信用合作社網(wǎng)上銀行業(yè)務風險管理體系及規(guī)章制度(文件)
【正文】 維護，清理過期的和擠壓的數(shù)據(jù)或文件。網(wǎng)上銀行系統(tǒng)本身還需要從業(yè)務功能的角度來保證網(wǎng)上銀行業(yè)務的安全性。(5) 個人網(wǎng)銀、企業(yè)網(wǎng)銀都使用雙重身份認證，個人網(wǎng)銀使用靜態(tài)密碼+動態(tài)口令卡或靜態(tài)密碼+帶按鍵的Ukey；企業(yè)網(wǎng)銀全部使用靜態(tài)密碼+帶按鍵的Ukey。首次登錄強制修改密碼，提示密碼強度，對于密碼設置過于簡單的強制要求修改密碼。 會話管理（Session）網(wǎng)上銀行系統(tǒng)與應用服務器的會話管理結合，實現(xiàn)多種會話的建立和管理，讓不同的會話采用統(tǒng)一的管理機制。Session管理包括：Session建立，Session超時處理，Session清理。Session超時檢查是指為防止垃圾Session的在內(nèi)存中堆積而占用系統(tǒng)資源，系統(tǒng)通過后臺線程定時檢查超時Session，并將其從內(nèi)存中清除，從而釋放系統(tǒng)資源?！∮脩艚巧芾砭W(wǎng)上銀行系統(tǒng)對使用該系統(tǒng)的各子系統(tǒng)的不同類用戶進行統(tǒng)一的角色劃分。角色的劃分以及角色對應功能的分配都可以由系統(tǒng)管理員靈活定制。 用戶權限設置個人網(wǎng)銀子系統(tǒng)用戶需要設定單筆轉賬限額和每日轉賬限額，通過設定限額的方式來減小個人轉賬帶來的風險。(1) 指令提交人只有基本限額。(3) 對指令提交人還有日累計轉賬限額，提交人在當日內(nèi)提交的所有指令的金額的總和小于等于日累計轉賬限額，否則指令不能提交?！〗灰仔畔⒌姆来鄹臑榉乐菇灰仔畔⒈淮鄹?，網(wǎng)銀客戶端采用了兩個機制?！〗灰椎奶峤缓灻投嗉壟鷱蜋C制當有提交轉賬交易的操作員提交轉賬交易時，系統(tǒng)通過安全代理，要求用戶數(shù)字簽名，用戶輸入證書密碼后，安全代理對需要簽名的數(shù)據(jù)（服務器端指定）簽名后傳回服務器。 批量指令的簽名提交和多級批復機制與一般轉賬交易的處理流程類似，如果采用安全代理服務器，則需要用戶自己對批量文件通過所提供的批量簽名程序進行簽名。信用社可以通過客戶服務系統(tǒng)或統(tǒng)一消息發(fā)送平臺等渠道通知用戶?！∪罩緦徲嬀W(wǎng)上銀行系統(tǒng)具有完備的日志審計功能。內(nèi)部審計部門配備足夠的資源和具有專業(yè)能力的信息科技審計人員，具有適當?shù)氖跈嘣L問本銀行的記錄。建立健全Web服務器異常訪問監(jiān)控機制及滲透性攻擊檢測機制，通過對Web服務器訪問日志提取和分析，及時監(jiān)控端口掃描、暴力破解等可疑行為。（五）信息披露和客戶風險教育信用社依據(jù)有關法律法規(guī)的要求，發(fā)現(xiàn)風險立即采取防范措施，并通過網(wǎng)站或其他渠道規(guī)范和及時披露網(wǎng)上銀行風險狀況，有效維護存款人和其他客戶的合法權益，促進網(wǎng)上銀行安全、穩(wěn)健、高效運行。（七）持續(xù)改進風險是不斷變化的，要實現(xiàn)對風險的動態(tài)防范，內(nèi)部控制體系必須具有動態(tài)性和自我改進機制。第九條 本制度自下發(fā)之日起施行。信用社網(wǎng)上銀行通過內(nèi)部審核、內(nèi)部控制政策、內(nèi)部控制目標、內(nèi)部控制評結果、風險識別與評估結果和風險控制方案執(zhí)行情況的監(jiān)控、管理評審、各種內(nèi)部或外部檢查或?qū)徲嫽艘约皟?nèi)控相關數(shù)據(jù)的分析與記錄，糾正和預防措施等，不斷地對內(nèi)控體系的目標、政策、程序進行調(diào)整和完善，提高風險內(nèi)控體系的有效性、適宜性、合規(guī)性和充分性。（六）應急處理信用社網(wǎng)上銀行安全系統(tǒng)建立事故管理及處置機制，及時響應信息系統(tǒng)運行事故，逐級向相關的網(wǎng)上銀行管理人員報告事故的發(fā)生，并進行記錄、分析和跟蹤，直到完成徹底的處置和根本原因分析。