基层央行信息安全面临的风险与对策建议

1、基层央行信息安全面临的风险与对策建议随着大额支付系统（ABS、TBS）、货币金银管理信息系统、人民币结算账户管理系统及办公自动化等重要业务系统的陆续上线运行，计算机和计算机网络正发挥着越来越重要的作用。当信息系统带来更高效能、便捷服务的同时，也使计算机信息系统面临着较大的安全风险，一定程度上制约着中央银行的电子化建设。 一、基层央行计算机信息安全工作现状及存在的问题。 1、网络安全存在的主要问题：一是硬件问题：内联网二期工程实施后，中心支行和县支行已完成路由器和交换机布设和更新工作。但是从实际情况看，硬件设备备份严重不足。一是县支行根本没有配备网络备份设备。二是备份线路问题：内联网二期工程完成

2、后，完成了县支行到中心支行，中心支行到省会的2M光纤接入工作。但是，县支行到中心支行的备份线路使用的128KDDN专线方式。在实际应用中，我们注意备份线路的连通测试，目的是当主线路出现故障时恢复网络及时联通。三是网络漏洞与病毒防治：网络漏洞扫描系统和入侵检测系统以及反病毒系统和防火墙的安全运行，为网络系统的安全打下了良好的基础。但是，网络的安全运行依然存在着一些问题，主要表现在：不能按照总、分行的要求，强化对网络设备的安全使用和管理，比如对口令的设置和定期修改、软件版本升级等问题。安全检测系统采用的都是“已知漏洞”和“已知攻击”，并且检测策略由总行安全中心下发到各地市中心支行需一段时间，所以造

3、成了检查系统的滞后性，使病毒在网络中迅速传播，网络安全隐患随时存在。 2、计算机安全存在的问题：一是操作系统问题：随着业务系统的不断推出，使得基层行操作系统存在着各种操作系统并存的局面。目前常见的操作系统有WIN98、WIN ME、WIN2000、WINXP、WIN2003、SCO等，没有一个统一的操作平台，出现问题只有科技人员到现场才能解决，对计算机的普及造成无形的障碍。二是系统补丁问题：如上所述，由于操作系统的多样性，增加了系统补丁及时安装的难度。同时，各级补丁的公布或下载的滞后性，给计算机的安全运行带来一定影响。三是反病毒问题：由于反病毒软件总是落后于病毒，加之反病毒代码升级包由开发商到

4、人总行，再经过层层下发，造成了基层行反病毒代码总是要滞后开发商一个多周左右。同时，有的用户重新安装操作系统而未通知科技部门，致使反病毒软件未安装、系统补丁未及时补充。更有极个别用户不遵守规章制度，私自使用外来磁盘、程序，造成病毒在本机、网间传播，给计算机、网络的安全运行带来致命打击。 3、机房和电源潜在的风险 基层人行机房和电源建设时间都比较早，有的机房使用已达10多年之久。供电线路已严重老化，电源地线阻值增大，大部分县支行机房没有安全防火报警设备，消防设备也只是简单的灭火器等设施，机房的整体性能严重滞后于央行信息化的发展。 县支行的UPS后备电源设备大部分是在电子联行上线运行时的配套设备，以

5、后新上线运行的业务均没有UPS电源配套设备。由于设备比较陈旧落后，有的电源主机已无法进行正常维修。各种新业务的上线运行，使得原有电源功率已严重超载，加之这几年全国用电比较紧张，县支行一到夏、冬两季经常停电，给基层央行业务的正常运行带来很大隐患。 4、计算机安全管理机制问题：一是计算机安全管理的基本组织框架、管理框架、管理机制、策略方法、工作流程还在初步探索之中。内部缺乏信息安全监督机制，各单位、各部门、各岗位的信息安全管理职责及相互间的协作和制约关系未系统化地建立起来。二是制度不完整、不健全、没有形成系统化的制度体系，特别是没有形成适合基层人民银行的安全制度，难以实施对计算机的安全管理。三是基

6、层行的计算机安全管理组织有名无实，没有明确的职责，更谈不上履行职责，有章不遵，有法不依，制度不落实。四是从事信息安全管理的人员数量过少，有些基层行没有信息安全管理机构和专业人员。加之人事部门的岗位交流，使得本来就有限的信息安全人员调整到别的岗位，使基层行的信息安全管理流于形式。 二、做好基层央行信息安全科技保障工作的对策建议1、加强网络安全建设，确保网络正常运转为保证网络安全、稳定地运行，应适当增加必要的网络硬件备份设备。同时各中心支行的硬件配置信息应及时上报上级主管部门，以便出现问题时能够及时将配置信息导入。以此保证备用设备接入后立即进入正常的工作状态。 2、规范操作系统选型，保证系统安全运

7、行 目前基层人行系统运行的操作系统种类多，建议上级主管部门在开发新系统时应充分考虑到操作系统平台选型问题，逐渐将操作系统统一到一两种为宜。这样，既可减少系统的维护量，又可以解决系统补丁升级的问题，为防范系统漏洞，抗击病毒入侵提供有力保护。 3、完善措施，防范病毒入侵建立健全计算机病毒通报制度，包括近期病毒易发种类、本单位病毒“感染”情况、处理结果等信息。同时应向有关部门报告病毒入侵情况，以利于有关部门及时追查病毒源头；截断传播途径：在日常工作中，应严格按照有关规章制度办事，做好外来光（磁）盘的病毒检测工作。同时充分发挥反病毒服务器、防火墙、网络漏洞扫描系统、入侵检查系统等系统功能，斩断病毒传播

8、路径；及时查补充系统漏洞，提升系统抗病毒能力。上级有关部门采取必要措施，缩短反病毒代码包升级时间，使反病毒代码升级工作能及时在系统内下发。4、加强信息安全保障，强化信息安全管理措施：一是适应金融业发展的需要，制定完善信息安全管理制度，为央行业务的正常开展和金融服务提供优质的科技服务。特别是要制定出适应履行新职能且具有很强针对性的计算机安全制度。如计算机安全岗位制度；计算机信息系统运行安全管理制度；计算机应用系统安全管理制度；计算机网络安全管理制度；机房安全管理制度等。二是加强对计算机设备的管理。对信息系统所在环境进行安全保护，如区域保护和灾难保护；对设备的保护主要包括设备的防盗、防毁、防电磁信

9、息辐射泄露、防止线路截获、抗电磁干扰，电源保护和设备冗余备份等。三是相互配合，团结协作。信息安全工作，既需要人才的投入，又需要设备的投入。因此，要想做好信息安全工作，首先就应该做好和各有关部门的配合工作。如：网络安全设备的增加，UPS电源的更换，人才的投入等，即需要人事部门的配合，又需要财务会计部门的配合。随着财务制度和人事制度的改革，不但应做好横向配合，还应做好纵向配合。同时，上级有关部门在推广新系统时，应注意配套设备的投入，以解决由于配套设备跟不上而影响基层行信息安全工作的问题。 5、以人为本，加强科技队伍建设 任何安全技术都不是十全十美的。因此，加强科技培训，提高人员素质是必要的。在金融现代化“一日千里”的今天，加强计算机知识学习和技能培训，不仅仅是金融电子化发展的客观需要，也是确保计算机安全运行的内在要求。一是上级行应定期组织科技人员参加业务、专业知识的培训，及时更新基层科技人员的知识结构，提高综合素质；二是做好思想政治工作，增强责任意识，不断提高科技人员敬业爱岗