網路金融技術風險

出自 MBA智库百科(https://wiki.mbalib.com/)

　　網路金融技術風險是指金融業的安全程度受制於信息技術和相應的安全技術的發展狀況。

　　網路金融技術風險具有非行業性和外生性兩大特點。非行業性是指風險超出了傳統意義上的金融風險的概念，其產生不僅依賴於市場價格的波動、經濟增長的質量，而且依賴於軟、硬體配置和技術設備的可靠程度。風險的外生性是指金融部門對技術性風險的控制和管理能力，在很大程度上取決於其電腦安全技術的先進程度以及所選擇的開發商、供應商、咨詢或評估公司的水平，而不像傳統金融業務風險那樣，僅取決於金融部門自身的管理水平和內控能力。^[1]

　　網路金融業務技術風險一般來源於三個渠道：

　　(1)數據傳輸。一旦數據傳輸系統被攻破，就有可能造成用戶的銀行資料泄密，並由此威脅到用戶的資金安全。

　　(2)網路金融應用系統的設計。一旦其在安全設計上存在缺陷並被黑客利用，將直接危害到系統的安全性，造成嚴重損失。

　　(3)來自電腦病毒的攻擊。即由於網路防範不嚴，導致電腦病毒通過網路金融系統入侵到金融部門主機系統，從而造成數據丟失等嚴重後果。

　　信息安全涉及信息的保密性、完整性、可用性、可控性，綜合起來說，就是要保障電子信息的有效性。保密性就是對抗對手的被動攻擊，保證信息不泄漏給未經授權的人；完整性就是對抗對手的主動攻擊，防止信息未經授權而被篡改；可用性就是保證信息及信息系統確實為授權使用者所用；可控性就是對信息及信息系統實施安全監控。

　　開展網路金融業務，需要設計一套完整的安全機制。技術風險管理是由風險管理要素和技術環境構成的，風險管理要素包括安全政策、安全配置管理、事態安全監測和技術方案與結構，技術環境包括應用程式、數據管理、系統平臺、網路通信和物理設施。

　　該技術風險管理模型是由風險管理要素(安全政策、安全配置管理、事態安全監測和技術方案與結構)和技術環境(應用程式、數據管理、系統平臺、網路通信和物理設施)構成的4*5矩陣。該模型的具體內涵如下：底層是物理設備層，主要指支撐網路金融技術的建築、能源設施、環境控制設施以及其他輔助設施；第二層是網路層，主要是指網路通信硬體及軟體設施；第三層是系統平臺層，主要指由大型機、小型機、伺服器、台式電腦、攜帶型電腦、印表機等硬體和操作系統等通用軟體構成的操作系統平臺；第四層是數據管理層，主要指數據輸入、處理、存儲、輸出流程和資料庫管理軟體等；第五層是應用軟體層，主要指網路金融各種應用軟體程式。該模型自上而下展示網路金融系統的形成和實現過程，自下而上描述系統的支撐和服務過程。該模型的每一層都隱藏著風險因素，技術風險管理的職能就是識別並持續監控這些風險因素。

　　安全策略就是要求金融高級管理層對網路金融業務的技術性風險管理給予高度重視，並針對網路金融業務的特點，制訂出全面、綜合、重點突出的系統及信息安全規章制度和操作程式，再根據重要性、複雜性和敏感性等方面對整個系統進行分類、分層次的保護，以保證能集中精力管理關鍵部分。

　　物理設施安全是指有形的安全措施，這主要指對電腦系統、網路設備、密鑰等關鍵設備及信息的安全防衛措施。例如，電腦房要安裝電子門戶控制系統，關鍵場所要安裝監視器，關鍵設備之間要保證相互隔離，進入密鑰保管房間要有雙人控制等。

　　數據管理和網路通信安全是網路金融業務技術風險管理的核心部分。金融部門應適當地設計和配置不同的伺服器和防火牆，採用合適的加密技術，在保證網路金融業務平穩運行的基礎上，確保數據傳輸的真實性和保密性。伺服器包括網路伺服器、應用伺服器和資料庫伺服器。防火牆則包括外部防火牆和內部防火牆。為保證系統不受黑客侵入，金融部門應在網路伺服器和網際網路之間設置外部防火牆，在網路伺服器和資料庫伺服器或銀行內部電腦系統之問設置內部防火牆。加密技術主要包括密碼演算法和密鑰長度兩個方面的內容，通過採用合適長度的密鑰和密碼演算法，可以有效地防止系統傳輸的信息和系統存儲的信息被破譯，從而保證網上銀行業務信息的安全。

　　應用程式安全則主要涉及對交易客戶的身份的認證(CA)和對交易的確認，這是網路金融業務運作的關鍵環節。網路金融業務突破了傳統金融業務經營的概念，客戶不用到櫃臺就可以操作，業務人員和客戶之間也沒有面對面的接觸，這就要求金融部門必須有一套有效的系統確認客戶的資格，保證客戶和金融部門雙方無法否認已發生的交易。

　　系統平臺安全則主要指構成系統的軟、硬體本身的安全繫數，如軟、硬體的配置是否達到先進水平，是否符合安全標準；業務人員和管理人員的專業能力和管理能力是否達到風險控制和業務發展的要求等。例如，網路金融的主機系統應採用可持續運行技術，一旦出現故障，能啟動備份系統或不停機更換設備，以保證系統的不間斷運行，從而維護整個網路金融的正常運行。

　　事態安全檢查是網路金融業務風險控制的重要組成部分。這包括三個方面的內容：一是公認的社會評估機構對電腦系統的安全評估；二是金融管理層對電腦系統的安全測試；三是金融系統內部審計部門對網路金融業務及系統運作情況的檢查。