【正文】 28 ?！峨娮鱼y行安全評(píng)估指引》銀監(jiān)會(huì)開(kāi)展電子銀行業(yè)務(wù)的金融機(jī)構(gòu)，應(yīng)根據(jù)需要，至少每2年對(duì)電子銀行進(jìn)行一次全面的安全評(píng)估?！峨娮又Ц吨敢?第一號(hào))》中國(guó)人民銀行電子支付指令與紙質(zhì)支付憑證可以相互轉(zhuǎn)換，兩者具有同等效力。9 附錄 我國(guó)網(wǎng)銀相關(guān)的法規(guī)法律法規(guī)頒發(fā)部門(mén)實(shí)施時(shí)間主要內(nèi)容《中華人民共和國(guó)電子簽名法》全國(guó)人大常委會(huì)可靠的電子簽名與手寫(xiě)簽名或者蓋章具有同等的法律效力。同時(shí)，為充分發(fā)揮網(wǎng)銀替代營(yíng)業(yè)柜臺(tái)的作用，做大做強(qiáng)品牌，需要及時(shí)、有效、高頻率地進(jìn)行市場(chǎng)營(yíng)銷(xiāo)及產(chǎn)品推介活動(dòng)。廠商方面，建議考察北京科藍(lán)公司、北京宇信易誠(chéng)公司、微軟公司等（北京科藍(lán)公司及北京宇信易誠(chéng)公司是國(guó)內(nèi)公認(rèn)的專(zhuān)業(yè)公司，案例數(shù)量居各廠商前列，微軟公司采用自有技術(shù)，為農(nóng)業(yè)銀行建設(shè)了新一代網(wǎng)銀系統(tǒng)，也具有一定代表性）。2. 有針對(duì)性對(duì)同業(yè)和廠商進(jìn)行深入考察目前，我們掌握的資料還比較有限，對(duì)系統(tǒng)功能、開(kāi)發(fā)技術(shù)、管理制度等情況的了解不夠全面和深入，建議成立由省聯(lián)社領(lǐng)導(dǎo)擔(dān)任組長(zhǎng)、科技及其他相關(guān)專(zhuān)業(yè)人員為成員的項(xiàng)目考察組，有針對(duì)性選擇部分同業(yè)及廠商進(jìn)行考察，以借鑒更多經(jīng)驗(yàn)，少走彎路。為此，對(duì)下一步工作提出建議如下：1. 盡快確定系統(tǒng)定位與建設(shè)方式兩種定位均有其合理性，亦有不足之處。2. 客戶(hù)風(fēng)險(xiǎn)首先，由于網(wǎng)銀的巨大優(yōu)勢(shì)，各家銀行紛紛開(kāi)通網(wǎng)銀業(yè)務(wù)并已形成一定影響力，我省農(nóng)村信用社在與他們的市場(chǎng)競(jìng)爭(zhēng)中處于不利地位；其次，作為我省農(nóng)村信用社主要服務(wù)領(lǐng)域的農(nóng)村，網(wǎng)絡(luò)等硬件設(shè)施尚不健全，農(nóng)村客戶(hù)使用網(wǎng)銀的意識(shí)也需要培養(yǎng)。一方面，缺少網(wǎng)銀系統(tǒng)建設(shè)相關(guān)的技術(shù)人員；另一方面，缺少精通網(wǎng)銀的業(yè)務(wù)人員和營(yíng)銷(xiāo)人員。因此，我省農(nóng)村信用社的網(wǎng)銀系統(tǒng)除了具有網(wǎng)銀系統(tǒng)的一般性風(fēng)險(xiǎn)外，還存在其它一些特有的風(fēng)險(xiǎn)。充分利用和執(zhí)行《中華人民共和國(guó)電子簽名法》； 在網(wǎng)銀業(yè)務(wù)處理上充分利用《電子支付指引（第一號(hào)）》、《電子認(rèn)證服務(wù)管理辦法》、《電子銀行業(yè)務(wù)管理辦法》等法律法規(guī)擬定網(wǎng)銀相關(guān)協(xié)議，制定有關(guān)業(yè)務(wù)流程和業(yè)務(wù)處理規(guī)定；注重交易數(shù)據(jù)的保管，這其中包括電子數(shù)據(jù)和紙質(zhì)憑證，認(rèn)真研究其作為證據(jù)的合理性和得到第三方技術(shù)支持的可能性，爭(zhēng)取得到合理認(rèn)定，為可能的糾紛或訴訟過(guò)程做好必要的準(zhǔn)備。