安全是一門“平衡”的藝術(shù)

非常榮幸您接受我們的采訪，上海期貨交易所是中國(guó)第一的期貨交易所，你作為上期所的技術(shù)公司的副總，那么請(qǐng)您能談一下上期所近三年的信息化規(guī)劃情況？


最核心的就是建設(shè)交易所的應(yīng)用系統(tǒng)，把現(xiàn)有的業(yè)務(wù)系統(tǒng)徹底的換掉，換一套全新的系統(tǒng)，包括交易系統(tǒng)、結(jié)算系統(tǒng)，交割系統(tǒng)、行情、風(fēng)險(xiǎn)控制等各項(xiàng)業(yè)務(wù)系統(tǒng)，目前正在做的交易和行情系統(tǒng)。整個(gè)換新工作是一項(xiàng)龐大的項(xiàng)目，我們正在招聘新的人員，也在尋找外部的支持力量，致力于出色的完成這個(gè)項(xiàng)目。

那貴公司的業(yè)務(wù)專注在什么方面呢？


我們公司致力于經(jīng)營(yíng)一種細(xì)水長(zhǎng)流的服務(wù)，使用IT技術(shù)，由資深人員去設(shè)計(jì)應(yīng)用，而對(duì)應(yīng)用執(zhí)行的人員的要求不高，比如我們?yōu)闀?huì)員提供一種共享的災(zāi)難備份中心，由我們來投資，我們來建設(shè)，我們?yōu)闀?huì)員公司提供租賃服務(wù)。經(jīng)紀(jì)公司里面基本了沒有自己做災(zāi)難備份中心的，這為會(huì)員公司節(jié)省了大量的成本，他們基本上都是委托給我們做這個(gè)業(yè)務(wù)。對(duì)于災(zāi)難備份中心，在初期的規(guī)劃和建設(shè)是一件繁雜的事情，但是一旦建設(shè)好，通過固化操作流程，只要很少的人員就可以運(yùn)維了。大連、鄭州、上海三地交易所的聯(lián)網(wǎng)的目的就是為期貨交易所為經(jīng)紀(jì)公司節(jié)約成本，三地聯(lián)網(wǎng)形成閉環(huán)，讓各經(jīng)紀(jì)公司視其經(jīng)濟(jì)實(shí)力進(jìn)行不同程度的網(wǎng)絡(luò)互聯(lián)，并在通信過程中保證無斷點(diǎn)故障，這樣的費(fèi)用由交易所替經(jīng)紀(jì)公司承擔(dān)。我們也在挖掘會(huì)員的其他需求，我們公司致力于為這個(gè)行業(yè)提供需求驅(qū)動(dòng)的服務(wù)，通過網(wǎng)絡(luò)為客戶提供一種長(zhǎng)期穩(wěn)定的服務(wù)。

剛才您談到的“細(xì)水長(zhǎng)流”服務(wù)，應(yīng)該叫做“委外”或是“外包”吧，最近興起了一個(gè)名詞就是BPO(Business Process Outsourcing，業(yè)務(wù)流程外包)，如在大連那里有GE、IBM、埃森哲等這樣的公司為日本和韓國(guó)的客戶做外包，現(xiàn)在印度也有很多公司來到中國(guó)開展外包業(yè)務(wù)，您是怎么看待BPO業(yè)務(wù)的呢？


通過外包，來降低成本，我想中國(guó)公司對(duì)這樣的需求不會(huì)很大，因?yàn)閲?guó)內(nèi)中西部的差異并沒有達(dá)到做外包的地步，國(guó)內(nèi)市場(chǎng)對(duì)這方面的需求不是很明顯。
對(duì)于國(guó)際市場(chǎng)外包業(yè)務(wù)，我覺得我國(guó)的外包業(yè)務(wù)針對(duì)日本的做的比較的成功，因?yàn)槲幕牟町?，而外包很專長(zhǎng)的印度對(duì)日本開展外包缺少這方面的優(yōu)勢(shì)。印度對(duì)美國(guó)做外包，一方面是語言的相通，同時(shí)印度有很多人在美國(guó)工作，這樣印度對(duì)美國(guó)的外包業(yè)務(wù)是很有優(yōu)勢(shì)的。

