證券行業(yè)信息系統(tǒng)安全等級保護工作現(xiàn)狀分析

任擎基+顧建新

摘 要：證券市場是經(jīng)濟體系中的重要組成部分，證券行業(yè)業(yè)務(wù)創(chuàng)新也如雨后春筍般層出不窮，行業(yè)整體都處于快速發(fā)展的階段。隨著證券業(yè)務(wù)的發(fā)展，證券行業(yè)對信息系統(tǒng)依賴的程度也越來越高，證券行業(yè)信息系統(tǒng)具有應(yīng)用廣泛、業(yè)務(wù)種類繁多、系統(tǒng)結(jié)構(gòu)復(fù)雜的特點，證券行業(yè)信息系統(tǒng)的信息安全應(yīng)得到極高的重視。文章從測評證券行業(yè)的信息系統(tǒng)出發(fā)，對證券行業(yè)信息系統(tǒng)安全等級保護工作的現(xiàn)狀進行分析，并提出如何推進相關(guān)工作的建議。

關(guān)鍵詞：證券行業(yè)信息系統(tǒng)安全；等級保護；現(xiàn)狀分析

中圖分類號： TP393 文獻標(biāo)識碼：A

Analysis on the Present Situation of the Classified Protection of Information System in Securities Industry

Ren Qing-ji， Gu Jian-xin

（The Third Research Institute of Ministry of Public Security， Shanghai Engineering Research Center of Cyber and Information Security Evaluation， Shanghai 200031）

Abstract： The securities market is an important part of the economic system， the securities industry business innovation is also mushrooming， the industry as a whole are in the stage of rapid development. With the development of securities business， the securities industry is increasingly dependent on the degree of information system， the securities system has a wide range of applications， a wide range of business， complex system structure characteristics， the securities industry system information security should be extremely high attention. Based on the information system of the securities industry， this paper analyzes the status quo of the security level protection of the securities industry information system and puts forward some suggestions on how to promote the related work.

Key words： Securities Industry Information System Security； Level Protection； Situation Analysis

1 引言

改革開放后，我國經(jīng)濟飛速發(fā)展，特別是證券行業(yè)，我國證券市場已經(jīng)成為世界金融領(lǐng)域中重要的組成部分，于此同時我國證券業(yè)的信息系統(tǒng)在全世界中也處于領(lǐng)先地位。證券行業(yè)的信息系統(tǒng)除了要保障證券公司自身的正確和高效的運行以外，隨著業(yè)務(wù)的發(fā)展還可推動整個證券市場的發(fā)展。

我國證券公司的信息系統(tǒng)從早期基于 Novell 系統(tǒng)的服務(wù)器，到目前普遍基于Unix、Linux、Windows等小型機系統(tǒng)的平臺；從初期的現(xiàn)場交易到現(xiàn)在普遍的非現(xiàn)場交易。各項業(yè)務(wù)全部建立了電子化的業(yè)務(wù)處理系統(tǒng)，同時這些業(yè)務(wù)系統(tǒng)的展開都高度依賴信息網(wǎng)絡(luò)。有網(wǎng)絡(luò)就有風(fēng)險，例如設(shè)備可能出現(xiàn)病毒感染或被黑客攻擊成功，會造成單點故障，甚至波及整個交易系統(tǒng)；網(wǎng)絡(luò)擁堵傳輸速度緩慢，也可導(dǎo)致系統(tǒng)陷入癱瘓狀態(tài)。這些問題輕則導(dǎo)致部分的行情處理和交易業(yè)務(wù)陷于停滯，重則還可能造成證券數(shù)據(jù)的丟失、損壞，嚴重影響證券公司和整個證券行業(yè)的運轉(zhuǎn)，給證券公司和交易投資者帶來損失。

要保證證券公司的信息系統(tǒng)正確運行，信息安全工作必須放到首位，因此結(jié)合我國國情，在證券行業(yè)實行信息安全等級保護，是解決我國證券行業(yè)信息安全問題的有效途徑。

