新聞

網路銀行的風險管理(下)

2002 / 12 / 23
網路銀行的風險管理(下)

文/萬幼筠(勤業會計師事務所/企業風險管理協理)

基於網路銀行可能遇到的種種風險,建立一個妥適的網路銀行安全分析模型,除分析風險外,並可正確定義各項可能引起衝擊的網路銀行資訊資產。藉由六層四個向度之架構,來切分各類e化系統的組成成分,並利用典範實務資料庫提供各類流程的最佳實例,供各類產業與企業描摹其作業與資訊處理之關聯,藉由此種關聯可以定義出資訊作業之自動化部分、人工化部分、控管點,以及各營運流程控制之情形。

網路銀行資訊資產風險分析之架構圖:



放大圖


妥適的網路銀行安全分析模型
可分為下列四項控管類型與六類資訊資產項目:
策略與政策
資訊安全相關的政策與辦法,設定整體資訊安控機制有效性的基調,並確認管理部門對資訊安全涵蓋範圍之任務。

管理部署
為針對資訊安全設定之一系列處理程序(如資訊管理內部控制),包括:

  1. 建立資訊安全管理功能,與責任機制以加強政策或程序之實施


  2. 針對新建立或修改之應用系統設計安控機制


  3. 針對技術架構之管理程序,含使用者、資源、群組策略以及使用之分類或定義


  4. 新增/修改/刪除之使用權利


  5. 針對組織之改變,落實安控之管理能力


  6. 安全訓練與認知提昇計劃




技術方案
針對系統平台裝置技術方案,維護設定、稽核、過濾、權限管理、偵測、應援等等功能之解決方案或技術,包含對主機、工作站、網路、資料庫、應用系統與使用者自行開發之應用。

安全事件偵測
監控與稽核機制乃包含了一系列之處理程序之包括:


  1. 評估各項安控事件對使用者與技術平台之衝擊


  2. 定義新系統或技術之資訊安全相關的風險


  3. 透過有效的報告機制、稽核軌跡、例外事件報告,定義並評估資訊安全相關之不正常情形


  4. 確認資訊安控機制/系統之軌跡並分析之


  5. 因應系統或組織之變動更新有效之監控機制


  6. 確認系統與程序對資訊安全政策之遵循


  7. 使用者權限與取存權利之修正


  8. 系統與程序漏洞之偵防




以及對應之稽核與監控管理包括:


  1. IT控管流程:包含貴公司相關資訊系統所支援之相關流程,針對權限劃分與遵行項目進行查核。


  2. 應用系統:包含應用程式本身與應用程式開發、支援、維護設備、與應用系統所需之與作業平台無關資源。


  3. 資料庫系統:包含應用系統所使用之檔案結構、資料庫管理系統、資料字典、資料模型、資料庫介面以及資料公用程式。




妥適的網路銀行安全管理方法
針對以上因人員/系統/作業流程可能造成的資訊安全衝擊,導入的控管也較能符合風險管理的趨向,而不僅僅是技術、產品的裝設。因此網路銀行的安全控管依照安全分析模型對應之控管包括:
應用系統層

  1. 系統開發、測試及過版:包含系統分析、測試環境、版本控制的程序及方式、程式原始碼及執行檔之保護。


  2. 使用者權限規劃:部門、使用者功能權限賦予與職權的配合。


  3. 使用者認證 / 權限控管機制:應用系統使用者判別及認證方式、使用者執行權限及資料存取之安控機制。


  4. 系統稽核軌跡及交易記錄:登入、存取錯誤及交易記錄之覆核及備份。


  5. 系統批次作業:批次作業之執行及未預期錯誤之處理。




資料管理層

  1. 資料庫系統之設定:包含設定是否適當,資料庫系統及修補程式之版本維護。


  2. 資料存取之權限設定:評估使用者存取資料權限,其他存取資料庫之途徑。


  3. 資料修改:資料修改是否依循規定,資料修改之正確性、覆核及記錄。


  4. 資料及記錄備份:資料完整、差異備份作業之執行及軌跡記錄、交易記錄之覆核與備份。




作業平台層

  1. 系統作業版本及更新:系統設定的適當性,包括作業系統及修補程式之版本維護。


  2. 評估系統檔案、群組目錄存取權限,包含權限規劃、授權、檔案系統格式。


  3. 使用者身份判別及認證:系統管理者及使用者密碼規則及權限設定之妥善


  4. 稽核軌跡記錄:稽核原則的設定,登入錯誤、未經授權存取等軌跡記錄覆核、備份。


  5. 系統資料備份及批次作業:包含系統設定的備份、批次作業的執行。




網路層

  1. 防火牆 / 入侵偵測與對內外連線:包含防火牆(等)設備之強化、設定、過濾規則與管運目標結合性,防火牆(等)管理,防火牆(等)所在平台,防火牆(等)效能測試及可用性之分析(可能包含Sniffing、IDS、filter機制)。

  2. 主要路由與過濾機制:主要路由設定、控制機制、管理與負載。

  3. DMZ與內外網路服務機制:DMZ區與主要網路服務之風險評估,包含各網路服務與部署之安排、服務之管理、服務之技術缺陷、設定管理、存取與稽核,與其他潛在服務之分析(遵循ISO/BS17799國際標準)。

  4. 其它存取機制與遙控:其它存取貴公司網路路徑之分析。