前言：寻找写作灵感？中文期刊网用心挑选的金控体系下信息安全防护网构建，希望能为您的阅读和创作带来灵感，欢迎大家阅读并分享。
摘要：近两年金控行业发展迅速，混业经营模式下如何有效构建企业的信息安全防护网，是企业经营者需要面对和思考的问题。本文介绍了金控的定义与历史机遇，分析了金控体系下信息建设的重要性和安全需求，最后阐述了金控体系下信息安全体系规划和实践。
关键词：混业经营；金融牌照；信息安全；管理体系
一、金控的定义与历史机遇
（一）金控的定义
金控是金融控股的简称，是指在同一控制权下，完全或主要在银行业、证券业、保险业中至少两个不同的行业提供服务的金融集团。从定义上可以直接反映出金控公司的特点：多金融牌照混业经营，由一家集团母公司控股，通过子公司独立运作各项金融业务。
（二）金控的历史机遇
金控公司出现之初，集团母公司多是扮演财务投资的角色，不参与具体业务的运营。随着国家“十三五”工作的推进，金融改革不断深化和多元化，单一业务的聚集效应在减弱，而以多业务构建“客户-平台-资产”供应链闭环生态系统的金控平台则迎来其历史发展机遇。其通过资源协同、渠道整合、交叉销售等运营模式，促进供应链上各项金融业务的联动发展，最大程度地发挥了产品互补优势，提高效能，享受高额市场回报。
二、金控体系下信息化建设的重要性和安全需求
（一）信息化建设的重要性
打造金控体系下多牌照的闭环生态系统，离不开信息化平台的建设。换个角度，信息系统是多牌照业务融合、产品创新和效能提升的一种有效手段。如通过信息化建设金控体系下统一的客户系统、全面风险管理系统、产品销售系统、大数据分析平台等，可助力金控集团建立品牌效应，快速响应多元化的市场需求，从而实现业务的爆发式增长。基于信息化的重要性，综观目前市场上的各类金控公司，都在大力发展信息化建设，寻找业务创新点，引领行业升级和抢占市场。
（二）信息安全需求分析
对于互联网时代的金融企业来说，数据是核心，安全是生命线。随着《网络安全法》的实施，信息安全已上升到国家战略层面，构建金融企业的信息安全防护网势在必行。对于金控公司来说，由于是混业经营模式，旗下不同牌照的子公司，因其监管部门不同以及对信息安全要求不一样，在规划其信息安全时，必须将多牌照的特点融入到安全体系内，同时满足信息安全和业务发展的平衡需求，以免顾此失彼，得不偿失。
三、金控体系下信息安全体系规划
建立一套金控公司的安全体系，必须同时从管理和技术角度进行规划，管理是运营措施，而技术是操作手段，相辅相成，缺一不可。
（一）信息安全管理体系的规划
1.对标的选择。建立一套信息安全体系，目前可对标的标准和规范包括国际标准ISO27001、国家安全标准、各监管机构的安全指引、信息安全等级保护管理办法，以及行业的最佳实践等。对于金控信息安全管理体系的规划，应该以ISO27001为基础，结合监管的合规要求进行编制。2.设计原则。通常情况下混业经营企业在制定企业管理体系标准时要照顾到各方的使用需求，其标准具有通用性和广泛性。具体使用部门或子公司可再结合自身业务特点，制定更具体的操作规范。但对于金控行业来说，由于旗下各子公司经营的都是金融业务，对信息安全的要求比普通企业更严格，信息安全是其不可逾越的红线。因此在为其设计信息安全管理体系时，应反其道而行，从严要求，以最严格的标准进行编制，做好顶层设计，然后根据各子公司的业务特点，对制度或规范做适当的裁减或降低等级要求。3.管理体系模型。信息安全管理体系是一个多层次的模型，如图1所示。在该模型中，第一层是企业信息安全方针政策，说明企业信息安全总体目标、范围、原则和安全框架等；第二层是企业安全管理制度和规范，说明体系运行所需要的通用管理要求；第三层属于安全管理活动中，用于约束安全行为的具体方法；第四层是配套的表单和记录，用于辅助制度和管理办法的执行。4.安全目标和方针的设计。虽然是混业经营，但对于金控集团及旗下各子公司来说，信息安全的目标应该是一致的，本质都是追求企业数据的保密性、完整性和可用性，所以安全方针可以基于集团统一考虑，设计为：安全、合规、协同、务实。