4互联网证券发展中的信息技术安全(国信证券廖亚滨)-

互联网证券与创新发展分论坛发言材料互联网证券与创新发展分论坛发言材料互联网证券与创新发展分论坛发言材料互联网证券与创新发展分论坛发言材料互联网证券发展中的信息技术安全廖♘滨1Target信用卡泄露事件随着互联网的飞速发展，计算机网络的资源共享进一步加强，随之而来的信息安全问题日益突出。去年感恩节前三TargetTarget40007000话号码和其它个人信息被盗的美国零售业最大黑客事件，时至今日真凶仍然逍遥法外。事件引发顾客和银行向90年公布该数据以来最大。Target百货首席执行官SteinhafelTarget信息安全问题的反思1、APT攻击(高级持续性威胁，AdvancedPersistentThreat)---信息泄露之源1证券业协会信息技术专业委员会主任委员、国信证券首席工程师无法识别。2、企业内部往往对APT攻击行为疏于防范，缺乏有效的技术手段及时发现和应对APTAPTAPT行为的识别应基于计算机网络访问行为的大数据分析，这是一个新的课题。3、安全管理中心（SOC）缺位SOC安全行为和威胁。4、企业重要的数据资产缺乏有效的管控和隔离措施PC隔离不彻底，无法有效控制内外网数据的流转。信息技术风险分类1、技术投资风险软件，淘汰的硬件。2、系统开发及实现/时间超出限度；编程错误（内部外部或升级现有系统；系统不能满足业务需求（未按要求交付系统，或由于业务需求的变更。3、系统处理能力缺乏足够的系统处理能力计划（系统处理量和灵活性不完善的软件设计。4、系统故障件故障；内部通信故障。5、系统安全外部安全失效（防火墙失效诈行为（外部开发商；计算机病毒和木马。6、客户身份识别非真实的客户签字和业务请求引发法律责任和经济损我是谁、我去哪、我做什么。互联网证券发展面临的技术风险1、封闭与开放支付功能发展之后将在一定程度上改变了证券行业客在业务层面建立赔付基金等配合防范。2、标准与变化稳定性也面临一定的风险。3、外购与自主是发展的一大障碍。金融互联网技术研发的风险主要表现开发周期、降低开发成本、迅速占领市场。4、私有与通用信息数据、客户资料泄露的风险，原来的架构多是私有协议，原来的风险主要是在于协议控制者以及内部人员的道WEB大量使用各种通用协议，主要面临的威胁从道德风险转变为攻击风险与道德风险并重。5、有限与无限互联网化后出现互联网网络瘫痪所带来的业务应急问CALLCENTER为应急备份。6、业务与技术完全互联网后所面临的洗钱风险（份证、银行卡、投资者适当性管理不当的风险等这类看似不是技术风险，但和技术又有所关联的风险。应对信息安全风险的措施1、强化用户身份识别，防止病从口入（如软硬件结合配合集中化的终端设备和安全管理。2内外网计算环境隔离，在用户终端、传输通道、企业应PC移动设备，可信通信通道保障通信全程加密，可信应用管理内部软件商店。同时对内外网数据交换做到可控、可管、可审，进行全面操作审计和审批控制。3、加强SOC(安全管理中心)技术系统和团队建设SOC支撑。SOCSOC保障。4、应用软件开发融合安全要求，把问题控制在系统上线前应用软件的安全问题逐渐上升，大部分应用开发人员缺务，少量技术专才负责安全加固、高可靠和性能提升。5、高度重视信息技术的作用，支持自主创新顺利开展面向未来，证券行业的每一项