金融信息风险的识别与评估课件

第2章金融信息风险主要内容2.1金融信息风险概念2.2风险分类2.3风险的模型2.4风险识别2.5风险的评估2.6风险的处置第2章金融信息风险主要内容1金融信息风险威胁利用我们的漏洞，引起一些事故，对我们的资产造成一些不良影响的可能性。资产对组织具有价值的信息或资源，安全策略保护的对象。资产价值资产重要程度或敏感程度表征；资产的属重要性；进行资产识别的主要依据和内容。2.1金融信息风险概述金融信息风险2.1金融信息风险概述2信息资产有形资产：人、场地、计算机硬件、软件、文档、网络通信设备、各种银行终端设备（如ATM、POS、电话、手机）无形财产：系统数据、声誉、友好关系、员工的生产力和IT服务等。信息资产3信息资产重要性给定环境中对它们所支持系统能力的价值和临界值的意义（斧头对鲁班的重要性以及鲁班失去斧子可能造成的影响），需要考虑财务成本，更需要考虑系统对组织业务发展的重要性。评判重要性借助成本效益分析（学习过财务管理就应该有这样的思维，就像生物学家看人与化学家看人不一样，这就是“专业目光”）成本：获取、开发、维护和保护该资产所需投入。效益：该资产对所有者、用户和竞争对手所具有的价值。风险：该资产不可用或丧失情况下所造成的损失。信息资产重要性42.2风险分类金融信息安全可能的威胁威胁：可能导致资产对象出现安全问题的活动或者能力，可能造成对我们的系统、组织和财富的不良影响。威胁可以通过作用形式动机来源等多种属性来描述。2.2风险分类金融信息安全可能的威胁5安全学家Shirey将威胁按动机分为四大类：泄露（破坏系统的机密性）：对信息的非授权访问。途径是一个非授权方系统进行攻击，破坏保密性。非授权方可以是一个人、一个程序、一台微机。攻击手段:搭线窃听、文件或程序的不正当拷贝。破坏(破坏系统的可用性)：中断或妨碍正常操作。这包括机具、硬盘等硬件的毁坏、通信线路的切断、文件管理系统的瘫痪等。篡夺：对系统某些部分非授权控制。在篡夺攻击中，一个非授权方不仅介入系统而且在系统中进行非法操作，如改变数据文件，改变程序使之不能正确执行，修改信件内容等。欺骗：接受虚假数据，一个非授权方将伪造的“客体”植入系统中，如在网络中插入假信件，或者在文件中追加记录等。威胁安全学家Shirey将威胁按动机分为四大类：威胁6威胁按来源划分环境因素（天灾）断电、灰尘、静电自然灾害……(有不可抗拒因素)人为因素（人“祸”）心怀恶意者：心怀不满者内贼、觊觎财富的外鬼，二者沆瀣一气……无心之过者：责任心不强、工作马虎、有章不循、有法不依……威胁按来源划分7脆弱性脆弱性是系统（对象）的一种固有属性蛇有“七寸”人有“软肋”使用信用卡可以透支消费，给用户带来了方便，但同时也给银行带来了恶意透支的问题。以磁条卡为卡基作支付工具，无论是传统的卡交易或是在互联网上交易（不使用数字证书），持卡人的卡号和PIN都极易被人盗窃。可透支和易复制性就是信用卡业务的弱点。脆弱性脆弱性是系统（对象）的一种固有属性8“脆弱性”没有被“威胁”所利用就不会产生危害（谦谦君子不会攻击别人）导致脆弱性的原因：信息安全策略本身存在漏洞信息安全策略没有得到很好的贯彻执行，尤其是缺乏相应的技术保障措施。“脆弱性”没有被“威胁”所利用就不会产生危害（谦谦君子不会攻9脆弱性分类技术脆弱性物理环境从机房场地、机房防火、机房供配电、机房防静电、机房接地与防雷、电磁防护、通信线路的保护、机房区域防护、机房设备管理等方面进行识别网络结构从网络结构设计、边界保护、外部访问控制策略、内部访问控制策略、网络设备安全配置等方面进行以别系统软件从补丁安装、物理保护、用户账号、口令策略、资源共享、事件审计、访问控制、新系统配置（初始化）、注册表加固、网络安全、系统管理等方面进行以别数据库从补丁安装、鉴别机制、口令机制、访问控制、网络为服务设置、备份恢复机制、审计机制等方面进行识别中间件从协议安全、交易完整性、数据完整性等方面进行识别应用系统从审计机制、审计存储、访问控制策略、数据完整性\通信、鉴别机制、密码保护等方面进行识别管理脆弱性技术管理从物理和环境安全、通信与操作管理、访问控制、系统开发与维护、业务连续性等方面进行识别组织管理从安全策略、组织安全、资产分类与控制、人员安全符合性等方面进行识别脆弱性分类技术物理从机房场地、机房防火、机房供配电、机房防静10金融信息风险：人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。