金融信息系統,四川大學 經濟學院 杜江,1.電子銀行的發展概況,1.1 電子銀行的產生與發展 1.2 支付和支付系統的產生與發展 1.3 IT和IT部門在電子銀行中的作用 1.4 我國電子銀行的現狀,1.1 電子銀行的產生與發展,銀行業應用計算機始于20世紀50年代中期。從20世紀60年代初開始，新的電子資金轉賬（EFT）系統就像雨后春筍般建立起來，銀行業務迅速實現電子化。 電子銀行的建設經歷了將手工操作轉為計算機處理、開發自助銀行服務、提供金融信息增殖服務和開展網上銀行四個發展階段。,1.2 支付和支付系統的產生與發展,中央銀行,商業銀行甲,商業銀行乙,客戶甲,客戶乙,1.2 支付和支付系統的產生與發展,銀行卡的推出、計算機與通信技術（C&C）的引入、各種電子資金轉賬（EFT）系統的建立和推廣應用，使資金支付活動的各方真正有機的聯系在一起，形成各種電子支付系統。,1.2 支付和支付系統的產生與發展,我國目前的支付系統包括： 同城清算所 全國手工聯行系統 全國電子聯行系統 電子匯兌系統 銀行卡交易處理系統 網上銀行系統 中國現代化支付系統 郵政儲蓄和匯兌系統,1.3 IT和IT部門在電子銀行中的作用,IT的應用對現代銀行具有生死攸關的作用?，F代金融企業的優勢在于它的信息化和智能化的水平，取決于其對客戶和市場需求的響應速度，將創新成果轉化為新產品、新業務的速度。能高效利用信息去管理和影響決策過程的企業，具有更大的競爭優勢，將獲得快速的發展。因此，現代電子銀行之間的較量實質上是IT應用與創新之間的競爭。,信息時代金融企業面臨的壓力,1.空前激烈的全球性業內外競爭 2.不斷縮短的業務周期 3.成本壓力 4.市場營銷策略的變革 5.運營、管理體制的變革 6.嚴重的金融風險,1.4 我國電子銀行的現狀,建成了初具規模的金融數據通信網的基本框架 中國工商銀行、中國農業銀行、中國銀行和中國建設銀行四大國有商業銀行，采用專線或公共電話網為傳輸介質，建立了各自的具有相當規模的全國通信網。其他商業銀行業建立了規模不等的全國性或地區性數據通信網。中國人民銀行的數據通信網將各個商業銀行的數據通信網互聯在一起，組成了我國統一的金融數據通信網的基本框架。,1.4 我國電子銀行的現狀,銀行傳統業務的處理基本實現電子化 通過我國各商業銀行的通信網，可實現電子匯兌、系統內聯行對賬、信用卡授權，網上銀行服務及各種報表的傳輸。各行還開發了實時電子匯兌系統，逐步實現全國聯網。企業、單位和個人在這些銀行辦理匯兌業務，可實現即收即發，資金可及時到賬。,1.4 我國電子銀行的現狀,開發了一批新型的金融服務項目 自從1985年中國銀行率先推出長城卡至今，我國銀行卡產業取得了可喜成績。工商行的牡丹卡、建行的龍卡、農行的金穗卡、交行的太平洋卡等銀行卡相繼推出。20世紀90年代，我國各商業銀行開始發展網上銀行服務和網上銀行支付服務。在實現電子化的基礎上，我國的商業銀行積極實施數據集中和應用整合，將柜面業務、銀行卡、ATM、POS、電話銀行、手機銀行和網上銀行等業務融為一體，建成了以客戶為中心的綜合業務處理系統。,1.4 我國電子銀行的現狀,初步建立管理信息系統 為提高銀行的監管水平，中國人民銀行建立了金融機構監管系統、銀行信貸登記咨詢系統、農村信用社非現場監管系統等。各商業銀行則相繼推出了行長查詢系統、人力資源管理系統、公文傳輸系統、統計分析系統、電子郵件系統和辦公自動化系統，提高了辦公效率、經營管理水平和防范金融風險的能力。,2.電子銀行體系與金融創新,2.1 電子銀行系統的產生 2.2 電子銀行體系 2.3 商業銀行的金融綜合服務系統 2.4 發展電子銀行的意義 2.5 信息時代的金融變革與創新 2.6 電子銀行系統的規劃與設計,2.1 電子銀行系統的產生,電子資金轉賬系統（EFT系統）,EFT系統采用的數據支付方式,1.