银行与证券、保险及其他机构网络关联的调查分析与思考
时间：2020-04-26 05:18:20 来源：千叶帆 本文已影响人
【摘要】信息化助推了金融产品和金融服务的创新，银证合作、银保合作、银政合作、银税通、银财通、手机银行、网上银行……不断繁衍创新的金融产品和日益先进的金融服务技术，促进了金融体系的进一步发展完善，为行业间合作提供技术平台，建立了业务的相互促进桥梁，促进了金融与社会体系的融合。与此同时，银行与证券、保险及其他机构的联网关联情况尚属未知空白区域，且涉及网络、系统、安全、应用、业务等多方面的立体交叉内容。为了解并逐步掌握银行与证券、保险及其他机构的联网关联情况，本文对银行网络关联与业务安全机制进行调查，通过分析存在的风险，提出应对措施，对促进人民银行金融业信息化管理和窗口指导工作，防范金融信息安全风险具有实际参考意义。
【关键词】银行 网络 信息安全 金融信息化
一、调查的基本情况
为保证调查结果的真实性、完整性、有效性，同时考虑在探索式调查初期，调查范围不宜面面俱到，内容不宜太过复杂，此次调查的范围内容锁定在联网网络概况与业务基础性安全机制概况两个基调上，主要体现在3个方面：一是银行与证券业、保险业及其他机构的网络连接情况；二是银行与证券业、保险业及其他机构联网的安全防护策略，安全设备品牌与型号；三是银行与证券业、保险业及其他机构联网承载的业务系统及系统身份认证机制。
（一）网络概况与安全机制
1.联网数量众多、关联交错。调查到的22家银行业金融机构，涉及证券、保险、信托、政府机构、非金融类支付机构、公共服务机构、村镇银行和其他8个类别共150家联网机构；8个外联机构类别中，政府机构、非金融类支付机构、公共服务机构、其他类别机构连接了10余家银行的网络，证券公司、保险公司与近10家银行有联网，信托公司仅与中国银行、农业银行有联网，村镇银行仅有富滇银行、华夏银行家与之联网，基金公司没有与银行联网。
2.联网方式趋常规化。当前较为普遍流行的联网方式主要有专线联网、金融城域网、VPN联网、VPDN联网、互联网、拨号联网、卫星组网等。其中，专线联网和金融城域网属物理隔离，较为安全；VPN联网、VPDN联网次之；互联网、拨号联网很不安全。经调查，银行与绝大多数机构采用专线方式联网，与部分机构（人民银行、银监局、银联）采用金融城域网方式联网，与极少数机构采用互联网或拨号方式（如富滇与昆明交警、杭州支付宝、中国金融认证中心，农发行与省政府）联网。结合几种常规联网方式的安全级别看，银行与外部联网机构的联网方式整体具备安全保障，与极少数机构的联网存在安全风险隐患。
3.联网网络电路特征明显。特征一：网络电路运营商较为集中。银行与外部联网机构联网的网络电路主要是电信、联通2家运营商，广电、移动、铁通、网通、供电局、南方电网为银行与外部联网机构网络电路的补充。特征二：部分联网机构采用双电路冗余互备措施，其余机构采用单电路联网。银行与外部联网机构联网，承载实时或资金业务交互的，采取电信与联通双电路冗余互备措施，这种方式覆盖了14家银行、4类13家机构。
4.联网带宽覆盖范围较为广泛。据调查统计数据，银行-机构联网连接共计316对，按带宽从高到低的顺序，涵盖了1000M、100M、10M、8M、4M、2M、256K、64K、56K共9种联网带宽频率。其中，2M带宽连接占绝大多数，占比约87%；64K连接次之，占比约6.01%；其余带宽应用极少。带宽应用较多的2M和64K，多为双电路冗余备份。
5.联网网络采取软硬件结合的安全防护策略。软件策略包括访问列表控制、地址转换、包过滤、端口控制、VLAN、流量控制8种方式。其中，访问列表控制应用最为广泛，地址转换、包过滤策略次之，端口控制、VLAN、流量控制策略应用较少。硬件策略集中于防火墙、硬件加密产品的部署应用，但防火墙品牌、型号呈多样，且以国外产品占主导地位，国产品牌仅有天融信1家。
（二）业务概况与基础性安全机制
1.银行外联业务系统庞杂多样。银行外联业务及系统近150项，据业务的相似相通性，大致可归纳为15类：代收付类、第三方存管类、短信通知类、公务卡类、监管类、交易清算类、交易业务类、数据交换类、银联业务、银保通、银期通、银企通、银税通、银商转账、银证转账。
