大型企業(yè)資金信息系統(tǒng)安全保障策略及設(shè)計(jì)

龍華

【摘 要】對(duì)于企業(yè)重要信息系統(tǒng)的安全保障，通常要求按照信息安全等級(jí)保護(hù)相關(guān)標(biāo)準(zhǔn)和制度進(jìn)行建設(shè)。論文基于《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》第三級(jí)的規(guī)定，提出了某大型企業(yè)資金集中管理信息系統(tǒng)安全保障的策略，并對(duì)系統(tǒng)各個(gè)重要環(huán)節(jié)進(jìn)行了安全設(shè)計(jì)，采用各種安全技術(shù)予以實(shí)施，以確保資金的安全管理。

【Abstract】For the security of important information system of the enterprise， we usually construct it according to the relevant standards and the level of information security protection system. Based on third level regulation of the "Basic Requirements of the Information System Security Level Protection"， the paper puts forward the security strategy of the centralized fund management information system in a large enterprise， and the security design is made for the important links ，using a variety of security technologies to put it into effect to ensure the safety management of funds.

【關(guān)鍵詞】信息系統(tǒng)；資金系統(tǒng)；等級(jí)保護(hù)；第三級(jí)保護(hù)；資金安全

【Keywords】information system； funding system； hierarchy protection； third stage protection； fund safety

【中圖分類號(hào)】TP309 【文獻(xiàn)標(biāo)志碼】A 【文章編號(hào)】1673-1069（2017）06-0027-03

1 引言

隨著經(jīng)濟(jì)全球化的發(fā)展，企業(yè)面臨著更多的機(jī)遇和挑戰(zhàn)。資金是集團(tuán)企業(yè)進(jìn)行生產(chǎn)、經(jīng)營等一系列經(jīng)濟(jì)活動(dòng)的最基本要素，是企業(yè)的命脈。資金管理貫穿于企業(yè)整個(gè)生產(chǎn)經(jīng)營的始末。對(duì)于經(jīng)營者而言，掌握資金過去、現(xiàn)在、未來的流動(dòng)狀況，對(duì)投資決策和經(jīng)營決策有舉足輕重的作用。對(duì)于所有者而言，還需要掌握資金的安全和控制資金使用的合理性。因此，必須為資金管理尋找一個(gè)強(qiáng)有力的系統(tǒng)支持，滿足對(duì)資金的集中管理，實(shí)現(xiàn)對(duì)各經(jīng)營單位資金的監(jiān)控，并為集團(tuán)財(cái)務(wù)管理的決策和分析提供所有與資金相關(guān)的信息。由此，資金信息系統(tǒng)成了企業(yè)信息化系統(tǒng)的重要組成部分，對(duì)于資金管理系統(tǒng)的信息安全保障顯得尤為重要。

信息安全等級(jí)保護(hù)制度是我國信息安全領(lǐng)域的一項(xiàng)基本制度，開展信息安全等級(jí)保護(hù)工作是保障重要信息系統(tǒng)安全的重大措施，是事關(guān)國家安全、社會(huì)穩(wěn)定、國家利益的一項(xiàng)重要任務(wù)。當(dāng)前，各行各業(yè)均在按照要求構(gòu)建自己的信息系統(tǒng)安全保障體系。

信息系統(tǒng)安全保護(hù)等級(jí)分為五級(jí)，某大型企業(yè)資金集中管理系統(tǒng)是該企業(yè)安全性要求最高的信息系統(tǒng)，按照信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南被劃為三級(jí)保護(hù)[1]。第三級(jí)基本要求在技術(shù)上包括5個(gè)方面：物理安全、主機(jī)安全、網(wǎng)絡(luò)安全、應(yīng)用安全和數(shù)據(jù)安全。此文重點(diǎn)對(duì)資金集中管理系統(tǒng)的以上五個(gè)方面進(jìn)行安全保障體系設(shè)計(jì)。按照“保障資金安全，保障系統(tǒng)安全，滿足法律法規(guī)要求”的總體安全目標(biāo)，依據(jù)國家信息安全等級(jí)保護(hù)三級(jí)標(biāo)準(zhǔn)，遵照人民銀行、銀監(jiān)會(huì)信息安全監(jiān)管要求，結(jié)合企業(yè)資金安全內(nèi)控準(zhǔn)則，針對(duì)應(yīng)用安全控制的要求從業(yè)務(wù)應(yīng)用、IT網(wǎng)絡(luò)基礎(chǔ)設(shè)施、安全管理運(yùn)維三個(gè)層面進(jìn)行資金信息安全建設(shè)。針對(duì)資金信息系統(tǒng)安全保障工作進(jìn)行了詳細(xì)闡述。

