時間：2023-10-31 10:25:41
緒論：在尋找寫作靈感嗎？愛發(fā)表網為您精選了8篇安全信息服務，愿這些內容能夠啟迪您的思維，激發(fā)您的創(chuàng)作熱情，歡迎您的閱讀與分享！
關鍵詞 食品安全；信息追溯；終端查詢
中圖分類號：TS201 文獻標識碼：A 文章編號：1671-7597（2014）10-0137-01
當前食品、藥品等關系國計民生的行業(yè)屢屢出現(xiàn)嚴重的質量問題，從毒果凍、毒酸奶、毒膠囊到三聚氰胺、瘦肉精、塑化劑等，無一不在震撼大眾視聽，社會上對于產品的質量安全保證要求呼聲越來越高，企業(yè)也非常希望能建立一套完善的質量追蹤追溯系統(tǒng)?！秶沂逡?guī)劃》中明確提出要“建立食品藥品質量追溯制度，形成來源可追溯、去向可查證、責任可追究的安全責任鏈”。
2007年吐魯番地區(qū)提出加快實施“精品哈密瓜品牌戰(zhàn)略”，開展了包括質量安全信息追溯體系建設等為內容的多種舉措工作，新疆標準化研究院抓住這一契機，在當地相關部門的支持下，建設完成了“吐魯番哈密瓜質量安全追溯體系建設應用示范”項目。項目的建設完成成為質監(jiān)部門在開展質量安全信息追溯工作方面的首個應用示范工程。隨后通過幾年的努力，截至2011年，又先后在和田、吐魯番、喀什、昌吉等4個地州對總計12個農產品完成了體系建設工作，取得了一定的效果：如追溯體系的建設得到國家中心及兄弟省市同行的認可，產生了一定的影響力；納入平臺企業(yè)的信息化管理水平得到了提高，農戶取得了一定的收益。
然而，目前追溯體系建設工作的開展在定位、運作方式、系統(tǒng)功能完善及市場開拓和制度建設等方面還需要進一步地研究與探索，以滿足食品安全信息追溯工作在新形勢下實現(xiàn)快速發(fā)展的新要求。
1 平臺網站建設
1.1 平臺網站功能框架
架設應用子系統(tǒng)，主要包括“果蔬類追溯系統(tǒng)”、“乳制品電子信息追溯系統(tǒng)”、“水產品追溯系統(tǒng)”、“畜禽肉追溯系統(tǒng)”等，完善食品安全追溯信息中心數據庫。
主要版塊：新疆食品安全追溯信息查詢服務，新加入會員的產品宣傳，企業(yè)展示、營銷，食品安全相關資訊的，力爭將網站建成新疆權威的食品安全追溯網站；同時不斷優(yōu)化平臺，提高在google、baidu中的排名。
信息方式以實現(xiàn)互聯(lián)網、查詢終端、電話、手機接入wap網站服務、短信等。
提供系統(tǒng)智能統(tǒng)計分析；整合各個已有的食品安全信息追溯應用服務，形成對外統(tǒng)計、查詢接口。
1.2 為平臺的可擴展性預留接口，實現(xiàn)追溯信息的資源共享
1）考慮與國家質監(jiān)總局追溯平臺數據對接。
2）與第三方檢測機構數據對接。
3）考慮與銷售終端網點、信息門戶網站、網上營銷等實現(xiàn)的數據對接與資源共享。
1.3 追溯碼長度適應多樣化要求
可依據企業(yè)需求，按照國家標準可自由選擇在編碼要求規(guī)定范圍內編制追溯碼；同時，查詢平臺滿足不同長度追溯碼的查詢。
2 平臺主要內容
2.1 平臺的軟件環(huán)境
軟件環(huán)境：Windows 2000 Server以上的操作系統(tǒng)，Microsoft SQL Server 2000以上的數據庫、IIS（Internet信息服務） 5.0以上、Microsoft .NET Framework 2.0以上、與Microsoft .NET Framework對應的Crystal Reports、Microsoft 2.0 AJAX Extensions。
2.2 平臺建設目的
1）滿足職能部門的監(jiān)管需要；通過提供有效的追溯信息，為職能部門依法行政、打擊假冒偽劣等工作提供服務。
2）滿足企業(yè)管理的需要；“總平臺”建設以“扶優(yōu)撫強”為基本出發(fā)點，通過加強追溯信息鏈條各環(huán)節(jié)的管理控制工作，提升企業(yè)質量控制能力的水平。
3）滿足消費者知情權的需要；通過強化企業(yè)的應用主體責任，向社會明示追溯產品信息的真實、有效并公開承諾責任義務，為社會監(jiān)督企業(yè)行為獲取追溯信息提供渠道。
4）滿足研究部門提供有效服務的需要；通過對“總平臺”管理體系、標準體系、技術體系的研究與建設，全面提高向社會各界提供有效服務的能力和水平。
2.3 平臺特點
通過平臺的建設，政府監(jiān)管部門通過此平臺可及時對企業(yè)及食品進行流向跟蹤、抽檢，并拉近了企業(yè)與消費者的距離，主要體現(xiàn)在以下幾個方面。
1）實現(xiàn)信息查詢的完整性。在種植/養(yǎng)殖過程、原輔料供應、生產管理、倉儲物流、銷售業(yè)務等各個環(huán)節(jié)采取合適的技術手段實時記錄產品信息，可通過查詢隨時跟蹤產品的生產狀態(tài)、倉儲狀態(tài)和流向，以達到產品追溯管理的目的。
2）信息的唯一性。通過追溯碼的唯一性，能夠定位到每個或每批次包裝產品。
3）信息查詢的準確性。消費者查詢到的食品安全信息應與企業(yè)食品實際生產過程相一致，保證數據的真實性，同時應對數據傳輸各環(huán)節(jié)進行監(jiān)控，防止數據篡改和前后不一致。
4）信息查詢的方便性。消費者可通過手機、PC、超市掃描設備等終端隨時隨地對食品安全信息進行查詢。
2.4 平臺建設原則
平臺建設的5個原則：
1）法律法規(guī)為基礎的原則：平臺建設充分考慮政策的支持，貫徹落實《食品安全法》、《農產品食品安全法》、《標準化法》、《食品安全法實施條例》、《國務院關于加強食品等產品安全監(jiān)督管理的特別規(guī)定》等相關法律法規(guī)。
2）政府引導、企業(yè)自愿加入的原則：以“會員制”方式發(fā)展成員，以三種模式開展會員制建設工作，一是“政府引導、企業(yè)參與”的方式帶動區(qū)域追溯體系建設工作；二是以經濟合作方式下的社團參與模式；三是企業(yè)化的運作模式。
3）符合“扶優(yōu)扶強”的原則：加入平臺的企業(yè)具備一定的條件，通過“準入制度”的相關要求進行審核評價后，滿足追溯體系建設的最低標準要求方可成為平臺的加盟企業(yè)。
4）企業(yè)應用主體責任原則：強調企業(yè)在食品安全信息追溯中主體責任的內容，通過落實企業(yè)在食品安全中第一責任人的角色，協(xié)助企業(yè)建立“食品質量安全記錄制度”。企業(yè)對的信息確保其真實性、準確性、有效性，并向社會公開承諾。
5）整體規(guī)劃、分步實施的原則：以完成追溯管理要求和查詢的要求出發(fā)，逐步完成較全面的綜合網站平臺建設任務。
3 結束語
質量安全追溯系統(tǒng)的應用，無論對企業(yè)還是社會，都具有重大的意義和價值。對于企業(yè)來講，追溯系統(tǒng)能解決其生產經營過程中的質量管理問題，有助于企業(yè)提高產品質量，提升客戶滿意度；對于社會來講，追溯系統(tǒng)的廣泛應用可以有效地實現(xiàn)產品質量監(jiān)管。因此，無論企業(yè)還是政府部門都在不斷加大力度推動生產、流通領域建立質量安全追溯體系。
市場需要安全集成服務