2 證券行業(yè)信息系統(tǒng)的主要構(gòu)成

證券行業(yè)信息系統(tǒng)是證券公司的基礎(chǔ)設(shè)施，是證券業(yè)務(wù)正常運行的前提條件。安全高效的證券行業(yè)信息系統(tǒng)，應(yīng)在解決網(wǎng)絡(luò)連通性和可用性的同時，支持在線開展的各種證券業(yè)務(wù)服務(wù)。證券行業(yè)信息系統(tǒng)由三部分組成。

2.1 證券公司計算機網(wǎng)絡(luò)系統(tǒng)

證券公司信息系統(tǒng)的業(yè)務(wù)由內(nèi)部生產(chǎn)業(yè)務(wù)和對外服務(wù)業(yè)務(wù)兩部分組成： 內(nèi)部生產(chǎn)業(yè)務(wù)、對外服務(wù)業(yè)務(wù)。根據(jù)系統(tǒng)的業(yè)務(wù)需要，網(wǎng)絡(luò)由三內(nèi)部廣域網(wǎng)、內(nèi)部局域網(wǎng)和外部網(wǎng)三部分組成。

內(nèi)部廣域網(wǎng)由證券公司信息中心，網(wǎng)絡(luò)連接設(shè)備和分支機構(gòu)的內(nèi)部主管、業(yè)務(wù)部門的中間件和業(yè)務(wù)處理主機組成。證券業(yè)務(wù)在內(nèi)部廣域網(wǎng)處理等重要工作中，如客戶管理、委托交易、周轉(zhuǎn)回報、清算等工作完成。內(nèi)部廣域網(wǎng)是網(wǎng)絡(luò)安全策略中的保護對象，對外界并不開放。外部用戶無法檢測到其IP地址，無法對其進行攻擊。

內(nèi)部局域網(wǎng)包括分公司、銷售部銷售部門和工作站委托的客戶、信息發(fā)布中的證券業(yè)務(wù)、實時分析等活動也在內(nèi)部局域網(wǎng)內(nèi)完成。內(nèi)部局域網(wǎng)是客戶服務(wù)網(wǎng)絡(luò)，客戶使用的工作站屬于該網(wǎng)絡(luò)。外部網(wǎng)絡(luò)主要通過互聯(lián)網(wǎng)提供外部服務(wù)，公司的開放信息和提供客戶的公共服務(wù)都是建立在這個網(wǎng)絡(luò)中的。通常內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)是嚴格隔離的，所以即使攻擊也不會危及內(nèi)部網(wǎng)絡(luò)。endprint

證券公司信息系統(tǒng)的三個網(wǎng)絡(luò)相互分離。網(wǎng)絡(luò)具有獨立的功能劃分和操作系統(tǒng)，安全邊界清晰，共同構(gòu)成了證券公司的計算機網(wǎng)絡(luò)架構(gòu)。

2.2 證券公司業(yè)務(wù)運行環(huán)境系統(tǒng)

證券公司一般在全國經(jīng)營，網(wǎng)絡(luò)龐大，結(jié)構(gòu)復(fù)雜，典型的商業(yè)模式包括柜臺交易，自營傭金、電話傭金、網(wǎng)上交易。證券業(yè)務(wù)部門和總部通過計算機網(wǎng)絡(luò)交流，證券公司和交易商將三方連接起來完成證券交易，實現(xiàn)市場、交易、結(jié)算，辦公等方面的自動化，最終構(gòu)成證券公司的經(jīng)營環(huán)境體系。在證券公司經(jīng)營環(huán)境中的各個組成部分，交易系統(tǒng)對實時要求最高，但信息安全保障能力最弱。

2.3 證券公司網(wǎng)上交易系統(tǒng)

網(wǎng)上交易系統(tǒng)是指使用互聯(lián)網(wǎng)投資者，分析市場情況，委托訂單實現(xiàn)即時交易。隨著網(wǎng)絡(luò)的普及，網(wǎng)絡(luò)交易等待廣大客戶的同意和采納，但其安全性日益成為影響網(wǎng)絡(luò)性能的瓶頸，而證券業(yè)網(wǎng)絡(luò)安全漏洞的情況也是眾所周知的。近年來，證券行業(yè)網(wǎng)絡(luò)經(jīng)常出現(xiàn)被“黑客”入侵和網(wǎng)絡(luò)設(shè)備故障，造成重大經(jīng)濟損失和消息新聞?？梢哉f，網(wǎng)絡(luò)安全已成為證券公司安全的最大威脅，是證券公司在設(shè)計安全系統(tǒng)時要注重考慮和維護的因素。目前，證券公司使用的網(wǎng)絡(luò)安全技術(shù)有：防火墻技術(shù)，非法入侵檢測軟件和防病毒軟件，身份認證技術(shù)，數(shù)據(jù)加密技術(shù)。

