按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！
辉敢夤庋氖率担ε鹿谥勒庑┣榭鲆院蠖砸械木焕飧又ち朔缸锓肿拥钠妗�
第三节对计算机犯罪的防范
自90年代中期以后，银行的管理和对银行的监管都向着风险管理（risk management）方向发展。在防范计算机和网络犯罪给银行带来的损失时，目前主要国家和国际组织都开始采用风险管理的方法对采用计算机和网络技术的银行进行监管，银行的管理也向着风险管理方向发展。1998年3月，巴塞尔银行监管委员会向各个国家发布了《电子银行和电子货币业务的风险管理》报告，作为各个国家对银行进行监管的框架，这个报告主要从风险类别和风险控制两方面对银行由于采用电子技术而产生的风险进行防范。一些国家的银行监管机构也纷纷发布符合自己国家情况的指南或报告，其中以采用信息技术较为广泛的美国最为突出。美国监管银行的有不同的机构，〃通货管制局〃（office of comptroller of currency）1998年初颁布了《技术风险管理》指南，该指南同巴塞尔委员会的报告类似，都是在指明电子银行的各种风险之后，介绍了如何进行风险的控制和管理；美国联邦储备委员会1997年12月颁布了《网络信息安全健全做法指南》，这个指南专门针对银行内部网和互联网的安全及其控制措施进行了详细的介绍；此外，美国联邦存款保险公司1998年8月也发布了名为《电子银行》报告，这个报告主要侧重于对电子银行的监管措施。这些报告主要从预防和监管的角度阐述了防范计算机和网络采用给银行带来的风险，包括犯罪活动带来的风险。本文在以下几个部分就分别介绍西方银行在这方面所采取的一些措施和要求。
一、加强计算机网络的安全控制
银行采取的安全措施随着技术的发展而发展，应该说没有一种措施是绝对安全的。拿加密技术来讲（encryption），上面我们提到，犯罪分子可以采用一定的方法破译经过加密的信息，原因在于加密技术所使用的密钥不够强大，通常只有40位（bit），因此，业内人士就开发更强的密钥来加密所传送的信息，比如56位的密钥，有的金融机构还使用112位密钥或更长的密钥来保证一些机密信息不被截获。但随着犯罪分子手段的不断发展，这些更强的密钥也终有可能被破译的一天。因此，安全只是一时的，业内需要不断的开发新的技术来为银行网络提供安全保障。另一方面，许多事故的出现并不是纯粹的安全问题，而可能是管理上的疏漏，雇员的马虎，如何使现有的技术发挥最大的效用，也必然涉及对现有安全措施的管理问题。
银行的计算机系统包括内阅网络和外部网络两种，后者主要指可以供银行之外的人士进入的网络比如互联网。美国联邦储备委员会的报告在现在可以利用的技术基础上，着重介绍了对银行网络（内部网和互联网）的安全防范措施，这些措施既涉及技术层面，同时也涉及管理层面。下面，本文从内部网的安全控制和外部网的安全控制两个方面介绍美国银行所采取的安全管理方面的措施。
内部网的安全控制包括以下几个方面：
1资料秘密『性』控制（confidentiality）。银行内部存储的资料通过网络传送的资料信息很容易成为犯罪的对象，对资料的秘密『性』进行控制是非常重要的安全措施。从成本和效益的考虑出发，银行业内人士认为，并非所有的信息都一样重要，因此，首先要对资料进行分类，分成〃高度机密〃、〃机密〃和〃公开〃信息三类，不同种类的信息采取的保密措施不相同。对于高度机密信息，在储存和通过内部网络传送时必须加密。在技术和资金允许的情况下，可以尽量采用更强一些的加密钥匙。同时，要强化密钥的管理，建立有效的密钥管理制度，其要素应该包括保护密钥不受篡改和违法使用，根据资料的秘密程度，定期换密钥。至于通过公开网络传递的信息，都必须进行加密。其次，要采用一定设备将网络信息进行定向分流。比较常见的方法是使用网络转向盘（switches）和智慧网络集线器（intelligent hubs），以限制无关人员获得信息。网络集线器（hubs）是计算机和网络之间的连接设备，其缺点是某一个网络集线器上连接的所有计算机都可能获得通过该网络传输给其他计算机的内容。也就是说，如果有适合的硬件和软件，联在某一个网络集线器上的计算机就可能截获和解密（被称为sniff）通过这个网络集线器的网络所有信息，如果装上所谓的智慧网络集线器或者网络转向盘将通过网络传递的信息特定化，将特定的信息传送到特定的计算机上，就可以避免出现上述的情况。