信息安全服務因為涉及用戶信息化建設和管理制度的多個方面，顯得更加復雜?！艾F(xiàn)在，信息安全、軟件、網絡，往往被企業(yè)分成三個包，在信息化建設招標中被分包給不同的企業(yè)，獨立的市場需求使得這個產業(yè)很快成熟起來?！鄙挲堈苓@樣說，“信息安全市場的快速成長速度也曾給產業(yè)帶來了困惑，許多安全產品廠商還延用著以自身產品為中心，為用戶提品、方案設計、系統(tǒng)集成、后期服務等多種信息安全服務的傳統(tǒng)做法。但如今規(guī)模較大安全需求較高的用戶進行信息安全建設時，通常要考慮多個安全平臺的建設和協(xié)同，涉及多種產品和技術手段，關系到廠商、用戶、主管單位和制度建設等多個方面，必須要有一個理論扎實、經驗豐富，能站在更高的高度上統(tǒng)籌全局的安全服務提供商，來對項目的咨詢、設計、選型、實施、服務等多個環(huán)節(jié)提供全面支撐。”
產業(yè)鏈亟待成熟
“目前安全服務市場包括兩類企業(yè)，一類是安全產品廠商，另一類是信息安全的集成服務商?！鄙挲堈苷f，“信息安全集成服務市場還處在培育期，產業(yè)鏈需要成熟、明晰分工。比如說某些安全產品廠商也在將自己的安全集成服務業(yè)務剝離出來，在大型綜合性項目里信息安全產品廠商和信息安全集成服務商為了實現(xiàn)更好的實施效果，也開始嘗試進行全面的合作，這都是大趨勢?！?/p>
按照公司整體戰(zhàn)略的愿景，太極信息安全事業(yè)部提出了做“可信賴的信息安全服務專家”的發(fā)展目標，談到太極的競爭優(yōu)勢，申龍哲成竹在胸。
首先，太極公司具有深厚的技術積累和人才儲備。太極公司與華北計算技術研究所，從“八五”期間即開始從事與信息安全相關領域的研究和產品開發(fā)工作。華北計算技術研究所強大的研發(fā)實力和成熟產品與太極公司豐富的行業(yè)服務經驗相結合，形成了太極公司強化網絡安全集成方案的獨特優(yōu)勢。
其次，太極非常注重在提供各類應用服務的過程中采用成熟的安全產品及技術，從中積累了大量系統(tǒng)集成服務的經驗，結合太極近20年的行業(yè)服務經驗，太極在提供任何網絡系統(tǒng)集成服務方案時，都將實用、安全放在第一位，為用戶“量體裁衣”制訂個性化方案，這無疑是最符合用戶需求的。
第三，太極一直強調以用戶為導向進行開發(fā)。例如，太極公司在建設網絡安全平臺時一直堅持“博采眾長”的原則。這使公司在挑選系統(tǒng)集成方案過程中，不帶任何傾向性，始終堅持最優(yōu)化的選擇，堅持服務用戶的思路，為用戶搭建出性能最佳的安全平臺。
第四，太極一直把“值得信賴”作為打造太極品牌的關鍵因素，公司成立20年來，積累了一大批核心用戶，我們是與用戶共同成長的。
申龍哲說：“在政府行業(yè)太極已經是信息安全集成服務的絕對領先者，但是我們更希望更多有實力的企業(yè)參與到競爭當中來，把市場做大、做規(guī)范。去年公司年終總結大會上我曾說：‘信息安全，希望與挑戰(zhàn)并存。’希望我們的事業(yè)伴隨信息安全市場的發(fā)展，在希望中不斷成長?！?/p>
太極信息安全成功案例
•北京市建委網絡安全運維服務項目(北京市建委)
•國家發(fā)展改革委計算機網絡改擴建安全設備及軟件采購與系統(tǒng)集成工程
•國家棉花市場監(jiān)測系統(tǒng)安全系統(tǒng)建設項目
•外經貿專用網CA容災備份項目網絡安全項目
•國家工商行政管理總局網絡與信息安全建設項目-基本防護系統(tǒng)建設及安全維護服務合同書
•北京市監(jiān)察局紀檢監(jiān)察專網系統(tǒng)改造工程項目
•外交部“某系統(tǒng)”防病毒、內網安全軟件及IPS設備采購項目
•外交部“某系統(tǒng)”網絡交換機采購項目
•某網絡安全防范系統(tǒng)建設
•重要網絡風險評估服務政府采購項目
“十二五”期間，軟件技術和產業(yè)格局孕育著新一輪重大調整，軟件產業(yè)面臨網絡化、服務化、智能化、平臺化、融合化五大發(fā)展趨勢。國發(fā)[2011]4號文增強了對軟件產業(yè)的扶持力度，這必將催生軟件和信息服務新星的出現(xiàn)。
無論是基礎設施、資金、人才還是政策扶持，甚至是項目推介和品牌宣傳，軟件園區(qū)這片沃土都給軟件企業(yè)帶來豐富養(yǎng)分?！吨袊嬎銠C報》“軟件園區(qū)”專欄，記錄軟件企業(yè)崛起，見證軟件產業(yè)發(fā)展！
如今，電子取證和計算機法證業(yè)務在歐美發(fā)達國家和我國香港地區(qū)已經相當成熟，除了主要應用于金融行業(yè)外，在政府和企業(yè)中也有了相當多的應用。IDC 統(tǒng)計顯示，2011年全球電子數據取證市場的規(guī)模達到18 億美元，預計2015年中國電子數據取證將達到近10億元人民幣的市場規(guī)模。
電子取證：安全不可缺的一環(huán)
2012年3月，中國內地和香港地區(qū)最高級別的計算機法證技術協(xié)會——中國計算機法證技術研究會（CCFC）、香港信息安全與法證公會（香港ISFS）正式授權上海浦東軟件園信息技術股份有限公司（以下簡稱浦軟信息）為其華東代表處，這標志浦軟信息擁有了國內領先的電子取證平臺。
2012年7月，首次移師上海的第八屆CCFC計算機法證技術峰會在上海浦東軟件園舉行。會議期間，由浦軟信息投巨資新建并已投入運行的高水準電子數據司法鑒定實驗室（以下簡稱取證實驗室）及配套設施受到了海內外參會者的關注和期待。取證實驗室包含了計算機鑒定人員從事涉及計算機犯罪案件受理、電子數據勘查、調查取證、數據恢復、密碼破解、鑒定分析、證據存儲等13個專門區(qū)域，并已經與CCFC和香港ISFS做了業(yè)務上的對接。
據上海浦東軟件園信息技術股份有限公司總經理葉慧介紹，浦軟信息將集全公司之力把取證試驗室建設成為國內在技術與硬件條件上最卓越的實驗平臺。浦軟信息的取證業(yè)務將由單一的取證產品向多樣化、個性化服務轉變，最終形成以自主取證產品銷售、司法鑒定服務和專業(yè)取證培訓為核心的三位一體的業(yè)務模式以及“事前預防、事中響應、事后取證”的整體信息安全解決方案。
公司成立了專業(yè)的市場銷售團隊，通過整體的設計與市場策劃來推廣取證業(yè)務。
如今，浦軟信息更希望將已經擁有的平臺資源和取證業(yè)務推廣到信息安全市場較成熟的地區(qū)，與更多的業(yè)界同行一起培育電子取證市場。葉慧強調，浦軟信息作為計算機安全防護領域整體解決方案的提供商，有義務和責任通過自身的努力為社會帶來更多的價值，并以此作為自己的使命和社會責任。
取證培訓：旨在完善認證體系
工欲善其事，必先利其器。專業(yè)取證培訓是浦軟信息取證業(yè)務中很重要的一環(huán)。取證實驗室研發(fā)出許多基于高端技術的取證產品，其精心設計的培訓教室擁有各類多媒體設備，能夠滿足取證技術領域內的各種培訓要求，并已經舉辦過多次各類層次的取證培訓。
第八屆CCFC計算機法證技術峰會引入了海外專業(yè)培訓方式，在由香港ISFS開辦的研習會上，結合實際案例，對計算機法證技術應用及信息安全防護進行專業(yè)指導。
浦軟信息之所以花大力氣開展取證培訓業(yè)務，就是預見到取證市場的前景將無限廣闊，需要一個成熟的資質認證體系，構筑一個中國取證行業(yè)專業(yè)、統(tǒng)一的標準。因此，浦軟信息規(guī)劃了取證資質認證培訓的發(fā)展方向，那就是明確自身的市場地位，完善取證實驗室的培訓體系和業(yè)務，今后將與海內外專業(yè)機構合作，繼續(xù)拓展培訓業(yè)務，最終得到政府部門和業(yè)內對浦軟信息取證培訓資質認證的認可。
制度創(chuàng)新：確保信息業(yè)務拓展
