论文 关键词：商业银行； 电子 商务；风险管理
论文摘要：随着商业银行网上业务的不断 发展 ，电子商务安全风险管理策略成为理论与实践中必须重视的课题。剖析现阶段电子商务安全网风险策略的薄弱点，发展商业银行电子商务安全风险管理策略，应借鉴成熟的传统 金融 风险度量中的一些方法改变电子商务安全管理对资产进行粗略的优先级别排序，用系统管理思想构建商业银行电子商务安全管理框架，并将商务安全风险纳入风险管理范畴。
商业银行从事金融业务面临着市场风险、信用风险、以及操作风险等，而电子商务的出现则加剧了上述各类风险发生的可能性以及风险发生之后的破坏程度。2004年以来，我国面临的 网络 仿冒威胁正在逐渐加大，仿冒对象主要是金融网站和电子商务网站。2005年上半年共收到网络安全事件报告65679件，超过2004年全年案件数，商业银行电子商务安全风险管理策略已成为理论与实践中必须重视的课题。
一、信息安全管理的 历史 演进与现阶段的特点
信息安全管理的策略大体遵循事件驱动(技术和管理脱节)－逐渐标准化(技术和管理逐渐结合)——安全风险管理(引入了风险分析)的发展路径。
(一)以事件驱动的初级阶段时期
19世纪70年代安全主要是指物理设备和环境的安全，人与 计算 机之间的交互主要局限在大型计算机上的哑终端，安全问题只涉及能访问终端的少数人。安全管理策略处于初级阶段，由事件驱动，没有形成规范的管理流程。在此阶段的前期，只重视技术手段。后期开始重视管理手段，但是技术和管理之间脱节。许多组织对信息安全制定了相应的规章和制度，但组织的信息安全管理基本上还处在一种静态、局部、少数人负责、突击式、事后纠正式的管理方式。
(二)标准化时期
企业 开始将安全问题作为整体考虑，形成一套较为完整的安全管理策略，其中包括了安全管理的技术手段和管理制度(或称运作管理)。几乎所有从事电子商务的企业都拥有自己的安全策略，内容也包括了技术手段、安全管理制度、人员安全 教育 等等，基本上形成体系，技术和管理手段综合统一，但是安全风险分析还存在不足之处。
(三)安全风险管理策略时期
随着电子商务安全管理发展到一个比较高的层次，安全管理策略也演进到安全风险管理阶段。主要特点如下：
1.安全风险管理成为主流趋势；在安全管理策略的演进过程中，技术和管理手段综合统一、又融入了风险管理的分析、防范策略，从而安全管理进入了安全风险管理时期。西方商业银行已对安全风险管理形成共识。如安氏公司(is—one)，认为信息安全问题最终将归结为风险管理问题，风险管理方法是建立良性的安全技术和管理体系的依据和基础。
2.安全风险管理的国际标准和各国的规范逐渐形成并趋于完善。国际上关于安全风险管理的标准有巴塞尔银行监管委员会的《电子银行业务风险管理原则》、英国标准协会制订的bs7799等。各国也日益重视安全风险管理，制定了许多规范。例如美国货币监理署(occ)的《电子银行最终规则》、香港金融管理局的《电子银行服务的安全风险管理》等。
(三)忽视与原有的传统风险管理策略的结合
本质上， 电子 商务的安全风险无非是新兴的商业模式对传统的风险的改变，以及产生的在传统风险控制领域暂时无法明晰的新风险；现有管理策略只从信息技术的角度、或者从偏重技术的角度看待问题，站在 金融 领域本身来分析研究较少。这种状况导致了对电子商务安全风险管理的研究无法立足于一个比较高的层次；忽略了风险的整体性，只进行偏信息和技术的研究，导致了现有的电子商务安全风险管理策略与金融机构原有的传统业务风险管理策略存在差距。对于商业银行而言，传统金融业务的风险控制与电子商务的技术风险控制，两个方面存在脱节，同样属于商业银行的风险，存在着不同的管理策略，导致多头管理、资源浪费、机构之间的扯皮，乃至缺位管理。
(四)风险管理策略无法依赖外部的信息安全管理行业
