相关科技部门在行内数据安全的前期工作中，已经建成较为完善的被动安全防护系统和服务，有效避免了因外部攻击等原因造成的数据安全问题。但由于行内数据应用场景众多、外流途径难以管控、员工安全意识不强等原因，行内主动数据安全防护建设工作明显不足。随着银行以数据驱动的业务创新和升级不断深化，如何构建以数据全生命周期为核心、及时发现、主动出击的动态数据安全体系成为银行信息数据安全治理的迫切需要。
信息安全的概念及含义
在新的标准中，对于信息的定义为：一种物质的存在方式，是对物质一般属性的表述，主要代指数据和消息中的含义，可以将信息中的不确定性减少。伴随着信息时代的推进，信息已经被世界上大多数的国家定义为一种个人资产，信息的价值由此水涨船高。谁能够在信息技术时代掌握更多方面、更加深度的信息，谁就能提升自己在信息技术时代的核心竞争力。
就广义上来讲，信息安全是指当前环境下国家安全的状态。在该环境背景之下，国家能够利用相关信息技术去抵御外部威胁，进行有效防御。就狭义上来讲，信息安全是指互联网时代下，网络系统自身不会受到外部攻击，系统数据不会造成影响的能力，确保自身系统的数据安全性。对于信息安全的定义主要包括以下三点，即信息的保密性、信息的完整性、信息的可用性。
信息的保密性：信息在使用、存储等过程中不会发生信息泄露的情况。
信息的完整性：信息在使用、存储等过程中不会因为外界因素而发生改变。
信息的可用性：对于已经被授权使用的个体要确保其可以正常使用，允许对象进行正常的信息访问。
国内银行信息数据安全管控现状
互联网时代的迅猛发展，尽管为民众的生活带来了越来越多的便捷性，但金融机构作为人们经济活动中一个重要的结构体系，信息安全事件的频发不但会损害金融机构的经济利益，更多的是损害金融机构的信誉。当前国内金融机构主要危害信息安全的方式为：非法入侵攻击、客户信息泄露、系统漏洞出现以及内部人员管理不善等。
1.信息泄漏成常态
信息安全作为近年来频繁进入人们视野的名词，对于民众的网络使用过程造成了巨大的危害。人们在各种各样的渠道都可以看到有关信息泄露的信息。当人们的信息泄露成了常态化，骚扰电话和垃圾短信也就随之而来。前几年发生的信息泄露事件更是影响了美国的大选。为此，金融机构更应该要加强自身的信息安全管理，保护用户的相关信息和个人私密信息，避免因为信息泄露而造成用户的资金损失。前几年的保险公司保单泄露事件、员工倒卖公司报告事件、某电商数据泄露等，造成了较大的民众恐慌。
2.内网隐藏安全问题
在网络信息时代，越来越多的黑客开始投入到利益性的攻击活动之中，直接对国内金融机构和便于获取利益的机构进行直接攻击，而国内金融机构低下的网络安全意识更是为其提供了成功的条件。黑客相关人员通过新型的攻击技术和攻击手段对金融机构中传统的安全防御机制进行攻击，攻击成功之后也不急于发动，而是长期潜伏在银行系统之中，不断获取利益。其中最为引人注目的就是前几年出现了ATM自动吐钱事件，黑客通过对欧洲ATM进行攻击，在获取控制权后控制ATM机自动吐钱，造成了巨大的民众恐慌。
3.内部人员导致信息泄漏
2016年发生的公民信息泄露案件，其涉案范围之广，涉案人员之众触目惊心。众多银行高管和管理层将公民的银行个人信息进行贩卖，涉及信息多达250万条，涉案金额多达百万元。监管部门失职让违法犯罪分子更加猖狂。并且银行科技部门部分外包系统服务也存在监管不到位的情况，导致银行信息泄露，客户资金安全受到严重威胁。
银行信息数据安全管控对策
对于所陈述的近年来国内出现的金融机构信息安全问题，相关部门应该加强监管力度，银行更应该加强对于信息安全的认识，促进内部信息安全意识的推广。在开展相关银行业务的过程中，要参照中国人民银行和中国银监会的意见，并根据银行自身在发展过程中的实际情况去建立信息安全管理办法，设计出一套符合自己的管理制度，进而对金融信息的安全性进行保障，维护用户资金安全。
