电子支付与网络银行第六章

电子支付与网络银行中国人民大学财政金融学院周虹第六章电子支付体系安全策略第一节信息安全概述一、信息安全含义保密性完整性可用性可控性不可否认性二、金融信息安全现状及发展趋势随着国际互联网络的迅速发展和信息网络技术应用层次的不断深入，应用领域开始从传统的、小型业务系统逐渐向大型的、关键业务系统扩展。与此同时，计算机犯罪数量呈现持续上升的趋势，信息网络的安全问题已成为信息社会的严重问题。网络犯罪不仅数量急剧增多，而且日趋复杂。其主要形式有：通过互联网络未经许可地进入他人的计算机设施，破解他人的密码，使用他人的计算机资源；通过网络向他人计算机系统散布计算机病毒；进行间谍活动，窃取、篡改或者删除国家机密信息；进行商业间谍活动，窃取、篡改或者删除企事业单位存储的商业秘密和计算机程序；非法转移资金；盗窃银行中他人存款，进行各种金融犯罪等。（一）国外金融业信息安全现状1.美国1998年5月，美国政府颁发了《保护美国关键基础设施》总统令，同时围绕信息保障成立了多个组织，其中包括全国信息保障委员会、全国信息保障同盟、关键基础设施保障办公室、首席信息官委员会、联邦计算机事件响应能动组等10多个全国性机构。同年，美国国家安全局(NSA)制定了《信息保障技术框架》，提出了“深度防御策略”，确定了包括网络与基础设施防御、区域边界防御、计算环境防御和支撑性基础设施的深度防御目标。针对未来的信息安全问题，美国于2002年9月18日和20日先后发布了《保护网络空间的国家战略》（草案）和《美国国家安全战略》。在新的国家安全战略中，明确将信息安全与国土安全作为国家安全有机结合的组成部分，明确把银行与金融部门列为国家关键基础设施组成部分，并制定了一整套安全措施，强调各部门合作、产品认证、成立金融信息共享与分析中心，形成了“准备与防范”、“检测与响应”、“重建与恢复”的安全保护战略框架。2.俄罗斯俄罗斯于1995年颁布了《联邦信息、信息化和信息保护法》，为提供高效益、高质量的信息保障创造了条件，明确界定了信息资源开放和保密的范畴，提出了保护信息的法律责任。2000年9月发布了《俄罗斯联邦信息安全学说》，明确了联邦信息安全建设的目的、任务、原则和主要内容，第一次明确指出了俄罗斯在信息领域的利益是什么、受到的威胁是什么以及为确保信息安全首先要采取的措施等。它指出国家安全依赖于信息安全的保障，保障信息安全必须从法律、技术组织及经济等方面采取措施。3.欧共体欧共体委员会2001年提交了《网络与信息安全——欧洲政策措施建议》，指出网络与信息安全应该保障所提供服务的可用性、真实性、完整性、不可否认性和保密性，必须抵御外来事件和恶意破坏。4.亚太地区日本已经制定了国家信息通信技术发展战略，强调“信息安全保障是日本综合安全保障体系的核心”，并出台了《21世纪信息通信构想》和《信息通信产业技术战略》。除了《电讯事业法》、《规范互联网服务商责任法》、《规范电子邮件法》等专项互联网管理法令，具体界定相关违法行为、网站的责任和义务外，日本还通过《刑法》、《著作权法》、《打击毒品犯罪法》等，明确规定“违法信息”包括侵权诽谤、毒品交易、诈骗、色情淫秽等。1995年韩国颁布《电信事业法》，提出对“危险通信信息”进行监管。2001年，再次颁布《互联网内容过滤法令》，确立信息过滤的合法性。近年来又陆续制定了《促进信息化基本法》、《信息通信基本保护法》、《促进信息通信网络使用及保护信息法》等法律，管理互联网信息。新西兰2003年通过了《电讯（截收）法》，规定警察为开展调查可以通过技术手段进入个人电脑，可对电子邮件进行过滤审查。警方根据案件调查需要，可以对单位或个人计算机信息进行调查。根据情报部门或警方要求，电信公司、网络服务商应向其提供相关用户的网络地址、登录名及密码、个人身份等信息。如拒绝提供，将被追究刑事责任。