對電子銀行安全與風險防范的思考

《對電子銀行安全與風險防范的思考》由會員上傳分享，免費在線閱讀，更多相關內(nèi)容在工程資料-天天文庫。

1、對電子銀行安全與風險防范的思考　　弱技術配強管理的電子銀行安全效果，與強技術配弱管理的安全效果是一樣令人擔憂的。銀行要通過強技術強管理的組合來保證電子銀行的安全。 　　由于方便、快捷，電子銀行越來越為銀行和客戶所青睞，其業(yè)務量在銀行業(yè)務中的占比逐漸增加。與此同時，電子銀行的安全問題也引起了越來越多的關注。近兩年，網(wǎng)上銀行發(fā)生的安全事件增加了人們對電子銀行安全性的擔心，英國破獲黑客盜劃2.2億英鎊的新聞，讓客戶疑慮自己的財富是否會在眨眼間化為烏有，所以不少人選擇了小規(guī)模、低頻率使用網(wǎng)上銀行的下策。而對于銀行來說，安全事件給銀行造成聲譽和經(jīng)濟上的重大損失，而且今后還可能面對賠償訴訟

2、。如何保證電子銀行的安全、有效防范風險成為各銀行的頭等大事。 　　電子銀行的安全問題千頭萬緒，要分析清楚，還得從電子銀行的系統(tǒng)架構和風險點說起。 圖1電子銀行技術實現(xiàn)的網(wǎng)絡原理 電子銀行風險點 操作系統(tǒng)的安全 　　操作系統(tǒng)安全的主要考慮有：連續(xù)無故障運行天數(shù)。超級用戶指令保管與使用。操作系統(tǒng)的口令是系統(tǒng)安全的命門，一旦超級用戶指令被人知曉，該知情者就可以遠程控制計算機，進而修改數(shù)據(jù)庫用戶的密碼，從而無障礙地進入數(shù)據(jù)庫系統(tǒng)進行任何操作。壓力指標。操作系統(tǒng)提供的緩沖空間、進程數(shù)等是數(shù)據(jù)庫、應用軟件運行的基礎參數(shù)，需要根據(jù)運行情況進行參數(shù)最優(yōu)化配置。通常操作系統(tǒng)要與應用系統(tǒng)一起進行

3、壓力測試，以便測出業(yè)務量等極限值。針對極限值，把系統(tǒng)裝備相應的預防、處理、應急機制，如自動或人為分流流量、報警等，避免系統(tǒng)癱瘓。 數(shù)據(jù)庫的安全 　　數(shù)據(jù)庫安全的主要考慮有：操作系統(tǒng)登錄時的用戶名與口令如果泄密將危及整個數(shù)據(jù)庫的安全，數(shù)據(jù)的修改將無法控制。數(shù)據(jù)庫的用戶名和密碼不要簡單得讓人猜出來，不少系統(tǒng)就使用用戶名sa和口令sa，這樣做不但使數(shù)據(jù)庫安全受威脅，操作系統(tǒng)的安全也受到威脅。因為可以通過一種數(shù)據(jù)庫遠程控制機制控制遠程操作系統(tǒng)。數(shù)據(jù)庫操作審計，將運行主機上所有數(shù)據(jù)庫操作及數(shù)據(jù)變更寫入日志。這個日志將迅速膨脹，需要專門的日志管理員進行外部備份和清理，否則系統(tǒng)硬盤過一段時間

4、就會漲滿。但是，中小銀行可能會屏蔽數(shù)據(jù)庫審計功能，以減少日志清理和管理的麻煩。這樣，數(shù)據(jù)庫安全失去了重要的、可跟蹤恢復的操作監(jiān)視手段。數(shù)據(jù)同步、一致性問題。數(shù)據(jù)操作是以事件驅(qū)動的，事件沒有完成，則數(shù)據(jù)庫將自動恢復到事件前狀態(tài)。軟件編程要注意應用數(shù)據(jù)表之間的邏輯一致性，否則，數(shù)據(jù)挖掘就得浪費大量的時間清理無效數(shù)據(jù)。 核心系統(tǒng)的安全 　　第二代核心系統(tǒng)主要有信貸、柜臺、賬務、現(xiàn)金管理等，第三代核心業(yè)務系統(tǒng)模型則包括了客戶關系管理、風險管理、市場營銷分析等模塊。第四代核心系統(tǒng)正在建設當中，思路更加清晰，更加強調(diào)數(shù)據(jù)共享和SOA架構，更好地進行業(yè)務流程整合與信息管理整合。 　　核心系統(tǒng)

5、安全的考慮包括：源程序是否有漏洞、后門和錯誤代碼。由于當代銀行軟件主要采用的是黑匣子測試，而不是白匣子測試，因而大量“死角”無法發(fā)現(xiàn)，隱藏的風險是較大的。XX年底，一客戶在廣州市某銀行ATM機上取現(xiàn)金1000元，而賬戶卻只扣一元，客戶因取現(xiàn)17.5萬元被判重刑而引起爭議。其實在這個案件中，銀行過錯在先，因為銀行軟件測試沒有發(fā)現(xiàn)程序錯誤。系統(tǒng)壓力測試。如某銀行的基金理財平臺屬于核心系統(tǒng)，由于股市行情的井噴，致使XX年8月的一天網(wǎng)上銀行占用主機資源過多，主機Down機幾個小時。這種現(xiàn)象斷斷續(xù)續(xù)持續(xù)約一個月時間，銀行其他業(yè)務也受到影響。事后，該銀行制定了應對策略，讓分行分流部門網(wǎng)上理

6、財業(yè)務。分行業(yè)務數(shù)據(jù)通過電信、網(wǎng)通專網(wǎng)與總行相連，避免流量都擠在公網(wǎng)入口的局面。高峰期，專網(wǎng)的傳輸速度比公網(wǎng)快，速度有保證。另外，在分行增設業(yè)務流控制界面，一旦全國行情井噴，則由分行控制流量，避免由于理財產(chǎn)品等邊緣業(yè)務導致整個核心系統(tǒng)癱瘓的惡性事件。核心系統(tǒng)的管理員用戶名和密碼。核心系統(tǒng)的易維護性、易擴展性。如果元數(shù)據(jù)標準等標準化建設達到了一定的水平，則外圍系統(tǒng)容易擴展核心系統(tǒng)的功能，共享核心系統(tǒng)的數(shù)據(jù)。同時，核心系統(tǒng)如果獲得越多的外圍子系統(tǒng)的數(shù)據(jù)，則越可能做數(shù)據(jù)挖掘等建模工作，而風險管理、管理決策、客戶分析等都離不開數(shù)據(jù)挖掘和商務智能。版本升級、新產(chǎn)品上線、定期系統(tǒng)在線清理、

7、操作運行主機等操作行為的風險控制。在核心系統(tǒng)down機的嚴重故障中，部分原因恰是系統(tǒng)切換、系統(tǒng)升級或新產(chǎn)品上線欠周全造成的。操作運行主機要有一定的程序要求，要求雙人共同操作，且不可進行試驗性操作。試驗性操作要在備份機器上進行，確認無誤后才可在運行主機上操作。另外，主機長年累月地運行，不可避免地會出現(xiàn)內(nèi)存、進程等方面的問題，需要人為適當干預。隨著硬件功能越來越強大，以及SOA設計理念和設計能力的普及，核心系統(tǒng)的能力范圍會逐漸擴大，安全性也越來越有保證。數(shù)據(jù)備份與系統(tǒng)備份。大銀行都有南北兩個異地