劉 劍， 葛 鋆

(1西南石油大學(xué)經(jīng)濟(jì)管理學(xué)院，四川成都610500；2四川無聲信息技術(shù)有限公司，四川 成都610081；3達(dá)州市商業(yè)銀行，四川達(dá)州635000)

0 引言

隨著信息科技的快速發(fā)展，銀行的日常運(yùn)營全面實(shí)現(xiàn)了電子化，同時(shí)也使銀行未來的業(yè)務(wù)方向、戰(zhàn)略轉(zhuǎn)型、風(fēng)險(xiǎn)管控等都與IT科技的支撐密不可分，因而包括業(yè)務(wù)連續(xù)性和信息安全在內(nèi)的信息科技風(fēng)險(xiǎn)也愈益突出，這不僅對銀行的信息科技風(fēng)險(xiǎn)管理提出了更高的要求，銀行監(jiān)管機(jī)構(gòu)的監(jiān)管工作難度也增加了。因此，建設(shè)統(tǒng)一的信息安全監(jiān)控平臺，對銀行網(wǎng)絡(luò)和系統(tǒng)實(shí)施有效的監(jiān)控和預(yù)警，可以及時(shí)發(fā)現(xiàn)和處置網(wǎng)絡(luò)攻擊，防止高危漏洞的傳播，防止重大信息安全事件的爆發(fā)。

從銀行內(nèi)部監(jiān)管來看，隨著IT技術(shù)的發(fā)展和應(yīng)用，銀行業(yè)機(jī)構(gòu)呈現(xiàn)信息技術(shù)架構(gòu)龐大、設(shè)施復(fù)雜、涉及信息資產(chǎn)內(nèi)容繁多等特點(diǎn)，典型的銀行科技架構(gòu)包括了應(yīng)用系統(tǒng)、數(shù)據(jù)庫、操作系統(tǒng)、中間件和網(wǎng)絡(luò)等技術(shù)方面的內(nèi)容以及運(yùn)維、制度等管理方面的內(nèi)容，而任何技術(shù)和管理漏洞在面臨外部不可抗力因素(威脅)時(shí)都可能會(huì)導(dǎo)致信息安全事件，影響到銀行的正常運(yùn)行。從銀行的外部監(jiān)管來看，信息科技的保密性、可用性和完整性直接關(guān)系銀行的安全穩(wěn)健運(yùn)行，而中小銀行非駐場集中式外包還可能引發(fā)系統(tǒng)性風(fēng)險(xiǎn)，小則導(dǎo)致單個(gè)銀行無法正常運(yùn)轉(zhuǎn)，大則危及區(qū)域金融經(jīng)濟(jì)的穩(wěn)定。

在這樣的背景下，2006年中國銀監(jiān)會(huì)頒布了《銀行業(yè)信息系統(tǒng)風(fēng)險(xiǎn)管理指引》，開始了對銀行信息科技風(fēng)險(xiǎn)的監(jiān)管工作，并要求銀行組織針對科技風(fēng)險(xiǎn)的外審和內(nèi)審?2007年，銀監(jiān)會(huì)下文要求主要銀行業(yè)機(jī)構(gòu)進(jìn)行信息科技風(fēng)險(xiǎn)自查和自評估工作?2009年，銀監(jiān)會(huì)頒布了新的《商業(yè)銀行信息科技風(fēng)險(xiǎn)管理指引》(簡稱“新指引”)，同時(shí)銀監(jiān)會(huì)全面開展對銀行信息科技風(fēng)險(xiǎn)的現(xiàn)場檢查，建立并形成了以“法人銀行信息科技非現(xiàn)場監(jiān)管報(bào)表”和“科技監(jiān)管評級”為主的非現(xiàn)場監(jiān)管架構(gòu)[1]。

如同信息系統(tǒng)的安全并不是靠簡單的網(wǎng)絡(luò)安全產(chǎn)品堆砌就能解決一樣，對銀行信息科技風(fēng)險(xiǎn)的監(jiān)管也不能簡單依靠周期的現(xiàn)場檢查或非現(xiàn)場的人工報(bào)表審查，需要利用科技手段去提升監(jiān)管的及時(shí)性和有效性，從銀行監(jiān)管機(jī)構(gòu)的視角對整個(gè)轄內(nèi)銀行的信息系統(tǒng)的安全狀態(tài)進(jìn)行動(dòng)態(tài)實(shí)時(shí)的風(fēng)險(xiǎn)評估，及時(shí)找出信息系統(tǒng)的安全缺陷，施以一定的安全審計(jì)和操作，進(jìn)而保障銀行網(wǎng)絡(luò)和系統(tǒng)的穩(wěn)定運(yùn)行，因此，銀行監(jiān)管機(jī)構(gòu)建設(shè)統(tǒng)一的動(dòng)態(tài)監(jiān)測與監(jiān)管平臺，并基于該平臺構(gòu)建實(shí)時(shí)的銀行信息科技風(fēng)險(xiǎn)監(jiān)管框架，可以有效地提高銀行監(jiān)管機(jī)構(gòu)非現(xiàn)場監(jiān)管的質(zhì)量。

