第2章 金融信息风险

第2章金融信息风险•主要内容2.1金融信息风险概念2.2风险分类2.3风险的模型2.4风险识别2.5风险的评估2.6风险的处置•金融信息风险–威胁利用我们的漏洞，引起一些事故，对我们的资产造成一些不良影响的可能性。•资产–对组织具有价值的信息或资源，安全策略保护的对象。•资产价值–资产重要程度或敏感程度表征；–资产的属重要性；–进行资产识别的主要依据和内容。2.1金融信息风险概述•信息资产–有形资产：人、场地、计算机硬件、软件、文档、网络通信设备、各种银行终端设备（如ATM、POS、电话、手机）–无形财产：系统数据、声誉、友好关系、员工的生产力和IT服务等。•信息资产重要性–给定环境中对它们所支持系统能力的价值和临界值的意义（斧头对鲁班的重要性以及鲁班失去斧子可能造成的影响），需要考虑财务成本，更需要考虑系统对组织业务发展的重要性。–评判重要性借助成本效益分析（学习过财务管理就应该有这样的思维，就像生物学家看人与化学家看人不一样，这就是“专业目光”）•成本：获取、开发、维护和保护该资产所需投入。•效益：该资产对所有者、用户和竞争对手所具有的价值。•风险：该资产不可用或丧失情况下所造成的损失。2.2风险分类•金融信息安全可能的威胁•威胁：可能导致资产对象出现安全问题的活动或者能力，可能造成对我们的系统、组织和财富的不良影响。•威胁可以通过–作用形式–动机–来源•等多种属性来描述。安全学家Shirey将威胁按动机分为四大类：1.泄露（破坏系统的机密性）：对信息的非授权访问。途径是一个非授权方系统进行攻击，破坏保密性。非授权方可以是一个人、一个程序、一台微机。攻击手段:搭线窃听、文件或程序的不正当拷贝。2.破坏(破坏系统的可用性)：中断或妨碍正常操作。这包括机具、硬盘等硬件的毁坏、通信线路的切断、文件管理系统的瘫痪等。3.篡夺：对系统某些部分非授权控制。在篡夺攻击中，一个非授权方不仅介入系统而且在系统中进行非法操作，如改变数据文件，改变程序使之不能正确执行，修改信件内容等。4.欺骗：接受虚假数据，一个非授权方将伪造的“客体”植入系统中，如在网络中插入假信件，或者在文件中追加记录等。威胁威胁按来源划分•环境因素（天灾）–断电、灰尘、静电自然灾害……(有不可抗拒因素)•人为因素（人“祸”）–心怀恶意者：心怀不满者内贼、觊觎财富的外鬼，二者沆瀣一气……–无心之过者：责任心不强、工作马虎、有章不循、有法不依……脆弱性•脆弱性是系统（对象）的一种固有属性–蛇有“七寸”–人有“软肋”•使用信用卡可以透支消费，给用户带来了方便，但同时也给银行带来了恶意透支的问题。•以磁条卡为卡基作支付工具，无论是传统的卡交易或是在互联网上交易（不使用数字证书），持卡人的卡号和PIN都极易被人盗窃。可透支和易复制性就是信用卡业务的弱点。•“脆弱性”没有被“威胁”所利用就不会产生危害（谦谦君子不会攻击别人）•导致脆弱性的原因：1.信息安全策略本身存在漏洞2.信息安全策略没有得到很好的贯彻执行，尤其是缺乏相应的技术保障措施。脆弱性分类技术脆弱性物理环境从机房场地、机房防火、机房供配电、机房防静电、机房接地与防雷、电磁防护、通信线路的保护、机房区域防护、机房设备管理等方面进行识别网络结构从网络结构设计、边界保护、外部访问控制策略、内部访问控制策略、网络设备安全配置等方面进行以别系统软件从补丁安装、物理保护、用户账号、口令策略、资源共享、事件审计、访问控制、新系统配置（初始化）、注册表加固、网络安全、系统管理等方面进行以别数据库从补丁安装、鉴别机制、口令机制、访问控制、网络为服务设置、备份恢复机制、审计机制等方面进行识别中间件从协议安全、交易完整性、数据完整性等方面进行识别应用系统从审计机制、审计存储、访问控制策略、数据完整性\通信、鉴别机制、密码保护等方面进行识别管理脆弱性技术管理从物理和环境安全、通信与操作管理、访问控制、系统开发与维护、业务连续性等方面进行识别组织管理从安全策略、组织安全、资产分类与控制、人员安全符合性等方面进行识别•金融信息风险：–人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。