中国工商银行首席信息官 林晓轩

　　近年来，国家有关部门和监管机构日益重视银行业信息科技风险管理工作，要求商业银行加强信息科技风险管理，实现对信息系统的“安全、可控”。银监会近两年在银行业信息科技风险管理年会上提出，银行业要围绕“自主可控”、“持续发展”、“科技创新”三大战略切实加强信息科技建设，要求银行业金融机构按照“自主可控”战略，合理构建信息系统。同时，人民银行在相关工作中也强调“要提高金融信息安全自主可控水平”。根据监管部门近期提出的有关要求，工商银行结合多年来自身的实际情况，对如何规划和实施自主可控战略进行了深入的思考与研究，并不断探索实践。

　　一、关于商业银行落实“自主可控”战略的思考

    目前存在一种观点，认为“自主可控”就是简单地用国内产品替换国外产品，这一观点在一些欧美国家也一定程度存在。简单地使用国内的软硬件产品并不能达到自主可控的目标，特别是在当前市场化和资本运作的大环境下，企业的国内外资本性质转换很快，所谓的国内和国外都是相对的，这方面市场上已经有了很多实际的案例，包括一些与银行合作密切的企业的案例。因此，商业银行落实“自主可控”要求，应是在遵照国家政策和监管要求的基础上，通过信息系统体系架构的总体顶层设计和主要信息系统的自主研发或“自主可控”研发，在满足银行自身信息系统整体体系架构的前提下，自主研发核心和关键信息系统，并分层异构使用外部产品，实现对信息科技风险的可监控、可管理、过程可审计。

　　1. 自主设计和自主研发是落实“自主可控”战略的主导思路

　　商业银行在构建自主可控的信息系统整体体系架构时，一方面通过自主研发的途径，开发出符合自身特点的应用系统以满足业务需求;另一方面采用自主设计的做法，组合使用不同厂商的技术产品，以异构的方式实现产品技术上的扬长避短和相互补充。同时，在外部厂商技术产品的使用上，也应在充分消化吸收的基础上，做到知其形、究其因、懂其理，进而探讨自主研发予以替换和实现的可行性，掌握技术的主动权。因此，商业银行“自主可控”信息系统并不是以国产产品技术简单替换国外产品，而是建立在自主规划设计的基础上，做到“因我所需，为我所用”。

　　2. 体系架构的整体把控与设计是落实“自主可控”

　　的关键

　　商业银行通过自主规划的顶层设计思路落实“自主　　可控”。在信息系统的整体防护体系架构设计上，商业银行应关注体系架构的整体把控，自主设计并建立起软硬件架构体系，着力研究体系中各个系统端到端的整体设计，在不同环节应用不同技术，合理进行技术组合，实现对体系架构整体的自主可控，进而在信息系统的整体防护体系架构设计和各个系统端到端整体设计的过程中，实现可管理、可监控和过程可审计。这好比在汽车领域，一个国内车企如果只是简单地把国外整车引进销售，不掌握关键技术，就会失去话语权，被动接受国外车企的各种要求，但如果动力系统、转向系统、刹车和底盘、主动安全与被动安全系统以及外形设计等都由国内车企自行研发设计，即便使用的零部件来自于国内外企业的全球采购，技术主动权和零部件选择权仍掌握在国内车企手中，不会因所使用的零部件而受制于人。因此，不能简单地认为使用国内产品就一定是安全的，使用国外产品就一定是不安全的。简单地对产品和技术进行替换将造成商业银行科技建设成本的增加，同时，将对商业银行信息系统的整体风险留下隐患。商业银行只有立足于自主整体规划和设计才能掌握技术控制权、选择权和主动权。国内外厂商在为银行提供具体的软硬件产品和技术服务的同时，更应该帮助商业银行提高其信息系统的自主规划设计能力。

　　3. 实现产品及技术的异构组合是实现系统端到端“自主可控”的途径

　　商业银行不可能自主研发所有需使用的软硬件产品，因此在选择外部软硬件产品时，在符合国家政策和监管要求的原则下，需要通过产品的异构组合实现整个系统的端到端自主可控。例如，国家在网银系统的各个环节上都有明确的规范和出台了认证要求，商业银行在网银系统设计与实现上，应在严格遵守国家相关要求的同时，在客户端安全控件、认证介质、硬件证书、软件证书、认证数据传输加密算法等网银系　　统的多个层面和处理流程上，通过合理的技术组合实现“自主可控”体系。

　　4. 符合国家政策和监管要求是落实“自主可控”

　　的基本底线

　　商业银行在构建自身信息系统体系架构时，不管使用国内还是国外的技术，必须在符合国家的相关政策和监管要求的基础上，基于自行设计的体系架构，建立商业银行自身的、与之配套的信息系统体系标准、管理制度和规范体系，以及监控和审计体系，实现对整体体系架构和各系统的管理、监控和过程审计。同时，商业银行也应在遵照国家政策要求和监管要求的基础上，以满足商业银行整体体系架构需求为前提，积极推动国产软硬件技术和产品的使用，积极使用优秀的国产产品作为整个架构体系中不可或缺的异构组件。同时，商业银行要合法使用正版的国内外软硬件产品，充分保障相关正当权益。

