银行信息科技风险的治理途径

信息化建设一直是现代银行发展战略的重要组成部分。最近十年，银行信息化建设一直在高速向前发展。随着数据大集中工程的启动及完成，银行信息化从信息基础设施到业务系统的建设，都取得了较为明显的成效，信息化总体架构已经成熟，各类业务应用系统已经初具规模。各类信息系统已经成为银行提供客户服务、获取市场价值、培育核心竞争力的重要途径。

　　但是，随着银行信息化规模的日益扩大，信息科技风险的防控及治理始终是银行信息化建设和管理的薄弱环节。2009年，银监会发布《商业银行信息科技风险治理指引》（以下简称《指引》），从信息安全、信息系统开发和信息科技运行等多个层面对信息科技风险治理进行了清晰规定。从《指引》中，我们可以解读到，信息科技风险治理是以可接受的成本识别、控制、降低可能影响信息系统风险的过程，通过风险识别，制定信息科技风险治理策略，采取适当的控制目标与控制方式对风险进行控制，使风险被避免、转移或降低到一个可以被接受的水平，同时考虑控制费用与风险之间的平衡。信息科技风险治理体系主要包含信息科技风险识别、分析与评价，信息科技风险的计量，信息科技的治理思路和控制措施。

一、信息科技风险识别、分析与评价

　　信息科技风险治理的主要目标是在可接受成本的范围内，分析信息系统面临的潜在风险，并采取一定措施控制和防御风险的过程。风险识别是指对组成信息科技风险因素在系统中潜在可能性认识的过程，风险分析是指系统化地识别和分析风险来源和风险类型，风险评价是指按组织制定的风险标准计算风险水平，确定风险严重性。

　　1．风险识别

　　信息科技风险的组成因素，一般包含价值信息资产、信息资产面临的威胁、信息资产的脆弱性等。信息资产是对组织具有价值的信息资源，是风险控制措施保护的对象。信息资产面临的威胁是可能对信息资产或组织造成损害的潜在因素。信息资产脆弱性是信息资产可能被威胁利用的弱点。风险识别是对信息系统和信息基础设施的威胁、脆弱性和风险的识别，它包含以下元素：被特定威胁利用的信息资产的一种或一组脆弱性，导致信息资产丢失或损害的潜在可能性，即特定威胁事件发生的可能性与后果的集合。风险识别过程是综合分析信息科技风险各组成因素，包含信息资产的价值、对信息资产的威胁和威胁发生的可能性、信息资产脆弱性、现有的风险控制提供的保护等，从而导出风险的过程。银行对信息科技风险一般具有偏好性考虑，其结果受到业务需求及战略目标、文化、业务流程、风险要求、信息规模和结构的影响，因此在风险识别实施前，应确定风险识别的范围和目标，建立适当的组织结构，建立系统化的风险识别方法，获得管理者对风险识别工作的批准。

　　2．风险分析

　　在进行风险识别之后，必须就各项风险对整个信息系统的影响程度做一些分析和评价，通常这些评价建立在以特性为依据的判断和以数据统计为依据的研究上。风险分析的方法非常多，一般采用统计学范畴内的概率、分布频率、平均数、众数等方法。但无论是哪一种工具，都各有长短，而且不可避免地会受到分析者的主观影响。可以通过多维度、多人员分析或者采取头脑风暴法等尽可能避免。此外，应当明确，风险是一种变化着的事物，基于这种易变条件上的预测和分析，是不可能做到十分精确和可靠的。所有的风险分析都只有一个目的，即尽量为避免信息系统提供的服务失控和为具体的信息系统开发和运行中突发问题预留足够的后备措施和缓冲空间。

　　3．风险评价

　　信息科技风险评价方法有两种：定量方法和定性方法。定量分析是试图从财务价值上对构成风险的信息资产的各项要素进行量化分析评价的一种方法，由于定量分析所依赖的数据的可靠性和有效性很难保证，加之对数据统计缺乏长期性，所以，定量分析方法在银行信息科技风险评价中并不常用，取而代之的是更容易实施的定性分析方法。