–金融信息风险涵盖了规划、研发、建设、运行、维护、监控及退出与信息技术相关的产品、服务、传递渠道、系统等时，所产生或引发的银行经营的不确定性或对银行管理的不利因素。2.3金融信息风险模型•模型：实际对象或情境或系统的反映–形象模型–数学模型–实体关系模型•描述系统的因果关系或相互关系的过程称之为建模。2.2金融信息风险模型火金水木土•用以描述（说明）金融信息系统风险、威胁、脆弱性、价值等等…….各要素以及要素间关系的图、表、表达式等称之为金融信息系统风险模型。2.4金融信息风险之识别Neumann列举了9种计算机系统安全问题的来源：1.需求定义的错误或者遗漏（智者千虑必有一失）；2.系统设计的错误；3.硬件的错误，如跳线或者芯片的缺陷；4.软件实现错误，如编程或者编译的错误、缓冲区溢出5.系统使用、操作的错误和不经意的失误；6.系统滥用；7.系统硬件和通信部件的失常；8.环境因素的影响，包括自然原因和非自然原因；9.系统的升级、更新以及停止运转。金融信息系统风险事件种类：1.灾难事件致使业务中断：关键资源不可控（电力电信）、自然灾害、应用系统、数据库系统缺陷、新系统上线……1.内部欺诈:内部欺诈是指有机构内部人员参与的诈骗、盗用资产、违犯法律以及公司的规章制度的行为，如内部人员虚报头寸、内部人员偷盗、在职员的账户上进行内部交易等。–手段：内部职员超越自己权限访问本来无权访问的资源，非法修改信息，破坏信息的完整性从而使系统的安全性降低或信息不可用，或泄露秘密信息。–原因：组织内部岗位职责划分不清，会计主管、会计人员相互兼岗，业务经办与会计账务处理合一，不实行重要岗位定期轮换制度，导致双重控制执行不力，监督制约机制不能有效发挥作用，极易引发内部欺诈行为的产生。–造成的损失：调查显示，内部欺诈无论在数目还是金额上都是最重要的一种损失事件类型，而外部欺诈则排在第二位。（还是那句话：堡垒最容易从内部攻破）•外部欺诈：第三方的诈骗、盗用资产、违反法律的行为，包括通过密码破译、安装后门、嗅探、伪造和欺骗、关闭审计、拒绝服务等手段入侵和攻击系统，或者通过物理的接触造成对软件、硬件、数据的破坏。•实施者：外部恶意人员，包括黑客、商业间谍、破坏者等，所采取的攻击手段已达数百种。•手段与工具：攻击工具的完善与攻击方法自动化程度的提高，业余攻击者也能够完成复杂的攻击过程。•攻击的类型：1.信息机密性的攻击方法主要有信息拦截技术、监听技术、重定向（改道Re-direction）技术、信息推理技术、电子邮件病毒传输技术。2.针对完整性的攻击方法主要有身份认证攻击技术、会话劫持技术、程序异常输入技术等。3.针对可用性的攻击方法主要有拒绝服务攻击技术、分布式拒绝服务攻击技术等，它们常用的手段是消耗网络带宽、消耗内存、磁盘空间和CPU资源等。–执行交割、交易过程管理的风险–系统业务复杂或者有了变化，而软件设计没有跟上，程序设计流程不合理或不完全，导致出现逻辑错误（执行错误），造成错误的账户数据，给安全带来隐患。新系统经常很快就崩溃，同样的小错误在一个又一个应用软件上重复发生。除了会出现故障之外，很多系统还不能很好地工作。以下是几个这方面的例子：–恶意透支：用户在输入取款金额时，可能会利用系统的漏洞恶意透支。曾经发生过这样一个案例，国内一客户在ATM（自动柜员机）上取款时发现ATM软件的漏洞（取100元账户只被扣1元），于是拼命取款十多万后潜逃。–业务违规：例如，有时单位卡现金销户时，不按规定划往基本账户，由此造成银行的政策性风险。–隐匿和挤占资金：在手工联行系统下，银行内部异地经办行之间资金的代收代付引起款项横向清算，由于清算不能及时完成，在联行清算中存在隐匿和挤占资金的可能。–交易失败：以资金清算系统为例，由于采用严格的“无透支规则”流动风险防范措施，要能够完成系统内借款的自动处理，否则会使交易无法进行。