中国民生银行 提升信息安全“三大能力”

　　金融业务互联网化让服务更便捷、亲民，也使金融业务边界更为模糊，扩大了金融风险波及范围，给金融安全防范工作带来严峻考验。

　　正如中国民生银行信息科技部总经理助理吕晓强所言：“当前安全威胁呈多样化、复杂化，而系统的复杂性是安全的天敌，尤其在庞大的金融全业务链中，业务安全复杂度加深，随着新型威胁不断加剧，银行应进一步强化自身防护能力、建立有效防御机制。”

　　构建完整闭环

　　安全防御体系

　　目前，中国民生银行着力提升三大能力（即全面的安全感知能力、有效的安全防护能力以及完善的应急响应能力），实现信息安全的“可见、可管、可控”。

　　第一，严格贯彻执行金融信息安全相关政策和法规。“要以IT体系确保管理制度强落地，这是基础保障。”吕晓强表示，“对金融业而言，传统的信息安全体系是独立的，如何做到与业务系统、开发系统基于同一环境的封闭管理，十分关键。我们要做好系统的定级、备案、评估，健全完善民生银行网络安全防护体系，将其纳入我们已有的信息安全体系建设和运行中。”

　　其实，无论是《金融行业信息系统信息安全等级保护实施指引》，还是《中国银行业信息科技“十三五”发展规划监管指导意见》，都要求银行业积极贯彻落实国家信息安全政策，把信息安全工作提高到企业发展的战略性高度统筹考虑，着力健全信息安全管理体系，加强信息安全技术防护，提升关键信息基础设施的安全保障水平，确保风险可控。“为此，中国民生银行在等级保护、关键基础设施、长效安全策略、安全开发等方面做了一系列扎实工作。我们把等级保护纳入IT管理体系中，从而确保等级保护要求在日常工作中有效落地，而非应对等级保护检查单独展开。”

　　第二，实现基于大数据的网络态势分析。“我们已进入数据驱动的工作阶段，希望通过数据采集和分析做到可视化、可测量、自动化、可检测，提升民生银行的风险感知及预警能力，实现安全风险的可视化管理。”吕晓强举例说明，“如银行的反欺诈监控体系，业务部门来做会比较吃力，而我们可从信息安全角度通过数据的采集、分析，能帮助业务部门更好地预判。”

　　第三，加强敏感信息安全保护。“这是我行大力推进的一项重要工作。首先要做数据标准化，其次对数据进行脱敏、加密处理。目前，我们已经做到行内所有数据流转可跟踪、可审计，在数据可阻断方面还在进一步沟通、推进。”

　　第四，打造安全运营协同防护机制。“我们内部一直强调，要把信息安全工作作为一个整体来运作，即安全威胁的发现、发生、整改和防护，要和安全的开发、运维、管理串联起来，作为整体有机运营的一部分。我们希望构建自适应的安全防护体系架构，做到主动的预测攻击、阻断攻击、强化隔离，同时能够对发生的安全事件能够有效检测、响应。”吕晓强表示。

　　威胁情报实践

　　实施协同防护

　　据吕晓强介绍，民生银行建立的风险可视化平台——攻击行为分析就是其威胁情报实践的重要举措。“平台支持各式Flow进行网络流量分析与监控，可直接快速地进行网络行为活动异常检测，具备异种日志、安全事件与网络活动收集、正规化、关联分析与异常告警能力，能集成国外情报服务商情报，如IBM X-Force，并与部分安全公司加强企业情报使用。”

　　吕晓强指出，民生银行在威胁情报实践方面有四个规划：一是以威胁情报平台为核心的、基于协同防御的“大脑”，围绕业务面临的各种安全威胁，提供安全保障服务。这些服务包括基于大数据的智能化情报体系，如情报处置体系、人机画像、业务安全；传统防护体系，如终端防护体系、网络端防护体系、主动检测体系等；基于情报的平台化架构，如基于SIEM、网络行为的监测平台，外部威胁情报采集及应用，攻击溯源及自我检测的能力。二是构建威胁情报交换体系。三是基于情报的大数据安全分析，建立基于时间、空间、资源和终端的多维度分析模型。如非上班时间批量查询客户资料；连续进行客户资料查询操作，但未进行业务办理；高频查询客户资料、偷取客户资料的行为；客户经理异常操作行为；反复刷新客户资料页面，偷取客户资料私存；大量模糊查询；出现跨区域的大量访问；对数据库的敏感表访问过程中，分析是否存在越权访问情况；对敏感文件访问过程中，分析是否存在主机间互跳访问，是否存在越权访问情况等。四是建设安全威胁情报处置中心（SIPC），搭建一条企业与安全行业之间的通道，将情报、交流、信息，甚至人脉进行“连接”。

　　对企业管理者而言，吕晓强希望将各个安全云进行整合，构建协同防护体系。

　　强化顶层设计

　　提高战略能力

　　目前，根据威胁情报信息的预测结果，民生银行可做出相应信息安全预警；同时，对潜在威胁风险可进行持续检测，并动态调整安全防护策略，实现对安全事件的阻断；最后，可对检测结果快速响应，形成信息安全的预测、阻止、检测、响应的闭环体系。

　　“可以说，民生银行在安全建设工作中取得了阶段性成果，但并未松懈，适实制定了下一步工作计划和安全对策。”吕晓强表示。

　　第一，民生银行将继续深入贯彻落实《中华人民共和国网络安全法》，强化安全制度体系的建设，确保网络安全各项工作的部署和落实，强化组织领导，把网络安全工作做细做实。

　　第二，强化网络安全顶层设计，提高网络安全战略能力。具体来说，一是持续完善网络安全制度体系；二是完善商业银行网络安全管理措施；三是改进网络安全管理机制；四是加大信息安全投入，持续推动信息安全人才队伍建设；五是定期开展信息安全检查监督，推动全行业信息安全风险评估，形成常态化的安全检查和评估机制。

　　第三，推进网络安全综合防御体系建设。一是全面梳理现有安全防御技术，强化整体规划，加速网络安全防御装备建设；二是对互联网接入区域进行重点巩固，并强化措施，增强外部攻击检测和阻断能力；三是提升网络安全威胁的监测、分析和预警能力；四是漏洞发现、定位和处置效率；五是加快灾备基础设施建设。

　　第四，呼吁建立行业资源共享和协作机制。通过建立完善的信息通报机制，开展风险信息共享，推动银行业信息安全整体分析和态势感知的能力。

　　本报记者 洪蕾

关注读览天下微信， 100万篇深度好文， 等你来看……