1 銀行業(yè)信息科技風(fēng)險(xiǎn)監(jiān)管

商業(yè)銀行信息科技風(fēng)險(xiǎn)，是指信息科技在商業(yè)銀行運(yùn)用過程中，由于自然因素、人為因素、技術(shù)漏洞和管理缺陷產(chǎn)生的操作、法律和聲譽(yù)等風(fēng)險(xiǎn)[2]。

1.1 銀行業(yè)的信息科技發(fā)展與現(xiàn)狀

首先，我國銀行業(yè)金融機(jī)構(gòu)信息化水平發(fā)展并不均衡，銀行間的信息化水平差異很大，給監(jiān)管帶來一定的困難，如筆者所在省的銀監(jiān)局轄內(nèi)有52家銀行，包含15家法人機(jī)構(gòu)和37家銀行一級分支機(jī)構(gòu)，除部分大中型銀行在信息科技的發(fā)展上有規(guī)劃、重(IT)治理以外，多數(shù)銀行沒有充分進(jìn)行信息科技戰(zhàn)略規(guī)劃，存在IT治理架構(gòu)不健全甚至沒有開展IT治理、科技人員配備不足、科技人員的技能和培訓(xùn)不到位等問題。

第二，由于IT價(jià)值沒有統(tǒng)一的衡量標(biāo)準(zhǔn)，而風(fēng)險(xiǎn)又與信息資產(chǎn)的價(jià)值相關(guān)(GB/T 20984)，當(dāng)信息科技的價(jià)值無法充分體現(xiàn)時(shí)，信息科技的風(fēng)險(xiǎn)就自然無法清楚明了。例如在新巴塞爾協(xié)議(Basel II)中，信息科技風(fēng)險(xiǎn)被定義為操作風(fēng)險(xiǎn)的一部分，而實(shí)際上，與其他風(fēng)險(xiǎn)相比，信息科技風(fēng)險(xiǎn)的影響要大得多[3]。

第三，信息安全面臨挑戰(zhàn)。主要表現(xiàn)在:一是技術(shù)本身安全漏洞帶來的科技風(fēng)險(xiǎn)，而新技術(shù)的快速采用在一定程度上加大了銀行的風(fēng)險(xiǎn)，如基于移動(dòng)智能終端的手機(jī)銀行安全?二是銀行業(yè)務(wù)系統(tǒng)的同質(zhì)化嚴(yán)重，對整體IT系統(tǒng)的影響很大，如筆者所在省大部分的城市商業(yè)銀行網(wǎng)上銀行系統(tǒng)都是托管給同一家公司的同一套系統(tǒng)，這增加了大規(guī)模事故爆發(fā)的潛在風(fēng)險(xiǎn)?三是近幾年高速的發(fā)展，信息系統(tǒng)大量建設(shè)，IT管理的短板給銀行帶來了安全隱患、增大了信息科技的風(fēng)險(xiǎn)，如筆者所在省某城市商業(yè)銀行2012年資本總額較上年增長了42%，2013年資本總額較上年又增長了45%，與之相對應(yīng)是，2013年前銀行共建設(shè)信息系統(tǒng)約25個(gè)，而僅2013年銀行就建設(shè)了信息系統(tǒng)17個(gè)，2014年計(jì)劃信息系統(tǒng)建設(shè)項(xiàng)目又有7個(gè)，由于系統(tǒng)建設(shè)增長太快，造成銀行科技部的人手緊缺，2013年銀行科技部的安全事件也較往年增加了許多。

第四，銀行在信息科技領(lǐng)域重建設(shè)輕管理，主要表現(xiàn)在:一是事件推動(dòng)，出了事才知道問題在哪里，這樣的情況在城市商業(yè)銀行比較普遍?二是應(yīng)付信息科技風(fēng)險(xiǎn)監(jiān)管和檢查，監(jiān)管方與被監(jiān)管呈現(xiàn)對立狀態(tài)，銀行采用“各種手段”去確保檢查通過，而沒有認(rèn)識到合規(guī)要求和檢查并非目的，銀行是“自身需要”去管好風(fēng)險(xiǎn)的主體。

1.2 銀行業(yè)的安全威脅與科技風(fēng)險(xiǎn)

(1)外部安全威脅

現(xiàn)在，銀行在網(wǎng)絡(luò)安全方面已進(jìn)行了大量投入，如分區(qū)分域的VLAN，針對單點(diǎn)故障的設(shè)備、鏈路冗余，防火墻(FW)、VPN、入侵檢測(IDS)、病毒防護(hù)等信息安全設(shè)備的部署等等。但很多系統(tǒng)(如電子銀行)都連接互聯(lián)網(wǎng)并向公眾客戶提供服務(wù)，銀行系統(tǒng)又與經(jīng)濟(jì)利益緊密聯(lián)系，這使得銀行系統(tǒng)易成為惡意攻擊的目標(biāo)。