（二）我国金融业信息安全现状信息安全是信息化建设成败的关键，我国金融业对信息安全工作给予高度的重视，多年来，伴随着我国银行信息化建设，做了大量细致的、卓有成效的工作，一直贯彻从组织体系、制度体系和技术体系三个方面入手，逐步建立金融信息安全保障体系的方针。从总体、宏观的角度看，我国银行计算机网络与信息系统基本上是安全的，在现有条件下基本能够满足支撑银行业务职能、保持平稳运行的要求。（三）金融信息安全发展趋势目前金融信息安全的主要威胁有：（1）人为失误。（2）欺诈行为。（3）内部人员破坏行为。（4）物理资源服务丧失。（5）黑客攻击。（6）商业信息泄密。（7）病毒（恶意程序）侵袭。（8）程序系统自身的缺陷。三、信息安全评估标准1.可信计算机系统评估标准可信计算机系统评估标准（TrustedComputerSystemEvaluationCriteria，TCSEC）是美国国防部1985年公布的，目的是为安全产品的测评提供准则和方法，指导信息安全产品的制造和应用。其评估标准主要是基于系统安全策略（policy）的制定、系统使用状态的可审计性（accountability）以及对安全策略的准确解释和实施的可靠性（assurance）等方面的要求。但其仅适用于单机系统，而完全忽略了计算机联网工作时会发生的情况。2.ISO/IEC15408评估标准随着互联网技术的发展，人们对信息安全概念的进一步深化。为适应信息安全的需要，美国、加拿大、欧洲等共同发起并公布了ISO/IEC15408标准，即通用评估标准（commoncriteria，CC），它从评估目标的实现过程角度描述了信息安全概念。CommonCriteriaProjectSponsoringOrganizations.CommonCriteriaforInformationSecurityEvaluation.Version2.1.ISO/IEC15408，Aug.1999.ISO/IEC15408评估标准将安全要求区分为功能要求和保证要求，所选用的安全功能对安全目标实现的保证体现在实现的正确性和有效性两方面。其中在安全功能的定义方面，该标准提供了从常用安全应用领域中抽象出来的功能类，并对安全保证要求提供了分级化的评估等级标准。3.ISO/IEC17799评估标准ISO/IEC17799，即《信息安全管理操作规则》于2000年12月出版，作为通用的一个信息安全管理指南，其目的并不是告诉人们有关“怎么做”的细节，它所阐述的主题是安全策略和优秀的、具有普遍意义的安全操作。该标准特别声明，它是“制定一个机构自己的标准时的出发点”，并不是说它所包含的所有方针和控制策略都是放之四海而皆准的，也不是其他未列出的就不再要求。ISO/IEC17799不是一篇技术性的信息安全操作手册，它讨论的主题很广泛。但是，它对每一项内容都没有深入讨论。所以，ISO/IEC17799没有提供关于任何安全主题的确定或专门的材料。ISO/IEC17799也没提供足够的信息以帮助一个机构进行深入的信息安全检查，它离认证项目也很远。但是，作为对各类信息安全主题的高级别概述，ISO/IEC17799显然是非常有用的，它有助于人们在高级管理中理解每一类信息安全主题的基础性问题。要符合ISO/IEC17799或其他真正的安全标准，都不是一件简单的事情。需要说明，目前已经有几个国家指出，ISO/IEC17799的某些部分与其国家法律存在着冲突，尤其是在隐私领域。4.其他安全评估标准①ISO国际标准②美国标准局标准ANSI③美国政府标准FIPS④Internet标准和RFC⑤RSA公司标准PKCS上述的信息安全评估标准是从不同角度描述的。关于ISO/IEC17799与ISO/IEC15408的关系，可以简单地说它们之间没有任何紧密联系，它们没有相同或类似的主题。ISO/IEC15408旨在支持产品（最终是指已经在系统中安装了的产品，虽然目前指的是一般产品）中信息安全特征的技术性评估。ISO/IEC15408标准还有一个重要作用，即它可以用于描述用户对安全性的技术需求。