今年2月15日，上海股權托管交易中心正式開張，浦軟信息成為首批掛牌OTC（場外交易市場）成員。這對浦軟信息來說無疑是一個重要的轉折點——浦軟信息已經從一家中小型的以產品銷售為導向的IT公司轉變?yōu)橐患乙訧T服務為核心的非上市公眾公司。
浦軟信息希望通過OTC掛牌交易，在為股東和其他投資者提供更多選擇的同時，通過股權的發(fā)行和交易使得公司的法人治理結構更加規(guī)范和嚴謹，這對浦軟信息未來發(fā)展是至關重要的，也是最大的挑戰(zhàn)。另外，作為公眾公司，浦軟信息必須考慮到諸多方面的影響，決策上必須更加謹慎，對內部資源的安排也要考慮得更細致，要有平衡企業(yè)資源的能力，包括客戶和市場資源，要投入更多的資源來支持和規(guī)劃新的公司制度和運轉。對此，葉慧信心滿滿。
優(yōu)秀基因：可持續(xù)發(fā)展的動力
作為一家還處于成長期的中小型IT企業(yè)，浦軟信息還有相當大的提升空間，但公司管理層始終保持著危機感，對市場保持高度的敏感，業(yè)務上真正做到以客戶為導向，技術上不遺余力地投入人力物力。追求“優(yōu)秀”是浦軟信息始終堅持的目標。
何謂“優(yōu)秀”，葉慧對此做了進一步詮釋。
“優(yōu)秀”體現(xiàn)在專業(yè)上，就是要有專攻方向。在信息安全領域浦軟信息已經有十幾年的經驗，這既是公司的優(yōu)勢也是公司的品牌。同時，這種專業(yè)還要體現(xiàn)在技術研發(fā)的能力上，使之成為浦軟信息的核心競爭力。作為一家IT公司，技術是最重要的生產力。
“優(yōu)秀”體現(xiàn)在人才上，就是把員工視作企業(yè)發(fā)展中最重要的資產，將管理團隊與技術團隊作為企業(yè)的核心。浦軟信息的股權結構中也有員工持股，這體現(xiàn)了公司創(chuàng)始人開放的胸襟。
“優(yōu)秀”同時也體現(xiàn)在健康上，浦軟信息未來的目標是上市。作為公眾公司，需要給股東和員工持續(xù)的回報，這是相當重要的。作為一家肩負著社會責任的公眾企業(yè)，體制一定要健康，不能一味盲目地追求增長速度，企業(yè)發(fā)展方式和公司結構至關重要，這也是企業(yè)可持續(xù)發(fā)展的前提。
IT行業(yè)內真正能夠屹立不倒的百年老店一定具備“優(yōu)秀”的基因，而不是純粹靠包裝和粉飾；同樣，有了這些“優(yōu)秀”的基因，一個升級版的浦軟信息將從企業(yè)級信息安全服務行業(yè)中脫穎而出，也就有了底氣。
記者手記
人生就是一場修煉
從上海市經濟和信息化委員會到上海浦東軟件園總部再到浦軟信息，葉慧的角色在不斷轉變，雖然都涉及IT和通信行業(yè)，但視角卻大不相同。尤其是調任浦軟信息后，葉慧從原先站在宏觀角度轉變?yōu)橐云髽I(yè)職業(yè)經理人的微觀角度來審視IT和通信行業(yè)，同時還要承受著國有企業(yè)職業(yè)經理人特有的壓力。
是什么信念使得葉慧能夠在應對不斷出現(xiàn)新的挑戰(zhàn)和壓力時如此談定和柔韌？答案就是被葉慧視為勵志誓言的《孟子·告子下》中的名句：“天將降大任于斯人也，必先苦其心志，勞其筋骨，餓其體膚，空乏其身，行拂亂其所為也，所以動心忍性，增益其所不能?！比~慧認為，一個職業(yè)經理人即使在處于坎坷時，也要保持良好的心態(tài)，不逃避不回避各種困難，積極面對挑戰(zhàn)并擁有破解難題、果斷決策的信心。
以一種域名系統(tǒng)命名的DNS服務器系統(tǒng)以及在瀏覽器中輸入域名調出，通過瀏覽器進行遠程II管理的WWW服務器配置，可以在任何服務器或者工作站打開瀏覽器，和FTP服務器配置作為計算機網絡的服務器配置的一般分類，從信息安全技術角度來看，以信息安全病毒或者黑客入侵技術等特點作為分析對象，建立服務器安全配置預防機制，首先對服務器自身的安全性進行自主強化。首先加強改版操作系統(tǒng)安全管理軟件，做到可以應用服務包來預先防范已知的網絡安全漏洞，修復安全補丁。逐步完善計算機操作系統(tǒng)的服務功能，保護登入帳號的安全，刪除不經常使用的軟件，保證服務器內置的潔凈。并且在服務器安全設置能夠高效運行的前提下，尋求最高的計算機安全級別，用以強化服務器操作系統(tǒng)。
二、FTP服務器的安全配置
本地用戶和組是以管理本地智能網絡模塊的一項管理工具，存在和運行于Windows的計算機當中，因此在Windows的安全策略中占據重要地位。通過服務器可以控制單獨使用的FTP站點，可以確認用戶賬號安全，控制網絡中有不安全性的匿名訪問以及IP地址限制。在密碼設置時要確認第二到第六個為止中一個或一個以上的符合或字符，并且保證至少七位字符的長度，用以加強密碼的安全設置。在主目錄的界面上，可以設置出有關于FTP站點的主目錄和權限，再通過目錄安全性的選項中，如果IP地址方式出現(xiàn)限制用戶訪問的情況，應該默認FTP服務器中全部IP地址的訪問權限。
三、制度Window服務器安全策略
首先需要將遠程桌面窗口的默認端口修改，對系統(tǒng)管理員的默認賬戶進行重命名，同時取消正在網絡連接中的文件和頁面，停用打印共享，關閉guest用戶使用權限。如果出現(xiàn)防護墻高級設置窗口，應該勾選出W服務和安全Web服務。并且還要注意開放短信的發(fā)送平臺端口，設置開啟Windows的防護墻。其次，禁止Printspooler打印服務、Wirelessconfiguration無線服務以及在局域網和廣域網環(huán)境中為各個企業(yè)提供路由器服務的RoutingandRemoteAcces以及遠程注冊表等無關服務。并且在打開注冊表時，禁止IPC空連接，刪除默認共享，新建AutoShareServer把值修改為0。在用戶權利分配下，通過網絡訪問計算機時刪除權限，啟用不可啟動的匿名訪問賬號和共享。點擊“開始菜單”在“管理工具”選項中選擇本地安全策略，如果在設置審核登陸過程中，在事件查看器里的安全日志記錄登陸失敗的信息。在服務管理器的管理界面中，從“站點名稱”中點擊“屬性”項目，需要對計算機日志的高級屬性進行設置，擴充記錄屬性界面，保存日志地址。通過“目錄安全性”選項，可記錄FTP行為日志，以便驚醒計算機系統(tǒng)的分析和管理。以此同時，記錄每一個用戶的FTP行為日志，在各個FTP站點啟用日志訪問選項。通過以上的對計算機信息化安全技術的分析和操作，我們確定從傳統(tǒng)的計算機安全理念發(fā)展到具備可信化為重心的計算機安全，在硬件平臺上引入安全芯片。例如TCP的訪問控制、TCP安全操作系統(tǒng)的安全應用。
四、結語
表面工程信息服務平臺以基于web的B／S結構整合了專家系統(tǒng)、遠程教育系統(tǒng)、價格系統(tǒng)、文獻資源庫等資源，服務表面工程界。對于任何一個網絡平臺而言，不安全是絕對的。安全是相對的。采用適合有效的安全策略。才能保證網絡平臺的正常運行。本文就該平臺的安全策略的選擇作一下闡述。
2 平臺運行環(huán)境
運行環(huán)境是平臺安全策略的基本要素之一。除了平臺所使用的服務器要穩(wěn)定可靠之外。對網絡接入服務提供商(ISP)也要高標準、嚴要求。
2.1服務器端配置
服務器端操作系統(tǒng)Windows 2000Server／Advance Server以上；
服務器端運行環(huán)境；Tomcat5.5；
系統(tǒng)開發(fā)工具：JavW/JSP；
數據庫：SQL Server 2000。
2.2服務器端網絡接入
專業(yè)電信級機房，共享100M帶寬，10M獨享更佳。要求99.99％網絡連通率，7×24小時服務響應。
3 平臺安全策略
