提升IT软实力检查不是走过场

1、提升 IT 软实力 检查不是走过场 期货公司信息技术管理指引 （以下简称指引 ） 到底有哪些主要要求 ?大部分期货公司在这方面的现状怎样 ? 中国期货行业协会 （以下简称中期协 ）2008 年底对期货公司进 行了一次行业摸底调查 ,全国所有期货公司网上填报了 500 项问题选项 ,形成了 5 份调查报告。 调查结果不容乐观 技术管理 指引 对期货公司在组织结构、 人员素质、 培训、信息技术服务提供商管理和 IT 投入等方面提出了基本 要求和分级要求。以 IT 投入为例 ,指引要求期货公司最 近3个财政年度IT投入平均数额应不少于最近 3个财政年度 平均净利润的 6%或不少于最近 3 个财政年度

2、平均营业收入 的3%,取二者数额较大者。而根据调查 ,截至 2008年底,有 11 家公司最近3个财政年度的IT投入平均数额占平均净利润的 比例仍未达到指引规定的 6%;12 家公司最近 3 个财政年 度的IT投入平均数额占平均营业收入的比例未达到指引 规定的 3%。 指引一类中要求期货公司IT工作人员总数原则上应 不少于公司员工总人数的6%,总数应不少于 3 人。调查结果 显示，截至2008年底,32家公司的IT工作人员比例仍低于 6%,12家公司的IT工作人员总数仍未达到3人。 机房建设 指引对机房承重、消防、防雷、监控、 供电、空调、布线和维护等方面提出了基本要求和分级要求。 其中承重的

3、 2、 3 类要求分别为每平方米 300 公斤和每平方 米 500 公斤。 2008 年底统计显示 ,9 家公司的机房承重能力在 每平方米 300 公斤以下 ;46 家公司为每平方米 300 至 500 公 斤;67 家公司达到每平方米 500 公斤以上。防盗报警方面 ,54% 的期货公司在机房内安装了防盗报警设施 ,达到了指引的要 求。从调查数据中还可以看出 ,81%的期货公司机房已具备了 双路供电 ;92%的公司指定了专人对机房供配电系统进行定 期维护。此外 ,为更好地应对突发事故 ,还有 72%的公司在机 房出入口处或值班室设置了应急断电装置,87%的公司在机 房内安装了应急照明设施和安

4、全口指示灯。空调方面,仅有 57%的公司配备了精密空调 , 86%的公司配备了备用空调 ,其 中备用空调为精密空调的公司约占40%。在机房监控方面 , 93% 的期货公司已建立了完整的机房监控机制,85%的公司安排 了机房值班人员，而能够实现7X 24小时值班的公司只占全 部公司的 29%。 核心业务系统 指引对核心业务系统功能、性能、 容量、交易系统冗余、行情冗余和银期系统冗余等方面提出 了基本要求和分级要求。 指引要求 ,交易系统应实现与应用分 离 ,并具备对客户进行实时风险控制的能力 ;交易系统的性能 和容量应能达到会员交易要求 ;应对交易系统的主要业务指 标进行实时监控 ,并对所有接入

5、交易所的交易通信链路和所 有网上交易通信链路进行监控等。对于连接各交易所的交易 链路,多数公司选择 SDH、DDN 或帧中继等直连链路作为主链 路,并以三所联网等方式作为备份链路。 安全 指引 对网络隔离、 防病毒、 补丁及安全加固、 网站安全、网上交易安全、账号与权限、密码管理和安全审 计等方面提出了基本要求和分级要求。 从实际使用情况来看 期货公司的网络主要包括生产网、 办公网和互联网 ,此外还包 括公司与交易所、 银行等单位的连接。 调查结果显示 ,目前多 数期货公司都采取了相应措施对不同网络进行隔离,从而更 好地保障业务信息和客户信息的安全。 在入侵检测方面 ,目前 76%的公司制定了

