【文章內(nèi)容簡介】 ，并不能僅僅簡單地修改某一個地方，而是要全面考慮數(shù)據(jù)的相關(guān)性。綜合業(yè)務(wù)系統(tǒng)和信貸系統(tǒng)都是非常龐大的系統(tǒng)，內(nèi)部數(shù)據(jù)關(guān)系非常復雜，分戶帳、代款登記溥、表內(nèi)表外欠息登記簿、總帳、明細帳都必須銜接起來，而且綜合業(yè)務(wù)系統(tǒng)和信貸系統(tǒng)是聯(lián)網(wǎng)聯(lián)動的，綜合業(yè)務(wù)系統(tǒng)中的相關(guān)數(shù)據(jù)也必須與信貸系統(tǒng)相一致。因此數(shù)據(jù)修改起來非常復雜。為了控制風險，數(shù)據(jù)修改省中心都只有在晚上中心批處理完成以后才能進行，這是時候一般都是凌晨23點鐘了，而且必須雙人操作。為了避免頻繁進入數(shù)據(jù)庫修改數(shù)據(jù)，省中心規(guī)定每個月安排三次集中修改數(shù)據(jù)，省中心規(guī)定每個月安排三次集中修改數(shù)據(jù)，分別是118和25號晚上。這樣一來，對于有些數(shù)據(jù)修改數(shù)據(jù)，就可能沒有那么及時，懇請大家矛以理解和支持。因為系統(tǒng)安全運行是省中心首要的目標。沒有安全運行，發(fā)展就是一句空話。所以這也給省中心提出了更高的要求。為了保障系統(tǒng)安全、持續(xù)、穩(wěn)定運行，目前省中心正在北京建設(shè)導地應(yīng)用級災(zāi)備系統(tǒng)，今年年底前就可以上線投入運行。系統(tǒng)投產(chǎn)后，省中心的災(zāi)難風險應(yīng)對能力將會有一個質(zhì)的提升。即使現(xiàn)在的生產(chǎn)中心遭遇重大火災(zāi)、地震等破壞性災(zāi)難，位于北京的應(yīng)用災(zāi)備系統(tǒng)也能很快接管業(yè)務(wù)系統(tǒng)，保證全省農(nóng)村信用社業(yè)務(wù)的連續(xù)正常運行。三是人力資源方面的壓力。目前，省聯(lián)社網(wǎng)絡(luò)中心共28人。據(jù)我們了解，其他省級聯(lián)社（農(nóng)商行）科技部門人員配臵情況，江蘇155人，安徽100人以上，上海200多人，連西部省份云南都有80多人，與其他省聯(lián)社相比我省人員明顯偏少，與省內(nèi)同行相比，長沙銀行只有100多個網(wǎng)點，僅開發(fā)人員就有21人，總?cè)藬?shù)90多人。而我們近年來業(yè)務(wù)發(fā)展迅猛，在2006年的時候，我省各類業(yè)務(wù)系統(tǒng)數(shù)量只有7個，目前已增加到28個，待開發(fā)的系統(tǒng)近30個，每個人都要承但幾個項目的開發(fā)和維護。我們網(wǎng)絡(luò)中心的科技人員都是經(jīng)常加班加點，通宵達旦是家常便飯，就連我們省聯(lián)社的陳主任也經(jīng)常和我們一起鏖戰(zhàn)通宵。特別是運行人員成年累月一年365天每天晚上通宵值班，沒有周末，沒有節(jié)假日，因為人手不夠，連公休假都沒辦法休，開發(fā)與運維人力資源壓力很大。由于要面臨這種種壓力和困難，有時，省中心對基層的一些信息化需求難以及時研究開發(fā)，項目啟動后也還需要一個開發(fā)測試的過程，在時間上難以滿足基層要求，有時，業(yè)務(wù)部門對各地提出的業(yè)務(wù)需求的差異性難以兼顧，省中心根據(jù)業(yè)務(wù)部門提供的需求進行開發(fā)的系統(tǒng)可能難以上每一個行社都滿意，所有這些都要請在座的各位多多理解和支持，同時省中心也將竭盡全力，努力做好我們的技術(shù)支持保障工作。我之所以在這里花較多的時間講這些與今天案防主題看似不太相關(guān)的內(nèi)容。