金融信息风险涵盖了规划、研发、建设、运行、维护、监控及退出与信息技术相关的产品、服务、传递渠道、系统等时，所产生或引发的银行经营的不确定性或对银行管理的不利因素。金融信息风险：11金融信息风险的识别与评估课件122.3金融信息风险模型模型：实际对象或情境或系统的反映形象模型数学模型实体关系模型描述系统的因果关系或相互关系的过程称之为建模。2.3金融信息风险模型模型：实际对象或情境或系统的反映132.2金融信息风险模型火金水木土2.2金融信息风险模型火金水木土14用以描述（说明）金融信息系统风险、威胁、脆弱性、价值等等…….各要素以及要素间关系的图、表、表达式等称之为金融信息系统风险模型。用以描述（说明）金融信息系统风险、威胁、脆弱性、价值等等……15信息风险要素及关系信息风险要素及关系162.4金融信息风险之识别Neumann列举了9种计算机系统安全问题的来源：需求定义的错误或者遗漏（智者千虑必有一失）；系统设计的错误；硬件的错误，如跳线或者芯片的缺陷；软件实现错误，如编程或者编译的错误、缓冲区溢出系统使用、操作的错误和不经意的失误；系统滥用；系统硬件和通信部件的失常；环境因素的影响，包括自然原因和非自然原因；系统的升级、更新以及停止运转。2.4金融信息风险之识别Neumann列举了9种计算机系统17金融信息系统风险事件种类：灾难事件致使业务中断：关键资源不可控（电力电信）、自然灾害、应用系统、数据库系统缺陷、新系统上线……金融信息系统风险事件种类：18内部欺诈:内部欺诈是指有机构内部人员参与的诈骗、盗用资产、违犯法律以及公司的规章制度的行为，如内部人员虚报头寸、内部人员偷盗、在职员的账户上进行内部交易等。手段：内部职员超越自己权限访问本来无权访问的资源，非法修改信息，破坏信息的完整性从而使系统的安全性降低或信息不可用，或泄露秘密信息。原因：组织内部岗位职责划分不清，会计主管、会计人员相互兼岗，业务经办与会计账务处理合一，不实行重要岗位定期轮换制度，导致双重控制执行不力，监督制约机制不能有效发挥作用，极易引发内部欺诈行为的产生。造成的损失：调查显示，内部欺诈无论在数目还是金额上都是最重要的一种损失事件类型，而外部欺诈则排在第二位。（还是那句话：堡垒最容易从内部攻破）内部欺诈:内部欺诈是指有机构内部人员参与的诈骗、盗用资产、19外部欺诈：第三方的诈骗、盗用资产、违反法律的行为，包括通过密码破译、安装后门、嗅探、伪造和欺骗、关闭审计、拒绝服务等手段入侵和攻击系统，或者通过物理的接触造成对软件、硬件、数据的破坏。实施者：外部恶意人员，包括黑客、商业间谍、破坏者等，所采取的攻击手段已达数百种。手段与工具：攻击工具的完善与攻击方法自动化程度的提高，业余攻击者也能够完成复杂的攻击过程。攻击的类型：信息机密性的攻击方法主要有信息拦截技术、监听技术、重定向（改道Re-direction）技术、信息推理技术、电子邮件病毒传输技术。针对完整性的攻击方法主要有身份认证攻击技术、会话劫持技术、程序异常输入技术等。针对可用性的攻击方法主要有拒绝服务攻击技术、分布式拒绝服务攻击技术等，它们常用的手段是消耗网络带宽、消耗内存、磁盘空间和CPU资源等。外部欺诈：第三方的诈骗、盗用资产、违反法律的行为，包括通过密20执行交割、交易过程管理的风险系统业务复杂或者有了变化，而软件设计没有跟上，程序设计流程不合理或不完全，导致出现逻辑错误（执行错误），造成错误的账户数据，给安全带来隐患。新系统经常很快就崩溃，同样的小错误在一个又一个应用软件上重复发生。除了会出现故障之外，很多系统还不能很好地工作。以下是几个这方面的例子：恶意透支：用户在输入取款金额时，可能会利用系统的漏洞恶意透支。曾经发生过这样一个案例，国内一客户在ATM（自动柜员机）上取款时发现ATM软件的漏洞（取100元账户只被扣1元），于是拼命取款十多万后潜逃。业务违规：例如，有时单位卡现金销户时，不按规定划往基本账户，由此造成银行的政策性风险。隐匿和挤占资金：在手工联行系统下，银行内部异地经办行之间资金的代收代付引起款项横向清算，由于清算不能及时完成，在联行清算中存在隐匿和挤占资金的可能。交易失败：以资金清算系统为例，由于采用严格的“无透支规则”流动风险防范措施，要能够完成系统内借款的自动处理，否则会使交易无法进行。系统混乱：计算机硬件、操作系统、网络系统、应用程序、数据库及嵌入式系统等广泛采用两位十进制数而不是四位十进制数表示年份，导致计算机“千年虫”执行交割、交易过程管理的风险21金融交易中的风险点金融产品交易前、中、后的各个环节，自始至终存在风险(风险无处不在)操作员和客户身份冒用交易数据输入错误管理失误不完备的法律文件未经批准访问客户账户越权进行大额操作合作伙伴的不当操作以及卖方纠纷等。