2进入系统控制（acomess control）。所谓进入系统控制主要是控制进入系统人员的身份，只有真正的合法使用者才能进入系统，无关的人员则不能进入系统。常见的控制方法包括使用密码（password）等。银行业内采用的控制手段包括：
（1）使用更为安全的身份认证手段，限制进入关键设备、系统和高度机密资料。所谓比较安全的身份认证手段主要包括〃一次『性』〃密码（one time password），数字证书和生物技术措施。通常情况下，密码是多次使用的，使用者需要记住自己使用的密码，每次进入时根据机器的提示输入密码才能进入。多次使用密码容易造成密码的遗失（使用者忘记自己的密码），更为重要的是容易被犯罪分子盗取。一次『性』密码也就是只使用一次的密码，每次进入计算机系统时，密码都不同。通常是用〃智能卡〃这样的设备根据每次进入的情况随机产生，有时，这些智能卡本身还需要密码才能进入和使用。数字证书就是同密钥管相联系的，由第三方向银行发布认证证书来确认某人的身份，其原理就像开介绍信一样。生物技术措施主要是采用指纹、声音识别、面部特征和眼部特征等人的生物特征来识别人的身份。
（2）将内部网络进行分割防止信息被截获。由于内部网络本身容易被截获和破译，因此，可以根据内部网络的情况，采肜网桥（bridges）、路游器（routers）、防火墙等技术对网络本身进行分割，特定的网络部分只能履行特定的职能，供特定的人使用，其原理就像安装网络转向盘一样将信息分流，但分割网络则显得更为彻底。
（3）将所有支持内部网络的关键设备、辅助设备（键盘、控制服务器的计算机）、防火墙等集中放在玻璃室（glass houses）里，限制外来人员进入这些地方，同时设置24小时警卫。如果由于地域和经营的角度需要，必须将一些设备分开放置，则可以建设几个玻璃室，采取同样的安全措施。此外，有的人通过『操』作台（console）攻击服务器，获取相关的资料比如密码，要限制进入玻璃室里的『操』作台（console），通过密码保护其屏幕，经常更换密码等等。此外，由于连接点（例如hub）是最容易受到攻击的设备，因此，对于这些连接点，也要尽可能采用类似于玻璃室的措施将其置于安全的场所。
（4）创建所有网络使用者的安全档案。根据网络使用者的业务职责，安全档案记录每一个网络使用者进入设备和某些资料的情况。如果雇员变动工作，必须随之变动其安全档案和有关资料，使其不能继续进入原有的设备，如果雇员离开银行，则必须立刻取消其进入银行网络的权利。目前，已经开始研制一些商业软件，可以用来自动实现上述职能，一旦这些软件被开发应用，银行要及时采用。
（5）对桌面系统（desktop system，主要反映与网络相连的计算机）进行有效的安全控制。首先，由于桌面系统最容易受到犯罪分子的攻击（盗取资料、破坏系统），因此，要尽量减少高度机密信息储存在个人计算机上，尽可能的将这些信息储存在有安全保护措施的中央服务器上，如果必须保存在个人计算机上，则要求采取相应的加密、控制进入和定期备份等措施。其次，如果个人计算机同关键网络连，则使用需要开机才能输入密码的装置来加强安全控制。这样，如果有外人非法侵入计算机，通常需要切断电源，等待约20分钟，才能得逞，这样就可以延长时间，便于发现犯罪活动。再次，如果有的计算机既同内部网相连，又同外部公共网相连，那么就要安装特殊的中央调制解调器（dial…in dial out modem pool）来严格控制这些计算机远程进入内部网。也就是说，将这些计算机和内部网再用防火墙等设备隔开，严格控制进入。此外，定期的对本银行内部的所有计算机进行拨号检查（war…dial），可以顺序拨号，也可以随机拨号，主要目的是检查是否所有的调制解调器都是合法的，避免他人非法安装调制解调器进入内部网络。最后，还可以通过各种各样的办法来加强安全控制。比如，要控制使用这些计算机的时间，只允许工作时间使用，下班之后就自动切断；每一个计算机都应该有具备经过一定时间不使用之后，比如键盘一段时间不用之后，自动停止工作的功能，或需要密码才能重新进入的设置，主要目的是防止利用别人的计算机进行犯罪活动。时间间隔可以不相同，一些重要的计算机（比如涉及资金转移）间隔时间可以非常短；有时，一些罪犯成功侵入某一计算机后，计算机就再也无法控制，可以考虑对一些储存高度机密资料的设备具备定期的（比如5分钟）重新认证的程序，这样可以限制罪犯获得资料。
