某证券公司网络安全体系结构的研究

刘世军 （蚌埠学院，安徽 蚌埠233000）

随着计算机网络技术的快速发展，以及电子银行、电子商务和电子政务的广泛应用，计算机网络已经深入到国家的政治、经济、文化和国防建设的各个领域，遍及了现代信息化社会工作和生活的各个层面，“数字化经济”和全球电子交易一体化正在形成。计算机网络安全不但关系到国家军事、政治和经济各个方面，而且涉及了国计民生和国家的安全与主权。随着计算机网络被广泛应用以及网络数据传输量不断增大，网络安全的重要性更为突出。随着互联网的日益普及，信息安全逐渐成为网络性能的影响瓶颈［1］。这些年来，证券行业网络被 “黑客”入侵而造成经济损失与不良影响的现象不断出现。因此，证券行业网络安全早已成为证券机构与相关人员需要重视的问题。

1 证券公司网络安全现状与分析

目前，证券公司的网络安全现状和问题主要体现在以下3个方面：①黑客攻击证券交易网站。黑客对交易网站进行攻击干扰和破坏，非法获取交易信息，特别是一些有重大经济价值的信息。同时，网上证券交易双方通常互不相识且互不见面，因而很难识别交易者的身份，这便涉及了对交易身份的鉴定与辨别。通过病毒等攻击手段，黑客对密码和信用卡号等资料进行窃取，然后利用个人资料冒充目标人来从事交易活动，从而获得一定的经济利益。此外，高级黑客还会恶意篡改网上传输的证券交易信息，而破坏数据信息的完整性与正确性，因此如何保护证券信息的传输也是-个重要的问题。②病毒攻击与内部管理问题。计算机病毒是一段具有传染性、复制性、破坏性和隐蔽性并通过系统漏洞和文件共享等多种途径进行传播与感染的恶意代码。近些年来，新型计算机病毒在不断地出现，倘若证券公司网络系统中存在着这些隐藏的病毒，很可能会引起灾难性的后果［2］。大量数据事实显示，内部管理或者监督不严是造成证券公司计算机网络系统的出现问题的主要原因，比如：设备管理员只是设置弱口令甚至不设置口令，以及内部人员进行违规操作等。因为证券行业的特殊性，其内部人员对公司网络系统的重要信息进行恶意破坏、修改和泄漏等事件的发生是最难防范的，其发生的概率也较高，因而对于这类事件的解决措施也必须同时从技术和管理等方面入手。③证券公司业务通常与银行、电信公司、证券交易所等单位联系紧密，因而它们的网络信息系统也是互相连接的。但是，这些单位与证券公司的网络之间不是完全的信任关系，因而它们的互联也给证券公司的网络信息系统带来了外在的安全威胁［3］。怎么进行网络操作者身份的确认，如何确定消息的可信性，怎样避免信息交换双方事后抵赖各自所发送信息，如怎样避免网上传输信息的重发与窃取，怎么避免信息传输的阻塞与网络攻击，以及如何保证银行和证券公司转账系统的安全性，如何避免虚假交易和绕过系统的恶意破坏等等，这些都是需要迫切关注的问题［4］。

2 安全体系结构设计原则

网络安全的传统设计方法只是依靠几项安全手段与技术来确保整个系统的安全，依然停留在静态与局部的层面上。证券行业网络安全的现代设计应该紧跟行业发展趋势，在规划网络安全方案时要遵守以下几个原则：①体系性。制定完整的安全保障、安全技术与安全管理体系。②系统性。引入的安全模块要体现系统的统一管理与运行的特点，从而保证安全策略实施的一致性与正确性，防止独立管理和配置安全设备的工作方式［5］。③层次性。依据相关的安全需求进行安全设计，采用安全机制实现各个层次所需的安全服务，以便保护网络信息的安全。④综合性。网络信息安全设计包括了行政管理、技术管理与业务管理所要求安全管理方案，以及完备性、可扩展性与先进性等方面的技术方案，从而形成了设计的总体方案，以供工程安全系统运行和分阶段实施提供指导。⑤动态性。随着网络安全技术与产品的不断更新与完善，网络信息系统也在逐步建设与发展。所以，要在保护现有资源的基础上，体现出最新与最成熟的安全设计技术与产品，从而达到网络系统安全的目标。