3 等級保護工作的重要性

目前，中國網(wǎng)絡(luò)安全體系相關(guān)層級保護制度仍處于發(fā)展階段。現(xiàn)有的資源和技術(shù)無法實現(xiàn)整個網(wǎng)絡(luò)安全系統(tǒng)的完整性和完善性，直接導(dǎo)致一些保護工作的水平不能完全實現(xiàn)。

首先，網(wǎng)絡(luò)信息系統(tǒng)中的大部分數(shù)據(jù)信息涉及到一些重要的商業(yè)秘密。如果信息安全系統(tǒng)由于安全設(shè)計缺陷和安全問題，將對整個國家經(jīng)濟的整體發(fā)展產(chǎn)生不利影響。同時由于法律中絕大多數(shù)機密信息數(shù)據(jù)未被確定為保密級別，所以不會有明確的分類信息登記制度或記錄，相關(guān)信息的保密性無法針對性地進行管理，最終導(dǎo)致各種信息泄露問題。

其次，網(wǎng)絡(luò)本身是一個更開放的資源信息網(wǎng)絡(luò)平臺，在這種模式下的信息平臺涉及到很多貿(mào)易業(yè)務(wù)，在網(wǎng)絡(luò)日常數(shù)據(jù)交換中比較頻繁。這種環(huán)境導(dǎo)致數(shù)據(jù)信息極有可能被破壞和入侵的可能性，其管理過程如果沒有制定明確的保護制度，就會導(dǎo)致相關(guān)數(shù)據(jù)泄露問題的出現(xiàn)，為整個社會的發(fā)展造成不可估量的不良影響。

最后，考慮到網(wǎng)絡(luò)信息安全系統(tǒng)的復(fù)雜性和廣域特征，如果不是在網(wǎng)絡(luò)信息和數(shù)據(jù)分類不同層次上，會導(dǎo)致整個網(wǎng)絡(luò)在管理過程中的可操作性變得非常差。

基于上述問題，有必要在網(wǎng)絡(luò)安全建設(shè)過程中構(gòu)建等級保護制度。只有這樣才能實現(xiàn)信息系統(tǒng)整體結(jié)構(gòu)的優(yōu)化和完善，從而提高整個網(wǎng)絡(luò)信息的安全性。

4 證券行業(yè)信息系統(tǒng)的現(xiàn)狀分析

2016 年，我們對證券行業(yè) 4 個擬定級為三級等級保護的信息系統(tǒng)和8個擬定級為二級等級保護的信息系統(tǒng)，按照國家相關(guān)等級保護標(biāo)準(zhǔn)進行了測評。4個三級系統(tǒng)的綜合得分平均值為85.73分，其中測評項符合率平均值為78.35%，部分符合率平均值為15.00%，不符合率平均值為6.65%；8個二級系統(tǒng)的綜合得分平均值為90.8分，其中測評項符合率平均值為80.32%，部分符合率平均值為14.9%，不符合率平均值為4.78%。將4個三級系統(tǒng)的測評指標(biāo)按照物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全及備份恢復(fù)、安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運維管理分別進行統(tǒng)計，計算每種測評指標(biāo)的符合項、部分符合項和不符合項占總測評項的百分比。對8個二級系統(tǒng)采用同樣的方法進行統(tǒng)計，結(jié)果分別如圖1和圖2所示。

由圖1和圖2對比可以看出，二級系統(tǒng)的網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全和系統(tǒng)建設(shè)管理的符合程度較高。盡管測評的12個信息系統(tǒng)都達到了基本符合的要求，但被測系統(tǒng)無論是技術(shù)方面還是管理方面都有一定的缺失和不足，主要集中在幾個方面的問題。