是因為這些內(nèi)容其實與計算機案防工作密切聯(lián)系在一起。我們只有對我省農(nóng)村信用 社信息系統(tǒng)的架構(gòu)和相關(guān)的內(nèi)容作一個深入的了解，才能準確地找準它們的風險點，突出計算機案防的重點，有針對性地防范計算機案件。二、農(nóng)村信用社計算機案防工作計算機案防工作，要避免幾種模糊認識，一是計算機案件離我們很過遠，二是計算機案件不可控，三是計算機案件防范是科技部門的事。a)計算機案防及其目標說到計算機案防，我認為首先有必要厘清一個概念，這是概念明確了，我們才能抓住重點，抓住主要矛盾。什么是計算機案件？我感覺現(xiàn)在我們有一種認識，就是只要在計算機上發(fā)生的案件就通通認為是計算機案件。我覺得這不太合理。比如說，某個柜員在正常上班時在綜合業(yè)務(wù)系統(tǒng)中用1202無折存現(xiàn)交易向某個賬戶虛存了一筆現(xiàn)金，或者用6302轉(zhuǎn)帳交易從某個單位情況，我認為就是一件普通的內(nèi)控案件，毫無技術(shù)性可言，因此不能把它當做計算機案件。關(guān)于金融計算機犯罪，2000年1月，人民銀行在《關(guān)于加強銀行計算機安全防范金融計算機犯罪若干問題的決定》中表述：金融計算機犯罪主要表現(xiàn)在兩方面，一是非法侵入、破壞銀行網(wǎng)絡(luò)和信息系統(tǒng)；二是利用計算機實施金融詐騙、盜竊、貪污、挪用公款犯罪，應(yīng)當是運用計算機信息技術(shù)手段所實施的犯罪，應(yīng)排除那些經(jīng)授權(quán)合法進入計算機業(yè)務(wù)處理系統(tǒng)操作界面進行常 規(guī)的操作所實施的經(jīng)濟犯罪，因為此類犯罪既不針對計算機信息系統(tǒng)，也毫無技術(shù)含量可言，與普通的經(jīng)濟犯罪并無質(zhì)的區(qū)別，因此，某些柜臺操作人員盜取客戶存款、虛存實取盜竊銀行資金等案件就不宜列入計算機案件范疇。厘清了計算機案件的概念以后，我們就可以明確計算機案防工作的主要目標和工作重點。《金融機構(gòu)計算機信息系統(tǒng)安全保護工作暫行規(guī)定》第三條明確了金融機構(gòu)計算機信息系統(tǒng)安全保護工作的基本任務(wù)，即預(yù)防、打擊利用或者針對金融機構(gòu)計算機信息系統(tǒng)進行的違法犯罪活動，預(yù)防、處理各種安全事故，提高金融機構(gòu)計算機信息系統(tǒng)的整體安全水平，保障國家、集體和個人財產(chǎn)的安全。結(jié)合農(nóng)村信用社的實際，我認為，我省農(nóng)村信用社計算機案防工作的主要目標和任務(wù)，即是提高計算機信息系統(tǒng)的安全水平，保障計算機及其相關(guān)的和配套的設(shè)備、設(shè)施（含網(wǎng)絡(luò)）和運行環(huán)境不受非法侵害和破壞，保障計算機信息系統(tǒng)不被非法侵入，保障農(nóng)村信用社計算機信息系統(tǒng)中的各種程序和數(shù)據(jù)等信息不被非法竊取、修改和破壞，保障信用社和客戶的帳務(wù)信息和資金安全。b)計算機案防形勢上世紀九十年代以來，我國的金融電子化取得了巨大成就，但金融計算機安全工作卻不容樂觀，實際運行中暴露出不少的問題，金融行業(yè)成為計算機犯罪的首要目標。根據(jù)權(quán)威部門2008 年的統(tǒng)計，我國自1986年7月深圳蛇口某銀行機構(gòu)發(fā)生第一例計算機犯罪案件以來，我國金融計算機犯罪案件以每年30%的速度增長，金融計算機犯罪案件占整個計算機犯罪案件造成經(jīng)濟損失高達2100萬元。1999年發(fā)生在江蘇的郝氏兄弟侵入工商銀行計算機網(wǎng)絡(luò)系統(tǒng)盜竊銀行資金案更是引起了時任國務(wù)院總理朱镕基的震怒。