網絡與信息安全的科研項目管理分析
——以QC互金平臺項目為例

(上海高重信息科技有限公司 上海 200333)

背景：

半個多世紀以來，全球科技文明發展非常迅速，并且隨著信息化技術的快速迭代，極大的豐富了人類科技社會的進步，加速經濟社會的發展。當今全球的信息化時代已經成為科技發展的主旋律，作為第一生產力的科技實力已經越來越受到國內外各科研機構的重視，以網絡與信息安全為主要科研課題的項目研究已經變為了信息相關工作的要點和難點。近年來，國內外由于相關信息安全以及網絡安全疏于防范，造成大量公司與院校的網絡癱瘓，重要信息的丟失與泄露，導致對公司或個人造成了嚴重的經濟損失。據統計，2017年美國受欺詐行為影響的人數上升了8%，達到1670萬人；原因是重要的社保和信用卡數據遭到泄漏，黑客成功入侵130萬受害者，并從其帳戶當中竊取到168億美元；2016年5月，江蘇警方破獲一例盜取和倒賣公民個人信息案件，涉案人員遍布全國15個省市，通過各種手段非法盜竊1.1億條公民個人信息、新鮮數據6000萬多條進行售賣；而這些案例僅是諸多信息安全事件中的冰山一角。近二十年來，我國的信息科技水平取得很大飛躍，國內的網絡以及信息安全相關的科研項目無論是數量還是質量上都大幅增長，該領域科研項目管理與分析的重要性進一步彰顯。

項目管理，作為管理形式的一種，即運用先進的管理理論，通過實施有效的措施對項目進行調整及優化，使項目在規定的進度、成本及質量要求下，創造出超過現有資源價值的一種方法。在網絡與信息安全科研項目領域，我們同樣需要一套理念先進、切實可行的項目管理方法。本文將通過對完成等級保護測評相關的互聯網金融平臺項目進行分析研究，探討如何可以針對性的對網絡與信息安全相關的科研項目進行管理與分析，以案例項目存在的問題作為基礎，分析運用哪些技術手段與控制方法，目的是更貼近現狀的改良與提高網絡與信息安全的科研項目的管理。

一、互金平臺科研項目管理情況

隨著國內互聯網技術的飛速發展，在技術驅動及服務需求的背景下，國內金融領域的業務形態已發生了深刻改變，產生了基于互聯網技術的金融平臺，即常說的“互金平臺”。互金平臺是傳統金融行業與互聯網理念融合的產物，它具有執行效率高、覆蓋廣泛、發展迅速、投入成本低等優勢，但在支付與投資更加便捷的同時，也存在著很高的風險，如易發生惡意騙貸、非法挪用資金、卷款跑路等資金風險；另外，網絡安全風險也同樣存在，一旦信息系統遭到惡意攻擊，極易造成業務中斷、數據泄露等，危及資金及個人敏感信息安全。互聯網經濟的本質，通過互聯網技術放大金融行業的交易數額，使得交易和支付都更加便捷，更加充滿不確定性。

我國改革開放以來，以銀行券商為代表的傳統金融業作為借貸主渠道，是經濟社會主要的借貸來源，支持企業發展，也承擔企業發展風險，具有合法合規的資金管理責任，并為國家反洗錢反經濟犯罪提供了重要的情報支撐。毫無疑問，傳統的以銀行券商為代表的金融業，在現代整體經濟發展中控制著主要的經濟資源，是經濟的重要支柱行業。金融業杠桿作用，使得支配的資金數額及其宏大，廣泛影響眾多產業與上下游產業，受金融業系統性風險波及的企業之多，結合互聯網的金融行業加速資金控制規模的擴張，當互聯網金融業出現重大問題，極有可能產生類似排山倒海般的金融海嘯重大影響，不可避免地牽涉數量眾多的公民與家庭存款、投資。如杭州的MZ金融，據其官網資料顯示，該平臺成立9年來，累計投資90多億，注冊用戶超過83萬。在業內，該平臺算是一家“歷史悠久”的互金平臺了，但就在業務量不斷上升，整體運營良好的狀態下，突然出現卷款跑路事件，導致公司陷入突然死亡狀態，近百萬投資者的資金無法兌現，遭受了嚴重的損失。從互金行業的曝光平臺可知，類似事件屢見不鮮，且數量有進一步增加之勢。金融業不可否認在享受互聯網便捷的同時，也面臨著來自互聯網的巨大威脅，采用互金平臺的科研項目管理分析與控制就顯得非常有現實意義。