ISO/IEC17799则不同，它不是一篇技术标准，而是管理标准。它处理的是对信息系统中非技术内容的检查，这些内容与人员、流程、物理安全以及一般意义上的安全管理相关。一般说来，经过ISO/IEC15408评估的信息安全产品有助于确保一个机构安全项目的成功，这些安全产品的使用能够极大地减少机构所面临的安全风险。四、信息安全的内涵依据上面所阐述的信息安全评估标准，信息安全的完整内涵包括以下几个方面：1.物理安全（physicalsecurity）2.电磁安全（electromagneticsecurity）3.网络安全（networksecurity）4.数据安全（datasecurity）5.系统安全（systemsecurity）6.操作安全（operationsecurity）7.人员安全（personnelsecurity）由于信息技术安全是多样化的，必须通过一定的安全职责分配将整体的安全防范任务逐级落实到每一个操作人员的每一个日常操作过程，通过管理手段强制其实施，并对各级人员针对其安全责任进行相应的安全教育和操作培训。五、信息系统安全等级1.TCSEC安全等级2.我国信息系统安全保护等级划分标准我国于1999年9月13日发布了《计算机信息系统安全保护等级划分准则》（GB178591999），该标准规定了计算机系统安全保护能力的五个等级。（1）第一级：用户自主保护级。（2）第二级：系统审计保护级。（3）第三级：安全标记保护级。（4）第四级：结构化保护级。（5）第五级：访问验证保护级。第二节用信息安全工程理论规范信息安全建设信息安全工程是采用工程的概念、原理、技术和方法，来研究、开发、实施和维护企业级信息与网络系统安全的过程。信息安全工程学具有五大特性，即安全性、过程性、动态性、层次性和相对性。（1）全面性。（2）过程性或生命周期性。（3）动态性。（4）层次性。（5）相对性。一、安全风险分析与评估电子支付信息安全具有系统性，动态性、层次性和过程性。1.目标和原则风险分析的目标是：了解网络的系统结构和管理水平，及可能存在的安全隐患；了解网络所提供的服务及可能存在的安全问题;了解各应用系统与网络层的接口及其相应的安全问题;网络攻击和电子欺骗的检测、模拟及预防；分析信息网络系统对网络的安全需求，找出目前的安全策略和实际需求的差距，为保护信息网络系统的安全提供科学依据。多层面、多角度的原则2.对象和范围1、系统基本情况分析2、系统基本安全状况调查3、系统安全组织、策略分析4、相关安全技术和措施以及安全隐患分析5、系统访问控制和加密体系分析6、系统的抗攻击能力与数据传输的安全性分析：7、动态安全管理状况分析8、灾难备份以及危机管理安排状况分析风险分析的内容范围(1)网络基本情况分析：(2)信息系统基本安全状况调查(3)信息系统安全组织、政策情况分析(4)网络安全技术措施使用情况分析(5)防火墙布控及外联业务安全状况分析(6)动态安全管理状况分析(7)链路、数据及应用加密情况分析(8)网络系统访问控制状况分析(9)白盒测试3.方法与手段风险分析可以使用以下方式实现：问卷调查、访谈、文档审查、黑盒测试、操作系统的漏洞检查和分析、网络服务的安全漏洞和隐患的检查和分析、抗攻击测试、综合审计报告等。风险分析的过程可以分为以下四步：(1)确定要保护的资产及价值(2)分析信息资产之间的相互依赖性(3)确定存在的风险和威胁(4)分析可能的入侵者4.结果与结论为了便于对风险分析的结果进行评审，结果能够量化的尽可能地量化，不能量化的作出形式化描述。如果某个设备的价格、存在的漏洞缺陷的数量等是可以量化的，就必须给出量化后的结果;而像某些系统应用的安全级别就不好量化，就应根据相关的评估标准来确定它的安全级别（如A级、B级或C级），这样得出的分析结果就是大量的表格数据，这些数据就是以后各项工作的依据，应妥善地保存。如何根据分析的数据结果得出最终的评估结论也是一项重要的工作，需要安全专家进行总结。对结果进行分析时一定要有所比较，将所得到的结果