隨著計算機網(wǎng)絡(luò)技術(shù)的快速發(fā)展和不斷普及，計算機黑客已經(jīng)形成一個龐大的群體。他們正逐步瞄準金融機構(gòu)計算機信息系統(tǒng)，而與他信息化水平較高的大行和股份制銀行相比，作為信息安全水平相對較低的農(nóng)村信用社信息系統(tǒng)必將首當其沖。事實上，頻繁發(fā)生的金融計算機案件已經(jīng)表明，金融計算機犯罪并非離我們非常遙遠，而是我們面臨的殘酷的現(xiàn)實，必須引起全省農(nóng)村信用社各級領(lǐng)導和員工的高度重視。特別是近年來，我省農(nóng)村信用社案發(fā)比頻繁，其中很大一部分案件就是通過非法進入和非法操作綜合業(yè)務(wù)系統(tǒng)進行作案得逞的。因此，我省農(nóng)村信用社計算機案防工作形勢相當嚴峻，不容樂觀。金融計算機案件的主要類型隨著金融電子化建設(shè)的不斷推進，金融機構(gòu)已全面實現(xiàn)傳統(tǒng)業(yè)務(wù)網(wǎng)絡(luò)化，絕大部分金融機構(gòu)已建立或正在建立網(wǎng)上銀行，不斷推出新的電子銀行業(yè)務(wù)。與此同時，金融領(lǐng)域計算機案件的形式也越來越多，目前主要可以歸納為有以下幾種：一是盜竊、貪污、挪用資金。這類犯罪的共同特征是犯罪人 非法操作金融計算機系統(tǒng)，修改帳目轉(zhuǎn)移資金，在具體案件中又表現(xiàn)為以下方式：利用計算機網(wǎng)絡(luò)技術(shù)，非法侵入金融計算機系統(tǒng)盜竊銀行或客戶資金；金融機構(gòu)計算機系統(tǒng)管理人員利用職權(quán)修改帳務(wù)，貪污或者挪用銀行或客戶資金；計算機信息系統(tǒng)開發(fā)人員故意在軟件中設(shè)臵非法程序貪污盜竊資金等。如郝氏兄弟侵入工商銀行盜竊案。二是破壞金融計算機系統(tǒng)，犯罪人出于泄憤報復動機，或者銷毀不利證據(jù)等目的，利用計算機系統(tǒng)的特性，利用計算機網(wǎng)絡(luò)技術(shù)非法侵入，或者內(nèi)部人員非法操作金融計算機信息系統(tǒng)，刪除、修改、增加、干擾系統(tǒng)的功能，或者刪除、修改、增加系統(tǒng)中存儲、處理或者傳輸?shù)臄?shù)據(jù)和應(yīng)用程序；或者從實體上壞甚至摧毀計算機信息系統(tǒng)，致使系統(tǒng)不能正常工作，造成嚴重的后果，如太平洋保險公司鄭州分公司信息系統(tǒng)破壞案。三是非法侵入金融計算機系統(tǒng)盜竊秘密。金融計算機信息系統(tǒng)中不僅有重要的商業(yè)秘密數(shù)據(jù)，而且還可能有國家秘密數(shù)據(jù)。如系統(tǒng)中存儲的大量客戶信息、帳戶與銀行卡信息以及各種密鑰信息，這些秘密的失密可能造成金融企業(yè)巨大的經(jīng)濟損失，甚至給國家經(jīng)濟帶來災(zāi)難性的后果。犯罪人的作案方式有多種，如利用計算機網(wǎng)絡(luò)技術(shù)非法侵入，或者利用特殊裝臵非法截獲秘密信息，或者內(nèi)部人員非授權(quán)操作金融計算機信息系統(tǒng)，閱讀或者復制其中的重要秘密數(shù)據(jù)等。如國外信用卡客戶資料被盜案。四是故意使用有害程序感染金融計算機系統(tǒng)。有害程序按照 其是否可以復制自己可以分為計算機病毒和其他有害程序。它們根據(jù)犯罪人設(shè)計目的的不同，對計算機信息系統(tǒng)的危害程度有大有小，有的只是竊取電子資金，有的竊取商業(yè)秘密，有的可以造成計算機信息系統(tǒng)的完全崩潰和數(shù)據(jù)完全丟失。金融系統(tǒng)內(nèi)部員工可以在使用金融計算機信息系統(tǒng)時傳播有害程序，非內(nèi)部員工也可以通過盜接金融專用線路，向金融計算機信息系統(tǒng)傳播有害程序。