中小商业银行信息安全体系构架思路.docx

中小商业银行信息安全体系构架思路精选文档你我共享中小商业银行信息安全系统构架思路2009-03-24CBSi中国·PC种类:转载根源:睿商中小银行所面对的信息安全风险大多半中小商业银行网络系统是于近几年规划建设实行的生产、办公、通信综合系统网络跟着银行业务范围的不停扩展，业务应用的不停深入，IT需求不停增添，网络系统逐渐展现出可管理性差、攻击防备设备老化等安全隐患，看管部门也进行了信息安全风险的有关提示为此，联合呼和浩特市商业银行的现状，谈一谈中小商业银行信息安全系统建设的思路一、中小银行所面对的信息安全风险跟着计算机技术和通信技术的飞快发展，网络正逐渐改变着人们的工作方式和生活方式跟着网络技术在金融行业的全面应用，大大提升了金融行业的业务办理效率和管理水平，促成了各项创新的金融业务的睁开，改良了整个金融行业的经营环境，增强了金融信息的靠谱性，使金融服务于社会的手段更趋现代化可是，同其余任何行业同样，网络安全风险陪伴着网络技术在金融行业的全面应用而全面笼盖在金融行业的每个业务角落金融行业IT系统因为波及信息的敏感性自然会成为内部和外面黑客攻击的目标，面对的网络安全风险表达以下八类：1、非法接见：现有网络设备自己具备必定的接见控制能力，而这些接见控制强度较弱，攻击者能够在任一终端利用现有的大批攻击工具倡始攻击；另一方面金融行业（如银行）开发的好多增值业务、代理业务，存在大批与外界互连的接口，外面网络可能会经过这些接口攻击银行，造成巨大损失。

2、失密和窃密：利用搭线窃听窃收，使用协议剖析仪器窃收计算机系统的操作密码，破解系统的核心密码，盗取用户帐号、密码等；或利用间谍软件获取敏感的金融信息3、信息窜改：利用信息窜改攻击手段，非受权改变金融交易传输过程、储存过程中的信息腹有诗书气自华精选文档你我共享4、内部人员破坏：内部人员熟习金融行业网络系统的应用业务和单薄环节，能够比较简单地窜改系统数据、泄漏信息和破坏系统的软硬件5、黑客入侵：利用黑客技术非法侵入金融行业的网络系统，调阅各样资料，窜改别人的资料，破坏系统运转，或许进行有目的的金融犯法活动6、冒充和假造：冒充和假造是金融行业网络系统中常常遇到的攻击手段如假造各种业务信息，未受权窜改数据，改变业务信息流的序次、时序、流向，破坏金融信息的完好性，冒充合法用户实行金融欺骗等7、蠕虫、病毒泛滥：蠕虫、病毒泛滥可能致使金融行业的重要信息遇到破坏，或者致使金融行业网络系统瘫痪8、拒绝服务：拒绝服务攻击使金融行业的电子商务网站没法为客户供应正常服务，造成经济损失，同时也使行业形象遇到伤害二、中小银行信息安全系统建设的目标依据上述中小银行所面对的信息安全风险，我认为中小银行信息安全系统建设的目标是经过成立完美的信息安全管理制度和智能、深度的安全防守技术手段，建立一个管理手段与技术手段相联合的全方向、多层次、可动向发展的纵深安全防备系统，来实现信息系统的靠谱性、保密性、完好性、有效性、不可以否定性，为金融业务的发展供应一个坚固的信息系统基础保障。

信息安全防备系统的覆盖范围是整个信息系统中小银行信息安全建设的主要工作内容有：1、成立银行信息安全管理组织架构，特意负责信息系统的安全管理和监察2、制定金融安全策略和安全管理制度安全管理部门联合银行信息系统的实质情况，制定合理的安全策略，对信息资源进行安全分级，区分不同安全等级的安全域，进行不同样级的保护制定并履行各样安全制度和应急恢复方案，保证信息系统的安全运转这些包含：密码管理制度、数据加密规范、身份认证规范、地区区分原则及接见控制策略、病毒防备制度、安全监控制度、安全审计制度、应急反响体制、安全系统升级制度等3、设计并实行技术手段，技术手段要包含外网界限防备、内网地区区分与接见控制、端点准入、内网监控与管理、挪动办公接入、拨号安全控制、病毒防备、安全审计、破绽扫描与补丁管理等诸多方面安全举措4、成立安全运维管理中心，集中监控安全系统的运转状况，集中办理各样安全事件；一致制定安全系统升级策略，并实时对安全系统进行升级，以保证提升安全系统防腹有诗书气自华精选文档你我共享护能力三、中小银行信息安全现状及需求剖析下边以呼和浩特市商业银行的网络及应用现状，剖析在不同层次的安全需求，大多半中小银行拥有共性。