結合現有互金平臺等級保護的科研項目管理案例看，大量的公司項目或多或少存在相關技術與管理的控制缺失，從而導致部分科研工作的后續進展緩慢甚至失敗并產生重大經濟損害。根據行業第三方研究機構最新數據顯示，截至2017年12月底，正常運營的互金平臺有1931家，其中通過信息系統安全等保三級備案認證的平臺有143家，僅占在運營平臺數量的7.4%。探索加強網絡與信息安全的科研項目的管理控制與標準化路徑已迫在眉睫。

從當前我公司處理的數十個等級保護相關項目的管理研究分析，包括計算機技術手段的評估、關鍵人員的現場訪談、管理制度有效性的論證等，探查各種信息系統技術層面存在的隱患，以及管理制度層面存在的缺陷，為各階段制訂整改方案，加強過程控制提供了充分依據。

2017年底針對QC金融公司，通過等級保護測評后的研究，過程涉及該項目管理控制水平提升的量化分析，互金平臺企業內控評估，以及降低業務風險水平的有效性評估。具體情況將在以下部分開展論述，以期對我國互金平臺的科研項目管理水平的提升，提供借鑒與經驗。

二、互金平臺科研項目的隱患與難點解析

金融與互聯網的結合，存在著風險放大的可能。網絡與信息安全的科研項目在具體的項目管理中，結合近年以來的計算機技術和先進的新算法，對于防火墻、交換機、堡壘機等加以核實確認，同時論證防病毒、防惡意代碼、防數據篡改的技術足夠抵御最新的網絡威脅，將新技術手段作為基石完成創新變革，不斷提升國內互金平臺科研項目管理水平。已收集的數據表明，有很多管理問題存在于互金平臺網絡與信息安全領域的科研項目中：

(一)互金平臺先期方案設計與規劃普遍不完善

QC金融成立于2015年，公司專注于金融領域相關業務，包括投、融資咨詢，融法律咨詢，互聯網金融等服務，管理團隊在銀行、融資租賃、互聯網、法律等領域具有多年的經驗及儲備。項目組成立后，公司任命我為項目經理，全面負責項目管理工作，同時參入相關領域的調研及評估工作。經調研發現，QC金融在信息化建設方面投入了一定的資源，自行搭建了網絡系統，開發了核心業務系統，配備了基本的網絡安全防護措施，以支撐公司核心業務的發展；安全管理方面，也建立了初步的安全管理制度等文件。

在測評項目實施過程中，我根據QC金融現狀制定了合理的項目管理計劃，并按照項目管理理論及網絡安全最佳實踐對項目實施管理，同時參加了安全管理部分的訪談、評估工作。在評估過程中，我著重對公司安全方針和策略、安全方案設計與規劃等內容進行評估，發現了諸多待完善之處。如安全策略過于簡單，系統建設方案需求不明確，系統功能規劃不完善等問題，導致公司現有的安全防護手段與彌補風險所需的控制措施之間還存在很大的差距，遠遠超出了公司可承受風險的程度。結合QC公司實際網絡安全情況調研，比對類似平臺的信息安全情況，對存在問題綜合分析，當前QC公司安全現狀與公司核心業務之間有著密切的關系，這也是行業內普遍存在的問題之一。

互金平臺企業往往存在這種現象，先開展業務，一切以業務為優先，后強化項目管理控制的通病，也就是說先期的方案設計與規劃普遍不完善甚至有重大的缺失。很多互金平臺往往等到規劃中漏洞隱患演變成現實的大爆發，給運營產生重大經濟損失，才意識到項目管理控制的缺失，方案設計與規劃不完善、不適用、甚至沒有規劃與整體設計。其結果既損害企業自身利益，也給信任企業的用戶留下企業信用或者能力存在缺陷的不良感受。