金融計算機案件特點與傳統(tǒng)的犯罪形式相比，金融計算機犯罪具有鮮明的特點。一是作案手段智能化、隱蔽性強。大多數(shù)的計算機犯罪，都是行為人經(jīng)過狡詐而周密的安排，運用計算機專業(yè)知識，所從事的智力犯罪行為。進行這種犯罪行為時，犯罪分子只需要向計算機輸入指令，作案時間短，且對計算機硬件和信息載體不會造成任何損害，作案不留痕跡，使一般人很難覺察到計算機內(nèi)部軟件上發(fā)生的變化。另外，有些計算機犯罪，經(jīng)過一段時間之后，犯罪行為才能發(fā)生作用而達犯罪目的。如計算機“邏輯炸彈”，行為人可設(shè)計犯罪程序在數(shù)月甚至數(shù)年后才發(fā)生破壞作用。也就是行為時與結(jié)果時是分離的，這對作案人起了一定的掩護作用，使計算機犯罪手段更趨向于隱蔽。二是具有職務(wù)犯罪和共同犯罪的特征。作案人主要是單位內(nèi)部的計算機操作、復核和系統(tǒng)管理人員。這些犯罪人往往受到較好的計算機技術(shù)、金融行業(yè)專業(yè)知識的教育或者培訓，而且是金 融系統(tǒng)內(nèi)部具有一定管理人員。另外，也有一部分內(nèi)部管理人員勾結(jié)單位外部人員，共同實施犯罪。三是犯罪動機目的以非法獲利為主。這類犯罪的目的主要是獲取非法利益，犯罪人往往自認為有能力突破計算機安全管理措施逃避法律的追究，意圖循捷徑獲取巨大利益。其次，一部分犯罪人是由于工作、生活、人際關(guān)系等方面的原因產(chǎn)生報復動機而破壞計算機信息系統(tǒng)。還有一部分犯罪人出于追求刺激和炫耀的動機，而嘗試破解和入侵安全性高的金融計算機信息系統(tǒng)。四是犯罪方式以虛存實取為主，約占案件總數(shù)70%左右。犯罪人通常會利用虛假的身份信息預(yù)先在異地開立銀行賬戶，再伺機在本地計算機系統(tǒng)中向這些賬戶中虛存資金，然后再堂而皇之地到異地銀行柜臺或ATM取款。五是犯罪成本低。與傳統(tǒng)犯罪相比，計算機犯罪所冒風險小而獲益大，作案者只要輕敲幾下鍵盤，就能使受害者遭受巨大損失，而使自己獲得巨大的經(jīng)濟利益，或獲得巨大的心理滿足，經(jīng)濟成本很低。計算機案防主要風險點農(nóng)村信用社計算機案防工作主要面臨以下風險：一是內(nèi)部人員作案。內(nèi)部工作人員利用職務(wù)之便，運用自身掌握的計算機技術(shù)和相關(guān)信息系統(tǒng)密碼、密鑰等秘密，對計算機信息系統(tǒng)中的客戶帳戶信息或程序進行非法修改、刪除、增加、拷貝等操作，以達到非法獲利或報復的目的。二是外部入侵攻擊。計算機黑客以盜竊、詐騙或者報復破壞等為目的，通過尋找和利用計算機信息網(wǎng)絡(luò)系統(tǒng)本身的脆弱性，剌探竊取計算機系統(tǒng)密碼口令、身份識別標志，繞過計算機系統(tǒng)刪除客戶帳戶信息，或刪除、破壞計算機信息系統(tǒng)程序，或針對內(nèi)部計算機信息系統(tǒng)制造和釋放病毒。三是關(guān)聯(lián)道德風險。與我社計算機信息系統(tǒng)相關(guān)聯(lián)的企業(yè)，包括三方聯(lián)網(wǎng)單位、系統(tǒng)開發(fā)運維服務(wù)商等企業(yè)，這些企業(yè)的不法人員可能利用某些便利條件，非法侵入我社信息系統(tǒng)，以竊取、篡改、破壞信息系統(tǒng)及客戶賬務(wù)數(shù)據(jù)信息，進而達到非法獲利等目的。四是軟件缺陷利用。計算機軟件通常不可避免地存在缺陷和漏洞，即使是技術(shù)力量最為雄厚的軟件業(yè)霸主微軟公司推出的WINDOWS及其他軟件也不例外。操作人同可能利用計算機應(yīng)用系統(tǒng)的某些功能缺陷進行非法操作，實施金融詐騙等犯罪行為。