面向证券业的国产化信息系统安全与保护措施*

陈伟 李莉 林佳佳

恒生电子股份有限公司 浙江 杭州 310051

引言

随着国内证券行业的快速发展，国内证券业信息系统在过去几十年的取得了长足的发展，但是在信息系统安全与保护上仍然存在风险。证券行业的数据安全是保护数据和防止未经授权访问数据丢失的重要过程[1]。这包括保护数据免受可以加密或销毁数据的攻击，例如勒索病毒，以及可能修改或损坏数据的攻击。数据安全不仅需要确保组织中任何有权访问数据的人都可以使用数据，还需要高水平数据防护手段来保障数据的安全。

证券行业信息技术风险事情频发，多家券商卷入其中。信息技术风险事件往往会引发不可预计的后果，从历年来多次的监管处罚可以得知，证券行业信息技术风险事件不断。证券行业应该防范安全漏洞带来损失，证券企业是安全事件发生的责任主体，无论是从国家针对金融领域网络安全出台的法律法规要求层面出发，还是考量客观存在的安全漏洞对企业造成潜在的经济、名誉损失，证券企业对信息安全的重视程度都是需要提高的，并且需要同时兼顾信息获取的合规性以及安全性。

因此，为了减少信息安全对于国产化信息系统的安全隐患，有效安全的信息系统安全与保护手段必不可少。近年来，随着信息系统的发展，国内相关信息安全防护手段日渐成熟，目前在市场上有着众多的信息安全防护手段。通过本研究有助于剖析当前国产化信息系统存在的问题以及相关的解决方案，有利于提升国产化信息系统的安全，有利于增强对国产化信息系统数据的保护，逐步提升国产化信息系统的安全性，为国内证券业稳定发展提供保障。

1 证券业国产化系统信息数据安全存在的问题

通常情况下，信息系统的复杂度与漏洞数成正比，但这不是绝对的。信息系统的安全涉及多种因素，一方面包括信息系统本身存在的漏洞，另一方面包括员工网络安全意识薄弱等因素。任何系统都做不到无懈可击，总会存在漏洞，只是能否发现的问题。引起安全漏洞更多是人为因素所致，开发工程师在开发系统时的疏忽和员工的不当操作，都可能会带来安全风险。

1.1 系统漏洞

由于存在缺少网络安全建设、系统的日常维护和管理不到位、计算机病毒攻击、系统漏洞未及时修复等因素，使得系统在硬件、软件和协议等的具体实现或系统安全策略存在安全漏洞，使得攻击者可以在不经许可的情况下访问或者破坏系统，本文列举了主要的证券业国产化信息系统存在的问题。

1.1.1 电脑病毒。近年来随着勒索病毒大肆流行，诸如WannaCry利用漏洞透过网络进行攻击的加密型勒索软件蠕虫病毒，勒索病毒是各种规模公司数据的主要威胁[2]。勒索病毒的主要目的是感染公司设备和加密数据，使其在没有解密密钥的情况下无法获得原始数据。攻击者同时会显示出一条赎金消息，要求付款以释放密钥，但在多数情况下，即使支付赎金也是无效的，数据也丢失了。

1.1.2 数据丢失。国产化证券信息系统正在逐步将数据转移到云端，使得数据能够更轻松的共享和协作。然而，当数据转移到云端时，更难控制和防止数据丢失。用户可能会通过个人设备和不安全的网络访问数据，进而发生数据的丢失。

1.1.3 漏洞注入。漏洞注入有很多种方案，最常见的方案是SQL注入[3]。SQL注入是攻击者用于非法访问数据库、窃取数据和执行不需要的操作的常见技术。它的工作原理是将恶意代码添加到看似无辜的数据库查询中。SQL注入通过向更改查询上下文的用户输入添加特殊字符来操作SQL代码。SQL注入可能会暴露客户数据、知识产权，或给予攻击者对数据库的管理访问权限，这可能会产生严重后果。SQL注入漏洞通常是不安全编码实践的结果。

1.2 人工漏洞

1.2.1 意外暴露。现实中很大比例的数据泄露不是恶意攻击的结果，而是由疏忽或意外暴露敏感数据造成的。员工通常会意外地或因为不知道安全政策而共享、允许访问、丢失或处理错误的宝贵数据。

1.2.2 网络钓鱼和其他社交工程攻击。社交工程攻击是攻击者用于访问敏感数据的主要载体。它们涉及操纵或欺骗个人提供私人信息或访问特权账户。网络钓鱼是一种常见的社会工程形式。黑客通过伪造似乎来自可信来源的消息将其发送给受害者，但实际上是由攻击者发送的。当受害者通过提供个人信息或点击恶意链接，攻击者可能会破坏他们的设备或访问公司网络。

1.2.3 内幕威胁。内幕威胁是无意或故意威胁组织数据安全的员工。有三种类型的内部威胁：非恶意内部人士，这些用户可能会意外造成伤害，通过疏忽，或者因为他们不知道安全程序。恶意内部人士，这些用户积极试图窃取数据或为个人利益对组织造成伤害。受损的内部人士，这些用户不知道他们的账户或凭据被外部攻击者泄露。此后，攻击者可以伪造成正常用户对系统进行攻击。

