年金管理的信息安全思考

2009年08月25日14:38  来源:和讯网 作者:王一飞
 字号:

  信息安全是与信息化相生相伴的产物,现代社会里任何行业、任何用户都离不开它,企业年金的管理也不例外。IT是年金运营管理的基础,信息安全也是年金管理风险控制的基础性工作——如果数据安全没有保障、系统不能连续运转,严重时这些问题会导致大门洞开或者服务中断,那么其他工作就都谈不上了。

  信息安全是近年全社会关注的热点,但针对企业年金这一新兴行业信息安全的专题讨论却很少见,笔者希望通过年金管理信息安全特点、方法、实施的讨论,对这一年金管理中的基础工作进行梳理分析。

  特点探寻

  有的读者会问,信息安全不是一种很通用的技术么,为什么要针对年金行业专题研究呢?BS7799已经上升为ISO标准,拿来直接遵照不就可以了么?其实不然,世界上没有两片相同的树叶,信息安全在不同领域应用也会各有特点,不进行个性化研究,不可能达到最佳的管控效果。

  且不说电信、电力等外行业,即使在金融行业内的安全管理也会因行业细分产生差异。比如,银行业的信息安全特色工作是确保网上安全交易,线上交易中的安全漏洞会直接带来客户资产的损失;证券业的信息安全特色工作是确保网上服务连续性,客户在同一时段上互联网集中操作时,不能出现拒绝服务现象;保险业的信息安全特色工作是确保客户资料的保密,保险公司系统内的客户资料是非常真实和全面的,丢失的危害会很大。以上三大金融行业还可以继续细分,继续挖掘特点。

  所以,把脉企业年金信息安全的特点非常重要,笔者试着总结了如下三点:(1)对客户资料保密性要求很高。企业年金管理的是企业员工的补充养老金,自然具有隐私性。(2)不同资格管理人安全压力不同。四种资格的年金机构,有的同时面对企业客户和个人客户,有的只面对企业客户,有的只面对企业年金管理人,安全保障难度不同(3)数据交互安全与短板效应。因为同一委托人的资料,可能要涉及多个资格的管理人,其间数据交互的安全保障就值得关注,同时,客户资料的保障程度就低不就高——任一管理人出现疏失,都会降低整体保障程度。

  需要注意的是,在年金管理信息安全中关注个性化,并非一定是要多花钱、多建设,特点的挖掘同样能让我们知道哪方面安全建设可以缓行。信息安全建设中,价格最贵、功能最全面的安全设备,并不一定是最适合你的设备。

  方法探究

  选择信息安全的方法,需要结合企业年金机构自身的特点。数十家年金经营机构来自银行、证券、保险三大行业,有着金融行业一向重视安全的良好传统和扎实基础,同时三个行业的监管部门下发过各自的信息安全管理规定,加之不同企业发展程度的不同,又让各个企业间存在信息安全管理的差异。所以,企业年金信息安全的最佳方略是充分发挥金融行业现有优势,遵守各机构所属监管机构的规定规范,同时稳步实施企业级信息安全策略。

  关于年金机构的企业级信息安全策略,笔者建议以“动态三元安全论”作为核心思路。动态三元安全论在“三分技术,七分管理”的传统二元安全思想中加入了审计因素,认为技术、管理和审计在信息安全建设中同等重要,从数学逻辑考虑,把安全技术的作用视作效用累加(加法),把安全管理的作用视作效用倍乘(乘法),把安全审计的作用视为倍乘不大于1的系数(乘百分数)。

  如果形象地与家用空调类比,我们可以视安全目标为空调调定的温度,让安全工作效果对应实际室温,安全管理是空调芯片里的程序,安全技术是释放冷热气的电机和压缩机,信息资产是室内接受温控的空气,安全审计是温度检测器,外来威胁则是外部热量干扰。图1将空调和动态三元安全论的类比归纳到一个动力学闭环反馈模型中。

年金管理的信息安全思考

图1

  实施探讨

年金管理的信息安全思考

图2

  有了好“空调”,在年金管理中如何使用更是一门艺术。笔者将安全工作的效果曲线绘制如图2,红色阶跃函数是安全目标,黑色飞升曲线是安全工作效果。在企业年金安全管理的建设期,安全从零做起,快速追赶目标,且增速渐慢;在运维期,效果曲线较稳定,安全审计不断监测,安全管理和安全技术对信息资产适度发挥作用。

  在年金管理的实际应用中,笔者建议按以下步骤操作“安全热空调”:

  (1)为年金管理工作明确信息安全目标。

  (2)全面分析年金管理的信息资产,对受控对象进行摸底式的风险评估。

  (3)根据信息资产特质并考虑外部威胁,设计管理策略,选择技术,定立审计制度。

  (4)进行动态运作,不断度量与消减安全现状与安全目标的偏差。

  (5)以风险评估等手段不断审计监测内外各类变化,积极应变。

  另外,企业年金作为新兴业务,其信息安全管理中还应该特别贯穿“安全靠打造”和“安全建设三分治、七分养”的思想,在图2中的安全建设期把工作做充分,减少运维期不必要的投入,以期取得最佳的效果。

  以上是笔者对年金管理信息安全的一些讨论,希望能够起到抛砖引玉的作用。

  (和讯网首发)


  【独家稿件声明】凡注明 “和讯网”来源之作品(文字、图片、图表), 未经和讯网授权,任何媒体和个人不得全部或者部分转载。如需转载,请与 13552934248 联系;经许可后转载务必请注明出处,并添加源链接,违者本网将依法追究责任。

  【免责声明】本文仅代表作者本人观点,与和讯网无关。和讯网站对文中陈述、观点判断保持中立,不对所包含内容的准确性、可靠性或完整性提供任何明示或暗示的保证。请读者仅作参考,并请自行承担全部责任。

推广
热点
推荐
自动登录
用户名: 密码:

正在验证用户信息...
理财产品
感谢您的参与!
查看[本文全部评论]