我国银行风险防范面临的新问题与政策建议.doc

我国银行风险防范面临的新问题与政策建议2010-12-2 中宏数据库摘要：央行“超级网银”即将正式推出，商业银行网上支付渠道将面临更为严峻的系统或技术风险、运营管理风险和声誉风险等风险考验，因此，必须通过严格签约管理，加强客户身份认证，在兼顾客户体验的前提下设置限制性的交易机制，努力提高银行IT系统安全性能，增强系统防攻击和防窃取能力，有针对性地进行防范。关键词：商业银行;电子支付;渠道;风险防范近期央行主导并组织各商业银行完成的第二代支付系统已上线试运行，其支持网上签约、跨行网银支付、跨行账户查询等跨行电子支付业务为最大亮点，有望完全实现各商业银行网银之间的互联互通，因而被业界形象地描述为“超级网银”。对于客户而言，最大的便利在于可以通过A银行的网银，对B银行C银行等相关账户进行查询或发出支付指令，抑或授权他人进行反方向的操作。超级网银在为客户带来便利的同时，也对商业银行网上支付的风险防范提出了更高的要求。因此，在新的政策形势下有效防范网上支付业务风险意义凸显。艾瑞咨询公司发布的2009-2010年中国网上支付行业发展报告(以下简称报告)显示，去年我国网上支付交易额达5766亿元人民币，较2008年的2743亿元增长110.2%。纵观2005-2009年五年间，我国网上支付交易额增幅连续超过100%，网上支付用户从2008年的5200万上升到9000万，增幅则达73.1%。报告同时预测，2012年我国网上支付交易规模将超过2万亿元人民币。可以说，我国网上支付业务已经成为金融系统发展最快的领域之一。1.网上支付的内涵。中国人民银行2005年颁布实施的电子支付指引明确指出，电子支付是单位或个人直接或授权他人通过电子终端向银行业金融机构发送支付指令、实现货币支付与资金转移的行为。电子支付的业务类型按电子支付指令发起方式，分为网上支付、电话支付、移动支付、销售点终端交易、自动柜员机交易和其他电子支付。网上支付作为电子支付的一种形式，以互联网为基础，由客户发起，利用银行所支持的某种数字金融工具，与销售者发生资金和商品的交换转移行为，其功能涵盖了买家、银行、商家之间的在线货币支付、现金流转、资金清算、查询统计等全过程。2.网上支付与网上银行转账交易的主要区别。网上支付与网银转账相比，一是发出支付指令的方式不同。网上支付是客户在商户的网站或系统上，借助银行金融机构提供的支付网关，向发卡行发出电子支付指令;而网上银行转账则是客户直接在发卡行网上银行发出电子支付指令。二是资金清算的参与方不同。在网上支付交易中，商户或第三方支付平台参与资金清算;而在网上银行转账交易中，只有银行金融机构之间发生资金清算。三是资金入账的时效不同。在网上支付交易中，付款人支付的款项通常在第二个工作日才到达商户或第三方支付平台的账户;而网上银行转账交易则通常可以实时到达收款人账户。3.网上支付与传统POS支付的主要区别。与传统的银行卡POS支付相比，网上支付主要有以下两方面特点：一是支持非面对面交易，即客户和商户以非面对面的方式完成交易，客户无需向商户当面出示银行卡并进行刷卡，只需在网络界面输入银行要求的支付数据，即可完成交易款项支付;二是交易验证要素与POS交易不同。网上支付交易中所验证的要素不再是银行卡磁条信息，而是由客户在网上支付页面手工输入支付账户账号、密码等交易验证信息，以及图形验证码、手机短信动态验证码或电子签名证书密码等一系列安全要素。4.客户使用网上支付功能的过程梳理。目前商业银行参与网上支付交易的主要形式，一是为商户网站提供支付网关接口，二是为账户持有人(含买卖双方)提供网上购物资金的清算服务。而对于消费者而言，要完成网上支付，首先需要在开户银行申请办理并开通网上支付功能，也就是说，先要拥有银行账户，之后开通网上银行，然后开通网上支付功能，设置对应的支付账户、支付密码和支付限额。对于个人客户和单位客户而言，开通网上支付功能的最大区别在于要否临柜办理，目前多数银行支持个人客户网上自助开通网上支付功能。当买家选择了卖家的商品，利用网上支付功能在支付页面正确输入所有需要验证的支付信息后提交完成。5.网上支付的两种主要模式。按照资金转移模式划分，网上支付主要有两种形式，一是直接转移，即资金直接从付款方转移到收款方，银行与收款方进行清算，具体来说，就是银行的支付网关直接与商户的网站连接，客户通过银行支付网关向商户付款，银行与商户进行资金清算;二是间接模式，即资金先从付款方转移到第三方支付平台，再从第三方支付平台转移到收款方，银行与第三方支付平台进行清算，第三方支付平台与收款方进行清算。