NSC2014中國金融CIO聯盟理事長陳天晴
責編：rhliu ｜2014-10-23 10:17:45關于銀行信息系統安全可控的思考
金融信息系統安全可控這個重要性不用多講，大家都知道，安全是非常重要的，也一直是我們努力的目標。作為金融來說，金融的安全當然是關系到整個全社會的問題，金融作為IT的使用是最普遍、最深入的領域之一。而它的服務又牽扯到我們全社會，包括在座的所有人，所以它的安全和發展都是大家關心的問題。我今天想從六個方面談一下自己的看法，不一定全面，不一定跟大家的理解一致，供大家交流和參考。
第一，安全是一個永恒的話題，其重要性怎么講都不過分。
剛才我們公安部的陸處長做了一個很好的開篇。這個重要性我不想多講了，現在講得更多了。但是我講金融的特點，銀行業信息系統的安全需求除了我們通常意義上大家講的數據安全、網絡安全等等信息安全以外，我們還有一個對于整個信息系統的安全性、可靠性以及服務的及時性、持續性的考慮，持續性最大的特點就是每天24小時，一年365天都要服務，而且這個服務是可持續、可恢復的，不能中間因為某些事件斷了以后就再也不可恢復了，這是一個很大的特點。所以我們銀行業在電子化、信息化的建設過程當中一直都是同步建設起信息安全系統。應該講，基本保障了整個銀行業信息系統的安全運行，保障了客戶帳戶的資金安全，也保障了業務的持續運行。30多年來我們沒有發生過顛覆性的安全故障，謝天謝地，其實我們有很多的環節，對付重大的天災人禍還不那么有把握，但是好在沒有發生重大的安全問題，所以我們謝天謝地。在這種情況下，我們有力的支持和引領了銀行業30多年的飛躍式發展。從而有力的支持了我們國民經濟30多年的大發展，這是對于我們國家很大的一個貢獻。
這個圖（PPT）描述了銀行信息化發展歷史。在上世紀70年代我們基本上都是手工的，用算盤的，可能很多人都沒有體驗過那種狀態了80年代以后我們進入了電子化時代，到本世紀以后我們叫信息化時代。從2005年開始，我們應該叫互聯網時代。我們互聯網其實提得很早，從2000年以后我們一直開展網絡互動。但是到2005年，移動互聯網的出現之后，我們更加強調這個事情。有人說2014年是互聯網金融元年，我們說在元年的前10年就開始了。我講這些是為了下面的鋪墊，其實是一個發展過程，我們用的設備也是慢慢發展的，也不是憑空掉下來的。到目前為止，我們中大型銀行核心業務的組織系統的確都是國外品牌，我們的數據庫管理系統、中間件也都是國外品牌，這是一個事實，這也是一個發展過程。
隨著信息化的發展，我們推出了很多金融創新的服務，這是上世紀80年代、90年代，一直到現在，現在我們講的是網上銀行、移動銀行、手機銀行、私人銀行、金融超市、互聯網金融，還有很多這個寶或者那個寶。其實是非常艱苦，非常艱辛的一個過程，投入了大量的人力和物力的過程。現在大家享受到了方便的金融服務，包括我們支付寶的服務，包括我們現在所謂的余額寶，其實都是建筑在幾十年來銀行信息化不斷羅列的過程中，沒有銀行的信息化系統、強大的支付系統和銀聯系統，就沒有我們現在所謂的支付寶、余額寶或者其他的各種支付，它是建立在這個基礎之上的。
這是我講的第一個問題，我們還是很重視安全的，但是需要有一個過程。
第二，安全是相對的，永遠沒有絕對的安全，我們不能把安全絕對化。
什么是安全？我前不久看到湯博在《核電安全的基本問題》當中到了三個方面，我是比較認同的。一是利益足夠大、代價可承受，則可認可其是安全的，這是一個相對概念；二是安全是利益和代價的平衡，沒有一件事情只有利沒有弊；三是安全是可接受的風險。
所以我們可以講，我們做安全的同事當然是非常強調安全，但是從整體上考慮，我們雖然講安全非常重要，但是也不能講絕對化，絕對化是做不到的事。在目前來講，我覺得我們必須這樣認識：
一是正確處理開放和安全的關系。