3 安全体系结构设计方案

根据上述的网络安全设计原则，整体安全体系中的网络安全工程应该要进行安全防护、检测和系统响应。此外，根据实际的安全需求，建议有选择的进行安全系统恢复［6］。笔者所提出的安全体系结构是参照中国证券机构营业部信息系统技术管理规范来制定的，安全体系结构如表1所示，整个网络安全结构如图1所示。

表1 证券公司网络安全体系结构

4 证券公司网络安全管理设计

信息安全管理机制的建设按照自上而下的垂直管理原则，也就是指：上一级机关信息安全管理机构对下一级机关信息系统安全管理机构的工作进行指导；下一级机关信息安全管理机构必须对上一级机关信息安全管理机构的安全策略进行接受和执行；信息系统安全管理机构不属于同级管理机构［7］。

根据信息系统数据的保密性与管理原则，信息安全管理部门要制订相应规范与管理制度，具体工作如下：①明确系统的安全级别。②依照系统的安全级别来制定安全管理范围。③制定机房出入管理制度，分区控制安全等级高的系统，并限制工作人员出入与自己工作无关的区域。④根据职责分离与多人负责的原则，制定合适的操作规程，同时要求工作人员各负其责并不能超过自己管辖范围。⑤制定相关系统维护制度，进行安全维护之前经过主管部门批准配备在场的安全管理人员，从而详细记录故障的原因、维护内容和维护前后的情况。⑥在紧急情况下，制定尽快进行系统恢复的应急措施，从而尽量减小损失。⑦制定工作人员的聘用与解聘制度，及时进行工作人员与离职人员的调动与调整。

图1 证券公司网络安全结构图

5 结 语

随着网络应用的不断普及，网络安全问题显得愈来愈重要。对于建立安全可靠的网络，国家和企业有了更高的要求。鉴于国家与企事业单位以及社会的重视，用于信息安全方面的资金在逐年上升。然而，信息安全并不是堆叠市场上的所有安全产品，因为这种堆叠不但会造成经济和人力上的巨大浪费，而且达不到防护效果。所以，计算机网络安全方案的建立与完善显得非常重要。一个具体的网络系统安全方案，要建立在网络风险分析的基础上，并结合系统的实际应用进行实施和执行［7］。因为各种系统的应用领域不同，不能把网络信息系统的安全方案简单地固定为一个模式，然后用对所有的网络系统套用这个模式。通过对网络的连通性、网络管理功能和应用系统功能的实现以及实际数据传输的测试结果表明，笔者提出的网络安全设计与管理方案均达到了证券公司中小型网络管理的需求。

［1］徐广，王海春 ．证券公司网络安全探讨与策略分析 ［J］．科技风，2010（13）：80-81．

［2］潘莹 ．证券公司网络系统的安全和备份 ［J］．商业研究，2001（10）：164-166．

［3］万长林，曾炜，占传杰，等 ．证券网络安全监控系统的设计与实现 ［J］．计算机与现代化，2003（11）：65-67．

［4］段宏伟，张震，曾游 ．证券资金结算通信网络安全系统的设计和实现 ［J］．信息工程大学学报，2002（4）：40-41．

［5］戴庶 ．辽宁证券网络安全系统的设计与实现 ［D］．大连：大连理工大学，2006．

［6］高夯 ．中信证券网络安全建设方案 ［D］．成都：四川大学，2003．

［7］杨静，刘巨洪 ．浅谈网络安全体系的特性与建设策略 ［J］．甘肃科技纵横，2006（6）：8-9．