相对于第一种模式，第二种模式在商户和银行之间多了一个中间服务商业界称之为第三方网上支付平台。在此种模式中，第三方支付平台一边与商户网站连接，另一边通过支付网关与银行连接。客户通过银行支付网关付款到第三方支付平台的过渡账户，再由第三方支付平台与商户进行清算。网上支付在为广大客户提供更多现代化服务便利的同时，由于其交易模式的改变，也较传统交易支付方式呈现以下主要风险特点。1.客户账户及交易信息更容易在线被泄露和利用。客户进行网上支付时，需要在个人电脑终端输入相关账户、密码等重要信息，由于个人电脑终端的开放性，比较容易受到病毒威胁和不法分子的蓄意攻击，往往存在安全漏洞，极有可能发生敏感账户信息的泄漏，给客户造成损失。再加上通常交易信息的验证是通过互联网经由系统自动完成的，这也为不法分子反复测试多个账户和密码等验证信息提供了一定便利。而客户使用网上支付交易时的一些“不良习惯”又恰恰使这种风险容易变成现实，如不少客户为图方便而采用银行提供的初始密码或一定位数“0”或“6”、“8”等极容易被破解的简单密码，为不法分子通过反复测试或试用的方式，推测出账号及配套密码从而冒用客户账户资金提供了便利。此外，随着互联网技术的不断进步，黑客技术也在不断更新，目前带有键盘操作记录功能的木马比比皆是，客户端一旦被木马攻击，不仅会自动记录所有用户输入的密码，还可以将这些重要信息发送给木马制作者，不法分子可以借此冒充账户持有人通过互联网进行消费，从而给账户的真实持有人带来损失。2.对客户账户及交易信息的保管提出了更高的要求。商业银行提供网上支付服务的基础是将自身业务系统与公共互联网进行互联，因此，来自公共互联网的各类攻击、病毒及入侵也对银行系统带来巨大威胁。与此同时，这些支持网上支付服务的银行系统(如支付网关)，可以接触甚至保存客户大量的账户信息及个人身份认证信息，这就为由于数据的保管不善或滥用造成经济损失或恶劣影响埋下了隐患。因此，随着网上支付业务的深入发展，如何对大量的信息资产进行有效的管理，并能使不同重要程度的信息资产都能得到不同级别的安全保护，是对商业银行提出的新的要求。3.支付数据可能遭到篡改。运用现代黑客技术，在支付信息通过互联网进行传输时修改付款银行账号、支付金额、收款人账号等重要交易信息已经成为可能，这类事件一旦发生，不仅客户资金安全受到威胁，对银行业及与此相关的网上支付各方都会产生重大不良影响，甚至会在一段事件内动摇消费者使用互联网所提供各种便利服务的信心。4.商户管理难度加大由此引发的信用卡网上套现及支持网上不法活动等风险陡增。由于设立网上商户的成本很低，无论是第三方支付平台还是商业银行自行发展的网上商户，其风险控制手段和技术还不完善，加上目前第三方支付平台所提供的网上支付商户的免费开户服务，以及还欠严格的实名认证机制，大大降低了通过开立网上支付商户进行信用卡套现的成本，商户自买自卖或买卖双方勾结通过无实质交易标的虚假交易方式套取现金，而设立网上支付商户成本较低的事实，又使不法分子可以非常容易在完成大量套现之后迅速关闭店铺以逃避追查，因此，对于商业银行信用卡业务而言，网上支付在带给客户更加便利的用卡环境增加银行收益的同时，也加大了其业务风险，甚至可能影响商业银行信用卡业务的整体获利水平。同样由于设立网上商户门槛较低的原因，不法分子可以以合法商户的名义开设网上商户，而后利用收单机构或支付网关提供的技术接口为赌博等非法活动提供客户的网上支付，商业银行对于商户的管理只要百密一疏，都有可能因此带来声誉风险隐患。综上所述，商业银行在提供网上支付服务时，主要的风险分别为：系统或技术风险、运营管理风险和声誉风险。上述主要风险由隐患变成事实，必要的激发要素主要包括：银行IT系统脆弱易被攻击，银行对于客户账户和密码等重要交易数据资产管理不严格，银行提供网上支付服务时对客户的身份认证不到位，银行对于自行发展的商户或者第三方支付平台的管理存有漏洞，客户的密码设置及账号保管习惯不好等，因此，商业银行必须有针对性地防范这些风险。1.做好客户身份认证的准入管理，严格签约管理。