入世带来的…… 第2章 警惕国际计算机诈骗（2）
（6）一些重要人物，比如系统的管理员，可以毫无障碍的进入任何计算机和数据库，对于这样的人则必须采用类似于双人临柜等责任分离，相互监督等手段来进行控制。
此外，对于一些高度机密文件的备份，也要采取同样的人员实际进入控制和逻辑进入（密码等）控制的措施。在清除计算机硬件之前，一定要清除所有的机密文件。
3密码管理
银行对密码的使用必须建立有效的管理制度。密码管理制度有一些基本的要素需要遵循，比如银行的计算机系统自动促使使用者定期修改密码，使用者之间不要相互合用密码，不要使用一些很容易被猜到的密码等等。具体的措施包括：（1）如果密码被多次使用或通过网络传递，必须对密码进行加密才能存储或传送。（2）使用安全子系统和应用程序建立密码的历史档案，防止重复使用不久前才使用过的密码。（3）使用已经开发出来的一些软件，当使用人输入密码之后，自动进行检测，以检测出那些可以很容易猜到的密码，防止常见的字典式攻击（dictionary attacks）等。（4）如果一些使用者的帐户过了一段合理时间后，也没有使用，则停止其使用，如果继续没有反映，则彻底清除该帐户。时间的间隔根据机构不同而不同。（5）为了防止犯罪分子使用一些自动的程序软件猜测密码，必须规定一个界限，比如多少次出现错误则停止其进入，并通知系统的管理员。（6）为了防止犯罪分子盗用他人的合法密码进入内部网络，应该随时将上次使用密码的时间等情况通知合法的使用者，便于发现自己的密码是否已经被人盗用。
4配置（configuration）管理。由于银行内部网络的运作很大程度上依赖于主服务器的合理配置，因此，应该将支持内部网络的服务器集中放置，比如像前面的设备一样放在中央〃玻璃室〃里，在此基础上合理配置服务器，同时，定期进行测试，以保证其良好的配置和运行。
5安全策略。在这里所讲的安全策略实际上包括三个方面，管理层对于安全控制的责任、对软硬件设备及外部厂商的技术要求和危机（紧急事件）处理程序。
（1）强调银行的管理层应该有明确的安全策略。关于这个问题，我们在后面的内部风险管理和外部监管两部分都会进一步加以详述。在这里，主要从宏观上要求银行的最高管理层应该有一个全面的信息安全政策，这种政策应该勾画出银行信息管理的总政策，某一项具体服务（比如互联网服务）的具体安全政策，明确的划分各类人员的责任，违反责任的处罚措施等，强调管理层在信息技术安全中的领导作用。
（2）对软硬件设备及外部厂商的技术要求。银行的许多技术设备（软件硬件）是从外部厂商购买的，应该要求对方提供保证书，保证没有任何病毒，没有留有任何后门（back doors）使厂商可以随后进入内部网络；在购买和调试软件时，保证其符合厂商的安全和品质说明；在同外部厂商缔结的协议中，明确规定与安全问题有关的权利义务，同时采用独立的第三方专家来负责进行安全检查。其次，对所有当前使用的应用程序、『操』作系统和其他设备都要建立准确的档案，一旦发现系统的故障，就能够迅速识别是什么软件引起的，及时更新和纠正。此外，如果银行网络同其他机构的网格相连，必须要求其他网络也采用同样的安全措施。还应该采用有效的程序监控系统内任何修改和改变，以防止内部人士可能任意篡改有关信息。
（3）建立危机管理程序，识别和发现危机，应该有专门的危机处理小组，有明确的责任和分工，同时，建立关于证据收集和保护的规则。
6网络安全监控