　　定性风险评价并不强求对构成风险的各个要素进行精确的量化评价，它有赖于评价者的经验判断、业界惯例以及组织自身定义的标准，来对风险要素进行相对的等级分化，最终得出的风险大小，只需要通过等级差别来分出优先顺序即可。事实上，银行最关心的是业务活动的持续性，对于影响业务活动持续性的各种风险问题，在有限的资源支持情况下，只需要抓住最突出的问题，有针对性地采取措施即可。

二、信息科技风险计量方法

　　风险计量是在风险识别的基础上，根据信息科技风险组成要素的相关属性进行赋值，进行综合计算最终获得信息科技风险值。信息资产的属性主要是资产价值，威胁的属性主要是威胁主体、影响程度、影响范围等，脆弱性的属性主要是信息资产缺陷的严重程度。风险计量的主要内容是对信息资产进行识别，并对信息资产的价值进行赋值；对威胁进行识别，描述威胁的属性，并对威胁潜在影响程度赋值；对信息资产的脆弱性进行识别，并对具体信息资产的脆弱性的严重程度赋值。风险计量原理如图1所示，具体计量方法进行如下介绍。

　　1．信息资产风险的计量

　　信息资产是指任何对银行具有价值的信息资产，包括计算机硬件、通信设施、机房、数据库、文档信息、软件、信息服务和人员等，所有这些信息资产都需要妥善保护。为了进一步定义其价值，一般需将其分类，除一般认可的软件、硬件、数据信息资产外，还需增加人员、服务等项目，在此基础上可进一步细分，以达到精细化管理的要求。对细分后的信息资产，需定义其价值。这里所讲的价值并不是财物价格，而是从信息科技风险的角度，即机密性、完整性、可用性的价值取值。如果采取三级分类法对信息资产进行划分，分类标准参照如下。

　　（1）关键信息资产：从保密性而言，对应为机密级，涵盖重要的信息、信息处理设施和系统资源，只能给少数必须知道者（特定的任务群体），一旦泄漏，会造成严重的损害（部门或特定范围）。

　　（2）重要信息资产：从保密性而言，对应为秘密级，涵盖一般性的商业秘密，泄漏后会造成一定的损害，但不会造成重大的影响与损失。未经授权的更改、破坏或误操作对信息系统造成一定的影响，或给业务带来明显冲击。

　　（3）普通信息资产：并非敏感信息，主要限于内部使用。一旦泄漏，并不会造成显著的影响。很难采用精确的财务方式来给信息资产确定价值，一般采用定性的方式来建立信息资产的价值或重要度，即按照事先确定的价值尺度将信息资产的价值划分为不同等级。经过信息资产识别与估价后，组织应根据信息资产价值的大小进一步确定需要保护的关键信息资产。

　　2．威胁风险的计量

　　威胁风险的计量用以评价威胁发生时对信息资产造成的潜在影响或后果，威胁一般能对信息基础设施进行损坏，还有可能导致信息泄密，或信息完整性和可用性受损，信息服务质量下降，严重的甚至可能造成信息系统崩溃、信息服务中断，直接影响银行的经营利润和声誉风险。不同的威胁可能对银行及其信息资产的影响程度不尽相同，其导致的价值损失可能也不一样，威胁的可能性可以采取资产的相对价值的损失度来衡量，资产的相对价值是通过折旧损耗之后资产的现值，价值损失度表示当信息资产遭遇威胁攻击之后，信息资产及信息服务质量遭受损失的程度。威胁的可能性一般可分为三级，取值标准如下。

　　（1）高：在业务活动持续期间，威胁发生后，会对资产的相对价值造成全部损失或巨大损失。

　　（2）中：在业务活动持续期间，威胁发生后，会对资产的相对价值造成中度损失或局部损失。

　　（3）低：在业务活动持续期间，威胁发生后，会对资产的相对价值造成轻微损失或零损失。

 1 2 3 下一页 尾页

扫码即可手机
阅读转发此文