金融機(jī)構(gòu)信息資產(chǎn)安全與操作風(fēng)險(xiǎn)管理

[摘要]面對(duì)日趨復(fù)雜的金融活動(dòng)，金融操作風(fēng)險(xiǎn)已經(jīng)成為金融機(jī)構(gòu)越來越顯著的風(fēng)險(xiǎn)因素，操作風(fēng)險(xiǎn)的監(jiān)管日趨重要。金融機(jī)構(gòu)作為“信息系統(tǒng)依賴型”企業(yè)和“信息資產(chǎn)密集型”企業(yè)，對(duì)信息系統(tǒng)的依賴程度不斷增強(qiáng)。金融信息系統(tǒng)的安全性、可靠性、有效性直接關(guān)系到整個(gè)金融業(yè)的安全和穩(wěn)健。本文借鑒MSF風(fēng)險(xiǎn)管理框架，結(jié)合金融機(jī)構(gòu)操作風(fēng)險(xiǎn)威脅和信息資產(chǎn)安全特點(diǎn)，提出金融機(jī)構(gòu)完善信息資產(chǎn)安全、進(jìn)行操作風(fēng)險(xiǎn)管理的初步框架。

[關(guān)鍵詞]金融機(jī)構(gòu)；信息資產(chǎn)；操作風(fēng)險(xiǎn)；風(fēng)險(xiǎn)管理

金融機(jī)構(gòu)操作風(fēng)險(xiǎn)具有不同于信用風(fēng)險(xiǎn)和市場(chǎng)風(fēng)險(xiǎn)的顯著特征，是其基礎(chǔ)性風(fēng)險(xiǎn)。巴塞爾委員會(huì)對(duì)操作風(fēng)險(xiǎn)的定義是：“操作風(fēng)險(xiǎn)是指由不完善或有問題的內(nèi)部程序、人員及系統(tǒng)或外部事件所造成損失的風(fēng)險(xiǎn)。”它是指由于不當(dāng)或不足的方式操作業(yè)務(wù)或外部事件而對(duì)銀行業(yè)務(wù)帶來負(fù)面影響的可能性。操作風(fēng)險(xiǎn)是與銀行業(yè)務(wù)操作緊密相聯(lián)系的風(fēng)險(xiǎn)，它和信用風(fēng)險(xiǎn)、市場(chǎng)風(fēng)險(xiǎn)共同構(gòu)成商業(yè)銀行的三大風(fēng)險(xiǎn)。對(duì)于操作風(fēng)險(xiǎn)的監(jiān)管。直接涉及銀行信息資產(chǎn)風(fēng)險(xiǎn)的監(jiān)管，銀行信息資產(chǎn)風(fēng)險(xiǎn)監(jiān)管與操作風(fēng)險(xiǎn)監(jiān)管有著密切關(guān)系，加強(qiáng)操作風(fēng)險(xiǎn)的監(jiān)管，就必須高度重視信息資產(chǎn)風(fēng)險(xiǎn)的監(jiān)管。

一、IT環(huán)境下操作風(fēng)險(xiǎn)的挑戰(zhàn)