我們講安全提的口號比較多，我覺得安全不等于閉關鎖國，說關起門來就安全了。也不等于我們拒絕使用國際的先進技術，要知道我們現在是國際互聯網的時代，拒絕肯定是不可以的。
二是正確處理安全和發展的關系。
我非常高興的看到習主席9月30日國慶的記者招待會上講到了八個堅持，其中一條堅持就是必須堅持抓好發展這一第一要務，不知道大家注意到沒有。
所以我一直以來的觀點就是，以安全保障發展，安全不是我們的目的，應該是一個手段。發展是我們的目標，以發展促進安全。不發展最不安全。30年前我們沒有想到30年后我們在國際上能有這么高的地位，并不是其他的原因，是因為我們發展了，我們發展了，地位就上去了。我們還有一個比較絕對的話，說這個沒做好，那個沒做好，好像就不能再往下做了，我不同意這樣的主張，我們不能等到所謂安全了才發展。因為我們生活中處處都有風險，我們有食品安全、環境安全、交通安全、衛生醫療安全。我前兩天做飯的時候把手切了一個口子，這也是安全問題。但是我們必須生活，不能說這些問題沒有解決我們就不生活了。只不過要努力的將風險限制在相對可控的范圍內，我覺得這個可控也是相對的，不是絕對的。
第三，安全的需求是隨著發展而變化的。
跟前面幾條是一樣的道理，有了發展，新的安全問題就出來了。目前銀行已經進入了互聯網時代，特別是移動互聯網時代，對于銀行信息系統有更多、更高、更新的需求。我們的銀行從電子化、信息化到互聯網化，我們從用戶的界面來講，可以說從原來的算盤開始，銀行過去用的就是算盤，后來就是鍵盤，再后來就是鼠標，現在我們大家都用的是滑屏，這是在客戶來講表現出來的大概就是這么一個過程。
下一階段的銀行，我們講是以綜合服務為中心的智慧型銀行，以服務為中心，以移動互聯網為主要渠道，強化客戶體驗，提供全能型服務的智慧銀行。Kank3.0描繪了，“銀行不再是一個地方，而是一種行為”，我們有很多安全的事情要研究，但是我們真是邊發展，邊研究，我們不是等到研究好了再去發展，這個好像走不通。銀行只有一條不變，我覺得就是服務于國民經濟的發展，服務于民生的宗旨是不變的，其他的都在變。
PPT上顯示紅色的部分是我們重點的部分，從安全方面來講，我們有災難備份和恢復，有互聯網業務的安全，有信息安全管理體系的建設。當然我們還有一個IT治理的層次更高，從應用來說，我們有大數據應用，有基于互聯網金融的應用，這是我們目前的發展重點。但是這個框架不是打倒重來，只能在原來的基礎上再發展。
目前來說，銀行發展進入了新的時代，對于信息系統的安全可控提出了更高的要求。最近銀監會聯合工信部和四個部委一起發了文，【2014】39號文，題目是《關于應用安全可控信息技術，加強銀行業網絡安全和信息化建設的指導意見》，在這里面提出了很多要求，明確要求到2019年掌握銀行與信息化的核心技術和關鍵技術，實現銀行業關鍵網絡和核心設施的分布，使服務設施的集中度和風險得到有效緩解，關鍵設施和服務臺集中了，就是一個風險。安全可控的信息技術在銀行業總體要達到75%左右的使用率，這是銀監會和四部委的一個目標。
第四，安全可控需實事求是，積極穩妥的推進。
比如我們最近幾家銀行的科技部門領導都發表了他們如何開展安全可控工作的文章。如果大家比較感興趣，可以到網上查一查。例如，工商銀行科技部的總經理提的《構建“四位一體”的信息安全體系》；建設銀行提的《“產”、“用”戰略聯動，推進信息化自主可控制進程》；廣東發展銀行提的《總體規劃，穩步實施，通力協作，推進信息技術自主可控》等，大家可以查一查，找出你們需要的地方。舉一個例子，比如工行認為“四位一體”的信息安全體系包括組織體系、制度規范、技術手段和管理措施。安全可控絕不僅僅是技術問題，更大的可能是組織制度和管理問題。