本平臺的安全策略包括系統(tǒng)平臺、應用平臺、數據庫平臺、網站等四個方面。
3.1系統(tǒng)平臺安全策略
對于系統(tǒng)平臺的安全，主要考慮操作系統(tǒng)安全漏洞、惡意的黑客攻擊、病毒攻擊等方面的安全問題。通過采用C2安全級操作系統(tǒng)，提供用戶身份認證、審計、授權、訪問控制等功能，從而保障了整體電子商務業(yè)務系統(tǒng)平臺的安全。
應用服務器產品及其升級自身必然會存在一些缺陷和漏洞。隨著應用的逐漸深入，這些不足之處也會隨著顯露出來，這就要求我們及時跟蹤這些產品的補丁信息，及時更新升級產品，防止利用產品自身漏洞進行非法攻擊，增加我們整個應用系統(tǒng)的安全性。
3.2應用平臺安全策略
對于應用系統(tǒng)安全，我們設計的策略是三個方面：身份認證、權限管理和應用攻擊的防范。
應用系統(tǒng)安全是指應用系統(tǒng)本身在使用時的安全性，具體地說它包括兩個方面：業(yè)務邏輯上的安全和應用系統(tǒng)的反攻擊。業(yè)務邏輯上的安全是指業(yè)務程序和數據的使用權限(只有指定的人才可以接觸到指定的程序與數據)和功能互斥(使用者可以排他性地控制特定數據)。應用系統(tǒng)的反攻擊是指防止使用者利用系統(tǒng)中的漏洞非法使用應用系統(tǒng)。
在業(yè)務邏輯上的各個子系統(tǒng)和各個環(huán)節(jié)中，都要對用戶的身份進行認證，使用加密算法對用戶口令進行加密。以保證用戶的合法性和口令的安全性。然后在此基礎上，根據每個用戶在應用系統(tǒng)中擔當的不同角色，再對其權限進行管理，使不同級別的用戶在應用系統(tǒng)中具有不同的功能權限，通過訪問控制機制來控制用戶的訪問和操作。
對于用戶的登錄處理，均采用驗證碼及同一IP密碼錯誤封鎖機制，防止了密碼暴力破解之可能，最大程度保證了數據的完整性、安全性。
3.3數據庫平臺安全策略
數據系統(tǒng)安全設計從數據庫系統(tǒng)、數據傳輸和數據備份與恢復這三個方面來考慮的。
數據庫系統(tǒng)安全設計采用兩種策略，一種是安全級別和安全控制策略，包括用戶標識和鑒別、存取控制(自主存取控制，強制存取控制)、視圖機制、審計、數據加密等。
另一種策略是建立數據庫災害防范機制，包括采取各層次數據庫異地備份機制。數據備份與恢復是保障數據系統(tǒng)安全的必要手段。通過建立數據恢復和容錯處理機制，當系統(tǒng)數據出現(xiàn)問題的時候，把對數據的破壞減低到最小，并能夠對損壞的數據進行恢復。
此外在數據傳輸方面，可采用數據加密機制對網絡上傳輸的數據進行加密。
3.4網站的安全策略
3.4.1從技術層面來看，我們著重在以下幾個方面進行改進和加強。
服務器系統(tǒng)：
服務器考慮使用技術手段，將電源，磁盤，各關鍵服務器內部配件部分設計為冗余和熱插拔，防止單一配件和故障的發(fā)生影響所有網站系統(tǒng)，并且要解決故障件的方便在線更換維修。
網絡層：
不能將外網網站服務器在公網上，否則就暴露了服務器系統(tǒng)以及數據庫的很多重要關鍵信息，所有的網絡攻擊和破解行為將直接面對服務器系統(tǒng)和數據本身。需要應用具備良好防護能力的防火墻設備將服務器系統(tǒng)隱藏，并且保障業(yè)務和應用的正常訪問和運行。
應用層：
服務器系統(tǒng)和數據庫系統(tǒng)，包括BSS等業(yè)務應用的代碼系統(tǒng)本身的脆弱性和不健全，導致了有許多基于應用的漏洞可以被外網所破解偵測，因此在應用層上也需要設置針對應用層漏洞，包括病毒、木馬的入侵感染行為防護的應用級網關設備，為整個網站系統(tǒng)把好應用訪問的大門。網站前架設入侵防護系統(tǒng)，可以智能地識別絕大多數基于應用的攻擊行為，保護了網絡內部服務器系統(tǒng)的漏洞和數據庫漏洞，對于網站內容篡改、數據竊取、密碼盜竊、信息竊聽等攻擊行為可以起到很好的防護作用。并且可以智能地識別蠕蟲、木馬、病毒等多種危險程序的入侵和發(fā)作。
3.4.2數據的存儲備份恢復
網站系統(tǒng)以及數據庫系統(tǒng)，包括內部的各類程序、代碼、文檔和數據本身都可能遭到外網惡意攻擊者的竊取、篡改、刪除和破壞。因此所有的系統(tǒng)數據都需要有妥善、安全、方便的方法進行備份，以便發(fā)現(xiàn)情況時能夠盡快、靈活地對所有網站進行恢復，以保障網站系統(tǒng)的健康和再生能力。
由此，從服務器性能，到網絡層面安全隔離過濾，再到系統(tǒng)平臺應用級的智能防護，網站和內部網絡的整體安全將極大地提升數個層面，使得以往的各類來自于Internet的網絡安全問題和各類風險隱患極大地降低甚至杜絕。
商業(yè)銀行一直是信息化浪潮中的先行者。我國銀行信息化進程最早可以追溯至20世紀80年代，以單機應用為起點，先后走過了縣域微機聯(lián)網、城市集中、省域集中、全國數據集中的發(fā)展歷程。時至今日，我國商業(yè)銀行已基本實現(xiàn)信息化，建設成了能夠提供7×24小時不間斷服務并覆蓋城鄉(xiāng)的龐大信息系統(tǒng)。20世紀90年代，網上銀行的出現(xiàn)標志著我國銀行業(yè)服務從“線下”走向“線上”，并由此開啟了銀行渠道轉型之路，以網上銀行為主的電子銀行業(yè)務得到了迅速發(fā)展，交易替代率成為這一時期銀行衡量信息化水平的重要指標。據統(tǒng)計，2009年到2014年，我國商業(yè)銀行的電子銀行交易替代率從49%上升至80%（見圖1），但自2014年開始其增速明顯放緩，且預計在未來幾年將維持較低增速。交易替代率增速的放緩表明，以渠道轉型和規(guī)模擴張為主要特征的銀行信息化階段正在接近尾聲。而隨著經營環(huán)境變化，信息技術進步以及公眾金融意識的覺醒，從“銀行信息化”到“信息化銀行”的時代正在到來。信息化銀行是更高級的銀行信息化過程，它通過對信息的集中、整合、共享、挖掘，使銀行的客戶服務、經營決策、戰(zhàn)略制定發(fā)生質的變化［1］。各大商業(yè)銀行已普遍將信息化銀行建設提升至戰(zhàn)略高度，并提出新的經營理念[1－2]。理論界也緊跟信息化銀行變革趨勢，開展了廣泛研究。謝平較早提出互聯(lián)網金融模式，指出現(xiàn)代信息科技將對傳統(tǒng)商業(yè)銀行融資模式產生顛覆性影響，網絡信貸模式將為優(yōu)化資源配置做出貢獻［3］。宮曉林指出第三方支付平臺已對傳統(tǒng)銀行業(yè)務形成替代，使銀行退居支付清算的后臺［4］。王召認為銀行不能僅靠發(fā)展金融互聯(lián)網來消極抵御互聯(lián)網金融的威脅，而要將爭奪信用數據制高點做為重中之重［5］。樊志剛分析認為目前商業(yè)銀行已在互聯(lián)網金融的競爭中處于被動，必須主動采取大風控、大數據、大平臺等競合戰(zhàn)略［6］。王碩對互聯(lián)網金融下客戶行為變化進行分析，從客戶、網點、渠道、產品等角度開展銀行轉型研究［7］。馮娟娟認為互聯(lián)網金融背景下的商業(yè)銀行在資產實力、客戶資源、風控體系等方面仍具有絕對優(yōu)勢［8］。趙立志認為互聯(lián)網金融的“野蠻”生長帶來了極大的信息安全隱患，包括商業(yè)銀行在內的互聯(lián)網金融企業(yè)在業(yè)務發(fā)展中必須重視信息安全保障［9］?，F(xiàn)有研究主要是在信息化銀行變革大背景下集中于探討互聯(lián)網金融對商業(yè)銀行的業(yè)務影響以及商業(yè)銀行如何應對互聯(lián)網金融環(huán)境，但尚未揭示出信息化銀行較為明晰的發(fā)展脈絡，也未明確指出引領信息化銀行革新的核心驅動力。本文將在深入分析目前經營環(huán)境最顯著變化的基礎上，明確提出發(fā)展信息化銀行的三元驅動模型，并對信息化銀行建設實踐提出對策建議。