–系统混乱：计算机硬件、操作系统、网络系统、应用程序、数据库及嵌入式系统等广泛采用两位十进制数而不是四位十进制数表示年份，导致计算机“千年虫”金融交易中的风险点•金融产品交易前、中、后的各个环节，自始至终存在风险(风险无处不在)–操作员和客户身份冒用–交易数据输入错误–管理失误–不完备的法律文件–未经批准访问客户账户–越权进行大额操作–合作伙伴的不当操作以及卖方纠纷等。开始交易数据输入交易数据传输、存储、处理身份认证业务授权交易处理日终处理结束要求：输入数据完整、正确真实、有效数据传输要保证数据完整性、机密性。传输中账户密码、验证码是攻击者最感兴趣的内容ATM、电子银行身份认证失败或攻击身份可带来较大风险，犯罪分子常常利用ATM欺骗得手本环节系统应自动检查账户的合法性，不允许状态不正常的账户交易完整性、时效性和非否认性是风险点：授权后进入交易处理，断电中断破会完整性；金融业务要求实时性（股票交易、银行转账以及ATM）检查账据、账款、帐表、内外帐的平衡，以及交易记录的永久化处理，检查是发现问题、控制风险的重要手段从一般金融业务流程看风险风险分布描述•在一个金融信息系统中，硬件失失效概率可以统计测量（可以用平均无故障时间指标），软件中的bug数量也可以使用不同的技术跟踪（alpha，beta测试、统计等）。对于操作错误等安全事件发生的概率，需要基于已有的处理经验，根据处理任务的复杂度、员工的掌握程度、资产价值、所面临的威胁等估计可能产生的概率。•弄清风险分布以及概率对于评估风险的基础！损失分布描述工具•损失概率进行分析，典型情况是假设损失发生的概率服从泊松分布，例如，网点被攻击的次数、智能卡不合格品出现的次数、数字通信中传输数字中发生的误码个数等都是随机变量，它们相当近似地服从泊松分布。特点：–当时间间隔取得极短时，只能有0个或1个失效发生。–出现一次失效的概率大小与时间间隔大小成正比，而与从哪个时刻开始算起无关。–各段时间出现失效与否，是相互独立的。•依据上述假设对损失程度进行分析时，可将损失看作由多个不同层面的损失累积而成，即损失程度可以看作是许多很小独立因子的乘积，损失程度这一变量可以看作是符合对数正态分布规律的。即损失符合exp（X）分布（对数正态分布）其中X为正态分布的随机变量马尔可夫过程模型•由于风险过程常常伴随一定的随机过程，而在随机过程理论中的一种重要模型就是马可夫过程模型：•一个系统有N个状态又，S1，S2…，Sn。，随着时间的推移，该系统从某一状态转移到另一状态。如果在特定情况下，系统在时间t的状态q只与其在时间t-1的状态qt-1相关，则该系统构成一个离散的一阶马尔可夫链。其数学描述为:马尔可夫模型可视为随机有限状态自动机，该有限状态自动机的每一个状态转换过程都有一个相应的概率，称为转移概率，该概率表示自动机采用这一状态转换的可能性：2.5风险的评估•定性评估•分级测量•定量评估2.5风险的评估•定性评估–凭借评估者的知识、经验和直觉，或者业界的标准和实践，为风险的各个要素定级。定性评估通常通过调查表和合作研讨会的组合形式进行风险分析，涉及来自组织内各个部门的人员，例如信息安全专家、信息技术经理和员工、企业资产所有者和用户以及高级经理。2.5金融股信息系统风险的评估•风险评估（RiskAssessment）的定义：–金融信息系统风险事件发生后，对企业资产财产造成的影响和损失进行量化评估的工作。•风险评估6大要素：–客体（对象）–主体（评估者）–内容（评估什么）–数据（依据）–方法（？）–报告（结果）•评估主体（风险评估的要素之一）–第三方的领域专家，包括金融领域的业务专家、信息技术领域的专家……•评估客体–金融企业的金融信息系统•风险评估的内容：–风险本身的界定。风险发生的可能性；风险强度；风险持续时间；风险发生的区域及关键风险点。–风险作用方式的界定。风险对企业的影响是直接的还是间接的；是否会引发其他的相关风险；风险对企业