網(wǎng)銀只是從技術(shù)上改變了法律關(guān)系的產(chǎn)生和存在形式，當(dāng)事人法律關(guān)系的實(shí)質(zhì)沒(méi)有改變，許多問(wèn)題都可以在現(xiàn)有法律框架下得到解決。自2005年4月1日起實(shí)施的《中華人民共和國(guó)電子簽名法》具有里程碑意義，標(biāo)志著我國(guó)對(duì)電子商務(wù)及網(wǎng)銀的安全性管理已經(jīng)做到了有法可依，其中明確規(guī)定電子文件與紙介質(zhì)的書(shū)面文件具有同等效力，并且電子簽名也可以具有印章的同等法律效力。同時(shí)，巴塞爾委員會(huì)認(rèn)為出于交易對(duì)象的法律權(quán)利和義務(wù)未能界定所產(chǎn)生的風(fēng)險(xiǎn)也屬于法律風(fēng)險(xiǎn)。另外，聲譽(yù)風(fēng)險(xiǎn)也有可能來(lái)自客戶(hù)的錯(cuò)誤操作或是疏忽，在這種情況下安全風(fēng)險(xiǎn)會(huì)被夸大從而導(dǎo)致客戶(hù)對(duì)網(wǎng)上支付方式失去信心。網(wǎng)銀主要依賴(lài)互聯(lián)網(wǎng)來(lái)提供服務(wù)，這為銀行降低了交易成本，但同時(shí)也潛在地加大了聲譽(yù)風(fēng)險(xiǎn)。此外，使用外部資源還有可能給銀行帶來(lái)額外的風(fēng)險(xiǎn)，這主要是因?yàn)榉?wù)提供商在提供服務(wù)時(shí)必然會(huì)有大量的客戶(hù)數(shù)據(jù)或銀行的商業(yè)數(shù)據(jù)保留在服務(wù)提供商的信息系統(tǒng)中，存在客戶(hù)隱私權(quán)和數(shù)據(jù)保密的問(wèn)題。 外部資源風(fēng)險(xiǎn)與傳統(tǒng)業(yè)務(wù)相比，在網(wǎng)銀中，銀行需要更多地依賴(lài)外部資源，如軟硬件提供商、電信公司或其它第三方服務(wù)提供商（特別是中小銀行，其沒(méi)有像大銀行一樣充足的資金和技術(shù)支持可以單獨(dú)建立一套網(wǎng)銀支付系統(tǒng)，所以大多只能依賴(lài)第三方服務(wù)提供商）。7 風(fēng)險(xiǎn)分析 安全風(fēng)險(xiǎn)巴塞爾委員會(huì)電子銀行小組的調(diào)查表明，安全風(fēng)險(xiǎn)是網(wǎng)銀中最受關(guān)注的風(fēng)險(xiǎn)。人力投入周期短，功能精簡(jiǎn)，所需人員少。其它成本行業(yè)咨詢(xún)可由開(kāi)發(fā)商提供，不需額外的成本。安全成本可購(gòu)買(mǎi)第三方證書(shū)，實(shí)用、成本低。軟硬件成本滿(mǎn)足現(xiàn)階段的需求即可，成本低。表63 “全功能型網(wǎng)銀系統(tǒng)”較“精簡(jiǎn)型網(wǎng)銀系統(tǒng)”成本高的原因成本項(xiàng)精簡(jiǎn)型全功能型開(kāi)發(fā)商與服務(wù)商的費(fèi)用功能精簡(jiǎn)，選擇較成熟的產(chǎn)品，不需大的客戶(hù)化改造，費(fèi)用低。表61 “全功能型網(wǎng)銀系統(tǒng)”的建設(shè)成本估算成本項(xiàng)成本廠商的開(kāi)發(fā)與服務(wù)費(fèi)用XXX萬(wàn)元硬件成本XXX萬(wàn)元軟件成本XXX萬(wàn)元安全成本XXX萬(wàn)元其它成本XXX萬(wàn)元費(fèi)用總計(jì)XXX萬(wàn)元人力投入技術(shù)人員1518人業(yè)務(wù)人員1820人管理人員23人人員總計(jì)約40人表62 “精簡(jiǎn)型網(wǎng)銀系統(tǒng)”的建設(shè)成本估算成本項(xiàng)成本廠商的開(kāi)發(fā)與服務(wù)費(fèi)用XXX萬(wàn)元硬件成本XXX萬(wàn)元軟件成本XXX萬(wàn)元安全成本XXX萬(wàn)元其它成本XXX萬(wàn)元費(fèi)用總計(jì)XXX萬(wàn)元人力投入技術(shù)人員56人業(yè)務(wù)人員78人管理人員12人人員總計(jì)約15人需要說(shuō)明的是，以上數(shù)據(jù)主要是根據(jù)與開(kāi)發(fā)商交流情況估算的，項(xiàng)目進(jìn)入實(shí)際階段后，會(huì)因具體情況不同而有所出入；人力投入的估算，是對(duì)前后需要參與項(xiàng)目的人員估計(jì)。6．其它成本包括行業(yè)咨詢(xún)費(fèi)、調(diào)研費(fèi)、培訓(xùn)費(fèi)、其它設(shè)施的費(fèi)用等。4．安全成本包括安全相關(guān)的軟硬件成本（RA服務(wù)器、RA軟件等）、建設(shè)動(dòng)態(tài)口令系統(tǒng)的費(fèi)用、自建CA的費(fèi)用或購(gòu)買(mǎi)證書(shū)費(fèi)用等。2．硬件成本包括服務(wù)器（Web服務(wù)器、數(shù)據(jù)庫(kù)服務(wù)器、測(cè)試開(kāi)發(fā)服務(wù)器、應(yīng)用服務(wù)器）、路由器、交換機(jī)、防火墻、IPS、磁盤(pán)陣列、負(fù)載均衡(服務(wù)器負(fù)載均衡、鏈路負(fù)載均衡、SSL加速等）。 網(wǎng)銀建設(shè)的主要成本現(xiàn)階段網(wǎng)銀系統(tǒng)的建設(shè)成本主要有廠商的開(kāi)發(fā)與服務(wù)費(fèi)用、硬件成本、軟件成本、人力成本、安全成本和其它成本。6 成本效益分析通過(guò)建設(shè)方式的比較，合作開(kāi)發(fā)方式較其它方式更適合我省農(nóng)村信用社網(wǎng)銀系統(tǒng)的建設(shè)。首先，在系統(tǒng)運(yùn)維方面，合作開(kāi)發(fā)方式可以及時(shí)解決系統(tǒng)出現(xiàn)的問(wèn)題，反應(yīng)速度比較快；其次，在信息安全方面，合作開(kāi)發(fā)方式的信息安全系統(tǒng)存放在自己的機(jī)房?jī)?nèi)，可以有效防止客戶(hù)信息泄露；最后，在業(yè)務(wù)拓展方面，合作開(kāi)發(fā)方式可以由業(yè)務(wù)部門(mén)提出，網(wǎng)銀團(tuán)隊(duì)直接負(fù)責(zé)實(shí)施，便于新業(yè)務(wù)的拓展。在技術(shù)能夠?qū)崿F(xiàn)的范圍內(nèi)，業(yè)務(wù)部門(mén)可以提出業(yè)務(wù)需求與托管服務(wù)商確認(rèn)實(shí)現(xiàn)方式，由托管服務(wù)商按照要求完成業(yè)務(wù)功能的開(kāi)發(fā)，除可以完成行內(nèi)業(yè)務(wù)的拓展與創(chuàng)新外，還可以借助托管服務(wù)商的業(yè)務(wù)平臺(tái)，享用其它銀行或者某些專(zhuān)業(yè)金融服務(wù)提供商提供的服務(wù)。系統(tǒng)存放在托管服務(wù)商的機(jī)房?jī)?nèi)，信息的安全有托管服務(wù)商承擔(dān)；在目前條件下，從銀行角度來(lái)看，信息安全方式不太容易接受，在問(wèn)題發(fā)生時(shí)；風(fēng)險(xiǎn)有托管商承擔(dān)。系統(tǒng)的運(yùn)維管理由托管服務(wù)商承擔(dān)；托管服務(wù)商有專(zhuān)門(mén)組織固定的運(yùn)維隊(duì)伍，并整合系統(tǒng)、網(wǎng)絡(luò)、安全方面的專(zhuān)家和廠商團(tuán)隊(duì)來(lái)保證及時(shí)、有效地響應(yīng)；但在問(wèn)題發(fā)生時(shí)需要通過(guò)電話(huà)等方式反應(yīng)問(wèn)題，問(wèn)題的解決與執(zhí)行人的責(zé)任心有較大關(guān)系。