一)网络层为保证网络数据传输的靠谱性和安全性，网络层存在的安全风险主要包含以下几个方面：1、网络构造以及网络数据流通模式的风险：现有主要的网络构造为星形、树形、环形以及网状，跟着网络节点间的连结密度的增添，整个网络供应的线路冗余能力也会增添，供应的网络数据的流动模式会更灵巧，整个网络靠谱性和可用性也会大大的增添呼和浩特市商业银行现有的网络构造，能够知够数据流动模式的需求，为了保证网络系统的靠谱性，能够采纳的有效可行的举措是增强网络设备和线路备份举措的实行2、网络设备安全有效配置的风险：网络设备是网络数据传输的核心，是整个网络的基础设备，各样网络设备自己的安全与靠谱性以及这些设备上应用策略的安全都需要进行合理的配置才能够保证3、来自不同安全域的接见控制的风险：网络构造愈来愈复杂，接入网络的用户也愈来愈多，一定能够在不同的网络地区之间采纳必定的控制举措，有效控制不同的网络地区之间的网络通信，以此来控制网络元素间的互访能力，防止网络滥用，同时实现安全风险的有效的隔绝，把安全风险隔绝在相对照较独立以及比较小的网络地区4、网络攻击行为的检测和防备的风险：鉴于网络协议的缺点，特别是TCP/IP协议的开放特征，带来了特别大的安全风险，常有的IP地点盗取、IP地点冒充，网络端口扫描以及危害特别大的拒绝服务攻击（DOS、DDOS）等，一定能够对这些攻击行为进行有效的深度防守。

5、网络数据传输的机密性和完好性的风险：腹有诗书气自华精选文档你我共享网络数据在传输的过程中，很可能被经过各样方式盗取，所以保证数据在传输的过程中机密性（保证数据传达的信息不被第三方获取），完好性（保证数据在传达过程中不被人改正）是特别重要的，特别是在传达的信息的价值不停提升状况下二)用户层1、用户操作系统平台安全破绽的风险：大多半的网络攻击行为以及网络病毒的流传都是因为操作系统平台自己存在的安全破绽，微软不停公布系统补丁即是明证，所以一定有效防止系统破绽造成的安全风险，同时对操作系统的安全体制进行合理的配置2、用户主机遭到网络病毒攻击的风险：网络给病毒的流传供应了很好的路径，网络病毒流传速度之快、危害之大是令人惊讶的，特别是流行的一些蠕虫病毒，更是防不胜防，所以一定建设全面的网络防病毒系统，层层布防，逐层把关，堵住病毒流传的各样可能门路3、针对用户主机网络攻击的安全风险：当前Internet上有各样完美的网络攻击工具，在局域网的环境下，这类攻击会更加有效，针对的目标会更为明确，据统计，有97％的攻击是来自内部的攻击，并且内部攻击成功的概率要远远高于来自于Internet的攻击，造成的结果也严重的多。

