商业银行信息系统内部威胁的“知识发现”与“内控管理”

刘国城

(南京审计大学 会计学院，江苏 南京　211815；江苏省金融工程重点实验室，江苏 南京　211815)



商业银行信息系统内部威胁的“知识发现”与“内控管理”

刘国城

(南京审计大学 会计学院，江苏 南京211815；江苏省金融工程重点实验室，江苏 南京211815)

[摘要]建立完整科学的信息系统内部威胁“知识发现”流程，是我国商业银行规范“内控管理”，强化对信息系统内部威胁进行防御、控制与管理的重要手段。我国对商业银行内部威胁的研究起步较晚，针对我国银行业可能存在的内部威胁问题，应当遵循“内部威胁→脆弱点→知识发现→内部控制→内部管理”的治理思路，通过建立信息系统内部威胁“知识发现”流程，强化对内部威胁的防御、控制与管理。我国商业银行在对内部威胁信息系统生命周期实施“内控管理”过程中，需要借鉴内部威胁“知识发现”的原则与规律，对具体周期下的“内部控制”实施制度设计、制度执行、制度评价和制度改进等四个方面的全过程管理。

[关键词]商业银行；信息系统；内部威胁；知识发现；内控管理

建立完整科学的信息系统内部威胁“知识发现”流程，是我国商业银行规范“内控管理”，强化对信息系统内部威胁进行防御、控制与管理的重要手段。内部威胁(Insider Threat)是具有访问权限的内部人员利用合法的身份，滥用或误用权限对信息系统造成的威胁。*Schultz E.A Framework for Understanding and Predicting Insider Attacks.Computer and Security,2002,21(6):526-531.我国对商业银行内部威胁的研究起步较晚，针对我国银行业可能存在的内部威胁问题，应当遵循“内部威胁→脆弱点→知识发现→内部控制→内部管理”的治理思路，通过建立信息系统内部威胁“知识发现”流程，强化对内部威胁的防御、控制与管理。……