2.业务基础性安全机制形式不一。业务交互采取的基础性身份认证机制形式主要有：IP验证、KEY认证、SSL+数字证书认证、Ukey数字证书、SOAP协议、加密机、DES、密押卡、密钥交换、工号验证、用户+密码+加密狗等。从身份认证机制形式的应用种类看，似乎业务安全性有良好保证，但从业务类别和具体业务着眼，业务的安全性不尽如人意。（1）银保通、银商转账、银证转账等证券保险类资金业务，主要采用密钥交换、用户密码签到的业务身份认证机制，但部分证券、保险机构的业务身份认证机制不详。（2）代收付类主要采用IP验证、口令身份鉴别技术，但仅限于少部分机构采用，多数机构的业务身份认证机制不详或是没有认证。（3）公务卡类主要采用用户密码签到的业务交互身份认证机制。（4）百货超市MIS收银一体化业务，综合应用了用户+密码+加密机的业务交互身份认证机制。（5）银企通业务多数采用用户+密码、KEY认证、Ukey数字证书的业务交互身份认证机制。
3.业务峰值参差不齐，总体近乎泊松分布。业务峰值从单笔到上万笔不等，10笔以下峰值业务较少，100～1000笔峰值业务居多，1000笔以上峰值业务较少。
4.银行-机构双方安全合作机制层次不一。从银行-机构有无签订安全合作协议的统计数据看，145个银行-机构对签署过安全合作协议，23个银行-机构对没有签署安全合作协议，285个银行-机构对的安全合作协议签署情况未知。
二、问题与分析
（一）网络安全存在潜在风险威胁
1.互联网及拨号联网方式给金融城域网带来安全风险隐患。据调查，银行与外部联网机构的联网方式中，少数机构通过互联网及拨号方式与银行联网，而这些银行又通过金融城域网与人民银行DMZ区连接，使得人民银行DMZ区、金融城域网与互联网有间接的逻辑连接，给DMZ区、整个金融城域网带来很大的风险隐患，其承载的业务系统同样受到隐患威胁。
2.网络风险点高度集中于两家电路运营商。调查发现，银行与外部联网机构联网的网络电路集中于电信、联通2家运营商。网络电路运营商集中，意味着风险点集中。一旦电信、联通的中心机房受到不稳定、不安全因素影响，风险威胁将迅速扩散到整个银行业及外联机构。
3.单电路联网机构存在电路故障导致的业务中断风险。大量机构采用单电路联网方式，特别是一些承载实时或资金业务交互的联网机构如证券公司（泛亚贵金属交易所、海通证券、太平洋证券、银河证券、云晨期货、招商证券）、保险公司（太平洋保险、太平洋人寿、新华人寿、阳光保险、中国人寿）、信托公司（鲲鹏农产品、省投资公司），并未全部采用双电路冗余互备措施。单电路联网，对这些实时或资金业务交互的机构有业务中断的风险威胁。例如，当某电信运营商的通信电路因道路施工等出现意外断裂，将由该断点引致相应单电路联网机构的业务连续性。
4.非国产自主知识产权安全产品的使用，不利于安全保障与控制。据调查统计，网络安全设备的应用主要是防火墙产品的部署应用，然而，防火墙产品涉及到7个品牌、21种型号，使用最多的cisco、Juniper产品全系美国品牌，还有极少以色列、芬兰产品，我国国产安全产品仅使用了天融信1家的防火墙。在当前国际关系交错复杂，信息化技术风险日益突出的情势下，过多的依赖国外安全产品，在一些不利于和平的因素影响下，我们的信息安全既是被动受限的，又可能存在潜在漏洞威胁的入侵后门。没有自主产权的安全产品，给整个银行与外部机构联网的物理网络增加了安全产品兼容复杂度、信息技术管理复杂度与风险控制复杂度。
（二）外联业务身份认证安全性存在潜在风险威胁
1.外联业务身份认证机制在技术方面不完善。调查表明，绝大多数外联业务未采取高有效性的身份认证机制。外联业务数据及用户信息的安全性是面临安全隐患的威胁，尤其是在互联网上，如主要采用密钥交换、用户密码签到身份认证机制的证券、保险用户及交易数据在互联网上的安全性是不完善的。
2.外联业务身份认证机制在制度方面不健全。业务安全离不开技术的支持与保障，但仅仅依靠技术并不能保障业务数据的安全，这就需要从制度、规范及规章等方面给予安全性约束。本次调查，从银行-机构有无签订安全合作协议方面初步了解外联业务身份认证机制的制度保障，结果仅48.17%的银行-机构签署过双方的安全合作协议，半数以上的银行-机构并没有基本的安全协议保障。
三、建议的对策及措施
（一）加强网络安全部署，减低潜在风险威胁
