關于銀行信息系統安全可控的思考
責編：rhliu ｜2014-12-01 15:08:18銀行信息系統安全可控是非常重要的，也一直是銀行信息工作人員努力的目標。銀行對IT的使用是最普遍、最深入的領域之一。而銀行業的服務又牽扯到全社會，所以銀行信息系統的安全和發展是大家都關心的問題。以下我從六個方面談一下自己看法：
第一、重視安全銀行信息系統30年,砥礪前行
銀行信息系統的安全需求，除了大家講的數據安全、網絡安全等信息安全以外，還有對整個信息系統安全性、可靠性以及服務及時性、持續性的考慮，其中“持續性”最大的特點就是每天24小時，一年365天都要提供服務，而且這種服務是可持續、可恢復的。銀行業在電子化、信息化的建設過程當中，一直都是同步建設信息安全系統。30多年來銀行信息系統沒有發生過顛覆性的安全故障，基本保障了整個銀行業信息系統的安全運行，保障了客戶帳戶的資金安全，也保障了業務的持續運行。銀行信息系統有力支持和引領了銀行業30多年的飛躍式發展，從而有力的支持了國民經濟30多年的大發展，這是對國家一個很大的貢獻。
在上世紀70年代，銀行基本上都是手工，用算盤，在座的很多人都沒有體驗過那種狀態。80年代以后，銀行系統進入了電子化時代，到本世紀以后叫信息化時代。從2005年開始，應該叫互聯網時代。銀行系統對于互聯網金融其實提得很早，從2000年以后銀行系統一直開展網上銀行業務。到2005年移動互聯網出現之后，銀行系統更加強調這個事情。隨著信息化的發展，銀行推出了很多金融創新的服務，從上世紀80年代、90年代，一直到現在，現在的網上銀行、移動銀行、手機銀行、私人銀行、金融超市、互聯網金融，還有很多“寶”。
有人說2014年是互聯網金融元年，其實，銀行互聯網在這個元年的前10年就開始了。這是一個發展過程，銀行用的設備同樣也是慢慢發展的，不是一蹴而就的。到目前為止，銀行信息系統中大型銀行核心業務組織系統的確都是國外品牌，銀行數據庫管理系統、中間件也都是國外品牌，這是一個事實，也是一個發展過程。
這個過程其實是非常艱苦、非常艱辛的，銀行信息系統投入大量人力和物力。現在大家享受到了方便的金融服務，比如支付寶、余額寶服務，其實都是建筑在幾十年來銀行信息化不斷積累的基礎上的，沒有銀行信息化系統，沒有強大的銀行支付系統和銀聯系統，就沒有我們現在所謂的支付寶、余額寶或者其他的各種支付寶。
第二、安全是相對的，永遠沒有絕對的安全
什么是安全？湯搏在《核電安全的基本問題》當中提到了三個方面，我比較認可。一是利益足夠大、代價可承受，則認可其是安全的，這是一個相對概念；二是安全是利益和代價的平衡，沒有一件事情只有利沒有弊；三是安全是可接受的風險。從整體上考慮，雖然講安全非常重要，但是也不能絕對化，絕對化是做不到的事。在目前來講，我覺得我們必須這樣認識：
一是正確處理開放和安全的關系。我們講安全提的口號比較多，但我覺得安全不等于閉關鎖國，并不是“關起門來”就安全了。也不等于我們拒絕使用國際的先進技術，現在是國際互聯網時代，拒絕肯定是不可以的。
二是正確處理安全和發展的關系。習主席9月30日國慶記者招待會上講到了八個堅持，其中一條堅持就是必須堅持抓好發展這一第一要務。所以我一直以來的觀點就是，以安全保障發展，安全不是我們的目標，應該是一個手段。發展才是我們的目標，以發展促進安全，不發展最不安全。30年前，我們沒有想到現在我們在國際上能有這么高的地位，是因為我們發展了，地位上去了。
此外，還有一種比較絕對的說法，“這個（功能）沒做好，那個（功能）沒做好…”，好像就不能再往下做了，我不同意這樣的主張，我們不能等到所有都“安全”了才發展。我們生活中處處都有風險，處處不安全，我們有食品安全、環境安全、交通安全、衛生醫療安全。我前兩天做飯的時候把手切了一個口子，這也是安全問題。但是我們必須生活，不能說這些問題沒有解決我們就不生活了。只不過要努力的將風險限制在相對可控的范圍內；而且，我覺得這個可控也是相對的，不能是絕對的。
第三、安全的需求是隨著發展而變化的。
有了發展，新的安全問題就出來了。目前銀行已經進入了互聯網時代，特別是移動互聯網時代，對于銀行信息系統有更多、更高、更新的需求。銀行從電子化、信息化到互聯網化，從用戶的界面來講，可以說從原來的算盤開始發展到鍵盤、鼠標，現在是觸摸屏、滑屏，這是銀行信息系統表現出來的過程。
未來的銀行，是倡導以綜合服務為中心的智慧型銀行，以服務為中心，以移動互聯網為主要渠道，強化客戶體驗，提供全能型服務的智慧銀行；銀行不再是一個地方，而是一種行為，一種服務。我們有很多安全的事情要研究，但是我們確實是邊發展邊研究，我們不是等到研究好了再去發展。我們銀行一直在改變，但有一條不能不變，那就是服務于國民經濟的發展，服務于民生的宗旨不變，其他的都可以變。
