|
网络安全是一件由上到下、遍及全民的要事。香港金管局就明确规定，保障银行的网络安全是机构董事会成员的责任，由董事会负最终责任。管理层必须根据董事会定下的网络安全优先级，去保证所有的资源架构配套能够到位。 管理层监督 管理层的下一级是科技或风险管理部门，甚至是一些前线。管理层要保证计划都能够执行到位，再具体到技术人员。
只有管理层乃至机构董事会了解到整体安全保障情况，把它列入日常议程，整个机构的网络安全资源跟能力才能持续下去。 网络安全永远没有“做到最好”这个说法，不是监管要求或者稽查就做一下，无人违纪就停止了，而是要持续执行下去。 管理层监督的对象，就是有关网络安全的部门、科技部门，包括用户。有关部门应该收集报告，定期向高层管理、董事会汇报安全情况。 现在很多培训，只面向科技人员，这不够。要把培训遍及到董事会跟高层管理，他们也充分了解当前网络安全整体趋势，才能引起足够重视。基层同事也要知道网络安全各方面保护，不断宣传，让所有的终端用户都有这种意识。 除了全民意识，在技术层面可以有很多的手段，比如在电脑上安装不同防护工具、加密工具或监控工具。实际上不同机构都会不断互相学习，然后引进技术手段，辐射到终端用户和高层管理的培训。
香港金融管理局（下称“金管局”）对科技的风险监管有不同的规范，以科技管制和技术措施为主。 持续性业务，又称TM-G2，是指业务整体都要持续有留存备份，不只是科技中心的备份，还有业务操作备份、演练规划。演练包括技术和业务层面，应急启动等，都有很多不同规范。电子银行因为变化得很快，所以有专门的管理规范和相关指引。 香港民众对个人隐私的保护意识很强，是好事，当然也没那么快接受新鲜事物。香港有专门的隐私条例，大概有6个原则： 个人资料的收集、目的及方式。社会上不同的机构，像银行、商店要收集客户资料，就必须讲清楚收集资料的目的跟使用方式。 个人资料的准确及保留期。讲清楚目的后，还有使用期限，多久之内必须要删除，资料不再留存。 个人资料的使用。在使用的过程中，要遵循告知用户使用的方式且只能用于此事，用户一旦发现不妥，可以投诉。 个人资料的保护。即是资料在处理中、传输中、存放中的保护。 资讯需在一般情况下可以提供。 查阅、修改个人资料的权利。 根据隐私条例规定，用户可以随时要求查询收集记录的资料，也有权要求修改和删除。 网络安全管理指引四大重点
网络安保方面，金管局曾给出过银行指引，重点如下： 1、董事会和高级管理层的监督 银行网络安全的风险拥有人就是董事会，信息一旦泄漏就可能让黑客容易进入一些科技系统，因此必须建立科技跟业务并行的风险管理整体措施。 风险出现时，我们要面对监管、客户、民众、媒体。所以这一系列活动中，业务部门、企业职能部门都是要并行运作的。风险管控的措施不只是科技，同时要保证多数人有网络安全措施跟意识，董事会跟高级管理层有责任建立这一种文化。 2、定期评估及监察 银行网络安全要建立一种控制基准，包括治理层面。类似的国际基准有CSC20，通过标准比对，找出差距，不断修改补充。 2015年时金管局提问各个银行：网络安全团队有多少人？需要配备足够的人员及人才，足够的财务投入，才能把网络安保做好，定期向董事会汇报。 3、业界合作及应急规划 金融机构要跟其他行业机构、警方互相合作，共享一些网络信息；同行业间互相分享不同的安保信息。做好应变测试，确保能够及时处理。这里的应变测试是指整个机构面对问题的时候的应变处理。 4、定期独立评估及测试 足够的网络安保专业人才跟知识是衡量机构的标准。另外，要请有资质的顾问公司对机构进行独立评估，这也是监管要求之一。 网络防卫评估框架 金管局推出了「网络防卫评估框架」，近几年还在继续完善跟运作。 评估框架要求：银行根据自身交易量、提供交易服务的复杂程度和自身规模，进行自我评估，判断固有风险的高中低程度。银行的规模越大、业务越复杂、提供的产品越多，固有风险就越高。 还有网络安防成熟度的要求。固有风险越高，成熟度要求就越高，通过独立的顾问公司评估银行，逐项判断是否满足要求。再根据评估结果找出差距，银行必须优化改进。 每个银行的评估结果最终都要上报，金管局根据结果提出意见，银行再根据意见和评估结果制定修订的计划进行整改。金管局还要求提供修订报告，独立顾问公司对银行做审查，评估整改的方案跟措施。 半年后，会要求银行找顾问公司再做一次评估，确认方案是否仍然有效。全部做完后，再要求各个银行去找顾问公司，找出不同的场景在机构里测试，然后从端对端中看能否找出漏洞。 |