五是內(nèi)外勾結(jié)作案。內(nèi)外人員色結(jié)共謀，由內(nèi)部人員利用職務(wù)之便，向外部不法分子非法提供計算機信息系統(tǒng)有關(guān)秘密信息或程序或其他幫助，外部不法分子非法進入計算機信息系統(tǒng)進行業(yè)務(wù)操作，實施資金匯劃或虛增存款等犯罪行為。計算機案件風險防范為了保障計算機系統(tǒng)的正常運行，必須綜合采取技術(shù)性和非技術(shù)性安全措施。技術(shù)性措施是用硬件與軟件來保證計算機系統(tǒng)的安全，如硬件的可靠性、軟件的正確性、數(shù)據(jù)的保密性等；非 技術(shù)發(fā)生 措施主要有管理的、物理的和法律的手段。全面落實計算機安全管理制度在計算機案件風險防范措施中，管理方面的安全措施占全部安全措施的50%左右。大量事實表明，在計算機系統(tǒng)受到的危害中，絕大多數(shù)是由于管理不善或控制不嚴造成的。嚴格的安全管理對防范計算機案件尤其是內(nèi)部案件，往往是最行之有效的措施。某些先進技術(shù)如防火墻等，對防范網(wǎng)絡(luò)內(nèi)部攻擊卻無能為力。所以，控制計算機案件風險，首先應(yīng)當不斷完善和全面落實計算機安全管理制度。一是加強對計算機安全工作的組織領(lǐng)導。根據(jù)人民銀行和省聯(lián)社有關(guān)規(guī)定，各縣級聯(lián)社必須成立計算機信息系統(tǒng)安全保護領(lǐng)導小組，負責本單位內(nèi)各部門計算機信息系統(tǒng)安全管理和檢查，由分管領(lǐng)導任組長，并確定專職部門負責日常的計算機信息系統(tǒng)安全保護工作。各市（州）農(nóng)村信用社聯(lián)合社、縣（市、區(qū)）農(nóng)村信用社聯(lián)合社、農(nóng)村合用銀行均應(yīng)配備專職計算機安全管理員，農(nóng)村信用社應(yīng)配備專職或兼職計算機安全管理員。對于這些規(guī)定，全省農(nóng)村信用社各級領(lǐng)導要從事關(guān)農(nóng)村信用社生存和發(fā)展的高度來認識，落實到位，為計算機安全工作提供大的組織保障。二是完善計算機安全管理制度體系。計算機技術(shù)在快速發(fā)展，農(nóng)村信用社的信息化建設(shè)在快速推進，在全省信息化建設(shè)和運行過程中，不可避免地會出現(xiàn)各種新情況新問題。因此，全省農(nóng)村信用社要堅持與時俱進，對現(xiàn)有的計算機安全制度進行全面 清理，根據(jù)計算機技術(shù)的發(fā)展和信息化建設(shè)與運行情況，按照“最小授權(quán)、分權(quán)制約”的原則，建立健全各項計算機安全管理制度；完善業(yè)務(wù)操作規(guī)程；加強要害崗位管理，健全內(nèi)部制約機制。三是落實要害崗位人員安全制度。計算機安全案防工作必須堅持以人為本，通過嚴格要害崗位人員管理，防范各類計算機內(nèi)部案件。應(yīng)當加強主要崗位工作人員的錄用、考核制度，不適宜的人員必須及時調(diào)離。涉及銀行業(yè)務(wù)核心部分開發(fā)的技術(shù)人員調(diào)離本系統(tǒng)時，應(yīng)當確認對本系統(tǒng)安全不會造成危害后方可調(diào)離。計算機系統(tǒng)管理員不能兼任柜面及事后稽核等工作，不得參與相關(guān)軟件開發(fā)。參加過應(yīng)用系統(tǒng)開發(fā)的人員，不得擔任相應(yīng)系統(tǒng)的管理員。同時要加強外包人員管理，所有外包項目的開發(fā)維護技術(shù)人員必須簽署保密協(xié)議，不得掌握任何生產(chǎn)系統(tǒng)密碼，不得復制和保留、帶走任何項目的源程序代碼。