在发达国家，信息系统审计(is audit)作为一种信息技术服务被广泛提供，许多知名的咨询公司都提供类似的信息审计服务。it风险分析师也成为一种职业，专门从事电子商务的安全风险工作。商业银行采用依靠外部专业化机构定期对电子银行的安全性进行评估的办法，提高对电子银行安全性和技术风险的管理和监管。而国内初步建立了国家信息安全组织保障体系，制定和引进了一批重要的信息安全管理标准、 法律 法规，风险评估工作得到了一定重视，但与发达国家成熟完善的外部信息安全管理行业仍有很大差距。
(五)风险管理策略中商业银行的内部风险控制能力薄弱
我国商业银行目前均建立起统一的风险管理部门；但风险控制部门的职能、权限与花旗银行等体制较为先进的银行相比仍然存在较大差距，风险控制实质上仍然分散在各个子部门；风险的评估、防范与控制实质上完全依靠商业银行的电子交易部门；风险管理部门、内审稽核部门实质上无法控制电子商务安全风险。例如，风险管理部门接受了电子交易部的风险控制报告，表面上履行的内控审核的流程，但审核作用有限，无法完成电子商务安全风险管理中的监控与审计环节。
三、商业银行的电子商务安全风险管理策略的改进建议
(一)基于系统的思想构建商业银行电子商务安全风险管理策略框架
利用系统理论作为总体的指导思想，将电子商务安全风险管理策略本身当作一个开放的自适应系统。将商业银行电子商务安全风险管理中的各个环节组成循环上升的系统。
在商业银行电子商务安全风险控制的流程中，经过信息安全的风险评估、资产识别和选择、实施控制降低风险的措施、将风险控制在可接受的范围内，然后进行监控和审计；尤其重要的是把监控和审计所得到的内容作为新一轮风险分析输入，从而开始新一轮的风险管理过程。商业银行电子商务安全风险管理的各个步骤为动态的循环系统。每完成一个循环，安全风险管理的有效性就上一个台阶，商业银行的安全管理水平变得到了提高。
(二)电子商务安全风险管理中定量分析中的改进思路
商业银行可以借鉴成熟的传统金融风险度量中的一些方法来改变电子商务安全风险管理中对资产进行粗略的优先级别排序的方法。实践中，商业银行对操作风险的管理与对电子商务安全风险管理有其相似之处。巴塞尔委员会对商业银行的操作风险的内部计量法中规定，商业银行内部估计风险敞口指标、损失事件发生的概率、风险损失，巴塞尔委员会制定资本要求的转换系数；在度量损失的分布时，主要利用统计和精算技术。商业银行应通过数据库将威胁发生的频率、威胁所造成的影响等精确记录下来，利用现有的度量方法进行精确的风险定量分析的尝试。
(三)将商业银行电子商务安全风险纳入商业银行总体风险管理范畴
将商业银行所面临的全部风险放在一个框架中考虑。传统风险管理以及电子商务安全风险管理都是风险管理系统中子系统，二者相互联系、相互影响，不可分割。尝试借鉴信用风险与操作风险度量的方法与思想，短期内将其与信用风险控制衔接，最终形成一个全面的商业银行安全风险管理框架。
(四)商业银行要积极促进电子商务安全风险管理策略的改进(1)充分利用国内或国外能够获得的信息系统审计、外部信息安全评估等服务，采取定期评估审计、不断采取措施改善风险状态的策略；(2)在目前商业银行的组织与管理体制下，风险控制部门与传统金融业务部门的流程需不断改善，商业银行必须创造条件，加强风险管理部门与电子商务部门的交叉配合，包括各部门人员的配置、培训等各方面；使风险管理部门能够履行安全风险管理的监控与审计职能；(3)商业银行必须重视对传统金融风险与电子商务安全风险的统一度量问题的研究，不断提高风险管理部门综合控制风险的能力，充分考虑电子商务安全风险与信用风险、操作风险的交叉问题，为实现全面风险管理奠定基础。
[摘要]网上银行为金融企业的发展带来商机并为众多用户带来了方便,但同时网上银行网站本身的安全性问题、交易信息在商家与银行之间传递的安全性问题、交易信息在消费者与银行之间传递的安全性问题已成为网上银行业务面临的主要安全问题,分析这些安全问题产生的根源,并提出一些防范对策,显得尤为必要。
[关键词]网上银行；网络支付；安全性问题
随着电子商务技术的发展,网上银行的使用也越来越广泛,但是网上银行还存在很大的安全问题,必须引起广大网民群众的重视。
一、我国网上银行存在的安全性问题
1.网上银行网站存在的安全性问题