4、用户网络接见行为有效控制的风险：第一需要对用户接入网络的能力进行控制，同时需要更细粒度的接见控制，特别是对Internet资源的接见控制，比方应当能够控制内部用户接见Internet的什么网站在此基础之上，一定能够进行周密的行为审计管理三)业务层1、服务器及数据储存系统的可用性风险：业务系统的靠谱性和可用性是网络安全的一个很重要特征，一定保证业务系统硬件平台（主假如大批的服务器）以及数据硬件平台（主假如储存系统）的靠谱性2、操作系统和网络服务平台的安全风险：经过对各样流行的网络攻击行为的剖析，能够发现绝大多半的攻击是利用各样操作腹有诗书气自华精选文档你我共享系统和一些网络服务平台存在的一些已公然的安全破绽倡始，所以，根绝各样操作系统和网络服务平台的已公然的安全破绽，能够在很大程度上防备系统攻击的发生3、用户身份认证及资源接见权限的控制：因为网络中的各个应用系统上有好多信息是供应给不同权限用户查阅的，不同级别、不同部门、不同人员能够接见的资源都不同样，所以需要严格区分用户的身份，设置合理的接见权限，保证信息能够在被有效控制下共享4、用户对业务接见的有效的记录和审计：业务系统一定能够对用户的各样接见行为进行详尽的记录，以便进行过后查证。

四、中小银行信息安全系统建设的思路金融系统的网络应用比较复杂，对安全的要求也很高，依据中小银行所面对的风险以及上述安全现状和需求，在信息安全系统建设过程中应当关注以下几个方面第一、进行网络安全地区设计网络安全地区设计是网络安全建设的基础，其余的网络安全建设举措所有都是鉴于这个基本设计睁开的自然要依据银行的实质状况进行区分，比如依据呼和浩特市商业银行网络和应用的现状，能够进行以下安全地区的区分：数据中心区：由呼和浩特市商业银行生产服务群构成，是呼和浩特市商业银行全部生产活动的基础这个地区的安全性要求最高，对业务连续性要求也最高要求不可以随意进行任何可能影响业务的操作，包含为服务器打补丁，管理起来也最为复杂外联界限区：与外联单位进行中间业务服务器构成的安全地区与外联单位一般采纳专线连结，因为业务拥有必定的保护手段，对业务连续性要求不如数据中心区外联服务区：睁开对外服务的服务器所在的安全地区因为直接与公网连结，同时又是比较敏感的金融业务，所以安全性要求特别高，对业务连续性要求也较高同时也最简单遭到包含DoS/DDoS攻击在内的来自互联网的威迫内网办公区：办公服务器所在的安全地区，主要用于内部OA系统等应用。

对安全的要求较前面讲的各个安全地区低，业务连续性要求也相对较低多采纳Windows服务器，比较简单遭到病毒等威迫的影响网络管理区：网管业务睁开的地区，由网管类服务器和网管工作站构成关闭性较强，这个地区的安全与否直接关系到网络的稳固运转，某些方面的要求可能还要高于内网办公区分支机构区：所有分支机构共同构成的安全地区，一般采纳专线接入数据中心对数据中心来说这个地区属于外网，一般是此外独自考虑这个地区内各个节点的安全第二、以安全为核心规划网络腹有诗书气自华精选文档你我共享现有网络大多是以连通性作为中心进行设计的，而极少考虑安全性比如最典型的网络三层架构模型（核心层、汇聚层、接入层架构）中，网络是向核心层集中的而并没有考虑同一层不同节点之间的安全隔绝问题而在网络安全改造中第一需要改变的就是将以连通性为中心的设计思路转变成以安全为中心的设计思路并依据以安全为核心的设计思路的要求对网络进行从头设计，这就好似要有好的网络贴身保镖第三、用防火墙隔绝各安全地区防火墙作为不同网络或网络安全域之间信息的进出口，能依据安全策略控制进出网络的信息流，且自己拥有较强的抗攻击能力它是供应信息安全服务，实现网络和信息安全的基础设备。

第四、对重点路径进行深度检测防备深度检测防守是为了检测计算机网络中违犯安全策略行为一般认为违犯安全策略的行为有入侵和滥用，深度检测防守能够辨别出任何不希望有的活动，进而限制这些活动，以保护系统的安全深度检测防守的应用目的是在入侵攻击对系统发生危害前，检测到入侵攻击，并利用报警与防备系统驱赶入侵攻击在入侵攻击过程中，能减少入侵攻击所造成的损失第五、对终端进行安全接见控制当前，针对病毒、蠕虫的防守系统仍是以孤立的单点防守为主，其实不可以有效应付病毒和蠕虫的威迫，主要表此刻被动防守、单点防守、分别管理只有从用户的接入终端进行安全控制，才能够从源泉上防守。