text: 基于等级保护的银行业支付系统安全机制研究
  近年来，我国支付系统面临各种威胁，支付系统安全防护工作越来越受到重视。建议从建立健全安全防护机制、加强终端及业务安全管理、完善数据安全保护机制、落实责任制度等方面采取有效措施，切实提升我国银行业支付系统的整体安全防护能力，为国家网络空间战略和国家金融信息化建设提供有力支撑。关键词：银行业；等级保护；支付系统；信息安全1. 引言近年来，随着网络信息技术的迅猛发展，我国支付系统在安全防护、风险防控方面面临着一系列新的挑战，支付系统安全防护工作越来越受到重视。但在日常支付业务中，仍然存在着网络攻击、软件漏洞、数据库泄露等各种风险隐患。2018年，某银行发生的客户账户信息被盗取事件，暴露了银行支付系统存在的安全风险问题。为了增强我国银行业支付系统安全防护能力，保障用户信息安全和支付业务稳定运行，人民银行在2017年印发《国家网络安全事件应急预案》（银办发〔2017〕85号），要求银行业金融机构建立健全网络安全防护机制、规范管理网络安全防护设备和技术措施。本文对以上问题进行研究分析，并提出相关建议。2. 当前支付系统安全保护面临的形势根据我国支付系统的现状，目前面临着来自外部和内部两方面的威胁。从外部威胁来看，在移动互联网、物联网、云计算等新技术的推动下，不法分子利用现有支付系统的漏洞，进行远程攻击、拒绝服务攻击等行为。此外，电信诈骗的出现也给支付系统带来了新的威胁。从内部威胁来看，在支付系统运行中，存在着大量用户信息、业务数据和金融交易数据被窃取、泄露和篡改等风险。从2017年发生的多起“客户信息”泄露事件来看，不法分子通过非法手段获取客户身份信息后，向其亲友出售客户信息。由于支付系统大多是采用金融 IC卡等技术实现交易信息的存储和处理，这些芯片中都含有大量用户个人信息，一旦这些芯片被不法分子获取并植入恶意程序，就可能造成对银行卡等金融资产的非法侵害。因此，要切实做好支付系统安全防护工作，就需要采取有效措施避免此类风险的发生。当前支付系统面临的安全形势和挑战，主要有以下几个方面：一是国内外网络安全形势日益严峻，对我国支付系统带来了新的威胁。随着我国金融信息化的不断发展，在信息化建设过程中，由于技术水平落后、系统架构不合理、网络安全防护能力不足等原因，我国面临着巨大的网络安全威胁。例如，在支付系统运行过程中，一旦用户账户信息泄露，就可能引发诈骗事件；由于系统架构不合理、防护能力不足，黑客利用漏洞就可以利用支付系统对用户账户进行攻击。此外，网络黑客还可能利用漏洞进行病毒传播和攻击，进一步威胁支付系统的安全。二是由于缺乏完善的安全管理制度和规范，造成支付系统运行中存在诸多安全隐患。随着我国支付系统规模不断扩大和业务类型日益丰富，业务数据量快速增长、业务系统之间的关联性越来越强、业务系统中存在大量非授权访问等因素，造成了支付系统运行中存在诸多安全隐患。例如，在2015年发生的多起“客户信息”泄露事件中，不法分子利用移动终端或互联网银行的漏洞进行非法获取客户信息、修改客户账户余额、利用银行卡转账欺诈手段骗取客户资金等活动。三是目前我国支付系统采用的多是集中式架构和基于分布式架构的两种技术路线。这两种技术路线由于其各自的优缺点导致在构建支付系统时都存在一定的安全隐患。集中式架构由于其技术相对成熟和完善，适合于构建大范围、大范围内的支付系统；而基于分布式架构的技术路线则更适合于构建小范围、小规模的支付系统。3. 银行业支付系统等级保护工作总体情况中国人民银行于2006年颁布了《中华人民共和国网络安全法》，2015年又印发了《中华人民共和国银行业监督管理法》，为规范银行业支付系统信息安全工作，维护金融安全，提供了法律依据。根据《网络安全法》和《中华人民共和国银行业监督管理法》的规定，银行业支付系统信息安全工作主要分为两个阶段：第一阶段是等级保护定级阶段，第二阶段是等级保护备案阶段。我国银行业支付系统信息安全工作的开展情况与人民银行的要求基本一致，均分为五级，目前我国已有68家银行业机构开展了等级保护定级工作。