基層商業銀行信息安全管理工作探討

李艷

隨著信息化在銀行業業務系統中的深入應用，銀行業金融電子化進程進一步加快步伐，信息化程度越來越高。網上銀行、手機銀行、電話銀行、POS/ATM終端服務在給廣大人民群眾帶來支付便利的同時，也給金融機構信息安全管理提出了更高的要求。隨著人民銀行信息安全職能的進一步調整，指導、協調金融業信息安全工作成為央行科技工作職能的重要組成部分，在履行金融業信息安全屬地協調管理職責的過程中，發現商業銀行市縣部分機構存在信息安全管理重視程度不夠、制度建設缺位、硬件設備運行環境不達標、科技力量薄弱等方面的問題，對商業銀行的業務發展埋下信息安全隱患。本文探討基層商業銀行在信息安全管理問題上存在的一些隱患和應對的方法。

一、基層商業銀行存在的信息安全問題

本文所指基層商業銀行是指在三四線城市及其縣支行地域存在的商業銀行分支機構或規模較小的地方法人商業銀行。隨著對商業銀行的安全檢查和業務往來的了解，我們發現了一些普遍存在的信息安全管理問題：

（一）重視程度不夠

有話說，“誰掌握領了信息，控制了網絡，誰將擁有整個世界。”這句話不完全對，不過可見信息安全是何等的重要。尤其金融行業是國家經濟發展的大動脈，肩負著重要的社會責任，是信息安全防范的重中之重。商業銀行對信息安全管理的重要性認識不足，沒有把信息安全管理工作作為日常工作的重點，安全意識與信息化發展的要求有相當大的差距，特別是一些人員不能正確認識信息安全的重要性與緊迫性，嚴重制約了工作的有效開展；信息安全管理體制還需要進一步完善，組織機構不健全，監督管理不到位，規章制度不完善，應急體系不完整，人員配備緊缺等突出問題需要得到根本解決；信息安全基礎設施投入不足，資金投入、建設力度與日常運維跟不上發展的需要。這些問題給信息安全管理工作帶來了前所未有的威脅和挑戰。

（二）制度建設缺位

制度建設對商業銀行的改革、管理和發展起到了巨大的推動作用，但是，制度建設仍然存在一些問題，制度建設須要進一步深化。雖然各商業銀行也制定了信息安全管理制度，但基本上都是套用上級行各類制度，甚至將上級行的制度不做任何修改直接照搬，真正結合本單位、本部門、制定細責的很少，與工作實際脫節，執行起來可行性不高。制度建設形同虛設，擺“花架子”應付檢查機構的檢查，或者制度體系建設不完整，責任落實不到位，信息安全工作開展缺乏有力的依據和規范。

（三）硬件設備運行環境不達標

近年來，商業銀行擴疆辟土，新的網點不斷涌現。但是對營業場所信息安全設備的投入相對于他們的規模和利潤水平是巨大的，在看不到眼前效益的情況下，勢必對投入有所保留。設備更新速度較慢，運行環境不達標。雖然商業銀行的網點都有獨立的機房，但無論機房選址、裝修配置、出入登記都存在問題。有得機房距離衛生間僅僅不到五米，切沒有做防水處理；機房內沒有安裝空調，設備溫度較高；機房內線纜凌亂，業務網絡和互聯網絡設備隨意放置在一起；甚至將機房作為雜物間使用，出入機房沒有嚴格例行登記。這些問題的存在，都給業務運行帶來很大的安全隱患。

（四）科技力量薄弱

近年來由于商業銀行業務處理數據大集中的發展模式，在地市級及以下縣級配備科技人員數量較少，有的行或者不配備專業的科技人員，科技人才匱乏且均為兼職。隨著各項業務系統上線數量的增多，科技任務越來越重，及時基層機構只設客戶端，但一名兼職的科技人員面對如此多的客戶端和網點，也只能充當“救火隊員”的角色，運維保障質量將大打折扣。以某縣域轄區為例：沒有一家商業銀行的科技人員為計算機專業畢業，另外，科技人員年齡普遍偏大，平均年齡為40.1歲，且知識結構單一，新知識、新技術掌握不多，很難適應當前飛速發展的信息安全工作需要。日常疲于應付各項業務工作，根本無暇顧及較深層次的應用學習，除了某村鎮銀行每月會通過網絡對科技人員進行培訓外，其他金融機構的科技人員只是在新系統上線的時候才會進行相應的培訓，因此只能簡單的對系統進行操做和維護，業務素質跟不上金融電子化的發展。各商業銀行缺乏有關信息安全管理教育培訓的環境和氛圍，每年對員工進行計算機知識方面的培訓平均不到一次，而且質量很難得到保證，科技人員如果不在，一旦計算機出現問題，業務很可能停滯。

（五）信息安全管理缺乏有力監督

央行近幾年明確了金融業信息安全屬地化管理職責，也對商業發布了一系列的信息安全工作規范，但對商業銀行信息安全的監督管理與指導卻沒有明確的標準，使得央行基層行在實際管理工作中缺乏依據和標桿，從而加大了管理難度。科技部門對外工作往往面臨沒有管理、檢查依據的尷尬狀況。但對金融機構來說，這些制度規定并沒有一定的針對性和強制性，工作開展難度較大，成效并不明顯。

二、解決基層商業銀行信息安全問題的思路

（一）充分發揮協調聯席會議的職能作用

建立信息安全管理工作聯席會議制度，有利于提高各成員單位處置突發事件的能力，鞏固轄區信息安全壁壘。有利于發揮資源配置優勢和信息共享，及時獲取、預警重要信息安全情況，控制安全風險，處置突發事件。有利于促進轄區轉變信息安全管理模式，實現從點到線，從任務式到機制化的轉變。有利于促進成員單位提高信息安全管理意識，調整自身的信息安全管理方式。

（二）實行“責任追究制”，健全制度推進執行

基層商業銀行要建立信息安全領導小組，落實工作具體負責人，實行“責任追究制”。本著“誰主管誰負責，誰運營誰負責，誰使用誰負責”的方針，把安全工作責任落到實處。要制定切合本單位信息安全工作的規劃、制度和措施，進一步明確科技人員和業務人員的義務和責任，細化各項實施細則，建立完善各種登記制度，使得各項制度真正具有科學性、針對性和可操作性，為信息安全管理工作真正落到實處提供強有力的依據和保障。

（三）加強信息化人才隊伍建設

基層商業銀行應要引進足夠數量的能力強的技術人員，通過組織培訓、督促自學、相互交流等多種形式加大對科技人員及員工的培訓力度，普及新的實用信息化應用和安全技術應用知識，進一步提高科技人員和員工解決實際信息化應用和安全管理問題的能力，最大程度從人的層面上消除信息安全管理工作隱患。

（四）加強基礎設施投入，優化運維環境

基層商業銀行應加快基礎設施更新改造步伐，舍得投入，舍得運維，加強電子設備及運行環境檢查力度，對重要設備做好保養工作，對沒有相應防護措施的要堅決進行完善，讓硬件設施和設備運行環境跟上信息化發展的步伐。

（五）完善監督管理措施，加強服務引導職能

央行應盡快建立金融業信息安全管理各項實施細則，明確基層央行對各家金融機構信息安全管理的目標責任、管理任務及指導規范，以便基層行能夠有效地對金融機構的信息安全管理工作進行監督和協調指導，確保管理指導工作的執行力和執行效果，切實提高轄區各家金融機構的信息安全保障能力，共同維護一方金融穩定。