金融交易中的风险点金融产品交易前、中、后的各个环节，自始至终22从一般金融业务流程看风险从一般金融业务流程看风险23风险分布描述在一个金融信息系统中，硬件失失效概率可以统计测量（可以用平均无故障时间指标），软件中的bug数量也可以使用不同的技术跟踪（alpha，beta测试、统计等）。对于操作错误等安全事件发生的概率，需要基于已有的处理经验，根据处理任务的复杂度、员工的掌握程度、资产价值、所面临的威胁等估计可能产生的概率。弄清风险分布以及概率对于评估风险的基础！风险分布描述在一个金融信息系统中，硬件失失效概率可以统计测量24损失分布描述工具损失概率进行分析，典型情况是假设损失发生的概率服从泊松分布，例如，网点被攻击的次数、智能卡不合格品出现的次数、数字通信中传输数字中发生的误码个数等都是随机变量，它们相当近似地服从泊松分布。特点：当时间间隔取得极短时，只能有0个或1个失效发生。出现一次失效的概率大小与时间间隔大小成正比，而与从哪个时刻开始算起无关。各段时间出现失效与否，是相互独立的。损失分布描述工具损失概率进行分析，典型情况是假设损失发生的概25依据上述假设对损失程度进行分析时，可将损失看作由多个不同层面的损失累积而成，即损失程度可以看作是许多很小独立因子的乘积，损失程度这一变量可以看作是符合对数正态分布规律的。即损失符合exp（X）分布（对数正态分布）其中X为正态分布的随机变量依据上述假设对损失程度进行分析时，可将损失看作由多个不同层面26马尔可夫过程模型由于风险过程常常伴随一定的随机过程，而在随机过程理论中的一种重要模型就是马可夫过程模型：一个系统有N个状态又，S1，S2…，Sn。，随着时间的推移，该系统从某一状态转移到另一状态。如果在特定情况下，系统在时间t的状态q只与其在时间t-1的状态qt-1相关，则该系统构成一个离散的一阶马尔可夫链。其数学描述为:马尔可夫模型可视为随机有限状态自动机，该有限状态自动机的每一个状态转换过程都有一个相应的概率，称为转移概率，该概率表示自动机采用这一状态转换的可能性：马尔可夫过程模型由于风险过程常常伴随一定的随机过程，而在随机272.5风险的评估定性评估分级测量定量评估2.5风险的评估定性评估282.5风险的评估定性评估凭借评估者的知识、经验和直觉，或者业界的标准和实践，为风险的各个要素定级。定性评估通常通过调查表和合作研讨会的组合形式进行风险分析，涉及来自组织内各个部门的人员，例如信息安全专家、信息技术经理和员工、企业资产所有者和用户以及高级经理。2.5风险的评估定性评估292.5金融股信息系统风险的评估风险评估（RiskAssessment）的定义：金融信息系统风险事件发生后，对企业资产财产造成的影响和损失进行量化评估的工作。风险评估6大要素：客体（对象）主体（评估者）内容（评估什么）数据（依据）方法（？）报告（结果）2.5金融股信息系统风险的评估风险评估（RiskAss30评估主体（风险评估的要素之一）第三方的领域专家，包括金融领域的业务专家、信息技术领域的专家……评估客体金融企业的金融信息系统评估主体（风险评估的要素之一）31风险评估的内容：风险本身的界定。风险发生的可能性；风险强度；风险持续时间；风险发生的区域及关键风险点。风险作用方式的界定。风险对企业的影响是直接的还是间接的；是否会引发其他的相关风险；风险对企业的作用范围等。风险后果的界定。在损失方面：如果风险发生，对企业会造成多大的损失？如果避免或减少风险，企业需要付出多大的代价？在冒风险的利益方面：如果企业冒了风险，可能获得多大的利益？如果避免或减少风险，企业得到的利益又是多少？风险评估的内容：32评估（风险）数据来源：问卷调查方式：基于特定标准或基线建立对特定系统进行审查的项目条款，提供一套关于管理或操作控制的问题表格，供系统技术或管理人员填写，以了解组织的主要业务、重要资产、面临的威胁、管理上的缺陷、采用的控制措施和安全策略的执行情况。现场面谈：现场观察收集系统在物理、环境和操作方面的信息，要求相关部门对所采取的措施进行答辩。通过查阅审计报告、外部监管报告等获得管理、技术和运行各方面的信息。评估（风险）数据来源：33评估方法-专家咨询法（德尔菲法）通过背对背群体决策咨询的方法，群体成员各自独立工作，然后以系统的、独立的方式综合他们的判断，克服了为某些权威所左右的缺点，减少调查对象的心理压力，增加了预测的可靠性。德尔非法可以确定风除之间的相互关系和相对重要性，这里风险可以是指同一系统部件中的不同风险，也可以是指同一种风险类型在个同业务部门、系统部件之间的分布情况。