銀行業(yè)信息科技風(fēng)險(xiǎn)監(jiān)管培訓(xùn)之電子銀行監(jiān)管課件

中國(guó)銀監(jiān)會(huì)信息科技風(fēng)險(xiǎn)監(jiān)管培訓(xùn)電子銀行監(jiān)管目錄挑戰(zhàn)與風(fēng)險(xiǎn)

—近期的保安事故與詐騙事件香港金管局的監(jiān)管要求雙重身份認(rèn)證消費(fèi)者教育2近期的保安事故與詐騙事件3個(gè)案1：偽冒網(wǎng)站2003年6月，金管局收到超過(guò)14項(xiàng)有關(guān)“BanquedenationaleBank”的查詢(xún)，這個(gè)網(wǎng)站“”，自稱(chēng)是在香港、紐約和倫敦均設(shè)有辦事處的銀行初步結(jié)論──可能違反《銀行業(yè)條例》，并且懷疑是偽冒網(wǎng)站向香港警務(wù)處舉報(bào)以便進(jìn)行調(diào)查與美國(guó)和英國(guó)監(jiān)管機(jī)構(gòu)確定“BanquedenationaleBank”并未獲得任何認(rèn)可或銀行業(yè)牌照在2003年6月19日發(fā)出新聞稿，提高香港市民對(duì)偽冒網(wǎng)站的警覺(jué)5個(gè)案2：欺詐電郵連接偽冒網(wǎng)站6個(gè)案2:偽冒網(wǎng)站的登入網(wǎng)頁(yè)所顯示的網(wǎng)站地址:真實(shí)的網(wǎng)站地址:
@70/login/login.htm偽冒網(wǎng)站顯示正確

的銀行網(wǎng)站地址偽裝扣鎖偽冒證書(shū)7個(gè)案3：「特洛伊木馬」程序真實(shí)個(gè)案-三井住友銀行日期:2005年3月計(jì)劃利用「特洛伊木馬」程序從三井住友銀行倫敦分行盜取2億2千萬(wàn)鎊(超過(guò)34億港元)詐騙手法:犯罪集團(tuán)利用「特洛伊木馬」程序來(lái)套取用戶(hù)所按過(guò)的鍵，以竊取其登入姓名和密碼意圖將2億2千萬(wàn)鎊轉(zhuǎn)賬于10個(gè)以色列戶(hù)口。銀行職員察覺(jué)可疑交易后報(bào)警，以色列警方逮捕其中一個(gè)疑犯懷疑銀行內(nèi)部有職員協(xié)助犯罪集團(tuán)安裝「特洛伊木馬」程序或由黑客將「特洛伊木馬」程序從外面安裝到銀行網(wǎng)絡(luò)8個(gè)案3：「特洛伊木馬」程序互聯(lián)網(wǎng)ABC網(wǎng)上銀行服務(wù)ABC銀行計(jì)算機(jī)竊賊計(jì)算機(jī)竊賊登入受害人的賬戶(hù)電子銀行交易受害人的銀行賬戶(hù)計(jì)算機(jī)竊賊的銀行賬戶(hù)電腦竊賊10個(gè)案5:修改”host”檔案連結(jié)到偽冒網(wǎng)站于二零零四年十一月﹐攻擊三間巴西銀行-Caixa,Unibanco

和Bradesco特洛伊木馬程序或惡意的編碼程序修改受害者計(jì)算機(jī)的”host”檔案受害者輸入正確的銀行網(wǎng)站地址但連結(jié)到偽冒的網(wǎng)站用戶(hù)輸入正確的銀行網(wǎng)站地址Internet(IP)addressoffakewebsite以修改的host檔案翻譯正確的銀行網(wǎng)站地址成為偽冒網(wǎng)站的IP地址使用者連結(jié)到偽冒網(wǎng)站12個(gè)案7:MarketScoreproxy服務(wù)聲稱(chēng)可以增加互聯(lián)網(wǎng)的聯(lián)機(jī)速度及得到使用者的同意搜集其數(shù)據(jù)以“中間人”技術(shù)﹐于proxy服務(wù)器解讀經(jīng)SSL加密的敏感信息(例如密碼)proxy服務(wù)器發(fā)出的電子證書(shū)加密使用者與proxy服務(wù)器之間傳送的數(shù)據(jù)銀行的電子證書(shū)加密Proxy服務(wù)器與銀行之間傳送的數(shù)據(jù)14個(gè)案8:「中間人」技術(shù)黑客客戶(hù)進(jìn)行網(wǎng)上銀行戶(hù)口轉(zhuǎn)帳入賬戶(hù)口:123456-111金額:$100銀行系統(tǒng)確認(rèn)交易信息入賬戶(hù)口:987656-222金額:$9000黑客中途攔截網(wǎng)銀交易信息，更改交易指令入賬戶(hù)口:123456-111987656-222金額:$100$9000黑客中途攔截及更改銀行系統(tǒng)確認(rèn)交易信息，使銀行客戶(hù)不察覺(jué)交易指令已被更改入賬戶(hù)口:987656-222