在网络银行中,企图非法窃取密码的作案者如果采用可以改变登录ID的方法,即便登录失败,网站也不会将密码视为无效。除了用软件窃取密码这样的隐忧以外,“冒充站点”也是网上银行使用中一个非常重要的安全隐患。客户在不了解情况时就会向虚假站点发送ID和密码。客户发送完毕后,如果显示出一个“服务马上就要停止”的画面,或者把客户访问重新引导到正规站点上,客户当时是很难察觉的。这样一来,就存在有人进行非法资金转移的可能性。
2.交易信息在商家与银行之间传递的安全性问题
因为互联网的虚拟性,交易双方无法确保对方身份的真实性,尤其在当事人仅仅通过互联网交流时,在这种情况下,要建立交易双方的信用机制和安全感是非常困难的。资金在网上划拨,安全性是最大问题,发展网上银行业务,大量经济信息在网上传递。而在以网上支付为核心的网上银行,电子商务最核心的部分包括CA认证在内的电子支付流程。就是说国内目前的网上银行还不能算真正的网上银行,只有真正建立起国家金融权威认证中心(CA)系统,才能为网上支付提供法律保障。
3.交易信息在消费者与银行之间传递的安全性问题
目前,我国银行卡持有人安全意识普遍较弱,不注意密码保密,或将密码设为生日等易被猜测的数字。一旦卡号和密码被他人窃取或猜出,用户账号就可能在网上被盗用,例如进行购物消费等,从而造成损失,而银行技术手段对此却无能为力。因此一些银行规定:客户必须持合法证件到银行柜台签约才能使用“网上银行”进行转账支付,以此保障客户的资金安全。另一种情况是,客户在公用的计算机上使用网上银行,可能会使数字证书等机密资料落入他人之手,从而直接使网上身份识别系统被攻破,网上账户被盗用。用户和银行之间通过互联网传递的信息是实现交易的基础条件,如何确保不被第三方知道,是网上业务安全进行的一个重要前提。
综上所述,其根本原因都是由于登录密码或支付密码泄露造成的。①密码管理问题。②网络病毒、木马问题。③钓鱼平台。另外还有网上支付的信用问题、网上支付的法律问题和网上安全认证机构(CA)建设混乱等问题。
二、网上银行安全性问题解决的对策
1.做好自身电脑的日常安全维护
一是经常给电脑系统升级。二是安装杀毒软件、防火墙,经常升级和杀毒。三在平时上网是尽量不上一些小型网站,选大型网站,知名度比较高的网站,避免网站挂有病毒、木马造成中毒。四尽量不要在公共电脑上使用自己的有关资金的账户和密码。五有条件的情况下,在初装系统后确认电脑安全的后,给自己的电脑做上备份,在使用资金账户前做一次系统恢复。
2.设立防火墙,隔离相关网络
所谓防火墙指的是位与不同网络安全域之间的软件和硬件设备的一系列部件的组合,作为不同网络安全域之间通信流的唯一通道,并根据用户的有关策略控制进出不同网络安全域的访问。现实生活中一般采用多重防火墙方案,分隔互联网与交易服务器,防止互联网用户的非法入侵;还用于交易服务器与银行内部网的分隔,有效保护银行内部网,同时防止内部网对交易服务器的入侵。
3.设置高安全级的web应用服务器
高安全级的web服务器使用可信的专用操作系统,凭借其独特的体系结构和安全检查,保证只有合法用户的交易请求能通过特定的程序送至应用服务器进行后续处理。
4.建立完善的身份认证和CA认证系统
在网上银行系统中,用户的身份认证依靠基于“RSA公钥密码体制”的加密机制、数字签名机制和用户登录密码的多重保证。银行对用户的数字签名和登录密码进行检验,全部通过后才能确认该用户的身份。用户的惟一身份标识就是银行签发的“数字证书”。用户的登录密码以密文的方式进行传输,确保了身份认证的安全可靠性。数字证书的引入,同时实现了用户对银行交易网站的身份认证,以保证访问的是真实的银行网站,另外还确保了客户提交的交易指令的不可否认性。由于数字证书的惟一性和重要性,各家银行为开展网上业务都成立了CA认证机构,专门负责签发和管理数字证书,并进行网上身份审核。2000年6月,由中国人民银行牵头,12家商业银行联合共建的中国金融认证中心(CFCA)正式挂牌运营。这标志着中国电子商务进入了银行安全支付的新阶段。中国金融认证中心作为一个权威的、可信赖的、公正的第三方信任机构,为今后实现跨行交易提供了身份认证基础。