1.加强内部宣导
员工作为银行的基层单位，其在银行内部具有一定的地位，每位员工在工作的过程中都普遍能够接触到一些客户信息，例如柜台业务办理人员可以在办理业务过程中了解到客户的信息，管理部门的员工可以在审查报表的时候查看到银行客户的信息。因此，银行要做好日常的员工教育，对员工开展定期的信息安全教育，避免出现内部大规模的信息泄露事件，保护用户资金安全。
2.规范秘钥管理
银行在和外部机构开展相关合作时，例如支付机构等，考虑到该过程设计了外网通信，在进行交易时都会对数据进行加密，然后再进行数据传输。而在数据加密的过程中，无论是对称加密算法还是非对称加密算法都是需要加密密钥的。而加密密钥的出现就意味着虚假交易的可能性，因此在开展相关合作过程中对于加密密钥一定要加强管理，防范金融信息泄露事件的出现。
3.关键岗位签订保密协议
对于银行中的关键岗位，银行要和岗位员工进行保密协议的签订，对于该部分员工要加强保密意识教育，教育员工在工作过程中自觉遵守网络安全管理条例。
比如，银行的信息安全中心员工，其工作职责就是使用安全扫描工具对银行信息系统中的漏洞进行查找，考虑到该部分员工的岗位特殊性，且在工作过程中可以轻而易举接触到银行的相关客户信息。因此，对于此类员工要确保每位都和银行签订保密协议，从法律和道德两个层面对员工的个人行为进行约束。
4.事后稽核审计
银行应该在内部设立专门的稽核审计部门，并和具有相应资质的第三方公司进行合作，对银行中的各部门进行审计。比如，对于银行内部的开发部门，应该对其信息系统的投产和相关流程进行审计，审核执行流程是否符合银行的相关规定，并采取相应的措施对信息泄露风险进行规避。对于审计中所出现的各种问题要进行及时的报告提交，上级部门查看后可责令相关部门进行改正。
5.加强外包管理
考虑到银行行业的特殊性，往往会招聘科技人员进行系统的日常维护与开发。然而，绝大部分的银行所聘请的人员与繁重的工作量相比略显不足，因此大部分银行会选择使用外包的方式将相关业务外包出去。而项目外包出去之后，因为项目需求的原因，使得不同外包厂商之间要进行相互配合，而能力层次的不统一，以及外包模式的不完善容易带来各种信息安全问题。为此，银行应该要加强对于外包企业的管理，不但要与外包企业签订保密协议，还应该使用相关技术和管理办法对外包人员的权限进行控制，避免出现信息安全问题。
6.加大信息安全投入
内外网络分离网络拓扑架构的特殊性，导致银行的信息系统安全性能会有所影响。例如，部分银行在设计自身网络架构时会将其分为生产区、办公区、测试区、外联区、互联网区等，各个区域之间会使用防火墙进行隔离，要想实现不同区域之间的通信就要求给予服务器相应的权限才能使用，避免外界非法访问，且银行系统内部之间也难以进行自由查看，避免网络结构信息的泄露。而对于外界网络的服务请求，该结构也能进行自动过滤，只有正常的数据通信请求才能发送到主机进行处理。通过合理的网络拓扑设计，不但能对银行信息系统的数据安全进行保障，还能够有效地避免大量外界访问，提高系统安全性和稳定性。
结语
总而言之，对于出现的信息安全问题，相关部门应该加强监管力度，银行更应该加强对于信息安全的认识，促进内部信息安全意识的普及。银行要做好日常的员工教育，对员工开展定期的信息安全教育，避免出现内部大规模的信息泄露事件，保护用户资金安全。在和企业开展相关合作过程中，要加强加密密钥的管理，防范金融信息泄露事件的发生。在内部也要设立专门的稽核审计部门，并和具有相应资质的第三方公司进行合作，对银行中的各部门进行审计，对于审计中所出现的各种问题要及时提交报告，并责令相关部门进行改正。
来源：《网络安全和信息化》杂志
联系客服
