一、金融行业信息安全概述

　　金融行业信息化系统经过多年的发展建设，目前信息化程度已达到了较高水平。信息技术在提高管理水平、促进业务创新、提升企业竞争力方面发挥着日益重要的作用。随着银行信息化的深入发展，银行业务系统对信息技术的高度依赖，银行业网络信息安全问题也日益严重，新的安全威胁不断涌现，并且由于其数据的特殊性和重要性，更成为黑客攻击的重要对象，针对金融信息网络的计算机犯罪的案件呈逐年上升趋势，特别是银行全面进入业务系统整合、数据大集中的新的发展阶段，以及银行卡、网上银行、电子商务、网上证券交易等新的产品和新一代业务系统的迅速发展，现在不少银行开始将部分业务放到互联网上，今后几年内将迅速形成一个以基于TCP/IP协议为主的复杂的、全国性的网络应用环境，来自外部和内部的信息安全风险将不断增加，这就对金融系统的安全性提出了更高的要求，金融信息安全对金融行业稳定运行、客户权益乃至国家经济金融安全、社会稳定都具有越来越重要的意义。金融业迫切需要建设主动的、深层的、立体的信息安全保障体系，保障业务系统的正常运转，保障企业经营使命的顺利实现。

　　二、金融业安全风险及需求分析

　　金融行业典型网络拓扑如下，通常为一个层次化的互联广域网体系结构：
 

　　
     2、1金融行业风险分析
 

　　金融行业网络系统面临的风险复杂多样，既有来自外部的，也有来自内部的。可以概括为以下三个大的方面：

　　·组织方面的风险。缺乏统一的安全规划和安全职责部门；

　　·技术方面的风险。安全保护措施不充分。尽管已经采用了一些安全技术和安全产品，但是目前安全技术的采用是不足的，存在大量这样、那样的风险和漏洞；

　　·管理方面的风险。安全管理有待提高，安全意识培训、安全策略和业务连续性计划都需要完善和加强；

　　具体风险分析如下：

　　·缺乏对内部用户的行为控制和行为监管，表现在对内部人员的过分信任，没有可靠的管理手段往往是出现内部高科技犯罪的开始。

　　·虽然制定了一系列信息安全规定，但是没有一个科学的评估方法和管理手段，无法对系统的安全状况进行量化的分析和科学的管理，结果往往是事与愿违。

　　·缺乏专业的安全组织结构和明确的管理流程（如应急响应流程）。

　　·业务系统操作人员安全管理薄弱，口令系统混乱，安全性差。

　　·部分同城清算、联行系统保护脆弱，可能被攻破和渗透。

　　·开放的TCP/IP协议的的先天设计缺陷，易于遭受IP欺骗攻击和各种拒绝服务攻击。

　　·操作系统和应用软件系统存在大量安全漏洞。

　　·蠕虫、病毒、垃圾邮件、间谍软件带来的数据破坏和泄露风险。

　　·大量的、分散的安全资源的整合和集中管理问题，以及海量安全事件和告警需要的大量人力资源处理带来的管理和成本风险。