網(wǎng)銀服務(wù)亟需安全管理

網(wǎng)銀服務(wù)亟需安全管理

一、銀行白銀的在線管理1.客戶辦理業(yè)務(wù)時,要求客戶現(xiàn)在很多銀行要求客戶到銀行辦公室聯(lián)系銀行業(yè)務(wù)。銀行要求客戶打開銀行業(yè)務(wù)，并要求客戶提供身份證明并填寫銀行交易協(xié)議。有的銀行在為客戶新開儲蓄賬戶時,要求客戶填寫網(wǎng)上銀行業(yè)務(wù)協(xié)議書,確認是否辦理網(wǎng)上銀行業(yè)務(wù)。部分銀行保留了網(wǎng)上直接注冊用戶的查詢功能,個別銀行還保留了部分支付功能。2.開通金融機構(gòu)的相關(guān)功能目前銀行對辦理網(wǎng)上銀行業(yè)務(wù)的客戶基本不做篩選,對申辦客戶不做網(wǎng)上銀行風(fēng)險管理能力的判斷,只要銀行儲蓄客戶有相應(yīng)的業(yè)務(wù)要求,銀行就可以為客戶開通網(wǎng)上銀行的相關(guān)功能。銀行按月統(tǒng)計網(wǎng)上銀行業(yè)務(wù)的客戶數(shù)余額和交易量情況。3.網(wǎng)點的設(shè)置及客戶說明目前銀行對客戶網(wǎng)上銀行業(yè)務(wù)的風(fēng)險提示主要通過網(wǎng)上銀行業(yè)務(wù)協(xié)議中有關(guān)條款、營業(yè)網(wǎng)點布設(shè)宣傳小冊子等方式,以及在新增大額轉(zhuǎn)賬功能、提供密碼服務(wù)和數(shù)字證書等時對客戶進行必要的解釋和說明。當客戶登陸網(wǎng)上銀行界面時,銀行網(wǎng)頁可提示客戶相應(yīng)的操作流程和風(fēng)險情況。4.交易有效憑證目前各商業(yè)銀行在個人客戶簽訂相關(guān)服務(wù)協(xié)議均列明:客戶依據(jù)密碼等網(wǎng)上銀行信息結(jié)算交易所發(fā)生的電子信息記錄均為交易的有效憑證。由此產(chǎn)生的一切后果由客戶承擔,銀行不介入客戶與第三方之間的交易糾紛。由于商品質(zhì)量等引起的爭議均由客戶與商戶自行協(xié)商解決,銀行只有協(xié)助調(diào)查的義務(wù)而不承擔其他責(zé)任?？蛻艉炗唴f(xié)議就表示接受上述條款,這些條款已成為處理客戶網(wǎng)上銀行業(yè)務(wù)糾紛的主要依據(jù)。5.系統(tǒng)處理方式對交易指令的中斷客戶網(wǎng)上交易成功后,銀行電腦主機實時凍結(jié)相應(yīng)消費資金,在與商戶結(jié)賬處理時,銀行電腦將凍結(jié)的金額劃扣。從信息系統(tǒng)處理方式上看,客戶網(wǎng)上交易指令的清算均于當晚納入銀行系統(tǒng)批處理之中,這種系統(tǒng)處理方式無法從技術(shù)上中斷個別交易指令,即由系統(tǒng)認可的客戶網(wǎng)銀操作成功后銀行端無法中止交易指令,只有在商戶同意的情況下,由商戶發(fā)出退款交易指令,錢款才能退還客戶。因此,客戶發(fā)出交易指令基本不可逆。6.客戶要求下的協(xié)調(diào)銀行與客戶的協(xié)議條款表明銀行不參與客戶與第三方的交易糾紛,但大多數(shù)銀行表示實際操作中一般在客戶要求的情況下,銀行可以與商戶進行協(xié)調(diào),但亦表示這不是銀行的義務(wù)。在公安等部門要求下,銀行有義務(wù)提供交易情況的信息,協(xié)助調(diào)查。二、銀行網(wǎng)絡(luò)監(jiān)管存在的問題1.外部攻擊沒有成功2.客戶網(wǎng)絡(luò)信息安全認識不足一是密碼設(shè)置簡單。