从系统的观点谈银行IT安全生产.docx

《从系统的观点谈银行IT安全生产.docx》由会员分享，可在线阅读，更多相关《从系统的观点谈银行IT安全生产.docx（10页珍藏版）》请在优知文库上搜索。

1、本文针对提升商业银行IT系统的运行保障水平，从系统科学和控制论的观点出发，对银行IT系统提出了一种基于系统关联分析的故障定位方法，对报警信息整合和利用进行了研讨。我国商业银行IT系统稳定运行面临的挑故随着我国商业银行IT系统建设日益全视臼主可控技术，分布式核心、主机卜移在未来-段时间内逐渐成为趋挎。一方面信息系统日益更杂，另一方面新技术新产品存在个逐渐成熟的过程，都对IT系统的稳定运行提出了新的挑战。数据中心如何才能保障IT系统的稔定运行？一旦发生故障如何做到快速响应、快速定位、快速解决、第一时间恢第生产？本文试图应用系统科学、控制论的观点探讨银行IT系统的子系统关联流程分析、报警信息整合、故

2、障定位和处理，并结合行业实践和本人经验，给出些可供参考的建议。从系统科学、控制论观点看银行门系统控制反愀IT系统运维的系统,控制论观点系统科学是研究系统的结构与功能关系、演化和调控规律的科学，是一门新兴的综合性、交叉性学科。它与控制论有着紧密的联系。系统/控制理论的基本观点包括系统观点、信息观点、反馈观点和控制观点。I、系统观点系统论从整体上研究事物，把事物（对象）看成是一个由各个部分（要素）组成的系统。对这个系统，要研究其各部分功能上的联系。控制论把系统与其它事物的战系概括为“输入“（外部对系统的影响）以及“输出”（系统对外部的影响）。根据系统观点，对于银行IT系统，本身可以看作一个大的系统

3、，各个应用和基础架构（应用服务器、数据库服务器、网络交换机、通讯链路、各种终端、负载均衡设备和其它类型设备等）可以看成是这个大系统的子系统。我们可以对银行IT系统的多个子系统建立因素关联分析法。对于每个系统列出支持系统，上游系统和下游系统.在故障发生时，及时对关联的系统进行关注和处理。例如,由于系统同时发生故障的几率较小，在多个系统同时发生故障时，如果这些系统并非互相依赖，则可以找出这些系统的共同支持系统，从而迅速判断故障定位。2、信息观点控制论耍解决的是时系统的控制问题，而时各系统的控制需要以一定的信息为依据。没有信息则无法进行控制。监控平台和各子系统的运行及报错信息，在系统保障中发挥着重要

4、作用。很多IT系统都建立了汇集和处理各子系统信息的集中监控平台，在系统保障中发挥着重要作用。对于系统维护人员，重要的通讯录、系统命令手册和信息查询手册应该触手可及，以提高应急工作的效率。关于系统信息的利用，主要的考虑点包括：(1)建立统一的信息展示和报警平台所有子系统的信息可以在子系统自身的监控界面上供子系统运维人员及时显示和查阅：重要信息应该发往统一信息监控告警平台，方便集中监控和运维处理。在报警平日的实现上，可以运用人工智能的模式识别技术和自动应答来提高运行效率。(2)从开发初期即考虑错误返回码的设计各子系统格式应该尽量统一，方便监控和技术人m统一处理“错误返回码应该包括(应用)产品标识、

5、问题解释、系统动作、参考回应等等。信息的查询应该做到准谕详细、方便快捷。以IBM大型机操作系统信息为例，错误返回码包括问通解释(Exp1.anation)系统动作(SyS1.emaction)操作员回应(Operaiorresponse).系统程序员回应(Sysiempmgrainnierrespong,模块(Modu1.e),过程名(PrOCCdurCnamc),各个子系统的MessagesandC1.cs信息非常丰富和规范，可以用手机APP或PC上网或卜载后脱机查询，对于问题的解决很有耕助，值得我们借鉴。(3)注意重要信息出现的时间和顺序如果能够知道故障的具体发生开始时间，对问题的解决是有