由信息科技管理委員會或安全負責人負責監(jiān)督各項職責的落實，定期向來自高級管理層、科技中心和主要業(yè)務部門的代表組成的專門信息安全領導小組匯報網(wǎng)上銀行風險管理執(zhí)行的整體狀況。 由電子銀行部專門負責網(wǎng)上銀行的風險管理工作，負責協(xié)調(diào)制定有關網(wǎng)上銀行的風險管理策略，尤其是在涉及信息安全、業(yè)務連續(xù)性計劃和合規(guī)性風險等方面，為業(yè)務部門、內(nèi)部審計部門和科技中心提供建議及相關合規(guī)性信息，實施持續(xù)風險監(jiān)測，跟蹤整改意見的落實，監(jiān)控信息安全威脅和不合規(guī)事件的發(fā)生。這樣就方便日后的查詢、核對等各項工作?！≈Ц吨噶詈搜簩τ诿恳还P支付指令，系統(tǒng)都根據(jù)指令關鍵信息生成一個支付密碼串，供后臺系統(tǒng)核押，有效防止內(nèi)部人員偽造支付指令。 信用社內(nèi)部管理交易的授權對于信用社內(nèi)部管理交易中的關鍵交易，網(wǎng)上銀行系統(tǒng)提供兩種授權模式，一種是柜員提交時需要授權柜員輸入授權柜員號和授權密碼；另一種模式是柜員提交后，需要授權柜員登錄網(wǎng)上銀行內(nèi)部管理系統(tǒng)，對柜員提交的指令進行批復。企業(yè)網(wǎng)上銀行支持多人多級授權方式，可以適合不同企業(yè)不同的的財務授權制度。客戶提交的交易信息包括轉出帳號、轉入帳號、金額、幣種、同時提取相關信息生成確認碼，以上信息生成圖片，客戶檢查圖片內(nèi)容，輸入確認碼，完成交易信息確認。企業(yè)的用戶只有開通批量的權限，提交人才能提交批量指令，授權人才能對批量指令進行授權。只有指令在第一次被授權時，系統(tǒng)優(yōu)先判斷授權人的基本限額，其它情況下的授權，系統(tǒng)都只使用授權人的組合限額做處理。提交人有指令提交的權限，授權人沒有指令提交的權限，授權人可以對指令進行授權操作。系統(tǒng)用戶把交易請求發(fā)送到交易平臺后，首先進行session校驗，在校驗通過后即進入權限校驗的交易步驟。登錄網(wǎng)上銀行的用戶都有確定的角色，根據(jù)自己所屬角色得到權限范圍內(nèi)的網(wǎng)上銀行功能菜單。網(wǎng)上銀行交易請求發(fā)送到交易平臺時，在每個交易的配置定義中，第一個交易步驟必須是Session檢查交易步驟，來檢驗Session有效性?！ession超時處理Session超時處理包括兩部分：Session時間戳重置，Session超時檢查。同時實現(xiàn)會話的超時管理，有效防范避免黑客使用已經(jīng)失效的會話攻擊系統(tǒng)，同時防止垃圾會話數(shù)據(jù)占用內(nèi)存，影響系統(tǒng)性能甚至使系統(tǒng)無法工作。對于不使用證書登錄的應用系統(tǒng)登錄頁面，會產(chǎn)生圖形格式的隨機附加碼（該功能可由銀行選擇使用），用戶在輸入認證信息后，還需要輸入此附加碼方可登錄系統(tǒng)，防止用程序惡意破解密碼?！〉卿浛刂苽€人網(wǎng)銀客戶使用安全證書、登錄ID和登錄密碼進入個人網(wǎng)銀系統(tǒng)。(3) 涉及賬務的關鍵交易要求做數(shù)字簽名。 數(shù)據(jù)安全數(shù)據(jù)傳輸采用SSL安全通道包括保證數(shù)據(jù)傳輸過程中不被偵聽、不被篡改、插入等。（2）在系統(tǒng)實施中，通過啟用日志功能和安全審計功能，及時對系統(tǒng)進行安全審計，保證系統(tǒng)的安全性 應用安全（1）系統(tǒng)在數(shù)據(jù)傳輸、處理等過程中提供數(shù)據(jù)檢驗，核對功能和糾錯功能，以保證應用系統(tǒng)的正常運行。 硬件安全（1）本系統(tǒng)中配置的所有計算機系統(tǒng)均采用當前成熟的計算機安全方案，滿足C2級安全標準。（2）所有的HTTPS訪問由SSL安全網(wǎng)關認證客戶身份，并建立SSL安全通道，實現(xiàn)通訊安全。 IPS入侵防御（2）檢測來自信用社端的各類攻擊，自動阻斷惡意的通信。 防火墻 （1）只允許外部端口443（即）訪問WEB服務器
公司管理相關推薦
鄂ICP備17016276號-1