金融企业信息安全风险管理

1、金融企业信息平安风险管理 摘要:互联网的开展能够为金融企业带来更加完善的投资环境、能够优化金融资源配置情况以及提升金融体系的开展，但同时也会给金融企业带来信息平安风险及问题。本文就金融企业中信息平安风险问题进行研究，并总结出相应的对策。关键词:互联网金融;信息平安风险;综合事件分析平台;防范措施1引言企业经营信息对于企业来说是十分重要的东西，对于企业自身的开展具有重要的意义，企业需要妥善进行信息内容的处理，保障信息的平安。近年来企业的开展开始着重于互联网业务的开展，所以，网络方面的风险为企业的信息管理工具增添了更多的挑战。许多的企业已经开始通过各种各样的手段进行制度及平安建设方面的改革，平安工

2、作的重心放也由合规转向信息平安建设和防护上，并且将企业的信息平安管理以及风险控制相连接，以此来稳定企业的平稳开展。2互联网时代企业所面临的信息平安威胁金融企业信息平安建设借助于等级保护和相关监管机构工作的推力，企业的信息系统在物理平安、运行平安、平安保密管理等方面取得了一定的成效，具备了一定的防护能力，但是，随着信息技术的飞速开展和广泛应用，信息平安防护已有主动变为被动。现如今随着业务的扩展，信息系统的应用需求在不断增加，涉及各个业务领域，网络规模不断增长，信息系统体系结构更加复杂。但是，由于信息平安的木桶效应，再加上难以控制的技术漏洞和管理不当，必然会导致不可防止的平安攻击和灾难，也就造成信

3、息系统存在高度的脆弱性和风险性。其次，随着信息化的不断推进，信息系统规模不断扩大，组成信息系统的各类硬件、软件、系统，以及各类人员都有可能成为威胁主体，软硬件的后门、漏洞、缺陷，包括对人员的诱惑都是攻击信息系统的常用手段。正是由于攻击源的多样性和防范对象的不确定性导致了传统平安防护手段失效，无法发现和检测新型的威胁和攻击。随着业务的持续扩展，企业平安运营所需要的人员本钱逐渐提高，当人员配比跟不上企业信息平安开展需要的时候，问题就会很快的暴露出来。人员少任务重经常会出现忽略和误操作的情况出现，比方终端、效劳器层面，计算机根本平安保密配置不到位或管理不到位，导致用户可以窃取用户终端所有的文件资料、

4、植入病毒或者木马；平安产品配置不当，不能起到预期的防护效果，误报、漏报情况多见;效劳器的防护、监控措施缺乏，大局部效劳器仅仅安装了病毒防护软件，且大量效劳器均存在刻录光驱，且安装有刻录软件，对效劳器的输入输出没有监控审计技术手段；操作系统根本上都是用国外，效劳器大局部为WindowsServer2003(已停止升级效劳)、WindowsServer2021，一旦0day漏洞被利用，后果不堪设想。自2021年4月爆出的OpenSSL心脏流血漏洞来看，目前所有使用的网络协议还有多少存在重大平安问题，都是未知数。企业平安管理者没有方法直观的看到当前企业信息平安资产所面临的威胁和整体的虽弱性。这些由技

5、术操作因素导致的潜在信息平安风险是企业内部的毒瘤，一旦被黑客攻破就会造成致命一击。监管的滞后性同样会给信息平安管理带来严重的风险，信息平安从业者应具备根底的信息平安常识，但随着企业规模的扩大，各类情况时有发生，管理措施的不得当也会带来很严重的风险。如第三方人员权限的控制，进出机房的控制，企业内部人员账号口令及管理权限的控制，平安事件巡检的要求以及平安知识的培训学习等。信息平安管理涉及到较多的流程和制度，同时流程和制度也需要有相应的检查工具和指标进行落地，目前大局部企业还不能够很好的将信息平安管理流程或平安事件处理流程进行有效的落地，往往都会在流程中断节。这也是造成信息平安风险管理失效的重要原因

6、之一。3金融企业信息平安风险的防范措施与建议基于金融企业信息平安存在的诸多风险和问题，应从以下几个方面进行加固和改良。3.1建立综合平安事件分析平台，形成统一监控能力面对传统防护带来的问题和弊端，企业应建立一套综合的平安事件分析平台，针对各类平安产品、业务数据、信息平安数据进行全面的收集，终结信息孤岛现象。集合现有的平安产品的告警日志，应用系统的审计日志，建立异常行为分析的能力，结合攻击链模型关联分析多个阶段的平安事件，防止单一平安设备产生的误报和漏报，第一时间对平安问题进行实时的分析和告警，并形成趋势和开展态势，直观的呈现出来，让企业平安的领导者第一时间进行决策和判断，有助于提升企业信息平安

7、的整体防护水平。加强对内部关键资产的梳理工作，并通过技术手段对资产的漏洞情况、配置情况、平安事件情况、根本属性情况进行综合的分析，以上述四个维度综合分析资产的脆弱性问题，让资产的风险和威胁提前暴露出来，让资产的管理者第一时间知道哪些资产该进行加固，哪些资产正在遭受平安风险，减少人员技术操作的漏洞和误操作问题，加强资产的平安管理，提升企业根底设施的平安加固。深入开展信息系统的精细化管理，专人负责专项系统的各类平安管理，加强信息平安专项检查，指定信息系统检查和管理的标准，并利用可落地的工具如综合事件管理平台明确检查和分析的步骤和操作，使得信息系统的日常管理呈制度化、流程化、标准化，闭环处理所有信息平安事件，让管理流程和制度有效的落地，提升企业信息平安运维能力。3.4逐步开展国产自主化应用，提升自主可控力信息平安不是小问题，平安问题的分析尤为关键，网络设备、硬件设备、操作系统以及平安分析平台应实现自主可控原那么，探索自主信息平安分析和保障的产品和体系，提升信息系统的自主可控力。4结语金融企业在互联网的作用下开展成为一种新兴的业态形式，金融企业在开展的同时需要保持积极的态度，不断的进行创新，以促进其繁荣开展。同时，也需要对其行业所具有的信息平安风险问题制定相应的监督管理措施，保障其长远的开展。金融企业只有时刻保持信息平安隐