(一)IT環(huán)境下操作風(fēng)險(xiǎn)的隱患

當(dāng)前由于銀行系統(tǒng)漏洞或缺陷導(dǎo)致的操作風(fēng)險(xiǎn)事件呈現(xiàn)出上升趨勢(shì)。據(jù)銀監(jiān)會(huì)通報(bào)，2007年以來銀行業(yè)發(fā)生的5起典型信息系統(tǒng)風(fēng)險(xiǎn)事件，分別是：2007年3月21日，交通銀行因主機(jī)監(jiān)控軟件存在缺陷，導(dǎo)致業(yè)務(wù)交易阻塞，系統(tǒng)癱瘓近4個(gè)小時(shí)，所有營(yíng)業(yè)網(wǎng)點(diǎn)無法正常開展業(yè)務(wù)；2007年8月15日，中國(guó)工商銀行對(duì)計(jì)算機(jī)系統(tǒng)進(jìn)行升級(jí)，由于沒有避開業(yè)務(wù)高峰期，導(dǎo)致個(gè)人業(yè)務(wù)系統(tǒng)運(yùn)行不暢，業(yè)務(wù)辦理速度緩慢，部分代理證券業(yè)務(wù)受阻，在持續(xù)5個(gè)半小時(shí)后，系統(tǒng)才逐步恢復(fù)正常；2007年10月18日，中國(guó)建設(shè)銀行股民保證金第三方存管系統(tǒng)出現(xiàn)故障，與券商的交易無法正常進(jìn)行，事故持續(xù)了兩個(gè)小時(shí)，在證券交易收盤后才恢復(fù)正常；2007年12月21日，招商銀行因運(yùn)行中心核心網(wǎng)絡(luò)設(shè)備出現(xiàn)故障，造成業(yè)務(wù)無法正常進(jìn)行，雖啟動(dòng)了應(yīng)急預(yù)案，但仍然中斷營(yíng)業(yè)近1個(gè)小時(shí)：2008年1月7日，北京銀行因主干專線的入戶接入設(shè)備發(fā)生故障，造成在京117家支行所屬網(wǎng)點(diǎn)柜臺(tái)交易緩慢，業(yè)務(wù)無法正常進(jìn)行，故障在1個(gè)多小時(shí)后才得以解決。上述案例中，既有信息系統(tǒng)自身原因引發(fā)的故障，也有人員操作失誤引發(fā)的故障，信息系統(tǒng)風(fēng)險(xiǎn)已成為商業(yè)銀行關(guān)注和防范的焦點(diǎn)。

金融業(yè)信息技術(shù)事故統(tǒng)計(jì)表明，如果銀行系統(tǒng)中斷1小時(shí)，將直接影響該行的基本支付業(yè)務(wù)；中斷1天，將對(duì)其聲譽(yù)造成極大傷害；中斷2—3天以上不能恢復(fù)。將直接危及其他銀行乃至整個(gè)金融系統(tǒng)的穩(wěn)定。目前。我國(guó)銀行業(yè)的IT建設(shè)正處于高速發(fā)展期，在設(shè)備規(guī)模和技術(shù)水平不斷提高的同時(shí)，信息科技風(fēng)險(xiǎn)管理顯得相對(duì)薄弱。

技術(shù)型操作風(fēng)險(xiǎn)的隱患源于：1.操作系統(tǒng)漏洞。銀行應(yīng)用的Unix，Win-dows等操作系統(tǒng)存在一定安全隱患；2.安全設(shè)施的漏洞。網(wǎng)絡(luò)層、應(yīng)用層的防火墻自身是否安全、設(shè)置是否錯(cuò)誤，需要經(jīng)過檢驗(yàn)。美國(guó)一項(xiàng)調(diào)查表明，32％的泄密是由內(nèi)部作案造成，所有的防火墻都不同程度地被黑客攻擊過；3.安全管理的漏洞?，F(xiàn)有的一些信息系統(tǒng)缺少定期的安全測(cè)試與檢查，更缺少安全監(jiān)控。在已破獲的采用計(jì)算機(jī)技術(shù)犯罪的案件中，內(nèi)部授權(quán)人員作案的占58％；4.安全協(xié)議的漏洞。由于銀行網(wǎng)絡(luò)系統(tǒng)內(nèi)部運(yùn)行的各種協(xié)議(如TCP／IP，IPX／SPX等)是在資源及網(wǎng)絡(luò)技術(shù)均不成熟的情況下設(shè)計(jì)的，還存在著脆弱的認(rèn)證機(jī)制、容易被竊聽和監(jiān)視、易受欺騙等安全隱患；5.內(nèi)控制度的漏洞。管理制度、運(yùn)行規(guī)程不完善，不能有效地杜絕內(nèi)部作案，更缺乏良好的故障處理反應(yīng)機(jī)制。