123456-111金額:$9000$100銀行客戶(hù)銀行計(jì)算機(jī)系統(tǒng)15個(gè)案9:美國(guó)信用咭資料外泄事件一家受雇于美國(guó)多間銀行的信用咭交易處理中心(CardSystems)于2005年6月被黑客盜取了多名持咭人的資料,而該類(lèi)資料更可被用作欺詐性的交易。原因:違反信息保安標(biāo)準(zhǔn)敏感的持咭人數(shù)據(jù)于完成授權(quán)過(guò)程后錯(cuò)誤地保留在處理中心沒(méi)有將資料加密,作為特殊的商業(yè),法律及監(jiān)管用途保安管理不足以防止黑客入侵約12,000張由香港銀行所發(fā)出的信用咭受影響香港的持咭人沒(méi)有金錢(qián)上的損失16美國(guó)Visa及MasterCard的交易流程17事件引起的回響事件指出以下項(xiàng)目的重要性對(duì)外判的服務(wù)供貨商,特別是信息保安,應(yīng)有充分的管理制訂有效的評(píng)估去防止日益增加的黑客入侵風(fēng)險(xiǎn)制訂有效的政策及程序,去保護(hù),貯存及加密客人的數(shù)據(jù)金管局的評(píng)估/行動(dòng)信息科技外判,網(wǎng)上銀行的監(jiān)察及科技風(fēng)險(xiǎn)管理的指引要求各銀行再次評(píng)估其對(duì)于客戶(hù)數(shù)據(jù)保安,貯存及保密的內(nèi)部及外判活動(dòng)的充分性及有效性監(jiān)管控制自我評(píng)估及現(xiàn)場(chǎng)審查計(jì)劃1813Wi-Fi無(wú)線網(wǎng)絡(luò)信用卡資料2公司總部零售分店美國(guó)TJX公司顧客資料盜竊手提式價(jià)格查閱機(jī)分店計(jì)算機(jī)系統(tǒng)黑客20個(gè)案11:電腦蠕蟲(chóng)/病毒攻擊–SQLSlammer2003年1月,快速蔓延的“SQLSlammer”蠕蟲(chóng)病毒感染大量企業(yè)與政府電腦,部份幾乎陷于癱瘓蠕蟲(chóng)病毒透過(guò)SQLServer2000的安全漏洞入侵服務(wù)器并開(kāi)始擴(kuò)散,導(dǎo)致網(wǎng)絡(luò)流量大幅增加破壞程度極高,亞洲,歐洲及美國(guó)的網(wǎng)絡(luò)皆受到不同程度的攻擊,部份網(wǎng)上服務(wù)因而速度減慢甚至中斷蠕蟲(chóng)病毒攻擊更令美國(guó)銀行（BankofAmerica）的客戶(hù)因技術(shù)故障而不能從13,000部自動(dòng)提款機(jī)中提款21電子銀行風(fēng)險(xiǎn)與技術(shù)風(fēng)險(xiǎn)使用互聯(lián)網(wǎng)作為新型的銀行服務(wù)渠道將在某種程度上改變銀行的風(fēng)險(xiǎn)形態(tài)，并且對(duì)銀行的風(fēng)險(xiǎn)控制提出新的挑戰(zhàn)與電子銀行相關(guān)的基本風(fēng)險(xiǎn)類(lèi)型可能沒(méi)有大的變化，但風(fēng)險(xiǎn)產(chǎn)生的具體方式，以及潛在風(fēng)險(xiǎn)規(guī)模和對(duì)銀行的影響速度，對(duì)于銀行管理和銀行監(jiān)管提出新的課題除了戰(zhàn)略風(fēng)險(xiǎn)外，操作風(fēng)險(xiǎn)、技術(shù)風(fēng)險(xiǎn)、信譽(yù)風(fēng)險(xiǎn)、法律風(fēng)險(xiǎn)，信用與資產(chǎn)流動(dòng)性風(fēng)險(xiǎn)都需要考慮23操作風(fēng)險(xiǎn)增加了保安事故、服務(wù)中斷或操作失誤的可能性：電子銀行網(wǎng)絡(luò)的開(kāi)放性用戶(hù)的自助操作和電子銀行設(shè)備（如個(gè)人電腦）常常超出了銀行的控制范圍是對(duì)多種技術(shù)、系統(tǒng)和多邊操作的整合很容易可在互聯(lián)網(wǎng)上找尋到有關(guān)系統(tǒng)上的保安漏洞數(shù)據(jù)操作上的漏洞也可能被不法之徒利用24信譽(yù)和法律風(fēng)險(xiǎn)(2)電子銀行用戶(hù)期望較高很難容忍低效率或不能使用的系統(tǒng)（例如：網(wǎng)上股票交易），即使不屬于銀行的控制管理范圍投訴的原因可能是上網(wǎng)經(jīng)驗(yàn)不足，錯(cuò)誤使用或錯(cuò)誤理解網(wǎng)上銀行功能，以及其它技術(shù)性原因不充分的信息披露個(gè)人資料隱私問(wèn)題（由于銀行能透過(guò)電子銀行服務(wù)獲取很多客戶(hù)資料）透過(guò)超鏈結(jié)方法所連系到由第三方提供的服務(wù)26信譽(yù)和法律風(fēng)險(xiǎn)(3)法律問(wèn)題由于互聯(lián)網(wǎng)及全球，因此網(wǎng)上銀行業(yè)務(wù)需要符合境外的法律和監(jiān)管要求（如：信息披露要求）與電子銀行用戶(hù)無(wú)法進(jìn)行面對(duì)面交流，需要防范洗錢(qián)等行為銀行無(wú)法充分確認(rèn)新推出的電子銀行服務(wù)所可能涉及的法律問(wèn)題27其它風(fēng)險(xiǎn)電子銀行的基本業(yè)務(wù)（如貸款、交易等）可能引發(fā)其它風(fēng)險(xiǎn)：例如：電子銀行允許大額資金的網(wǎng)上實(shí)時(shí)劃轉(zhuǎn)，可能增加資金流動(dòng)性風(fēng)險(xiǎn)電子銀行客戶(hù)關(guān)系的遠(yuǎn)程性和短期性，以及因競(jìng)爭(zhēng)壓力而降低信貸標(biāo)準(zhǔn)，可能增加信用風(fēng)險(xiǎn)28香港金管局的監(jiān)管要求30董事會(huì)/高級(jí)管理層監(jiān)督–