具体的德尔菲法同学查询决策方法相关资料评估方法-专家咨询法（德尔菲法）34分级测量对不同风险进行直观的比较，综合考虑风险控制成本与风险造成的影响，提出一个可接受的风险范围或设定可接受风险值的基准。它介于定性评估和定量评估之间，是专门针对信息系统的安全性质提出的一种评估方法。评估方法的要点：分级测量对不同风险进行直观的比较，综合考虑风险控制成本与风险35评估方法的步骤：赋值计算结果分级评估方法的步骤：36赋值的内容：资产（机密性、完整性、可用性综合赋值还是去最重要的赋值根据组织业务特点确定）威胁（按威胁出现的频率以及威胁的强度分级赋值）脆弱性（按资产的损害强度，技术实现的难易程度，以及管理管理的脆弱等因素分级）赋值的内容：37风险计算计算的内容包括：安全事件发生的可能性P(T,V)其中T为威胁，V为脆弱性资产损失F(I，V)其中I为资产，V为脆弱性风险值R（T，V）计算方法：乘积法和矩阵法风险计算计算的内容包括：38定量评估方法引入成本效益分析进行定量分析，即对构成风险的各个要素和潜在损失水平赋予数值或货币金额，通过对度量风险的所有要素进行赋值，建立综合评价的数学模型，从而完成风险的量化计算。通过安全投资收益推动风险管理。在操作层面上，银行业务风险量化的常用方法包括：基本指标法、标准法和高级计量法。定量评估方法引入成本效益分析进行定量分析，即对构成风险的各个39计算原理：在定量风险评估中，通常会计算资产价值（AV）（资产对犯罪吸引力）年发生率（ARO）（各种风险发生的可能性，如非正常中断的可能性….）单一预期损失（SLE）（一个载荷50公斤的窃贼闯入金库能造成的一次性损失）年预期损失（ALE）（不采取任何安全措施可能造成的资产损失）还要计算“堵住”上述漏洞每年所需要的安全投入的总和ROSI=（实施控制前的ALE）-（实施控制后的ALE）-（年控制成本）理论上将ROSI之值为正即可计算原理：在定量风险评估中，通常会计算ROSI=（实施控制前40计算方法之------基本指标法操作风险以银行业务活动的规模来测量，如操作风险资本金等于前三年总收入的平均值（GI）乘以一个系数α，通常α取值15％～20％。KBIA＝GIXα基本指标法简便易行，是专门为操作风险管理水平尚未达到量化阶段的银行而设计的。采用此法的银行需遵循委员会于2003年2月发布的指引《操作风硷管理与监管的稳健做法》。基本指标法计算出的监管资本较高。不能发挥操作风险管理的奖优罚劣机制，适用于业务单一的小银行。基本指标法有眉毛胡子一把抓之嫌计算方法之------基本指标法41计算方法之------标准法银行各类损失的均值相差都很大。已有的研究表明，交易和销售、零售银行业务、商业银行业务是造成操作风险损失的主要业务线，三者合计比重达到73％以上。零售银行业务则是发生操作风险事件最多的业务线，其比重达到60％以上。因此在度量风险时，应该分别考虑每个业务部门和每个风险事件组合下的损失分布情况。以产品线分类计算的标准法，是对不同业务线的操作风险进行分类监控，分类度量。计算公式如下所示，将银行的总收入按照业务类别分为公司金融、交易、零售业务等八类，监管当局对每类业务收入的操作风险资本要求制定不同的乘数，然后每类业务也用前三年总收入平均数乘以该乘数，由此提出不同类业务操作风险的资本要求。标准法是基本指标法根据业务类别进行差异化的计算方法计算方法之------标准法42计算方法之------高级计量法银行依靠其内部系统的特点决定针对操作风险的资本要求。目的如何来发挥银行本身的积极性，鼓励银行在操作风险管理方面的创新，同时对银行管理、数据、人员等提出更高的防范风险标准。高级计量法没有规定具体的风险计算方法和统计分布假设。它与前两种方法的最大区别在于，使用者可以有更大的发挥空间。各家银行可以使用自己的损失数据来计算监管资本，通过对所有IT领域及其业务之间进行有效校准，监管资本的大小防各金融机构风险损失分布特征的不同而有所不同，更敏感地反映本机构操作风险的真实情况。“治”的更高境界–“无为而治！”计算方法之------高级计量法43评估结果（报告）包含内容：风险评估结果：风险评估结果风险图、风险表形式来展示。风险图是一组用来描述不同业务线风险发生频率或强度的图形，可使用各种形状的点代表不同类型的风险；点所处的位置表明其严重程度，越靠近右上角，风险越严重。在风险表中，分别使用圆圈颜色和箭头方向表明风险严重程度和风险的发展趋势。