4互联网证券发展中的信息技术安全(国信证券廖亚滨)-[精选]

第一篇：4互联网证券发展中的信息技术安全(国信证券廖亚滨)-[精选]

互联网证券与创新发展分论坛 发言材料

互联网证券发展中的信息技术安全

廖亚滨

Target信用卡泄露事件

随着互联网的飞速发展，计算机网络的资源共享进一步加强，随之而来的信息安全问题日益突出。去年感恩节前三周，美国零售巨头Target的系统被植入恶意软件，黑客攻击手段很平常，预警系统也多次发出预警，但Target疏于应对，最终导致4000万信用卡号码及7000万顾客住址、电话号码和其它个人信息被盗的美国零售业最大黑客事件，时至今日真凶仍然逍遥法外。事件引发顾客和银行向Target提起90多起诉讼，分析师估计损失达数十亿美元。去年感恩节假期，Target盈利同比下降46%，交易笔数降幅为2008年公布该数据以来最大。Target百货首席执行官Greg Steinhafel为此引咎辞职。

Target信息安全问题的反思

1、APT攻击(高级持续性威胁，Advanced Persistent Threat)---信息泄露之源

主要特点是手段多样、目标明确和持续时间长，有组织性而且隐蔽性强、破坏力大、以获取商业利益为目的。攻击 证券业协会信息技术专业委员会主任委员、国信证券首席工程师 互联网证券与创新发展分论坛 发言材料

不仅来自互联网的开放式服务，而且还通过企业员工及其合作方进行内部渗透。以定制木马为主要载体，传统的防病毒软件基于已有特征库识别常见的病毒和木马，对于定制木马无法识别。

2、企业内部往往对APT攻击行为疏于防范，缺乏有效的技术手段及时发现和应对

APT攻击是通过未公开漏洞实现的，这导致通过分析攻击的特征来识别的方式具有明显的滞后性，实时监测发现APT攻击很困难。APT攻击注重对动态行为和静态文件的隐蔽，隐蔽性很强，几乎所有的APT都具有这样的特点。APT行为的识别应基于计算机网络访问行为的大数据分析，这是一个新的课题。

3、安全管理中心（SOC）缺位

企业采取的安全防护系统很多，产生的日志种类很多，但是缺乏相应的技术平台去对这些日志进行统一收集、综合分析，迅速发现问题。除了缺乏技术系统，还缺乏SOC的运营团队，统一监控企业的信息流动，及时发现并处理异常的安全行为和威胁。

4、企业重要的数据资产缺乏有效的管控和隔离措施 随着PC终端、移动设备接入的多样化，移动互联网的普及，企业重要数据泄露的风险增加。企业内外部计算环境隔离不彻底，无法有效控制内外网数据的流转。

互联网证券与创新发展分论坛 发言材料

信息技术风险分类

1、技术投资风险

由于并购等原因带来的不适当的技术系统；对选择技术平台和供应商的决策失误，导致错误的建设或购买决定；不正确的业务需求，供应商推荐不合适的系统和功能；淘汰的软件，淘汰的硬件。

2、系统开发及实现

未满足安全开发要求；不完善的项目管理；成本/时间超出限度；编程错误（内部/外部），测试不充分；不能集成或升级现有系统；系统不能满足业务需求（未按要求交付系统，或由于业务需求的变更）。

3、系统处理能力

缺乏足够的系统处理能力计划（系统处理量和灵活性）；不完善的软件设计。

4、系统故障

网络故障；系统依赖性风险；接口故障；硬件故障；软件故障；内部通信故障。

5、系统安全

外部安全失效（防火墙失效）；内部安全失效；编程欺诈行为（外部开发商）；计算机病毒和木马。

6、客户身份识别

非真实的客户签字和业务请求引发法律责任和经济损互联网证券与创新发展分论坛 发言材料

失；内部人员的越权操作也可能引发道德风险。需要解决：我是谁、我去哪、我做什么。

互联网证券发展面临的技术风险

1、封闭与开放

支付功能发展之后将在一定程度上改变了证券行业客户的资金闭环变成开环系统，从而会对开通支付功能的客户资金风险增加。从支付行业的经验看，一般存在万分之几的差错率，证券行业在这方面除了技术需要进步以外，还建议在业务层面建立赔付基金等配合防范。

