DOC.DOC.中小商業(yè)銀行信息安全現(xiàn)狀XIT需求一、中小銀行所面臨的信息安全風(fēng)險(xiǎn)IT目標(biāo)，面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)表達(dá)如下八類：1、非法訪問：現(xiàn)有網(wǎng)絡(luò)設(shè)備本身具備一定的訪問控制能力，而這些訪問控接口，外部網(wǎng)絡(luò)可能會(huì)通過這些接口攻擊銀行，造成巨大損失。2、失密和竊密：利用搭線竊聽竊收，使用協(xié)議分析儀器竊收計(jì)算機(jī)系統(tǒng)的操作密碼，破解系統(tǒng)的核心密碼，竊取用戶##、密碼等；或利用間諜軟件獲得敏感的金融信息。3、信息篡改：利用信息篡改攻擊手段，非授權(quán)改變金融交易傳輸過程、存儲(chǔ)過程中的信息。4、內(nèi)部人員破壞：內(nèi)部人員熟悉金融行業(yè)網(wǎng)絡(luò)系統(tǒng)的應(yīng)用業(yè)務(wù)和薄弱環(huán)節(jié)，可以比擬容易地篡改系統(tǒng)數(shù)據(jù)、泄露信息和破壞系統(tǒng)的軟硬件。5、黑客入侵：利用黑客技術(shù)非法侵入金融行業(yè)的網(wǎng)絡(luò)系統(tǒng)，調(diào)閱各種資料，篡改他人的資料，破壞系統(tǒng)運(yùn)行，或者進(jìn)展有目的的金融犯罪活動(dòng)。6、假冒和偽造：假冒和偽造是金融行業(yè)網(wǎng)絡(luò)系統(tǒng)中經(jīng)常遇見的攻擊手段。如偽造各類業(yè)務(wù)信息，未授權(quán)篡改數(shù)據(jù)，改變業(yè)務(wù)信息流的次序、時(shí)序、流向，破壞金融信息的完整性，假冒合法用戶實(shí)施金融欺詐等。7、蠕蟲、病毒泛濫：蠕蟲、病毒泛濫可能導(dǎo)致金融行業(yè)的重要信息遭到損壞，或者導(dǎo)致金融行業(yè)網(wǎng)絡(luò)系統(tǒng)癱瘓。8、拒絕服務(wù)：拒絕服務(wù)攻擊使金融行業(yè)的電子商務(wù)無法為客戶提供正常服務(wù)，造成經(jīng)濟(jì)損失，同時(shí)也使行業(yè)形象受到損害。二、中小銀行信息安全體系建設(shè)的目標(biāo)XX中小銀行信息安全建設(shè)的主要工作內(nèi)容有：1、建立銀行信息安全管理組織架構(gòu)，專門負(fù)責(zé)信息系統(tǒng)的安全管理和監(jiān)視。2、制訂金融安全策略和安全管理制度。安全管理部門結(jié)合銀行信息系統(tǒng)的XXX3、設(shè)計(jì)并實(shí)施技術(shù)手段，技術(shù)手段要包括外網(wǎng)邊界防護(hù)、內(nèi)網(wǎng)區(qū)域劃分與訪問控制、端點(diǎn)準(zhǔn)入、內(nèi)網(wǎng)監(jiān)控與管理、移動(dòng)辦公接入、撥號(hào)安全控制、病毒防X、安全審計(jì)、漏洞掃描與補(bǔ)丁管理等諸多方面安全措施。4、建立安全運(yùn)維管理中心，集中監(jiān)控安全系統(tǒng)的運(yùn)行情況，集中處理各種高安全體系防護(hù)能力。三、中小銀行信息安全現(xiàn)狀與需求分析下面以呼和浩特市商業(yè)銀行的網(wǎng)絡(luò)與應(yīng)用現(xiàn)狀，分析在不同層次的安全需求，大局部中小銀行具有共性。(一)網(wǎng)絡(luò)層為保證網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)目煽啃院桶踩?，網(wǎng)絡(luò)層存在的安全風(fēng)險(xiǎn)主要包括以下幾個(gè)方面：1、網(wǎng)絡(luò)結(jié)構(gòu)以與網(wǎng)絡(luò)數(shù)據(jù)流通模式的風(fēng)險(xiǎn)：現(xiàn)有主要的網(wǎng)絡(luò)結(jié)構(gòu)為星形、樹形、環(huán)形以與網(wǎng)狀，隨著網(wǎng)絡(luò)節(jié)點(diǎn)間的連接以采取的有效可行的措施是加強(qiáng)網(wǎng)絡(luò)設(shè)備和線路備份措施的實(shí)施。