二、信息化銀行經營環(huán)境變化趨勢分析
信息技術在迅速提升商業(yè)銀行金融服務能力的同時，也本質性的改變了商業(yè)銀行內外部經營環(huán)境，商業(yè)銀行在新一輪的信息化浪潮中正面臨著新的挑戰(zhàn)和機遇。
（一）從外部競爭看，互聯(lián)網金融的蓬勃發(fā)展，擠壓了商業(yè)銀行的盈利空間
2013年以來，以互聯(lián)網理財、P2P網貸為代表的互聯(lián)網金融獲得爆發(fā)式增長。以余額寶為例，其規(guī)模已超過7000億元，相當于國內一家中型銀行的總資產規(guī)模?；ヂ?lián)網金融對商業(yè)銀行最直接的沖擊主要體現(xiàn)在三方面：一是負債端。四大行2014年報顯示，作為銀行最優(yōu)質資金來源的個人存款，增速正在大幅下降，尤其是個人活期存款增速由2013年的13.3%迅速跌落至3.8%，導致銀行資金使用成本上升。二是資產端。我國靠大規(guī)模投資拉動經濟增長的模式已告一段落，進入了“大眾創(chuàng)業(yè)、萬眾創(chuàng)新”的新時期。據調查，融資需求在50萬以下的企業(yè)約占55.3%，87.3%的企業(yè)融資需求在200萬以下[10]。目前商業(yè)銀行的信貸業(yè)務模式遠不能滿足這類小微企業(yè)的融資需求，也不能適應經濟結構轉型的新常態(tài)，而網貸平臺則在突破傳統(tǒng)信貸模式和服務實體經濟上活力突顯，率先占領了逐漸繁榮的長尾市場。三是中間業(yè)務環(huán)節(jié)。據統(tǒng)計，第三方支付和移動支付已經超越了商業(yè)銀行提供的網上銀行、POS機等支付渠道，搶占了支付市場前兩名位置（見圖2）。這不僅蠶食了商業(yè)銀行的利潤來源，還使商業(yè)銀行的支付業(yè)務逐漸遠離交易環(huán)境，無法獲取個人用戶的消費行為和企業(yè)用戶的供應鏈條中的寶貴數據。互聯(lián)網金融之所以取得成功，根本在于其立足于普惠金融，為用戶提供了門檻低、場景化、使用便捷的數字服務，顛覆了商業(yè)銀行重資產規(guī)模、輕客戶服務的傳統(tǒng)經營模式。
(二)從內生需求看，海量數據不斷積累，潛在價值有待挖掘
邁爾•舍恩伯格在《大數據時代》中寫到：“凡是過去，皆為序曲”[11]，在“互聯(lián)網+”時代，大數據的積累和應用帶來了商業(yè)思維和商業(yè)模式的升級變革。商業(yè)銀行依托信息系統(tǒng)大規(guī)模應用部署和運行，已經聚集了海量數據。以資產規(guī)模最大的工商銀行為例［2］，其信息系統(tǒng)中存儲的各類數據總量已達700萬GB，其中用于挖掘分析的數據在近7年增長了30倍，此外語音、圖片等非結構化數據以每年50%的速度增長，總量已達820萬GB。可見商業(yè)銀行已坐擁巨大的數據資源寶藏，但大多數數據仍處于“沉睡”或“孤島”狀態(tài)，未能在實際業(yè)務服務中實現(xiàn)增值。因此，對于商業(yè)銀行而言，已具備了大數據應用的條件和優(yōu)勢，但缺乏相應的思維和機制。在信息化銀行時代，充分利用大數據提升商業(yè)決策和服務效能，將是未來商業(yè)銀行完成轉型、爭奪市場的關鍵。
（三）從風險環(huán)境看，信息安全形勢愈發(fā)嚴峻，“互聯(lián)網+”轉型面臨考驗
近年來，商業(yè)銀行信息安全事件頻發(fā)，輕則發(fā)生客戶信息大量泄露，重則導致銀行信息系統(tǒng)全面癱瘓數日，這是信息化銀行將要長期面臨的重要隱患。信息安全事件多發(fā)的主要原因可歸結為以下因素：一是針對銀行信息系統(tǒng)的攻擊愈演愈烈。銀行信息系統(tǒng)關乎國家安全、社會穩(wěn)定和公民資金財產安全，加之其線上平臺不斷開放，容易成為網絡攻擊的目標。二是新型攻擊威脅巨大。當前黑客組織呈現(xiàn)出集團化、規(guī)模化、高水平化趨勢，攻擊行為潛伏期長、特征弱，善于利用未知漏洞形成突破，再逐層滲透，給現(xiàn)有防御體系帶來巨大威脅。三是新興線上業(yè)務增長帶來安全隱患。為了快速滿足不斷增長的線上業(yè)務需求，系統(tǒng)研發(fā)周期不斷縮短，導致系統(tǒng)漏洞增多。2014年，國家互聯(lián)網應急中心向包括銀行在內的重要信息系統(tǒng)部門通報漏洞事件9069起，較2013年增長3倍③。四是信息系統(tǒng)架構日趨復雜，考驗安全可控能力。系統(tǒng)規(guī)模的不斷擴大使得信息安全技術架構日趨復雜，安全加固點增多，系統(tǒng)產生海量信息難以被及時處理。目前銀行缺乏有效的關聯(lián)分析手段，難以實現(xiàn)網絡安全態(tài)勢感知和聯(lián)動防御。
三、信息化銀行的“三駕馬車”及三元驅動模型
從上述分析看，商業(yè)銀行迫切需要推動信息化銀行建設，積極應對內外部經營環(huán)境變化，打造全新的核心競爭力。本文認為，數字服務、大數據和信息安全將成為驅動信息化銀行發(fā)展的“三駕馬車”，引領商業(yè)銀行走上下一個高速發(fā)展的軌道。
（一）數字服務驅動信息化銀行的BaaS轉型
BrettKing在《Bank3.0》中提出BaaS（Bank鄄ing-as-a-Service，銀行即服務）模式[12]，即未來銀行將不再是一個地點，而是一種行為，一種無處不在的服務。未來金融服務將是一場為客戶提供優(yōu)質服務的數字戰(zhàn)役，線下網點的規(guī)?；瘮U張以及線上數字渠道的粗放式拓展將不再是主流。在BaaS模式下，信息化銀行數字服務的本質是在充分建立規(guī)模優(yōu)勢和渠道優(yōu)勢的基礎上，為客戶提供智能便捷、注重體驗的數字服務，它包括以下幾個方面：一是數字服務的智能化。智能化要求快速定位客戶需求，簡化操作流程，實現(xiàn)高效的客戶交互。例如，銀行已開始嘗試使用VTM(虛擬柜員機)設備來提供遠程銀行服務，實現(xiàn)對公零售業(yè)務的自主辦理，使用戶擺脫“取號+柜臺+紙質材料”的低效人工服務模式，充分享受智能化的數字服務。二是數字服務的移動化。金融服務的移動化是實現(xiàn)BaaS模式的關鍵，商業(yè)銀行已普遍搭建手機App移動平臺，并以此為網絡入口努力開展與移動產業(yè)生態(tài)的深度融合，尤其是在移動互聯(lián)網深度改變客戶行為模式的背景下，提升操作性、互動性、安全性以及解決客戶痛點將成為移動銀行革新的突破口。三是數字服務的場景化。數字服務的場景化將成為信息化銀行爭奪客戶流量的新特性，這要求銀行將金融服務與非金融服務嫁接，嵌入到日常生產生活場景中，并與整個互聯(lián)網生態(tài)體系進行深度融合，以獲得長期的用戶粘性和持續(xù)的商業(yè)變現(xiàn)。目前，場景化應用趨勢已初現(xiàn)端倪，如“網購+理財”（余額寶）、“網購+貸款”（網絡消費金融）、“線上+線下”（移動支付）、“數據+授信”（數據網貸）等。四是數字服務的協(xié)同化。協(xié)同化要求銀行整合既有的數字金融服務，打通業(yè)務間的邏輯連接，并與整個互聯(lián)網生態(tài)圈開展外部協(xié)作，實現(xiàn)業(yè)務流程再造和數字服務能力提升。無論是傳統(tǒng)大型銀行還是新興民營銀行都在開展這樣頗具革新性的實踐。例如，工商銀行的E-ICBC戰(zhàn)略整合了電商、通訊、直銷三大平臺，為客戶提供大一統(tǒng)的綜合金融服務。阿里系的網商銀行擬整合支付寶支付功能、余額寶融資功能、招財寶理財功能、螞蟻微貸貸款功能、芝麻信用授信功能等，建立信息化銀行數字服務的協(xié)同生態(tài)體系。