5.加强客户的安全意识和网络通讯的安全性
银行卡持有人的安全意识是影响网上银行安全性的不可忽视的重要因素。一些银行规定:客户必须持合法证件到银行柜台签约才能使用“网上银行”进行转账支付,以此保障客户的资金安全。另一种情况是,客户在公用的计算机上使用网上银行,可能会使数字证书等机密资料落入他人之手,从而直接使网上身份识别系统被攻破,网上账户被盗用。公务员之家
安全性作为网络银行赖以生存和得以发展的核心及基础,从一开始就受到各家银行的极大重视,都采取了有效的技术和业务手段来确保网上银行安全。但安全性和方便性又是互相矛盾的,越安全就意味着申请手续越烦琐,使用操作越复杂,影响了方便性,使客户使用起来感到困难。因此,必须在安全性和方便性上进行权衡。
互联网是一个开放的网络,客户在网上传输的敏感信息在通讯过程中存在被截获、被破译、被篡改的可能。为了防止此种情况发生,网上银行系统一般都采用加密传输交易信息的措施,使用最广泛的是SSL数据加密协议。
作者简介：郭丹妮（1989-），女，汉，浙江省金华市东阳市人，在读研究生，杭州电子科技大学经济学院，研究方向：国际金融。
摘要：电子银行业务目前成为各大银行竞相追捧的业务，但其安全问题却是个不可忽视的难题。本文主要针对我国电子银行发展中主要出现的安全问题进行分析，并简单分析其原因，最后提出相关建议和解决方法。希望电子银行安全问题能得到广泛关注，并得到妥善处理。
关键词：电子银行;安全由于电子银行具有低成本、高效率、方便快捷等优势，使得近年来电子银行在我国迅猛发展。2013年，电子银行交易笔数已突破1000亿笔，电子银行替代率高达77.7%。在高速发展的背景下，安全问题慢慢浮出水面，成为目前用户最为关注和担心的问题。根据艾瑞咨询网2012―2013年中国电子银行用户调研报告显示，2012年受调查的中国用户有56%的人因安全问题而不使用手机银行和网上银行，安全问题成为众多原因中最主要的原因。
一、国内电子银行业务面临的主要安全问题
（一）技术漏洞风险。
当今，高速发展的信息技术像由于信一把双刃剑，为人们提供更多方便服务的同时也带来了新的、多样化的威胁安全的方式和途径。同时，商业银行自身为了业务更新和服务完善进行的信息技术的更换，但却不能保证所选技术的成熟度和完善度，更何况不论多么可靠的信息技术都不可避免的存在了或多或少的安全隐患，这将对 计算机系统的稳定性造成相当大的影响。于此同时，目前我国银行间的网络系统缺乏统一的、整体的规划，使得各银行间系统无法兼容，业务无法畅通无阻的相连和对接。这些存在的技术漏洞无疑增加了各类恶意攻击的风险。如计算机病毒的传播将导致计算机系统的瘫痪、黑客的入侵将窃取银行内部各种机密资料等。
（二）系统设计风险。
新型网络金融服务使得银行业的服务的范围和外延扩大了，电子银行业务想通过以前过于简单的加密模式已经无法满足现如今的在交易中必需的身份认证、数据交易以及其他记录的安全性。目前,我国金融业的系统的监控分析、灾难的备份管理、自动化的故障诊断、突发事件的应对和抗风险的能力等都很薄弱。而电子银行业务数据传递渠道的开放性则使其面临了新的安全问题。与此同时，很多银行对少数几家外包商的过分依赖很可能将导致一些系统性风险，事实上这些外包商大多对银行业务所必须具有的控制知识的了解都相当缺乏。因此，外包业务将会带来类似附加隐私权保护的问题。
（三）客户操作风险。
电子银行业务的特殊性决定了其使用者必须具有相应的操作技能。客户不熟练的操作将有可能产生操作错误，进而引起操作风险。同时，很多客户的安全意识淡薄，容易上当受骗。例如，将自己的银行卡账户和密码泄露于他人；将银行业务后的回执、回单等随意丢弃，让不法分子有机可趁；甚至无法辨别犯罪分子通过电话、短信、邮件等方式进行的诈骗，信以为真，让自己的财产受损。
（四）内部控制风险。