6、相当的帮助的。在找故障发生时点时，第一个异常信息往往具有特别重要的提示功能，在多数情况下问题的发生是连续的，彼此之间仃密切的关联。第个问题往往是故障的起因。抓住/第一个问题.有利于我们瞅藤摸瓜，掌握故障的前因后果，从而最终解决问题。(4)注重红盘和信息的保存在故障消除之后，通过对问题的定位和处理,使得我们增加了对系统的了解，是花费/代价换来的宝贵知识.无论是经验还是教训，都是系统和分析人珏反馈给我们的全要信息，非常值得利用这个时机认我复楸，总结和保存经验教训，形成应急预案或问题案例进入知识库，从而在未来更好地对IT系统进行控制，使其达到我们期望的效果。3、反馈观点系统输送出的信息作用于被控制对

7、象后产生的结果再输送回来(回输)，并对信息的再输出发生影响的过程就是反馈。变更及变更回退可以看成是一种回馈。根据统计，80%的系统故障发生与变更有关。个运行良好的系统，不会无缘无故地发生故障.对系统和应用变更的实施一定要有一套完整的管理制度和网退及应急方案。作为故障处理人员应当知道变更的原因、内容、影响范围、回退办法和应急预案。4、控制观点系统、控制论的最终目的是要对各系统进行最优控制，根据反馈原理，调整各部分的功能，以达到系统的最佳状态。在银行IT系统中，保障系统安全稳定运行可以看成是通过一系列控制手段，预防、解决和消除不稳定和故障因素，从而使系统运行成本、信息输出、实现功效符合期望的过程，

8、在控制过程中建议注意以下几点：(I)人是系统稳定运行的关键和核心。在系统运维时一方面需要注重自动化，同时要不能忽视人的因素，在严格遵守制度的同时，在岗位上要注意发扬敢于负货，勇于担当，求实善战的工作作风，只有具备这样的精神的人，才能在应急时刻迎难而上。2)事前预防至于临时灭火。一个优秀的系统维护人员如同一个好的医生。需要具备“上医治未病”的理念。要注重平时的系统检查，对系统性能指标要心中有数。要保持监控画面的简单有效，平时要消除多余的干扰信息,避免问题来临时真正重要的信息被其他信息掩蛊而忽视.在监控中，可以借鉴设备维护的红黄绿三色灯的概念，来实时显示系统的健康、警告和故障状态。(3)要减少控制

9、所需的时间。在实践中，如果不能及时找出原因，应该牢记客户利益至上，坚守第时间恢宏生产的原则，可以在事后再确定原因，不应在紧急时刻寻根问底.如果一时没有更好的解决方案，系统重启或者启动备用系统也是一种有效控制手段，其本质是使系统通过自我控制回到可用状态的过程。银行信息系统安全可控思考经过几十年的艰苦努力，我国金融行业路追赶，完成了“从算盘到键盘的历史性跨越，实现f金融现代化.今天，我国金融科技整体竞争力处于世界前列。但是，发展与安全始终是金融行业关注的热点话题,陈天晴先生是我国金融信息化建设领域的重要人物，对我国金融信息化和信息安全体系建设做出了重要贡献。银行信息系统安全可控是非常重要的，也一直

10、是银行信息工作人m努力的目标。银行对IT的使用是最普遍、域深入的领域之一。而银行业的服务又牵扯到全社会，所以银行信息系统的安全和发展是大家都关心的问题。、重视安全银行信息系统30年.砥砺前行银行信息系统的安全福求，除f大家讲的数据安全、网络安全等信息安全以外，还有对整个信息系统安全性、可靠性以及服务及时性、持续性的考虑，其中“持续性”最大的特点就是每天24小时，一年365天都要提供服务，而且这种服务是可持续、可恢发的。银行业在电子化、信息化的建设过程当中,直都是同步建设信息安全系统.30多年来银行信息系统没有发生过颠检性的安全故障，战本保障了整个银行业信息系统的安全运行，保障了客户帐户的资金安

11、全，也保障了业务的持续运行。银行信息系统有力支持和引领了银行业30多年的飞跃式发展，从而有力的支持了国民经济30多年的大发展,这是对国家个很大的贡献。在上世纪70年代，银行她本上都是手工，用算就，在座的很多人都没有体验过那种状态。80年代以后，银行系统进入了电子化时代，到本世纪以后叫信息化时代。从2005年开始，应该叫互联网时代。银行系统对于互联网金融其实提得很早，从2000年以后银行系统一直开展网上银行业务.到2005年移动互联网出现之后，银行系统更加强调这个事情。随着信息化的发展，银行推出了很多金融创新的服务，从上世纪80年代、90年代,一直到现在，现在的网上银行、移动银行、手机银行、私人