（二）大數據驅動信息化銀行的商業(yè)智能轉型
事實上，海量信息處理對于商業(yè)銀行并不是一個新的課題。在信息化進程中，銀行始終強調高速、穩(wěn)定、精確的數據處理能力，長期以來，嚴謹、機械和弱相關是銀行數據的特點。而進入信息化銀行階段，數據變得開放、動態(tài)、高附加值，將逐漸實現(xiàn)由資源性向應用性的跨越，銀行更加關注數據的建模、分析、挖掘及使用，大數據的應用成為新的課題。鑒于數字服務已向經濟社會各微觀領域滲透，利用大數據提高商業(yè)智能既是商業(yè)銀行的迫切需求也是先天優(yōu)勢。銀行可以通過各類服務渠道獲取海量數據，再通過對這些數據進行加工、整合、分析，實現(xiàn)數據增值，提升各個經營領域服務效能。例如，在零售業(yè)務領域，銀行可以通過歷史交易數據、資金結構數據對客戶進行分層管理，并通過對客戶消費行為變化、資金變化數據以及外部非結構化數據（如社交網絡數據）的分析，實現(xiàn)金融產品的精準營銷，并提供非金融增值服務，從而在產品差異小、可替代性強的零售業(yè)務領域脫穎而出。在對公業(yè)務領域，銀行可以通過在線供應鏈金融平臺實時客觀的掌握核心企業(yè)及上下游企業(yè)的信息流、物流、資金流數據，經大數據關聯(lián)分析后，既可以掌握某一個企業(yè)的整體經營狀況，并以數據分析結果為依據進行授信和放貸，又可以從宏觀視角分析行業(yè)發(fā)展趨勢，指導對公領域的戰(zhàn)略調整。在風險管理領域，可根據交易數據、社交數據、工商數據等內外部數據，完善小微企業(yè)或個人信用模型，使銀行更好的開展高風險的小貸業(yè)務；還可以基于電子渠道的海量數據完成電子賬號正常行為基線建模，再通過聚類分析以及實時流數據挖掘等方法進行異常事件檢測，從中識別網絡欺詐、賬戶盜用等行為，提高線上交易的安全性與便利性。如上所述，大數據將成為信息化銀行的大腦，調動各個業(yè)務領域的商業(yè)智能轉型。數據的處理和分析也將不再局限于銀行科技部門，而是將滲透于銀行的整體戰(zhàn)略發(fā)展中。
（三）信息安全將驅動信息化銀行的安全可控轉型
商業(yè)銀行是國民經濟命脈的重要環(huán)節(jié)，安全性是其穩(wěn)健經營和持續(xù)發(fā)展的基礎。隨著業(yè)務和技術的深度融合，信息安全已成為信息化銀行轉型創(chuàng)新與健康發(fā)展的基本前提和重要驅動，實現(xiàn)安全可控亦是信息化銀行的重要目標之一。信息化銀行下的信息安全范疇，主要包括安全和可控兩個方面。一是安全。隨著業(yè)務模式逐步開放，信息化銀行的安全性將與整個互聯(lián)網日趨復雜的信息安全生態(tài)緊密相連，這對銀行的信息安全能力提出了極高的要求。首先是敏銳的安全感知能力。信息化銀行互聯(lián)互通，形成“木桶效應”，銀行系統(tǒng)任何與外界相連的風險點都有可能成為整個系統(tǒng)被入侵的突破口，因此信息化銀行要實現(xiàn)業(yè)務拓展必須強化風險監(jiān)測和安全態(tài)勢感知能力。然后是堅固的安全防御能力。傳統(tǒng)的關注單點防御和階段性防御的孤立安全思維已不能有效應對新型安全威脅，需要構建系統(tǒng)間聯(lián)動、內外網聯(lián)動、前后動的立體化智能防御體系。最后是合理的安全規(guī)劃能力。在信息化銀行時代，用戶對金融服務的便利性和安全性都要求極高，要處理好這對天然矛盾，就需要將安全納入到業(yè)務創(chuàng)新的整體規(guī)劃中，針對業(yè)務場景實施有效的關聯(lián)梳理分析。二是可控。隨著互聯(lián)網金融服務的不斷創(chuàng)新，商業(yè)銀行將不斷面對類似于“雙11”、“搶紅包”等新型業(yè)務場景，經驗表明，當前銀行信息系統(tǒng)架構在應對業(yè)務的多樣性和多變性上已顯現(xiàn)不足，這制約了銀行業(yè)務創(chuàng)新轉型進程。因此，銀行應改變目前關鍵IT基礎架構和核心業(yè)務系統(tǒng)過度倚賴第三方廠商的現(xiàn)狀，加強頂層設計，推進深度自主研發(fā)，進一步增強核心系統(tǒng)架構的靈活性和安全性，提升對關鍵技術的掌控力，主要思路包括：一要以業(yè)務為導向，逐步向云計算服務模式遷移；二要從“IOE”向x86架構轉型，降低成本的同時，規(guī)避技術依賴風險；三要堅持開源軟件與自主研發(fā)相結合的技術發(fā)展路線；四要通過業(yè)務創(chuàng)新推動技術創(chuàng)新，實現(xiàn)基礎架構的高可用。未來信息化銀行將承載十分復雜的互聯(lián)網金融生態(tài)，信息安全將從銀行科技層面升級到戰(zhàn)略層面，并被納入整體能力建設和發(fā)展規(guī)劃中，成為高速發(fā)展中控制穩(wěn)定性的重要驅動。
（四）信息化銀行三元驅動模型
經過對“三駕馬車”的分析和論述，可以發(fā)現(xiàn)信息化銀行將形成以“三駕馬車”為核心驅動的戰(zhàn)略發(fā)展模式，在此總結為一種三元驅動模型（見圖3）。數字服務、大數據和信息安全分別解決信息化銀行經營中所面臨的主要問題，并引領其在BaaS、商業(yè)智能和安全可控三個方向上開展轉型。三者分工明確、缺一不可，同時又互為促進、相輔相成。一是數字服務使客戶更好的感知銀行，并在服務體驗中產生大量有價值的數據，大數據使銀行更好的認知客戶，從而有針對性的提升數字服務能力。二是數字服務的發(fā)展依附于信息安全服務水平的不斷提升，信息安全能力的不斷完善將保障數字服務更加大膽的開展金融服務創(chuàng)新。三是銀行大數據的存儲和使用本身會帶來數據安全和隱私保護問題，需要安全技術和安全管理的雙重保護，而大數據技術同時又能夠幫助銀行在金融信息安全感知防御能力上取得突破。
四、“三駕馬車”視角下商業(yè)銀行實踐信息化銀行的策略
根據前文的分析闡述可見，信息化銀行趨勢已成，以“三駕馬車”模式為抓手開展經營發(fā)展模式轉型，將使商業(yè)銀行在“互聯(lián)網+”時代占據戰(zhàn)略主動。本文以信息化銀行“三駕馬車”的觀點為視角，結合我國商業(yè)銀行實際情況，從縱橫兩個維度對商業(yè)銀行實踐信息化銀行提出相關對策建議。
（一）縱向上持續(xù)發(fā)揮“三駕馬車”的驅動優(yōu)勢