由于我国商业银行的内部控制在技术状况、管理水平、人员素质、组织文化、经营规模以及运营效率等方面的条件尚不成熟；忽视内部控制模式建设；缺乏有效的内部控制标准和规范的控制程序；内部控制的测试与评价系统不完备等原因致使我国商业银行内部控制效率低下。银行内部员工的不合规、不合法操作得不到有效的控制，这将会引起电子银行业务的运行风险。如果银行具有不完善且得不到独立审计的内部控制措施,那么有效的、及时的安全防范将成为一个难题。
二、电子银行风险产生的原因
1、银行自身的原因
现代网络金融业务是对电子、通信和软件技术的综合运用的基础上发展起来的，因此，对稳定的网络系统具有很强的依赖性。另外，客户的信赖是开展电子银行业务的必要条件。而我国银行业开展电子化的金融服务起步较晚，经验缺乏，不合理的操作会使客户对网上服务的满意度降低。数字证书是网上银行作为客户身份认证的有效手段，那么银行理应将其作用和正确的使用方法作为一种责任向用户进行清楚的告知和说明。而实际上，虽然数字证书已基本覆盖到各银行的网上银行业务中，但大部分用户对其功能无法完全了解。数字证书的介绍只有在网上银行页面上类似“热点问题”的专栏中才有解释，但大多数解释都未充分说明数字证书的重要性和法律效力。各网上银行应以“客户服务”为宗旨，确保客户的信息和资金往来的安全性。
2、客户方面的原因
电子银行具有传统银行经营过程中存在的信用风险，而信用风险源于社会信用体系不够健全。因此，应尽快建立我国的社会信用体系，以促进电子银行的发展。目前网银对用户身份的认证主要通过以下三种方式完成。第一，根据客户的秘密信息来确认身份，包括静态口令和动态口令。但静态口令的用户常使用简单易记的口令，因此容易泄露或被盗用。而动态口令的操作需要在时间和录入方面达到配合，一些用户无法掌握，且只有完成了用户身份认证，没有电子签名，因此当客户和银行发生争议时无法依法判定。第二，利用智能卡和USBKey等物品来证明身份。但其造价成本高且需要用户具备一定的计算机技能，因此对客户群也有限制。第三，利用指纹、视网膜、声音、DNA等生物特征来证明身份。虽然成本昂贵，但在安全性、有效性、可靠性上达到了质的飞越。目前用的最好的是指纹Key功能，具备电子签名的功能。根据以上对各种方法评述，网银用户需要具备一定的条件才能确保自身信息、财产的安全。
3、网络系统方面的原因
网上银行信息的传输主要依靠网络电缆、光缆、无线传输等形式，但它们传输数据时产生载有信息的电磁波，而这些电磁波容易泄露或被监听，导致信息外泄，从而破坏数据的真实性、机密性、完整性。不法分子则可以伪造数据进行欺诈或将窃取数据非法转让给未授权用户以获利。
4、法律方面的原因
作为银行业“新希望”的电子银行业务，由于发展较晚，目前的法律制度无法适应其发展的步伐，因此急需国家制定一系列新的法规制度加以保护，为其保驾护航。然而我国金融立法的速度落后于电子银行业务的发展速度，立法工作相对滞后。所以，现今电子银行业务的处理都按照协议，但它难以解决在电子银行业务中复杂的法律问题。例如，用户和银行出现争端时责任的认定、承担等。
三、针对这些问题的解决方法
1、政府方面要加快信用体系的建立，不断加强网络犯罪的法律法规建设，打击网络金融犯罪。市场经济是信用经济，信用制度的完善与否将直接影响社会主义市场经济体制的建设。因此，要像西方国家那样建立个人和企业的信用体系，培育我国自己的信用评级机构，从而起到社会监督的作用。同时，要强化法律的监督和制裁效力，对现存法律不完善的地方加以修改补充，对存在法律空白领域则加紧步伐修订相应的金融法律和规范，建立、健全信用经济的法律制度。
2、银行要通过技术、管理、服务、安全机制等方面的不断创新，进行主动防范。第一，要构建全方位的服务安全系统。前提是要提高使用的操作系统的安全性：完善国外操作系统漏洞；加大对更好操作系统的研发力度，创造符合国内电子银行业务的操作系统。加强防火墙的使用，并利用入侵检测技术加以辅助，对网络内、外部的攻击都加以防控。同时，提高病毒防治技术，使用安全扫描系统，做好病毒的预防、监控及清除工作。第二，加强网上银行身份认证的安全管理。加强数字证书的推广和使用，确保用户网银安全。