2 資金集中管理安全體系目標(biāo)

資金集中管理的安全體系目標(biāo)包括如下幾個(gè)方面。

①業(yè)務(wù)流程安全

通過深入分析各業(yè)務(wù)流程可能存在的風(fēng)險(xiǎn)，并結(jié)合業(yè)務(wù)流程的特點(diǎn)，選擇相應(yīng)的安全保護(hù)措施（如：安全隔離、統(tǒng)一用戶認(rèn)證、專機(jī)認(rèn)證保護(hù)、數(shù)字簽名、數(shù)據(jù)加密、完整性保護(hù)等），確實(shí)保障各項(xiàng)業(yè)務(wù)流程的安全。

②信息系統(tǒng)安全

嚴(yán)格按照信息系統(tǒng)安全的要求，對(duì)核心業(yè)務(wù)系統(tǒng)采用專網(wǎng)保護(hù)，對(duì)關(guān)鍵業(yè)務(wù)流程采用專用系統(tǒng)進(jìn)行隔離，信息系統(tǒng)間的數(shù)據(jù)交換根據(jù)機(jī)密性、完整性和抗抵賴性進(jìn)行保護(hù)，強(qiáng)化負(fù)載均衡、備份容災(zāi)實(shí)現(xiàn)系統(tǒng)的高可用性。

③網(wǎng)絡(luò)系統(tǒng)安全

建設(shè)財(cái)務(wù)公司專網(wǎng)，實(shí)現(xiàn)專網(wǎng)與其他網(wǎng)絡(luò)的安全隔離。專網(wǎng)和其他網(wǎng)絡(luò)之間的安全通信要進(jìn)行訪問控制；部署網(wǎng)管系統(tǒng)，對(duì)網(wǎng)絡(luò)進(jìn)行安全監(jiān)控，保障專網(wǎng)和其他網(wǎng)絡(luò)安全可靠地運(yùn)行。

④業(yè)務(wù)操作環(huán)境安全

核心業(yè)務(wù)系統(tǒng)及關(guān)鍵業(yè)務(wù)流程只能通過專機(jī)，在用戶使用UKey認(rèn)證登錄后才能訪問。 并且，所使用的專機(jī)只能是通過特別認(rèn)可并授權(quán)的專機(jī)設(shè)備，它們要具有安全的計(jì)算機(jī)終端環(huán)境。

⑤安全審計(jì)系統(tǒng)

從性能、功能上，對(duì)安全審計(jì)系統(tǒng)進(jìn)行全面提升，滿足安全審計(jì)需求；實(shí)現(xiàn)審計(jì)日志的全面收集、關(guān)鍵風(fēng)險(xiǎn)的有效識(shí)別；智能發(fā)現(xiàn)、識(shí)別風(fēng)險(xiǎn)，實(shí)時(shí)報(bào)警。

⑥網(wǎng)絡(luò)管理系統(tǒng)

對(duì)整個(gè)系統(tǒng)實(shí)施全面、實(shí)時(shí)監(jiān)控、預(yù)警報(bào)警。

⑦系統(tǒng)運(yùn)維安全

在處理總部機(jī)房內(nèi)部設(shè)備的測試、維護(hù)、升級(jí)等工作時(shí)，要使用現(xiàn)場運(yùn)維專用筆記本?，F(xiàn)場運(yùn)維專用筆記本的安全存放、使用以及維護(hù)管理要遵守相應(yīng)的管理辦法。

3 資金信息系統(tǒng)安全體系策略

資金集中管理系統(tǒng)安全范圍包括：財(cái)務(wù)公司本部及所有分支機(jī)構(gòu)；所有資金集中業(yè)務(wù)關(guān)鍵支付流程、支付環(huán)節(jié)、支付崗位和支付操作人員。信息系統(tǒng)安全體系策略主要涵蓋以下幾個(gè)方面：