　　二、工商银行落实“自主可控”战略的实践

　　多年来，围绕上述思路，特别是根据监管部门的有关要求，工商银行在“自主可控”战略的实施方面做了一些具体工作。

　　1. 坚持走自主研发的技术创新道路，支持业务全面发展

　　工商银行依靠自身科技力量，始终坚持走自主研发道路，自主研发了各类业务应用和经营管理系统。工商银行先后启动实施四代核心应用系统开发和推广工作，完全依托自身技术力量独立研发了超大型的核心应用系统，在同业中率先自主研发并全面推广了多币种、多语言、多时区的境外核心业务系统，具有自主知识产权的业务系统全面覆盖客户信息、会计核算、存款、贷款、汇款清算、银行卡、金融市场业务等境内外业务领域，为工商银行改革发展提供了强大支撑，有力推动了全行各项业务的快速发展。截至目前，工商银行注册登记软件著作权275 件，拥有的专利总量达到了307 个，国内同业占比超过60%。与此同时，工商银行依靠自身科技力量，成功实施了数据集中、灾备体系、网络体系等技术工程建设;依靠自身科技力量开展各项生产运行维护和管理、信息安全管理等工作，通过采取各项技术手段和管理措施，确保信息系统的稳定运行及客户信息、内部管理信息的安全。

　　2. 通过顶层设计构建自主技术架构体系，实现技术整体把控

　　工商银行通过管理和技术两个层面的顶层设计，实现了对整体技术架构自上而下的严格自主把控。在管理层面，根据监管部门要求在董事会及高级管理层下设信息科技管理委员会，主要负责信息科技战略、信息科技重大决策事项等; 信息科技管理委员会下设技术审查委员会，负责重大科技项目规划与方案的审批。同时，对照国家标准和监管要求，工商银行建立了较为全面的信息科技管理制度和技术标准规范体系，并且每年结合执行情况和新的工作要求进行修订完善，目前已经形成了由136 个信息科技制度管理办法、实施细则和管理手册组成的信息科技管理制度体系，形成了包含应用、信息、安全、系统、网络、基础设施、其他等七大类123 项规范的技术标准体系。通过自主开展各种现场和非现场检查、自主研发应用监控系统，辅以上下联动的整改落实跟踪机制，实现了信息科技风险的可管理、可监控和过程可审计。

　　在技术层面，工商银行在选择信息技术产品时，从自身整体架构体系出发，综合考虑产品功能和性能、运行稳定性、客户服务效率和资金安全保障等多方面因素，选择适合工商银行需要的软硬件产品组合，以防范内外部安全风险，确保系统稳定运行和客户资金安全。

　　工商银行在推动技术架构“自主可控”方面遵循的　　原则和做法主要有以下几点：一是分层次、分区域综合保障。按照“垂直分层、水平分区”的层次化防护思想进行安全设计，在纵向层次上分为核心层、应用层、隔离层和接入层，在横向区域上分为电子银行区域、自助区域、柜面区域等，从整体上保障系统的安全性。二是采用不同厂商、不同类型产品实现异构防护。在同一层次上，通过不同厂商、不同类型产品的异构组合，相互弥补缺陷，避免单一厂商、单一类型的产品存在安全隐患所带来的风险。三是兼顾系统安全性和客户服务需要。

　　银行信息系统是面向广大客户提供服务的，在保障系统安全性的同时，也必须选择适当的技术产品保障客户服务需要，实现系统的客户便利性、易用性。例如，工商银行在开展密码技术防护体系建设中，在核心层、应用层、隔离层和客户终端等层面分别部署和选用了不同厂　　商的软硬件加密设备和产品，以达到确保系统安全，方便客户使用的目的。

　　3. 通过自主研发实现关键业务系统风险管理的“自主可控”，降低信息泄漏风险

　　当前，商业银行金融市场已成为一项十分重要的业务领域，许多商业银行的金融市场资产已经达到上万亿元(人民币)的规模。但目前大部分商业银行所使用的交易和管理软件，基本是由在不同阶段外购的不同系统组成，系统间相互独立，难以实现信息交互、数据共享和统一风险管理，也难以实现对交易的风险管理以及与商业银行自身的中后台风险管理系统的联动整合，甚至一些银行将交易数据提供给外部机构帮助其完成对产品的定期估值和对设定场景的风险压力测试，形成了较大的信息安全风险。

　　按照“自主可控”的原则，2007 年工商银行开始自主研发金融市场业务管理平台，经过多年摸索实践，至2011 年已构建起金融市场交易管理、风险管理、产品控制、定价估值平台，不仅提高了工商银行代客交易的产品创新能力，还实现了为境内外机构客户产品推广和统一报价、集中平盘，逐步建立了自营业务前台交易风险控制、中后台风险联动管理的全球一体化处理平台。

　　目前，在监管政策的大力推动下，商业银行、企业、科研机构积极开展技术合作、成果转移和商业化应用，商业银行落实信息系统建设“自主可控”战略将得到更加有力的支持。工商银行将按照监管部门的要求，加强与相关企业和机构的合作，进一步提升信息科技的自主可控能力。