7月12日,证监会针对招商证券在5月16日出现的信息安全事件,对公司及三位信息技术方面责任人分别出具警示函。

证监会在罚单中指出,招商证券在前述信息安全事件中,存在系统设计与升级变更未经充分论证和测试,升级回退方案不完备等问题,反映出公司内部管理存在漏洞、权责分配机制不完善,并且协管信息技术工作的公司总裁助理兼首席数字官、金融科技中心总监和金融科技中心核心交易开发部总经理对相关问题负有责任。证监会认为,上述行为违反了《证券期货业信息安全保障管理办法》《证券基金经营机构信息技术管理办法》《证券公司内部控制指引》等多项规定。

这是证券行业首张针对出现信息安全的机构和相关负责人的“双罚”罚单。

5月16日当天,不少投资者在社交媒体平台反映招商证券App出现登录异常现象。很快,招商证券公开回应,确认了“部分客户登录出现异常”的事实,并表示系统已恢复正常,“深感抱歉”。

这是招商证券在3个月内第二次出现信息安全问题了。3月14日,招商证券交易系统就曾出现故障,导致一些用户无法完成交易的成交,也无法撤回交易等问题,因此而被炒上热搜。更早之前的2020年7月,招商证券就曾出现宕机至少15分钟的系统故障。

在4月2日责令招商证券改正的文件中,深圳证监局明确表示招商证券存在变更管理不完善,应急处置不及时、不到位等问题,要求对相关责任人员进行内部责任追究,并在3个完成整改和上报。但没想到,就在整改期内,招商证券App再次亮起红灯。

事实上,券商信息系统故障已经不是新鲜事儿了。3月15日和5月16日,国信证券旗下交易系统和华西证券App,也都曾出现故障。此外,近两年,首创证券、同花顺、华林证券等证券期货经营机构都因为发生交易系统故障等事件被监管机构采取监管措施。

为何券商信息安全问题频发?

行业不同,业务逻辑不同。券商机构信息安全问题层出不穷,与金融行业复杂的业务特性不无关系。金融以用户的财产为服务对象,因此服务内容敏感、服务需求高频、容错率低,一旦出现问题,就会造成严重的社会影响。而近年来,随着数字化进程的深化,金融服务场景向线上迁移,线上与线下打通成为大势所趋,金融机构的业务复杂度由此进一步增加。

在接受《中国基金报》采访时,熟悉证券数字化建设的业内人士将券商交易系统接连出现故障的原因总结为三点:

1.券商业务复杂,但是技术架构相对陈旧。

近二十年资本市场发展迅猛,业务复杂度日益增加,而券商交易系统多为十年前架构,耦合度高,无论是券商还是供应商因风险原因也不太倾向于对核心交易系统做大的调整;

2.测试覆盖面不够。

证券交易系统依赖非常多,如银行,交易所,基金公司等,加上测试环境和生产环境不能保持高度一致,导致测试不能完全反映真实情况;

3.应急演练未经过真实情况验证。

日常演练都是非交易时间,实际发生故障时情况要比演练的时候复杂很多,应急切换失败会导致事故的发生。

另外一位券商信息技术部人士也指出,一些券商交易系统大多为10多年前研发的产品,架构耦合度很高;且经过多年的业务扩容和改造,系统留下的隐患比较多。交易系统更新换代过程,就像给高速飞驰的火车换轮子,属于高危险性工作。此外,券商机构交易系统的自主研发程度低,产品基本都由少数几家技术供应商等提供支持。

上述说法不无道理。在4月8日招商证券举行的2021年业绩发布会上,招商证券承认,“3月14号的系统故障,主要还是我们的成交回报系统比较缓慢。出故障这个系统也是20年前的老的交易系统。”

除了交易系统技术层面的原因,人的原因更加不容忽视。针对近一年来证券基金机构信息安全事件频发,在5月19日下发的2022年第5期《机构监管情况通报》中,证监会指出了五个主要原因:

针对上述问题,证监会还要求证券基金经营机构从五个方向加强信息系统安全建设,维护好投资者合法权益——提升系统运维保障能力;强化合规管理,升级改造系统;定期评估系统,及时消除风险隐患;加强客户信息保护;加强系统容量管理与灾备能力建设,提升应急处突能力。

数字化浪潮席卷各行各业,金融证券业也纷纷启动数字化转型。证券业协会2020年调研显示,92%的证券公司在2020年增加了数字化转型方面的投入。不过,从近2年来不断出现的券商信息安全事件看,券商业的数字化转型,整体情况似乎并不及预期。

当然,在众多券商中,也不乏成功者,比如东吴证券。这家连续五年获得A类A级券商评级的券商机构,已经在数字化转型,尤其是金融可信安全运维系统建设方面,走出了一条可行性道路。

券商信息安全运维样本

东吴证券成立于1993年,前身为苏州证券公司,于2011年12月在上海证券交易所上市,是国内第18家上市券商。经过20多年的发展,东吴证券已拥有18家分公司及近140个证券营业网点。