2 证券业国产化信息安全与保护措施

本文设计了几种技术和措施可以提高国产化证券信息数据的安全性。通过结合以下几种技术，可以显著改善证券业国产化信息系统安全态势。

2.1 数据发现和分类

现代证券业信息系统环境通常将数据存储在服务器、端点和云系统上。为了有效保护数据，需要对数据的类型、位置以及作用进行分类。利用数据发现和分类工具可以提供对应的帮助，数据流的可见性是了解哪些数据面临被盗或滥用风险的重要第一步[4]。数据分类允许通过识别数据的敏感和保护程度，从而创建可扩展的安全解决方案。

2.2 数据屏蔽

利用数据屏蔽对数据进行脱敏，数据可用于软件测试、培训和其他不需要真实数据的目的。数据屏蔽的目标是保护数据，同时在需要时提供功能替代方案。数据屏蔽保留了数据类型，但更改了值的内容。数据屏蔽可以通过多种方式进行修改，包括加密、字符洗牌和字符或单词替换。

2.3 身份访问管理

身份和访问管理是一个业务流程、战略和技术框架，使组织能够管理数字身份。身份访问管理允许管理员控制用户对组织内敏感信息的访问。常用的技术包括单点登录系统、双重认证、多因素认证和特权访问管理等。这些技术能够安全地存储身份和配置文件数据，并支持治理，确保对基础设施的每个部分应用适当的访问策略。

2.4 数据加密

数据加密是一种将数据从可读格式（明文）转换为不可读编码格式（密文）的方法。只有在使用解密密钥解密加密数据后，才能读取或处理数据。在公钥加密技术中，无须共享解密密钥——发件人和收件人都有自己的密钥，这些密钥结合在一起执行加密操作。数据加密可以防止黑客访问敏感信息。

2.5 预防数据丢失

为了防止数据丢失，国产证券业信息系统可以使用一些保护措施，包括将数据备份到另一个位置。物理冗余可以帮助保护数据免受自然灾害、中断或本地服务器攻击。冗余可以在本地数据中心内执行，也可以通过将数据复制到远程站点或云环境来执行。

2.6 治理、风险和合规

治理在整个组织中建立控制和政策，以确保合规性和数据保护。风险涉及评估潜在的网络安全威胁，并确保组织为这些威胁做好准备。合规性确保在处理、访问和使用数据时符合监管和行业标准。

2.7 密码安全

数据安全最简单的最佳实践之一是确保用户拥有独特、强大的密码。如果没有中央管理和执行，许多用户将使用易于猜测的密码或对许多不同的服务使用相同的密码，黑客很容易在密码较弱的情况下破坏账户[5]。一个简单的措施是设置更长的密码，并要求用户经常更改密码。然而，这些措施是不够的，还应该考虑多因素身份验证解决方案，这些解决方案要求用户用他们拥有的令牌或设备或通过生物识别手段来识别自己。另一个补充解决方案是企业密码管理器，它以加密形式存储员工密码，减轻了为多个公司系统记住密码的负担，并使其更容易使用更强大的密码。

2.8 身份验证和授权

建立强大的身份验证方法，例如基于Web系统的OAuth。当任何用户（无论是内部还是外部）请求敏感或个人数据时，实施多重身份验证。明确的授权框架，以确保每个用户完全拥有执行功能或使用服务所需的访问权限。使用定期审查和自动化工具来清理权限并删除不再需要权限的用户的授权。

2.9 数据安全审计

国产证券业信息系统应该至少每隔几个月进行一次安全审计。通过第三方专家对系统进行审计，例如使用渗透测试模型。此外，也可以在内部进行安全审计。最重要的是，当审计暴露安全问题时，组织必须投入时间和资源来解决和补救这些问题。

2.10 防恶意软件、防病毒和端点保护

恶意软件是现代网络攻击最常见的载体，因此组织必须确保员工工作站、移动设备、服务器和云系统等端点得到适当的保护。基本措施是防病毒软件，但这不再足以应对无文件攻击和未知零日恶意软件等新威胁。国产证券业信息系统需要将防病毒软件与基于机器学习的设备上异常行为分析相结合，这有助于检测未知的攻击。平台还需提供端点检测和响应功能，帮助安全团队识别端点上的漏洞，对其进行调查。

2.11 零信任

零信任是Forrester分析师John Kindervag引入的安全模型，已被多个技术标准机构和许多世界上最大的技术公司采用。零信任的基本原则是，网络上的任何实体都不应被信任，无论它是在网络外还是内部。零信任特别关注数据安全，因为数据是攻击者感兴趣的主要资产。零信任架构旨在通过持续验证所有访问尝试并默认拒绝访问来保护数据免受内部和外部威胁。

3 结束语

本文总结了面向证券业的信息系统的安全与保护措施，此类措施旨在提高证券业信息化系统的安全性、稳定性、可靠性。本文首先总结了当前证券业国产化信息系统存在的问题，从两个主要方面体现了目前存在的主要安全问题。分别为信息系统本身存在的漏洞和人类自身存在的漏洞两个方面。信息系统本身漏洞方面，由于各类技术本身存在安全漏洞或者设计不规范等问题导致数据泄露，人类本身漏洞方面，由于人类本身的特点导致信息的泄露。针对上述问题，本文总结了相关了证券业安全与保护措施，包括数据发现和分类、数据屏蔽、身份管理认证、数据加密、预防数据丢失、治理、风险、合规、密码安全、身份验证和授权、数据安全审计、防恶意软件、防病毒、端点保护、零信任等方面，对于未来提升国产化证券业信息系统的安全与保护提供了一定的思路。