银行业信息科技风险监管培训之电子银行监管课件

中国银监会信息科技风险监管培训电子银行监管目录挑战与风险

—近期的保安事故与诈骗事件香港金管局的监管要求双重身份认证消费者教育2近期的保安事故与诈骗事件3个案1：伪冒网站2003年6月，金管局收到超过14项有关“BanquedenationaleBank”的查询，这个网站“”，自称是在香港、纽约和伦敦均设有办事处的银行初步结论──可能违反《银行业条例》，并且怀疑是伪冒网站向香港警务处举报以便进行调查与美国和英国监管机构确定“BanquedenationaleBank”并未获得任何认可或银行业牌照在2003年6月19日发出新闻稿，提高香港市民对伪冒网站的警觉5个案2：欺诈电邮连接伪冒网站6个案2:伪冒网站的登入网页所显示的网站地址:真实的网站地址:
@70/login/login.htm伪冒网站显示正确

的银行网站地址伪装扣锁伪冒证书7个案3：「特洛伊木马」程序真实个案-三井住友银行日期:2005年3月计划利用「特洛伊木马」程序从三井住友银行伦敦分行盗取2亿2千万镑(超过34亿港元)诈骗手法:犯罪集团利用「特洛伊木马」程序来套取用户所按过的键，以窃取其登入姓名和密码意图将2亿2千万镑转账于10个以色列户口。银行职员察觉可疑交易后报警，以色列警方逮捕其中一个疑犯怀疑银行内部有职员协助犯罪集团安装「特洛伊木马」程序或由黑客将「特洛伊木马」程序从外面安装到银行网络8个案3：「特洛伊木马」程序互联网ABC网上银行服务ABC银行计算机窃贼计算机窃贼登入受害人的账户电子银行交易受害人的银行账户计算机窃贼的银行账户電腦竊賊10个案5:修改”host”档案连结到伪冒网站于二零零四年十一月﹐攻击三间巴西银行-Caixa,Unibanco

和Bradesco特洛伊木马程序或恶意的编码程序修改受害者计算机的”host”档案受害者输入正确的银行网站地址但连结到伪冒的网站用户输入正确的银行网站地址Internet(IP)addressoffakewebsite以修改的host档案翻译正确的银行网站地址成为伪冒网站的IP地址使用者连结到伪冒网站12个案7:MarketScoreproxy服务声称可以增加互联网的联机速度及得到使用者的同意搜集其数据以“中间人”技术﹐于proxy服务器解读经SSL加密的敏感信息(例如密码)proxy服务器发出的电子证书加密使用者与proxy服务器之间传送的数据银行的电子证书加密Proxy服务器与银行之间传送的数据14个案8:「中间人」技术黑客客户进行网上银行户口转帐入账户口:123456-111金额:$100银行系统确认交易信息入账户口:987656-222金额:$9000黑客中途拦截网银交易信息，更改交易指令入账户口:123456-111987656-222金额:$100$9000黑客中途拦截及更改银行系统确认交易信息，使银行客户不察觉交易指令已被更改入账户口:987656-222

123456-111金额:$9000$100银行客户银行计算机系统15个案9:美国信用咭资料外泄事件一家受雇于美国多间银行的信用咭交易处理中心(CardSystems)于2005年6月被黑客盗取了多名持咭人的资料,而该类资料更可被用作欺诈性的交易。原因:违反信息保安标准敏感的持咭人数据于完成授权过程后错误地保留在处理中心没有将资料加密,作为特殊的商业,法律及监管用途保安管理不足以防止黑客入侵约12,000张由香港银行所发出的信用咭受影响香港的持咭人没有金钱上的损失16美国Visa及MasterCard的交易流程17事件引起的回响事件指出以下项目的重要性对外判的服务供货商,特别是信息保安,应有充分的管理制订有效的评估去防止日益增加的黑客入侵风险制订有效的政策及程序,去保护,贮存及加密客人的数据金管局的评估/行动信息科技外判,网上银行的监察及科技风险管理的指引要求各银行再次评估其对于客户数据保安,贮存及保密的内部及外判活动的充分性及有效性监管控制自我评估及现场审查计划1813Wi-Fi无线网络信用卡资料2公司总部零售分店美国TJX公司顾客资料盗窃手提式价格查阅机分店计算机系统黑客20个案11:电脑蠕虫/病毒攻击–SQLSlammer2003年1月,快速蔓延的“SQLSlammer”蠕虫病毒感染大量企业与政府电脑,部份几乎陷于瘫痪蠕虫病毒透过SQLServer2000的安全漏洞入侵服务器并开始扩散,导致网络流量大幅增加破坏程度极高,亚洲,欧洲及美国的网络皆受到不同程度的攻击,部份网上服务因而速度减慢甚至中断蠕虫病毒攻击更令美国银行（BankofAmerica）的客户因技术故障而不能从13,000部自动提款机中提款21电子银行风险与技术风险使用互联网作为新型的银行服务渠道将在某种程度上改变银行的风险形态，并且对银行的风险控制提出新的挑战与电子银行相关的基本风险类型可能没有大的变化，但风险产生的具体方式，以及潜在风险规模和对银行的影响速度，对于银行管理和银行监管提出新的课题除了战略风险外，操作风险、技术风险、信誉风险、法律风险，信用与资产流动性风险都需要考虑23操作风险增加了保安事故、服务中断或操作失误的可能性：电子银行网络的开放性用户的自助操作和电子银行设备（如个人电脑）常常超出了银行的控制范围是对多种技术、系统和多边操作的整合很容易可在互联网上找寻到有关系统上的保安漏洞数据操作上的漏洞也可能被不法之徒利用24信誉和法律风险(2)电子银行用户期望较高很难容忍低效率或不能使用的系统（例如：网上股票交易），即使不属于银行的控制管理范围投诉的原因可能是上网经验不足，错误使用或错误理解网上银行功能，以及其它技术性原因不充分的信息披露个人资料隐私问题（由于银行能透过电子银行服务获取很多客户资料）透过超链结方法所连系到由第三方提供的服务26信誉和法律风险(3)法律问题由于互联网及全球，因此网上银行业务需要符合境外的法律和监管要求（如：信息披露要求）与电子银行用户无法进行面对面交流，需要防范洗钱等行为银行无法充分确认新推出的电子银行服务所可能涉及的法律问题27其它风险电子银行的基本业务（如贷款、交易等）可能引发其它风险：例如：电子银行允许大额资金的网上实时划转，可能增加资金流动性风险电子银行客户关系的远程性和短期性，以及因竞争压力而降低信贷标准，可能增加信用风险28香港金管局的监管要求30董事会/高级管理层监督–

