7月12日，證監會針對招商證券在5月16日出現的信息安全事件，對公司及三位信息技術方面責任人分別出具警示函。

證監會在罰單中指出，招商證券在前述信息安全事件中，存在系統設計與升級變更未經充分論證和測試，升級回退方案不完備等問題，反映出公司內部管理存在漏洞、權責分配機制不完善，并且協管信息技術工作的公司總裁助理兼首席數字官、金融科技中心總監和金融科技中心核心交易開發部總經理對相關問題負有責任。證監會認為，上述行為違反了《證券期貨業信息安全保障管理辦法》《證券基金經營機構信息技術管理辦法》《證券公司內部控制指引》等多項規定。

這是證券行業首張針對出現信息安全的機構和相關負責人的“雙罰”罰單。

(資料圖)

5月16日當天，不少投資者在社交媒體平臺反映招商證券App出現登錄異常現象。很快，招商證券公開回應，確認了“部分客戶登錄出現異常”的事實，并表示系統已恢復正常，“深感抱歉”。

這是招商證券在3個月內第二次出現信息安全問題了。3月14日，招商證券交易系統就曾出現故障，導致一些用戶無法完成交易的成交，也無法撤回交易等問題，因此而被炒上熱搜。更早之前的2020年7月，招商證券就曾出現宕機至少15分鐘的系統故障。

在4月2日責令招商證券改正的文件中，深圳證監局明確表示招商證券存在變更管理不完善，應急處置不及時、不到位等問題，要求對相關責任人員進行內部責任追究，并在3個完成整改和上報。但沒想到，就在整改期內，招商證券App再次亮起紅燈。

事實上，券商信息系統故障已經不是新鮮事兒了。3月15日和5月16日，國信證券旗下交易系統和華西證券App，也都曾出現故障。此外，近兩年，首創證券、同花順、華林證券等證券期貨經營機構都因為發生交易系統故障等事件被監管機構采取監管措施。

為何券商信息安全問題頻發？

行業不同，業務邏輯不同。券商機構信息安全問題層出不窮，與金融行業復雜的業務特性不無關系。金融以用戶的財產為服務對象，因此服務內容敏感、服務需求高頻、容錯率低，一旦出現問題，就會造成嚴重的社會影響。而近年來，隨著數字化進程的深化，金融服務場景向線上遷移，線上與線下打通成為大勢所趨，金融機構的業務復雜度由此進一步增加。

在接受《中國基金報》采訪時，熟悉證券數字化建設的業內人士將券商交易系統接連出現故障的原因總結為三點：

1.券商業務復雜，但是技術架構相對陳舊。

近二十年資本市場發展迅猛，業務復雜度日益增加，而券商交易系統多為十年前架構，耦合度高，無論是券商還是供應商因風險原因也不太傾向于對核心交易系統做大的調整；

2. 測試覆蓋面不夠。

證券交易系統依賴非常多，如銀行，交易所，基金公司等，加上測試環境和生產環境不能保持高度一致，導致測試不能完全反映真實情況；

3.應急演練未經過真實情況驗證。

日常演練都是非交易時間，實際發生故障時情況要比演練的時候復雜很多，應急切換失敗會導致事故的發生。

另外一位券商信息技術部人士也指出，一些券商交易系統大多為10多年前研發的產品，架構耦合度很高；且經過多年的業務擴容和改造，系統留下的隱患比較多。交易系統更新換代過程，就像給高速飛馳的火車換輪子，屬于高危險性工作。此外，券商機構交易系統的自主研發程度低，產品基本都由少數幾家技術供應商等提供支持。

上述說法不無道理。在4月8日招商證券舉行的2021年業績發布會上，招商證券承認，“3月14號的系統故障，主要還是我們的成交回報系統比較緩慢。出故障這個系統也是20年前的老的交易系統。”

除了交易系統技術層面的原因，人的原因更加不容忽視。針對近一年來證券基金機構信息安全事件頻發，在5月19日下發的2022年第5期《機構監管情況通報》中，證監會指出了五個主要原因：

針對上述問題，證監會還要求證券基金經營機構從五個方向加強信息系統安全建設，維護好投資者合法權益——提升系統運維保障能力；強化合規管理，升級改造系統；定期評估系統，及時消除風險隱患；加強客戶信息保護；加強系統容量管理與災備能力建設，提升應急處突能力。

數字化浪潮席卷各行各業，金融證券業也紛紛啟動數字化轉型。證券業協會2020年調研顯示，92%的證券公司在2020年增加了數字化轉型方面的投入。不過，從近2年來不斷出現的券商信息安全事件看，券商業的數字化轉型，整體情況似乎并不及預期。

當然，在眾多券商中，也不乏成功者，比如東吳證券。這家連續五年獲得A類A級券商評級的券商機構，已經在數字化轉型，尤其是金融可信安全運維系統建設方面，走出了一條可行性道路。

券商信息安全運維樣本

東吳證券成立于1993年，前身為蘇州證券公司，于2011年12月在上海證券交易所上市，是國內第18家上市券商。經過20多年的發展，東吳證券已擁有18家分公司及近140個證券營業網點。