1.杜绝不安全联网方式，从物理方式上保障网络及其业务系统安全。首先，要高度重视与外部联网机构的网络安全性。网络在本单位或本系统内可能已充分考虑到局域网、广域网的安全防护，但因业务往来的需要引入外部联网机构的网络连接，这同样需要我们重视这部分连接引入的网络安全风险因素，不仅要保证自身的安全，还要防范外部不安全因素的影响。其次，要加强调研，充分了解各银行业金融机构的外部联网方式及其承载的业务系统，业务系统的应用对象、应用方式，以反映出银行与外部联网机构之间真实、全面、完整的网络部署和业务系统数据流向，便于网络安全部署于管理。最后，要采用专线联网、金融城域网联网等安全的联网方式，从物理上与互联网等公众网络隔离，避免因证券、保险等外部联网机构互联网的业务应用而引致银行机构与互联网有间接的逻辑连接。
2.分散或避免网络电路风险。在满足业务性能和运维管理要求的前提下，适当考虑选择分散网络电路运营商，分散电路风险点。对于网络电路电信运行商，存在着市场上电信运行商数量有限的客观事实，同时还因运行商的起步、发展、拓展领域的不同而形成不同的规模、市场、运营能力、服务响应质量。大多数联网机构选择电信、联通运营商，既有运营商市场占有率的因素，又有租用电路的银行、机构在用电路的影响因素，还有电路租用费用等其他因素。对于电信、联通为主导的网络电路很容易理解，但是，网络电路运营商过于集中，就增加了作为用户的银行、机构的网络风险点。因此，建议作为用户的银行、机构在满足业务性能和运维管理要求的前提下，适当考虑其他一些电信运营商，以期实现通过分散网络电路而分散网络风险。
3.采用双电路冗余备份联网，避免电路单点故障引发的业务中断风险。仅从业务连续性考虑，为避免单电路方式的业务中断，所有银行外联机构都应采双电路冗余备份联网方式与银行联网。但考虑到具体银行外联机构的业务性质、实时性要求不同，再加上投入资金成本的能力、意愿也不同，并不是所有银行外联机构都愿意或可能实现双电路冗余备份联网。然而，对于承载实时或资金业务交互的银行外联机构，确实应采用双电路冗余备份联网来保证业务的连续性。特别是一些承载实时、资金业务的证券公司、保险公司、信托公司、百货超市等单电路银行外联机构，更应该率先解决双电路冗余备份联网的问题。对于业务实时性要求不高、业务量不大的银行外联机构，应尽可能采用双电路冗余备份联网，确有困难者，虽采用单电路联网方式，但应同步考虑电路故障的应急措施、应急方案，从不同的层面保证业务连续性。
4.倡导国产自主知识产权安全产品的使用，防范入侵后门的蓄意留置。大量使用国外安全产品，给我们的网络安全带来很多不可控因素和漏洞安全隐患。国外厂商不可能提供产品的核心技术和专利，我们很难判断设备是否存在“后门”、“软件陷阱”、“系统漏洞”、“软件炸弹”等安全漏洞。据经验调查，一些重要网络系统中使用的信息技术产品，都不可避免地存在一定的安全漏洞。这些漏洞可能是开发过程中有意预留，也可能是无意疏忽造成的。特殊情况下，特定安全漏洞可能被利用实施人侵，修改或破坏设备程序，或从设备中窃取机密数据和信息。因此，我们倡导国产自主知识产权安全产品的使用，防范入侵后门的蓄意留置。当然，我们首先承认国外安全产品的功能优势和操作优势，我们也承认国产安全产品品牌少、功能和操作上有较多的局限，但随着我国信息化技术的不断进步，信息安全产品将会不断完善发展，我们应从安全问题是首位的角度出发，发展国产安全产品的使用空间，逐步过渡到国产自主知识产权安全产品占主导地位的状态。
（二）依托技术、制度保障，加强外联业务身份认证安全机制
1.综合应用多种技术，全方位完善外联业务身份认证机制。一方面我们要从网络上采取物理隔离、网络电路冗余备份、安全保密产品选择、安全域边界防护等措施从网络一级保障业务数据安全；另一方面我们还应该综合应用密级标识、用户身份鉴别、访问控制粒度、信息传输、信息设备的电磁泄露发射防护、边界控制、违规外联监控等技术手段，保证外联业务数据的访问、传输、存储安全。
2.规范安全制度管理，健全外联业务身份认证保障制度。单纯依靠技术的安全是没有保障的，要在技术措施的基础上，建立相应的安全保障制度。例如，建立相应的安全管理机构、管理制度、管理人员，规范集成资质单位选择，制定应急管理方案，规范并签署安全合作协议等，通过规范安全制度管理，为外联业务制度提供保障。
四、结束语
调查了解银行与证券业、保险业及其他机构联网概况和关联关系，能为人民银行履行加强行业合作、防范金融信息化风险、研究相应风险防范对策提供真实、具体的第一手材料和丰富的案例，具有实际意义。因此，我们有必要在今后的工作中继续开展广泛深入的调研，以准确、全面地掌握银行与证券业、保险业及其他机构联网情况、业务系统之间的关联关系，挖掘深层次的潜在风险点，为提高人民银行金融业信息化管理和窗口指导的履职能力提供新的视野和方式。
相关热词搜索：关联，及其他，思考，机构，调查，