當(dāng)銀行面對這些外部威脅時(shí)，最需要的是發(fā)現(xiàn)、預(yù)警并抑制威脅傳播，避免威脅泛濫，避免反應(yīng)滯后。

(2)內(nèi)部安全威脅

暴露在互聯(lián)網(wǎng)的銀行系統(tǒng)是少數(shù)，系統(tǒng)面臨的更多威脅來自銀行內(nèi)部，組織內(nèi)部的安全隱患和潛在問題更應(yīng)引起銀行的重視。例如銀行內(nèi)部系統(tǒng)和網(wǎng)絡(luò)管理混亂、科技內(nèi)部人員的違規(guī)操作、故意竊密等行為對銀行的威脅很大。如中小商業(yè)銀行普遍存在共用特權(quán)賬號的現(xiàn)象，或是對網(wǎng)絡(luò)性能監(jiān)控和管理的工具缺乏，亦或是對系統(tǒng)網(wǎng)絡(luò)中的流量沒有進(jìn)行嚴(yán)密的監(jiān)測和控制等等，這些都可能導(dǎo)致重要的業(yè)務(wù)應(yīng)用得不到保證[4]。

當(dāng)銀行面對這些內(nèi)部威脅時(shí)，最需要的是檢測和審計(jì)能力，通過日志的記錄、日志的分析，利用多場景的智能規(guī)則庫去盡早的發(fā)現(xiàn)、預(yù)警并鎖定威脅源，減少無意和有意的威脅。

(3)銀行的科技風(fēng)險(xiǎn)

面對內(nèi)外部的安全威脅，銀行自身的預(yù)警和處置能力不足，無法及時(shí)、準(zhǔn)確地發(fā)現(xiàn)可能的信息安全事件，如應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備每天都會(huì)產(chǎn)生海量的安全日志，這些告警日志中存在著大量的誤報(bào)，而銀行也無力配置專業(yè)的信息安全人員去輔助分析和甄別這些告警，同樣，銀行對已發(fā)生的安全事件多數(shù)只能孤立的去處置，安全事件之間無法形成很好的關(guān)聯(lián)，因此往往難以定位到真實(shí)問題。同時(shí)，由于銀行間缺乏有效的事件通告和知識傳遞機(jī)制，某個(gè)銀行對事件處理的知識經(jīng)驗(yàn)不能得到共享，當(dāng)其他行發(fā)生同類事件時(shí)，處理的效率仍然低下[5]。

1.3 統(tǒng)一的動(dòng)態(tài)監(jiān)測和監(jiān)管平臺

由于各銀行都存在著內(nèi)部、外部的安全威脅，各銀行的技術(shù)能力也不盡相同，從銀行監(jiān)管機(jī)構(gòu)的角度出發(fā)，建立統(tǒng)一的安全監(jiān)測和監(jiān)管平臺是有益的，應(yīng)得到足夠的重視。

銀行監(jiān)管機(jī)構(gòu)不僅要對銀行應(yīng)用系統(tǒng)、網(wǎng)絡(luò)、主機(jī)、數(shù)據(jù)庫、中間件進(jìn)行有效的監(jiān)控，也要通過對系統(tǒng)中各個(gè)子系統(tǒng)、用戶行為、維護(hù)人員操作行為等進(jìn)行監(jiān)控，并對各類系統(tǒng)、設(shè)備上的安全告警日志進(jìn)行收集、規(guī)整并進(jìn)行關(guān)聯(lián)分析，然后輸入從監(jiān)管角度構(gòu)建的信息科技風(fēng)險(xiǎn)管理模型之中，形成風(fēng)險(xiǎn)預(yù)警。銀行監(jiān)測和監(jiān)管的重點(diǎn)應(yīng)是有互聯(lián)網(wǎng)出口的業(yè)務(wù)系統(tǒng)，如電子銀行、門戶網(wǎng)站，應(yīng)實(shí)現(xiàn)對重點(diǎn)應(yīng)用系統(tǒng)安全威脅的可測、可知、可控。同時(shí)，考慮內(nèi)部安全威脅，也要對銀行外聯(lián)業(yè)務(wù)和核心業(yè)務(wù)系統(tǒng)進(jìn)行實(shí)時(shí)、動(dòng)態(tài)的檢測。通過對銀行業(yè)務(wù)系統(tǒng)運(yùn)行狀況的監(jiān)測，直接抓取系統(tǒng)告警和報(bào)錯(cuò)日志，并將系統(tǒng)停機(jī)事件(含計(jì)劃內(nèi)和意外)的相關(guān)信息實(shí)時(shí)傳遞到銀行監(jiān)管機(jī)構(gòu)?監(jiān)管機(jī)構(gòu)在收到來自各銀行端的實(shí)時(shí)數(shù)據(jù)后，可以立即將重大停機(jī)或故障情況以郵件、短信告警的形式發(fā)送給相關(guān)人員，以便集中對發(fā)現(xiàn)的錯(cuò)誤、告警等信息進(jìn)行分析和甄別，然后通知相關(guān)銀行及時(shí)處理。