從我個人的角度來講，基于我們目前的情況和我們配套的能力，我覺得銀行業作為信息技術的應用部門，它首先努力實現的應該是應用級的安全可控。比如人家說芯片不是我們自己的，操作系統也不是我們自己的，就覺得不安全可控。我覺得如果要改變這個狀態，那就不是銀行部門的事了，是我們整個國家的事。但是在目前的基礎上，要努力做的首先就是應用系統要安全可控，我覺得這是我們最應該做的事，也是能做的事。銀行業不可能自己去搞一個芯片生產系統，也不可能再去搞一個操作系統，當然操作系統很復雜，我們不是手機操作系統，像IBM那么大型的，他們自己都不敢推倒重來。
第五，關于去IOE。
這是很敏感的，今天來的安全廠商比較多，這一類的廠商不多。這個口號我查了一下，銀行沒有提過，我沒有查到這個口號。首先我覺得應該明確去IOE的含義，如果理解成去IBM、Oracle、EMC公司的所有產品和服務，進而去所有國外產品和服務，我覺得如果這樣的話不可能，也不能為之，這是我的觀點。如果是指去以IBM的Unix小型機、Oracle的數據庫管理系統、EMC的儲存系統為代表的傳統的封閉式數據處理技術機構，代之以Linux的X86PC服務器、內部數據處理系統和云存儲的開發式云架構，我覺得這個可以積極探討，這兩個是不一樣的概念。
我不提倡用“去”，我覺得這個詞也不太好，我建議以后用“遷移”或者是“重構”，這是從技術角度來講。從技術角度上看，不是非此即彼，應該選擇適合的業務和應用場景。從目前來看，銀行核心的帳戶系統對數據的一致性、客戶信息安全性和系統運行穩定性要求極高，這實際上也是我們政府和客戶對銀行的要求，不是銀行自己的要求。像交行的ATM系統停了10分鐘，大家都叫苦連天，所以這是客戶的要求。這個事情不要輕易的為之，要慢慢來。但是對于其他的，尤其是基于互聯網的創業業務，我覺得可以努力的用開放式的云架構來實現。但是最后也是市場行為，不能用政治口號。我覺得去IOE也不等于國產化，這兩個不能劃等號。
第六，安全可控與國產化。
首先毋庸置疑，我們必須支持國內產業，但是支持也必須遵循實事求是、循序漸進的原則，能做什么先做什么，能用什么先用什么。
在這里推薦一下建行自主可控國產化的實踐，不是說它已經做到了，而是它正在努力。分幾種情況：一是對于成熟的外圍硬件產品可以開展同等競爭。還是談到競爭，要市場行為。比如PC機，比如桌面的管理系統等等，他是用平等競爭，不是不競爭；二是對于已比較成熟的非核心軟件產品，要采取各種措施，積極推進國產化；三是對于逐步成熟的國產核心硬件產品，要加快國產化替代的進度；四是對于暫時沒有國產替代產品的門類，要通過架構調整或新技術應用，降低相關產品在整體架構中的使用比例；五是對于國內缺少成熟商用產品的基礎軟件，需要銀行與產、研部門長期戰略合作，共同孵化；六是在部分領域，試用開源技術產品作為國產化“缺口”的補充。我覺得建設銀行提的六個措施比較具體，也是可以落地的，這樣進行可能比較妥善。
國產化跟安全可控是相關的，但是并不是等于的關系，說國產化就安全可控，我覺得這個不能劃等號。國產化本身也不是安全可控的全部，產學研用需要積極的配合，當然政府是我們的領導。目前從我的感覺來說，我特別希望企業能夠更密切的貼近用戶，銀行很慎重，用一個東西非常慎重，要把你拿過來進行測試，小范圍試用，有很多的事要做他才敢用。如果企業聯系得不太緊密，他就很難做，這是我的看法。
最重要的是我們必須保障銀行業本身的安全可控，不要到最后銀行業本身安全都有問題了，可控不了了。要保證銀行業務的持續運營和服務能力，這也是我們國家對于銀行業的要求。銀行做到了安全可控，也是對企業發展的支持。如果銀行搞得很懸乎，我覺得這個企業的支持也就很難了。
可能今天的會議當中我歲數最大，我曾經在獨立自主、自力更生的環境下做國產機的系統軟件差不多20年，我又在開放的環境下做了差不多20年的銀行或者金融的信息化應用，我的體會是做事情不容易，成事更難。
最后我還是以習主席9月30日的講話作為我今天發言的總結，就是我們要強調發展，發展才能自強，科學發展才能永續發展，謝謝大家！