一是以互聯(lián)網金融為導向，加快完善金融數字服務。商業(yè)銀行應在網上銀行、手機銀行良好的發(fā)展勢頭以及網點轉型有序進行的基礎上，根據各自情況，不斷開發(fā)和完善自有電商平臺、資產管理平臺、網絡信貸平臺、移動金融平臺等新興業(yè)務平臺，積極探索特點鮮明的互聯(lián)網金融服務品牌化路線，建立綜合化數字金融服務生態(tài)圈。鑒于商業(yè)銀行普遍欠缺互聯(lián)網基因，且互聯(lián)網金融業(yè)務開展較晚，還可選擇曲線發(fā)展路線以提升數字服務能力。一種是外部合作模式，可通過收購具有潛力和規(guī)模的電商或投融資平臺，也可聯(lián)手大型互聯(lián)網企業(yè)開展線上金融服務創(chuàng)新，彌補自身業(yè)務體系不足；一種是差異化競爭模式，盯緊藍海，快速切入，例如在農村市場，可以充分利用銀行網點和聲譽優(yōu)勢率先發(fā)展農村電商平臺，還可以研究將支付理財通過移動金融等服務手段嵌入到田間地頭，滿足農民農戶的理財需求。二是堅持“數據治行”的現(xiàn)代經營理念，充分挖掘大數據價值。要積極開展內部商業(yè)數據的搜集整合，并通過爬蟲等技術主動式的定向獲取有價值的網絡數據，以及廣泛與互聯(lián)網企業(yè)、工商、稅務等開展外部數據合作，解決商業(yè)銀行數據“難搜集”問題；大力推進數據治理，明確數據標準，明晰管理流程，嚴控數據質量，并以業(yè)務數據、技術數據、管理數據等為分類建立企業(yè)數據模型作為各項目的參考數據模型，解決數據“不可用”問題；努力提升數據使用能力，開展數據分析技能培訓，以各業(yè)務條線為主導進行大數據應用立項，建立業(yè)務部門、數據管理部門及科技部門的協(xié)作溝通機制，引入試錯和反饋機制，深度挖掘數據潛能，解決數據“不會用”問題。三是將信息安全納入企業(yè)戰(zhàn)略規(guī)劃體系，切實提升安全可控能力。要提高對信息安全的認識程度，將安全可控視為信息化銀行建設中的“馬拉松”，化被動安全為主動安全，推動信息安全規(guī)劃向上層遷移。建立從企業(yè)戰(zhàn)略和業(yè)務需求角度出發(fā)，到系統(tǒng)架構、到技術架構、到實施管理、再到新業(yè)務架構變更的全生命周期安全規(guī)劃框架，確保安全規(guī)劃的持續(xù)性、可操作性以及實施彈性，使信息安全能夠全面融入到開發(fā)測試、生產運維、業(yè)務運營等各個環(huán)節(jié)。在提升安全規(guī)劃層次基礎上，還要持續(xù)加強安全技術研究，落實安全管理規(guī)范，提升安全檢查評估，將銀行信息化階段的有效安全措施進行轉型升級，切實提高信息化銀行的安全治理能力。
（二）橫向上積極發(fā)揮“三駕馬車”的協(xié)作優(yōu)勢
一、信息資源云服務體系及信息資源安全風險
信息資源云服務是通過云計算將分布式的信息資源進行資源整合、信息分析、數據挖掘等一系列操作后，為用戶提供滿足其信息需求的一種云端服務模式。信息資源云服務的客體是信息資源，主體則為云用戶，在信息資源云服務體系中，大部分信息資源都存儲在云端，因此，信息安全成為一個不得不考慮的問題，而這一問題牽涉信息資源云服務體系的各個方面，要想解決信息資源云服務的安全就必須結合通過云計算構建信息資源的流程及方法。信息資源云服務體系主要涉及資源層、用戶層、服務層三個核心層次。
1.資源層與安全風險資源層是信息資源云服務體系的基礎，旨在為用戶提供滿足需求的豐富的信息資源，主要通過終端輸入和網絡爬蟲的方式采集信息資源后進行存儲，建立資源池并生成信息索引。終端輸入是信息資源供給方將本地的信息資源數字化后上傳到云端服務器，而在數據傳輸過程中或許會面臨遭遇網絡攻擊與重要信息資源被截取的可能，即信息資源傳輸風險，從而造成巨大的損失。資源層采集信息資源的另一種方式是網絡爬蟲，即網絡爬蟲是一種按照一定的規(guī)則自動抓取萬維網資源的程序或者腳本，能在抓取一個或若干個初始網頁的URL和網頁內容的同時通過數據庫比對、自然語言理解、交叉語言檢索、數據挖掘等技術進行提取并建立自身的數據庫。信息資源云服務的目的之一在于共享，但為保持各個信息資源供給方自身的優(yōu)勢，又有必要保留其特色信息資源，并且只能通過接口的方式訪問，而網絡爬蟲的肆意抓取將會導致諸多信息資源供給方面臨信息資源訪問權的風險。另外，云存儲風險是存在于資源層中的較大問題，云端數據的丟失將使整個信息資源云服務體系失去作用，例如，微軟提供SIDEKICK服務曾中斷了一個星期，導致用戶不能訪問自己的郵箱、日歷還有其他個人數據，并且微軟最后也承認這些數據無法恢復。因此，信息資源云服務中數據的完整性、可用性、保密性是開展云服務的基礎。
2.用戶層與安全風險信息資源云服務體系中資源池的構建不僅取決于云端信息資源的儲備，也涵蓋用戶這一層面。在整個信息資源云服務體系中，云用戶的信息需求直接影響信息資源的構建方向，云用戶的個性化特征將指引服務模式的創(chuàng)新，因此，用戶與信息資源云系統(tǒng)的交互在服務體系中擔當著不可估量的角色。兩者之間的交互具體體現(xiàn)在用戶根據自身的信息需求向信息資源云系統(tǒng)請求服務和信息資源云系統(tǒng)分析用戶信息行為兩個方面。第一個方面，用戶在請求服務前必須登入自己的云端賬戶以獲取自己所需的信息資源。信息資源云服務的構建中用戶分為普通用戶和管理員用戶，不同的用戶擁有的權限必須有所區(qū)別。在信息資源云系統(tǒng)針對不同用戶提供服務時，許多信息資源都要經過二次加工后才能滿足用戶的需求，而這類加工操作則必須由信息資源云系統(tǒng)的管理員才能完成，因此，權限的設定在服務中尤為重要，否則將引發(fā)管理權限風險。第二個方面，為了提供更好的個性化服務，信息資源云系統(tǒng)需要對用戶的信息行為蹤跡進行收集和分析，通過數據挖掘等技術發(fā)現(xiàn)用戶的隱性需求，這也是云計算中普遍使用的一種方法。用戶的個人信息行為屬于用戶隱私的范疇，因此云計算提供的服務與用戶隱私間存在著持久的矛盾，對用戶個人信息行為的分析是云計算提供更好服務的前提，但此舉實際上又侵犯用戶個人隱私。對于普通用戶而言，用戶隱私保護也是信息資源云服務的構建中迫切需要解決的問題。
3.服務層與安全風險信息資源云服務層為用戶提供信息資源的檢索、個性化定制、推送、云管理等信息資源云服務。信息資源云服務體系中使用的是公共云、私有云和混合云三種模式。信息資源公共云是第三方提供商為信息資源用戶提供的能夠使用的云；信息資源私有云是為一個信息資源用戶單獨使用而構建的，提供對數據、安全性和服務質量的最有效控制(這里的用戶通常是信息資源方)；而信息資源混合云則是兩種云的混合，具備兩者的基礎特征。在信息資源云服務中，三種云之間的訪問應是無縫連接的，能夠同步完成信息資源的檢索、個性化定制、推送等操作，要實現(xiàn)這些功能，必須擁有信息資源云管理的統(tǒng)一標準。輕量目錄訪問協(xié)議(LightweightDire-ctoryAccessProtocol，LDAP)是一個用來目錄信息到許多不同資源的協(xié)議，能夠構建一個這樣的通用平臺。LDAP通過TLS(安全傳輸層協(xié)議)和SASL(簡單認證和安全層)來保證信息傳輸的安全性，但最近在拉斯維加斯舉辦的黑帽大會上，安全研究人員AngeloPrado、NealHarris與YoelGluck披露了一種名為BREACH(超文本自適應壓縮瀏覽器勘測與滲透)的新技術，該技術能夠獲取來自SSL/TLS加密網絡流量的敏感信息，并且三位研究人員聲稱，BREACH技術能給采用加密機制、算法的大部分TLS/SSL帶來巨大威脅。由此可見，數據的安全傳輸在信息資源云服務層中是一個很大的問題。所以，信息安全問題在信息資源云服務體系中主要體現(xiàn)為：信息資源傳輸風險、資源訪問權的風險、云存儲風險、管理權限風險、用戶隱私保護問題、數據的安全傳輸等幾方面，歸類后，安全問題可劃分為信息資源過程管理和用戶管理兩大模塊。
二、信息資源云服務中信息安全技術的應用