統(tǒng)一的動(dòng)態(tài)監(jiān)測和監(jiān)管平臺不僅可以提高銀行監(jiān)管機(jī)構(gòu)監(jiān)管的及時(shí)性，還具備風(fēng)險(xiǎn)點(diǎn)統(tǒng)計(jì)、關(guān)鍵指標(biāo)自動(dòng)獲取以及風(fēng)險(xiǎn)量化評估的功能。一是風(fēng)險(xiǎn)點(diǎn)的統(tǒng)計(jì)，動(dòng)態(tài)檢測和監(jiān)管平臺可以根據(jù)采集到的數(shù)據(jù)，按照服務(wù)器、網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、中間件、數(shù)據(jù)庫等維度進(jìn)行發(fā)生頻率的統(tǒng)計(jì)分析，得到故障點(diǎn)的分布情況，可以有針對性地向銀行發(fā)布監(jiān)管提示?二是關(guān)鍵指標(biāo)的自動(dòng)獲取，如系統(tǒng)可用率指標(biāo)，過去依靠人工填報(bào)方式得到的系統(tǒng)可用率，可信度并不高，而通過平臺可以獲得系統(tǒng)每次的中斷時(shí)長(如:核心系統(tǒng))，然后按月、按季滾動(dòng)計(jì)算該系統(tǒng)的可用率，并繪出累進(jìn)圖，不僅可以準(zhǔn)確一覽現(xiàn)狀，亦可用于趨勢預(yù)判?三是風(fēng)險(xiǎn)量化評估，平臺可根據(jù)已發(fā)生風(fēng)險(xiǎn)(如已發(fā)生的意外停機(jī))和潛在風(fēng)險(xiǎn)(如頻現(xiàn)網(wǎng)絡(luò)設(shè)備告警)出現(xiàn)的頻率，借助預(yù)設(shè)的系統(tǒng)健康指數(shù)模型，計(jì)算出該系統(tǒng)的健康指數(shù)，該指數(shù)不僅直觀地反映銀行該系統(tǒng)穩(wěn)健程度，統(tǒng)一的模型和計(jì)算公式還能方便銀行監(jiān)管機(jī)構(gòu)進(jìn)行區(qū)內(nèi)多家銀行的橫向?qū)Ρ取?/p>

最后，統(tǒng)一的動(dòng)態(tài)監(jiān)測和監(jiān)管平臺既是銀行監(jiān)管機(jī)構(gòu)的監(jiān)管工具，也是各銀行自主檢測和自助服務(wù)的輔助工具，應(yīng)允許授權(quán)用戶(含銀監(jiān)和各銀行用戶)在任何時(shí)候、任何地方都能訪問到其設(shè)定權(quán)限內(nèi)的應(yīng)用和資源，對平臺內(nèi)部非法操作、非法行為要具備發(fā)現(xiàn)能力，通過平臺審計(jì)能追溯到具體用戶[4]。

2 動(dòng)態(tài)檢測和監(jiān)管平臺及其監(jiān)管模式

按照信息安全方面的國內(nèi)、國際標(biāo)準(zhǔn)，基于不同監(jiān)測對象的實(shí)際應(yīng)用狀況，采用大規(guī)模高速旁路數(shù)據(jù)采集技術(shù)、海量數(shù)據(jù)存儲(chǔ)技術(shù)、風(fēng)險(xiǎn)評估建模技術(shù)、海量數(shù)據(jù)抽取技術(shù)、數(shù)據(jù)倉庫數(shù)據(jù)挖掘技術(shù)、搜索引擎優(yōu)化技術(shù)(SEO)、面向服務(wù)體系結(jié)構(gòu)(SOA)、虛擬化和云計(jì)算技術(shù)，建設(shè)一套集成風(fēng)險(xiǎn)評估、事件取證、安全服務(wù)、應(yīng)急響應(yīng)的動(dòng)態(tài)檢測和監(jiān)管的服務(wù)平臺，實(shí)現(xiàn)對銀行計(jì)算機(jī)網(wǎng)絡(luò)中大規(guī)模的信息科技風(fēng)險(xiǎn)的動(dòng)態(tài)監(jiān)控，為銀行提供信息科技風(fēng)險(xiǎn)態(tài)勢的決策依據(jù)。

2.1 總體架構(gòu)

動(dòng)態(tài)檢測和監(jiān)管平臺包括動(dòng)態(tài)監(jiān)測中心、海量數(shù)據(jù)中心、風(fēng)險(xiǎn)評估建模中心、數(shù)據(jù)抽取挖掘中心、安全事件取證中心、專家知識庫系統(tǒng)和安全服務(wù)網(wǎng)絡(luò)共七部分，其總體架構(gòu)如圖1所示。