3、用户要加强网银安全意识，形成良好的交易习惯。技术手段不够先进固然会影响网银的安全问题，但是用户是否能够有效的使用高科技手段以及是否拥有良好的交易习惯也对网上银行是否安全具有重要影响。中国金融认证中心副总经理曹小青曾指出，很多网银被盗问题的关键并不是数字证书机制本身不安全，而是用户没有妥善保管和使用它。而且经专家认证，数字证书机制是国内外网银系统使用最广泛且安保性能较强的方法，暂无出现因数字证书机制被攻破而使用户资金受损的案件。因此，用户自身在培养良好的安全意识和上网习惯的基础上，也要加强对数字证书的正确、合理使用。
随着计算机和网络技术应用的扩展和普及。银行系统便利用计算机和网络通讯技术开发了电子银行,实现了数据集中,完成了综合业务处理和管理决策一体化建设。银行数据集中实现资源共享,为客户提供了更便捷、更灵活、更丰富的金融理财服务的同时,也带来了风险的集中。而且电子银行管理信息系统采集的数据范围是银行业务系统交易的数据，涉及到客户信息、客户交易等非常重要的数据，数据保密性要求较高，提出的安全要求就相对较高，故对其安全设计就非常重要。因此,建立全方位、多层次、有针对性的安全系统就成为目前迫切需要解决的问题。鉴于此笔者从系统安全风险分析、安全要求、安全策略、设计原则、安全手段等5个方面来分析并设计了电子银行信息管理系统的安全方案。
1系统安全风险分析
系统的安全风险一般可以划分为几个不同层面来分析：自然因素，既系统物理上的安全。(1)地震、水灾、火灾等自然环境事故造成整个系统毁灭；(2)电源故障造成设备断电以至操作系统引导失败或数据库信息丢失；(3)设备被盗、被毁造成数据丢失或信息泄漏；(4)电磁辐射可能造成数据信息被窃取或偷阅；(5)报警系统的设计不足可能造成原本可以防止但实际发生了的事故。技术因素，既网络技术、网络协议、应用程序、操作系统、设备等自身的缺陷或不足带来的风险。例如，计算机、网络设备不稳定，软件有漏洞，TCP/IP协议先天的不足等等。人为因素，这里有两个层面的问题：一是人为地利用系统技术上的缺陷或不足主观地攻击、破坏；二是管理和素质上的原因造成的损坏，例如，安全意识不强，造成用户名、口令的泄露，计算机知识有限产生的误操作等等。
2安全要求
(1)保证数据库系统数据的安全；(2)对入网用户进行身份认证，防止非法入侵；(3)提供良好的授权管理机制；(4)按照地区进行权限和数据管理；(5)防止非法入侵和破坏。
3安全策略
系统安全应从实体安全、网络安全、应用安全、用户安全几个层次来考虑。主要保证整个系统的保密性、可用性、可控性。安全设计要点归纳为以下几点：(1)保密性，本系统具有数据存贮和传输中的保密性。(2)身份识别，本系统对各级操作员和管理员进行用户身份鉴别和认证，防止非法入网。(3)防止非法访问，本系统能够防止非法用户访问和用户越权访问数据。(4)防止非法入侵，本系统所运行的操作系统安装有防火墙，可有效防止通过端口漏洞、系统漏洞、木马程序、计算机病毒等各种方式的非法入侵和破坏。
4设计原则
系统安全的重要性随着计算机和网络在生产、管理上的广泛应用而已经被人们所认可，而系统安全包含了从硬件、物理到人为的信息安全服务，但系统安全方案要做到全面、可扩充，其设计应遵循以下原则：
(1)需求、风险、代价平衡的原则
对任一系统，绝对安全难以达到，也不一定是必要的。对一个系统要进行实际的研究(包括任务、性能、结构、可靠性、可维护性等)，并对系统面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定相应的规范和措施，确定系统的安全策略。
(2)综合性、整体性原则
应运用系统工程的观点、方法，分析系统的安全及具体措施。安全措施主要包括：行政法律手段、各种管理制度(人员审查、工作流程、维护保障制度等)以及专业技术措施(访问控制、加密技术、认证技术、攻击检测技术、容错、防病毒等)。一个较好的安全措施往往是多种方法适当综合的应用结果。系统的各个环节，包括个人(使用、维护、管理)、设备(含设施)、软件(含应用系统)、数据等，在系统安全中的地位和影响作用，只有从系统整体的角度去看待、分析，才可能得到有效、可行的安全措施。