2、網(wǎng)絡(luò)設(shè)備安全有效配置的風(fēng)險(xiǎn)：網(wǎng)絡(luò)設(shè)備是網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)暮诵?，是整個(gè)網(wǎng)絡(luò)的根底設(shè)施，各種網(wǎng)絡(luò)設(shè)備本身的安全與可靠性以與這些設(shè)備上應(yīng)用策略的安全都需要進(jìn)展合理的配置才能夠保證。3、來自不同安全域的訪問控制的風(fēng)險(xiǎn)：網(wǎng)絡(luò)結(jié)構(gòu)越來越復(fù)雜，接入網(wǎng)絡(luò)的用戶也越來越多，必須能夠在不同的網(wǎng)絡(luò)把安全風(fēng)險(xiǎn)隔離在相比照擬獨(dú)立以與比擬小的網(wǎng)絡(luò)區(qū)域。4、網(wǎng)絡(luò)攻擊行為的檢測(cè)和防X的風(fēng)險(xiǎn)：TCP/IP協(xié)議的開放特性，帶來了非常大的安全風(fēng)險(xiǎn)，常見的IP地址竊取、IP地址假冒，網(wǎng)絡(luò)端口掃描以與危害非常大的DOSDDOS5、網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)?#性和完整性的風(fēng)險(xiǎn)：(二)用戶層1、用戶操作系統(tǒng)平臺(tái)安全漏洞的風(fēng)險(xiǎn)：大局部的網(wǎng)絡(luò)攻擊行為以與網(wǎng)絡(luò)病毒的傳播都是由于操作系統(tǒng)平臺(tái)本身存成的安全風(fēng)險(xiǎn)，同時(shí)對(duì)操作系統(tǒng)的安全機(jī)制進(jìn)展合理的配置。2、用戶主機(jī)遭受網(wǎng)絡(luò)病毒攻擊的風(fēng)險(xiǎn)：3、針對(duì)用戶主機(jī)網(wǎng)絡(luò)攻擊的安全風(fēng)險(xiǎn)：目前Internet上有各種完善的網(wǎng)絡(luò)攻擊工具，在局域網(wǎng)的環(huán)境下，這種攻擊會(huì)更加有效，針對(duì)的目標(biāo)會(huì)更加明確，據(jù)統(tǒng)計(jì)，有97％的攻擊是來自內(nèi)部的攻擊，而且內(nèi)部攻擊成功的概率要遠(yuǎn)遠(yuǎn)高于來自于Internet的攻擊，造成的后果也嚴(yán)重的多。4、用戶網(wǎng)絡(luò)訪問行為有效控制的風(fēng)險(xiǎn)：InternetInternet的什么。在此根底之上，必須能夠進(jìn)展縝密的行為審計(jì)管理。(三)業(yè)務(wù)層1、服務(wù)器與數(shù)據(jù)存儲(chǔ)系統(tǒng)的可用性風(fēng)險(xiǎn)：業(yè)務(wù)系統(tǒng)的可靠性和可用性是網(wǎng)絡(luò)安全的一個(gè)很重要特性，必須保證業(yè)務(wù)系統(tǒng)硬件平臺(tái)〔主要是大量的服務(wù)器〕以與數(shù)據(jù)硬件平臺(tái)〔主要是存儲(chǔ)系統(tǒng)〕的可靠性。2、操作系統(tǒng)和網(wǎng)絡(luò)服務(wù)平臺(tái)的安全風(fēng)險(xiǎn)：X攻擊的發(fā)生。3、用戶身份認(rèn)證與資源訪問權(quán)限的控制：的身份，設(shè)置合理的訪問權(quán)限，保證信息可以在被有效控制下共享。4、用戶對(duì)業(yè)務(wù)訪問的有效的記錄和審計(jì)：業(yè)務(wù)系統(tǒng)必須能夠?qū)τ脩舻母鞣N訪問行為進(jìn)展詳細(xì)的記錄，以便進(jìn)展事后查證。四、中小銀行信息安全體系建設(shè)的思路第一、進(jìn)展網(wǎng)絡(luò)安全區(qū)域設(shè)計(jì)和浩特市商業(yè)銀行網(wǎng)絡(luò)和應(yīng)用的現(xiàn)狀，可以進(jìn)展如下安全區(qū)域的劃分：數(shù)據(jù)中心區(qū)：由呼和浩特市商業(yè)銀行生產(chǎn)服務(wù)群構(gòu)成，是呼和浩特市商業(yè)銀最為復(fù)雜。DoS/DD