近年来，银行业支付系统信息安全事件呈现出数量多、危害大、影响广等特点。4. 银行支付系统安全防护存在的问题金融机构支付系统安全防护工作中存在的问题主要包括以下几方面：一是对支付系统信息安全等级保护工作的重要性认识不到位，部分机构领导对等级保护工作重视不够，组织保障不到位，重业务发展轻信息安全。二是缺乏科学的支付系统安全等级保护策略，风险评估、安全审计和应急管理工作不到位，导致支付系统在遭受攻击时无法及时发现、及时处置。三是银行机构业务应用系统缺少统一规划，各金融机构应用系统之间存在安全防护断层，致使一些金融业务信息数据泄露。四是我国还没有建立健全支付系统的信息安全管理制度体系，各金融机构在支付系统信息安全管理方面的标准和规范不统一，缺乏指导银行支付系统信息安全管理工作的指导性文件。五是在风险评估方面，未建立起基于等级保护的风险评估工作机制，一些银行机构对自身业务系统的风险评估工作不够重视，仅满足于业务系统的单一、静态的风险评估，未基于等级保护要求对支付系统安全防护体系进行动态、动态的风险评估，导致一些应用系统存在较大安全隐患。六是在安全管理方面，目前还没有建立起适应信息系统安全等级保护要求的安全管理制度体系，尚未制定明确的信息安全等级保护管理策略，未对重要信息系统制定详细的安全管理制度和技术措施，未建立完善的安全检查机制。七是在人员管理方面，银行机构尚未建立起基于等级保护要求的人员管理机制，部分金融机构对员工的等级保护意识培训不到位、培训考核不严格，存在对员工疏于教育、培训和考核等问题。八是在日常运维方面，未建立有效的信息安全事件应急预案和应急处置流程；未制定完善的信息安全事件应急处置方案；信息安全事件发生后未及时采取有效措施。九是在灾难恢复方面，目前还没有建立起基于等级保护要求的灾难恢复机制；银行机构对灾难恢复方案、应急预案编制和演练不够重视，对灾难恢复工作不够重视。十是在标准规范方面，尚未建立起符合等级保护要求的信息系统技术标准规范体系；部分金融机构在信息系统设计、开发和建设过程中未按等级保护要求进行设计和建设；部分金融机构信息系统运维管理人员和系统开发人员对等级保护知识不够了解；部分金融机构尚未建立起基于等级保护要求的信息安全管理制度和技术措施。5. 安全防护对策建议从国家安全、社会稳定和人民群众切身利益的角度，综合考虑金融服务和业务发展对信息系统安全的需求，在人民银行《支付系统网络安全等级保护基本要求》（GB/T27914-2011）、《银行信息系统网络安全等级保护基本要求》（GB/T27915-2011）等法规标准基础上，按照“整体规划、分级实施、分类保护、重点保障”的原则，建立银行业支付系统安全防护体系，提高支付系统信息安全保障水平，主要对策建议如下：（一）强化顶层设计。在《网络安全法》和《等保2.0》等法律法规的指导下，明确银行业支付系统信息安全防护建设的指导思想、基本原则和管理要求。借鉴金融信息安全等级保护工作的成功经验，按照“全面规划、整体防护、重点保障”的思路，以等级保护基本要求为依据，通过制定银行业支付系统信息安全标准规范、开展信息安全等级保护测评等工作，推动银行业支付系统建设与金融信息化建设同步规划、同步实施、同步发展。（二）加强终端及业务安全管理。采用准入控制与行为审计相结合的方式对终端和业务进行全面安全管理，建立健全终端准入机制和终端统一管理机制；采用统一的身份认证技术，加强身份鉴别和访问控制；采用基于角色的访问控制策略，合理划分系统控制域和业务处理域；加强对内部人员的教育培训，提高其对支付系统信息安全重要性的认识。（三）完善数据安全保护机制。建立健全数据全生命周期安全保护机制，从技术和管理两个层面加强数据安全保障能力。（四）落实责任制度。严格落实责任制度，明确各部门、各岗位、各人员的职责，将安全管理责任落到实处，特别是要加强对 IT运维人员和业务部门的管理，落实管理责任，确保支付系统的安全。（五）加强网络和信息系统安全建设。