(二)lT環(huán)境下操作風(fēng)險(xiǎn)的表現(xiàn)形式

技術(shù)導(dǎo)向型操作風(fēng)險(xiǎn)是指由于技術(shù)問題，特別是信息技術(shù)的應(yīng)用對(duì)銀行的系統(tǒng)、流程、產(chǎn)品、服務(wù)和交易等產(chǎn)生不良影響而導(dǎo)致的操作風(fēng)險(xiǎn)，包括IT技術(shù)、網(wǎng)絡(luò)系統(tǒng)、產(chǎn)品的服務(wù)缺陷。以及外部法律、稅收和監(jiān)管方面的變化對(duì)銀行沖擊而造成的風(fēng)險(xiǎn)。關(guān)于金融機(jī)構(gòu)技術(shù)導(dǎo)向型操作風(fēng)險(xiǎn)涵蓋的范疇及其風(fēng)險(xiǎn)的含義，在2006年出臺(tái)的銀行業(yè)監(jiān)督管理法中給出了明確定義：“主要包括總體風(fēng)險(xiǎn)，研發(fā)風(fēng)險(xiǎn)、運(yùn)行維護(hù)風(fēng)險(xiǎn)、外包風(fēng)險(xiǎn)等信息系統(tǒng)生命周期幾個(gè)高風(fēng)險(xiǎn)點(diǎn)……其中，總體風(fēng)險(xiǎn)是指金融機(jī)構(gòu)信息系統(tǒng)在策略、制度、機(jī)房、軟件、硬件、網(wǎng)絡(luò)、數(shù)據(jù)、文檔等方面影響全局或共有的風(fēng)險(xiǎn)；研發(fā)風(fēng)險(xiǎn)是指信息系統(tǒng)在研發(fā)過程中組織、規(guī)劃、需求、分析、設(shè)計(jì)、編程、測(cè)試和投產(chǎn)等環(huán)節(jié)產(chǎn)生的風(fēng)險(xiǎn)；運(yùn)行維護(hù)風(fēng)險(xiǎn)是指信息系統(tǒng)在運(yùn)行與維護(hù)過程中操作管理、變更管理、機(jī)房管理和事件管理等環(huán)節(jié)產(chǎn)生的風(fēng)險(xiǎn)；外包風(fēng)險(xiǎn)是指金融機(jī)構(gòu)將信息系統(tǒng)的規(guī)劃、研發(fā)、建設(shè)、運(yùn)行、維護(hù)、監(jiān)控等委托給業(yè)務(wù)或外部技術(shù)供應(yīng)商時(shí)形成的風(fēng)險(xiǎn)。”

二、金融機(jī)構(gòu)信息資產(chǎn)安全的需求

金融機(jī)構(gòu)信息系統(tǒng)是指銀行業(yè)金融機(jī)構(gòu)運(yùn)用現(xiàn)代信息、通信技術(shù)集成的處理業(yè)務(wù)、經(jīng)營(yíng)管理和內(nèi)部控制的系統(tǒng)。金融機(jī)構(gòu)信息系統(tǒng)具有如下特點(diǎn)：1.金融信息化的建設(shè)以及網(wǎng)上銀行業(yè)務(wù)的迅猛發(fā)展，使得銀行等金融機(jī)構(gòu)的業(yè)務(wù)集中度非常高。2.數(shù)據(jù)大集中后，由于單筆交易所跨越的網(wǎng)絡(luò)環(huán)節(jié)越來越多，信息系統(tǒng)對(duì)網(wǎng)絡(luò)的依賴性越來越高。3.信息安全性要求高，信息系統(tǒng)的各種文檔資料和用戶資料均需保密。

(一)信息資產(chǎn)安全的邊界

有關(guān)信息資產(chǎn)的含義，目前眾說紛紜，本文借鑒屈延文(2006)給出的定義，即信息資產(chǎn)是由信息范疇資產(chǎn)、系統(tǒng)范疇資產(chǎn)和附加范疇資產(chǎn)組成。其中信息范疇資產(chǎn)是指信息存在形式、信息內(nèi)容、內(nèi)容價(jià)值；系統(tǒng)范疇資產(chǎn)是指系統(tǒng)存在形式、系統(tǒng)行為、行為價(jià)值；附加范疇資產(chǎn)則是不同的關(guān)注者(計(jì)劃者、擁有者、設(shè)計(jì)者、實(shí)施者和用戶等)對(duì)信息與系統(tǒng)兩個(gè)范疇關(guān)注的需求價(jià)值(附加價(jià)值)。例如包括開發(fā)、運(yùn)營(yíng)、管理、維護(hù)和服務(wù)等產(chǎn)生的關(guān)注性的資產(chǎn)。