网络安全和监控强调动态的持续监督，它要求必须对系统活动进行严格的监控。尽管不可能完全控制黑客的入侵，但可以采取措施为入侵制造障碍，进行监控，及时发现入侵迹象，采取相应的对策。其具体的措施包括：
（1）为了发现入侵活动，应该建立详细的用户、网络等活动的档案（log），由于档案的数据非常庞杂，同时还需采用软件（audit reduction software）对这些数据进行整理和追踪，如果出现异常情况，自动通知系统管理员；同时，除了机器辅助识别以外，也要配置经验丰富的系统管理员定期进行查看和监控。
（2）对关键入口，每一个计算机都要尽可能的安装病毒扫描和清除程序。同时，及时对病毒软件进行升级换代，对职员加强防病毒的意识，比如严格要求每一个外来的软盘和光碟都要杀毒之后才能在计算机上使用。
（3）使用可以信赖的第三方对安全进行评估。目前已经有一些公司专门提供服务，为其他公司进行网络安全的评估，发现其网络的缺陷，不定期的对网络进行攻击，来检验公司内部人员能否及时发现这种攻击；同时，内部人员或聘请外部人员帮助监控公告牌，聊天室等网站，及时了解一些人通过这些设备来散发机构安全缺陷的信息。一些公司甚至主动同一些〃黑客〃达成协议，邀衣〃黑客〃进入其计算机系统，通过这样的方式来不断改进系统的安全『性』。
7人员管理
（1）业务处理的分工。即一项经济业务的全过程不应由一个人或一个部门单独处理，应分割为若干环节，分别给不同的岗位或人员去管，具体要求是：授权进行某项经济业务和执行该项业务的职务要彻底分离；执行某项业务的计算机『操』作和审查该业务的职务要分离；
（2）各职能部门具有相对独立『性』。这种独立『性』表现在：一是各职能部门之阐是平级关系，而非上下级从属关系；二是各职能部门的工作有明确分工，不存在现任共同负担的关系。这样不仅可以预防诈骗的产生，而且诈骗一旦发生时还可以避免损失的进一步扩大。
（3）人员素质控制。良好的思想品德和职业道德是防范诈骗的前提。对人员的选择、使用和培训采取一定的措施和办法，以控制职员的素质。
（4）建立职员的职务定期轮换制度。这样可以增加某项职务的全面复核。实践证明，有关职务的定期轮换不仅能使某项业务的执行人员发生的错误在短时间内被发现，而且还能促使工作人员兢兢业业地工作，打消诈骗的念头。
（5）对『操』作员处理的业务建立定期或不定期得查核对控制。记录与实物以及记录与记录之间的复查核对，能进一步保证记录的真实、正确。特别是不定期复核，更能对犯罪分子产生威摄作用。
二、加强银行技术风险管理
从目前银行业的趋势来看，风险管理已经成为国际银行管理和监管的比较通行的做法。面临计算机和网络的迅速发展和应用，银行已经逐渐电子化、网络化，银行在这方面也发展出一套电子银行的风险识别和管理做法，在此基础上，各个监管机构也推行自己的风险监管的办法。这些措施总的来讲是一致的，只是侧重点不一样。下面的两部分我们主要介绍西方国家目前采用的银行技术风险管理和监管的一些做法。
1电子银行的风险识别。银行在防范计算机和网络犯罪时，最根本的措施是首先对所面临的风险进行识别。根据目前国际通用的风险管理分类标准，银行面临的风险包括『操』作风险、声誉风险、法律风险、信用风险、流动『性』风险利率风险和市场风险。就计算机和网络方面来讲，最重要的是前3种。不过，不是所有的风险都同犯罪有关，我们下面就结合计算机和网络犯罪的情况，对西方国家银行目前采取的针对计算机和网络犯罪所进行的风险识别。
（1）『操』作风险（operational risk）。就计算机和网络技术来讲，银行所面临的『操』作风险主要是系统缺陷所造成的损失。美国通货管制局（ocom）的报告提出的交易风险（transaction risk）同巴塞尔委员会提出的『操』作风险基本是类似的。巴塞尔委员会的报告将『操』作风险又进一步划分为安全风险、系统风险、实施和维护风险，和消费者错误使用金融产品带来的风险三种类别。安全风险是最为常见，也最为人们理解的风险，我们在上一部分中已经比较详细地阐述针对安全风险所采取的技术和管理控制措施。巴塞尔委员会把『操』作风险分成三种：第一，银行的计算机系统遭到非法入侵，比如黑客进入银行的内部系统，银行和客户在传递信息的过程中