2、标准与变化

互联网金融的发展对券商技术体系变革所伴随的风险，互联网金融对信息技术体系要求“迭代、体验、快速”，而券商过去的信息技术从组织架构设臵及系统架构上对“刚性”需求相对比较适应，需求和系统相对比较固化，变动相对较少；而互联网金融时代系统需求由刚性转为柔性，需要不断根据用户的反馈快速调整和优化，由于这种变革所带来的对技术能力带来了新的要求，同时在适应期对系统运行的稳定性也面临一定的风险。

3、外购与自主

技术研发跟不上业务需求的发展，复杂业务没有配套的风险控制技术。证券公司从事互联网金融业务，技术实力将是发展的一大障碍。金融互联网技术研发的风险主要表现

互联网证券与创新发展分论坛 发言材料

在，首先是能否正确把握客户的投资需求、甚至于合理的引导和创造客户的潜在需求，并据此设计新的产品和商业模式来满足客户的需求；其次能否正确把握互联网金融技术的发展趋势，使公司开发的产品和商业模式在先进的技术层面得以实现；最后在能否在技术开发过程中实施有效管理、把握开发周期、降低开发成本、迅速占领市场。

4、私有与通用

信息数据、客户资料泄露的风险，原来的架构多是私有协议，原来的风险主要是在于协议控制者以及内部人员的道德风险；互联网证券的发展使得大量应用开始使用WEB架构，大量使用各种通用协议，主要面临的威胁从道德风险转变为攻击风险与道德风险并重。

5、有限与无限

互联网化后出现互联网网络瘫痪所带来的业务应急问题，电话委托、CALL CENTER、现场已几乎没有好的手段作为应急备份。

6、业务与技术

完全互联网后所面临的洗钱风险（淘宝上可购买全套身份证、银行卡）、投资者适当性管理不当的风险等这类看似不是技术风险，但和技术又有所关联的风险。

应对信息安全风险的措施

1、强化用户身份识别，防止病从口入 互联网证券与创新发展分论坛 发言材料

对客户采用多因素（如软硬件结合）的用户认证和授权，配合集中化的终端设备和安全管理。

2、构建端到端的可信企业应用环境，有效控制数据泄露 内外网计算环境隔离，在用户终端、传输通道、企业应用系统之间构建起一个可信的闭环体系。可信终端覆盖PC、移动设备，可信通信通道保障通信全程加密，可信应用管理内部软件商店。同时对内外网数据交换做到可控、可管、可审，进行全面操作审计和审批控制。

3、加强SOC(安全管理中心)技术系统和团队建设 企业的安全防护手段是多方面的，但是安全威胁日志需要统一收集、统一存储、自动化分析，需要SOC技术平台的支撑。SOC的运营，不仅仅体现在技术平台，更重要的是背后的支撑团队，专业高效的技术团队是SOC能够成功运营的保障。

4、应用软件开发融合安全要求，把问题控制在系统上线前

应用软件的安全问题逐渐上升，大部分应用开发人员缺乏安全控制知识，倾向于直接实现业务功能，对新兴的移动终端软件开发也缺少经验。可以通过技术架构的设计实现分工协作，做到专业的人做专业的事，大部分开发人员负责业务，少量技术专才负责安全加固、高可靠和性能提升。

5、高度重视信息技术的作用，支持自主创新顺利开展

互联网证券与创新发展分论坛 发言材料

面向未来，证券行业的每一项业务都离不开信息技术的支持，技术支持到哪，业务才能发展到哪。未来的业务差异性较大，难以用标准解决方案满足。为打造有特色的行业竞争力，需要高度重视自主研发能力的培养和积累，实现主动、及时响应市场的变化。