我們這一期主要的話題是關(guān)于金融行業(yè)的信息安全，那么期貨行業(yè)的信息安全有沒有金融業(yè)的代表性，如銀行、保險(xiǎn)、證券，請(qǐng)您談一下對(duì)金融行業(yè)信息安全的認(rèn)識(shí)？


銀行、保險(xiǎn)、證券是金融業(yè)的三大塊，我們是專注在證券行業(yè)當(dāng)中的期貨這一塊，其他方面也是具有相關(guān)性的。怎么看待信息安全，任何一個(gè)機(jī)構(gòu)對(duì)安全問題首要任務(wù)是識(shí)別，很多公司講安全，總是停留在幾個(gè)固定的模式上，如網(wǎng)絡(luò)安全、身份認(rèn)證、加密、防病毒，上面所有的這些只是安全的手段，我們還缺乏一整套的認(rèn)知體系，我們真正應(yīng)該關(guān)注的是風(fēng)險(xiǎn)的識(shí)別。

那么上期所的信息風(fēng)險(xiǎn)主要從哪些方面來識(shí)別呢？


對(duì)風(fēng)險(xiǎn)的識(shí)別具有行業(yè)的特征，比方說，在我們金融行業(yè)，首先，要定義什么叫做我們目前的這個(gè)情況是在正常運(yùn)行的，什么情況是出問題的狀況，這些我們應(yīng)該定義好。其次，我們才能知道什么是風(fēng)險(xiǎn)、什么是安全隱患。對(duì)于我們期貨交易所來說，我們的整個(gè)交易系統(tǒng)要正常運(yùn)行，這個(gè)聽上去很簡(jiǎn)單，但是這就是我們的基本目標(biāo)；我們的結(jié)算系統(tǒng)要安全運(yùn)行，我們的行情系統(tǒng)要安全運(yùn)行，所有的核心數(shù)據(jù)不能泄露不能被竄改來保障數(shù)據(jù)安全，所有系統(tǒng)能夠安全平穩(wěn)運(yùn)行和數(shù)據(jù)的安全就是整個(gè)交易所安全運(yùn)行的狀態(tài)。交易系統(tǒng)安全運(yùn)行狀態(tài)主要包括：交易主機(jī)要安全運(yùn)行，交易網(wǎng)絡(luò)要安全運(yùn)行，交易中的操作要符合安全規(guī)范，會(huì)員能夠安全的訪問系統(tǒng)。

在確定了交易系統(tǒng)安全運(yùn)行狀態(tài)后，安全防范的主要工作是什么？


安全防范在各個(gè)行業(yè)是不同的，在金融行業(yè)中的差別也比較的大。對(duì)于期貨行業(yè)，行業(yè)內(nèi)有很多不同的角色，不僅僅是交易所，還有期貨經(jīng)紀(jì)公司、券商、基金公司，從各個(gè)角度看都是不同的。每一角色都是重要的，關(guān)鍵是安全保障切實(shí)的被執(zhí)行好。首先，我們要保障交易主機(jī)的安全，如電源突然中斷必須有相應(yīng)的繼電設(shè)備；還需要相應(yīng)的操作安全；即使這些都很安全，交易主機(jī)也可能崩潰，還需要有硬件的安全性，如適宜的溫度、濕度環(huán)境，甚至還要預(yù)防恐怖主義的襲擊等等。其次，交易網(wǎng)絡(luò)也有安全性，網(wǎng)絡(luò)的安全也很重要，首先是不是一個(gè)合法的訪問者，有沒有人在竊聽信息，有沒有人在利用對(duì)我們的主機(jī)發(fā)動(dòng)攻擊，導(dǎo)致我們的主機(jī)失去工作能力，有沒有人在利用通信協(xié)議的漏洞，來直接控制我們的主機(jī)等，這些都是我們網(wǎng)絡(luò)安全威脅的來源。最后，我們還要保證交易操作是符合安全規(guī)范的，在安全訪問系統(tǒng)的基礎(chǔ)上，相應(yīng)的操作要符合安全操作的規(guī)范。