QC金融公司在等級保護測評前沒有完善先期的方案設計與整體規劃，導致以往信息系統與制度管理上小問題不斷，大問題偶爾發生，如在整體規劃中未明確授權管理需求，導致開發后系統授權管理功能薄弱，無法合理分配人員權限，而管理制度上也未定義授權管理流程，在執行過程中無章可循；類似問題還存在于變更控制、檢查審批、數據保護等方面。類似問題造成企業資源配置的非效率化，同時對于后續的技術與管理層面改進無所適從，沒有制定目標期限、沒有待改進的目標成果、沒有計劃實施的哪些方式、沒有準備好過程如何控制、沒有預先計劃提升管理控制的財力人力技術的資源準備、沒有充分不同部門之間的協調。這一系列的問題解決推進相對緩慢，需要企業高層的參與或者授權。

在日常的開發、測試、運維等工作中，忽視整體規劃的情況時有發生，如在每周一項目例會中，相關人員對匯報內容沒有計劃性，經常只匯報若干節點，而未從項目的整個流程考慮，導致匯報效果未達預期；在系統測試過程中，只注重單點測試，忽略了整體測試，無法保障測試的質量；在運維工作中，僅僅將技術層的物理設備，軟件開發測試運維當做日常管理的近乎全部重要工作。類似的片面管理視角直接導致在實際的互金平臺科研項目運營中喪失了非常關鍵的并且是完全應當注意的完整性。以上情況普遍存在于互金平臺科研項目中，沒有好的整體項目規劃，大多數情況下就沒有完善的管理控制過程，間接導致了大量互金平臺科研項目或大或小的各種突發狀況，沒有規劃，往往還會間接導致后續的管理混亂，以及無效的控制。

(二)互金平臺的管理模式過于依賴技術

互金平臺離不開現代計算機項目管理技術的運用，大量現代化網絡安全產品與設備的運用給互金平臺科研項目的管理帶來許多方便與支撐。面對近年來網絡上頻發的各類黑客與惡意代碼攻擊事件，各種新技術、防病毒軟件、防DDOS攻擊、防勒索、防劫持、數據防泄漏、網頁防篡改等安全產品與針對性的安全服務一定程度上加強了互金平臺科研項目的管理控制。但是，從項目管理維度對我參入的測評內容進行分析，結合QC金融公司的案例以及互金平臺通常的管理方式來探討，現狀還是有重大缺陷的：存在過于依賴安全設備和技術。比如，我對“人員安全管理”控制域測評時，發現在人員考勤方面，公司明確了考勤制度，安裝了打卡機，要求所有員工上下班時必須打卡，以為這樣就可以把考勤管理好。然而，在實際執行過程中，存在部分員工代打卡情況，也許更換更高級的指紋或虹膜考勤機，能很大成都上降低代打卡的發生，但出現這一現象的本質，是公司管理層相對忽視了人員的作用，沒有積極調動員工工作主觀能動性，沒有充分釋放員工積極工作帶來的管理紅利與增值。各級員工不清晰企業與個人發展的關聯性、一致性，不明確自身價值，對于上級尚未直接布置的任務不能站在組織的視角積極主動思考。這些將產生互金平臺管控缺乏內在長期提升與改善的動因。此類互金平臺科研項目過于依賴技術與安全產品，不從根本上調動員工工作積極性，導致非常多的網絡與信息安全的科研項目管理出現不同程度的失控，即使取得階段性成果，但依然潛伏下深遠的不利因素。