评估结果（报告）包含内容：44损失事件及分析：风险常常是变化的，其诱因包括以下几种：变动类：如引进新技术或新产品等。复杂类：产品流程、技术设计较为复杂，难以理解或掌握。疏于防范：对业务运行的无效管理，如未经授权的交易等。对于内部事件，风险评估报告应包括损失事件及分析：事件的经过、导致事件发生的原因、是否存在类似事件、已经或准备采取什么措施防止此类事件再次发生。另外，报告还包括风险诱因，即导致风险的因素，那些与业务运行密切相关的风险诱因，如系统升级、兼并收购等，更应引起高度重视。损失事件及分析：风险常常是变化的，其诱因包括以下几种：45风险指标风险指标风险评估报告应提出风险指标，即对风险指标的变化情况、与门槛值（限额、波动范围）的距离等作出分析和解释。对整个行业发展趋势及外部监管信息进行分析，预测变化趋势，为以后量化风险提供数据基础。资本金水平在进行风险评估后，组织需要准备信息安全适用性声明。信息安全适用性声明纪录了组织内相关的风险管制目标和针对每种风险所采取的各种控制措施。信息安全适用性声明的准备，一方面是为了向组织内的员工声明对信息安全面对的风险的态度，在更大程度上则是为了向外界表明组织的态度和作为，以表明组织已经全面、系统地审视了其信息安全系统，并将所有有必要管控的风险控制在可接受的范围，因此需要评价资本金的充足状况风险指标462.6风险处置风险有大小、可控不可控之分，可控风险是指管理者能加以控制和影响的风险，如预测错误、管理失当等。不可控风险也称外在风险，是指超出管理者控制力和影响力之外的风险，如政策变化、不可抗力等。在每一个目标信息环境中，基于风除是否可控，可以采用减轻、规避、转嫁或接受风险的处置措施，也可以使用这些措施的组合。在经过一系列安全控制和安全措施之后，信息安全的风险会降低，但是绝对不会完全消失，会有一些剩余风险的存在。对这些风险可能我们就需要用其他方法转嫁或者承受。在某些情况下，风险控制代价超过了它所能带来的回报，因而，必须接受这种残留的风险而不是去试图消除它。商业组织必须平衡风险和回报之间的关系。2.6风险处置风险有大小、可控不可控之分，可控风险是指管47第2章金融信息风险主要内容2.1金融信息风险概念2.2风险分类2.3风险的模型2.4风险识别2.5风险的评估2.6风险的处置第2章金融信息风险主要内容48金融信息风险威胁利用我们的漏洞，引起一些事故，对我们的资产造成一些不良影响的可能性。资产对组织具有价值的信息或资源，安全策略保护的对象。资产价值资产重要程度或敏感程度表征；资产的属重要性；进行资产识别的主要依据和内容。2.1金融信息风险概述金融信息风险2.1金融信息风险概述49信息资产有形资产：人、场地、计算机硬件、软件、文档、网络通信设备、各种银行终端设备（如ATM、POS、电话、手机）无形财产：系统数据、声誉、友好关系、员工的生产力和IT服务等。信息资产50信息资产重要性给定环境中对它们所支持系统能力的价值和临界值的意义（斧头对鲁班的重要性以及鲁班失去斧子可能造成的影响），需要考虑财务成本，更需要考虑系统对组织业务发展的重要性。评判重要性借助成本效益分析（学习过财务管理就应该有这样的思维，就像生物学家看人与化学家看人不一样，这就是“专业目光”）成本：获取、开发、维护和保护该资产所需投入。效益：该资产对所有者、用户和竞争对手所具有的价值。风险：该资产不可用或丧失情况下所造成的损失。信息资产重要性512.2风险分类金融信息安全可能的威胁威胁：可能导致资产对象出现安全问题的活动或者能力，可能造成对我们的系统、组织和财富的不良影响。威胁可以通过作用形式动机来源等多种属性来描述。2.2风险分类金融信息安全可能的威胁52安全学家Shirey将威胁按动机分为四大类：泄露（破坏系统的机密性）：对信息的非授权访问。途径是一个非授权方系统进行攻击，破坏保密性。非授权方可以是一个人、一个程序、一台微机。攻击手段:搭线窃听、文件或程序的不正当拷贝。破坏(破坏系统的可用性)：中断或妨碍正常操作。这包括机具、硬盘等硬件的毁坏、通信线路的切断、文件管理系统的瘫痪等。篡夺：对系统某些部分非授权控制。在篡夺攻击中，一个非授权方不仅介入系统而且在系统中进行非法操作，如改变数据文件，改变程序使之不能正确执行，修改信件内容等。欺骗：接受虚假数据，一个非授权方将伪造的“客体”植入系统中，如在网络中插入假信件，或者在文件中追加记录等。