作者：中国人民银行大连市中心支行 徐虹 于丽华
作为国家关键基础设施，金融机构核心业务系统,存储了大量公民个人信息和敏感信息，一旦遭受攻击，将严重危害国家安全、国民经济、人民生活和社会公共利益。当前，网络安全威胁日益加剧，关键基础设施屡遭攻击，数据泄漏事件时有发生。传统观点认为，将内联网和互联网物理性隔离是最安全的，但为了保持与客户交流的便利性和友好性，近年来互联网终端大量介入整个金融服务体系。虽然金融机构在网络设施、信息系统管理方面不断加强等级保护，但互联网终端存在并积累的隐患逐渐成为了金融机构信息安全事件频发的一个新区域。互联网终端行为管理亟待加强。
加强终端行为管理日益重要
习近平总书记一再强调网络安全的重要性，它关系到国家安全，关系到经济社会的稳定运行，关系到广大人民群众的切身利益。2017年6月1日正式实施的《网络安全法》为网络安全提供了法律依据，对企业组织网络安全提出了强制性要求。网络安全不再局限于遵从性，而是对结果负责。近年来，金融机构以符合信息安全等级保护要求为标准，构建信息安全体系，采取多种技术手段增强安全防范能力，在保障互联网应用系统安全方面，投入了大量人力、物力、财力。比如在互联网区边界部署了IPS入侵检测系统、负载均衡设备和多层异构防火墙，来抵御非法入侵。比如部署应用防火墙WAF对应用系统的网络的数据流量进行监测，防止入侵者的蓄意破坏和篡改。比如在每条互联网公网链路部署防DDOS攻击专业设备，有效防御从互联网对应用系统发起的DDOS攻击。还比如新增日志分析设备，专门用于分析IPS、WAF设备的告警日志，大幅度的提高了互联网应用系统的安全性。这些措施的实施，切实保障了网络和信息系统稳定、安全、高效运行。
但随着新的网络技术的飞速发展和应用的发展，在做好如上数据设备和系统管理方面工作基础上，对数据信息的交互行为保护逐渐成为网络安全的主战场。2018年11月30日，公安部网络安全保障局发布了《互联网个人信息安全保护指南（征求意见稿）》，对如何从行为端规范个人信息数据的采集、使用作出了更为详细和具体的规范。其所释放的重要信号就是做好数据信息保护，不仅仅要做好互联网应用系统安全保障，更要注重互联网终端行为，应有效加强互联网终端行为的安全性管理。
互联网终端行为管理面临三大困境
随着移动支付、5G的发展，大数据时代以新的增速进入到我们的生活。大数据时代也是数据和隐私保护最为脆弱的时代，而作为大数据应用的前端，必然离不开互联网终端的行为管理。目前金融机构互联网网站的IP地址使用情况已在公安系统进行备案、管理、监控，但是互联网终端的行为管理仍存在着很多隐患。之所以产生这些隐患，与互联网终端管理的困难密不可分，总结起来，互联网终端管理面临着如下三方面问题。
1.互联网上网行为管理费用高、投入大
为了营造良好的服务环境，部分金融机构营业网点为消费者提供免费的WIFI上网服务，使得外来人员和内部职工使用互联网进行违法犯罪行为大大增加。但是，应对这些行为管理需要部署统一身份认证系统、具备防病毒等功能的防火墙、上网行为管理、日志管理系统等，并建立一支具备专业技术能力的管理队伍负责日常运维管理，而这些投入需要一定的资金、人力、物力，费用高、投入巨大。
2.互联网接入形式多样化、点位分散
随着互联网应用的普及和发展，互联网接入的形式也越来越多样化。比如互联网终端类型，台式机、笔记本电脑、iPad、智能手机等等，形式多样。另一方面，接入的地点也无处不在，企业场所、家庭居所，接入方式也有百兆光纤、3G、4G以及无处不在的WiFi等多种情况,在未来几年，通讯网络将会是以往形式与5G并存的时代，互联网终端行为管理的环境将会越来越复杂。
3.信息泄露路径多，主观故意行为防不胜防
目前可知的泄露信息的途径主要有以下几种：终端中植入木马；黑客的网络钓鱼WiFi或自己的WiFi被诈骗；移动电话云服务帐户被盗(由弱密码或碰撞库或服务提供商漏洞等原因引起)；移动电话云服务帐户被盗；具有隐私权的应用程序供应商服务器被黑客控制；网络钓鱼网站被通过伪基站短信和其他导致重要账户密码泄漏的手段访问；恶意黑客通过攻击便携式设备电池来控制设备；黑客监控GSM标准网络的SMS等等。因为这些渠道的存在，若主观故意行为是谋取私利，则必然会不断突破技术控制，挑战防守阵线的软硬件实力。