控制措施建立專(zhuān)責(zé)委員會(huì)對(duì)主要電子銀行業(yè)務(wù)進(jìn)行評(píng)估在開(kāi)發(fā)新的電子銀行服務(wù)之前，制定有正式的業(yè)務(wù)戰(zhàn)略對(duì)電子銀行業(yè)務(wù)制定風(fēng)險(xiǎn)管理政策和規(guī)程促進(jìn)“安全文化”建設(shè)由可靠的獨(dú)立專(zhuān)家對(duì)新的電子銀行業(yè)務(wù)實(shí)施獨(dú)立評(píng)估31董事會(huì)/高級(jí)管理層監(jiān)督

–

觀察到的問(wèn)題現(xiàn)場(chǎng)檢查過(guò)程中發(fā)現(xiàn)的問(wèn)題：高級(jí)管理層對(duì)電子銀行業(yè)務(wù)監(jiān)督不足

（如：缺乏正式的督導(dǎo)委員會(huì)）對(duì)新的和經(jīng)過(guò)重大升級(jí)的電子銀行業(yè)務(wù)缺少獨(dú)立性評(píng)估缺乏全面的互聯(lián)網(wǎng)安全控制措施（如：防火墻和隔離區(qū)網(wǎng)絡(luò)的設(shè)置）32關(guān)鍵的技術(shù)風(fēng)險(xiǎn)控制措施–

風(fēng)險(xiǎn)控制要求實(shí)施嚴(yán)格身份認(rèn)證措施（如：雙重身份認(rèn)證）以識(shí)別電子銀行客戶(hù)對(duì)敏感信息實(shí)施加密在傳輸過(guò)程中，對(duì)敏感信息實(shí)施強(qiáng)“端對(duì)端”加密實(shí)施全面有效的輸入?yún)?shù)值驗(yàn)證建立保安嚴(yán)謹(jǐn)?shù)幕ヂ?lián)網(wǎng)基礎(chǔ)建設(shè)對(duì)電子銀行系統(tǒng)和互聯(lián)網(wǎng)設(shè)備實(shí)施持續(xù)性監(jiān)測(cè)33關(guān)鍵的技術(shù)風(fēng)險(xiǎn)控制措施–

風(fēng)險(xiǎn)控制要求（續(xù)）建立正式的事故應(yīng)變和管理機(jī)制對(duì)電子銀行業(yè)務(wù)實(shí)施有效的業(yè)務(wù)持續(xù)性規(guī)劃對(duì)電子銀行系統(tǒng)實(shí)施容量規(guī)劃和性能監(jiān)測(cè)對(duì)外部電子銀行服務(wù)供應(yīng)商實(shí)施盡職調(diào)查34關(guān)鍵的技術(shù)風(fēng)險(xiǎn)控制措施–