圖1 動(dòng)態(tài)監(jiān)控和監(jiān)管平臺的總體架構(gòu)圖

(1)動(dòng)態(tài)監(jiān)測中心

通過在銀行關(guān)注的互聯(lián)網(wǎng)、外聯(lián)專網(wǎng)等關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)部署高速旁路數(shù)據(jù)采集的探測器和控制器，實(shí)現(xiàn)信息科技風(fēng)險(xiǎn)監(jiān)測關(guān)鍵數(shù)據(jù)的采集、整理、監(jiān)視和控制。

動(dòng)態(tài)監(jiān)測中心是一個(gè)執(zhí)行系統(tǒng)，它應(yīng)用了基于不同關(guān)鍵字或行為模式的海量數(shù)據(jù)的采集、挖掘、分析和評估結(jié)果，在對海量的網(wǎng)絡(luò)數(shù)據(jù)報(bào)文進(jìn)行概率統(tǒng)計(jì)的基礎(chǔ)上，針對不同種類的安全事件采用不同的算法進(jìn)行識別，從而準(zhǔn)確地區(qū)分出惡意的網(wǎng)絡(luò)數(shù)據(jù)報(bào)文和正常訪問的網(wǎng)絡(luò)數(shù)據(jù)報(bào)文。

(2)海量數(shù)據(jù)中心

隨著動(dòng)態(tài)監(jiān)測中心的建立，隨之而來的將是海量的采集數(shù)據(jù)，如何實(shí)現(xiàn)對這些容量巨大數(shù)據(jù)的存儲(chǔ)、查詢，將是一個(gè)非常棘手的問題，海量數(shù)據(jù)中心就是針對這些信息數(shù)據(jù)進(jìn)行分類、分級、優(yōu)化和存儲(chǔ)處理而建立的，因此海量數(shù)據(jù)中心的核心和重點(diǎn)就是信息分類管理、數(shù)據(jù)分級管理、訪問速度優(yōu)化和存儲(chǔ)管理。

(3)風(fēng)險(xiǎn)評估建模中心

參照《信息安全技術(shù)信息安全風(fēng)險(xiǎn)評估規(guī)范》(GB/T 20984－2007)和國家信息安全等級保護(hù)的政策要求，在充分評估業(yè)務(wù)系統(tǒng)在技術(shù)、管理和運(yùn)維方面的威脅、脆弱性和現(xiàn)有控制措施有效性等指標(biāo)的基礎(chǔ)上，來進(jìn)行詳細(xì)的風(fēng)險(xiǎn)分析并分級。

(4)數(shù)據(jù)抽取挖掘中心

在建立風(fēng)險(xiǎn)評估模型的基礎(chǔ)上，對海量數(shù)據(jù)進(jìn)行數(shù)據(jù)抽取和數(shù)據(jù)挖掘。數(shù)據(jù)挖掘中心的重點(diǎn)是選擇優(yōu)秀的數(shù)據(jù)庫工具、編寫優(yōu)良的程序代碼、對海量數(shù)據(jù)進(jìn)行分區(qū)操作、建立廣泛的索引、建立緩存機(jī)制、加大虛擬內(nèi)存、利用云計(jì)算方法分批處理、使用臨時(shí)表和中間表、優(yōu)化查詢SQL語句、使用文本格式進(jìn)行處理、定制強(qiáng)大的清洗規(guī)則和出錯(cuò)處理機(jī)制、建立視圖或者物化視圖、使用數(shù)據(jù)倉庫和多維數(shù)據(jù)庫存儲(chǔ)、利用云計(jì)算方法進(jìn)行數(shù)據(jù)抽取、使用采樣數(shù)據(jù)，進(jìn)行數(shù)據(jù)挖掘。

(5)安全事件取證中心

計(jì)算機(jī)取證在打擊網(wǎng)絡(luò)和計(jì)算機(jī)犯罪中作用十分關(guān)鍵，取證的目的就是將犯罪者留在系統(tǒng)中的痕跡作為有效的證據(jù)(如網(wǎng)絡(luò)入侵、盜用知識產(chǎn)權(quán)和網(wǎng)絡(luò)欺騙等證據(jù))提供給審判機(jī)關(guān)，以便將犯罪嫌疑人繩之以法。

基于這些海量的數(shù)據(jù)庫記錄，在通過風(fēng)險(xiǎn)評估建模的數(shù)據(jù)抽取和挖掘并出具決策結(jié)果以后，將其所依賴的決策結(jié)果，也就是安全事件的取證記錄反饋在銀行面前。

(6)專家知識庫系統(tǒng)

專家知識庫系統(tǒng)包括了專家人才庫與專家知識庫兩個(gè)方面的內(nèi)容。專家人才庫系統(tǒng)涵蓋高級安全顧問、高級安全工程師、安全服務(wù)工程師、網(wǎng)絡(luò)工程師、文檔管理員、各級現(xiàn)場維護(hù)工程師等人員服務(wù)能力的組建，同時(shí)還包括了外聘的專家?知識庫系統(tǒng)則包括了網(wǎng)絡(luò)基礎(chǔ)部分、安全業(yè)務(wù)部分、網(wǎng)絡(luò)審計(jì)部分、網(wǎng)絡(luò)監(jiān)控部分、網(wǎng)絡(luò)服務(wù)部分、軟件工程部分、硬件工程部分、數(shù)據(jù)庫部分。