6、对抗入侵的计 划;86%的公司能够在网络边界处监视端口扫描及缓冲区溢 出等攻击行为 ,其中超过 50%的公司在所有外部网络接口处 都安装了入侵检测设备。 在系统权限和密码管理方面 ,96%的公司实现了操作系 统和数据库系统特权用户的权限分离 ;99%的公司限制了默 认账户的访问权限 ;95%的公司制定了相应的制度更换和保 存口令 ,92%的公司都采取了有效的物理保护措施对口令进 行保护。 在防病毒管理方面 ,超过 96%的公司对所有 Windows 平台均部署了木马、病毒防护软件 ,及时更新 ,定期进行木马、 病毒检测。 在系统补丁管理和安全加固方面 ,96%的公司建立了定 期扫描并修补漏洞的

7、工作制度 ,并在评估后安装必要的 Windows 系统补丁程序。在安全审计和评估方面 ,72%以上的 公司能够确保安全审计范围覆盖服务器上的每个操作系统 用户和数据库用户 ,68%的公司有对交易业务系统的可靠性 和安全性进行定期评估的制度。 日常运维 指引对技术人员岗位、制度、巡检和机 房进出等日常运行管理提出了基本要求和分级要求。 目前 ,90% 的期货公司在机房出入口安排了专人值守,控制、 鉴别和记录 出入的人员 ;77%的公司安装了机房门禁系统 ;约 95%的公司 具有机房来访人员申请和审批流程 ,能够限制并全程监控机 房来访人员的活动范围。 灾备 指引对数据备份和灾难备份提出了基本要求

8、 和分级要求。在设备和介质管理方面 ,93%的期货公司对所使 用的介质进行了分类标识和存储 ;对于需要送出维修或销毁 的介质 ,99%的公司能够清除其中的敏感数据 ,以防止信息的 非法泄漏。 对于生产所用的应用系统、 硬件设备和系统软件 , 所有期货公司都使用了正规厂商的产品 ,其中 95%的公司购 买了相应的维护服务。 由于期货公司目前的实力和 IT 现状,很难做到投入大量 资金建立灾备中心 ,因此我们把灾难备份作为可选项。 未来的 发展方向还是倡导建立灾备中心的。 系统管理 指引对系统变更管理、配置管理、容量 管理、应急演练和技术事故管理等方面提出了基本要求和分 级要求。 据调查 ,98%

9、的期货公司制定了详细的系统配置文档和 完整、规范的系统测试操作流程 ,93%的公司能够在每次上线 前进行影响分析或评估 ,97%以上的公司能够针对每次上线 制定明确的上线计划 ,上线前充分测试 ,对上线情况进行精确 的跟踪 ,并记录上线的操作过程和发生的问题。 营业部 指引对营业部技术管理和技术系统提出了 基本要求 ,对有现场交易的营业部提出了交易保障的高级要 求。 调查显示 ,约 72%的期货公司营业部建设了满足安全要 求的机房 ,用于放置业务开展所需要的网络、 通信和主机设备。 约 62%的期货公司营业部所在场所具备双路供电; 在提供现 场交易的期货营业部中 ,78%已使用了不间断供电设备

10、。 23%的期货公司营业部已建立了连接总部中心机房的直 连链路。在系统安全方面 ,81%的期货公司营业部重要网络设 备、服务器能够抗单点故障 ;76%的期货公司营业部对现场办 公网络与客户交易网络进行了隔离。 一场持久战 虽然期货公司在准备股指期货上市的这几年里,在信息 技术方面增大了投入 ,加强了技术人才引进 ,提升了技术管理 水平 ,但还是距监管部门的要求和未来发展的需要有不小的 差距。上面的调查数据看似不错 ,但是真正检查就不一样了。 通过试检查我们发现 ,在信息技术方面实力最强的几家公司 都仍然存在着很多问题 ,对他们进行的 187 项检查中 ,平均 67 项不合格。原因何在 ? 我认为 ,一是他们对 指引 本身和 指引 制定的初衷 仍有不同程度的理解偏差 ,存在理解不到位的情况 ;二是检查 时指引尚未公布 ,公司没有足够的时间准备 ;三是公司认为最 容易达到的软要求往往是最不易达到的。 相反 ,硬件投入在某 种意义上来说更容易达到。比如说，存储容量不够、UPS不够、 空调不是精密空调 ,期货公司增加相应投入就可以了。而技术 管理、 日常运行、 系统维护等几类要求主要是在 IT 管理上的 要求。比如 IT 制度建设、巡检、机房进出管理、日志记录、 变更管理、 配