而對(duì)合作開(kāi)發(fā)和系統(tǒng)托管方式，應(yīng)根據(jù)我省農(nóng)村信用社的實(shí)際需求并結(jié)合二者的優(yōu)缺點(diǎn)進(jìn)行選擇，它們主要在系統(tǒng)運(yùn)維、信息安全以及業(yè)務(wù)拓展三個(gè)方面存在不同。由于涉及到銀行客戶(hù)的部分信息存放在專(zhuān)業(yè)廠商，帶來(lái)了客戶(hù)數(shù)據(jù)及信息安全問(wèn)題，因此對(duì)廠商的投資規(guī)模、持續(xù)服務(wù)能力及信譽(yù)都有極高的要求，作為銀行在選擇托管廠商時(shí)一定要慎重。 系統(tǒng)托管方式系統(tǒng)托管是指銀行將網(wǎng)銀系統(tǒng)的建設(shè)工作完全交由網(wǎng)銀專(zhuān)業(yè)廠商完成，包括機(jī)房建設(shè)、系統(tǒng)軟硬件配置、應(yīng)用軟件的開(kāi)發(fā)與升級(jí)、系統(tǒng)安全體系建設(shè)及日常的運(yùn)行管理等，銀行的主要工作是提出業(yè)務(wù)需求。 合作開(kāi)發(fā)方式合作開(kāi)發(fā)是指銀行將網(wǎng)銀系統(tǒng)建設(shè)工作承包給專(zhuān)業(yè)廠商，從系統(tǒng)規(guī)劃、業(yè)務(wù)需求提出與分析、系統(tǒng)實(shí)施及系統(tǒng)投產(chǎn)后的運(yùn)行維護(hù)等環(huán)節(jié)的大部分工作由廠商完成，銀行的項(xiàng)目團(tuán)隊(duì)參與其中，主要完成需求的提出及測(cè)試，并參與系統(tǒng)開(kāi)發(fā)及運(yùn)行投產(chǎn)后的維護(hù)工作。從系統(tǒng)規(guī)劃、業(yè)務(wù)需求提出與分析、系統(tǒng)實(shí)施及系統(tǒng)投產(chǎn)后的運(yùn)行維護(hù)所有環(huán)節(jié)均由銀行自身完成，在某些關(guān)鍵環(huán)節(jié)可能會(huì)邀請(qǐng)專(zhuān)業(yè)實(shí)施公司提供參考建議或完成部分輔助性工作。目前國(guó)內(nèi)同業(yè)網(wǎng)銀系統(tǒng)的建設(shè)方式主要有自建方式、合作開(kāi)發(fā)方式、系統(tǒng)托管方式三種。該類(lèi)型網(wǎng)銀主要有光大銀行、浦發(fā)銀行、北京農(nóng)商行、江蘇省農(nóng)村信用社、浙江省農(nóng)村信用社等。該做法能夠降低建設(shè)成本，大幅縮短開(kāi)發(fā)周期，迅速填補(bǔ)在網(wǎng)銀領(lǐng)域的空白，在市場(chǎng)營(yíng)銷(xiāo)、運(yùn)行維護(hù)、制度建設(shè)等方面也可以合理借鑒現(xiàn)有經(jīng)驗(yàn)。該類(lèi)型網(wǎng)銀主要有工商銀行、招商銀行等（二者均采取了自建方式，擁有龐大的研發(fā)隊(duì)伍），已成為國(guó)內(nèi)同業(yè)典范。 全功能型定位著眼于長(zhǎng)遠(yuǎn)發(fā)展，從系統(tǒng)功能豐富程度、用戶(hù)需求滿(mǎn)足度、安全手段完備性、軟硬件先進(jìn)性等方面，均按國(guó)內(nèi)一流水準(zhǔn)規(guī)劃，系統(tǒng)建設(shè)可以分階段實(shí)現(xiàn)，但在系統(tǒng)建設(shè)初期就必須奠定堅(jiān)實(shí)的軟硬件基礎(chǔ)并做好技術(shù)架構(gòu)與業(yè)務(wù)架構(gòu)的設(shè)計(jì)。高端用戶(hù)中端用戶(hù)低端用戶(hù)數(shù)字證書(shū)或動(dòng)態(tài)口令牌（可進(jìn)行任意額度轉(zhuǎn)帳）動(dòng)態(tài)口令卡或動(dòng)態(tài)短信口令（轉(zhuǎn)帳額