抓住三大环节强化互联网终端行为管理
尽管网终端行为管理存在众多难点，但在现代经济迈向互联网、物联网的大潮中，必须要面对这些难点突破技术和管理的瓶颈，创造良好的互联网环境以满足人们日益增长的对美好生活的需求。笔者认为，做好互联网终端管理，要抓住三个重要环节。
1.以提升全员思想意识为前提
强化网络安全制度建设与落实,关键在人、关键靠人。多项调研表明，内部人员的疏忽大意或刻意剽窃，是造成重要数据外泄的主要原因。因而，加强思想强化，落实《网络安全法》增强法制观念，提高全员的网络安全意识，通过落实网络安全责任增强违规成本，是全面落实安全生产责任制的前提。
在此基础上，使得全员自觉掌握知识和技能，养成良好工作习惯。如确保密码安全，谨防密码被盗；勿上非法网站;安装正版的防病毒软件，并及时升级；安装具有漏洞修复功能的软件，定期修补漏洞；不接收来自QQ、MSN可疑文件等等。让网络安全防范和自我保护意识成为防止互联网违规行为的第一道屏障。
2.采取技术措施是重要基础
大数据源头来自内部网络，要加强技术和管制措施以确保数据的可用性、完整性和机密性。通过制定敏感数据保护标准，部署文档安全管理等系统,综合应用访问控制、身份认证、数据脱敏、打印文件水印等技术手段，降低数据面临的泄露、窃取、非授权使用等安全风险。通过对接入网络的计算机终端设备进行准入控制管理，安装防病毒软件并定期更新病毒库，建立统一的防病毒策略等方式，阻断外部入侵的路径。通过改变传统数据中心建设的思路，比如采用超融合技术，把数据计算、网络通讯、数据存储和安全资源等分离开来，增强数据链层和获取难度。
在另一方面，加强数据提供者和使用者的制度性分离。比如，由技术人员在数据分析平台后台数据库中进行手工查询，并将结果交付需求部门人员。在部分金融机构，一种“数据交付平台”正在研发并投入使用。其原理为，为协助开展客户营销，业务部门需要大量的个性化数据需求。本着“将处理结果加密统一存放于信息科技部设置的数据交付平台上进行交互”的原则，将数据需求者和数据提取者进行了分离，增强了数据流动中的保密性与安全性。数据交付平台汇总了数据对外统一输出接口，在数据工单处理后通过统一接口对外进行输出，也减少了后续沟通成本。目前，该类平台已经能够做到通过增加用户权限设置，提升了数据使用安全性；通过数据结果的缓冲数据库，方便搜索、查看，提升使用便利性；通过默认数据结果的时间设定，到期自动清理，增强数据使用的严肃性。
3.落实管理制度是关键
为了实现真正安全的网络环境，金融机构需要“内外兼修”，内部和外部的行为管理，缺一不可。加强内部管理，加强内部行为的技术监测与审计，规范员工上网行为，是弥补外部攻击造成损失的一项重要补充。目前，互联网行为管理产品已经在实践中得到应用和检验，其通过要素跟踪与设定，实现对员工互联网行为的全面、灵活的策略设置，使得防范从被动响应转变为主动预警。此类系统可以实现上网用户的身份认证，以屏蔽员工对非法网站的访问；通过电子邮件、即时通讯、论坛发布的内容监控和审核，阻止非法信息的浏览和发布；通过管理系统日志审计分析系统，对泄露信息行为进行追溯；通过应用层带宽管理功能，有效地防止、限制P2P等严重消耗带宽的应用。
未来的世界将是数据的世界，数据已经成为企业竞争乃至国家竞争的重要资源。科技的发展日新月异，防守与进攻永远是一个博弈的话题。需要清醒的认识到，数据安全技术是后发科技，其本身不能100％保护信息，数据安全技术需要不断的在漏洞产生的基础上进行增强。但有一点无法改变，那就是“人”始终是信息安全最重要的因素，不论是分散使用的笔记本电脑还是各种手机，使用者的自觉、自律，以及技能,才是有效保证终端数据安全的最关键所在。因而，即便互联网终端的变数亦步亦趋复杂多变，只要内外兼修，抓住行为管理，很多风险都能够得到最大程度的遏制。
本文节选自《金融电子化》2019年06月刊
声明：本文来自金融电子化，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