威胁安全学家Shirey将威胁按动机分为四大类：威胁53威胁按来源划分环境因素（天灾）断电、灰尘、静电自然灾害……(有不可抗拒因素)人为因素（人“祸”）心怀恶意者：心怀不满者内贼、觊觎财富的外鬼，二者沆瀣一气……无心之过者：责任心不强、工作马虎、有章不循、有法不依……威胁按来源划分54脆弱性脆弱性是系统（对象）的一种固有属性蛇有“七寸”人有“软肋”使用信用卡可以透支消费，给用户带来了方便，但同时也给银行带来了恶意透支的问题。以磁条卡为卡基作支付工具，无论是传统的卡交易或是在互联网上交易（不使用数字证书），持卡人的卡号和PIN都极易被人盗窃。可透支和易复制性就是信用卡业务的弱点。脆弱性脆弱性是系统（对象）的一种固有属性55“脆弱性”没有被“威胁”所利用就不会产生危害（谦谦君子不会攻击别人）导致脆弱性的原因：信息安全策略本身存在漏洞信息安全策略没有得到很好的贯彻执行，尤其是缺乏相应的技术保障措施。“脆弱性”没有被“威胁”所利用就不会产生危害（谦谦君子不会攻56脆弱性分类技术脆弱性物理环境从机房场地、机房防火、机房供配电、机房防静电、机房接地与防雷、电磁防护、通信线路的保护、机房区域防护、机房设备管理等方面进行识别网络结构从网络结构设计、边界保护、外部访问控制策略、内部访问控制策略、网络设备安全配置等方面进行以别系统软件从补丁安装、物理保护、用户账号、口令策略、资源共享、事件审计、访问控制、新系统配置（初始化）、注册表加固、网络安全、系统管理等方面进行以别数据库从补丁安装、鉴别机制、口令机制、访问控制、网络为服务设置、备份恢复机制、审计机制等方面进行识别中间件从协议安全、交易完整性、数据完整性等方面进行识别应用系统从审计机制、审计存储、访问控制策略、数据完整性\通信、鉴别机制、密码保护等方面进行识别管理脆弱性技术管理从物理和环境安全、通信与操作管理、访问控制、系统开发与维护、业务连续性等方面进行识别组织管理从安全策略、组织安全、资产分类与控制、人员安全符合性等方面进行识别脆弱性分类技术物理从机房场地、机房防火、机房供配电、机房防静57金融信息风险：人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。金融信息风险涵盖了规划、研发、建设、运行、维护、监控及退出与信息技术相关的产品、服务、传递渠道、系统等时，所产生或引发的银行经营的不确定性或对银行管理的不利因素。金融信息风险：58金融信息风险的识别与评估课件592.3金融信息风险模型模型：实际对象或情境或系统的反映形象模型数学模型实体关系模型描述系统的因果关系或相互关系的过程称之为建模。2.3金融信息风险模型模型：实际对象或情境或系统的反映602.2金融信息风险模型火金水木土2.2金融信息风险模型火金水木土61用以描述（说明）金融信息系统风险、威胁、脆弱性、价值等等…….各要素以及要素间关系的图、表、表达式等称之为金融信息系统风险模型。用以描述（说明）金融信息系统风险、威胁、脆弱性、价值等等……62信息风险要素及关系信息风险要素及关系632.4金融信息风险之识别Neumann列举了9种计算机系统安全问题的来源：需求定义的错误或者遗漏（智者千虑必有一失）；系统设计的错误；硬件的错误，如跳线或者芯片的缺陷；软件实现错误，如编程或者编译的错误、缓冲区溢出系统使用、操作的错误和不经意的失误；系统滥用；系统硬件和通信部件的失常；环境因素的影响，包括自然原因和非自然原因；系统的升级、更新以及停止运转。2.4金融信息风险之识别Neumann列举了9种计算机系统64金融信息系统风险事件种类：灾难事件致使业务中断：关键资源不可控（电力电信）、自然灾害、应用系统、数据库系统缺陷、新系统上线……金融信息系统风险事件种类：65内部欺诈:内部欺诈是指有机构内部人员参与的诈骗、盗用资产、违犯法律以及公司的规章制度的行为，如内部人员虚报头寸、内部人员偷盗、在职员的账户上进行内部交易等。手段：内部职员超越自己权限访问本来无权访问的资源，非法修改信息，破坏信息的完整性从而使系统的安全性降低或信息不可用，或泄露秘密信息。原因：组织内部岗位职责划分不清，会计主管、会计人员相互兼岗，业务经办与会计账务处理合一，不实行重要岗位定期轮换制度，导致双重控制执行不力，监督制约机制不能有效发挥作用，极易引发内部欺诈行为的产生。造成的损失：调查显示，内部欺诈无论在数目还是金额上都是最重要的一种损失事件类型，而外部欺诈则排在第二位。（还是那句话：堡垒最容易从内部攻破）内部欺诈:内部欺诈是指有机构内部人员参与的诈骗、盗用资产、66外部欺诈：第三方的诈骗、盗用资产、违反法律的行为，包括通过密码破译、安装后门、嗅探、伪造和欺骗、关闭审计、拒绝服务等手段入侵和攻击系统，或者通过物理的接触造成对软件、硬件、数据的破坏。