隨著信息技術(shù)的發(fā)展與應(yīng)用，信息安全的內(nèi)涵也在不斷的延伸。從最初的信息保密性發(fā)展到信息的完整性、可用性、可控性和不可否認(rèn)性，進(jìn)而又發(fā)展為“攻(攻擊)、防(防范)、測(cè)(檢測(cè))、控(控制)、管(管理)、評(píng)(評(píng)估)”等多方面的基礎(chǔ)理論和實(shí)施技術(shù)。

(二)信息資產(chǎn)安全性原則

信息，在ISO17799中被看作是一種資產(chǎn)，這種資產(chǎn)可以增加組織的價(jià)值，因而它也需要得到恰當(dāng)?shù)谋Ｗo(hù)。信息資產(chǎn)安全需要保護(hù)信息資源，防止未經(jīng)授權(quán)或偶然因素對(duì)信息資源的破壞、修改、非法利用或惡意泄露，以實(shí)現(xiàn)信息保密性、完整性與可用性的要求。在國(guó)際標(biāo)準(zhǔn)化組織的信息安全管理標(biāo)準(zhǔn)規(guī)范(1SO，IEC 17799)和其他一些機(jī)構(gòu)的文

獻(xiàn)中，都定義了信息安全的基本特性：如保密性，完整性。有效性；另外也可包括諸如真實(shí)性，可審計(jì)性，不可否認(rèn)性和可控性等。

三、金融機(jī)構(gòu)信息資產(chǎn)操作風(fēng)險(xiǎn)監(jiān)管的對(duì)策

風(fēng)險(xiǎn)監(jiān)管是信息資產(chǎn)安全管理的核心。信息系統(tǒng)風(fēng)險(xiǎn)管理的目標(biāo)是通過建立有效的機(jī)制。實(shí)現(xiàn)對(duì)信息系統(tǒng)風(fēng)險(xiǎn)的識(shí)別、計(jì)量、評(píng)價(jià)、預(yù)警和控制，推動(dòng)銀行業(yè)金融機(jī)構(gòu)業(yè)務(wù)創(chuàng)新，提高信息化水平，增強(qiáng)核心競(jìng)爭(zhēng)力和可持續(xù)發(fā)展能力。

(一)信息資產(chǎn)操作風(fēng)險(xiǎn)管理的原則和目標(biāo)

實(shí)施信息資產(chǎn)風(fēng)險(xiǎn)管理的原則為：1.針對(duì)性。對(duì)金融機(jī)構(gòu)信息資產(chǎn)所面臨的安全需求進(jìn)行認(rèn)真全面地分析，找出具有針對(duì)性的安全威脅。有的放矢地做好安全工作：2.均衡性。對(duì)信息安全的各個(gè)環(huán)節(jié)進(jìn)行安全強(qiáng)度分析，找出信息安全的脆弱點(diǎn)，提出強(qiáng)度均衡的設(shè)計(jì)方案；3.時(shí)效性。在實(shí)施信息安全管理時(shí)，要量力而行，安全投入與所需要的功效相適應(yīng)。即對(duì)信息安全面臨的威脅及可能承擔(dān)的風(fēng)險(xiǎn)進(jìn)行定性和定量的分析，從而制定出合理的安全策略；4.獨(dú)立性。信息安全所采用的技術(shù)均應(yīng)立足國(guó)內(nèi)，不得直接引用未經(jīng)消化改造的境外安全保密技術(shù)和設(shè)備；5.綜合性。信息安全必須通過技術(shù)、管理和安全基礎(chǔ)設(shè)施的綜合實(shí)施才能奏效，即信息安全=風(fēng)險(xiǎn)分析+執(zhí)行策略+基礎(chǔ)實(shí)施+漏洞監(jiān)測(cè)+實(shí)時(shí)響應(yīng)。

金融機(jī)構(gòu)信息資產(chǎn)安全管理的目標(biāo)為：一是對(duì)信息資產(chǎn)安全現(xiàn)狀做出正確判斷；二是較為準(zhǔn)確地估計(jì)特定系統(tǒng)風(fēng)險(xiǎn)；三是建立相應(yīng)的控制風(fēng)險(xiǎn)的機(jī)制，并把這些機(jī)制融為一體形成防護(hù)體系；四是最大限度地提高系統(tǒng)的可用性，并把系統(tǒng)帶來的風(fēng)險(xiǎn)控制在可接受范圍內(nèi)。

