News
在数字化转型的浪潮中,金融行业正以前所未有的速度融入信息技术的怀抱。然而,随着《证券期货行业网络和信息安全管理办法》(以下简称《办法》)自2023年5月1日以来的深入实施,一场关于网络安全与合规的考验悄然上演。截至2024年9月,数十家金融机构因未达合规标准被地方证监局亮起“红灯”,这一系列举措不仅揭示了行业内的合规短板,更敲响了金融安全警钟。
自《办法》实施以来,其监管力度之强、覆盖面之广,让众多证券公司、期货公司、期货经纪公司以及信息技术服务机构纷纷进入了一场“合规大考”。从处罚案例中不难发现,金融机构在网络安全管理方面存在的诸多问题,如日志记录不规范、系统架构设计不合理、信息安全事件处理不及时、个人信息保护、上线变更前未充分开展风险评估及测试、未按公司规定执行运维及应急操作等。这些问题的存在反映出,即便是在信息技术飞速发展的今天,券商和期货等金融机构仍然面临着不少合规方面的薄弱环节。
金融网络安全合规建设迫在眉睫
随着互联网技术的不断进步,金融行业日益依赖于信息技术的支持。然而,这也意味着一旦出现网络安全问题,将对金融市场的稳定造成重大影响。因此,加强金融网络安全合规建设已经成为当务之急,不仅是为了保护投资者的利益,也是为了维护整个金融体系的安全与健康。
1.基础性法律凸显金融网络安全合规重要性
2024年是习近平总书记提出网络强国战略目标10周年,是中国全功能接入国际互联网30周年,也是中国网络法治建设起步30周年。党的十八大以来,我国网络与数据立法步伐逐步加快,特别是制定《电子商务法》《网络安全法》《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》等基础性法律,为金融行业的网络安全提供了坚实的法律保障,确保了数据安全、个人信息保护及系统稳定运行等关键环节的合规要求。
2.金融领域的网络安全合规建设不断完善
金融行业内发布《关于银行业保险业数字化转型的指导意见》《中国银保监会监管数据安全管理办法》《保险中介机构信息化工作监管办法》等政策,为金融网络安全全面深入推进奠定了坚实的工作基础。2021 年,国家发布《国家十四五规划》,推动网络安全从“立柱架梁”全面迈入“积厚成势”新阶段,为金融业网络安全工作指明了发展方向。基于《国家十四五规划》,人民银行制定了《金融科技发展规划(2022-2025年)》和网络安全相关规划,描绘了金融网络安全宏伟蓝图,提出了金融网络安全工作目标和任务事项,为相关单位落实落细金融网络安全工作提供了具体的行动指南。人民银行同步批准发布《金融行业网络安全等级保护实施指引》(JR/T 0071-2020)、《金融行业网络安全等级保护测评指南》(JR/T 0072-2020)等配套金融行业网络安全标准。
金融网络安全合规面临诸多挑战
金融行业因其特殊性,成为了黑客攻击的重点目标。从数据泄露到系统瘫痪,从内部欺诈到外部入侵,金融行业网络安全面临的威胁日益复杂多样。这些风险不仅关乎资金安全,还可能影响金融市场稳定,甚至引发社会信任危机。。
网络安全监管合规要求多
金融行业网络安全监管要求越来越多,满足监管的难度越来越大。各类监管规范、管理要求、技术标准等数量庞大繁杂且需要在不同项目阶段进行贯彻执行,需要进行系统化管理。
合规验证工作存在重复性
金融行业网络安全不同法规、标准间可能存在交叉,导致合规评估与整改工作耗时耗力,效率亟待提升。为满足监管要求,开展了等级测评、密码应用安全评估、数据安全、风险评估、个人信息保护等工作,但其中近40%的工作都存在一定的重复,付出了大量重复工作和重复劳动,如重复编写文档、填写报告、测评等,浪费了时间、人力、资金成本。
难以实现一次性合规
由于法规更新频繁、技术发展迅速、业务需求变化等因素,金融行业难以实现一次性合规。没有形成动态管理的机制,没有随着信息系统、信息资产、外部环境等各类变化,动态调整相应的合规管理工作,缺乏对合规问题的持续监测与跟踪,不能满足长期符合不断演进的网络安全监管要求。
多规管理融合保障金融全面合规
面临诸多风险挑战,道普信息风险管控专家建议,需在合规规划、合规实施、结果管理和合规跟踪等关键环节上,实施多合规融合管理策略,以实现金融领域全面、持续性的合规效果。
1. 合规规划阶段多规管理。
应充分调研并梳理金融领域适用的网络安全法规、标准与政策,明确合规目标与要求,形成统一的合规清单。并对合规管理进行整体规划,通过全面识别、梳理合规管理对象,分析合规管理对象的合规现状,形成全面合规管理规划,保障合规管理全覆盖、实现对管理对象的合规分类管理,减少后期合规管理的成本。
2. 合规实施阶段多规管理。
按照多合规要求融合整改(建设),确定各合规管理对象的合规要求,综合分析安全现状与合规要求之间的差距,从技术和管理两个维度进行融合整改(建设),实现“一次整改(建设),满足多规”,避免重复投入、保障各合规要求的有效融合,从而工作中心向合规管理聚焦。
3. 结果管理阶段多规管理。
对合规实施的结果进行有效管控,首先,开展等保、密评、关保、数据安全、个人信息保护“N合1”融合评估,验证多合规整改(建设)的有效性;其次,将评估结果上报监管部门;最后,对安全状态、不符合项进行分析并建档,为后续的合规管理持续改进提供支撑。
4. 合规追踪阶段多规管理。
持续跟踪合规状况并持续改进,主要进行合规状态管理(动态更新资产清单、对象合规控制清单)、安全状态监控(实时监测、周期测试)、管理记录维护、不符合项管理(不符合项动态处置)。通过建立法规监测与更新机制,及时跟进网络安全相关法律法规、标准与政策的变化,评估其对现有系统的影响,适时调整合规规划与实施策略。通过合规跟踪实现合规管理持续优化、改进,提升合规管理能力,确保信息系统始终保持合规状态。
在“强监管、严监管”的大环境下,证券期货业的网络安全合规工作显得尤为重要。只有通过推行更加科学合理的多规管理融合模式,才能够有效地应对日益复杂的网络安全环境,并为我国金融行业乃至国民经济的整体发展贡献力量。合规不仅是对法律法规的基本遵循,更是推动数字经济健康有序发展的重要保障。
热点新闻
-
2024-09-28
-
2024-09-28
-
2024-09-28
-
2024-09-28
-
2024-09-28
-
2024-09-27