基层金融机构加强计算机管理的思考与建议_调研报告

随着我国金融电子化建设的快速发展，计算机在人民银行的应用范围越来越广，地位越来越重要，从会计、国库、发行、金融统计、信贷登记、外汇管理乃至工资、养老保险等业务都广泛应用了计算机管理。但是，计算机技术是一把“双刃剑”，在给金融业务带来巨大发展的同时，也同样带来巨大的风险，如计算机系统本身的不安全性（如网络缺乏安全保障、软件设计的不周全性、硬件的脆弱性、系统的开放性与安全性的矛盾），人为的攻击破坏（如病毒侵扰、黑客、计算机犯罪），以及安全管理制度的不完善等，都潜伏着很多安全隐患，严重时可导致系统瘫痪，进而影响基层金融机构的业务和声誉，造成巨大的经济损失和不良的社会影响。近年来，我们对计算机安全工作的重视已提升到前所未有的程度，计算机安全管理规范化水平有了很大的提高，但由于基层金融机构科技力量相对比较薄弱，计算机管理没有完全遵循信息系统安全管理规范，存在着不少安全隐患，主要表现在：
1、普遍存在着重应用、轻安全管理的现象。没有把计算机安全管理工作作为日常工作的重点。内控制度不建全或不能严格执行，很大程度上依赖于技术人员、业务操作人员的自律，安全管理制度滞后于业务发展，缺乏具体的先进安全设备和安全技术，缺乏智能化监督安全软件，计算机安全管理队伍力量薄弱。
2、科技人员严重不足，管理缺乏有效性。随着各项业务普遍使用计算机应用系统，科技工作任务越来越重，科技人员长期处在高度紧张的日常工作当中，很少有机会学习新知识、新业务，仅靠一名科技人员来专管计算机工作，行使科技管理职能，往往顾此失彼，工作无法有效开展。同时，科技人员又兼任计算机安全员，监督者与被监督者同为一人，所有工作也一手清，计算机安全管理无从谈起。
3、制度建设不到位，缺乏针对性。基层金融机构虽然也制定了计算机管理制度，但为了应付检查，互相抄袭的多，结合本单位、本部门、本应用系统制定的制度少，往往执行起来难，制度与管理工作脱节。
4、系统资料档案不全、管理不规范。存储资料的管理不到位，部分应用系统的用户使用权限未进行有效的管理，出现人员交接而不更换操作代码及口令的现象，同时由于基层人员少，岗位设置与人员产生矛盾，没有相互制约。个别重要业务应用系统有串岗、混岗现象，随时可能出现安全风险。
5、设备配备不完善。由于种种原因，基层金融机构的计算机设备档次较底，设备老化，大部分办公用机无备用电源，出现过因UPS掉电或停电后不能正常工作的情况，造成文件或数据丢失的现象。
6、计算机病毒防范意识差，措施不力。主要表现在：预防不力，管理混乱，没有建立一整套病毒预防措施及制度。病毒检测、诊断、杀除心有余而力不足，主要是查杀毒软件更新不及时、跟不上病毒发展的步伐。
面对金融电子化的快速发展和计算机网络犯罪的新情况，我们应充分认识面临的严峻挑战，把防范金融计算机犯罪作为基层金融机构履行职能、开展业务的重要安全保障。一方面要继续做好科技服务，不断提高服务水平；另一方面，对现有的技术设施、技术手段全面检查，切实提高计算机安全防范水平，全面防范科技设施引入的风险，构筑金融计算机安全“防护堤”。
1、提高认识，转变观念。从管理层到技术人员、业务人员都要高度认识计算机犯罪对基层金融机构信誉和资金危害性的认识，把防范计算机犯罪作为一项重要工作来抓，认真部署计算机安全防范工作，提高防范能力。组织业务人员转变观念，自觉加强计算机及网络知识的学习，不断提高自身素质，充分利用和发挥科技功能，强化内部管理，加大监管力度，确保金融业务安全、快速发展。
2、加强制度建设。基层行要建立健全计算机安全制度和操作规程，做到有章可循，操作规程应具有科学性、超前性、可操作性。要严格按制度和操作规程执行，做到有章必循。各业务部门制订相关的业务操作规范，对原来已有的制度，可以根据计算机安全管理要求进行修改后实施。建立、完善各种业务应用系统管理维护制度，如各种计算机操作规程、定期检查制度、密钥管理制度等。并坚持严格纪律、严格管理、严格分工的原则，做到重要业务应用系统的人员不准串岗、不准混岗。终端操作员离开终端必须退出登录画面，避免其它人员非法进入。专职计算机安全管理人员要具体负责计算机安全策略的实施，负责整个系统的安全维护、对整个系统授权、修改、特权、口令、违章报告、报警记录处理，负责日志审阅。对接入国际互联网的计算机，更应加强安全管理；要建立全方位的计算机病毒防护体系，以动态防护为主、静态杀毒为辅，在系统执行拷贝、运行、改名、创建、收发电子邮件等操作前，自动检测文件是否感染病毒，发现病毒自动消除或由用户选择处理。定期实施静态杀毒，对计算机和大量软盘进行杀毒处理。
3、加强人员管理，完善监督机制。计算机犯罪不一定具有很高明的计算机专业技术，但是能发现和利用计算机或监控系统中的一些弱点，因此人事管理是防范金融机构计算机犯罪的重要环节。要对计算机操作人员进行必要的审查、考核、教育和培训，建立和不断完善要害岗位人员管理制度，努力做好职工的政治思想和道德品质教育，教育员工努力树立正确的世界观人生观。在管理中要分工明确，严格规章制度，形成必要的监督制约机制，对科技人员、计算机机安全人员应采取适当的方式进行定期检查，对计算机安全员、科技人员、操作人员实行定期轮换制度。 同时，每台计算机的任何使用都需要有超级用户给予授权，以便能控制谁使用机器和机器的使用目的。
4、开展计算机安全检查，强化制度执行力度。在计算机安全管理领导小组的领导下，加强计算机日常管理和风险控制，查找计算机安全管理存在的漏洞，要定期不定期的对计算机房、电脑中心及其各种管理、业务计算机的安全工作进行检查。检查的内容包括：计算机房安全防护设施的状况、防火情况、人员出入情况；计算机密码、口令的保密状况；计算机软件、程序等电子文件和金融机构卡的保管、使用情况等。通过经常性安全检查，做到及时发现问题，及时进行整改，消除计算机安全隐患。
5、加强部门协调配合，联手防范计算机风险。计算机系统的安全涉及的面很宽，包括操作系统安全、数据库安全、网络安全、病毒防护、访问控制、鉴别等多方面因素，需依靠业务、科技、保卫、内审、监管等各部门密切配合，携手联动，齐抓共管才能作好。各部门间应明确各自的安全职责，加强信息交流和安全技术交流，制定科学的安全策略，采取有效措施和步骤，形成整体的防范力量，构建起强有力的银行计算机安全体系。