(二)構(gòu)建信息資產(chǎn)操作風(fēng)險(xiǎn)管理框架

金融信息化環(huán)境下，很多機(jī)構(gòu)的信息資產(chǎn)面臨諸多威脅(包括來自內(nèi)部的威脅和來自外部的威脅)。威脅利用信息系統(tǒng)存在的各種漏洞(如：物理環(huán)境、網(wǎng)絡(luò)服務(wù)、主機(jī)系統(tǒng)、應(yīng)用系統(tǒng)、相關(guān)人員、安全策略等)，對(duì)信息系統(tǒng)進(jìn)行滲透和攻擊。如果滲透和攻擊成功，將導(dǎo)致企業(yè)資產(chǎn)的暴露。資產(chǎn)的暴露(如系統(tǒng)高級(jí)管理人員由于不小心而導(dǎo)致重要機(jī)密信息的泄露)，會(huì)對(duì)資產(chǎn)的價(jià)值產(chǎn)生影響(包括直接和間接的影響)。風(fēng)險(xiǎn)就是威脅利用漏洞使資產(chǎn)暴露而產(chǎn)生的影響的大小，這可以為資產(chǎn)的重要性和價(jià)值所決定。對(duì)企業(yè)信息系統(tǒng)安全風(fēng)險(xiǎn)的分析。就得出了系統(tǒng)的防護(hù)需求。根據(jù)防護(hù)需求的不同，制定系統(tǒng)的安全解決方案，選擇適當(dāng)?shù)姆雷o(hù)措施，進(jìn)而降低安全風(fēng)險(xiǎn)，并抗擊威脅。

信息安全風(fēng)險(xiǎn)是人為或自然的威脅利用系統(tǒng)存在的脆弱性引發(fā)的安全事件，并由于受損信息資產(chǎn)的重要性而對(duì)金融機(jī)構(gòu)造成的影響。資產(chǎn)、威脅和脆弱性構(gòu)成了風(fēng)險(xiǎn)的三個(gè)關(guān)鍵要素，而風(fēng)險(xiǎn)評(píng)估則是圍繞這些要素及其相關(guān)屬性依據(jù)國(guó)家有關(guān)管理要求和技術(shù)標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及其存儲(chǔ)、處理和傳輸?shù)男畔⒌臋C(jī)密性、完整性和可用性等安全屬性進(jìn)行科學(xué)、公正的綜合評(píng)價(jià)的過程。本文借鑒MSF風(fēng)險(xiǎn)管理框架，建立以操作風(fēng)險(xiǎn)管理為核心的信息資產(chǎn)安全模型。即風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)分析和分級(jí)、風(fēng)險(xiǎn)計(jì)劃和調(diào)度、風(fēng)險(xiǎn)跟蹤和報(bào)告、風(fēng)險(xiǎn)控制以及風(fēng)險(xiǎn)學(xué)習(xí)六個(gè)步驟。

1風(fēng)險(xiǎn)識(shí)別。風(fēng)險(xiǎn)識(shí)別的目的是發(fā)現(xiàn)潛在的威脅，預(yù)防某個(gè)特定威脅利用某個(gè)特定系統(tǒng)的脆弱性對(duì)系統(tǒng)造成損失，威脅可以通過威脅主體、資源、動(dòng)機(jī)、途徑等多種屬性來描述。造成威脅的因素可分為人為因素和環(huán)境因素。風(fēng)險(xiǎn)識(shí)別應(yīng)該在信息系統(tǒng)的生命周期中不斷地重復(fù)。

2風(fēng)險(xiǎn)分析與分級(jí)。風(fēng)險(xiǎn)分析是對(duì)信息及信息處理設(shè)施的威脅、影響、脆弱性及三者發(fā)生的可能性的評(píng)估。它是確認(rèn)安全風(fēng)險(xiǎn)及其大小的過程，即利用定性或定量的方法，借助于風(fēng)險(xiǎn)評(píng)估工具，確定信息資產(chǎn)的風(fēng)險(xiǎn)等級(jí)和優(yōu)先風(fēng)險(xiǎn)控制。