控制措施建立专责委员会对主要电子银行业务进行评估在开发新的电子银行服务之前，制定有正式的业务战略对电子银行业务制定风险管理政策和规程促进“安全文化”建设由可靠的独立专家对新的电子银行业务实施独立评估31董事会/高级管理层监督

–

观察到的问题现场检查过程中发现的问题：高级管理层对电子银行业务监督不足

（如：缺乏正式的督导委员会）对新的和经过重大升级的电子银行业务缺少独立性评估缺乏全面的互联网安全控制措施（如：防火墙和隔离区网络的设置）32关键的技术风险控制措施–

风险控制要求实施严格身份认证措施（如：双重身份认证）以识别电子银行客户对敏感信息实施加密在传输过程中，对敏感信息实施强“端对端”加密实施全面有效的输入参数值验证建立保安严谨的互联网基础建设对电子银行系统和互联网设备实施持续性监测33关键的技术风险控制措施–

风险控制要求（续）建立正式的事故应变和管理机制对电子银行业务实施有效的业务持续性规划对电子银行系统实施容量规划和性能监测对外部电子银行服务供应商实施尽职调查34关键的技术风险控制措施–

观察到的问题(1)现场检查过程中发现的问题：使用较弱的身份认证方式无法有效防范各种网络攻击（如：诈骗电邮和欺诈银行网站）没有有效地实施双重身份认证（如：数码证书只存储于硬盘）缺少“端对端”加密缺少实时监测工具对互联网入侵进行及时监测35关键的技术风险控制措施–

观察到的问题

(2)现场检查过程中发现的问题：没有及时向监管机构报告事故系统恢复能力或备份系统不足：导致长时间业务停运改为使用人手操作模式，导致服务效率降低网络带宽和系统容量不足36消费者保护

–

风险控制要求(1)严格依照“银行营运守则”的要求向个人客户提供电子银行服务使用可靠的身份认证方式确认客户的身份当客户要求变更任何电子银行账户资料时，必须实施充分的身份审查实施适当的措施以处理客户其它户口资料变更对向非注册第三方的资金转移实施充分的控制措施37消费者保护

–

风险控制要求(2)建立有效机制监测异常活动不使用电邮询问客户的敏感信息经常性地搜索与银行网站域名易混淆的第三方网站向客户提供有效的预防性安全建议经常性地评估电子银行业务的法律和信誉风险38消费者保护

–

观察到的问题现场检查过程中发现的问题：使用不安全的方式向客户发送用户名称和密码缺乏假电邮和假网站的侦测机制（如：定期搜索域名）；对异常交易监测不足

（如：资金划转和股票交易）。39双重身份认证Two-factorauthentication40双重身份认证2004年1月，发布通知要求银行在2005年6月前全部使用双重身份认证对所有高风险的零售电子银行交易强制实施没有双重身份认证的用户不允许进行高风险交易41原因解释我们为什么需要双重身份认证？单独的用户名称和密码不再充分保障安全—许多用户名称和密码因网络诈骗电邮、欺诈网站、病毒和木马程序等被盗什么是双重身份认证？+你已知的资料你拥有的工具例如：用户名称和密码例如：数码证书、电子保安编码器或手机等其安全性关键在于网上犯罪分子无法遥控地盗取电子银行用户拥有的互联网的身份认证设备42双重认证方法之例子通过电子编码器发出的一次性密码数码认证通过手机短讯发送的一次性密码SecurityToken43消费