网络安全变革及对中国银行业的影响: 安全可控监管政策解读与分析

Size: px

Start display at page:

Download "网络安全变革及对中国银行业的影响: 安全可控监管政策解读与分析"

锭庞
7 years ago
Views:

1 网络安全变革及对中国银行业的影响安全可控监管政策解读与分析毕马威企业咨询二零一五年 kpmg.com/cn

2 报告概要银监会最近颁布了有关应用安全可控技术及网络安全的 39 号文及 317 号文, 昭示着国内银行业信息化建设的思路将发生重大转变, 监管机构的后续举措必将对银行业信息化工作带来深远影响未来, 在政策的引导及监管监督下, 银行机构技术厂商研究机构行业联盟服务机构等相关利益方, 需要及时调整工作方向, 以策满足合规要求监管要求 : 到 019 年末, 境内银行机构的安全可控信息技术使用率达到 75% 的红线目标将成为监管机构监督工作的方向 ; 015 年至 019 年, 监管机构的相关指导意见及要求将进一步细化, 相应的可控评价标准保障举措考核及监督体系将逐步健全, 以策指导银行机构遵照执行 ; 监管机构鼓励银行金融机构自主创新, 加强经验总结和知识积累, 以策银行机构推动行业安全可控技术能力的提升银行机构 : 在监管要求的影响下, 银行机构的战略规划管理体系治理结构人员建设信息化投资结构创新机制绩效体系系统建设信息化采购等, 均需进行调整及优化, 以策推动监管要求的有效执行银行业金融机构将在以下管理领域重点关注安全可控相关内容 : 治理体系 : 亟需组建应用可控技术及网络安全信息化响应组织, 管理层及各职能条线均需委派代表参与该组织的常设部门需牵头组织可控技术工作规划及计划, 以及配套管理方向 ; 基础环境建设 : 对大型机的需求将进一步下降, 基础环境中的网络设备存储设备安全设备等产品的核心组件可控率将逐年提升, 银行机构对其研究力度及熟知程度将进一步提升 ; 配套体系 : 结合监管机构的要求, 风险管理信息安全管理等银行管理体系将受到直接影响, 包括风险容忍度的调整风险评估的专业度风险监控指标的调整信息安全技术标准的优化等等时间表 : (1) 安全可控信息技术的应用以不低于 15% 的比例逐年增加 () 安排不低于 5% 的年度信息化预算, 专门用于支持本机构围绕安全可控信息系统开展前瞻性创新性和规划性研究安全可控信息技术在银行业总体达到 75% 左右的使用率 1

3 网络安全变革及对中国银行业的影响目录监管政策解读与分析 1 当前环境分析政策解读和毕马威的理解 3 联系我们 015 毕马威华振会计师事务所 ( 特殊普通合伙 ) 毕马威企业咨询( 中国 ) 有限公司及毕马威会计师事务所, 均是与瑞士实体毕马威国际合作组织 ( 毕马威 015 毕马威华振会计师事务所国际 ) 相关联的独立成员所网络中的成员毕马威华振会计师事务所 ( 特殊普通合伙 ) 毕马威企业咨询( 中国 ) 有限公司及毕马威会计师事务所 ( 特殊普通合伙, 均是与瑞士实体 ) 为一所中国特殊普通合伙制会计师事务所毕马威国际合作组织 ( 毕马威国际 ); 相关联的独立成员所毕马威企业咨询 ( 中国 ) 有限公网络中的成员毕马威华振会计师事务所司为一所中国外商独资企业 ( 特殊普通合伙 ; 毕马威会计师事务所为一所香港合伙制事务所版权所有 ) 为一所中国特殊普通合伙制会计师事务所 ; 毕马威企业咨询 ( 中国, 不得转载 ) 有限公司为一所中国外商独资企业 ; 毕马威会计师事务所为一所香港合伙制事务所版权所有, 不得转载