物理安全方面：問題主要集中在溫度控制、電力供應(yīng)、防盜報警和電磁防護方面。例如機房UPS供電能力未達到證券業(yè)要求、機房未采取電磁屏蔽措施、機房未利用光、點等技術(shù)設(shè)置機房防盜報警系統(tǒng)，以及機房溫濕度范圍超出證券業(yè)要求等。

網(wǎng)絡(luò)安全方面：問題主要集中在安全審計、網(wǎng)絡(luò)設(shè)備防護、邊界完整性檢查和入侵防范方面。例如系統(tǒng)未對重要訪問控制策略設(shè)置日志記錄、部分網(wǎng)絡(luò)邊界未部署訪問控制設(shè)備、未采取防地址欺騙相關(guān)措施、未采用技術(shù)手段對非授權(quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進行檢查、定位和阻斷等。

主機安全方面：問題主要集中在入侵防范、資源控制和剩余信息保護等方面。例如未對操作系統(tǒng)及時升級、操作系統(tǒng)口令未定期更換、操作系統(tǒng)和數(shù)據(jù)庫默認賬戶未重命名等。

應(yīng)用安全方面：問題主要集中在多鑒別和資源控制等方面。例如未采用兩種或兩種以上的組合鑒別技術(shù)、未對系統(tǒng)應(yīng)用的用戶所分配的資源進行限制、未限制單個賬號的并發(fā)會話等。

數(shù)據(jù)安全及備份恢復(fù)方面：問題主要集中在數(shù)據(jù)完整性方面，例如未提供存儲過程中的數(shù)據(jù)完整性校驗和恢復(fù)措施等。

安全管理方面：問題主要集中在安全管理制度上的執(zhí)行方面。例如未定義關(guān)鍵崗位。

5 證券行業(yè)安全保障措施建議

上述證券行業(yè)信息系統(tǒng)存在的主要問題，可以按照改進的成本和對系統(tǒng)運營造成的影響不同進行分級，并相應(yīng)地采取相應(yīng)措施加以改進。

（1）下面幾方面的問題改進成本低或?qū)ο到y(tǒng)運營造成影響較小，可以通過更改已有設(shè)備的配置或安全管理制度等方式解決。

網(wǎng)絡(luò)安全方面：針對系統(tǒng)未對重要訪問控制策略設(shè)置日志記錄的問題，建議對重要訪問控制策略設(shè)置日志記錄，對設(shè)備的配置管理操作行為、重要的業(yè)務(wù)操作等行為進行審計；針對未采取防地址欺騙相關(guān)措施的問題，建議在相關(guān)網(wǎng)絡(luò)設(shè)備上配置重要終端（包括管理終端和業(yè)務(wù)終端）的IP/MAC地址綁定。

主機安全方面：針對未對操作系統(tǒng)及時升級的問題，建議加強操作系統(tǒng)的管理，在不影響正常應(yīng)用的情況下及時更新補丁，消除相關(guān)安全漏洞；針對操作系統(tǒng)口令未定期更換的問題，建議在操作系統(tǒng)中設(shè)置口令長度大于12位，并定期更換；針對操作系統(tǒng)和數(shù)據(jù)庫默認賬戶未重命名的問題，建議修改操作系統(tǒng)和數(shù)據(jù)庫的默認管理員賬戶名。endprint

安全管理方面：針對未定義關(guān)鍵崗位的問題，建議從內(nèi)部人員中選拔從事關(guān)鍵崗位的人員，并簽署崗位安全協(xié)議。

（2）下面幾方面的問題改進成本較高或可能對系統(tǒng)運營造成一定影響，可以通過增添新設(shè)備等方式解決。

網(wǎng)絡(luò)安全方面：針對部分網(wǎng)絡(luò)邊界未部署訪問控制設(shè)備的問題，建議在所有網(wǎng)絡(luò)邊界均部署防火墻等網(wǎng)絡(luò)控制設(shè)備，并根據(jù)系統(tǒng)應(yīng)用需求最小化原則設(shè)置訪問控制策略，其顆粒度應(yīng)達到端口級；針對未采用技術(shù)手段對非授權(quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進行檢查、定位和阻斷的問題，建議假設(shè)能夠檢測內(nèi)部用戶非法接入行為的設(shè)備或采取其他同等效力的監(jiān)控、管理措施，對非法接入行為進行檢查、定位和阻斷。

