人民銀行征信信息安全管理中的風險分析與防范

人民銀行征信信息安全管理中的風險分析與防范

康陽

一、研究背景

近年來，隨著國家信用體系建設的不斷完善，信用報告成為人們經濟生活中的“身份證”。加強征信信息安全管理既是推進征信信息體系建設的重要環節，也是基層央行履職必然要求。目前，人民銀行各級分支機構肩負征信管理和征信服務雙重職責，個人征信信息查詢、異議、投訴和對轄內機構執法檢查是征信管理部門的主要工作職責，一方面具有法律層面的信息安全風控要求，另一方面具有社會層面的聲譽影響的效應。本文以人民銀行X市中心支行征信信息安全審計為例，從現場審計的視角，闡述目前基層行征信業務存在的風險，提出合理的改進建議，以促進征信部門有效履職，規范征信市場管理，實現管理工作規范化，為征信業務取向和內審工作轉型提供參考。

二、征信信息安全管理中的風險分析

(一)問題闡述

征信信息安全管理主要涉及系統用戶管理、信息查詢、異議和投訴管理、系統接入和注銷管理、對接入機構的監督管理等五項業務，審計過程中發現這幾項業務均存在著不同程度的安全隱患，對其中一些審計重點和普遍問題，下面一一闡述之。

1、用戶管理不規范。一是用戶停用不及時。以X中支為例，某員工于2016年10月調離，至2017年2月才止用其用戶權限，離崗到停用間隔時間最長超過5個月。二是用戶密碼管理不到位。用戶密碼為生日、略縮語、電話號碼等易知常用的數字，并將用戶名及密碼記錄在紙上，保存在未鎖閉的辦公桌內，用戶超期未修改密碼等現象比較普遍。三是存在用戶混用情況。借用他人賬號辦理個人征信查詢業務的情況時有發生。

2、資料審核不嚴。一是使用無效身份證件。部分個人臨柜查詢使用的身份證為一代身份證或已過有效期，操作人員未認真查驗、比對身份信息；二是協查函、介紹信或保密承諾書不規范。國家機關查詢和單位統一查詢提供的協查函、介紹信或保密承諾書均未記明查詢人數，提供的查詢名單也未加蓋單位公章。

3、征信數據安全管理不到位。一是用于征信檢查的歷史抽取數據清除不及時；二是用于接收分中心下發的質量核查、異常核查等數據的業務網郵箱管理不嚴，由多人共用；三是征信檔案中留存紙質信用報告。

4、設備維修管理不到位。一是簽訂設備采購合同中，未明確維修保密條款；二是未使用指定維修商；三是維修人員現場維修時，征信管理部門未每次都到場監督。

5、行政處罰任意性較大。對行政執法檢查中發現的問題未進行妥善處置，對法律明文規定的特定事項的行政罰款數額隨意增減。

(二)風險分析

1、用戶管理漏洞，能輕易被別有用心的鋌而走險者利用，此種情境下操作員容易違背職業道德進行違規查詢，一旦實施，就會觸發利益驅動下的道德風險。

2、資料審核不嚴，無法排除個人撿拾他人丟失證件進行查詢的情況，同時批量查詢資料不完善也存在變更、增加或減少查詢主體的可能，這些均有可能因冒名查詢而招致客戶投訴或起訴，引起法律糾紛。

3、數據使用和設備維護不當，一方面不利于明確數據安全管理責任和風險控制，另一方面由于自助查詢機能夠緩存當日的信用報告，維修人員可以輕易對留存數據進行復制、轉移，稍加利用，便會暴露出極大的數據泄露風險。

4、行政處罰恣意，意味著在沒有任何適當理由和法律依據的情況下濫用自由裁量權，不僅反映了從業人員個人的執業能力和依法行政水平不高，而且會從社會層面貶損人民銀行的聲譽，引發輿論風險。

三、征信信息安全管理中的風險防范

(一)加強用戶管理，提高安全管理水平。

進一步明確管理員用戶、數據上報用戶和信息查詢用戶的職責及操作規程，將責任落實到人，堅決杜絕公共用戶和用戶兼任的現象，人員流動之后及時辦理用戶停用和變更。加強管理員用戶和查詢用戶的密碼管理，密碼設置為字母加數字并進行封存，并按規定定期修改密碼。同時，加強用戶管理和考核，努力提高征信安全管理水平。

(二)實行人機聯控，堵住人工操作漏洞。

因人工操作疏漏無法從根本上杜絕，可減少人工操作，充分利用二代身份證閱讀器等電子設備，實現二代身份證信息自動讀取，增強對身份信息資料的防偽辨識能力，提高查詢工作效率。將自助設備和電子設備認證作為主要信息比對和業務辦理方式，僅對一些機器無法識別或辦理的特殊情況開放人工臨柜查詢。“人機聯控”措施遏制了客戶不到場查詢風險，對非本人查詢產生震懾力，同時對事后監督檢查留下頭像核對和身份信息核查憑據。在“人機聯控”制度模式下，既強化了監管，又可緩解基層央行征信人手緊張的局面。

(三)加強信息安全管理，確保敏感數據保密。

嚴格執行保密制度，對涉密的敏感數據，首先，應當限定 專機IP和訪問時間，上班開機，下班關機，工作時段臨時離柜需退出用戶登錄；其次，確保查詢專機與互聯網物理隔離，并封閉主機優盤接口，業務用機嚴禁配置刻錄光驅；同時，可配置屏幕干擾器，防止用手機拍照的方式竊取屏幕顯示的涉密信息，盡可能阻斷向外交換傳遞泄露信息的渠道。

(四)嚴格規范執法程序，維護央行社會聲譽。

首先，在日常工作中要加強人員培訓和依法行政制度學習，嚴格執行制度規定，增強權責法定的意識，提高依法行政的執業能力，杜絕越位甚至亂作為，既要勇于負責和擔當，又能合理充分行使自由裁量權。其次，要加強征信宣傳教育，增強金融機構和社會公眾對征信工作的認知度和認同感，培養信用意識、培植信用需求、培育信用環境，引導全社會支持征信體系建設，提高央行履職效能。

(中國人民銀行張家界市中心支行，湖南 張家界 427000)