但随着业务的持续扩大,东吴证券面临的信息化挑战:

首先是业务压力。经过资本市场多年的发展,证券交易量激增。在持续的业务压力面前,如何保持信息系统的稳定、可靠、高可用,是包括东吴证券在内的券商面临的首要数字化课题。

其次是运维压力。彼时,东吴证券所使用的基础运维架构随着设备的增加变得越来越复杂,数据形态各异且分散,难以有效整合利用,运维难度也越来越高。

第三是安全压力。当时的东吴证券,已有数据中心各类服务器(包括实体机云主机)超过2500台,还在持续扩张之中。主机虽然已配备病毒查杀、漏洞修复等安全防护措施,但无法满足未来安全形势发展的要求,尤其是金融行业对业务连续性、数据安全的要求。

与此同时,在未知威胁层出不穷,APT、0day攻击难以防范等背景下,东吴证券的服务器数据存储面临数据库注入攻击、文件管理混乱、行为记录缺损等风险。一旦发生数据泄露,将给企业和民众造成无法估量的损失。

在这样的诉求下,东吴证券与北京八分量信息科技有限公司(以下简称“八分量”)合作。双方以可靠、可用、可维护、安全为目标,携手对信息系统进行升级改造。

结合东吴证券已有的信息系统,八分量主要承担程序安全和数据安全两个核心模块的建设。

程序安全由可信防护实现。八分量采用大数据、可信计算等技术,帮助东吴证券信息系统实现了集中监控、一体化运维、全链路业务性能分析、可信安全防护、运维数据分析、事件中心等核心功能。东吴证券的系统运维效率和能力,由此得到大幅度提升,对业务形成了持续有力的支撑。

数据安全则主要借助区块链技术实现。八分量借助区块链防篡改服务,系统能够立即发现文件异常变更,并且立即恢复并尝试事件,有效地保障业务系统运行;同时,防篡改服务的存在也是对运维人员可靠运维的监督,也减少了运维人员的误操作。

整个项目主要有三个创新亮点。

1 基于可信计算的白名单安全方案

通过可信技术来保证运维的每一个步骤都产生可信结果,从而自动化地生成白名单,控制威胁源头;同时,把白名单嵌入区块链中,保障所有审计信息、关键数据不被篡改。这样就满足了《信息安全技术网络安全等级保护基本要求》(简称《等保2.0》)。

2 优化区块链现有主流拜占庭共识算法

改善当前区块链需要穷举半数以上节点投票共识,才能完成交易的高运算特性,从而大幅度减少区块链节点信息的共识计算成本,加快区块链上数据的同步速度。

3 平台从用户体验出发

提供IT服务对业务的支持效果监测,提高业务系统服务质量和精细化管理的能力。

经过以上技术创新和方案实施,项目建成了以传统黑名单防御与动态可信白名单持续免疫相结合的,硬件、系统、数据、引用、网络等全部可信的新一代零信任、全程安全可视的信息安全防御体系。

有了这套信息安全防御体系,东吴证券的服务器安全防护能力、抵御未知攻击的能力和整体安全架构高可用性、安全防护效率等全都得到了质的提升,从而更安全可靠地为证券交易系统用户的资产安全保驾护航。

截至2020年10月,平台已纳管东吴证券近200套系统、2300余台设备,日均处理指标数据150GB、应用日志数据150 GB、网络报文2 TB,共产生25000余次事件通知,共发现200多次可能的安全风险;盘中紧急切换预警18次,拦截非既定程序159次,故障预判5次。通过该平台,运维人员工作效率和能力得到大幅度提升,每年为公司减少直接经济损失5000万元以上,间接创造收入1000万元以上。

也正是凭借着理念、技术创新和卓越的实际效果,东吴证券《RAMS信息系统支撑平台》项目已申请3篇专利,获得3篇软件著作权,并斩获多项荣誉奖项,其中就包括中国人民银行2020年度金融科技发展奖三等奖。八分量创始人兼CEO阮安邦也被东吴证券聘请为金融科技实验室专家。

金融业的本质是信任,信任的基础是信息和数据的安全。

虽然金融业普遍走上了数字化转型道路,但由于思想观念、技术实力、人才储备、顶层设计等多方面原因,包括券商在内的金融机构对信息安全的重视度依然有待提高。平均来看,国内金融机构在网络安全方面的投入,约占总营收的0.1%,与国外的平均水平0.4%相比,差距明显。

尽管如此,中国券商金融行业也不乏像东吴证券这样重视信息安全系统建设,并积极引入可信计算、区块链等技术,迭代优化信息安全系统的进取型企业。

我们也有理由相信,在越来越多金融信息安全事件发生,监管机构持续加强对金融信息安全监管之后,券商金融业对信息安全的重视程度和投入规模,都将更上一层楼。届时,也将诞生越来越多企业像东吴证券这样在金融信息安全防护的典型案例,投资者的金融信息安全、资产安全,将得到更进一步的加强。