部分用戶的密碼多用生日、電話號碼、簡單數(shù)字組合等易猜數(shù)字,容易被人竊密冒領(lǐng);有的客戶將交易密碼設(shè)置成為弱密碼,易被他人套用;有的客戶對交易密碼保管不當,隨意泄漏給他人,或在登陸其他非法網(wǎng)站時留下了交易信息;二是缺乏網(wǎng)絡(luò)病毒防范知識。對木馬病毒的攻擊不敏感,不能對操作系統(tǒng)及殺毒軟件定期升級、殺毒,為木馬病毒的入侵提供了機會。此外,客戶電腦保管不善,病毒入侵造成客戶資料被盜用。三是對網(wǎng)絡(luò)銀行安全重要性認識不足。不愿意進行必要的身份認證,對U盾、動態(tài)鍵盤、口令卡操作不當給網(wǎng)賊偷錢提供了機會。3.商業(yè)銀行的風(fēng)險教育和風(fēng)一是領(lǐng)導(dǎo)重視不夠。重建設(shè)、輕管理,重營銷、輕安全的思想十分普遍。二是應(yīng)對風(fēng)險能力差。網(wǎng)銀安全管理的組織架構(gòu)不完善,風(fēng)險管理涉及的各部門,沒有形成合力,對網(wǎng)銀系統(tǒng)安全評估不到位,出現(xiàn)應(yīng)對風(fēng)險能力差。三是銀行的風(fēng)險提示工作仍顯不足。銀行在為客戶開通網(wǎng)上銀行業(yè)務(wù)時,對客戶有關(guān)風(fēng)險情況的認知和判斷缺乏了解,沒有對客戶進行充分的告知和解釋,也沒有在網(wǎng)上銀行頁面的醒目位置進行充分的風(fēng)險提示。四是銀行的公眾教育服務(wù)較為薄弱。銀行在加快推進網(wǎng)上銀行系統(tǒng)升級和完善業(yè)務(wù)功能的同時,對公眾的網(wǎng)上銀行風(fēng)險教育仍然欠缺。五是銀行風(fēng)險管理的有效性有待加強。網(wǎng)上銀行的風(fēng)險管理除與個人金融部、公司金融部和電子銀行部等有關(guān),還涉及合規(guī)部門、風(fēng)險管理部門、科技信息部門。但銀行上述部門在信息共享、決策管理、風(fēng)險控制、業(yè)務(wù)創(chuàng)新等方面仍存在較大的真空,職責(zé)劃分也不夠清晰,協(xié)同效應(yīng)有待進一步加強。4.相關(guān)主體的責(zé)任和義務(wù)現(xiàn)行法律法規(guī)對網(wǎng)上銀行業(yè)務(wù)上的規(guī)定不夠完善。一般而言,網(wǎng)上銀行交易涉及銀行、客戶、通信商、商戶、第三方支付公司及其他服務(wù)商等諸多主體,其他主體提供的服務(wù)質(zhì)量決定了銀行能否提供安全、準確和及時的網(wǎng)上銀行服務(wù),這就需要相關(guān)法律法規(guī)對網(wǎng)上銀行相關(guān)主體的責(zé)任和義務(wù)予以明確的界定,以便發(fā)生糾紛時容易明確某一當事方的責(zé)任和過錯。目前《電子簽名法》、《銀行卡業(yè)務(wù)管理辦法》和網(wǎng)上銀行業(yè)務(wù)管理規(guī)范等法律法規(guī)沒有明確約定上述各方承擔的法律責(zé)任。三、加強銀行網(wǎng)絡(luò)監(jiān)管的提議1.注意使用文件證書網(wǎng)銀,避免在網(wǎng)吧進入網(wǎng)銀一是要準確注冊,認真填寫身份資料,記錄好注冊提供的資料備查,并設(shè)計好密碼、提示問題等重要信息。二是要注意安全出入,直接輸入正確的銀行網(wǎng)址,不要通過其他網(wǎng)站的鏈接進入,離開賬戶后不要只關(guān)掉瀏覽器而要正確退出,最好不要在網(wǎng)吧進入網(wǎng)銀。