实施者：外部恶意人员，包括黑客、商业间谍、破坏者等，所采取的攻击手段已达数百种。手段与工具：攻击工具的完善与攻击方法自动化程度的提高，业余攻击者也能够完成复杂的攻击过程。攻击的类型：信息机密性的攻击方法主要有信息拦截技术、监听技术、重定向（改道Re-direction）技术、信息推理技术、电子邮件病毒传输技术。针对完整性的攻击方法主要有身份认证攻击技术、会话劫持技术、程序异常输入技术等。针对可用性的攻击方法主要有拒绝服务攻击技术、分布式拒绝服务攻击技术等，它们常用的手段是消耗网络带宽、消耗内存、磁盘空间和CPU资源等。外部欺诈：第三方的诈骗、盗用资产、违反法律的行为，包括通过密67执行交割、交易过程管理的风险系统业务复杂或者有了变化，而软件设计没有跟上，程序设计流程不合理或不完全，导致出现逻辑错误（执行错误），造成错误的账户数据，给安全带来隐患。新系统经常很快就崩溃，同样的小错误在一个又一个应用软件上重复发生。除了会出现故障之外，很多系统还不能很好地工作。以下是几个这方面的例子：恶意透支：用户在输入取款金额时，可能会利用系统的漏洞恶意透支。曾经发生过这样一个案例，国内一客户在ATM（自动柜员机）上取款时发现ATM软件的漏洞（取100元账户只被扣1元），于是拼命取款十多万后潜逃。业务违规：例如，有时单位卡现金销户时，不按规定划往基本账户，由此造成银行的政策性风险。隐匿和挤占资金：在手工联行系统下，银行内部异地经办行之间资金的代收代付引起款项横向清算，由于清算不能及时完成，在联行清算中存在隐匿和挤占资金的可能。交易失败：以资金清算系统为例，由于采用严格的“无透支规则”流动风险防范措施，要能够完成系统内借款的自动处理，否则会使交易无法进行。系统混乱：计算机硬件、操作系统、网络系统、应用程序、数据库及嵌入式系统等广泛采用两位十进制数而不是四位十进制数表示年份，导致计算机“千年虫”执行交割、交易过程管理的风险68金融交易中的风险点金融产品交易前、中、后的各个环节，自始至终存在风险(风险无处不在)操作员和客户身份冒用交易数据输入错误管理失误不完备的法律文件未经批准访问客户账户越权进行大额操作合作伙伴的不当操作以及卖方纠纷等。金融交易中的风险点金融产品交易前、中、后的各个环节，自始至终69从一般金融业务流程看风险从一般金融业务流程看风险70风险分布描述在一个金融信息系统中，硬件失失效概率可以统计测量（可以用平均无故障时间指标），软件中的bug数量也可以使用不同的技术跟踪（alpha，beta测试、统计等）。对于操作错误等安全事件发生的概率，需要基于已有的处理经验，根据处理任务的复杂度、员工的掌握程度、资产价值、所面临的威胁等估计可能产生的概率。弄清风险分布以及概率对于评估风险的基础！风险分布描述在一个金融信息系统中，硬件失失效概率可以统计测量71损失分布描述工具损失概率进行分析，典型情况是假设损失发生的概率服从泊松分布，例如，网点被攻击的次数、智能卡不合格品出现的次数、数字通信中传输数字中发生的误码个数等都是随机变量，它们相当近似地服从泊松分布。特点：当时间间隔取得极短时，只能有0个或1个失效发生。出现一次失效的概率大小与时间间隔大小成正比，而与从哪个时刻开始算起无关。各段时间出现失效与否，是相互独立的。损失分布描述工具损失概率进行分析，典型情况是假设损失发生的概72依据上述假设对损失程度进行分析时，可将损失看作由多个不同层面的损失累积而成，即损失程度可以看作是许多很小独立因子的乘积，损失程度这一变量可以看作是符合对数正态分布规律的。即损失符合exp（X）分布（对数正态分布）其中X为正态分布的随机变量依据上述假设对损失程度进行分析时，可将损失看作由多个不同层面73马尔可夫过程模型由于风险过程常常伴随一定的随机过程，而在随机过程理论中的一种重要模型就是马可夫过程模型：一个系统有N个状态又，S1，S2…，Sn。，随着时间的推移，该系统从某一状态转移到另一状态。如果在特定情况下，系统在时间t的状态q只与其在时间t-1的状态qt-1相关，则该系统构成一个离散的一阶马尔可夫链。其数学描述为:马尔可夫模型可视为随机有限状态自动机，该有限状态自动机的每一个状态转换过程都有一个相应的概率，称为转移概率，该概率表示自动机采用这一状态转换的可能性：马尔可夫过程模型由于风险过程常常伴随一定的随机过程，而在随机742.5风险的评估定性评估分级测量定量评估2.5风险的评估定性评估752.5风险的评估定性评估凭借评估者的知识、经验和直觉，或者业界的标准和实践，为风险的各个要素定级。