|
信息回顾： “卡在身上，钱却莫名其妙地被转走了”，黑客5分钟就可以在网上获取1000个银行卡卡主的姓名、卡号、银行密码、身份证、电话号码等信息，近日曝光的一系列银行卡信息安全事件，给当前脆弱的信息安全防范敲响警钟。 今天我给大家谈谈银行业的信息安全之道 银行业的安全之道：“防风险”＋ “融创新” 银行业信息安全的探索以及趋势的分析 互联网给金融业带来了一股新风，催动着传统金融的创新和变革，但伴随着发展，外部安全形势日趋复杂和严峻，信息安全技术必须与时俱进、锐意进取。 银行业刚才讲了它是一个跟金融，跟利益直接挂钩的行业，所以说现在随着互联网技术的应用，银行业的产业越来越多的放在了互联网，现在我们全球的网络像生活必需品一样无所不在。 目前我们的对手也发生了一个巨大的变化，黑客变成了以前完全是炫技的一种行为，变成了完全利益驱动的行为。我们对手发生了全面的变化，现在网上都出现了黑客服务模式，很多攻击手段根本不需要自己了解，有一帮人帮你来开发，所以我们面对的对手发生了巨大的变化。 黑客使用的手段也在不断的发生变化：ATM攻击，包括大规模勒索软件出现 银行业在互联网上日益增多的时候他本身的能力并没有跟上发展的要求。同时随着网络变成生活的必需品，我们所有的工作一天24小时特别想在工作上进行演进，看到大家在工作上讲的只要一个手机就可以把相关的工作都解决了，所以目前相当于我们24小时暴露在互联网的攻击下。 同时为了满足24小时的服务，银行除了原来传统网点的柜台，ATM，现在加上手机银行、微信银行、网银移动，各种新渠道，银行现在是24小时在网上提供各种各样的服务，我们的对手手段也在不断加强，整体来讲我们的风险在不断的加强。 同时我们除了要防范攻击之外，实际上本身很大一部分要防范数据的丢失，就是泄密的东西，随着国际网络安全法，我们要在银行业充分的防范此类事件的发生，一个就是有意无意的丢失，第二要防范有组织的窃取。还有一个就是一些新技术的使用，互联互通，大数据，包括我们现在在讲的跨界融合的问题，银行业可能方方面面的和行业合作，这样就带来数字流转、交换的东西，这些都给我们带来很多技术的挑战。 首先我觉得我们全面的建立一个安全的防御体系，同时我们要有安全防护能力，就是有一套完备的管理体系，管理体系怎么落地，单位可能面临比较大的问题，我可能什么制度都非常健全，但是它落地的情况并不是很好，所以我觉得我们要以高度自动化为指引，确定执行的效果。 这上面要实现的基础就是我们要全覆盖的体系，我们关于银行业的网络和应用类型，包括终端、网络、核心网这些东西本身是一个相对传统的防护的体系，我们的安全风险全覆盖，包括系统风险、应用风险、业务风险，这就是我们整体的设计。 我们的工作风向是要做到信息安全的“可见、可管、可控”，可见就是在网络上的行为是可以看见，并不是像现在很多行为分析我们并不知道，同时我们要做到可管，可管理。同时也可以控制它的行为，所以说我们在信息安全工作方向上要做到这样可管和可控。 国家政策的导向：根据银行业在十三五发展重点任务就是银行业将贯彻落实国家与信息安全政策，把信息安全工作提到战略性的高度统筹考虑，着力健全安全管理体系，加强信息安全技术防护，提供基础信息的保护水平，确保风险可控，我们会围绕着网络安全法在数据保护、系统安全开发、长效安全策略的一些防护上向欧盟。 银行需要做足一系列防护措施，诸如防止黑客攻击、入侵检测和告警、信息审计与日志记录，以及高规格的安全管理制度等，更要加强身份认证系统识别、人工智能等先进科技手段在金融交易和服务场景中的融合创新。 第二个就是基于大数据的网络安全态势分析，这个主要是认为目前已经过了以人管人、制度管人的阶段，到了主动管理以数据驱动做这个工作，这个就是我们希望把通过数据的采集、分析来把做到可视化、可测量、自动化、可检测，通过数据的分析来感知我们安全的情况。现在各个行业都在做客户反欺诈体系，这块就是敏感信息安全保护，这块是针对我们行来讲是非常重要的一块工作，这块工作也在大力推进，我觉得大部分行可能比较费劲的一块工作，所以我们现在想做的首先是把数据的标准化，工作做出来，然后在这个基础上我们把数据脱敏统统做出来。实际上信息安全是整体运营的一个环节。 第三部分就是讲一下对策和建议。建议一是深入贯彻落实《网络安全法》，加强网络安全各项制度的建设。《网络安全法》今年颁布了，也是作为银行最高的指导的法；第二个就是做好网络安全各项却侧部署的落实，强化组织领导，这个必须扎扎实实落实，刚才为什么要提所谓的管理IT化？这个就是把工作扎实的手段，同时要做好维护网络安全主题。第二个就是要强化网络安全顶层设计，提高网络安全战略能力，这个还是一个基础性的工作，同时要完善各个行的网络安全管理措施，第三个健全持续优化改进的网络安全管理机制，四大信息安全投入，持续推动信息安全人才队伍建设。第五个是定期开展信息安全监督检查，推动全行业的信息安全风险评估工作，逐步形成常态华的安全检查和评估机制。因为银行业很多都是共性的问题，怎么样把资源整合起来，对没有能力或能够不足的银行进行支撑，第三个是国家开展行业分析共享，推动银行业态势感知的能力。 以上是我对于银行业的信息安全的认识与理解。希望对于大家有帮助。希望对大家的财产安全有一定的帮助。 |
|
|