但隨著業務的持續擴大，東吳證券面臨的信息化挑戰：

首先是業務壓力。經過資本市場多年的發展，證券交易量激增。在持續的業務壓力面前，如何保持信息系統的穩定、可靠、高可用，是包括東吳證券在內的券商面臨的首要數字化課題。

其次是運維壓力。彼時，東吳證券所使用的基礎運維架構隨著設備的增加變得越來越復雜，數據形態各異且分散，難以有效整合利用，運維難度也越來越高。

第三是安全壓力。當時的東吳證券，已有數據中心各類服務器（包括實體機云主機）超過2500臺，還在持續擴張之中。主機雖然已配備病毒查殺、漏洞修復等安全防護措施，但無法滿足未來安全形勢發展的要求，尤其是金融行業對業務連續性、數據安全的要求。

與此同時，在未知威脅層出不窮，APT、0day攻擊難以防范等背景下，東吳證券的服務器數據存儲面臨數據庫注入攻擊、文件管理混亂、行為記錄缺損等風險。一旦發生數據泄露，將給企業和民眾造成無法估量的損失。

在這樣的訴求下，東吳證券與北京八分量信息科技有限公司（以下簡稱“八分量”）合作。雙方以可靠、可用、可維護、安全為目標，攜手對信息系統進行升級改造。

結合東吳證券已有的信息系統，八分量主要承擔程序安全和數據安全兩個核心模塊的建設。

程序安全由可信防護實現。八分量采用大數據、可信計算等技術，幫助東吳證券信息系統實現了集中監控、一體化運維、全鏈路業務性能分析、可信安全防護、運維數據分析、事件中心等核心功能。東吳證券的系統運維效率和能力，由此得到大幅度提升，對業務形成了持續有力的支撐。

數據安全則主要借助區塊鏈技術實現。八分量借助區塊鏈防篡改服務，系統能夠立即發現文件異常變更，并且立即恢復并嘗試事件，有效地保障業務系統運行；同時，防篡改服務的存在也是對運維人員可靠運維的監督，也減少了運維人員的誤操作。

整個項目主要有三個創新亮點。

1 基于可信計算的白名單安全方案

通過可信技術來保證運維的每一個步驟都產生可信結果，從而自動化地生成白名單，控制威脅源頭；同時，把白名單嵌入區塊鏈中，保障所有審計信息、關鍵數據不被篡改。這樣就滿足了《信息安全技術網絡安全等級保護基本要求》（簡稱《等保2.0》）。

2 優化區塊鏈現有主流拜占庭共識算法

改善當前區塊鏈需要窮舉半數以上節點投票共識，才能完成交易的高運算特性，從而大幅度減少區塊鏈節點信息的共識計算成本，加快區塊鏈上數據的同步速度。

3 平臺從用戶體驗出發

提供IT服務對業務的支持效果監測，提高業務系統服務質量和精細化管理的能力。

經過以上技術創新和方案實施，項目建成了以傳統黑名單防御與動態可信白名單持續免疫相結合的，硬件、系統、數據、引用、網絡等全部可信的新一代零信任、全程安全可視的信息安全防御體系。

有了這套信息安全防御體系，東吳證券的服務器安全防護能力、抵御未知攻擊的能力和整體安全架構高可用性、安全防護效率等全都得到了質的提升，從而更安全可靠地為證券交易系統用戶的資產安全保駕護航。

截至2020年10月，平臺已納管東吳證券近200套系統、2300余臺設備，日均處理指標數據150GB、應用日志數據150 GB、網絡報文2 TB，共產生25000余次事件通知，共發現200多次可能的安全風險；盤中緊急切換預警18次，攔截非既定程序159次，故障預判5次。通過該平臺，運維人員工作效率和能力得到大幅度提升，每年為公司減少直接經濟損失5000萬元以上，間接創造收入1000萬元以上。

也正是憑借著理念、技術創新和卓越的實際效果，東吳證券《RAMS信息系統支撐平臺》項目已申請3篇專利，獲得3篇軟件著作權，并斬獲多項榮譽獎項，其中就包括中國人民銀行2020年度金融科技發展獎三等獎。八分量創始人兼CEO阮安邦也被東吳證券聘請為金融科技實驗室專家。

金融業的本質是信任，信任的基礎是信息和數據的安全。

雖然金融業普遍走上了數字化轉型道路，但由于思想觀念、技術實力、人才儲備、頂層設計等多方面原因，包括券商在內的金融機構對信息安全的重視度依然有待提高。平均來看，國內金融機構在網絡安全方面的投入，約占總營收的0.1%，與國外的平均水平0.4%相比，差距明顯。

盡管如此，中國券商金融行業也不乏像東吳證券這樣重視信息安全系統建設，并積極引入可信計算、區塊鏈等技術，迭代優化信息安全系統的進取型企業。

我們也有理由相信，在越來越多金融信息安全事件發生，監管機構持續加強對金融信息安全監管之后，券商金融業對信息安全的重視程度和投入規模，都將更上一層樓。屆時，也將誕生越來越多企業像東吳證券這樣在金融信息安全防護的典型案例，投資者的金融信息安全、資產安全，將得到更進一步的加強。

標簽： 券商信息安全事件頻發 誰來守護投資者資產 信息安全