商业银行应视各类支付业务的风险情况有针对性地设置签约管理要求，并视业务风险的高低有选择地开放委托代办业务，对于纳入签约管理的支付业务，一是必须预留并核对在线签约人的身份，通过验证其填写的诸如营业执照、税务登记证、组织机构代码证、法人代表(或自然人)身份证信息、账户账号及密码等信息，对发起签约人的身份进行核实;二是加强预留信息的管理，对预留身份证即将超过有效期限、组织机构代码证、税务登记证等证件即将过期的客户，提前做好证件信息的更新提示工作;三是可适当增加除有效身份证件以外的其他为法律所规定的证件，作为身份识别的补充要素，如增加保险公司的财产险、车辆险客户，用机动车驾驶证等私人信息作为核对身份的补充手段;四是加强对委托代理人的身份识别管理，明确委托代理人的责任和义务，按照业务风险登记划分情况，属较高风险的网上支付业务禁止代理人办理。2.设置限制性的交易机制，降低客户账户或密码被反复测试的风险。(1)设定密码限制。银行在为客户提供网上支付服务时，可以通过设定有关密码的交易规则防范风险，常用手段一是要求客户在申请开通网上支付功能时输入绑定账户的密码，当密码输错达到规定次数时，系统自动冻结该账户，避免客户的网上支付功能被冒名开通;二是要求客户设置支付密码用来代替取款密码，使网上支付与传统提取现金实现密码分离，避免客户因卡密泄露波及网上支付的连环损失;对公账户进行网上支付时，还要先后输入两组不同的网上支付密码进行交叉验证;三是设置密码输入的次数，当客户输入密码错误次数达到既定上限时，系统自动封锁该账户名下的网上支付功能，避免不法分子恶意尝试破解客户密码;四是要求密码具有一定的长度和一定的复杂程度，当客户输入简单密码时系统自动提示更正;五是使用软键盘方式输入密码时，并对整体键盘布局进行随机干扰;六是使用图形认证码并避免恶意代码自动识别图片上的信息。(2)设定交易金额限制。客户在开通网上支付功能时，必须先设定每次交易限额和每日交易限额，一方面，客户可以根据自己的消费习惯自行设置，另一方面，商业银行也可根据商户性质不同，由系统设定不同的每次支付限额和每曰支付限额，当客户在该类商户进行消费和支付时，其单次或当日所能支付的限额以两重设置孰低标准处理。(3)设定其他验证环节或限制，如进行网上支付时需要验证信用卡的有效期，当输错次数达到规定上限时，系统同样自动封锁所涉正户的网上支付功能。3.努力提高银行IT系统安全性能，增强系统防攻击和防窃取能力。为客户提供网上支付功能的相关客户端程序应具有抗逆向分析、抗反汇编等安全性防护措施，防范攻击者对客户端程序的调试、分析和篡改，并要求通过权威第三方中立测试机构的安全检测，上线前必须进行严格的代码安全测试，且需建立定期进行安全检测机制。客户端程序的临时文件中不应出现敏感信息，且应禁止在客户身份认证完成后存储敏感信息，并应逐步实现防范键盘窃听敏感信息和恶意程序获取或篡改敏感信息的功能。要提升通讯协议安全性，通过使用强壮的加密算法和安全协议保护客户端与服务器之间所有连接，例如，使用高版本的SSL/TLS和IPSEC协议;客户端到服务器的SSL加密密钥长度应不低于128位;用于签名的RSA密钥长度应不低于1024位，用于签名的ECC密钥长度应不低于160位，除此之外还要能够防止对交易报文的重放攻击。4.加强身份校验识别机制。对商户而言，身份校验识别的主要手段一是让客户在银行支付网关的支付页面上留下个性定制的预留信息，当客户进行网上支付时，会显示预留验证信息，当客户进行网上支付时未显示该预留信息，则说明客户正在使用的支付网关极有可能是伪造的，从而达到变相的商户身份认证目的，防止不法商户通过伪造银行支付网关，盗取客户账户、密码等私人敏感信息;二是建立客户端浏览器与商业银行支付系统之间的安全通道，当网上支付系统启动时，银行需要验证该系统服务器数字证书的可信，以避免客户登录到假冒网站。对客户而言，按照银监机构要求，商业银行对于高风险账户操作必须统一使用双重身份认证，即在密码用户名等基本预留身份认证信息的基础上，增加附加身份认证，而附加身份认证是指网上银行用户持有、保管并使用可实现其他身份认证方式的信息(物理介质或电子设备等)，数字证书是目前被唯一认可的身份认证方式，此外，商业银行也可根据客户网上支付金额及风险情况，提供国家密码管理局认证通过的具有防远程劫持能力的USB Key、电子令牌以及手机短信验证码等多种身份辅助验证和识别方法。此外，商业银行还可以提供让客户设置专用的虚拟支付账号代替真实的银行账号的功能，以降低网上支付时客户填写真实银行账号而