4 应用安全可控政策出台背景 1 当前环境分析社会对互联网金融大数据云计算等新兴热点的关注, 很大程度上改变了组织的业务发展形式, 也改变了民众的行为习惯进而, 组织及个人的隐私数据面临主动被动泄露的风险也日趋明显基于此, 网络安全已成为关系国计民生的重要影响要素之一, 中国政府更将其提升至国家战略高度近年, 伴随国家自上而下的导向推动, 政府及行业监管机构颁布了不同的政策, 要求提升行业安全可控水平, 将其纳入信息化建设进程, 以策降低组织的信息技术风险中国战略部署面临国际国内新兴技术快速发展及严峻的信息安全形势, 中国政府逐步将网络安全提升到国家战略高度 : 01 年 7 月, 国务院发布国务院关于大力推进信息化发展和切实保障信息安全的若干意见, 将信息安全发展提升到与信息化发展同等的地位 ; 013 年 11 月, 中央国家安全委员会成立, 习近平任主席, 将信息安全确立为国家战略, 昭示捍卫国家信息安全的意志 ; 014 年月, 中央网络安全和信息化领导小组成立 3, 习近平主席担任组长 1 银监会也相继发布了关于应用安全可控信息技术加强银行业网络安全和信息化建设的指导意见 ( 银监发 [014]39 号 ) 和银行业应用安全可控信息技术推进指南 ( 年度 ) ( 银监发 [014]317 号 ) 两份与安全可控技术发展相关的政策文件毕马威旨在通过阐明其中的关键要点来对这些政策进行解读与分析, 并为银行业提供行动建议 1. 源引自 : 中央政府门户网站 ( 发布国发 01 3 号文 ( 引用日期 01 年 07 月 17 日 ) 源引自 : 中国共产党十八届三中全会公报 ( 引用日期 013 年 11 月 1 日 ) 3. 源引自 : 新华网 ( ) 时政中央网络安全和信息化领导小组成立 ( 引用日期 014 年 0 月 7 日 ) 3

5 银行业应用安全可控政策概要 1 当前环境分析国家政府关注信息安全战略, 中央国家安全委员会和中央网络安全和信息化领导小组的成立都显示着我国政府已经将信息技术安全可控和网络安全提升到国家战略高度监管机构响应政府的安全策略, 颁布了相关指导意见和推进指南, 旨在加强信息技术安全可控领域的政策指导, 明确责任方职责和关键工作时点银行业金融机构应根据银监会的相关要求, 制定信息技术安全可控部署战略, 需重点关注信息技术的安全可控和自主创新信息技术企业面临技术产品和服务安全可控变革的机遇与挑战, 国内厂商在技术上不断完善和创新, 以促进产业环境变革 ; 部分主流厂商长期占据主导地位的市场格局也将受到挑战, 如何实施技术开放证明技术和产品安全可控将成为各厂商的关注重点应用安全可控目标 : 信息技术安全可控, 重要信息系统自主可控应用研究工作落实掌握核心技术维护信息安全降低成本我国银行业监管机构针对当前的应用安全现状颁布了一系列监管指引文件发布关于应用安全可控信息技术加强银行业网络安全和信息化建设的指导意见 ( 银监发 [014]39 号 ) 发布关于印发银行业应用安全可控信息技术推进指南 ( 年度 ) ( 银监发 [014]317 号 ) 发布关于开展 014 年度银行业信息技术情况调研的通知 ( 银监发 [015]100 号 ) 关于银行业应用安全可控信息技术推进指南 ( 年度 ) ( 银监发 [014]317 号 ) 的相关说明 014/09 014/1 015/01 015/0 指导意见年度计划调研检查补充说明安全可控长效机制安全可控系统架构开发与合作自主创新安全可控目标任务工作措施信息技术资产分类和安全可控指标安全可控评价标准和机制监管保障措施技术安全可控调研表自评调研流程源代码备案研究说明供应商软件知识产权说明安全可控产品国别说明 4

6 银监发 [014]39 号文概要政策解读和毕马威的理解 39 号文概要关于应用安全可控信息技术加强银行业网络安全和信息化建设的指导意见 ( 银监发号, 以下简称指导意见 ): 银监会国家发展改革委员会科技部工业和信息化部联合发布 ; 提出总体目标, 作为促进国产信息技术落地银行业的中长期政策和规划, 提出 019 年银行业应用安全可控信息技术总体比率达到 75% 的目标 ; 指导意见更为关注创新生态体系建设, 银行不但要自主可控, 而且要推动整个创新生态体系的发展, 使银行和产业建立产业联盟, 共同推进 5

7 银监发 [014]39 号文概要政策解读和毕马威的理解总体目标建立银行业应用安全可控信息技术的长效机制, 制定配套政策, 建立推进平台, 大力推广使用安全可控的信息技术至 019 年 : 掌握银行业信息化的核心知识和关键技术 ; 实现银行业关键网络和信息基础设施的合理分布, 关键设施和服务的集中度风险得到有效缓解 ; 安全可控信息技术在银行业总体达到 75% 左右的使用率, 银行业网络安全保障能力不断加强 ; 信息化建设水平稳步提升, 更好的保护消费者权益, 维护经济社会安全稳定安全可控信息技术即能够满足银行业信息安全需求, 且技术风险外包风险和供应链风险可控的信息技术对银行业机构的任务要求完善信息科技治理机制 ; 优化信息系统架构 ; 优先应用安全可控信息技术 ; 积极推动信息技术自主创新 ; 积极参与安全可控信息技术研发 ; 加强知识产权保护与标准规范建设两个量化指标 015 年起, 各银行业金融机构对安全可控信息技术的应用以不低于 15% 的比例逐年增加, 直至 019 年达到不低于 75% 的总体占比 ; 015 年起, 银行业金融机构应安排不低于 5% 的年度信息化预算, 专门用于支持本机构围绕安全可控信息系统开展前瞻性创新性和规划性研究 6

