4互聯(lián)網(wǎng)證券發(fā)展中的信息技術(shù)安全(國信證券廖亞濱)-

互聯(lián)網(wǎng)證券與創(chuàng)新發(fā)展分論壇發(fā)言材料互聯(lián)網(wǎng)證券與創(chuàng)新發(fā)展分論壇發(fā)言材料互聯(lián)網(wǎng)證券與創(chuàng)新發(fā)展分論壇發(fā)言材料互聯(lián)網(wǎng)證券與創(chuàng)新發(fā)展分論壇發(fā)言材料互聯(lián)網(wǎng)證券發(fā)展中的信息技術(shù)安全廖?濱1Target信用卡泄露事件隨著互聯(lián)網(wǎng)的飛速發(fā)展，計算機網(wǎng)絡(luò)的資源共享進一步加強，隨之而來的信息安全問題日益突出。去年感恩節(jié)前三TargetTarget40007000話號碼和其它個人信息被盜的美國零售業(yè)最大黑客事件，時至今日真兇仍然逍遙法外。事件引發(fā)顧客和銀行向90年公布該數(shù)據(jù)以來最大。Target百貨首席執(zhí)行官SteinhafelTarget信息安全問題的反思1、APT攻擊(高級持續(xù)性威脅，AdvancedPersistentThreat)---信息泄露之源1證券業(yè)協(xié)會信息技術(shù)專業(yè)委員會主任委員、國信證券首席工程師無法識別。2、企業(yè)內(nèi)部往往對APT攻擊行為疏于防范，缺乏有效的技術(shù)手段及時發(fā)現(xiàn)和應(yīng)對APTAPTAPT行為的識別應(yīng)基于計算機網(wǎng)絡(luò)訪問行為的大數(shù)據(jù)分析，這是一個新的課題。3、安全管理中心（SOC）缺位SOC安全行為和威脅。4、企業(yè)重要的數(shù)據(jù)資產(chǎn)缺乏有效的管控和隔離措施PC隔離不徹底，無法有效控制內(nèi)外網(wǎng)數(shù)據(jù)的流轉(zhuǎn)。信息技術(shù)風(fēng)險分類1、技術(shù)投資風(fēng)險軟件，淘汰的硬件。2、系統(tǒng)開發(fā)及實現(xiàn)/時間超出限度；編程錯誤（內(nèi)部外部或升級現(xiàn)有系統(tǒng)；系統(tǒng)不能滿足業(yè)務(wù)需求（未按要求交付系統(tǒng)，或由于業(yè)務(wù)需求的變更。3、系統(tǒng)處理能力缺乏足夠的系統(tǒng)處理能力計劃（系統(tǒng)處理量和靈活性不完善的軟件設(shè)計。4、系統(tǒng)故障件故障；內(nèi)部通信故障。5、系統(tǒng)安全外部安全失效（防火墻失效詐行為（外部開發(fā)商；計算機病毒和木馬。6、客戶身份識別非真實的客戶簽字和業(yè)務(wù)請求引發(fā)法律責(zé)任和經(jīng)濟損我是誰、我去哪、我做什么。互聯(lián)網(wǎng)證券發(fā)展面臨的技術(shù)風(fēng)險1、封閉與開放支付功能發(fā)展之后將在一定程度上改變了證券行業(yè)客在業(yè)務(wù)層面建立賠付基金等配合防范。2、標準與變化穩(wěn)定性也面臨一定的風(fēng)險。3、外購與自主是發(fā)展的一大障礙。金融互聯(lián)網(wǎng)技術(shù)研發(fā)的風(fēng)險主要表現(xiàn)開發(fā)周期、降低開發(fā)成本、迅速占領(lǐng)市場。4、私有與通用信息數(shù)據(jù)、客戶資料泄露的風(fēng)險，原來的架構(gòu)多是私有協(xié)議，原來的風(fēng)險主要是在于協(xié)議控制者以及內(nèi)部人員的道WEB大量使用各種通用協(xié)議，主要面臨的威脅從道德風(fēng)險轉(zhuǎn)變?yōu)楣麸L(fēng)險與道德風(fēng)險并重。5、有限與無限互聯(lián)網(wǎng)化后出現(xiàn)互聯(lián)網(wǎng)網(wǎng)絡(luò)癱瘓所帶來的業(yè)務(wù)應(yīng)急問CALLCENTER為應(yīng)急備份。6、業(yè)務(wù)與技術(shù)完全互聯(lián)網(wǎng)后所面臨的洗錢風(fēng)險（份證、銀行卡、投資者適當性管理不當?shù)娘L(fēng)險等這類看似不是技術(shù)風(fēng)險，但和技術(shù)又有所關(guān)聯(lián)的風(fēng)險。應(yīng)對信息安全風(fēng)險的措施1、強化用戶身份識別，防止病從口入（如軟硬件結(jié)合配合集中化的終端設(shè)備和安全管理。2內(nèi)外網(wǎng)計算環(huán)境隔離，在用戶終端、傳輸通道、企業(yè)應(yīng)PC移動設(shè)備，可信通信通道保障通信全程加密，可信應(yīng)用管理內(nèi)部軟件商店。同時對內(nèi)外網(wǎng)數(shù)據(jù)交換做到可控、可管、可審，進行全面操作審計和審批控制。3、加強SOC(安全管理中心)技術(shù)系統(tǒng)和團隊建設(shè)SOC支撐。SOCSOC保障。4、應(yīng)用軟件開發(fā)融合安全要求，把問題控制在系統(tǒng)上線前應(yīng)用軟件的安全問題逐漸上升，大部分應(yīng)用開發(fā)人員缺務(wù)，少量技術(shù)專才負責(zé)安全加固、高可靠和性能提升。5、高度重視信息技術(shù)的作用，支持自主創(chuàng)新順利開展面向未來，證券行業(yè)的每一項