(三)互金平臺科研項目管理理念提升效率慢

2000年以后，互聯網技術科研成果日新月異，不斷取得突破。2007年，國內第一家互聯網理財平臺產生，但接下來互金行業未得到迅速發展，直到2013年，行業才走出了靜默期，在隨后的三年中進入了飛速發展期。對于網絡安全科研項目的管理控制來說，本身就需要不斷修正與提升，尋找理念更新的動因相當重要，需要豐富的理論來指導實踐。在QC金融公司，我與項目相關的高中層管理人員進行訪談，了解到部分管理人員的管理理念還沿用了傳統的項目管理方法，與公司核心系統的業務形態存在較多不匹配性。現階段國內針對網絡與信息安全科研項目的管理控制，沒有及時發展出與互聯網科研相適應的新管理理論。理論的提升不應滯后于互聯網技術的發展，兩者之間的關系是相互重視，并相互促進。

三、互金平臺科研項目內部控制的完善

科研項目的管理需要完整的程序保障，指導或約束員工日常工作，并融于其中成為員工的自覺行動。QC金融公司已建立初步的內控程序，但仍存在諸多需完善的地方。例如，公司安全組織架構需明確核心人員職責，關鍵角色由專人擔任，并制定周密的監督措施；持續建立或完善公司有關授權管理、變更控制、關鍵事項評審及批準等流程，加強公司項目中的質量管理，建立并完善內審機制，適時引入外審，把質量管理的理念貫穿于公司項目整體實施中。

根據QC金融公司現狀，需從以下三方面完善項目內控管理：

首先，確保公司分層治理結構運行有效。無論對于創業期的小團隊還是上市公司的董事會，都應當重視內部控制，這將給企業帶來發展紅利，并有效規避企業經營風險。從頂層設計入手，強化內部控制，最好由董事會、監事會主導實施，而不是授權給技術或者財務等職能相對單一的部門負責組織實施。

其次，有效的內控體系同時包含了技術與管理層面的控制，既需要可靠的設備與技術、硬性的條款、操作流程、授權審批流程、內部全面檢查的審計機制，又需要結合柔性的對人員管理、激勵與懲罰，加強企業文化建設，凝聚員工工作動力。大公司管理層與董事會之間存在可能的沖突，以股東價值最大化作為長期目標是得到學術界廣泛認可的，同時兼顧不同利益相關方的權益，比如客戶、員工、供應商、銀行、監管部門等等。應當避免管理層和董事會之間道德背離與價值背離的情況發生。想要保護互金平臺股東權益的穩定與增長，而且確保股東大會委托管理層合理經營企業的責任不出現背離，就離不開高水平的科研項目內控體系。再次，公司治理結構有效性與內部控制是一種高度正向關聯的關系。有效的內控體系消耗較小的資源，提升高效的管理水平，收獲優良的增長業績，可以從不同階段、每單位資源投入的有效產出進行評估。

最后，國內互聯網金融領域的高精尖技術與設備相對發達國家許多方面還未取得相對優勢，大量的研究處于概念階段，需要持續研發更新更加適用于互聯網金融領域的網絡服務器、交換機、防火墻等核心設備。同時加強算法、互聯網金融領域人工智能的軟件層面的研發，從技術角度提高管理效率和內控水平，規避各類業務與網絡風險。

四、互金平臺科研項目管理結論

通過上述對QC金融公司項目管理分析得知，出現的問題主要表現在缺少整體規劃、過分依賴設備和技術、管理理念提升緩慢及內部控制措施不善等方面，這就要求我們有針對性的糾正問題，完善現有控制措施，并做到持續改善。QC金融核心系統經過等級保護測評后，公司內控得到有效提升，在大量依靠制度的標準化基礎上，還需要依靠企業文化、企業經營理念、以及追求股東價值最大化的管理目標與員工個人幸福與滿意度之間兩者的平衡，依靠硬性的制度，同時還需要良好的柔性管理，才能夠較好滴解決項目實際需要解決的問題。

現階段，我國互聯網金融發展勢頭迅猛，各類問題、隱患也很突出，我們需要進一步重視互金平臺科研項目的網絡與信息安全研究，找出存在的隱患和風險進行精確的點對點優化，持續加強項目的內部控制有效性；另外，員工的主觀能動性、優勢技術的研發與應用都需要在實際項目中加強，使我們可以更優質地開展互金平臺科研項目的網絡與信息安全研究，讓項目管理更上一個臺階。