8 银监发 [014]39 号文解读政策解读和毕马威的理解银监发 [014]39 号文对于银行业安全可控信息技术的说明 : 满足信息安全需求技术风险可控外包风险可控供应链风险可控外包风险可控技术风险可控满足信息安全需求供应链风险可控指导意见要求银行业金融机构实现一个满足, 三个风险可控指导意见中明确阐述银行业需建立应用安全可控的长效机制, 制定配套政策, 搭建推进平台, 以满足银行业的信息安全需求, 并实现技术外包供应链领域的风险可控信息安全需求银行业金融机构的信息安全管理, 是全面信息科技风险管理的重要组成部分, 相关信息安全管理要求参见银监会 009 年颁布的商业银行信息科技风险管理指引, 指引从人员的安全意识管理职能安全策略访问控制安全域系统安全加密终端安全以及信息的生命周期管理等九个方面对于银行业信息安全提出了详细的要求技术风险银行业金融机构信息资产相关的固有风险和操作风险银行业信息技术资产分类涵盖信息技术硬件软件服务类资产, 包括 10 大类和 68 小类, 类别目录参见关于印发银行业应用安全可控信息技术推进指南 ( 年度 ) 附表银行业金融机构对其所使用的信息技术产品或服务具有技术风险的识别监测和控制能力信息技术企业充分保障银行业金融机构识别技术风险的权利, 并为识别和控制风险提供充分的知识技能和工具支持外包风险即由于信息科技外包而产生的科技能力丧失业务中断信息泄露等风险, 信息科技外包类型包括 ( 不限于 ) 服务类外包和人员类外包银行业金融机构和信息技术企业应依据银监发 [013] 5 号银行业金融机构信息科技外包风险监管指引的相关要求实施充分的外包风险管控, 对于非驻场集中式外包信息技术企业, 还需依据银监发 [014]187 号关于加强银行业金融机构信息科技非驻场集中式外包风险管理的通知开展外包监管评估工作供应链风险即由于技术产品或服务供应渠道中断知识产权限制而造成银行业金融机构无法获得必要的维修支持升级等服务, 进而导致系统运行中断的风险银行业金融机构需加强核心技术产品和服务的供应链管理, 积极主动使用安全可控正版许可的信息技术 7

9 银监办发 [014]317 号文概要政策解读和毕马威的理解推进指南要求建立银行业信息技术资产分类目录和安全可控指标管理体系 317 号文概要银行业信息技术资产分类和安全可控指标到 019 年末安全可控信息技术使用率达到 75% 银行业应用安全可控信息技术推进指南 ( 年度 ) ( 银监办发号, 以下简称推进指南 ): 信息资产分类信息技术资产分类由类别代码名称说明等要素构成, 分为两个层次, 共计 10 大类 68 小类, 银监会对每类资产设定了不同的自主可控要求银监会工业和信息化部联合编制 ; 年度安全可控工作推进指南, 对于安全可控进行了界定, 对 015 年的具体工作目标和要求进行了细化 ; 强调了应用和研究两个应用安全可控领域的建设, 不仅要求银行业机构加强信息技术安全可控, 也提出了应用可控安全领域的研究要求安全可控指标银行业金融机构应渐进式地实现应用安全可控, 具体工作要求如下 : 1) 先关注新增应用, 后着眼已有应用 015 年安全可控指标的应用任务主要关注于新增安全可控设备 ; 同时在 39 号文指导意见中则提出逐年不低于 15% 比例增加的年度可控指标要求 ) 先考虑成熟产品, 后考虑自主创新 015 年, 安全可控技术相对成熟的网络设备存储中低端服务器优先级较高, 而对于操作系统大 / 小型机和数据库等领域, 银行业需着重于探索尝试的研究任务, 未来银行业信息架构上需逐步减少对高端服务器的依赖, 如使用开源的 X86 应用集群替代高端服务器安全可控要求关注信息技术产品和服务的开放性适用面和透明度 ; 信息技术厂商需逐步实施核心技术开放和产品开源, 实现知识产权共享 ; 对于各外资厂商, 可以通过在国内成立合资公司, 或者设立研发和技术中心等方式, 提供及时的服务, 确保国内金融机构未来能够迅速解决存在的潜在安全问题 8