(7)安全服務(wù)網(wǎng)絡(luò)

根據(jù)客戶信息系統(tǒng)的實(shí)際需求，通過規(guī)范的軟件開發(fā)與設(shè)計(jì)流程，向用戶提供統(tǒng)一的安全服務(wù)管理平臺，安全責(zé)任部門能夠利用該平臺實(shí)現(xiàn)對相關(guān)工作的分配與跟蹤，提供相關(guān)的專業(yè)技術(shù)工具支持，同時(shí)該平臺還負(fù)責(zé)保存所有與服務(wù)保障相關(guān)的所有數(shù)據(jù)。

平臺還包括一套ITIL運(yùn)維工具，即按照ISO20000的服務(wù)規(guī)范制定的標(biāo)準(zhǔn)流程，并在此基礎(chǔ)上定制開發(fā)設(shè)計(jì)的ITIL工具，基于該平臺銀行的監(jiān)管部門可以向各銀行提供統(tǒng)一的安全監(jiān)管和服務(wù)，并以此為基礎(chǔ)形成各銀行一體的安全服務(wù)網(wǎng)絡(luò)。

2.2 監(jiān)管模式

基于動(dòng)態(tài)檢測和監(jiān)管平臺的監(jiān)管模型如圖2所示，該模型分為三個(gè)部分，第一部分是監(jiān)管端，是由監(jiān)管機(jī)構(gòu)統(tǒng)一建設(shè)的監(jiān)管系統(tǒng)，主要進(jìn)行日常監(jiān)控、監(jiān)督、管理和公共服務(wù)?第二部分則是被監(jiān)管端(銀行)，是動(dòng)態(tài)檢測和監(jiān)管平臺的數(shù)據(jù)來源，也是被監(jiān)管和服務(wù)的對象?第三部分是運(yùn)維管理，運(yùn)維的流程完全依照ISO20000的要求，對監(jiān)管與被監(jiān)管方技術(shù)支持、服務(wù)的過程全程進(jìn)行跟蹤、監(jiān)督并可追溯，保障平臺運(yùn)營的有序性，也體現(xiàn)了監(jiān)管方在運(yùn)維中對被監(jiān)管方的監(jiān)督、驗(yàn)證、指導(dǎo)和管理的作用。

圖2 基于動(dòng)態(tài)檢測和監(jiān)管平臺的監(jiān)管模型

整個(gè)監(jiān)管體系的數(shù)據(jù)源來自于各銀行的信息系統(tǒng)，包括應(yīng)用系統(tǒng)、安全和網(wǎng)絡(luò)設(shè)備產(chǎn)生的日志，通過檢測和監(jiān)管平臺封閉式的數(shù)據(jù)收集系統(tǒng)，來對這些數(shù)據(jù)進(jìn)行收集和采集，并通過關(guān)聯(lián)系統(tǒng)進(jìn)行分析，達(dá)到監(jiān)管方監(jiān)管的目的。

接入該平臺的銀行(被監(jiān)管端)可以通過該平臺的自評估系統(tǒng)、自服務(wù)系統(tǒng)，來了解自身的安全狀況，差距以及不足，也可以選擇所對應(yīng)的整改方案，或者安全服務(wù)，修補(bǔ)安全漏洞，提升自身的防護(hù)能力?該平臺將安全等級、風(fēng)險(xiǎn)大小等建模的要求，對接入用戶的資產(chǎn)進(jìn)行分級保護(hù)，根據(jù)不同的SLA，享有不同的服務(wù)等級。

監(jiān)控管理同時(shí)監(jiān)督安全運(yùn)維平臺的運(yùn)營情況，并對不足之處提出改進(jìn)意見，同時(shí)對發(fā)生的安全事件提出整改意見，根據(jù)安全運(yùn)維平臺所產(chǎn)生的報(bào)表，形成周報(bào)、月報(bào)和年報(bào)，對銀行的安全威脅和不足及時(shí)通報(bào)，提出整改意見，防微杜漸，懲前毖后，也作為向各級監(jiān)管部門匯報(bào)的依據(jù)。

2.3 指標(biāo)體系

圍繞平臺建立相應(yīng)的指標(biāo)體系如圖3所示，能給平臺和支撐的服務(wù)團(tuán)隊(duì)提供基礎(chǔ)指導(dǎo)，給監(jiān)管機(jī)構(gòu)提供指導(dǎo)意見和參考標(biāo)準(zhǔn)，規(guī)范并保證平臺和基于平臺的服務(wù)實(shí)施的整個(gè)功能評價(jià)的一致性、可比性和真實(shí)性。平臺與服務(wù)的指標(biāo)體系包含以下四個(gè)方面。

圖3 服務(wù)評價(jià)指標(biāo)體系結(jié)構(gòu)圖

(1)功能性指標(biāo)的要求

首先是完備性，即按照服務(wù)協(xié)議或者合同的要求，功能實(shí)現(xiàn)的完整程度?其次是充分性，即被評價(jià)服務(wù)功能的實(shí)現(xiàn)充分程度。