那么在對(duì)風(fēng)險(xiǎn)識(shí)別完成之后，應(yīng)該做什么工作呢？


在對(duì)風(fēng)險(xiǎn)進(jìn)行識(shí)別的基礎(chǔ)上，對(duì)每一個(gè)風(fēng)險(xiǎn)尋找解決方案、措施和緊急預(yù)案，從而形成一個(gè)系統(tǒng)的規(guī)劃方案。我們就要對(duì)每一個(gè)安全威脅有相應(yīng)的措施，這個(gè)措施有很多因素，如：威脅到底有多大，影響到底有多大，發(fā)生的概率有多高，解決的成本有多高。也有可能有些威脅很大，但是由于解決的成本太高我們就不做了，不處理也是一種處理。

怎么理解不處理也是一種處理呢？


舉個(gè)例子來說，很多的期貨經(jīng)紀(jì)公司很多交易系統(tǒng)直接放在互聯(lián)網(wǎng)上，不做加密，安全性很難保障，因?yàn)槠銲T投入少，更不用說IT安全投入了，還是需要“平衡”的。雖然威脅是存在的，但是威脅不見得想象的那么大，像網(wǎng)絡(luò)監(jiān)聽除非在國(guó)家機(jī)要部門可以做到，一般人是做不到的，在這樣的前提下，寧可冒風(fēng)險(xiǎn)也不花大成本來規(guī)避。再舉個(gè)例子來說，客戶下一個(gè)委托要填單子并簽字，證明下了委托，等以后出問題了，就有了法律依據(jù)，這是一個(gè)很安全的做法，但是它有代價(jià)，有效率低、成本高的代價(jià)，單子要是每個(gè)人都填的話，還要專門的倉庫來存放，形成了證券業(yè)的“庫存”，而且紙的保存也存在困難，會(huì)花費(fèi)大量的成本。那是以前的手工階段，現(xiàn)在沒有一家證券公司做這樣的事情，人們都知道用電子化處理會(huì)有風(fēng)險(xiǎn)，也確實(shí)產(chǎn)生了糾紛。對(duì)于這樣的突發(fā)事件，寧可花10萬元來賠償給客戶，也不會(huì)用巨額的資金來規(guī)避風(fēng)險(xiǎn)，即使拿出10萬元也建不了這樣的安全防范系統(tǒng)，也就是做防范的成本已經(jīng)超過了風(fēng)險(xiǎn)發(fā)生時(shí)付出的代價(jià)。

既然不處理也是一種處理，那這個(gè)問題就算解決了嗎？

怎么看待“解決”呢？既然它是一個(gè)風(fēng)險(xiǎn)，它永遠(yuǎn)是存在的，有的解決是讓外界一點(diǎn)都看不見，即形成一個(gè)“黑盒”，這是最高級(jí)別的“解決”；最低級(jí)別的“解決”，比如現(xiàn)在的系統(tǒng)出了許多的問題，但至少數(shù)據(jù)不能丟，千萬不要出現(xiàn)這種情況，這就需要我們做災(zāi)難備份。災(zāi)難備份又可以分為系統(tǒng)的災(zāi)難備份還是數(shù)據(jù)的災(zāi)難備份，這也是一個(gè)“平衡”，數(shù)據(jù)的災(zāi)難備份很容易，其花費(fèi)的代價(jià)很小，但保證不了系統(tǒng)的實(shí)時(shí)性；系統(tǒng)的災(zāi)難備份就是當(dāng)現(xiàn)在的系統(tǒng)崩潰的時(shí)候，還有一個(gè)備份的系統(tǒng)，馬上可以接管并提供服務(wù)，其花費(fèi)的代價(jià)很大，可以保證系統(tǒng)的實(shí)時(shí)性，這是一種平衡。

那么有沒有考慮為客戶建立一個(gè)安全審計(jì)的體系，把現(xiàn)有的安全水平控制在一個(gè)可以接受的水平呢？

安全審計(jì)其實(shí)是一個(gè)手段，我們應(yīng)該分清楚什么是風(fēng)險(xiǎn)，什么是規(guī)避風(fēng)險(xiǎn)的手段，審計(jì)是為了發(fā)現(xiàn)并解決內(nèi)部的數(shù)據(jù)泄露、數(shù)據(jù)竄改和非法操作的手段。當(dāng)我們識(shí)別一定風(fēng)險(xiǎn)的時(shí)候，我們就會(huì)采取一定的手段，這些手段包括審計(jì)、授權(quán)體系的建立、詳細(xì)的受理的日志，根據(jù)日志也可以識(shí)別風(fēng)險(xiǎn)，這是更深入的，這些都是風(fēng)險(xiǎn)識(shí)別后的措施。