12、银行、金融超市、互联网金融，还有很多,宝有人说2014年是互联网金融元年，其实，银行互联网在这个元年的前10年就开始了。这是一个发屣过程，银行用的设备同样也是慢慢发展的，不是一段而就的。到目前为止，银行信息系统中大型银行核心业务组织系统的豳都是国外品牌，银行数据库管理系统、中间件也都是国外品牌，这是个事实，也是个发展过程。这个过程其实是非常艰苦、非常艰辛的，银行信息系统投入大量人力和物力。现在大家享受到了方便的金融服务，比如支付宝、余额宝服务，其实都是建筑在几十年来银行信息化不断积累的基础上的，没有银行信息化系统，没有强大的根行支付系统和银联系统，就没有我们现在所谓的支付宝、余额宝或者其他的各

13、种支付宝。二、安全是相对的，永远没有绝对的安全什么是安全?汤翔在g核电安全的基本问题B当中提到了三个方面，我比较认可.一是利益足够大、代价可承受，则认可其是安全的，这是一个相对概念;二是安全是利益和代价的平衡，没有一件事情只有利没有弊:三是安全是可接受的风险。从整体上考虑，虽然讲安全非常重要，但是也不能绝对化，绝对化是做不到的事。在目前来讲，我觉得我们必须这样认识：一是正确处理开放和安全的关系.我们讲安全提的口号比较多，但我觉得安全不等于闭关锁国，并不是“关起门来”就安全了。也不等于我们拒绝使用国际的先进技术，现在是国际互联网时代，拒绝肯定是不可以的。二是正确处理安全和发展的关系。习主席9月3

14、0日国庆记者招待会上讲到/八个坚持，其中一条坚持就是必须坚持抓好发展这一第一要务.所以我一直以来的观点就是，以安全保障发展，安全不是我们的目标，应该是一个手段。发屣才是我们的目标，以发展促进安全，不发展最不安全。30年前，我们没有想到现在我们在国际上能有这么高的地位，是因为我们发展了，地位上去了。此外，还有一种比较绝对的说法，”这个（功能）没做好，那个（功能）没做好”,好像就不能再往下做了，我不同意这样的主张，我们不能等到所有都“安全”了才发展。我们生活中处处都有风险，处处不安全，我们有食品安全、环境安全、交通安全、卫生医疗安全。我前两天做饭的时候把手切了个口子，这也是安全问题。但是我们必须生

15、活，不能说这些问题没有解决我们就不生活r.只不过要努力的揩风险限制在相对可控的范围内;而且，我觉得这个可控也是相对的，不能是绝对的。三、安全的需求是陵若发展而变化的有发展，新的安全问题就出来目前银行己经进入r互联网时代，特别是移动互联网时代，对于银行信息系统有更多、更鸟、更新的需求。银行从电子化、信息化到互联网化，从用户的界面来讲，可以说从原来的算盘开始发展到键盘、鼠标，现在是触摸屏、滑屏，这是银行信息系统表现出来的过程。未来的银行，是倡导以综合服务为中心的智慧型银行，以服务为中心，以移动互联网为主要渠道，强化客户体验，提供全能型服务的智慧银行;银行不再是一个地方，而是-种行为，一种服务。我们

16、有很多安全的事情要研究，但是我们确实是边发展边研究，我们不是等到研究好了再去发展。我们银行直在改变，但有一条不能不变，那就是服务r国民经济的发展，服务丁民生的宗旨不变，其他的都可以变。从安全方面来讲，银行信息系统有灾难备份和核亚，有互联网业务的安全，有信息安全管理体系的建设，当然还有个IT治理的层面。从应用来说，银行信息系统有大数据应用，有基于互联网金融的应用，这是银行信息系统目前的发展IR点。但是这个框架不是推倒全来，而是在原来的基础上再发展。目前来说，银行发展进入了新的时代，对于信息系统的安全可控提出了更高的要求。最近银监会联合工信部等四个部委下发201439号文关于应用安全可控信息技术，加强银行业网络安全和信息化建设的指导意见，明确要求到2019年掌握银行与信息化的核心技术和关键技术，实现银行业关键网络和核心设施的分布，