全壁壘。有利于發(fā)揮資源配置優(yōu)勢和信息共享，及時獲取、預警重要信息安全情況，控制安全風險，處置突發(fā)事件。有利于促進轄區(qū)轉變信息安全管理模式，實現(xiàn)從點到線，從任務式到機制化的轉變。有利于促進成員單位提高信息安全管理意識，調整自身的信息安全管理方式。

（二）實行“責任追究制”，健全制度推進執(zhí)行

基層商業(yè)銀行要建立信息安全領導小組，落實工作具體負責人，實行“責任追究制”。本著“誰主管誰負責，誰運營誰負責，誰使用誰負責”的方針，把安全工作責任落到實處。要制定切合本單位信息安全工作的規(guī)劃、制度和措施，進一步明確科技人員和業(yè)務人員的義務和責任，細化各項實施細則，建立完善各種登記制度，使得各項制度真正具有科學性、針對性和可操作性，為信息安全管理工作真正落到實處提供強有力的依據(jù)和保障。

（三）加強信息化人才隊伍建設

基層商業(yè)銀行應要引進足夠數(shù)量的能力強的技術人員，通過組織培訓、督促自學、相互交流等多種形式加大對科技人員及員工的培訓力度，普及新的實用信息化應用和安全技術應用知識，進一步提高科技人員和員工解決實際信息化應用和安全管理問題的能力，最大程度從人的層面上消除信息安全管理工作隱患。

（四）加強基礎設施投入，優(yōu)化運維環(huán)境

基層商業(yè)銀行應加快基礎設施更新改造步伐，舍得投入，舍得運維，加強電子設備及運行環(huán)境檢查力度，對重要設備做好保養(yǎng)工作，對沒有相應防護措施的要堅決進行完善，讓硬件設施和設備運行環(huán)境跟上信息化發(fā)展的步伐。

（五）完善監(jiān)督管理措施，加強服務引導職能

央行應盡快建立金融業(yè)信息安全管理各項實施細則，明確基層央行對各家金融機構信息安全管理的目標責任、管理任務及指導規(guī)范，以便基層行能夠有效地對金融機構的信息安全管理工作進行監(jiān)督和協(xié)調指導，確保管理指導工作的執(zhí)行力和執(zhí)行效果，切實提高轄區(qū)各家金融機構的信息安全保障能力，共同維護一方金融穩(wěn)定。