1.信息資源過程管理與信息安全技術信息資源過程管理包括信息采集、信息組織加工、信息存儲與檢索、信息服務四大子過程。在對信息資源進行云管理之前，可根據重要性對本地數字化的信息資源和網絡爬蟲抓取的信息資源劃分為一般信息資源、重要信息資源和信息資源。一般信息資源的目的在于分享，其重要性往往較低，在信息資源安全問題的管理上，可采用HTTP(超文本傳輸協(xié)議)或HTTPS(安全超文本傳輸協(xié)議，采用完全套接字層SSL作為HTTP應用層的子層)的方式直接進行傳輸，以保證其使用效率，改善用戶體驗。重要信息資源旨在為擁有更高信息需求的用戶提供服務，包括許多經過數據挖掘、信息分析和多次加工后的信息資源，這些資源也是增強用戶對信息資源云服務粘合度的重要原因之一，因此有必要對這類信息資源進行進一步的加密，實現(xiàn)技術為可在信息資源云服務器上部署云端加解密模塊。本地的重要信息資源數字化后，經過數字水印技術和AES(AdvancedEncryptionStandard，高級加密標準)算法加密后，通過VPN技術在公網上封裝出一個數據通訊隧道，上傳到云服務器，而網絡爬蟲抓取的信息資源則直接通過云端加密模塊進行加密后保存。由于通過VPN技術訪問信息資源的速度會降低不少，并且許多VPN技術受網絡環(huán)境及使用平臺影響的復雜程度也不盡相同，因此會導致用戶的使用效率受到影響。在保證信息資源安全性的前提下，為了盡可能地提高使用效率，可采用SSLVPN協(xié)議。SSLVPN結合了SSL和VPN兩者的優(yōu)點，SSL處于網絡結構體系的傳輸層和應用層之間，因此SSLVPN幾乎支持所有的WEB瀏覽器，這也意味著用戶不需要為了獲取SSLVPN的支持而安裝第三方軟件，符合云計算開發(fā)的初衷。用戶通過SSLVPN協(xié)議訪問重要的信息資源不僅不受平臺的限制，而且能極大地提高使用效率。信息資源理論上并不適合保存在云服務器上，其資源池的建立是為了解決部分用戶因地域限制等因素而無法及時獲取自己所需的那些保密性較高的信息資源。為保證這類信息資源的安全，可使用多重技術，即用戶將訪問保密信息資源的請求經數據通訊隧道發(fā)送給信息資源的另一服務器，由該服務器將請求轉發(fā)給原始服務器，并最后得到所需的信息資源，這樣做的目的是為了隱藏用戶的目的及信息資源請求的來源，最大限度地保證這些保密信息不被竊取。信息資源能夠保證使用的前提是其完整性，為了避免由于物理因素、網絡安全風險、人為因素等引起的數據丟失、信息更改的現(xiàn)象，應適時采用云備份與磁盤備份相結合的方式對信息資源進行數據備份。
2.用戶管理與信息安全技術用戶的管理主要涉及用戶權限管理和用戶隱私保護。根據用戶層對用戶的分類，不同權限的用戶擁有不同的訪問權，在用戶權限管理上應用的信息安全技術為信息確認技術和網絡控制技術。信息確認技術的核心為涵蓋消息確認、身份確認和數字簽名的信息確認系統(tǒng)，對于需要一般信息資源的用戶通常可采用靜態(tài)密碼的方式來確認身份，訪問重要信息資源的用戶則必須開通動態(tài)密碼服務來獲取身份的確認，而針對那些與信息資源有關的用戶可根據實際情況采用生物識別技術。同時對普通用戶和管理員而言，兩者也不能出現(xiàn)超越限制權限的行為，否則會引起信息資源云服務的隱性風險，因此云服務器有必要通過網絡控制技術來規(guī)范其行為，最典型的即為防火墻技術，通過該技術既能夠允許獲得授權的外部人員訪問云服務器，又能夠識別和抵制非授權者的訪問。實際上，現(xiàn)有的防火墻技術并不能完全保證信息資源的安全，也存在被黑客突破的可能性，一旦突破，信息資源將完全呈現(xiàn)出來，同時外部用戶的身份認證技術也無法解決這一問題，為此需要對信息資源本身的文件操作制定相應的規(guī)則，而這一技術就是主動防御系統(tǒng)(Host-basedIntrusionPreven-tionSystem，HIPS)。HIPS不僅能夠限制用戶的行為，也能保護用戶隱私。HIPS包括應用程序防御體系、注冊表防御體系和文件防御體系，通過定制合適的規(guī)則可實現(xiàn)對運行程序、注冊表和文件讀寫操作的控制，在一定程度上可防止用戶訪問權限外的信息資源，同時也能保證用戶的行為不被云服務器肆意跟蹤。以上幾種信息安全技術的綜合應用將使用戶管理更趨科學化、合理化。
三、結束語
根據上述問題,提出本文的基于SOA的信息安全體系的設計。通過研究,我們提出了一個面向服務架構的企業(yè)信息安全體系結構,它是底層基于數據倉庫/數據集市技術,并以安全服務總線作為hub,為企業(yè)信息安全活動提供集成信息安全的管理和有效的控制,使用BPM(企業(yè)過程管理)、規(guī)則引擎(RuleEngine,RE)和,企業(yè)智能(BusinessIntelligence,BI)技術。它有益于企業(yè)公司達到需要的信息安全管理級別。并且建立一個PDCA(Plan-Do-Check-Act)適配器,以確保信息安全管理和風險控制活動,能夠進行自我優(yōu)化。
1.1體系結構的結構
參考七層OSI設計,我們設計了五層的智能企業(yè)信息安全體系結構。自下向上為安全數據庫層、安全應用層、安全服務總線、集成和智能層、信息安全框架。(圖1)說明了智能企業(yè)信息安全體系結構的結構。
(1)安全數據層。體系結構的底層是整個體系結構的基礎層。這是因為安全數據易于被其它應用和服務使用。這一層的數據被分為兩個部分:操作數據和分析數據。
(2)安全應用層。應用層包括所有的息安全系統(tǒng),如防火墻、入侵防御系統(tǒng)、反病毒系統(tǒng),以及被防護的設備,如網絡設備、服務器和桌面環(huán)境等。它也包括這些系統(tǒng)上的各種各樣的操作系統(tǒng)。
(3)安全服務總線。是基于SOA的信息安全體系結構的中樞。我們在這一層定義SOA服務總線的結構和需要的各種各樣的信息安全服務。在面向服務的信息安全體系結構中,我們能夠將當前和未來的安全需求定義為安全服務,但這些服務的實現(xiàn)是隱藏的。
(4)集成&智能層。體系結構中數據、過程和應用都是在這一層進行處理實現(xiàn)的,解決一個企業(yè)各種業(yè)務問題,滿足快速變化的環(huán)境。集成層具有“應用之間”和“過程之間”進行通信的能力,通過適配器,它還能夠與其他企業(yè)過程、服務提供者或數據提供者通信。
(5)信息安全輔助設計。這是信息安全對外的接口,主要是由勻衡器、關鍵風險指示儀以及監(jiān)控接口。企業(yè)智能模型提供各種各樣的服務,例如報告、查詢、OLAP、數據挖掘和多維分析。規(guī)則引擎,作為工作流的一部分,可以結合到BPM模型。因為有了規(guī)則引擎,我們能夠更加有效地執(zhí)行信息安全管理和風險控制。PDCA適配器是一個特殊的工具,它利用人工智能能夠幫助公司達到信息安全管理中持續(xù)提高和自我優(yōu)化的目標。
1.2特點和優(yōu)勢
本文提出的企業(yè)信息安全體系結構具有以下特點。
(1)集成。它也能夠將信息安全管理和風險控制聯(lián)合起來作為一個集成的框架。
(2)可復用。體系結構是比較獨立的,適合于企業(yè)和小型組織。服務的封裝使得可復用,與其他服務聯(lián)合使用。
(3)面向服務的體系結構。SOA體系機構的采用提供了服務的獨立性、自我管理和自我彈性。
(4)集成的數據環(huán)境。集成的數據結構使之適合于各種數據庫進行對接。
(5)企業(yè)智能。這個體系結構將企業(yè)智能應用到信息安全管理,信息安全管理主要使用了數據挖掘和模式識別技術。這可以大大減少由于人工誤操作引起的損失,增強信息安全管理和風險控制操作。
(6)開放的體系結構。體系結構開放設計,以滿足整個企業(yè)的安全需求;面向服務的特征使得體系結構式開放的,允許多個接口與外部應用通信。
2結論
