iT邦幫忙

2019 iT 邦幫忙鐵人賽

DAY 28
1
Security

三十篇資安實例分享及解析系列 第 28

三十篇資安實例分享及解析DAY 28--銀行過度依賴IBM系統,造成自動提款機2018年10月連續當機多次,金管會下令全體銀行盤點主機

"Stay Hungry, Stay Foolish."
                         賈伯斯 名言

(1)事件:銀行過度依賴IBM系統,造成自動提款機2018年10月連續當機多次,金管會下令全體銀行盤點主機 (新聞來源: https://www.ettoday.net/news/20181025/1289992.htm )
(2)被攻擊單位:提款機ATM
(3)系統:IBM系統
(4)時間:2018年10月
(5)攻擊方式:非駭客攻擊,屬銀行內部系統管理問題

金控體系之下,尤其在銀行、證券端,好幾年前,就已經規定要有備援系統,以避免重大災害(包括人為因素)能夠即時應變,不過,就該篇新聞內容,主機規劃全部都用IBM系統,所以只要ATM當機,主要回報因素都會有IBM系統異常這一項。

但是,在2011年的時候,以下這篇新聞(新聞連接:https://www.digitimes.com.tw/iot/article.asp?cat=130&id=0000230681_np15i04k90iuwl08g2gq2 ) 就有提到IBM對台灣金融業的一些看法,摘錄如下:

以金融業為例,目前台灣各金融機構的備援機制雖然都符合法規,但多數僅止於百分之百的磁帶資料備份。然而,面對大規模的突發災難事件,IBM估計可能超過半數的業者無法在事件發生隔日恢復全面營運。至於銀行核心系統(core banking)的備援程度,約只有10分之1的金控業者,有能力在災難發生後4小時內恢復運作。此外,每年定期檢視、調整營運永續計畫與實施演練的銀行、證券、壽險等金融服務業者,比例更低。IBM建議,在台灣各家銀行紛紛西進、南進、或積極拓展區域業務規模之際,對於災難備援的策略規劃與執行,應以企業永續為最高標準與目標。

目前依照金管會於107年所公佈的金融控股公司年報應行記載事項準則第十八條規定:

七、資訊設備:主要資訊系統硬體、軟體之配置及維護、未來開發或購置計畫及緊急備援與安全防護措施。

依此法令規定,筆者看一下中信銀2017年股東會年報所揭漏有關資訊設備事項,如下圖所示:

https://ithelp.ithome.com.tw/upload/images/20181105/20107482RPrULQcWJh.png

也就是說,硬體規劃主要還由外包商進行規劃,理論上來說,金融業的資訊外包商更應該了解,ATM當機的影響,即使使用同一家IBM的主機,照理來說,應該是兩套獨立的運作方式,而且要隨時備份備援,但如新聞所說『中信銀ATM上週(18日)發生全台ATM、網銀大當機,過幾天22日連永豐銀ATM也當機,8月財金公司也發生跨行交易當機。』加上之前郵局提款機也曾大當機的情況之下,這個資安層級就得要思考一下了。

目前,國內有銀行業者有的已經開始想要導入自動化銀行,然而,筆者認為,目前還是有點太早了,主要是前端的風險控制還沒有做好,除此之外,自動化設備所投入的成本,並不見得會比人工便宜,同時,金融業是否願意轉型培訓更多金融資訊人員,能夠銜接上資訊人力缺口,這些都是銀行在實行的時候要考量的重點。

誠如筆者在雄獅旅行社那篇有提到,雄獅旅行社招募的資訊人員佔了公司全體員工的比例很高,雖然行業別不同,但是,銀行要達到無人化目的,理論上,就得要增加資訊人員,金控業雖然把第一線人員給縮減了,但是資訊人員能力就要相對能夠涵蓋到第一線人員的基本能力,否則在系統設計跟維護上,就要花更多時間去規劃,所以光就資訊人力這點,就已經夠讓金控頭痛了,再加上資安又是一塊不一樣的領域,這中間的複雜程度,考驗了以保守著稱的金控業了!

最後,很多這幾年新聞一直報導,工業化4.0會讓更多人失業,其實,筆者認為,這樣說法有點太早下定論了,產業面臨升級壓力之下,需求的可能是要更多能夠跟著升級的勞動力,絕對不是完全取代勞動力,所以在這個世代最辛苦的事情,就是要不斷的學習,否則很快就會被產業淘汰掉。


上一篇
三十篇資安實例分享及解析DAY 27--「貝殼放大股份有限公司」因資訊安全管理不慎,造成個資外洩
下一篇
三十篇資安實例分享及解析DAY 30--總統府首次主辦「一○六年府會資安週—資安即國安」活動,刑事局54支隨身碟USB贈品感染惡意病毒
系列文
三十篇資安實例分享及解析30

1 則留言

1
SunAllen
iT邦高手 1 級 ‧ 2018-11-06 00:58:17

IBM...幾年前,讓我離開SI的原因之一/images/emoticon/emoticon10.gif

往事不堪回首,回首來時路,這一切都只是過程而已!

對啊!

我要留言

立即登入留言