支票支付 2.貸記轉賬 3.直接借記 4.用電子錢包現金卡直接支付,EFT系統發展成為電子銀行系統 隨著銀行業務的不斷擴大，EFT系統從專有系統走向共享系統，從小系統逐步互聯成地區性、全國性以至全球性的龐大的金融共享系統。 信息時代的電子銀行呈現四大發展趨勢：數據集中化、經營集約化和虛擬化、產品個性化、管理信息化和智能化。,2.2 電子銀行體系,電子銀行的信息和交易體系,電子銀行綜合業務服務體系,在面向客戶的系統中，包括零售業務系統、面向商業的銀行業務系統和批發銀行業務系統。零售銀行業務系統包括：聯機柜員系統、ATM系統和家庭銀行系統。面向商業的銀行業務系統是銷售點電子資金轉賬（EFT/POS）系統。批發銀行業務系統，主要是指企事業單位與銀行聯機的企業銀行（T-to-T）系統。,電子銀行綜合服務體系,在面向往來銀行的系統中，國內銀行之間的金融交易，通過自動清算所（ACH）系統和各種國內電子匯兌系統完成，同國外往來銀行的金融交易則通過SWIFT網絡和其他專用金融網絡進行。,電子銀行綜合服務體系,網上銀行系統包括為電子商務提供網上支付服務和網上銀行服務。其中的網上支付服務含企業對消費者（B2C）和企業對企業（B2B）兩類支付服務。網上銀行服務主要是通過互聯網為客戶提供家庭銀行服務和企業銀行服務。,電子銀行綜合服務體系,銀行內部管理系統包括行長管理系統、總行管理系統、內務管理系統和分行管理系統等。,2.3 商業銀行的金融綜合業務服務體系,綜合性商業銀行核心銀行系統（ICBS） ICBS 是IBM依據商業銀行面臨的新競爭環境推出的綜合性商業銀行核心銀行系統。它支持商業銀行的各種業務目標。,2.3 商業銀行的金融綜合業務服務體系,銀行多渠道綜合解決方案（WSBCC） WSBCC是IBM提供的面向金融行業的電子商務應用框架模型，它是基于Websphere、跨平臺、支持多渠道的綜合解決方案。WSBCC支持的銷售渠道包括網上銀行、手機銀行、柜面業務、呼叫中心、自助式信息亭等。,2.3 商業銀行的金融綜合業務服務體系,電子柜員（e-Teller） IBM基于網絡計算的銀行前端系統平臺e-Teller，是分行級系統解決方案。它是為多種金融前端系統（柜面業務、網上銀行、呼叫中心、自助式信息亭、自動柜員機、移動電話服務等）提供快速解決方案的平臺。,2.4 發展電子銀行的意義,1. 商業銀行實現三次飛躍 經過近半個世紀的電子銀行建設，銀行已經實現了如下三次飛躍：第一次是實現電子化，使銀行從手工操作實現電子化，隨后推出自助銀行服務；第二次是實現信息化，使傳統銀行發展成為電子銀行；第三次是實現虛擬化，使實體銀行向虛擬銀行發展。,2.4 發展電子銀行的意義,2.增強了中央銀行和銀監會的宏觀調控作用 中國銀行通過電子支付系統，可實時掌握整個社會紛繁變化的資金運用狀況和經濟運行狀況，為采取有效的宏觀調控措施提供依據。中央銀行還可通過與各商業銀行之間的電子支付與結算活動，及時有效的控制信貸規模，監督商業銀行的金融活動，并通過辦理政府財政業務，控制國家貨幣的發現和資金的儲備，從而加強宏觀調控，穩定貨幣，促進國民經濟的持續、穩定和協調發展。,2.4 發展電子銀行的意義,3. 促進國民經濟的發展和信息化進程 金融信息化是我國國民經濟信息化的重要組成部分。現代化的電子支付系統，是國民經濟大動脈中的一個關鍵系統，電子銀行是現代社會經濟的支柱和命脈。,2.5 信息時代的金融變革與創新,當代金融變革的主要特征 1.金融服務信息化、智能化和個性化 2.金融服務時空無限制和手段多維化 3.金融編制精干化，管理體制扁平化 4.