基层央行桌面客户端安全管理的难点及对策

作者：唐诠杰

来源：《中国金融电脑》 2016年第7期

近年来，基层央行业务系统数据库和服务器都已上收。基层行的核心业务系统运行模式大多为B/S 模式或瘦客户端的C/S 模式。业务终端通过内联网访问上级行数据中心服务器。桌面客户端已成为信息安全管理的末梢神经。保障桌面客户端的信息安全，就成为基层央行信息安全管理工作的重中之重。但客户端点多面广，难以统一管控，已成为安全管理的难点。为此，常德市中支开展了桌面客户端信息安全专项治理工作，找出了管控的重点、难点，并提出了适用于基层行切实有效的对策建议，从“源头”提升基层行的信息安全管理水平。

一、现状分析

近年来，常德市央行系统高度重视桌面客户端的安全管理工作，不断加大安全体系的建设力度，基本形成了制度保障、组织管理和技术防范三大体系：一是制度保障体系。结合实际制定了《信息安全总体工作方针》、《信息安全管理实施细则》、《信息安全综合规范》、《信息系统安全配置指引》等一系列管理规定和办法，并以行文形式发布，规范了用户的操作行为，提供了有效的制度保障。二是组织管理体系。中支及辖内支行成立了计算机安全领导小组，设立了专职信息安全管理员，并在各部门明确一名信息安全协管员。组织全辖各支行、各部门开展一次信息安全自查和现场检查，形成了较完善的组织管理体系，确保安全管理措施有效落实。三是技术防范体系。已部署了诺顿防病毒、补丁分发、非法外联监测、内网桌面安全管理、入侵检测和漏洞扫描等信息安全产品，实时监测桌面客户端的非法外联、非法内联情况，查杀、防御和监测病毒木马，修复系统漏洞。特别是通过部署桌面安全管理系统，建立了内网移动存储介质和计算机的准入规则，杜绝了移动存储介质内、外网混用的现象，杜绝了内网计算机非法外联和外来计算机非法内联，防范了桌面客户端网络和USB 的接入风险。

二、难点分析

当前，基层央行客户端及存储介质的接入已得到了严格的规范和控制，制度执行较为扎实，防范措施也比较得力。但涉及全网桌面客户端的安全隐患依然存在，如安全子系统（进程）运行异常或被人为退出；客户端安全配置不到位难以监测等。归纳起来，主要存在以下几方面问题。

1. 安全子系统风险防范不到位

一是安全子系统安装运行情况难以得到有效监测。按人总行规定，内网计算机必须安装防病毒、补丁分发、非法外联和桌面安全等安全系统。但是，桌面客户端数量多、分布广，这些计算机上是否完整安装了所有的安全子系统，安全系统在这些客户端上运行是否正常等信息，很难通过自动监测、安装并反馈给技术和管理人员，而是必须以手工方式逐台巡查、安装，效率低下且效果欠佳，甚至还存在安全系统被人为卸载的现象。使得部分桌面客户端游离于安全防控之外，成为了监管的真空地带。二是安全子系统之间缺乏有机结合。主要体现在两方面：一方面，各安全系统之间采集的数据无法共享。防病毒控制台显示的信息无法实时更新，经常显示出防病毒安装数量大于网内计算机数量、病毒木马高风险的统计报表所显示的IP 地址与实际不符等不合理的情况。另一安全系统桌面安全管理系统能较准确地实时采集网内桌面客户端的IP 地址、主机名、硬件配置等IT 资产信息，能较好地补足防病毒系统的信息采集缺陷。但两者分别部署、“各立门户”，信息难以共享。当出现病毒攻击时，安全人员很难定位客户

端的物理位置和感染情况。另一方面安全子系统各自为政，难以协同作战。例如，非法外联监测系统和桌面安全管理系统都具有防范未授权客户端擅自入网的功能，两者存在功能重叠。又比如，桌面安全系统既能监测病毒库的更新情况，又能监测补丁安装情况，但难以与现有的防病毒和补丁分发系统无缝融合，使得这两个功能形同虚设，安全防控作用不能得到有效发挥。

2. 客户端用户安全意识薄弱

当前，基层行客户端用户平均年龄偏大，计算机操作水平不高，安全意识难以适应信息化的发展要求，存在以下几点误区：一是认为央行内网绝对安全，保密工作可有可无。央行实行内外网物理隔离，不少人认为内网客户端安全纯净。只要在内网，就一定平安无事。但实际情况并非如此，人行内网连接着全国2000 多家分支机构。只要某台客户端感染了病毒，就能迅速传播到全网计算机，进而导致失密、泄密事件的发生。二是存在麻痹大意和侥幸心理。近十年，辖内未发生泄密和非法外联事件，很多用户因此而放松了警惕，安全风险意识薄弱。三是对客户端安全不重视、不了解。总行规定了“谁使用、谁负责；谁主管、谁负责”的安全原则，客户端的安全应由每个用户自己负责。桌面客户端必须安装4 个安全子系统，并按总行要求做好安全配置，经安全管理部门授权才能入网。但很多用户对此一无所知，觉得安全配置影响了操作便利，安全策略可有可无，能省则省。