觀察到的問(wèn)題(1)現(xiàn)場(chǎng)檢查過(guò)程中發(fā)現(xiàn)的問(wèn)題：使用較弱的身份認(rèn)證方式無(wú)法有效防范各種網(wǎng)絡(luò)攻擊（如：詐騙電郵和欺詐銀行網(wǎng)站）沒(méi)有有效地實(shí)施雙重身份認(rèn)證（如：數(shù)碼證書(shū)只存儲(chǔ)于硬盤(pán)）缺少“端對(duì)端”加密缺少實(shí)時(shí)監(jiān)測(cè)工具對(duì)互聯(lián)網(wǎng)入侵進(jìn)行及時(shí)監(jiān)測(cè)35關(guān)鍵的技術(shù)風(fēng)險(xiǎn)控制措施–

觀察到的問(wèn)題

(2)現(xiàn)場(chǎng)檢查過(guò)程中發(fā)現(xiàn)的問(wèn)題：沒(méi)有及時(shí)向監(jiān)管機(jī)構(gòu)報(bào)告事故系統(tǒng)恢復(fù)能力或備份系統(tǒng)不足：導(dǎo)致長(zhǎng)時(shí)間業(yè)務(wù)停運(yùn)改為使用人手操作模式，導(dǎo)致服務(wù)效率降低網(wǎng)絡(luò)帶寬和系統(tǒng)容量不足36消費(fèi)者保護(hù)

–

風(fēng)險(xiǎn)控制要求(1)嚴(yán)格依照“銀行營(yíng)運(yùn)守則”的要求向個(gè)人客戶(hù)提供電子銀行服務(wù)使用可靠的身份認(rèn)證方式確認(rèn)客戶(hù)的身份當(dāng)客戶(hù)要求變更任何電子銀行賬戶(hù)資料時(shí)，必須實(shí)施充分的身份審查實(shí)施適當(dāng)?shù)拇胧┮蕴幚砜蛻?hù)其它戶(hù)口資料變更對(duì)向非注冊(cè)第三方的資金轉(zhuǎn)移實(shí)施充分的控制措施37消費(fèi)者保護(hù)

–

風(fēng)險(xiǎn)控制要求(2)建立有效機(jī)制監(jiān)測(cè)異常活動(dòng)不使用電郵詢(xún)問(wèn)客戶(hù)的敏感信息經(jīng)常性地搜索與銀行網(wǎng)站域名易混淆的第三方網(wǎng)站向客戶(hù)提供有效的預(yù)防性安全建議經(jīng)常性地評(píng)估電子銀行業(yè)務(wù)的法律和信譽(yù)風(fēng)險(xiǎn)38消費(fèi)者保護(hù)

–

觀察到的問(wèn)題現(xiàn)場(chǎng)檢查過(guò)程中發(fā)現(xiàn)的問(wèn)題：使用不安全的方式向客戶(hù)發(fā)送用戶(hù)名稱(chēng)和密碼缺乏假電郵和假網(wǎng)站的偵測(cè)機(jī)制（如：定期搜索域名）；對(duì)異常交易監(jiān)測(cè)不足

（如：資金劃轉(zhuǎn)和股票交易）。39雙重身份認(rèn)證Two-factorauthentication40雙重身份認(rèn)證2004年1月，發(fā)布通知要求銀行在2005年6月前全部使用雙重身份認(rèn)證對(duì)所有高風(fēng)險(xiǎn)的零售電子銀行交易強(qiáng)制實(shí)施沒(méi)有雙重身份認(rèn)證的用戶(hù)不允許進(jìn)行高風(fēng)險(xiǎn)交易41原因解釋我們?yōu)槭裁葱枰p重身份認(rèn)證？單獨(dú)的用戶(hù)名稱(chēng)和密碼不再充分保障安全—許多用戶(hù)名稱(chēng)和密碼因網(wǎng)絡(luò)詐騙電郵、欺詐網(wǎng)站、病毒和木馬程序等被盜什么是雙重身份認(rèn)證？+你已知的資料你擁有的工具例如：用戶(hù)名稱(chēng)和密碼例如：數(shù)碼證書(shū)、電子保安編碼器或手機(jī)等其安全性關(guān)鍵在于網(wǎng)上犯罪分子無(wú)法遙控地盜取電子銀行用戶(hù)擁有的互聯(lián)網(wǎng)的身份認(rèn)證設(shè)備42雙重認(rèn)證方法之例子通過(guò)電子編碼器發(fā)出的一次性密碼數(shù)碼認(rèn)證通過(guò)手機(jī)短訊發(fā)送的一次性密碼SecurityToken43消費(fèi)