金融經營管理智能化，安全監控自動化 5.金融競爭呈現體系化和全球化,2.5 信息時代的金融變革與創新,我國金融創新的方向 1. 推進金融思維創新，創立與信息化競爭相適應的現代金融理論。 2. 推進金融業務創新和技術創新，確立跨越式發展的思路，加速實現核心現代金融業務現代化的電子金融體系建設。 3. 推進金融體制創新，深化中國金融結構改革，建設適應信息時代電子金融的組織結構。,2.6 電子銀行系統的規劃與設計,電子銀行系統的建設目標 1. 使銀行提高效率、降低經營成本 2. 使銀行能夠提供高質量的金融信息增殖服務,2.6 電子銀行系統的規劃與設計,規劃電子銀行系統涉及的主要因素 成功推出一個電子銀行系統的先決條件是這一系統具有服務性、安全性和經濟性。而要實現上述要求，電子銀行系統的規劃與設計就不僅僅是一個技術問題，它必須涉及三個層次的因素，即：由最高領導層作戰略規劃；由市場銷售人員作市場響應預測研究；由銀行的技術人員作技術開發研究。,2.6 電子銀行系統的規劃與設計,規劃與設計的原則 規劃設計電子共享的基本原則是，要充分利用、共享各種金融機構已有的計算機系統資源，充分兼顧系統所有參與者的利益，要能適應國際發展潮流。,2.6 電子銀行系統的規劃與設計,需要考慮的幾個重要問題 1. 目標 2. 多功能性 3. 安全 4. 覆蓋面 5. 靈活易擴充 6. 整合的系統結構 7. 需要非常大的投資,3. 電子銀行的安全,3.1 電子銀行安全概述 3.2 影響電子銀行安全的因素 3.3 電子銀行的入侵探測與安全控制 3.4 計算機信息系統安全理論和評價準則,3.1 電子銀行安全概述,金融業是國民經濟的命脈，電子銀行的安全對國民經濟的正常運行和發展有著至關重要的影響。電子銀行系統的缺陷和失效，很可能給國民經濟帶來巨大損失。,3.1 電子銀行安全概述,電子銀行安全特點 1. 安全性要求很高 2. 抗攻擊能力要很強 3. 安全難度很大 4. 高科技犯罪比重大,3.1 電子銀行安全概述,電子銀行的資源 1. 物理設備，包括機房、機房內和通信線路上的所有設備。 2. 軟件資源，包括系統軟件和應用軟件。 3. 數據資源。 4. 人才資源。,3.1 電子銀行安全概述,電子銀行安全的基本條件 1. 可靠性，系統中的所有資源都必須是正確完好、無差錯的。 2. 可用性，保證合法用戶能正確使用系統資源，而不被拒絕訪問或拒絕執行合法的用戶指令。 3. 可維護性，保障電子銀行系統不會停止工作，永遠能為用戶提供高質量的快速服務。,3.1 電子銀行安全概述,電子銀行的信息安全需求 1. 身份識別 2. 交易認證 3. 訪問控制 4. 信息的不可否認性 5. 提供沖正過程 6. 審計跟蹤,3.2 影響電子銀行安全的因素,自然災害 電子銀行很容易受到自然災害的襲擊。在作電子銀行系統分析和設計時，要充分考慮可能產生的各種自然災害。金融信息中心的地址選擇、房屋結構設計要很慎重，關鍵的軟硬件要冗余配置，重要的信息中心要配置備份中心。,3.2 影響電子銀行安全的因素,環境因素 電子銀行安全會受工作環境影響，如 掉電、電力波動過大、工作環境溫度和濕度過高或過低等，都可能對電子銀行構成安全威脅。,3.2 影響電子銀行安全的因素,軟硬件質量及其安全漏洞 1. 操作系統體系結構上的安全漏洞。 2. 操作系統支持在網絡上傳輸文件，包括傳輸可執行的文件映像，即在網絡上加載程序。 3. 操作系統通常提供一些后臺守護進程的系統命令，如Daemon、Debug、Wizard等。 4. 操作系統安排的無口令入口，本是為系統開發人員提供的便捷入口，但它可能成為黑客的通道。,3.2 影響電子銀行安全的因素,誤操作 誤操作有時也會引起嚴重的安全問題。