(2)安全性指標(biāo)的要求

首先是可用性，即約定的服務(wù)資源在服務(wù)期間是否能夠被合法用戶進(jìn)行訪問?其次是完整性，即在服務(wù)期間，信息資源在正確的授權(quán)下進(jìn)行的變更操作?最后是保密性，即評價(jià)服務(wù)方的保密能力。

(3)可靠性指標(biāo)的要求

首先是連續(xù)性，即對服務(wù)的有效性和及時(shí)性進(jìn)行評價(jià)?其次是穩(wěn)定性，即所服務(wù)系統(tǒng)的穩(wěn)定運(yùn)行比例?最后是影響情況，即安全服務(wù)期間對信息系統(tǒng)造成的影響。

(4)響應(yīng)性指標(biāo)的要求

首先是及時(shí)性，即體現(xiàn)對服務(wù)的響應(yīng)速度?其次是有效性，即銀行向服務(wù)團(tuán)隊(duì)服務(wù)請求的有效處理率。

另外，對平臺指標(biāo)體系的建立我們除了以上的幾個(gè)方面，還要做到和SLA的結(jié)合，這樣將銀行的感知度和評價(jià)標(biāo)準(zhǔn)進(jìn)行量化，讓風(fēng)險(xiǎn)評估和咨詢服務(wù)平臺能夠真實(shí)的可評價(jià)，具體的量化是在平臺運(yùn)行過程中，建立了一個(gè)一體化的安全服務(wù)評價(jià)指標(biāo)體系。

3 動(dòng)態(tài)檢測和監(jiān)管平臺的建設(shè)

動(dòng)態(tài)監(jiān)測和監(jiān)管平臺的建設(shè)包括核心系統(tǒng)的建設(shè)與部署、基礎(chǔ)平臺與支撐體系的建設(shè)和技術(shù)服務(wù)團(tuán)隊(duì)建設(shè)三個(gè)部分。

3.1 核心系統(tǒng)的建設(shè)與部署

動(dòng)態(tài)檢測和監(jiān)管平臺的七個(gè)核心系統(tǒng)除動(dòng)態(tài)監(jiān)測中心外均采用集中部署的方式，核心系統(tǒng)建設(shè)的難點(diǎn)就是在各銀行分布部署動(dòng)態(tài)監(jiān)測中心子系統(tǒng)(ISCP)。

動(dòng)態(tài)監(jiān)測中心子系統(tǒng)(ISCP)客戶端需要部署到各銀行，考慮各銀行的不同情況，在銀行部署客戶端時(shí)，存在著不同類型的部署方式，按照其部署范圍和涉及數(shù)據(jù)量的大小，分為小型、中型和大型的動(dòng)態(tài)監(jiān)測部署方式:

1)小型單點(diǎn)動(dòng)態(tài)監(jiān)測部署方式:只針對關(guān)鍵業(yè)務(wù)系統(tǒng)，通過平臺提供的旁路部署方式，將探測器設(shè)備“旁路”部署在網(wǎng)絡(luò)入口下端，探測器主要對網(wǎng)絡(luò)入口的流量提供監(jiān)控功能，及時(shí)檢測安全事件的類型和來源。

2)中型單點(diǎn)動(dòng)態(tài)監(jiān)測部署方式:在中型動(dòng)態(tài)監(jiān)測部署方式中，作為Master角色的控制器和其他若干臺作為Slave角色的控制器設(shè)備“并聯(lián)”在網(wǎng)絡(luò)入口端。當(dāng)安全事件流量增大時(shí)，Master角色設(shè)備會(huì)及時(shí)啟動(dòng)流量牽引機(jī)制，將分流的安全事件流量牽引至Slave角色設(shè)備，以均衡系統(tǒng)負(fù)載，保證整個(gè)網(wǎng)絡(luò)的正常運(yùn)行。

3)大型單點(diǎn)動(dòng)態(tài)監(jiān)測部署方式:在大型動(dòng)態(tài)監(jiān)測部署方式中，若干臺控制器設(shè)備并聯(lián)在網(wǎng)絡(luò)中，在某臺控制器設(shè)備接收到探測器設(shè)備的攻擊告警后，會(huì)啟動(dòng)流量牽引機(jī)制，直接將可疑安全事件流量均衡分配到若干臺控制器上進(jìn)行流量過濾。

3.2 基礎(chǔ)平臺與支撐體系的建設(shè)

基礎(chǔ)支撐體系包括數(shù)據(jù)中心機(jī)房、會(huì)議室和支撐配套設(shè)施的建設(shè)。

1)數(shù)據(jù)中心機(jī)房建設(shè):中心機(jī)房建設(shè)主要是實(shí)現(xiàn)網(wǎng)絡(luò)、系統(tǒng)的IT資源集中，保障信息安全風(fēng)險(xiǎn)評估與咨詢服務(wù)平臺的運(yùn)行。