從安全方面來講，銀行信息系統有災難備份和恢復，有互聯網業務的安全，有信息安全管理體系的建設，當然還有一個IT治理的層面。從應用來說，銀行信息系統有大數據應用，有基于互聯網金融的應用，這是銀行信息系統目前的發展重點。但是這個框架不是推倒重來，而是在原來的基礎上再發展。
目前來說，銀行發展進入了新的時代，對于信息系統的安全可控提出了更高的要求。最近銀監會聯合工信部等四個部委下發【2014】39號文《關于應用安全可控信息技術，加強銀行業網絡安全和信息化建設的指導意見》，明確要求到2019年掌握銀行與信息化的核心技術和關鍵技術，實現銀行業關鍵網絡和核心設施的分布，使服務設施的集中度和風險得到有效緩解，因為關鍵設施和服務臺集中了，就是一個風險。安全可控的信息技術在銀行業總體要達到75%左右的使用率，這是銀監會和四部委的一個目標。
第四、安全可控需實事求是，積極穩妥的推進。
最近幾家銀行的科技部門領導都發表了他們如何開展安全可控工作的文章。例如，工商銀行科技部的總經理提出《構建“四位一體”的信息安全體系》；建設銀行提出《“產”、“用”戰略聯動，推進信息化自主可控進程》；廣東發展銀行提出《總體規劃，穩步實施，通力協作，推進信息技術自主可控》等。工行認為“四位一體”的信息安全體系包括組織體系、制度規范、技術手段和管理措施。安全可控絕不僅僅是技術問題，更大的可能是組織制度和管理問題。
從我個人的角度來講，基于銀行信息系統目前的情況和市場配套的能力，銀行業作為信息技術的應用部門，首先努力實現的應該是應用級的安全可控。有人說“芯片”不是我們自己的，“操作系統”也不是我們自己的，就覺得不安全可控。我覺得如果要改變這個狀態，那就不是銀行這個應用部門的事了，是我們整個國家的事。
但是在目前的基礎上，銀行信息系統需要努力做的首先就是應用系統要安全可控，我覺得這是我們最應該做的事，也是能夠做的事。銀行業不可能自己去搞一個芯片生產系統，也不可能去搞一個操作系統；操作系統很復雜，像國際上的大型公司自己都不敢將自己的操作系統推倒重來。
第五、去IOE不等于國產化
“去IOE”這個提法很敏感，我查了一下，好像是銀行并沒有提過。首先我覺得應該明確“去IOE”的含義，如果理解成去掉IBM、Oracle、EMC公司的所有產品和服務，進而去掉所有國外產品和服務，我覺得如果這樣的話不可能，也不能為之，這是我的觀點。如果是指去掉以IBM的Unix小型機、Oracle的數據庫管理系統、EMC的存儲系統為代表的、傳統的、封閉式數據處理技術機構，代之以Linux的X86服務器、內部數據處理系統和云存儲的開發式云架構，我覺得這個可以積極探討，這兩個是不一樣的概念。
我不提倡用“去”，我覺得這個詞也不太好，我建議以后用“遷移”或者是“重構”，這是從技術角度來講。從技術角度上看，不是非此即彼，應該選擇適合的業務和應用場景。從目前來看，銀行核心的賬戶系統對數據的一致性、客戶信息安全性和系統運行穩定性要求極高，這實際上也是我們政府和客戶對銀行的要求，不是銀行自己的要求，這個事情不要輕易的為之，要慢慢來。但是對于其他的，尤其是基于互聯網的創新業務，我覺得可以努力的用開放式的云架構來實現。但是這也是市場行為，不能用政治口號。而且，我認為“去IOE”也不等于國產化，這兩個不能劃等號。
第六、安全可控與國產化
毋庸置疑，我們必須支持國內產業，但是支持也必須遵循實事求是、循序漸進的原則，能做什么先做什么，能用什么先用什么。比如，中國建設銀行自主可控國產化的實踐，提的六個措施比較具體，也是可以落地的，這樣進行可能比較妥善。
建設銀行自主可控國產化六個措施是：
一是對于成熟的外圍硬件產品可以開展同等競爭。談到競爭，要市場行為。比如PC機，比如桌面的管理系統等等，要用平等競爭，不是不競爭；
二是對于已比較成熟的非核心軟件產品，要采取各種措施，積極推進國產化；
三是對于逐步成熟的國產核心硬件產品，要加快國產化替代的進度；
四是對于暫時沒有國產替代產品的門類，要通過架構調整或新技術應用，降低相關產品在整體架構中的使用比例；
五是對于國內缺少成熟商用產品的基礎軟件，需要銀行與產、研部門長期戰略合作，共同孵化；
六是在部分領域，試用開源技術產品作為國產化“缺口”的補充。
國產化跟安全可控是相關的，但是并不是等于的關系，說國產化就安全可控，我覺得這個不能劃等號。國產化本身也不是安全可控的全部，產學研用需要積極的配合，當然需要政府主導。最重要的是我們必須保障銀行業本身的安全可控，不要到最后銀行業本身安全都有問題了。我們必須保證銀行業務的持續運營和服務能力，這也是我們國家對銀行業的要求。銀行做到了安全可控，也是對企業發展的支持。正如習主席9月30日的講話，“我們要強調發展，發展才能自強，科學發展才能永續發展”。
上一篇：周鴻祎：互聯網要有“大安全”概念
下一篇：沈逸：沉著應對美國網絡安全新攻勢
