李夏菁

摘 要 我国金融市场已经成为世界金融领域中一个重要的标志，与此同时，金融行业面临的信息安全风险和威胁也愈加严重。本文通过总结近年来金融行业信息系统渗透性测试的经验，简要介绍和分析了金融行业信息系统面临的典型安全问题，并对行业内的信息安全防护策略提出一些改进建议，为金融行业信息安全建设提供思路。

关键词 金融 信息安全 风险和威胁 防护策略

一、简要分析金融行业信息系统典型安全问题

根据FREEBUF的统计数据显示，2016年上半年金融行业的漏洞统计TOP10中，传统金融行业的高危漏洞数和可能造成的危害要远远大于互联网金融，其中保险行业高危漏洞达到86.22%，是大数据金融的17倍。[1]

其中，典型的高风险漏洞如弱口令、SQL注入等较多，暴露了业务应用系统在软件开发时对安全性的考虑比较欠缺。同时，各类安全问题导致潜在风险如泄露用户数据等，对金融企业以及投资者个人造成的损失难以统计。

（一）弱口令漏洞

弱口令（weak password），指通常容易被别人猜测到或被工具破解的口令。弱口令通常指的是那些仅包含简单数字和字母的口令，例如“123”“abc”等，由于这类口令非常容易被人破解，一旦破解之后用户的计算机便会面临风险。[2]而对于大多数金融公司的信息系统来说，无论是面向公众的网上交易、在线开户等业务系统，还是那些仅对内部员工开放的集中交易、邮件收发等办公系统，普遍仍采用的是用户名加口令这一较为传统的身份鉴别方式。……