2)會(huì)議室等配套設(shè)施建設(shè):建會(huì)議室、攻防實(shí)驗(yàn)室、涉密維修室、應(yīng)用研發(fā)中心等配套工程，作為整個(gè)信息安全風(fēng)險(xiǎn)評估與咨詢服務(wù)平臺業(yè)主對象的服務(wù)接口。

3)支撐配套設(shè)施的建設(shè):支撐配套設(shè)施是核心系統(tǒng)運(yùn)行和基礎(chǔ)平臺正常工作的重要保障，包括防雷接地系統(tǒng)、消防系統(tǒng)、空調(diào)和新風(fēng)系統(tǒng)、UPS不間斷電源等內(nèi)容。

3.3 技術(shù)服務(wù)團(tuán)隊(duì)建設(shè)

通過前文分析可以看到，動(dòng)態(tài)檢測和監(jiān)管平臺的技術(shù)服務(wù)團(tuán)隊(duì)由兩部分構(gòu)成，一部分是平臺自身專業(yè)、專職的服務(wù)支撐隊(duì)伍，人數(shù)較少，能力較高?另一部分是各銀行科技部門的技術(shù)人員，人數(shù)較多且分散在不同地域不同銀行，能力參差不齊。因此要建立與之相適應(yīng)的虛擬團(tuán)隊(duì)管理辦法，設(shè)計(jì)規(guī)范化、標(biāo)準(zhǔn)化的管理制度和一體化工作流程，建立運(yùn)維數(shù)據(jù)交換和聯(lián)動(dòng)的機(jī)制，以全面提升綜合服務(wù)能力，實(shí)現(xiàn)從簡單組合向集成服務(wù)轉(zhuǎn)變、從監(jiān)控信息推送和應(yīng)急向滿足不同銀行不同需求和預(yù)警轉(zhuǎn)變，最終實(shí)現(xiàn)動(dòng)態(tài)檢測和監(jiān)管平臺、監(jiān)管機(jī)構(gòu)、銀行的價(jià)值捆綁和服務(wù)增值。

4 結(jié)語

在業(yè)務(wù)的監(jiān)測與預(yù)警方面，銀行需要自動(dòng)化、智能化的監(jiān)測手段，在銀行信息科技風(fēng)險(xiǎn)監(jiān)管方面，銀行監(jiān)管機(jī)構(gòu)需要實(shí)時(shí)、準(zhǔn)確的檢測手段，因此銀行監(jiān)管機(jī)構(gòu)建設(shè)統(tǒng)一的動(dòng)態(tài)監(jiān)測和監(jiān)管平臺具有很大的價(jià)值和意義:統(tǒng)一的平臺可以幫助銀行建立科技與業(yè)務(wù)部門間、銀行與銀行間的風(fēng)險(xiǎn)信息提示與共享[6]，而基于該平臺實(shí)時(shí)的對銀行信息科技風(fēng)險(xiǎn)進(jìn)行監(jiān)管又可以有效地提高銀行監(jiān)管機(jī)構(gòu)非現(xiàn)場監(jiān)管的質(zhì)量。

本文構(gòu)建的動(dòng)態(tài)監(jiān)測與監(jiān)管平臺分為七個(gè)部分，是充分考慮未來科技發(fā)展的，例如我們把海量數(shù)據(jù)存儲(chǔ)、數(shù)據(jù)抽取挖掘以中心的形式規(guī)劃建設(shè)，雖然實(shí)事上本期沒有考慮如何深度挖掘和利用這些采集到的海量數(shù)據(jù)，沒有提出對數(shù)據(jù)關(guān)聯(lián)及分析(挖掘)更多有價(jià)值的模型，但隨著云計(jì)算、大數(shù)據(jù)等技術(shù)的不斷成熟，未來的平臺會(huì)更智能、更精確，到那時(shí)，數(shù)據(jù)如何挖掘和使用將成為平臺的重點(diǎn)，這也是本課題后面需要進(jìn)一步研究的重點(diǎn)。

[1] 熊良俊.創(chuàng)新非現(xiàn)場監(jiān)管手段防控銀行信息科技風(fēng)險(xiǎn)[J].中國金融家，2013(6):52－54.

[2] 吳博.操作風(fēng)險(xiǎn)管理視角下的商業(yè)銀行信息科技風(fēng)險(xiǎn)管理研究[J].新金融，2010(9):32－36.

[3] 陳文雄.信息科技風(fēng)險(xiǎn)監(jiān)管和管理[J].金融電子化，2009(10):27－29.

[4] 劉鵬，吳艷艷，魏彬.電子政務(wù)信息系統(tǒng)安全監(jiān)控的研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2013(5):40－42.

[5] 余勇，林為民.基于等級保護(hù)的電力信息安全監(jiān)控系統(tǒng)的設(shè)計(jì)[J].計(jì)算機(jī)科學(xué)，2012(11):440－442.

[6] 駱絮飛.商業(yè)銀行業(yè)務(wù)連續(xù)性管理的分析與思考[J].銀行家，2013(7):111－113.