1.2 银行业信息系统安全现状

伴随着银行信息系统互联网化和信息技术的日新月异，商业银行传统金融业务与新兴互联网技术正在经历深度的融合，这种融合是商业银行的金融模式创新和服务渠道转型的驱动力，同时也带来严峻的网络安全威胁。

纵观全球，从技术建设水平以及风险监管环境看，银行业的信息安全体系对比其他行业更为成熟和完善，表现在商业银行普遍具备网络防御、信息备份、灾难恢复和系统性能保障等基本的信息安全保障措施，同时商业银行接受的定期合规检查也是最严格的。然而，随着银行自身业务电子化依赖程度的加深以及金融服务趋于开放互联，全球银行业的网络安全威胁事件近年来不降反升，严重影响银行声誉，甚至影响社会稳定，打击公众对互联网金融的信心。金融领域的信息安全问题具有严峻性、持续性和衍生性，信息安全风险边界呈现出扩大化、分散化的趋势，主要表现在以下几点：

●从威胁模式看，商业银行面临多样化的网络攻击形式，APT（高级持续威胁）攻击增多。商业银行面临的最主要的网络安全威胁是资金窃取、数据泄露以及系统服务中断。

●从涉及地域看，信息安全风险正在威胁全球范围的商业银行。区别于实地“抢银行”的概念，在互联网金融时代，黑客已突破洲际地域界线，可以将任何区域的商业银行信息系统作为攻击目标，开展有组织的网络窃取和破坏活动，针对商业银行的网络攻击行为已成为全球性的普遍问题。

●从成本投入看，攻击成本和防御成本呈现严重不对称性。商业银行在安全设施、人才培养和技术研发方面的投入正逐年增加，但同时随着同类业务的泛化、攻击方法的简化和恶意工具的普及，网络攻击难度和成本正在降低，防御与攻击的成本反差，都增加了防御的难度。

●从外部因素看，网络安全与地缘政治、民族宗教等问题紧密相连，存在跨界震荡。当前，在国际政治、军事、宗教等领域发生的区域冲突和争端正越来越多地转嫁于网络空间，带有政治意图或意识形态的网络威胁大幅增加。

●从业务发展因素看，新兴业务应用的增长带来安全隐患。移动金融、网络理财、第三方支付、企业网络融资、直销银行等新应用的出现使得银行线上业务链条拉长，漏洞随之增多，不仅带来了技术安全问题，还表现出业务安全隐患，传统的信息安全风险评估方法已难以适应。

简而言之，银行业的安全状况呈下降趋势，传统安全工作偏于在系统建设完成之后展开，已经无法满足银行业的安全要求，必须将安全工作大幅前移，全面重视开发安全，真正实现系统全生命周期的安全，保障银行业务的稳健有序开展。