3. 重技防、轻管理，安防体系“头重脚轻”

一是安全系统建设持续投入，增加了维护和管理的难度。近年来，上级行不断加大桌面客户端技防体系的建设投入，逐步部署了非法外联、桌面安全、防病毒、补丁分发、防火墙、入侵检测和漏洞扫描等安全系统，实现了全方位、无死角的技术防范。然而，这些安全系统的功能越做越复杂，维护和管理就越来越困难。每套系统都要扫描、监测，一旦维护不当，会增加安全事件误报率。二是安全系统只能事后监测，难以事前预警。从功能设计上就决定了安全系统只有当攻击发生后，才对病毒或非法访问者进行封堵，无法从根本上防范外部攻击，也无法预防内部攻击。仅仅采用“防外攻、堵漏洞、防火墙”等技术手段，往往是防不胜防。三是过度依赖安全系统，内部安全管理有松懈。上级行较重视安全系统监测情况，使基层行放松了人员管理。如总行要求每台入网计算机必须按《安全配置指引》进行安全配置，但在安全检查中发现客户端安全配置不到位的问题反复出现，密码策略、屏幕保护等安全设置常被用户因寻求便捷而擅自修改。

三、对策建议

综上，基层央行桌面客户端的安全风险主要来自于人员管理问题、制度执行问题、客户端操作不规范以及安全系统防控不到位等问题。因此，桌面客户端安全管理应重点做好以下几方面。

1. 整合现有安全子系统

针对现有安全系统功能重叠、分散部署、操作不便等问题，建议整合防病毒等4 个子系统。在省级数据中心统一部署一套集成了防病毒、桌面安全、补丁分发、非法外联监测、防火墙等全部功能的桌面安全综合管控系统，减少冗余的安全系统投入，节约成本，实现全省桌面客户端统一扫描、监测和管控，实现监测信息共享、精确定位和快速处置。

2. 升级现有桌面客户端的技术体系

基层行桌面客户端采购需求量较大，管理维护成本较高，必须不断地安装、升级、修复操作系统和软件程序，给技术部门带来很大的工作量并加大了经费投入。更为重要的是，每台客户端都在本地存储数据，提供网络和USB 接入，无形之中增加了大量的风险点，加大了数据泄

露隐患。为此，建议升级现有桌面客户端的技术架构，采用最新的“桌面云”系统，将仅提供网络接入和鼠标、键盘、打印机等基本外设的瘦终端替代现有桌面PC 机。运用虚拟化技术，使各业务终端通过远程桌面，经身份认证后访问部署在省级数据中心的桌面云服务器。所有数据运算和存储都在“云端”进行，从源头上消除了桌面客户端的安全风险。

3. 建立安全教育长效机制

一是要加强信息安全教育和信息安全、保密知识普及，让广大干部职工充分意识到当前保密工作的重要性，了解如何保密和泄密的后果。加强全员信息安全知识和技能的培训，让大家都能学会信息安全监控、防范和处置的基本技能。二是要充分发挥计算机安全领导小组的作用，将信息安全的责任层层分解，责任到人，落实到实处。按照内控要求，配备部门信息安全员，把决策与执行分开、执行与监督分开，相互约束，相互促进，防止关键岗位人员监守自盗。三是要引入考核和激励机制，把安全管理工作和员工利益结合起来，实行奖惩机制，充分调动员工的积极性和责任心，使安全管理部门和业务部门之间形成良性互动。

4. 建立桌面客户端安全风险评估和预警机制

一是全面落实风险评估制度，建立桌面客户端风险监测体系。及时识别风险因素，彻查各类问题的根源。将信息安全风险控制前移，从客户端的信息输入开始，把风险管控贯穿于信息流动的整个过程。加强追踪控制，充分分析信息安全风险对业务影响程度，建立良好的风险分类分级制度，实施重点监控。从法律法规、国家政策、业务规范等多角度区分各类信息安全风险，落实监测和保障措施。二是建立并完善客户端安全风险应急处置机制。加强客户端数据备份、灾难恢复以及业务连续性的管理。通过应急演练把应急和灾备工作从技术管理层面提升到全方位、多部门齐抓共管、协调一致的全行工作层面。三是健全桌面客户端风险管理岗位责任制。充分发挥科技部门安全检查、纪检监察部门风险监控、内审部门审计监督“三道防线”的约束作用，形成完备的违规监测和纠错体系，并加大违规行为处罚力度，提高管控措施的约束力。FCC

栏目编辑：焦卢玲 jiaoluling@fcc.com.cn