安全：以风险管控为核心，主动识别、管控并重，为用户提供安全、可靠的信息技术服务。合规：按照国家法律法规及行业监管要求，建立满足集团业务发展需求，并具有专业能力的信息安全管理机制。协同：全员参与，对全体员工进行持续的信息安全教育和培训，不断增强员工的信息安全意识和能力。务实：以经济适用为准则，选择适应公司发展变化的业务架构和稳定灵活的技术架构，满足各业务条线的管理和决策需要。5.组织架构的设计。信息安全方针的贯彻，安全制度的执行，安全技术的部署，都需要通过安全管理组织来推行。各个模块相互之间的关系如图2所示。对于金控行业公司而言，由于多数子公司都是独立法人，无法完全成立一个实体安全组织，而是一个横跨集团和各子公司的虚拟安全组织。为保证安全组织的有效性和执行力，应具有分工合理、职责明确、相互制衡、报告关系清晰的特点。6.管理制度及规范的设计。管理制度和规范是属于企业运营措施，根据ISO27001标准模型，安全管理制度划分了14个控制域，涵盖的内容如图3所示。根据各控制域的关联关系，结合金融企业的安全需求，企业的安全管理制度通用全景图设计如图4所示。
（二）信息安全技术体系规划
技术体系属于信息安全操作层面的内容，应该是围绕整个数据生命周期展开规划的。根据数据的运动轨迹，经历“生产-传输-计算-存储-消亡”等阶段，所以信息安全技术体系的范围，应该涵盖物理环境、基础架构（含虚拟化层）、应用、数据和访问控制等。一般通用的安全技术体系全景如图5所示。由于安全技术需要部署大量的专业设备，对于混业经营的金控公司而言，可以发挥集团总部的先天优势，对于一些共性的安全技术方案，由集团统一规划和部署，然后为各子公司提供相应的安全服务，减少投入，节约成本。例如防病毒系统，由集团总部部署服务端，各子公司部署客户端即可，类似的安全技术服务还有漏洞扫描系统、身份认证系统、终端准入系统、APT检测系统、安全渗透服务、安全培训服务等。
四、金控体系下信息安全的实践
由于是混业经营，在组建了横跨集团和各子公司的安全组织后，还需要不断地进行实践以达到最佳效果，以下是一些具有特色的实践场景。
（一）信息安全事件的统一管理
信息安全事件的管理是安全制度之一，有效的事件管理可以积极发挥安全效能，提升全集团的安全能力。1.情报共享，协同防护。在管理层面，原各业务子公司只会向其外部监管部门报送安全信息，相互独立，不能有效共享相关的安全情报。新的模式下要求子公司同时将安全信息上报集团总部，总部通过分析后形成统一报告，再发放到各个子公司。通过这种方式，一方面可以实现情报共享，另一方面可以实现信息安全的统一管控，协调防护。2.统一监控，快速反应。在技术层面，可通过在子公司部署探针，建立集团的统一安全监控平台，对集团内所有的安全日志进行采集、分析、响应，同时结合集团和各子公司的安全保护措施对事件进行快速处理，合纵连横，从而保证整个集团和各子公司信息系统的安全稳定运行。
（二）子公司信息安全建设的管理
对于多牌照的金控公司来说，旗下各子公司业务种类不同，规模也有区别。在信息安全的建设方面，应该有区分对待。对于规模较大的子公司，依靠自身力量建设了数据中心及安全体系的，除一些共性的安全技术方案可由集团提供以外，其他的安全措施由子公司执行，集团主要是发挥标准制定和监管的角色。对于规模较小的子公司，由于IT力量较弱，数据中心体量有限，很难依靠自身建设完整的信息安全保护体系。在监管许可的情况下，可以将子公司的信息系统托管在集团数据中心，由集团进行信息安全的统一规划、建设和运维。
（三）交叉检查，取长补短
由于同属于一个集团，各子公司之间具有天然的信任感，通过集团的统一组织和管理，可以促进各子公司之间进行信息安全的交叉检查，在兄弟公司之间充分展示本单位的优势，取长补短，相互学习，共同进步。
参考文献：
[1]ISO27001：2013.信息安全管理体系标准[S].2013.
[2]中国银行业监督管理委员会.商业银行信息科技风险管理指引[Z].2009.
[3]中国银行业监督管理委员会.商业银行业务连续性监管指引[Z].2011.
作者:廖均龙 单位:广州越秀金融科技有限公司