定性评估通常通过调查表和合作研讨会的组合形式进行风险分析，涉及来自组织内各个部门的人员，例如信息安全专家、信息技术经理和员工、企业资产所有者和用户以及高级经理。2.5风险的评估定性评估762.5金融股信息系统风险的评估风险评估（RiskAssessment）的定义：金融信息系统风险事件发生后，对企业资产财产造成的影响和损失进行量化评估的工作。风险评估6大要素：客体（对象）主体（评估者）内容（评估什么）数据（依据）方法（？）报告（结果）2.5金融股信息系统风险的评估风险评估（RiskAss77评估主体（风险评估的要素之一）第三方的领域专家，包括金融领域的业务专家、信息技术领域的专家……评估客体金融企业的金融信息系统评估主体（风险评估的要素之一）78风险评估的内容：风险本身的界定。风险发生的可能性；风险强度；风险持续时间；风险发生的区域及关键风险点。风险作用方式的界定。风险对企业的影响是直接的还是间接的；是否会引发其他的相关风险；风险对企业的作用范围等。风险后果的界定。在损失方面：如果风险发生，对企业会造成多大的损失？如果避免或减少风险，企业需要付出多大的代价？在冒风险的利益方面：如果企业冒了风险，可能获得多大的利益？如果避免或减少风险，企业得到的利益又是多少？风险评估的内容：79评估（风险）数据来源：问卷调查方式：基于特定标准或基线建立对特定系统进行审查的项目条款，提供一套关于管理或操作控制的问题表格，供系统技术或管理人员填写，以了解组织的主要业务、重要资产、面临的威胁、管理上的缺陷、采用的控制措施和安全策略的执行情况。现场面谈：现场观察收集系统在物理、环境和操作方面的信息，要求相关部门对所采取的措施进行答辩。通过查阅审计报告、外部监管报告等获得管理、技术和运行各方面的信息。评估（风险）数据来源：80评估方法-专家咨询法（德尔菲法）通过背对背群体决策咨询的方法，群体成员各自独立工作，然后以系统的、独立的方式综合他们的判断，克服了为某些权威所左右的缺点，减少调查对象的心理压力，增加了预测的可靠性。德尔非法可以确定风除之间的相互关系和相对重要性，这里风险可以是指同一系统部件中的不同风险，也可以是指同一种风险类型在个同业务部门、系统部件之间的分布情况。具体的德尔菲法同学查询决策方法相关资料评估方法-专家咨询法（德尔菲法）81分级测量对不同风险进行直观的比较，综合考虑风险控制成本与风险造成的影响，提出一个可接受的风险范围或设定可接受风险值的基准。它介于定性评估和定量评估之间，是专门针对信息系统的安全性质提出的一种评估方法。评估方法的要点：分级测量对不同风险进行直观的比较，综合考虑风险控制成本与风险82评估方法的步骤：赋值计算结果分级评估方法的步骤：83赋值的内容：资产（机密性、完整性、可用性综合赋值还是去最重要的赋值根据组织业务特点确定）威胁（按威胁出现的频率以及威胁的强度分级赋值）脆弱性（按资产的损害强度，技术实现的难易程度，以及管理管理的脆弱等因素分级）赋值的内容：84风险计算计算的内容包括：安全事件发生的可能性P(T,V)其中T为威胁，V为脆弱性资产损失F(I，V)其中I为资产，V为脆弱性风险值R（T，V）计算方法：乘积法和矩阵法风险计算计算的内容包括：85定量评估方法引入成本效益分析进行定量分析，即对构成风险的各个要素和潜在损失水平赋予数值或货币金额，通过对度量风险的所有要素进行赋值，建立综合评价的数学模型，从而完成风险的量化计算。通过安全投资收益推动风险管理。在操作层面上，银行业务风险量化的常用方法包括：基本指标法、标准法和高级计量法。定量评估方法引入成本效益分析进行定量分析，即对构成风险的各个86计算原理：在定量风险评估中，通常会计算资产价值（AV）（资产对犯罪吸引力）年发生率（ARO）（各种风险发生的可能性，如非正常中断的可能性….）单一预期损失（SLE）（一个载荷50公斤的窃贼闯入金库能造成的一次性损失）年预期损失（ALE）（不采取任何安全措施可能造成的资产损失）还要计算“堵住”上述漏洞每年所需要的安全投入的总和ROSI=（实施控制前的ALE）-（实施控制后的ALE）-（年控制成本）理论上将ROSI之值为正即可计算原理：在定量风险评估中，通常会计算ROSI=（实施控制前87计算方法之------基本指标法操作风险以银行业务活动的规模来测量，如操作风险资本金等于前三年总收入的平均值（GI）乘以一个系数α，通常α取值15％～20％。KBIA＝GIXα基本指标法简便易行，是专门为操作风险管理水平尚未达到量化阶段的银行而设计的。采用此法的银行需遵循委员会于2003年2月发布的指引《操作风硷管理与监管的稳健做法》。基本指标法计算出的监管资本较高