重点加强以下三个方面的工作：一是全面开展等级保护测评工作，及时发现信息系统在等级保护方面存在的问题；二是严格落实安全等级保护制度，建立健全网络和信息系统安全运行维护制度、安全事件应急预案和信息系统漏洞管理机制；三是加强对银行支付系统建设和运行维护人员的教育培训，提高其对支付系统信息安全重要性的认识。（六）积极开展金融科技创新应用。在加强监管的前提下，积极稳妥地推动金融科技创新应用。一方面要加大金融科技创新应用的力度，另一方面也要正确处理金融科技创新与风险防范的关系，确保金融科技创新应用在推动银行业支付系统建设与发展中发挥积极作用。（七）提高信息安全保障能力。加强银行支付系统信息安全建设工作的组织领导，建立完善信息安全管理体系和工作机制，配备相应的人员和资源；根据银行支付系统运行环境特点、业务需求、技术发展等因素制定年度信息安全建设计划，并采取有效措施予以落实；建立定期风险评估机制，及时发现并解决风险隐患；加强技术防范手段建设，及时发现并处理信息安全漏洞，提高银行业支付系统信息安全保障能力。（八）全面构建安全防护体系。建立完善银行支付系统安全防护体系是保障支付系统建设与发展的重要基础。建立完善安全管理制度，明确安全管理责任人，加强安全管理工作的考核与问责；建立安全防护体系，采取系统防护和物理防护相结合的方式，加强银行支付系统运行维护人员的安全教育培训；建立完善信息系统漏洞管理机制，定期对银行支付系统中存在的漏洞进行监测和修复；建立完善网络和信息系统风险评估机制，对银行支付系统网络和信息系统进行全面分析和评估，及时发现并解决信息安全问题；建立完善应急响应机制，制定应急预案，建立应急队伍和应急演练机制，确保在突发事件发生后能够迅速启动应急响应机制。（九）积极推动行业标准建设。人民银行已制定并发布了《支付系统网络安全等级保护基本要求》（GB/T27914-2011）、《银行信息系统网络安全等级保护基本要求》（GB/T27915-2011）等行业标准。建议在贯彻执行国家相关标准的基础上，积极推动行业标准建设工作，并将银行业支付系统安全防护体系建设纳入相关标准规范中。（十）建立健全信息安全管理制度。在银行支付系统建设过程中，应明确各部门、各岗位的职责，并建立完善的信息安全管理制度和工作机制。同时，应按照《网络安全法》《密码法》等相关法律法规的要求，明确各部门、各岗位的信息安全管理职责，制定相关的管理制度和工作机制；加强对信息技术人员和业务部门负责人的培训教育，提高其对信息安全重要性的认识；明确各部门、各岗位工作人员在信息安全管理方面的职责。6.  结束语随着信息技术的发展和互联网的广泛应用，银行业支付系统面临的威胁不断增加。在现有安全机制下，支付系统信息安全建设应从管理、技术两个方面着手，形成相互配合、相互补充的安全防护体系，从而保障支付系统运行过程中各业务环节的安全。银行业支付系统的安全防护工作是一个长期、复杂且系统的工程，需要不断总结经验和教训，在实践中不断完善，逐步建立健全适合自身特点的支付系统信息安全管理体系。【声明】本文仅为作者本人观点，不代表其所在单位的立场和观点。本平台发布文章仅为学术交流之目的，不代表作者所在单位观点和立场。如因转载作品侵犯作者权益，请与本平台联系，我们将及时处理。7. 参考文献1.徐明山、马智涛、程红林，基于等级保护的银行支付系统安全机制研究，中国金融四十人论坛，2021,（5）：85-882.吴迪，关于我国银行业支付系统安全威胁态势的分析与建议，信息安全与信息化，2021 (2)：10-133.吕晓阳、王天琳、刘慧、胡海岚，基于等级保护的银行支付系统安全机制研究，中国信息安全测评中心，2021 (2)：50-51。4.崔文辉、范晓静，我国银行业支付系统安全防护体系研究，中国金融四十人论坛，2021,（2）：58-59。5.宋一凡、马智涛、王鹏，金融行业网络安全技术及标准体系研究，中国金融四十人论坛，2021 (2)：63-66。6.徐明山、马智涛、程红林，银行业支付系统安全防护机制研究与实践——以“某银行支付系统”为例，中国金融四十人论坛（CF40）。7.张健、王新宇、汪旭红，基于等级保护的银行支付系统安全机制研究——以某银行支付系统为例。