物理安全方面：針對機房UPS供電能力未達到證券業(yè)要求的問題，建議配備容量合理的后備電源，供電能力能夠滿足主要設(shè)備在斷電情況下運行2個小時以上；針對機房未采取電磁屏蔽措施的問題，建議為關(guān)鍵設(shè)備和磁介質(zhì)實施電磁屏蔽；針對機房未利用光、點等技術(shù)設(shè)置機房防盜報警系統(tǒng)的問題，建議安裝有資質(zhì)的專用防盜報警系統(tǒng)；針對機房溫濕度范圍超出證券業(yè)要求的問題，建議配備機房精密空調(diào)進行溫濕度控制，溫度22-24°C，濕度40～55%。

數(shù)據(jù)安全及備份恢復(fù)方面：針對未提供存儲過程中的數(shù)據(jù)完整性校驗和恢復(fù)措施的問題，建議對重要數(shù)據(jù)采用密碼技術(shù)保證存儲過程中數(shù)據(jù)的完整性。

（3）下面幾方面的問題改進成本極高或可能對系統(tǒng)運營造成重大影響，涉及到核心業(yè)務(wù)的更改，可以通過改進核心業(yè)務(wù)等方式解決。

應(yīng)用安全方面：針對未采用兩種或兩種以上的組合鑒別技術(shù)的問題，建議對系統(tǒng)采用兩種或兩種以上組合的鑒別技術(shù)實現(xiàn)用戶身份鑒別，如數(shù)字證書、令牌等；針對未對系統(tǒng)應(yīng)用的用戶所分配的資源進行限制的問題，建議應(yīng)用系統(tǒng)根據(jù)需要對一個賬戶或進程占用的資源進行最大/最小額度限制；針對未限制單個賬號的并發(fā)會話的問題，建議對單個賬戶的多重并發(fā)會話進行限制，禁止同一用戶的多次重復(fù)登錄操作。

6 結(jié)束語

本文對當(dāng)前證券行業(yè)信息系統(tǒng)安全面臨的主要問題進行了深入分析，并針對這些問題提出了相應(yīng)的解決方案，并將解決方案按照改進的成本和對系統(tǒng)運營造成的影響不同進行分級，希望能對各地證券行業(yè)信息系統(tǒng)安全保障建設(shè)起到一定的借鑒作用，可以按照的實際情況對自身信息系統(tǒng)進行改進。

參考文獻

[1] 公通字[2007] 43號 信息安全等級保護管理辦法 [S].

[2] GB/T 20269-2006. 信息安全技術(shù) 信息系統(tǒng)安全管理要求 [S].

[3] GB/T 20270-2006. 信息安全技術(shù) 網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求 [S].

[4] GB/T 20271-2006. 信息安全技術(shù) 信息系統(tǒng)通用安全技術(shù)要求 [S].

[5] GB/T 20272-2006. 信息安全技術(shù) 操作系統(tǒng)安全技術(shù)要求 [S].

[6] GB/T 20273-2006. 信息安全技術(shù) 數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求 [S].

[7] 郭寧. 構(gòu)建證券信息系統(tǒng)的安全體系[J]. 網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2005，（1）：22-23.

[8] 張偉麗. 信息安全等級保護現(xiàn)狀淺析[J]. 信息安全與技術(shù)，2014，（9）：9-13.

[9] 王強民.張保穩(wěn).張競. 高校信息系統(tǒng)安全等級保護工作的現(xiàn)狀分析[J]. 網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2005，（1）：22-23.

[10] 葉青等.關(guān)于信息安全宣傳教育的幾點思考[J].信息安全與通信保密，2014（12）：67-69.

[11] 呂寒冰.網(wǎng)絡(luò)信息安全監(jiān)測系統(tǒng)的設(shè)計與實現(xiàn)[D]. 北京：北京交通大學(xué)，2007.

[12] 劉永華.網(wǎng)絡(luò)信息安全技術(shù)[M].中國鐵道出版社，2011.

[13] 徐湧捷.網(wǎng)絡(luò)竊取犯罪研究[D].華東政法大學(xué)，2007.endprint