為解決誤操作問題，必須提高操作人員的技術水平；重要數據的錄入，需要有復核；此外，在軟件的設計上應該有保證數據正確性和完整性的檢驗功能。,3.2 影響電子銀行安全的因素,人為破壞 人為破壞可能是局外人，也可能是系統內的職工所為；可能是有意破壞，也可能是誤操作引起。,3.2 影響電子銀行安全的因素,非授權存取 非授權存取方式有被動和主動攻擊之分。偵聽是被動攻擊，截獲通信線路中的數據并加以篡改是主動攻擊。,3.3 電子銀行的入侵探測與安全控制,攻擊的類型,中斷是使系統資源遭受損失、損壞或不可用，使用戶得不到所需資源。例如，蓄意破壞設備，刪除程序和數據文件，使操作系統文件管理程序失效，導致不能找到所需的磁盤文件，都屬于中斷失效。,截取是指非授權實體對資源的存取。這里所說的實體，可以是人、程序，或計算機系統。閥門非法訪問網絡，對程序或數據作非法拷貝，都屬于截取攻擊。,修改是指非授權實體對資源進行篡改而產生的失效方式。非法篡改數據庫數據、修改程序、修改正在傳輸中的數據、修改硬件等，都屬于修改攻擊。,偽造是指非授權實體偽造計算機中的實體。例如，作案分子將偽造的事物加入到計算機網絡系統中，或向數據中非法加入記錄等。,否認服務是指否認自己曾向銀行計算機系統發出指令等實際行動。例如，事后否認自己曾向銀行系統發出過轉賬請求的實際指令。,3.3 電子銀行的入侵探測與安全控制,安全威脅來源,3.3 電子銀行的入侵探測與安全控制,入侵探測方法 入侵探測是通過檢查網絡流量和各種系統事件，如檢測CPU利用率、系統調用、文件操作等發現入侵者。入侵探測的主要方法有：模式匹配、統計分析、完整性分析等。,3.3 電子銀行的入侵探測與安全控制,入侵探測系統 根據探測方法，可將入侵探測產品分為三種：事后審計分析、實時數據包分析和實時活動監視。,3.3 電子銀行的入侵探測與安全控制,電子銀行的安全控制 1. 密碼技術 密碼技術是保證信息系統安全的核心技術和最有效工具，是各種安全技術的基礎。明文經過加密成密文后，局外人無法理解密文的含義，密文截獲者就不能對截獲到的信息進行修改，也不能偽造電文和信息。,3.3 電子銀行的入侵探測與安全控制,電子銀行的安全控制 2.數字簽名 在通信過程中，數據加密只起保密作用，要使通信的雙方互相信任，要保證數據傳輸的完整性，重點在協議。數字簽名協議廣泛應用于數據通信中，用于保護電文在傳送過程中的安全。為了通信雙方能顯示識別傳輸電文的完整性，電子銀行中還廣泛采用電文識別碼技術。,3.3 電子銀行的入侵探測與安全控制,電子銀行的安全控制 3. 身份識別技術 在電子銀行中，不同網絡環境下，采用的身份識別技術不同。例如，通過設置識別碼識別，容貌、聲音、掌紋、指紋識別。,3.3 電子銀行的入侵探測與安全控制,電子銀行的安全控制 4. 軟件控制 軟件控制包括：系統軟件控制、程序內部控制、開發專門的安全監控軟件、電子金融的經營風險管理軟件。,3.3 電子銀行的入侵探測與安全控制,電子銀行的安全控制 5. 硬件控制 在計算機系統安全中，硬件安全設備（如加密硬設備、電子門衛設備等）主要起輔助作用。,3.3 電子銀行的入侵探測與安全控制,電子銀行的安全控制 6. 物理控制 物理控制用于確保系統內所有計算機、通信設備、通信線路和機房環境等的物理安全。例如，房門上鎖、設崗哨、將重要的軟件和數據定期備份等。,3.3 電子銀行的入侵探測與安全控制,電子銀行的安全控制 7. 稽核控制 對電子銀行的稽核控制，是對任何實體在電子銀行系統中的操作都要記錄下每項操作的屬性，這些記錄必須保留必要的時限，以備日后審查。,3.3 電子銀行的入侵探測與安全控制,電子銀行的安全控制 8. 規章管理制度 有效的規章制度和一體化的安全管理，是確保上述