在對(duì)上期所技術(shù)總監(jiān)嚴(yán)先生采訪中，嚴(yán)先生對(duì)安全運(yùn)維機(jī)制談到兩點(diǎn)，一是把安全規(guī)劃落實(shí)到實(shí)際中去，二是形成一種穩(wěn)定的安全策略，您是怎樣看待運(yùn)維中的信息安全問題的？

我想期貨交易所有自身的考慮，他們所說的運(yùn)維和我們公司的運(yùn)維是不同的，但是我們?yōu)槭裁匆⑦@樣的機(jī)制，我們都是要解決問題，防范風(fēng)險(xiǎn)的，以事前的流程來解決問題和防范風(fēng)險(xiǎn)。安全的核心就是“平衡”，因?yàn)槭孪茸鼍鸵黾恿鞒?、增加成本，而風(fēng)險(xiǎn)也會(huì)造成危害，這兩者之間構(gòu)成的平衡，與很多事情是相通的。信息安全大家都在提，但是其實(shí)企業(yè)重視的程度還不夠，很多人并沒有真正理解什么是信息安全，第一件事情，“識(shí)別風(fēng)險(xiǎn)是什么”，在全中國(guó)就沒有看到有人好好的做出來。連問題都沒有識(shí)別出來，那怎么解決問題呢？現(xiàn)在做的主要工作主要是用一些安全的手段，我們做的還遠(yuǎn)遠(yuǎn)不夠，在我的期望里面，我們應(yīng)該有應(yīng)對(duì)各種風(fēng)險(xiǎn)的防范措施，包括很多方面，很有很多工作需要進(jìn)一步的做下去。其實(shí)，安全是一個(gè)平衡，跟業(yè)務(wù)發(fā)展程度有關(guān)，是風(fēng)險(xiǎn)可能造成的危害與安全防范成本之間的平衡。

作為公司常務(wù)副總，您的主要工作是什么呢？

我們是一個(gè)技術(shù)型的公司，我現(xiàn)在花的相當(dāng)多的時(shí)間在技術(shù)上，我們這里有一個(gè)不成文的規(guī)定，每個(gè)人都要進(jìn)入第一線的，我們這里沒有一個(gè)純粹的做技術(shù)管理工作的人。我們接手項(xiàng)目，我們的項(xiàng)目經(jīng)理一定是在這個(gè)項(xiàng)目成員中技術(shù)最好，能夠解決問題的人，能解決所有的技術(shù)問題，這是第一。第二，我們公司是在不斷發(fā)展的公司，在不斷的開拓新業(yè)務(wù)，要通過更多的外部的溝通和協(xié)調(diào)，推動(dòng)公司業(yè)務(wù)的發(fā)展。第三，公司的規(guī)模不大，只有三十多個(gè)人，作為一個(gè)管理者來說呢，最重要是就協(xié)調(diào)大家的思想，讓所有的人能夠力氣往一處使，需要花很多時(shí)間幫助大家解決問題，當(dāng)然作為國(guó)有企業(yè)來說會(huì)比較注重流程，我們要保障做的每一件事情都是嚴(yán)格的按照流程規(guī)范來執(zhí)行。

從各種企業(yè)歷練過來，您有什么感想呢？


感慨很多了，從自己創(chuàng)業(yè)、民營(yíng)企業(yè)、外資企業(yè)、國(guó)有企業(yè)，基本上所有的企業(yè)都經(jīng)歷過，經(jīng)歷了不同的企業(yè)風(fēng)格，在業(yè)務(wù)技術(shù)上都學(xué)了很多東西。價(jià)值標(biāo)準(zhǔn)的不同，行為方式的差異，這是正常的，從個(gè)人來說的話，在不同類型的公司中待一待，經(jīng)歷一下，是一件有趣的事情，我的愛好就是人生追求多種經(jīng)歷，這是我生活的心態(tài)。(amt)