(3)一致性原则
一致性原则主要是指网络安全问题应与整个网络的工作周期(或生命周期)同时存在，制定的安全体系结构必须与网络的安全需求相一致。安全的网络系统设计(包括初步或详细设计)及实施计划、网络验证、验收、运行等，都要有详实的内容及措施。实际上，在网络建设的开始就考虑网络安全对策，比在网络建设完成后再考虑安全措施，不但容易，而且花费也少很多。
(4)易操作性原则
安全措施需要人去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性；其次，措施的采用不能影响系统的正常运行。适应性及灵活性原则安全措施必须能随着网络性能及安全需求的变化而变化，要容易适应、容易修改和升级。
(5)多重保护原则
任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其他层保护仍可保护信息的安全。
(6)可评价性原则
系统安全是整体的、动态的。整体性是指一个安全系统的建立，既包括采用相应的安全设备，又包括相应的管理手段。安全设备不是指单一的某种安全设备，而是指几种安全设备的综合。系统安全的动态性是指，系统安全是随着环境、时间的变化而变化的。
针对安全体系的特性，我们可以采用“统一规划、分步实施”的原则。具体而言，我们可以先对系统做一个比较全面的安全体系规划，然后，根据系统的实际应用状况，先建立一个基础的安全防护体系，保证基本的、必需的安全性。随着今后应用的种类和复杂程度的增加，再在原来基础防护体系之上，建立增强的安全防护体系。
5安全手段
本系统的安全手段主要体现在系统手段和制度手段两个方面，系统手段管理系统，制度手段管理人员。两种手段结合，保证系统的整体安全。数据对于银行来说至关重要，因此，对数据的访问必须加以控制。系统管理模块可以灵活地管理和控制用户对系统信息的访问。特别地，这种控制不仅仅是功能的限制（比如不能运行某个功能模块），而且可以在数据行的层次上进行控制（比如限制用户访问其他同级单位的数据）。
5.1实体安全
在本系统中，实体安全主要表现为数据库系统安全和应用系统软件安全。保障实体安全主要采用以下手段：(1)制度上严格控制能够接触系统的人员；(2)制度上加强对数据库服务器、应用服务器、Web服务器等操作系统的用户管理和口令管理；(3)数据库定期备份以防止系统破坏或系统故障。
5.2网络安全
本系统的网络安全主要定位于防止非法访问和非法入侵，为此系统保障网络安全的手段主要有：(1)采用防火墙，非法访问则被防火墙隔绝在外；(2)安装防病毒软件，并及时更新，防止病毒和木马程序入侵。
5.3应用安全
系统的应用安全则主要定位于应用系统运行安全，主要表现在防止越权操作和访问数据、防止系统运行故障、防止非法输入造成系统故障等各个方面，电子银行管理信息系统的应用安全设置如下：(1)通过用户名/口令方式，口令通过软件加密，对用户进行严格的认证和管理；(2)输入密码时，密码以“*”进行显示，并以暗文存储在数据库中；(3)用户密码丢失，必须由系统管理级别的用户进行重置；(4)用户认证时，通过总行UAAP认证系统，进行用户认证；(5)用户访问相关数据信息时，均需要判断相关信息，防止非法访问；(6)制度上严格控制业务定制功能的授权，业务定制功能只能由经过培训的管理员使用，防止使用不当造成系统应用问题；(7)用户使用系统关键操作时，记录系统事件日志，以便今后审查；(8)对数据库中的关键数据，采用加密方式存储，防止数据泄漏；(9)对查询信息中，不支持对客户的相关信息的批量查询。防止客户信息的下载。
6结束语
本安全方案的设计是科学、合理的，实施是可行的，具有良好的灵活性、高可靠性和安全性，完全可以保护广大客户和银行的利益。此方案完全符合银行的安全需求，在实际应用中也确实保障了电子银行管理信息系统的安全。
购物车(0)