10 银监办发 [014]317 号文解读政策解读和毕马威的理解银监办发 [009]437 号文对于银行业重要信息系统的定义进行了说明, 即 : 支撑重要业务 ; 其信息安全和服务质量关系公民法人和其他组织的权益, 或关系社会秩序公共利益乃至国家安全的信息系统重要信息系统主要包括 : 面向客户的信息系统 ; 涉及账务处理且实时性要求较高的业务处理类渠道类和涉及客户风险管理等业务的管理类信息系统 ; 支撑系统运行的机房和网络等基础设施银行业金融机构实施架构转型的实质是从改变其集中式架构中核心业务过度依赖闭源大型机设备的局面闭源大型机设备的开放性较差, 相关基础软件包括操作系统, 中间件, 数据库软件程序的源代码未实现共享, 这些排他性的内嵌软件, 出现问题很难快速解决, 阻碍信息技术安全可控银行业实现信息技术安全可控, 需要解决技术层面涉及的稳定性性能安全和风险控制等一系列的问题, 无法一蹴而就, 监管机构在架构转型方面循序渐进的推进, 在一段时期内, 我国的银行业金融机构将会出现集中式和分布式架构共存的系统运行模式银监会要求银行业金融机构建立信息技术应用安全可控能力自评机制基于 [015]100 号文关于开展 014 年度银行业信息技术情况调研的通知, 各机构针对自身安全可控工作的应用任务和研究任务执行情况进行成熟度自评, 并开展年度安全可控指标数据收集和分析工作自评范围包括信息系统设备总数, 厂商性质及厂商国别等, 并需提交自评结果与银监会 9

11 政策解读和 [014]317 号文相关说明解读毕马威的理解 [014]317 号文相关说明补充说明了源代码备案和随机软件自主知识产权的管理要求, 并澄清相关信息安全可控要求并不涉及国别差别对于自主可控技术涉及的源代码备案要求, 包括大型机设备相关的基础软件包括操作系统中间件数据库软件, 银监会的补充说明表明可控要求存在比较大的协商空间, 第三方备案的方式及操作细则尚存在不确定性 ; 监管机构放松了针对软件自主知识产权的要求, 对于随机软件供应商只要提供软件合法的来源证明或知识产权证明即可, 因此非国产产品亦可纳入银行业机构的安全可控应用软件的范畴 ; 明确强调我国银行业机构在选择安全自主可控技术时, 产品国别并非必要考虑要素对于各信息技术厂商来说, 如果愿意开放核心信息技术, 加强各相关方的合作沟通, 参与产业创新联盟的技术和经验共享, 仍可以被视为安全可控供应商 10

12 联系我们 3 联系我们银行业金融机构将需要进行 IT 资产分析来认识当前的基础技术架构和与监管机构要求的差距, 从而评估安全可控信息技术的应用对企业的影响银行需要制定 015 年至 019 年的实施规划, 并且修订管理架构来解决其信息系统与政策要求的差距在毕马威中国, 我們拥有网络与系统安全的专业服务团队来协助客户处理相关事宜北京陈金峰合伙人, 管理咨询电话 : 电邮 : benson.tran@kpmg.com 刘逸明合伙人, 管理咨询电话 : 电邮 :kevin.liu@kpmg.com 上海刘建刚合伙人, 管理咨询电话 : 电邮 :reynold.jg.liu@kpmg.com 张令琪总监, 管理咨询电话 : 电邮 :richard.zhang@kpmg.com 香港石浩然合伙人, 管理咨询电话 : 电邮 :henry.shek@kpmg.com 深圳梁安超合伙人, 管理咨询电话 : 电话 :kelvin.oc.leung@kpmg.com 11

13 毕马威的名称标识和 cutting through complexity 均属于毕马威国际的注册商标本刊物所载资料仅供一般参考用, 并非针对任何个人或团体的个别情况而提供虽然本所已致力提供准确和及时的资料, 但本所不能保证这些资料在阁下收取时或日后仍然准确任何人士不应在没有详细考虑相关的情况及获取适当的专业意见下依据所载资料行事

长沙:进入中国市场的基地

长沙:进入中国市场的基地 0 0 4 4 6,399.9 928 269 3,053 11 13 15 17 19 21 11 2,500 2,000 6 1,000 2,000 500 31.8% 19.3% 30,000 18.1% 500 11.6% 300 8,801 8,519 19.5% 13.8% 25 27 31 34 35 37 39 25 1,800 3 7 23 35.5%