1．内部系统管理岗位人员不足，很多系统管理员负责多个重要的应用系统，过多的工作量很可能造成操作失误情况，更容易造成安全管理的疏忽；

2．内部安全管理岗位人力不足，由于券商组织结构和信息网络的庞大性特点，安全管理员不能全权、有效地形成对整个公司自上到下、自本部门至全公司的安全管理；

3．没有将公司资产的安全管理责任定义到个人，特别是普通员工办公机的安全性，很多安全事件的发生不能明确责任，入职说明岗位也没有定义管理员的责任和义务，因此不利于促进和推动安全管理工作的执行；

4．管理员岗位权职不明确，有些工作交叉的任务经常被互相推卸，管理员的权限没有实现“权限最小化”原则，也没有对这些权限较高管理员的审核，使得内部管理员滥用授权的隐患时刻存在；、

5．很多员工技术能力有限，某些技术故障和安全事件的发生可能是由于操作失误造成的，而提供对信息技术人员进行安全技术培训的机会较少，也没有技术或任职资格考试的督促机制，使得内部员工安全意识较差，从而造成安全事故的可能性增大；

6．对信息的保密重视不足，在信息技术人员应聘进公司时签订的合同中没有安全保密条款，尤其是没有针对某些涉密较高岗位制定具体的保密协议。   

7．在信息技术人员办理离岗手续方面缺乏明确的制度和流程

8．没有明确的安全管理员和安全审计员角色，所以对网络和系统的管理员所设定的访问权限及日常行为没有进行过安全审计。

5.5物理环境安全

机房的建设都有标准化的规范，物理环境也大都符合相关安全要求，机房具有防火、防水、防雷等设备，并均采用双路供电，配备了UPS电源。在非本公司员工进入机房时，要求进行出入登记记录，操作记录。

但在机房管理方面还存在以下的问题：

1.中心机房有电子门禁系统，但有时没有做到进出时马上关门。

2.机房没有设置保安管理制度。

3.机房的出入管理不严格，没有严格执行非工作人员必须经过安全责任人许可才可以进入机房的管理规定。

4.机柜和主机没有要求在运行中上锁，以防止外来人员误操作，对主机没有采取对输入输出设备的控制。

5.6通信与操作安全

证监会要求关键业务有备份链路，对各种网络设备的配置数据、用户数据进行定期备份。各券商做的都很好。但在管理过程中，还存在以下的问题：

1.技术维护人员没有定期对重要服务器和路由器以及防火墙等设备的安全配置、CPU、内存占用率等进行审计和检查

2.主要的网络设备和主机均没有定期维护制度

3.对网络设备和主机的远程管理没有使用固定的管理终端。

4.目前没有对系统进行定期的安全漏洞扫描工作，某些主机考虑到影响业务原因没有定期对系统的补丁进行修补和加固。

上一页  [1] [2] [3] 下一页

六、总结

6.1安全意识

针对证券行业信息系统网络现状而言，由于发展较快，网络规模较大，对信息系统安全很高，系统的安全状况应成为企业网络关注的重点。在把资金都投在了应用系统建设的同时，不能忽视了信息安全保障投资。在员工的安全意识方面，没有建立长期、系统、有效的安全意识、专业素质、安全管理、服务水平的培训。同时，在责任划分上不够明确，缺乏奖惩机制。因此，提高领导、员工的安全意识是当务之急。

6.2整体安全方案

各券商在安全方面，也投入了一些设备，但总的来说，安全思路仍需拓宽。比如在渗透测试中普遍发现的问题。在防火墙的设置上，也有不足。口令安全、配置安全上的工作也不够完善。没有定期分析日志发现异常，安全制度不完善，如此等等。说到底就是缺乏一套整体安全方案，一个没有整体安全规划的系统，安全是肯定没有保障的。

6.3系统安全

主要是没有安全地安装配置、用户和目录权限设置及建立适当的安全策略等系统安全处理加固。例如：没有打安全补丁、安装时为方便使用简单口令、默认口令，而后来又不更改、没有进行适当的目录和文件权限设置、没有进行适当的用户权限设置、打开了过多的不必要的服务、没有对自己的应用系统进行安全检测等等。事实上系统和应用大多是由系统集成商来完成的，但系统集成商的做法往往是最大化安装，以方便安装调试，把整个系统调通就算完成了任务，会留下很多的安全隐患；而安全却恰恰相反，遵循最小化原则，要求没必要的东西一定不要，有必要的也要严加限制使用。这和系统集成好像构成了一个矛盾，事实上却不是，最小化原则实际上降低了系统负荷、提高了应用系统的性能，增强了安全性，而问题在于大多数集成商不具备专业安全设计和防范能力。

6.4安全管理机制