7、基于日本金融行业过往重大失败案例的信息系统风险管理框架设计

基于日本金融行业过往重大失败案例的信息系统风险管理框架设计

1. 引言：新兴风险因素与信息系统相关脆弱性的增加

在过去二十年中，信息通信技术（ICT）取得了显著发展，各种硬件、软件和网络被应用于银行业务。同时，许多银行积极引入外包、离岸服务、多平台、开放架构或应用服务提供商（ASP）等，以实现更高效、灵活且低成本的运营。这使得社会享受到了更高附加值的银行服务，但银行对ICT的依赖也急剧增加，我们开始经历因信息系统（IS）故障导致的银行关键服务中断，进而造成业务连续性问题。

由于近期ICT的快速发展，银行业务积极引入ICT以提供更有效和高附加值的服务。然而，近年来发生了几起由IS故障导致的意外关键中断，这些IT相关“灾难”的影响在中断持续时间和受损范围上都在增加。这些灾难的直接原因因案例而异，但根本原因可归结为系统复杂性增加、系统补丁增多、开放或联网的系统架构以及系统间的相互依赖。

美国政府在1997年定义了关键基础设施以防范网络攻击，其中包括信息通信、能源、银行金融、交通、供水、应急服务和公共卫生等领域。在金融服务领域，成立了信息共享与分析中心（ISAC），以在金融机构之间共享信息，保护金融系统免受物理和网络威胁。经历了2001年9月11日恐怖袭击的政府和行业对这一领域非常关注，并已开始加强社会基础设施的安全，以重建具有韧性的社会。

不断增长的银行服务业务需求和不断变化的业务环境也是导致这些灾难的原因，带来了新兴风险因素，如下表所示：
| 业务需求与环境变化 | 新兴风险因素 |
| — | — |
| 非传统业务需求 | 业务连续性中断风险增加 |
| 环境变化 | 系统复杂性和相互依赖带来的风险 |