外汇信息安全风险及安全保障措施分析

【摘要】本文首先要对外汇管理信息系统和数据面临的风险加以梳理，总结外汇信息安全基本准则和特性，在此基础上提出有针对性安全防护措施，以解除外汇信息安全隐患，确保外汇业务数据完整可用。

【关键词】外汇  信息安全  风险  保障措施

近年来，国家外汇管理局加大了信息化建设步伐，信息系统已基本替代了手工操作用于处理外汇管理日常工作，在外汇监管与服务的过程中发挥着越来越重要的作用，外汇业务信息系统的安全正常运行已成为外汇局开展业务开展的前提，任何一个环节的信息系安全管理缺失，都可能给外汇管理工作带来严重的后果。

一、外汇信息系统和数据所面临的风险

信息安全就是保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的保密性、完整性、可用性.可控性和平可否认性。

外汇管理信息系统和数据在采集、保存和使用等过程中存在诸多安全风险，例如硬盘损坏等物理环境风险，操作系统和网络协议漏洞导致外汇信息数据被非法访问、修改或恶意删除，最终导致外汇信息丧失上述安全特性，从而影响了外汇业务的正常开展。本节仅结合外汇信息系统和数据实际情况，简要介绍外汇信息常见的风险。

（一）电子设备存在软件和硬件故障风险

外汇信息系统在运行过程往往会面临硬件设备发生故障，软件系统出现运行错误的风险，例如服务器电源设备老化、硬盘出现坏道无法读写、软件崩溃、通讯网络故障等问题。上述问题是外汇信息系统实际运维过程中最为常见风险源。

（二）人为操作风险

因人为操作外汇信息系统产生的未授权的数据访问和数据修改、信息错误或虚假信息输入、授权的终端用户滥用、不完整处理等。产生该类风险的原因是用户安全意识淡薄，未授权访问数据造成外汇信息泄漏，数据手工处理导致的错误或虚假信息，未授权用户操作等行为都会造成信息系统安全性风险。实际外汇信息系统运行中，人为事件造成损失的概率远远大于其他威胁造成损失的。

（三）系统风险

一般所用的计算机操作系统以及大量的应用软件在组织业务交流的过程中使用，来自这些系统和应用软件的问题和缺陷会对一系列系统造成影响，特别是在多个应用系统互联时，影响会涉及整个组织的多个系统。例如，部分系统具有维护困难、结构不完善、缺乏文档和设计有漏洞等多个隐患，有时就会在系统升级和安装补丁的时候引入较高的风险。

（四）物理环境风险

由于组织缺乏对组织场所的安全保卫，或者缺乏防水、防火、防雷等防护措施，在面临自然灾难时，可能会造成极大的损失。

二、外汇信息安全基本准则和特性

外汇信息系统是一个以保障外汇业务系统正常运行的专用的信息系统，近年来在不断加大信息科技方面投入、加快信息化建设的过程中得到了有效整合和完善。为有效应对外汇信息系统安全风险，科技部门应同步提升科技管理制度的完整性和执行力度、管理精细化程度。制定外汇信息系统安全的具体保障措施之前，首先需要我们认清信息安全的基本准则和一些特性：

（一）信息安全短板效应

对信息系统安全所涉及的领域进行安全保护即全面构筑外汇管理信息安全保障工作，重点加强对安全洼地、薄弱环节的安全防护。

（二）信息安全系统化

信息系统安全其实是一项系统工程，要从管理、技术、工程等层面总体考量，全面保障外汇管理局信息系统安全。

（三）信息安全动态化

信息安全保障措施所防范的对象是一个动态变化的过程，所以信息系统也应该随着内外部安全形势的变化不断改进。

（四）信息安全常态化

信息安全从时间角度看是一个长期存在的问题，只有在信息安全技术方面严格把握重点，综合信息安全体系的可持续构建，才能保障外汇管理局信息系统安全。

（五）系统操作权责明确

信息系统安全的前提是要严格内部授权，划分各岗位职责，如加大内控风险防范和控制。使各系统角色操作者权限形成相互制约的控制机制。

三、外汇信息安全保障应对措施

外汇信息安全工作应以信息系统所面临的安全威胁依据，遵循基本准则，以信息基础设施建设和安全管理制度为我切入点制定相应的防护措施。

（一）建立系统性的安全管理制度

安全管理制度要包括人员管理、资产管理、数据管理、网络管理、运维管理、应急管理、事后审查等方面内容

（二）建立良好的网络信息安全防护体系

从物理环境安全、网络边界安全、设备安全、应用系统安全以及数据安全等方面部署相关的安全防护设备和措施。

（三）定期进行信息安全教育培训

因信息技术行业快速发展，信息安全形势也在不断变化，外汇管理局科技部门可定期对辖内外汇信息系统维护和操作人员进行信息系统安全培训，更新安全知识。为了有效防范未知威胁和隐患，外汇管理局科技部门可对辖内定期开展信息系统安全检查，确保外汇信息系统安全有效运行，保障外汇信息的可控、可用和完整性。

（四）开展信息系统安全风险评估，进一步做好系统等保工作

首先对外汇信息系统安全进行风险评估，根据评估识别威胁外汇信息系统安全的风险，作为制定、实施安全策略、措施的基础，风险评估同时也是外汇信息系统安全等级保护的重要前提与依据。其次确定信息系统安全级别，根据级别的不同，实施对应的保护措施，启动对应级别的安全事件应急响应程序。

（五）运用入侵检测等技术，预防恶意攻击

随着技术发展，当前恶意攻击手段呈现越来越隐蔽的趋势，需要科技部门采用具有预警功能的技术手段来应对，如入侵检测、数据挖掘等技术，通过分析历史数据，发现当前安全措施的缺陷，及时纠正和预防内外部风险再次发生。

（六）完善监督管理，实施信息安全自查与检查相结合

查找现有信息化建设工作中的薄弱环节，井切实进行整改，建立良性的信息安全管理机制。开展信息安全检查与自查是完善信息安全监督管理工作的有效方式之一，其中信息安全检查方案的设计是安全检查的核心，科技部门需要根据外汇业务实际情况，将外汇管理局有关要求进行梳理完善，对相应风险点进行总结和归纳，科学设计了信息安全检查方案。

参考文献

[1]林国恩.信息系统安全[M].北京：电子工业出版社.2010

[2]《信息系统安全等级保护基本要求》GB/T 22239-2008

作者简介：李兴勇（1982-），男，安徽六安人，就职于人行银行合肥中心支行，中级工程师。