3風(fēng)險(xiǎn)計(jì)劃和調(diào)度。風(fēng)險(xiǎn)計(jì)劃提取風(fēng)險(xiǎn)分析中獲得的信息并用其明確表達(dá)策略、計(jì)劃和工作。風(fēng)險(xiǎn)調(diào)度可以確保計(jì)劃被認(rèn)可并融入標(biāo)準(zhǔn)的日常信息資產(chǎn)安全管理進(jìn)程和基礎(chǔ)設(shè)施中，從而確保風(fēng)險(xiǎn)管理作為日常工作的一部分執(zhí)行。

4風(fēng)險(xiǎn)跟蹤。風(fēng)險(xiǎn)跟蹤監(jiān)控特定風(fēng)險(xiǎn)的狀況以及它們各自工作計(jì)劃中的進(jìn)展情況。風(fēng)險(xiǎn)跟蹤也包含監(jiān)控變化風(fēng)險(xiǎn)的概率、影響、暴露程度以及其他因素，這些變化可能改變優(yōu)先級(jí)或風(fēng)險(xiǎn)計(jì)劃、信息資產(chǎn)特性、資源或是進(jìn)度表。風(fēng)險(xiǎn)跟蹤從風(fēng)險(xiǎn)等級(jí)的角度定義風(fēng)險(xiǎn)管理過程在信息資產(chǎn)中的可見度。

5風(fēng)險(xiǎn)控制。風(fēng)險(xiǎn)控制是執(zhí)行風(fēng)險(xiǎn)工作計(jì)劃和相關(guān)現(xiàn)狀報(bào)告的過程。風(fēng)險(xiǎn)控制也包含項(xiàng)目變化控制請(qǐng)求的初始化，而風(fēng)險(xiǎn)狀況或風(fēng)險(xiǎn)計(jì)劃的更改可能導(dǎo)致信息資產(chǎn)特性、資源或進(jìn)度表的更改。

6風(fēng)險(xiǎn)學(xué)習(xí)。使知識(shí)和相應(yīng)項(xiàng)目案例及工具正式化，并在團(tuán)隊(duì)和企業(yè)內(nèi)部以可再度使用的形式提取知識(shí)。

信息系統(tǒng)的安全性、可靠性、有效性直接關(guān)系到整個(gè)金融業(yè)的安全和穩(wěn)健運(yùn)行。在當(dāng)前構(gòu)建和諧社會(huì)的重要階段，金融業(yè)的安全變得更為關(guān)鍵。操作風(fēng)險(xiǎn)防范的重要內(nèi)容就是從技術(shù)防范為主的被動(dòng)信息安全轉(zhuǎn)移到以預(yù)防為主的主動(dòng)風(fēng)險(xiǎn)管理框架中來，把風(fēng)險(xiǎn)控制在可承受的范圍之內(nèi)，為社會(huì)提供安全、持續(xù)的金融服務(wù)。

趙秀云教授簡(jiǎn)介

天津財(cái)經(jīng)大學(xué)教授，天津大學(xué)管理科學(xué)與工程博士，碩士生導(dǎo)師，會(huì)計(jì)碩士專業(yè)學(xué)位(MPACC)教育中心主任，澳大利亞紐卡素大學(xué)商學(xué)院高級(jí)訪問學(xué)者，曾獲天津財(cái)經(jīng)學(xué)院優(yōu)秀教師稱號(hào)。

主要研究方向：管理控制系統(tǒng)、財(cái)務(wù)信息系統(tǒng)分析與決策、會(huì)計(jì)信息系統(tǒng)風(fēng)險(xiǎn)控制、信息系統(tǒng)審計(jì)等。近年來，參加國(guó)家自然科學(xué)基金項(xiàng)目一項(xiàng)，主持并完成教育部等省部級(jí)項(xiàng)目四項(xiàng)，主持天津市普通高校教學(xué)改革等局級(jí)項(xiàng)目四項(xiàng)。撰寫財(cái)務(wù)信息化方面文章幾十篇，出版《財(cái)務(wù)信息化禁忌40例》(電子工業(yè)出版社，2007)等專著兩部。