三是不要輕易打開來歷不明的郵件,也不要點擊郵件中的任何鏈接。四是對于采用文件證書網(wǎng)銀的用戶,一定不要將數(shù)字證書文件直接存在電腦中,而是要存在U盤等移動介質(zhì)中。而對于那些U盾網(wǎng)銀用戶,在每次完成網(wǎng)銀操作后,要盡快拔下U盾。五是操作系統(tǒng)和殺毒軟件要定期升級查殺病毒,封堵住木馬入侵的通道。2.加強業(yè)務(wù)風(fēng)險的防范意識商業(yè)銀行在為客戶開通網(wǎng)上銀行服務(wù)時,應(yīng)針對不同的客戶群體有選擇性地開通網(wǎng)上銀行業(yè)務(wù)功能,并加強對客戶的風(fēng)險提示,對不當操作行為予以提示,對網(wǎng)上銀行可能存在的風(fēng)險進行充分說明,提示客戶對網(wǎng)上銀行交易的密碼等信息妥善保管,通過明晰、規(guī)范的操作,將網(wǎng)上銀行業(yè)務(wù)風(fēng)險降到最低。并通過媒體、網(wǎng)站、網(wǎng)點等渠道加強網(wǎng)上銀行業(yè)務(wù)風(fēng)險提示和公眾教育,有效提高客戶網(wǎng)上銀行的風(fēng)險防范意識。此外,銀行在為客戶開通網(wǎng)銀服務(wù)時,應(yīng)加強對網(wǎng)銀客戶計算機病毒、安全登錄方式、安全用機方式、設(shè)置和保管密碼密鑰等相關(guān)知識的普及宣傳,并進行必要的業(yè)務(wù)風(fēng)險和不當操作行為風(fēng)險提示,以提高客戶對網(wǎng)銀業(yè)務(wù)風(fēng)險的認知程度和風(fēng)險防范能力。3.關(guān)于商業(yè)銀行風(fēng)險問題商業(yè)銀行應(yīng)針對網(wǎng)上銀行交易主體的復(fù)雜性和多元性,健全相應(yīng)的風(fēng)險管理機制。一是應(yīng)加強信息系統(tǒng)的安全建設(shè)和網(wǎng)上銀行雙重身份認證管理,提高技術(shù)的可靠性和安全性;二是加強網(wǎng)上銀行業(yè)務(wù)風(fēng)險管理各部門的溝通和協(xié)調(diào),提高協(xié)同處理網(wǎng)上銀行風(fēng)險問題的成效;三是健全客戶投訴處理機制;四是加強網(wǎng)上銀行異常交易監(jiān)測,及時將異常交易信息反饋給客戶;五是建立健全網(wǎng)銀業(yè)務(wù)各項內(nèi)部操作規(guī)程,根據(jù)業(yè)務(wù)和技術(shù)發(fā)展需要及時修訂完善;六是加強網(wǎng)絡(luò)銀行加密技術(shù)的升級和研發(fā)工作,對客戶數(shù)字證書載體(USB-Key)進行安全性測試,對USB-Key供應(yīng)商資質(zhì)進行定期評估,保證電子交易數(shù)據(jù)傳輸?shù)陌踩耘c保密性,以及所傳輸交易數(shù)據(jù)的完整性、真實性和不可否認性;七是建立網(wǎng)絡(luò)銀行入侵監(jiān)測與入侵保護系統(tǒng),實時監(jiān)控網(wǎng)銀系統(tǒng)的運行,定期對系統(tǒng)進行漏洞掃描;八是建立相應(yīng)的監(jiān)測機制,搜索假冒或有意設(shè)置類似于金融機構(gòu)的服務(wù)電話、網(wǎng)站主頁、短信號碼等信息,及時在官方主頁進行風(fēng)險提示,制定應(yīng)對措施。4.明確各方的責(zé)任和義務(wù)商業(yè)銀行應(yīng)加強對網(wǎng)上銀行業(yè)務(wù)參與各方的資質(zhì)審核和風(fēng)險評估,明確各方承擔的責(zé)任